SGB V

§ 303a

Wahrnehmung der Aufgaben der Datentransparenz; Verordnungsermächtigung

(1) ¹ Die Aufgaben der Datentransparenz werden von öffentlichen Stellen des Bundes als Vertrauensstelle nach § 303c und als Forschungsdatenzentrum nach § 303d sowie vom Spitzenverband Bund der Krankenkassen als Datensammelstelle wahrgenommen. ² Das Bundesministerium für Gesundheit bestimmt im Benehmen mit dem Bundesministerium für Bildung und Forschung durch Rechtsverordnung ohne Zustimmung des Bundesrates zur Wahrnehmung der Aufgaben der Datentransparenz eine öffentliche Stelle des Bundes als Vertrauensstelle nach § 303c und eine öffentliche Stelle des Bundes als Forschungsdatenzentrum nach § 303d.

(2) ¹ Die Vertrauensstelle und das Forschungsdatenzentrum sind räumlich, organisatorisch und personell eigenständig zu führen. ² Sie unterstehen der Rechtsaufsicht des Bundesministeriums für Gesundheit.

(3) Die jeweiligen Kosten, die den öffentlichen Stellen nach Absatz 1 durch die Wahrnehmung der Aufgaben der Datentransparenz entstehen, tragen die Krankenkassen und Pflegekassen jeweils nach der Zahl ihrer Mitglieder.

(4) In der Rechtsverordnung nach Absatz 1 Satz 2 ist auch das Nähere zu regeln

§ 303b

Datenzusammenführung und -übermittlung; Verordnungsermächtigung

(1) ¹ Für die in § 303e Absatz 2 genannten Zwecke übermitteln die Krankenkassen und die Pflegekassen bis spätestens zehn Wochen nach Quartalsende an den Spitzenverband Bund der Krankenkassen als Datensammelstelle für jeden Versicherten jeweils in Verbindung mit einem Versichertenpseudonym, das eine kassenübergreifende eindeutige Identifizierung im Berichtszeitraum erlaubt (Lieferpseudonym),

² Im Rahmen der Datenübermittlung nach Satz 1 übermitteln die Krankenkassen und Pflegekassen jeweils diejenigen in Satz 1 genannten Daten, die ihnen für das jeweils vergangene Kalenderquartal und für die diesem vergangenen Kalenderquartal vorangegangenen drei Kalenderquartale vorliegen. ³ Das Forschungsdatenzentrum löscht die nach Satz 1 übermittelten Daten zu einem Kalenderquartal, sobald ihnen nach Satz 1 erneut Daten zu diesem Kalenderquartal übermittelt werden. ⁴ Abweichend von Satz 3 dürfen Daten zu einem Kalenderquartal, zu dem erneut Daten übermittelt wurden, durch Nutzungsberechtigte und durch das Forschungsdatenzentrum weiterhin verarbeitet werden, wenn die Daten einem Nutzungsberechtigten bereits auf dessen Antrag hin nach § 303e zugänglich gemacht wurden und die Verarbeitung im Rahmen dieses Antrags erfolgt. ⁵ Das Nähere zur technischen Ausgestaltung der Datenübermittlung regelt der Spitzenverband Bund der Krankenkassen. ⁶ Das Bundesministerium für Gesundheit wird ermächtigt, durch Rechtsverordnung mit Zustimmung des Bundesrates zu bestimmen, dass die Datenübermittlung nach Satz 1, abweichend von Satz 1, zu einem anderen Zeitpunkt zu erfolgen hat. ⁷ Die Datenübermittlung nach Satz 1 erfolgt erstmals für das erste Kalenderquartal des Jahres 2025.

(1a) ¹ Zusätzlich zur Datenübermittlung nach Absatz 1 übermitteln die Krankenkassen an den Spitzenverband Bund der Krankenkassen als Datensammelstelle

² Von der Verpflichtung zur Datenübermittlung nach Satz 1 Nummer 1 ausgenommen sind

(2) Der Spitzenverband Bund der Krankenkassen führt die Daten nach den Absätzen 1 und 1a zusammen, prüft die Daten auf Vollständigkeit, Plausibilität und Konsistenz und klärt Auffälligkeiten jeweils mit der die Daten liefernden Stelle.

