Gesetze / Gesetzblätter
Bundesgesetzblatt, Teil I, Jahrgang 2024, Nr. 102
BGBl. 2024 I Nr. 102 · 86.353 Zeichen · Textauszug aus unserem Bestand.
Textauszug (durchsuchbar)
Teil I
2024 Ausgegeben zu Bonn am 26. März 2024 Nr. 102
Gesetz
zur verbesserten Nutzung von Gesundheitsdaten
Vom 22. März 2024
Der Bundestag hat das folgende Gesetz beschlossen:
Inhaltsübersicht
Artikel 1 Gesetz zur Nutzung von Gesundheitsdaten zu gemeinwohlorientierten Forschungszwecken und zur daten
basierten Weiterentwicklung des Gesundheitswesens (Gesundheitsdatennutzungsgesetz – GDNG)
Artikel 2 Änderung des BGA-Nachfolgegesetzes
Artikel 3 Änderung des Fünften Buches Sozialgesetzbuch
Artikel 4 Änderung des Zehnten Buches Sozialgesetzbuch
Artikel 5 Änderung des Elften Buches Sozialgesetzbuch
Artikel 6 Inkrafttreten
Artikel 1
Gesetz
zur Nutzung von Gesundheitsdaten zu gemeinwohlorientierten Forschungszwecken und
zur datenbasierten Weiterentwicklung des Gesundheitswesens
(Gesundheitsdatennutzungsgesetz – GDNG)
§1
Zweck des Gesetzes; Anwendungsbereich
(1) Dieses Gesetz dient der Regelung der Nutzung von Gesundheitsdaten zu gemeinwohlorientierten
Forschungszwecken und zur datenbasierten Weiterentwicklung des Gesundheitswesens als lernendes System.
Das Ziel der Nutzung von Gesundheitsdaten ist, eine sichere, bessere und qualitätsgesicherte
Gesundheitsversorgung und Pflege zu gewährleisten, Forschung und Innovation zu fördern und das digitalisierte
Gesundheitssystem auf Grundlage einer soliden Datenbasis weiterzuentwickeln.
(2) Dieses Gesetz gilt für die Verarbeitung von Gesundheitsdaten zu Forschungszwecken, zur Verbesserung der
Gesundheitsversorgung und Pflege sowie zu weiteren im Gemeinwohl liegenden Zwecken.
(3) Die Vorschriften dieses Gesetzes gehen jenen des Fünften und Elften Buches Sozialgesetzbuch vor, soweit
Gesundheitsdaten für wissenschaftliche Forschungszwecke und zu weiteren in diesem Gesetz genannten, im
Gemeinwohl liegenden Zwecken verarbeitet werden.
§2
Begriffsbestimmungen
Im Sinne dieses Gesetzes sind oder ist
1. „Gesundheitsdaten“ Gesundheitsdaten im Sinne des Artikels 4 Nummer 15 der Verordnung (EU) 2016/679 des
Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der
Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG
(Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom
23.5.2018, S. 2; L 74 vom 4.3.2021, S. 35) in der jeweils geltenden Fassung, einschließlich Gesundheitsdaten,
die zugleich Sozialdaten nach § 67 des Zehnten Buches Sozialgesetzbuch sind;
2. „personenbezogene Daten“ personenbezogene Daten im Sinne des Artikels 4 Nummer 1 der Verordnung (EU)
2016/679;
3. „datenhaltende Stelle“ natürliche und juristische Personen einschließlich deren Zusammenschlüsse im Sinne von
Datenplattformen oder Dateninfrastrukturen, die berechtigt oder verpflichtet sind, Gesundheitsdaten
für Forschungszwecke und weitere in diesem Gesetz genannte Zwecke Dritten zur Verfügung zu stellen; dazu
gehören insbesondere gesetzlich geregelte datenhaltende Stellen wie das Forschungsdatenzentrum Gesundheit
nach § 303d des Fünften Buches Sozialgesetzbuch, das Zentrum für Krebsregisterdaten beim Robert Koch-
Institut und die Plattform nach § 64e Absatz 9 des Fünften Buches Sozialgesetzbuch;
4. „Datennutzende“ natürliche und juristische Personen, die Zugang zu Gesundheitsdaten zu Forschungszwecken
und weiteren in diesem Gesetz genannten Zwecken begehren oder erhalten haben;
5. „Forschungsvorhaben“ Vorhaben, bei denen Gesundheitsdaten zu den in Artikel 9 Absatz 2 Buchstabe j und
Artikel 89 Absatz 1 Satz 1 und Absatz 2 der Verordnung (EU) 2016/679 genannten wissenschaftlichen
Forschungszwecken verarbeitet werden; diese Gesundheitsdaten können auch Sozialdaten nach § 67 des
Zehnten Buches Sozialgesetzbuch sein;
6. „Gesundheits- und Versorgungsforschung“ Forschungsvorhaben mit dem Ziel, die Gesundheit zu fördern,
Krankheiten vorzubeugen, zu heilen und ihre Folgen zu vermindern, die Gesundheitsversorgung und
-prävention zu verbessern sowie das Gesundheitswesen weiterzuentwickeln;
7. „datenverarbeitende Gesundheitseinrichtung“ Einrichtungen, in denen für Zwecke der Gesundheitsvorsorge oder
der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik
oder für Zwecke der Versorgung oder Behandlung im Gesundheits- oder Sozialbereich Daten von oder unter der
Verantwortung von Angehörigen eines Heilberufs verarbeitet werden, der für die Berufsausübung oder die
Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert;
8. „Sekundärdatennutzung“ die Weiterverarbeitung von Gesundheitsdaten zu anderen Zwecken als denjenigen, für
die die Daten ursprünglich erhoben wurden.
§3
Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten; Verordnungsermächtigung
(1) Beim Bundesinstitut für Arzneimittel und Medizinprodukte wird eine zentrale Datenzugangs- und
Koordinierungsstelle für Gesundheitsdaten eingerichtet.
(2) Die Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten unterstützt und berät Datennutzende
beim Zugang zu Gesundheitsdaten. Sie hat insbesondere die Aufgabe,
1. einen öffentlichen Metadaten-Katalog barrierefrei zu führen und zu pflegen, in dem zu Transparenzzwecken
Informationen über die im deutschen Gesundheitswesen vorhandenen und öffentlich zugänglichen
Gesundheitsdaten und über die jeweiligen Halter dieser Daten gesammelt werden,
2. Datennutzende bei der Identifizierung und bei der Lokalisierung der für ihre Zwecke benötigten
Gesundheitsdaten zu beraten,
3. bei einer Antragstellung von Datennutzenden auf Zugang zu Gesundheitsdaten bei datenhaltenden Stellen zu
beraten,
4. Anträge auf Zugang zu Gesundheitsdaten bei den nach Absatz 3 Satz 1 Nummer 4 zu spezifizierenden
datenhaltenden Stellen entgegenzunehmen und im Wege der Weiterleitung an die zuständigen
datenhaltenden und mittelnden Stellen zu übermitteln,
5. bei der für die in den Nummern 3 und 4 genannten Antragstellung die erforderliche Kommunikation zwischen
den Antragstellenden und den zuständigen Stellen zu unterstützen,
6. die Öffentlichkeit über die Aktivitäten der Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten zu
informieren,
7. ein öffentliches Antragsregister mit Informationen zu den über die Datenzugangs- und Koordinierungsstelle für
Gesundheitsdaten gestellten Anträgen auf Zugang zu Gesundheitsdaten, zu den Datennutzenden, zu den
Vorhaben, für die Daten beantragt wurden, und zu deren Ergebnissen aufzubauen und zu pflegen,
8. die Bundesregierung im Rahmen von Vorhaben und in Gremien zur Steigerung der Verfügbarkeit von
Gesundheitsdaten und beim Aufbau einer vernetzten Gesundheitsdateninfrastruktur auf Bundesebene und in
der Europäischen Union zu unterstützen,
9. Konzepte zu erstellen
a) zur Nutzung von sicheren Verarbeitungsumgebungen als Maßnahme zur Verbesserung des Datenschutzes
und der Datensicherheit im Rahmen der Weiterverarbeitung von Gesundheitsdaten zu Forschungszwecken
und weiteren im Gemeinwohl liegenden Zwecken,
b) zur Weiterentwicklung der zentralen Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten als
eigenständige Institution unter Einbindung bestehender Dateninfrastrukturen unter Berücksichtigung
europäischer Entwicklungen und unter Beteiligung der maßgeblichen Akteure des Gesundheitswesens und
der Gesundheitsforschung,
c) zur Verknüpfung und gemeinsamen Verarbeitung von pseudonymisierten Gesundheitsdaten verschiedener
datenhaltender Stellen,
10. die in § 4 für die zentrale Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten vorgesehenen
Aufgaben im Antragsverfahren bei der Verknüpfung von Daten des Forschungsdatenzentrums Gesundheit mit
Daten der klinischen Krebsregister der Länder nach § 65c des Fünften Buches Sozialgesetzbuch und bei der
Verarbeitung dieser Daten wahrzunehmen.