(3) ¹ Der Spitzenverband Bund der Krankenkassen übermittelt

² Die Angaben zu den Leistungserbringern sind vor der Übermittlung an das Forschungsdatenzentrum zu pseudonymisieren. ³ Das Nähere zur technischen Ausgestaltung der Datenübermittlung nach Satz 1 vereinbart der Spitzenverband Bund der Krankenkassen mit den nach § 303a Absatz 1 Satz 2 bestimmten Stellen.

(4) Der Spitzenverband Bund der Krankenkassen kann eine Arbeitsgemeinschaft nach § 219 mit der Durchführung der Aufgaben nach den Absätzen 1 bis 3 beauftragen.

§ 303c

Vertrauensstelle

(1) Die Vertrauensstelle überführt die ihr nach § 303b Absatz 3 Satz 1 Nummer 2 übermittelten Lieferpseudonyme nach einem einheitlich anzuwendenden Verfahren nach Absatz 2 in periodenübergreifende Pseudonyme.

(2) ¹ Die Vertrauensstelle hat im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik ein schlüsselabhängiges Verfahren zur Pseudonymisierung festzulegen, das dem jeweiligen Stand der Technik und Wissenschaft entspricht. ² Das Verfahren zur Pseudonymisierung ist so zu gestalten, dass für das jeweilige Lieferpseudonym eines jeden Versicherten periodenübergreifend immer das gleiche Pseudonym erstellt wird, aus dem Pseudonym aber nicht auf das Lieferpseudonym oder die Identität des Versicherten geschlossen werden kann.

(3) ¹ Die Vertrauensstelle hat die Liste der Pseudonyme dem Forschungsdatenzentrum mit den Arbeitsnummern zu übermitteln. ² Nach der Übermittlung dieser Liste an das Forschungsdatenzentrum hat sie die diesen Pseudonymen zugrunde liegenden Lieferpseudonyme und Arbeitsnummern sowie die Pseudonyme zu löschen.

(4) ¹ Die Vertrauensstelle wirkt bei der Verknüpfung und Verarbeitung von Gesundheitsdaten nach § 4 des Gesundheitsdatennutzungsgesetzes mit. ² Sie ist befugt, die für diesen Zweck erforderlichen Daten zu verarbeiten.

§ 303d

Forschungsdatenzentrum

(1) Das Forschungsdatenzentrum hat folgende Aufgaben:

(2) ¹ Das Forschungsdatenzentrum richtet im Benehmen mit dem Bundesministerium für Gesundheit und dem Bundesministerium für Bildung und Forschung einen Arbeitskreis zur Sekundärnutzung von Versorgungsdaten nach § 303e Absatz 1 ein. ² Der Arbeitskreis wirkt beratend an der Ausgestaltung, Weiterentwicklung und Evaluation des Datenzugangs mit. ³ An dem Arbeitskreis nach Satz 1 sind zu beteiligen:

(3) Das Forschungsdatenzentrum hat die versichertenbezogenen Einzeldatensätze spätestens nach 100 Jahren zu löschen.

§ 303e

Datenverarbeitung

(1) ¹ Das Forschungsdatenzentrum macht die ihm vom Spitzenverband Bund der Krankenkassen und von der Vertrauensstelle übermittelten Daten nach Maßgabe der Absätze 2 bis 6 den in Satz 2 genannten Nutzungsberechtigten auf Antrag zugänglich. ² Nutzungsberechtigt sind natürliche und juristische Personen im Anwendungsbereich der Verordnung (EU) 2016/679, soweit diese nach Absatz 2 zur Verarbeitung der Daten berechtigt sind.