(3) Das Bundesministerium für Gesundheit wird ermächtigt, im Benehmen mit dem Bundesministerium für
Bildung und Forschung ohne Zustimmung des Bundesrates durch Rechtsverordnung das Nähere zu regeln zu
1. der Einrichtung und zur Organisation der Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten,
2. den Einzelheiten der Wahrnehmung der Aufgaben der Datenzugangs- und Koordinierungsstelle für
Gesundheitsdaten nach Absatz 2 sowie zu den hierbei anzuwendenden Verfahren,
3. den zur Übermittlung der Anträge an die datenhaltenden und datenmittelnden Stellen gemäß Absatz 2 Satz 2
Nummer 4 jeweils notwendigen Arbeitsstrukturen der Datenzugangs- und Koordinierungsstelle für
Gesundheitsdaten,
4. Kriterien für die Eignung von datenhaltenden und datenmittelnden Stellen zur Einbeziehung in die
Sekundärdatennutzung über die Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten sowie zur
Bereitstellung transparenter Informationen über diese Kriterien.
Geplante Regelungen sind im Benehmen mit den Vertretern der jeweiligen datenhaltenden Stellen zu treffen. Soweit
die datenhaltenden Stellen dem Recht des Sozialgesetzbuchs unterliegen, ergehen die Regelungen im Benehmen
mit dem Bundesministerium für Arbeit und Soziales.
(4) Die Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten richtet im Benehmen mit dem
Bundesministerium für Gesundheit und dem Bundesministerium für Bildung und Forschung einen Arbeitskreis zur
Gesundheitsdatennutzung ein. Der Arbeitskreis setzt sich aus Vertretern der datenhaltenden Stellen, aus Vertretern
der Patientenorganisationen, die in der Patientenbeteiligungsverordnung genannt oder nach dieser Verordnung
anerkannt sind, aus Vertretern von Leistungserbringern, aus Vertretern der Gesundheitsforschung sowie aus
Vertretern weiterer betroffener Gruppen und Institutionen zusammen. Der Arbeitskreis wirkt beratend an der
Ausgestaltung, Weiterentwicklung und Evaluation der Aufgabenwahrnehmung der Datenzugangs- und
Koordinierungsstelle für Gesundheitsdaten mit.
(5) Dieser Paragraph gilt nicht für in § 137a Absatz 10 des Fünften Buches Sozialgesetzbuch genannte Anträge
auf Auswertung von bei den verpflichtenden Maßnahmen der Qualitätssicherung nach § 136 Absatz 1 Satz 1
Nummer 1 des Fünften Buches Sozialgesetzbuch erhobenen Daten.
§4
Verknüpfung von Daten des Forschungsdatenzentrums Gesundheit mit Daten der klinischen Krebsregister
der Länder; Verordnungsermächtigung
(1) Die Verknüpfung von pseudonymisierten Daten des Forschungsdatenzentrums Gesundheit nach § 303d des
Fünften Buches Sozialgesetzbuch mit pseudonymisierten Daten der klinischen Krebsregister der Länder nach § 65c
des Fünften Buches Sozialgesetzbuch sowie die Verarbeitung dieser Daten für Forschungsvorhaben ist nach
Maßgabe der folgenden Absätze zulässig.
(2) Für die Verknüpfung und für die Verarbeitung der pseudonymisierten Daten nach Absatz 1 bedarf es einer
vorherigen Genehmigung der Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten nach § 3. Die
Genehmigung ist auf Antrag zu erteilen, sofern
1. die Verknüpfung der in Absatz 1 genannten Daten für die zu untersuchende Forschungsfrage erforderlich ist,
2. die erforderlichen Anträge auf Zugang zu den zu verknüpfenden Daten in pseudonymisierter Form beim
Forschungsdatenzentrum Gesundheit nach § 303e Absatz 3 des Fünften Buches Sozialgesetzbuch sowie bei
den zuständigen klinischen Krebsregistern der Länder nach § 65c des Fünften Buches Sozialgesetzbuch nach
dem geltenden Landesrecht für den Zugang zu den zu verknüpfenden Daten in pseudonymisierter Form bewilligt
worden sind und
3. schutzwürdige Interessen der betroffenen Person nicht beeinträchtigt werden oder das öffentliche Interesse an
der Forschung das Geheimhaltungsinteresse der betroffenen Person überwiegt und das spezifische
Reidentifikationsrisiko in Bezug auf die beantragten Daten bewertet und unter angemessener Wahrung des
angestrebten wissenschaftlichen Nutzens durch geeignete Maßnahmen minimiert worden ist.
(3) In dem Antrag haben die Antragstellenden nachvollziehbar darzulegen, dass Umfang und Struktur der zu
verknüpfenden Daten geeignet und erforderlich sind, um die zu untersuchende Forschungsfrage zu beantworten.
(4) Die Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten
1. unterstützt die Antragstellenden im Rahmen des Verfahrens zur Erteilung der Genehmigung nach Absatz 2
Satz 1 bei der Kommunikation mit dem Forschungsdatenzentrum Gesundheit und mit den beteiligten
klinischen Krebsregistern der Länder nach § 65c des Fünften Buches Sozialgesetzbuch sowie bei der Stellung
der in Absatz 2 Satz 2 Nummer 2 genannten Anträge,
2. stellt für den Antrag auf Genehmigung nach Absatz 2 Satz 1 und für die in Absatz 2 Satz 2 Nummer 2 genannten
Anträge einen einheitlichen Antragsprozess im Benehmen mit zwei von den klinischen Krebsregistern der
Länder nach § 65c des Fünften Buches Sozialgesetzbuch benannten Vertretern und dem Zentrum für
Krebsregisterdaten beim Robert Koch-Institut nach § 1 Absatz 1 des Bundeskrebsregisterdatengesetzes bereit
und
3. leitet die in Absatz 2 Satz 2 Nummer 2 genannten Anträge an die zuständigen Stellen weiter.
(5) Wird die Genehmigung nach Absatz 2 Satz 1 erteilt, so werden die im Antrag benannten Daten mit einer von
der Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten für den jeweiligen Antrag festzulegenden
sicheren Verarbeitungsumgebung einer öffentlich-rechtlichen Stelle verknüpft und den Antragstellenden als
pseudonymisierte Einzeldatensätze, ohne Sichtbarmachung von Pseudonymen, verfügbar gemacht. In einer
sicheren Verarbeitungsumgebung muss durch geeignete technische und organisatorische Maßnahmen
sichergestellt sein, dass die Verarbeitung durch die Antragstellenden auf das für den jeweiligen Nutzungszweck
erforderliche Maß beschränkt ist und insbesondere ein Kopieren der Daten verhindert werden kann.
(6) Wird die Genehmigung nach Absatz 2 Satz 1 erteilt, übermitteln die klinischen Krebsregister der Länder nach
§ 65c des Fünften Buches Sozialgesetzbuch an die durch die Datenzugangs- und Koordinierungsstelle für
Gesundheitsdaten festgelegte sichere Verarbeitungsumgebung die beantragten Daten in pseudonymisierter Form
zusammen mit einer auf Grundlage der Krankenversichertennummer anlassbezogen zu erstellenden
Forschungskennziffer unter Mitwirkung der Vertrauensstelle nach § 303c des Fünften Buches Sozialgesetzbuch
und nach den Vorgaben der Rechtsverordnung nach Absatz 9. Zur Sicherstellung einer qualitätsgesicherten
Datenzusammenführung soll bei der Übermittlung der Daten der klinischen Krebsregister der Länder nach § 65c
des Fünften Buches Sozialgesetzbuch ein Datenbereinigungsverfahren genutzt werden.
(7) Wird die Genehmigung nach Absatz 2 Satz 1 erteilt, übermittelt das Forschungsdatenzentrum Gesundheit
nach § 303d des Fünften Buches Sozialgesetzbuch an die durch die Datenzugangs- und Koordinierungsstelle für
Gesundheitsdaten festgelegte sichere Verarbeitungsumgebung die beantragten Daten in pseudonymisierter Form
zusammen mit einer anlassbezogen zu erstellenden Forschungskennziffer unter Mitwirkung der Vertrauensstelle
nach § 303c des Fünften Buches Sozialgesetzbuch und nach den Vorgaben der Rechtsverordnung nach Absatz 9.
(8) Die Datennutzenden dürfen die nach Absatz 5 zugänglich gemachten Daten
1. nur für die Zwecke nutzen, für die sie zugänglich gemacht werden, und
2. nicht an Dritte weitergeben.
Die Datennutzenden haben bei der Verarbeitung darauf zu achten, keinen Bezug zu Personen, Leistungserbringern
oder Leistungsträgern herzustellen. Im Fall einer unabsichtlichen Herstellung eines Personenbezugs ist die
Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten zu informieren. Die Datenzugangs- und
Koordinierungsstelle für Gesundheitsdaten leitet die enthaltene Information an das Forschungsdatenzentrum
Gesundheit und an die zuständigen klinischen Krebsregister der Länder nach § 65c des Fünften Buches
Sozialgesetzbuch weiter.
(9) Das Bundesministerium für Gesundheit wird ermächtigt, durch Rechtsverordnung mit Zustimmung des
Bundesrates das Nähere zu regeln zu
1. dem technischen Verfahren zur Verknüpfung der Daten anhand einer anlassbezogen zu erstellenden
Forschungskennziffer, einschließlich der hierzu erforderlichen Datenverarbeitung durch
a) das Forschungsdatenzentrum Gesundheit,
b) die klinischen Krebsregister der Länder nach § 65c des Fünften Buches Sozialgesetzbuch,
c) das Zentrum für Krebsregisterdaten beim Robert Koch-Institut nach § 1 des Bundeskrebsregisterdaten
gesetzes,
d) die zentrale Antrags- und Registerstelle nach § 10 des Bundeskrebsregisterdatengesetzes sowie
e) die beteiligten Vertrauensstellen dieser Einrichtungen,
2. den Anforderungen an sichere Verarbeitungsumgebungen nach Absatz 5 und den Kriterien für die Auswahl der
Verarbeitungsumgebung durch die Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten,
3. dem einheitlichen Antragsprozess und den weiteren in Absatz 4 genannten unterstützenden Maßnahmen der
Datenzugangs- und Koordinierungsstelle für Gesundheitsdaten,
4. dem in Absatz 6 genannten Datenbereinigungsverfahren.
Hinsichtlich des Satzes 1 Nummer 2 erfolgt der Erlass der Rechtsverordnung im Benehmen mit der oder dem
Bundesbeauftragten für den Datenschutz und die Informationsfreiheit und mit dem Bundesamt für Sicherheit in
der Informationstechnik.
§5
Datenschutzaufsicht bei länderübergreifenden Gesundheitsforschungsvorhaben
(1) Sind an einem Vorhaben der Versorgungs- oder Gesundheitsforschung, bei dem Gesundheitsdaten
verarbeitet werden, eine oder mehrere öffentliche oder nicht öffentliche Stellen als Verantwortliche derart beteiligt,
dass mehr als eine Datenschutzaufsichtsbehörde des Bundes oder der Länder nach Kapitel VI der Verordnung
(EU) 2016/679 zuständig ist, und sind diese Stellen nicht gemeinsam Verantwortliche gemäß Artikel 26 der
Verordnung (EU) 2016/679, so kann dieses Vorhaben den Datenschutzaufsichtsbehörden zur federführenden
Datenschutzaufsicht angezeigt werden.
(2) Durch eine Anzeige nach Absatz 1, die von allen Stellen gemeinsam gegenüber allen zuständigen
Datenschutzaufsichtsbehörden abzugeben ist, wird die Datenschutzaufsichtsbehörde federführend zuständig, in
deren Zuständigkeitsbereich die am Vorhaben nach Absatz 1 beteiligte Stelle fällt, die in dem vorangegangenen
Geschäftsjahr den größten Jahresumsatz erzielt hat. In dem Fall, dass nicht alle am Vorhaben nach Absatz 1
beteiligten Stellen einen Jahresumsatz aufweisen, wird stattdessen diejenige Datenschutzaufsichtsbehörde
federführend zuständig, in deren Zuständigkeitsbereich die am Vorhaben nach Absatz 1 beteiligte Stelle fällt, die
die meisten Personen beschäftigt, welche ständig personenbezogene Daten automatisiert verarbeiten. Der Anzeige
nach Absatz 1 sind die entsprechenden nachweisenden Unterlagen beizufügen.
(3) Die federführend zuständige Datenschutzaufsichtsbehörde hat die Aufgabe, die Tätigkeiten und
Aufsichtsmaßnahmen der zuständigen Datenschutzaufsichtsbehörden zu koordinieren; sie fördert eine
Zusammenarbeit der zuständigen Aufsichtsbehörden beim Vorhaben nach Absatz 1 und wirkt auf eine
gemeinsame Entscheidung hin. Die aufsichtsrechtlichen Befugnisse aller nach Absatz 1 zuständigen
Datenschutzaufsichtsbehörden bleiben unberührt. Die zuständigen Datenschutzaufsichtsbehörden stimmen sich
untereinander ab, wenn sie in ihrem Zuständigkeitsbereich tätig werden.