(2) Die dem Forschungsdatenzentrum übermittelten Daten dürfen von den Nutzungsberechtigten verarbeitet werden, soweit dies für folgende Zwecke erforderlich ist:

(3) ¹ Das Forschungsdatenzentrum macht einem Nutzungsberechtigten auf Antrag Daten zugänglich, wenn die Voraussetzungen nach Absatz 2 erfüllt sind. ² In dem Antrag hat der antragstellende Nutzungsberechtigte nachvollziehbar darzulegen, dass Umfang und Struktur der beantragten Daten geeignet und erforderlich sind, um die angestrebten Zwecke nach Absatz 2 zu erfüllen. ³ Das Forschungsdatenzentrum kann einen Antrag dem Arbeitskreis nach § 303d Absatz 2 mit einer Bitte um Stellungnahme zu der Plausibilität des Antrags innerhalb von höchstens vier Wochen vorlegen. ⁴ Liegen die Voraussetzungen nach Absatz 2 vor, übermittelt das Forschungsdatenzentrum dem antragstellenden Nutzungsberechtigten die entsprechend den Anforderungen des Nutzungsberechtigten ausgewählten Daten anonymisiert und aggregiert. ⁵ Das Forschungsdatenzentrum kann einem Nutzungsberechtigten entsprechend seinen Anforderungen auch anonymisierte und aggregierte Daten mit kleinen Fallzahlen übermitteln, wenn der antragstellende Nutzungsberechtigte nachvollziehbar darlegt, dass ein nach Absatz 2 zulässiger Nutzungszweck, insbesondere die Durchführung eines Forschungsvorhabens, die Übermittlung dieser Daten erfordert.

(3a) ¹ Das Forschungsdatenzentrum lehnt einen Antrag nach Absatz 3 ab, wenn

² Die Nutzung der nach Absatz 3 oder Absatz 4 zugänglich gemachten Daten ist insbesondere für folgende Zwecke verboten:

(4) ¹ Das Forschungsdatenzentrum kann einem Nutzungsberechtigten entsprechend seinen Anforderungen auch pseudonymisierte Einzeldatensätze bereitstellen, wenn der antragstellende Nutzungsberechtigte nachvollziehbar darlegt, dass die Nutzung der pseudonymisierten Einzeldatensätze für einen nach Absatz 2 zulässigen Nutzungszweck, insbesondere für die Durchführung eines Forschungsvorhabens, erforderlich ist. ² Das Forschungsdatenzentrum stellt einem Nutzungsberechtigten die pseudonymisierten Einzeldatensätze ohne Sichtbarmachung der Pseudonyme mit einer temporären Arbeitsnummer für die Verarbeitung unter Kontrolle des Forschungsdatenzentrums bereit, soweit

³ Personen, die nicht der Geheimhaltungspflicht nach § 203 des Strafgesetzbuches unterliegen, können pseudonymisierte Einzeldatensätze nach Satz 2 bereitgestellt werden, wenn sie vor dem Zugang zur Geheimhaltung verpflichtet wurden. ⁴ § 1 Absatz 2, 3 und 4 Nummer 2 des Verpflichtungsgesetzes gilt entsprechend.

(4a) ¹ Das Forschungsdatenzentrum kann entsprechend den Anforderungen der Nutzungsberechtigten die in Absatz 4 genannten pseudonymisierten Einzeldatensätze mit pseudonymisierten Daten von gesetzlich geregelten medizinischen Registern, die unter Bundesverwaltung stehen, verknüpfen und die so verknüpften Datensätze einem Nutzungsberechtigten für die in Absatz 2 Nummer 4 genannten Zwecke bereitstellen. ² Eine Verknüpfung nach Satz 1 ist nur zulässig, soweit

³ Das Bundesministerium für Gesundheit wird im Benehmen mit dem Bundesministerium für Bildung und Forschung ermächtigt, durch Rechtsverordnung ohne Zustimmung des Bundesrates das Nähere zu regeln

(5) ¹ Die Nutzungsberechtigten dürfen die nach Absatz 3 oder Absatz 4 zugänglich gemachten Daten

² Die Nutzungsberechtigten haben bei der Verarbeitung der nach Absatz 3 oder Absatz 4 zugänglich gemachten Daten darauf zu achten, keinen Bezug zu Personen, Leistungserbringern oder Leistungsträgern herzustellen. ³ Wird ein Bezug zu Personen, Leistungserbringern oder Leistungsträgern unbeabsichtigt hergestellt, so ist dies dem Forschungsdatenzentrum unverzüglich zu melden. ⁴ Die Verarbeitung der bereitgestellten Daten zum Zwecke der Herstellung eines Personenbezugs, zum Zwecke der Identifizierung von Leistungserbringern oder Leistungsträgern sowie zum Zwecke der bewussten Verschaffung von Kenntnissen über fremde Betriebs- und Geschäftsgeheimnisse ist untersagt.