(4) Sind an einem Vorhaben der Gesundheits- und Versorgungsforschung, bei dem Gesundheitsdaten
verarbeitet werden, eine oder mehrere nicht öffentliche Stellen als Verantwortliche derart beteiligt, dass mehr als
eine Datenschutzaufsichtsbehörde der Länder zuständig ist, und sind die beteiligten nicht öffentlichen Stellen
gemeinsam Verantwortliche gemäß Artikel 26 der Verordnung (EU) 2016/679, können diese gemeinsam
anzeigen, dass sie gemeinsam Verantwortliche sind und deshalb für die von ihnen gemeinsam verantwortete
Datenverarbeitung allein die Datenschutzaufsichtsbehörde zuständig sein soll, in deren Zuständigkeitsbereich die
nicht öffentliche Stelle fällt, die in dem der Antragstellung vorangegangenen Geschäftsjahr den größten
Jahresumsatz erzielt hat. Die gemeinsame Anzeige ist an alle Datenschutzaufsichtsbehörden zu richten, die für
die gemeinsam Verantwortlichen zuständig sind, und muss die die umsatzstärkste nicht öffentliche Stelle
nachweisenden Unterlagen enthalten. Ab dem Zeitpunkt, zu dem die in den Sätzen 1 und 2 genannte Anzeige
bei der für die umsatzstärkste nicht öffentliche Stelle zuständigen Behörde eingegangen ist, wird diese die allein
zuständige Datenschutzaufsichtsbehörde. Für nichtöffentliche Stellen, die gemeinsam Verantwortliche gemäß
Artikel 26 der Verordnung (EU) 2016/679 sind, jedoch keinen Jahresumsatz erzielen, gelten die Sätze 1 bis 3
entsprechend mit der Maßgabe, dass die Behörde allein zuständig ist, die für den Verantwortlichen zuständig ist,
der die meisten Personen beschäftigt, welche ständig personenbezogene Daten automatisiert verarbeiten. § 3
Absatz 3 und 4 des Verwaltungsverfahrensgesetzes findet entsprechende Anwendung.
§6
Weiterverarbeitung von Versorgungsdaten zur Qualitätssicherung, zur Förderung der Patientensicherheit
und zu Forschungszwecken
(1) Datenverarbeitende Gesundheitseinrichtungen dürfen die bei ihnen gemäß Artikel 9 Absatz 2 Buchstabe h
und i der Verordnung (EU) 2016/679 rechtmäßig gespeicherten Daten weiterverarbeiten, soweit dies erforderlich ist
1. zur Qualitätssicherung und zur Förderung der Patientensicherheit,
2. zur medizinischen, zur rehabilitativen und zur pflegerischen Forschung oder
3. zu statistischen Zwecken, einschließlich der Gesundheitsberichterstattung.
Die nach Satz 1 weiterverarbeiteten, personenbezogenen Daten sind zu pseudonymisieren; sie sind zu
anonymisieren, sobald dies im Rahmen der Weiterverarbeitung für den jeweiligen Zweck nach Satz 1 möglich ist.
Sind mehrere natürliche Personen in der datenverarbeitenden Gesundheitseinrichtung tätig, hat die
Gesundheitseinrichtung ein Rechte- und Rollenkonzept zu erstellen, das gewährleistet, dass nur befugte Personen
die in Satz 1 genannten Daten weiterverarbeiten können sowie Weiterverarbeitungen protokolliert und unbefugte
Verarbeitungen geahndet werden können. Daten, die nach Absatz 1 Satz 1 weiterverarbeitet werden, sind
spätestens 30 Jahre nach Beginn der Weiterverarbeitung nach Absatz 1 Satz 1 zu löschen. § 14 des
Transplantationsgesetzes ist zu beachten.
(2) Die Ergebnisse der Weiterverarbeitung von Gesundheitsdaten nach Absatz 1 sind zu anonymisieren, sobald
dies nach dem jeweiligen Zweck nach Absatz 1 Satz 1 möglich ist.
(3) Die Weitergabe der personenbezogenen Daten an Dritte ist im Rahmen der Weiterverarbeitung nach
Absatz 1 untersagt. Abweichend von Satz 1 ist die Weitergabe von personenbezogenen Daten im Rahmen der
Weiterverarbeitung nach Absatz 1 zulässig, soweit die betroffene Person eingewilligt hat oder eine andere
gesetzliche Vorschrift des Bundesrechts, des Landesrechts oder unmittelbar geltender Rechtsakte der
Europäischen Union dies vorsieht. Die datenverarbeitenden Gesundheitseinrichtungen dürfen die gemäß Artikel 9
Absatz 2 Buchstabe h der Verordnung (EU) 2016/679 rechtmäßig gespeicherten Gesundheitsdaten anonymisieren,
um die anonymisierten Daten zu den in Absatz 1 Satz 1 genannten Zwecken an Dritte zu übermitteln. Abweichend
von Satz 1 ist eine gemeinsame Nutzung und Verarbeitung der in Absatz 1 Satz 1 genannten Daten zu den in
Absatz 1 Satz 1 genannten Zwecken durch öffentlich geförderte Zusammenschlüsse von datenverarbeitenden
Gesundheitseinrichtungen einschließlich Verbundforschungsvorhaben und Forschungspraxennetzwerken zulässig,
wenn
1. die Verarbeitung zu den in Absatz 1 Satz 1 genannten Zwecken erforderlich ist,
2. die Anforderungen nach den Absätzen 1, 2 und 4 hinsichtlich der Verarbeitung eingehalten werden,
3. die Interessen des datenschutzrechtlich Verantwortlichen an der Verarbeitung die Interessen der betroffenen
Person an einem Ausschluss der Verarbeitung erheblich überwiegen und
4. die zuständige Datenschutzaufsichtsbehörde der gemeinsamen Nutzung und Verarbeitung der Daten
zugestimmt hat.
Die Datenschutzaufsichtsbehörde soll innerhalb eines Monats über die Zustimmung nach Satz 4 Nummer 4
entscheiden.
(4) Datenverarbeitende Gesundheitseinrichtungen, die nach Absatz 1 Daten verarbeiten, sind verpflichtet,
öffentlich und allgemein in präziser, transparenter, leicht verständlicher und zugänglicher Form in einer klaren und
einfachen Sprache über die Zwecke, für die nach Absatz 1 Daten weiterverarbeitet werden, zu informieren. Dabei ist
auch über laufende Forschungsvorhaben und veröffentlichte Forschungsergebnisse zu informieren, die nach § 8
registriert oder veröffentlicht wurden. Auf Verlangen einer von der Verarbeitung zu den in Absatz 1 Satz 1 Nummer 2
oder 3 genannten Zwecken betroffenen Person ist die datenverarbeitende Gesundheitseinrichtung verpflichtet, über
die Art, den Umfang und den konkreten Zweck der Verarbeitung der Daten zu den in Absatz 1 Satz 1 Nummer 2
oder Nummer 3 genannten Zwecken in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer
klaren und einfachen Sprache zu informieren.
§7
Geheimhaltungspflichten
(1) Datennutzende dürfen Gesundheitsdaten, die ihnen für wissenschaftliche Forschungszwecke verfügbar
gemacht wurden,
1. nur für die Zwecke nutzen, für die sie ihnen zugänglich gemacht wurden, und
2. nicht an Dritte weitergeben, wenn dies nicht nach Absatz 3 oder Absatz 4 zulässig ist.
Satz 1 gilt auch für Gesundheitsdaten einer Person, die bereits verstorben ist.
(2) Bereitgestellte Daten dürfen nicht zum Zwecke der Herstellung eines Personenbezugs oder zum Zwecke der
Identifizierung von Leistungserbringern oder Leistungsträgern verarbeitet werden. Dies gilt auch für
Gesundheitsdaten einer Person, die bereits verstorben ist.
(3) Personen, denen fremde Gesundheitsdaten zu Forschungszwecken anvertraut oder sonst bekanntgeworden
sind, dürfen diese Gesundheitsdaten den bei ihr berufsmäßig tätigen Gehilfen oder den bei ihr zur Vorbereitung auf
den Beruf tätigen Personen zum Zwecke der Forschung zugänglich machen. Die Person, der fremde
Gesundheitsdaten zu Forschungszwecken anvertraut oder sonst bekanntgeworden sind, darf diese fremden
Gesundheitsdaten gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit
mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist.