(5a) ¹ Ergeben sich konkrete Anhaltspunkte dafür, dass Antragstellende oder Nutzungsberechtigte die vom Forschungsdatenzentrum nach Absatz 3 oder Absatz 4 zugänglich gemachten Daten in einer Art und Weise verarbeitet haben, die nicht den geltenden datenschutzrechtlichen Vorschriften oder den Auflagen des Forschungsdatenzentrums entspricht, kann das Forschungsdatenzentrum diese Anhaltspunkte der zuständigen Datenschutzaufsichtsbehörde und dem Arbeitskreis zur Sekundärnutzung nach § 303d Absatz 2 zur Stellungnahme mit Fristsetzung von zehn Arbeitstagen vorlegen. ² Darüber ist der Antragsteller oder Nutzungsberechtigte zu informieren. ³ Während dieser Frist ruht der Zugang des Antragstellenden oder Nutzungsberechtigten zu den Daten des Forschungsdatenzentrums.

(6) ¹ Stellt die zuständige Datenschutzaufsichtsbehörde fest, dass Nutzungsberechtigte die vom Forschungsdatenzentrum nach Absatz 3 oder Absatz 4 zugänglich gemachten Daten in einer Art und Weise verarbeitet haben, die nicht den geltenden datenschutzrechtlichen Vorschriften oder den diesbezüglichen Auflagen des Forschungsdatenzentrums entspricht, und hat sie wegen eines solchen Verstoßes eine Maßnahme nach Artikel 58 Absatz 2 Buchstabe b bis j der Verordnung (EU) 2016/679 gegenüber dem Nutzungsberechtigten ergriffen, informiert sie das Forschungsdatenzentrum. ² In diesem Fall schließt das Forschungsdatenzentrum den Nutzungsberechtigten für einen Zeitraum von bis zu zwei Jahren vom Datenzugang aus.

§ 303f

Gebührenregelung; Verordnungsermächtigung

(1) ¹ Das Forschungsdatenzentrum erhebt von den Nutzungsberechtigten nach § 303e Absatz 1 Gebühren und Auslagen für individuell zurechenbare öffentliche Leistungen nach § 303d zur Deckung des Verwaltungsaufwandes. ² Die Gebührensätze sind so zu bemessen, dass sie den auf die Leistungen entfallenden durchschnittlichen Personal- und Sachaufwand nicht übersteigen. ³ Die Krankenkassen, die Pflegekassen, ihre Verbände, der Spitzenverband Bund der Krankenkassen sowie das Bundesministerium für Gesundheit als Aufsichtsbehörde sind von der Zahlung der Gebühren befreit.

(2) ¹ Das Bundesministerium für Gesundheit wird ermächtigt, durch Rechtsverordnung ohne Zustimmung des Bundesrates die gebührenpflichtigen Tatbestände zu bestimmen und dabei feste Sätze oder Rahmensätze vorzusehen sowie Regelungen über die Gebührenentstehung, die Gebührenerhebung, die Erstattung von Auslagen, den Gebührenschuldner, Gebührenbefreiungen, die Fälligkeit, die Stundung, die Niederschlagung, den Erlass, Säumniszuschläge, die Verjährung und die Erstattung zu treffen. ² Das Bundesministerium für Gesundheit kann die Ermächtigung durch Rechtsverordnung auf die öffentliche Stelle, die vom Bundesministerium für Gesundheit nach § 303a Absatz 1 als Forschungsdatenzentrum nach § 303d bestimmt ist, übertragen.