Satz 2 gilt entsprechend für die dort genannten mitwirkenden Personen, wenn diese sich weiterer Personen
bedienen, die an der beruflichen oder dienstlichen Tätigkeit mitwirken.
(4) Entgegen Absatz 1 dürfen Datennutzende Gesundheitsdaten, die ihnen für wissenschaftliche
Forschungszwecke verfügbar gemacht wurden, für andere Zwecke weiterverarbeiten oder an Dritte weitergeben,
soweit ihnen dies durch Rechtsvorschriften des Bundes oder der Länder oder unmittelbar geltender Rechtsakte der
Europäischen Union gestattet ist.
(5) Wenn die zuständige Datenschutzaufsichtsbehörde eine Maßnahme nach Artikel 58 Absatz 2 Buchstabe b
bis j der Verordnung (EU) 2016/679 gegenüber den Datennutzenden ergriffen hat, informiert sie den Träger der
datenhaltenden Stelle.
§8
Registrierungspflicht; Publikationspflicht von Forschungsergebnissen bei Verarbeitung von
Gesundheitsdaten im öffentlichen Interesse
Sofern in einem Forschungsvorhaben Gesundheitsdaten auf Grundlage dieses Gesetzes ohne die Einwilligung
der betroffenen Personen zu Forschungszwecken verarbeitet werden, sind die für das Forschungsvorhaben
Verantwortlichen verpflichtet, das Forschungsvorhaben vor Beginn der Datenverarbeitung in einem von der
Weltgesundheitsorganisation anerkannten Primärregister für klinische Studien zu registrieren, sofern ein solches
Primärregister die Registrierung des Forschungsvorhabens gestattet. Eine Registrierung nach Satz 1 ist entbehrlich,
wenn das Forschungsvorhaben auf Grundlage eines Gesetzes bereits an anderer Stelle registriert wurde. Die für
das Forschungsvorhaben Verantwortlichen sind verpflichtet, die Forschungsergebnisse innerhalb von 24 Monaten
nach Abschluss des Forschungsvorhabens in anonymisierter Form und in einer für die Allgemeinheit zugänglichen
Weise zu veröffentlichen und, sofern das Forschungsvorhaben nach Satz 1 registriert wurde, im jeweiligen
Primärregister zu hinterlegen. Behörden können bestimmen, dass Forschungsvorhaben, die sie in Auftrag
gegeben haben oder die unter ihrer Rechts- oder Fachaufsicht durchgeführt werden, abweichend von Satz 1 oder
Satz 3 nicht registriert werden müssen oder deren Ergebnisse nicht oder erst zu einem späteren Zeitpunkt
veröffentlicht werden müssen, sofern dies zum Schutz von besonderen öffentlichen Belangen gemäß § 3 des
Informationsfreiheitsgesetzes erforderlich ist.
§9
Strafvorschriften
(1) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer
1. entgegen § 7 Absatz 1 Gesundheitsdaten nutzt, weitergibt oder
2. entgegen § 7 Absatz 2 die bereitgestellten Daten verarbeitet.
(2) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer in den Fällen des Absatzes 1
gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.
(3) Die Tat wird nur auf Antrag verfolgt. Antragsberechtigt sind der oder die Betroffene, der oder die nach der
Verordnung (EU) 2016/679 Verantwortliche, der oder die Bundesbeauftragte für den Datenschutz und die
Informationsfreiheit oder die zuständige Datenschutzaufsichtsbehörde.
Artikel 2
Änderung des BGA-Nachfolgegesetzes
§ 1 Absatz 3 des BGA-Nachfolgegesetzes vom 24. Juni 1994 (BGBl. I S. 1416), das zuletzt durch Artikel 8
Absatz 1 des Gesetzes vom 27. September 2021 (BGBl. I S. 4530) geändert worden ist, wird wie folgt geändert:
1. In Nummer 6 wird der Punkt am Ende durch ein Komma ersetzt.
2. Folgende Nummer 7 wird angefügt:
„7. Koordinierung des Datenzugangs im Gesundheitswesen für die forschungsbezogene Zusammenführung und
Verknüpfung von Gesundheitsdaten.“
Artikel 3
Änderung des Fünften Buches Sozialgesetzbuch
Das Fünfte Buch Sozialgesetzbuch – Gesetzliche Krankenversicherung – (Artikel 1 des Gesetzes vom
20. Dezember 1988, BGBl. I S. 2477, 2482), das zuletzt durch Artikel 2 des Gesetzes vom 22. März 2024
(BGBl. 2024 I Nr. 101) geändert worden ist, wird wie folgt geändert:
0. In § 4b wird die Angabe „§§ 266, 267, 269 und 287a“ durch die Angabe „§§ 266, 267 und 269“ ersetzt.
1. § 25a wird wie folgt geändert:
a) Absatz 4 wird wie folgt geändert:
aa) In Satz 1 werden vor dem Punkt am Ende ein Semikolon und die Wörter „die Befugnis umfasst auch die
Befugnis zur Anonymisierung der Daten für den Zweck der Übermittlung nach Absatz 5 Satz 2“ eingefügt.
bb) In Satz 2 werden nach den Wörtern „Absatz 1 Satz 2 Nummer 1“ die Wörter „dürfen die zuständigen
Meldebehörden die Daten nach § 34 Absatz 1 Satz 1 Nummer 1 bis 3, 6 und 9 des
Bundesmeldegesetzes aus den Melderegistern an die in den Richtlinien nach Absatz 2 Satz 4
bestimmten Stellen übermitteln; ferner“ eingefügt.
b) Dem Absatz 5 wird folgender Satz angefügt:
„Das Nähere zu einem Verfahren der nach Absatz 4 erhobenen Daten einschließlich der Datenübermittlung
regelt der Gemeinsame Bundesausschuss unter Beachtung datenschutzrechtlicher Vorgaben und des
Gebotes der Datensicherheit in seiner Verfahrensordnung.“
2. Nach § 25a wird folgender § 25b eingefügt:
㤠25b
Datengestützte Erkennung individueller Gesundheitsrisiken durch die Kranken- und Pflegekassen
(1) Die Kranken- und Pflegekassen können zum Gesundheitsschutz eines Versicherten datengestützte
Auswertungen vornehmen und den Versicherten auf die Ergebnisse dieser Auswertung hinweisen, soweit die
Auswertungen den folgenden Zwecken dienen:
1. der Erkennung von seltenen Erkrankungen,
2. der Erkennung von Krebserkrankungen,
3. der Erkennung von schwerwiegenden Gesundheitsgefährdungen, die durch die Arzneimitteltherapie
entstehen können,
4. der Erkennung einer noch nicht festgestellten Pflegebedürftigkeit nach § 14 des Elften Buches,
5. der Erkennung ähnlich schwerwiegender Gesundheitsgefährdungen, soweit dies aus Sicht der Kranken- und
Pflegekassen im überwiegenden Interesse der Versicherten ist, oder
6. der Erkennung des Vorliegens von Impfindikationen für Schutzimpfungen, die von der Ständigen
Impfkommission nach § 20 Absatz 2 des Infektionsschutzgesetzes empfohlen sind.
(2) Eine Verarbeitung der bei den Kranken- und Pflegekassen vorliegenden personenbezogenen Daten der
Versicherten zur Durchführung einer Auswertung nach Absatz 1 ist ohne Einwilligung der betroffenen Person
nur zulässig, soweit sie zu den in Absatz 1 genannten Zwecken erforderlich und geeignet ist. Die Kranken- und
Pflegekassen haben in den Hinweisen nach Absatz 1 auf die Möglichkeit des Widerspruchs nach Absatz 3
hinzuweisen und über ihre Pflicht nach Absatz 5 in präziser, transparenter, verständlicher und leicht
zugänglicher Form in einer klaren und einfachen Sprache zu informieren. Ein Eingreifen in die ärztliche
Therapiefreiheit oder eine Beschränkung der Wahlfreiheit der Versicherten im Rahmen von Hinweisen nach
Absatz 1 ist unzulässig. Die Weitergabe der bei den Kranken- und Pflegekassen vorliegenden personen
bezogenen Daten der Versicherten an Dritte ist untersagt. Abweichend von Satz 4 ist die Verarbeitung dieser
Daten durch Auftragsverarbeiter zulässig.
(3) Die Datenverarbeitung nach Absatz 2 ist zu unterlassen, soweit der Versicherte einer Datenverarbeitung
ausdrücklich gegenüber seiner Kranken- und Pflegekasse widersprochen hat. Die Versicherten sind rechtzeitig,
mindestens vier Wochen vor Beginn der in Absatz 1 genannten Datenverarbeitung, von den Kranken- und
Pflegekassen über die Datenverarbeitung und über die Möglichkeit des Widerspruchs nach Satz 1 in präziser,
transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache, auch
öffentlich, zu informieren. Die Einlegung des Widerspruchs muss barrierefrei und jederzeit möglich sein. In
den Informationen nach Satz 2 müssen die Kranken- und Pflegekassen darüber informieren, dass sie gemäß
Absatz 6 Satz 1 Versicherte, die der Verarbeitung nach Absatz 2 nicht widersprochen oder widersprochen
haben, nicht bevorzugen oder benachteiligen dürfen.
(4) Sofern bei einer in Absatz 1 genannten Auswertung eine konkrete Gesundheitsgefährdung, das konkrete
Risiko einer Erkrankung oder einer Pflegebedürftigkeit oder das Vorliegen einer Impfindikation identifiziert wird,
ist der Versicherte hierauf umgehend in präziser, transparenter, verständlicher Weise und in einer klaren und
einfachen Sprache hinzuweisen. Der Hinweis nach Satz 1 ist mit einer Empfehlung zu verbinden, eine ärztliche,
zahnärztliche, psychotherapeutische oder pflegerische Beratung in Anspruch zu nehmen. Die Empfehlung ist zu
begründen. Die Hinweise nach Satz 1 erfolgen schriftlich und können, soweit erforderlich, zusätzlich in einer
anderen geeigneten Form erfolgen. Die Kranken- und Pflegekassen haben die Hinweise nach Satz 1 zu
Dokumentations- und Transparenzzwecken in die elektronische Patientenakte zu übermitteln und dort zu
speichern.
(5) Die Kranken- und Pflegekassen sind verpflichtet, auf Anfrage der betroffenen Person oder ihres
Vertreters, dieser oder diesem die Datengrundlage mitzuteilen, auf welcher ein Hinweis nach Absatz 1 oder
Absatz 4 erteilt wurde.
(6) Die Kranken- und Pflegekasse ist verpflichtet, der Aufsichtsbehörde vor Beginn der Verarbeitung
personenbezogener Daten nach Absatz 2 die Ziele und Datengrundlagen einer in Absatz 1 genannten
Auswertung anzuzeigen. Über ein Programm zu der in Absatz 1 genannten Auswertung hat die
Krankenkasse oder Pflegekasse den Verwaltungsrat der Krankenkasse oder Pflegekasse unverzüglich zu
unterrichten.
(7) Die Versicherten dürfen nicht bevorzugt oder benachteiligt werden, weil sie einer Datenverarbeitung nach
Absatz 2 nicht widersprochen oder widersprochen haben. Die Versicherten dürfen nicht bevorzugt oder
benachteiligt werden, weil sie einen Hinweis nach Absatz 1 oder Absatz 4 beachtet oder nicht beachtet haben.
(8) Der Spitzenverband Bund der Krankenkassen berichtet dem Bundesministerium für Gesundheit jährlich,
erstmals bis zum 30. Juni 2026 darüber, wie und in welchem Umfang Versicherte über Maßnahmen nach den
Absätzen 2 und 4 informiert wurden, wie und in welchem Umfang Maßnahmen nach den Absätzen 2 und 4
durchgeführt wurden und welche Auswirkungen diese Maßnahmen auf die Versorgung haben sowie über die
Zahl der Versicherten, die von dem Widerspruchsrecht nach Absatz 3 Gebrauch gemacht haben. Der
Spitzenverband Bund der Krankenkassen bestimmt zu diesem Zweck die von seinen Mitgliedern zu
übermittelnden Informationen.
(9) Hat eine Kranken- und Pflegekasse entgegen den vorstehenden Absätzen Daten verarbeitet und hat ein
Vorstandsmitglied hiervon gewusst oder hätte hiervon wissen müssen, hat die zuständige Aufsichtsbehörde
nach Anhörung des Vorstandsmitglieds den Verwaltungsrat zu veranlassen, das Vorstandsmitglied auf Ersatz
des aus dieser Pflichtverletzung entstandenen Schadens in Anspruch zu nehmen, falls der Verwaltungsrat das
Regressverfahren nicht bereits von sich aus eingeleitet hat.“
3. § 64e wird wie folgt geändert:
a) In Absatz 1 Satz 1 wird die Angabe „1. Januar 2024“ durch die Angabe „1. April 2024“ ersetzt.
b) In Absatz 4 Satz 4 werden die Wörter „zur Teilnahme am Modellvorhaben berechtigten Leistungserbringer“
durch die Wörter „am Modellvorhaben teilnehmenden Leistungserbringer“ ersetzt.
c) Absatz 6 wird wie folgt gefasst:
„(6) Die Leistungserbringer, Genomrechenzentren, klinischen Datenknoten sowie Datendienste sind
befugt, die erforderlichen personenbezogenen Daten zur Wahrnehmung ihrer Aufgaben nach den
Absätzen 10 bis 10c zu verarbeiten. Die Nutzung der Daten zu den in Absatz 9c Satz 7 Nummer 1 und
Absatz 11 Satz 3 Nummer 4 genannten Zwecken bedarf der vorherigen schriftlichen oder elektronischen
Einwilligung der Versicherten gegenüber den Leistungserbringern unter Beachtung datenschutzrechtlicher
Vorgaben, insbesondere der Rechte der betroffenen Person nach den Artikeln 12 bis 22 der Verordnung (EU)
2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen
bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie
95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72;
L 127 vom 23.5.2018, S. 2; L 74 vom 4.3.2021, S. 35) in der jeweils geltenden Fassung. Im Fall einer
Genomsequenzierung nach Absatz 2 Satz 3 ist die in Satz 2 genannte Einwilligung abweichend von Satz 2
durch den biologischen Elternteil oder durch beide biologischen Elternteile einzeln zu erklären. Der
Plattformträger stellt eine datenschutzkonforme, barrierefreie und einheitliche Ausgestaltung der Erklärung
der in Satz 2 genannten Einwilligung der Versicherten sicher. Dies hat im Einvernehmen mit der oder dem
Bundesbeauftragten für den Datenschutz und die Informationsfreiheit sowie der oder dem Beauftragten der
Bundesregierung für die Belange der Patientinnen und Patienten zu erfolgen.“
d) Absatz 7 wird wie folgt geändert:
aa) Satz 1 wird wie folgt geändert:
aaa) Nummer 6 wird wie folgt gefasst:
„6. die einheitliche Verwendung der in Absatz 6 Satz 4 genannten Erklärung der Einwilligung der
Versicherten durch die Leistungserbringer,“.
bbb) Die Nummern 10 und 11 werden wie folgt gefasst:
„10. die Sicherstellung der Anbindung der Leistungserbringer an die Dateninfrastruktur nach den
Absätzen 9 bis 11b,
11. Maßnahmen zur Bereitstellung der im Rahmen der Diagnostik und Therapiefindung
erhobenen Daten von allen an dem Modellvorhaben teilnehmenden Leistungserbringern in
den Genomrechenzentren und den klinischen Datenknoten,“.
ccc) Nummer 12 wird aufgehoben.
ddd) Nummer 13 wird Nummer 12.
bb) In Satz 8 werden nach dem Wort „entsprechend“ ein Semikolon und die Wörter „das Nähere über das
Verfahren der Abrechnung ist in der Vereinbarung nach § 301 Absatz 3 zu vereinbaren“ eingefügt.
e) In Absatz 8 Satz 1 wird die Angabe „1. Januar 2024“ durch die Angabe „1. April 2024“ ersetzt.
f) Absatz 9 wird durch die folgenden Absätze 9 bis 9c ersetzt:
„(9) Beim Bundesinstitut für Arzneimittel und Medizinprodukte (Plattformträger) wird eine zentrale
Plattform für das Modellvorhaben in seiner Trägerschaft eingerichtet und betrieben. Der Plattformträger
unterliegt dem Sozialgeheimnis nach § 35 des Ersten Buches. Er muss durch die Qualifikation seiner
Mitarbeiterinnen und Mitarbeiter sowie durch seine räumliche, sachliche und technische Ausstattung
gewährleisten, dass er die ihm übertragenen Aufgaben erfüllen kann. Der Plattformträger hat insbesondere
1. die klinischen Datenknoten, Genomrechenzentren und Datendienste zuzulassen und zu kontrollieren
sowie Anforderungen an die Qualitätsprüfung und Qualitätssicherung der in den Genomrechenzentren
nach Absatz 10a Satz 4 und den klinischen Datenknoten nach Absatz 10b Satz 4 zu speichernden Daten
festzulegen,
2. ein öffentliches Antragsregister mit Informationen zu den antragstellenden Nutzungsberechtigten, zu den
Vorhaben, für die Daten beantragt wurden, und ihren Ergebnissen aufzubauen und zu pflegen,
3. das Modellvorhaben weiterzuentwickeln,
4. die Öffentlichkeit über das Modellvorhaben zu informieren,
5. den Nutzungsberechtigten auf Antrag Daten bereitzustellen und zugänglich zu machen.
Zum Betrieb der Plattform und zur Wahrnehmung der Aufgaben nach Satz 4 wird beim Plattformträger eine
Geschäftsstelle eingerichtet. Das Nähere zur Organisation und Arbeitsweise der Geschäftsstelle sowie zur
Ausgestaltung der Aufgaben nach Satz 4, insbesondere zu den Voraussetzungen einer Zulassung sowie zu
Art, Umfang und Verfahren einer Kontrolle nach Satz 4 Nummer 1, legt der Plattformträger in einer
Geschäfts- und Nutzungsordnung fest. Sie bedarf der Zustimmung des Bundesministeriums für Gesundheit
im Benehmen mit dem Bundesministerium für Bildung und Forschung.
(9a) Der Plattformträger richtet im Benehmen mit dem Bundesministerium für Gesundheit und dem
Bundesministerium für Bildung und Forschung einen Beirat unter seinem Vorsitz sowie Arbeitsgruppen ein.
Der Beirat berät den Plattformträger bei der Wahrnehmung seiner Aufgaben nach Absatz 9 Satz 4 Nummer 1
bis 4 und Absatz 9c Satz 12 und 13. Die Arbeitsgruppen unterstützen den Beirat bei der Wahrnehmung
seiner Aufgabe; ihre Mitglieder sind ehrenamtlich tätig. Der Plattformträger beruft für den Beirat sach- und
fachkundige Mitglieder und Stellvertreter der Mitglieder. Die Berufung erfolgt jeweils für die Dauer von einem
Jahr. Er stellt bei der Zusammensetzung des Beirats sicher, dass vertreten sind:
1. das Bundesministerium für Gesundheit,
2. die Vertrauensstelle,
3. die Leistungserbringer,
4. die Betreiber der Genomrechenzentren und klinischen Datenknoten,
5. die gesetzliche Krankenversicherung,
6. die maßgeblichen Bundesorganisationen für die Wahrnehmung der Interessen von Patientinnen und
Patienten und der Selbsthilfe chronisch kranker Menschen,
7. die Gesundheitsforschung.
Beratend können an den Sitzungen des Beirats Vertreter des Bundesministeriums für Bildung und Forschung
sowie des Verbands der Universitätsklinika teilnehmen. Das Nähere zu den Aufgaben und der Besetzung des
Beirats und der Arbeitsgruppen ist in der Geschäfts- und Nutzungsordnung nach Absatz 9 Satz 6
festzulegen.
(9b) Der Plattformträger richtet im Benehmen mit dem Bundesministerium für Gesundheit und dem
Bundesministerium für Bildung und Forschung einen wissenschaftlichen Ausschuss unter seinem Vorsitz
ein. Der wissenschaftliche Ausschuss berät und unterstützt den Plattformträger bei der Wahrnehmung
seiner Aufgaben nach Absatz 9 Satz 4 Nummer 5. Absatz 9a Satz 4, 5 und 8 gilt entsprechend.
(9c) Das Robert Koch-Institut richtet eine Vertrauensstelle für das Modellvorhaben ein. Absatz 9 Satz 2
und 3 gilt entsprechend. Die Vertrauensstelle hat insbesondere
1. zu den ihr nach Absatz 10 Satz 1 Nummer 1 übermittelten Daten eine zufällige Vorgangsnummer zu
generieren und diese an den jeweiligen Leistungserbringer zu übermitteln,
2. zu der ihr nach Absatz 10a Satz 4 Nummer 1 übermittelten Vorgangsnummer ein Genomdatensatz
pseudonym zu generieren und dieses an ein Genomrechenzentrum zu übermitteln,
3. zu der ihr nach Absatz 10b Satz 4 Nummer 1 übermittelten Vorgangsnummer ein Klinikdatensatz
pseudonym zu generieren und dieses an einen klinischen Datenknoten zu übermitteln,
4. für eine in Satz 7 Nummer 1 genannte Fallidentifizierung zu den ihr nach Absatz 10 Satz 3 Nummer 1
übermittelten Daten eine zufällige Vorgangsnummer zu generieren und diese zusammen mit dem Kontakt
des ersuchten Leistungserbringers an den ersuchenden Leistungserbringer zu übermitteln,
5. für eine in Satz 7 Nummer 1 genannte Fallidentifizierung aus den ihr nach Absatz 10 Satz 3 Nummer 2
übermittelten Daten die Arbeitsnummer zu ermitteln und diese an den ersuchten Leistungserbringer zu
übermitteln,
6. für eine in Satz 7 Nummer 2 genannte Information des behandelnden Leistungserbringers aus den ihr
nach Absatz 10 Satz 4 übermittelten Daten die Arbeitsnummer zu ermitteln und diese an den
behandelnden Leistungserbringer zu übermitteln.
Nach der Übermittlung ist die Vorgangsnummer bei der Vertrauensstelle, den Leistungserbringern,
Genomrechenzentren und klinischen Datenknoten zu löschen. Das Verfahren zur Pseudonymisierung
muss nach dem jeweiligen Stand der Technik eine widerrechtliche Identifizierung der betroffenen
Patientinnen und Patienten ausschließen. Das Verfahren zur Pseudonymisierung wird von der
Vertrauensstelle im Einvernehmen mit der oder dem Bundesbeauftragten für den Datenschutz und die
Informationsfreiheit und dem Bundesamt für Sicherheit in der Informationstechnik festgelegt. Die
Vertrauensstelle ist zur Wiederherstellung des Fallbezugs der Daten und zur Übermittlung von Daten
berechtigt, soweit dies erforderlich ist
1. zur Fallidentifizierung durch einen ersuchenden Leistungserbringer oder
2. zur Information des behandelnden Leistungserbringers eines Versicherten.
Die Wiederherstellung des Fallbezugs und die Übermittlung von Daten sind zur Fallidentifizierung
erforderlich, wenn die Behandlung eines Versicherten nach klinisch-diagnostischer Einschätzung des
ersuchenden Leistungserbringers den fachlichen Austausch und Kontakt mit einem ersuchten
Leistungserbringer im Modellvorhaben erfordert, bei dem ein ähnlich gelagerter Fall vorliegt. Die
Wiederherstellung des Fallbezugs und die Übermittlung von Daten sind zur Information des behandelnden
Leistungserbringers eines Versicherten erforderlich, wenn sich aus Vorhaben, die unter Nutzung von
pseudonymisierten Einzeldatensätzen nach Absatz 11a durchgeführt wurden, Informationen ergeben, die
für die Versorgung eines Versicherten im Modellvorhaben relevant sind. Hierüber hat der jeweilige
Nutzungsberechtigte den Plattformträger unverzüglich zu informieren. Der Plattformträger hat mittels eines
entsprechenden Datendienstes die Information und die jeweils relevanten Pseudonyme unverzüglich an den
jeweiligen behandelnden Leistungserbringer zu übermitteln. Der Plattformträger und die Vertrauensstelle
haben im Einvernehmen mit zwei von den klinischen Krebsregistern der Länder nach § 65c zu
benennenden Vertretern dem Bundesministerium für Gesundheit bis zum 31. Mai 2025 ein Konzept zur
Verknüpfung und Verarbeitung von pseudonymisierten Daten des Modellvorhabens und der klinischen
Krebsregister der Länder nach § 65c vorzulegen. Der Plattformträger hat im Einvernehmen mit dem
Forschungsdatenzentrum und den beteiligten Vertrauensstellen dem Bundesministerium für Gesundheit bis
zum 31. Mai 2026 ein Konzept zur Verknüpfung und Verarbeitung von pseudonymisierten Daten des
Modellvorhabens und des Forschungsdatenzentrums vorzulegen.“
g) Absatz 10 wird durch die folgenden Absätze 10 bis 10c ersetzt:
„(10) Die Leistungserbringer übermitteln für die in Absatz 11 Satz 3 genannten Zwecke für jeden
teilnehmenden Versicherten
1. an die Vertrauensstelle die von ihnen erstellte Arbeitsnummer und die Krankenversichertennummer im
Sinne des § 290,
2. an ein Genomrechenzentrum die Vorgangsnummer und die Daten der Genomsequenzierung,
3. an einen klinischen Datenknoten die Vorgangsnummer, die klinischen Daten und die Daten der jeweiligen
Einwilligung.
Die klinischen Daten umfassen die Angaben zu Alter, Geschlecht und Kreisschlüssel, die Daten der
Phänotypisierung sowie die Daten zum Behandlungsverlauf. Für eine in Absatz 9c Satz 7 Nummer 1
genannte Fallidentifizierung übermittelt
1. der ersuchende Leistungserbringer an die Vertrauensstelle das über einen Datendienst breitgestellte
Genomdatensatz- oder Klinikdatensatzpseudonym,
2. der ersuchte Leistungserbringer an die Vertrauensstelle die nach Absatz 9c Satz 3 Nummer 4 generierte
zufällige Vorgangsnummer, die ihm vom ersuchenden Leistungserbringer mitgeteilt wurde.
Für eine in Absatz 9c Satz 7 Nummer 2 genannte Fallidentifizierung übermittelt der behandelnde
Leistungserbringer an die Vertrauensstelle die nach Absatz 9c Satz 11 vom Plattformträger übermittelten
relevanten Pseudonyme.
(10a) Qualifizierte Einrichtungen der wissenschaftlichen Forschung können Genomrechenzentren
einrichten. Ihr Einsatz im Modellvorhaben bedarf der Zulassung durch den Plattformträger gegenüber dem
Betreiber des Genomrechenzentrums. Absatz 9 Satz 3 gilt entsprechend. Die Genomrechenzentren haben
insbesondere
1. die ihnen nach Absatz 10 Satz 1 Nummer 2 übermittelten Daten auf ihre Datenqualität gemäß den
Anforderungen nach Absatz 9 Satz 4 Nummer 1 zu prüfen, zu speichern und die jeweiligen
Vorgangsnummern an die Vertrauensstelle zu übermitteln,
2. die gespeicherten Genomdaten mit den nach Absatz 9c Satz 3 Nummer 2 übermittelten
Genomdatensatzpseudonymen zu verknüpfen und zu speichern.
Die Genomrechenzentren haben die versichertenbezogenen Einzeldatensätze spätestens nach 100 Jahren
zu löschen. Der Zugang zu den in den Genomrechenzentren gespeicherten Daten erfolgt ausschließlich
nach den Vorgaben der Absätze 11 bis 11b. Kommt das Genomrechenzentrum seinen Verpflichtungen
nach Satz 4 nicht nach, kann der Plattformträger gegenüber dem Genomrechenzentrum Maßnahmen zur
Sicherstellung der Aufgabenwahrnehmung anordnen. Kommt das Genomrechenzentrum den Anordnungen
wiederholt nicht nach, kann der Plattformträger gegenüber dem Genomrechenzentrum den Ausschluss vom
Modellvorhaben anordnen.
(10b) Die Leistungserbringer richten klinische Datenknoten ein und betreiben diese oder schließen sich
dem klinischen Datenknoten eines anderen Leistungserbringers an. Ihr Einsatz im Modellvorhaben bedarf
der Zulassung durch den Plattformträger gegenüber dem Betreiber des klinischen Datenknotens. Absatz 9
Satz 3 gilt entsprechend. Die klinischen Datenknoten haben insbesondere
1. die ihnen nach Absatz 10 Satz 1 Nummer 3 übermittelten Daten auf ihre Datenqualität gemäß den
Anforderungen nach Absatz 9 Satz 4 Nummer 1 zu prüfen, zu speichern und die jeweiligen
Vorgangsnummern an die Vertrauensstelle zu übermitteln,
2. die gespeicherten klinischen Daten und Daten der Einwilligung mit den nach Absatz 9c Satz 3 Nummer 3
übermittelten Klinikdatensatzpseudonymen zu verknüpfen und zu speichern.
Die klinischen Datenknoten haben die versichertenbezogenen Einzeldatensätze spätestens nach 100 Jahren
zu löschen. Der Zugang zu den in den klinischen Datenknoten gespeicherten Daten erfolgt ausschließlich
nach den Vorgaben der Absätze 11 bis 11b. Kommt der klinische Datenknoten seinen Verpflichtungen nach
Satz 4 nicht nach, kann der Plattformträger gegenüber dem klinischen Datenknoten Maßnahmen zur
Sicherstellung der Aufgabenwahrnehmung anordnen. Kommt der klinische Datenknoten den Anordnungen
wiederholt nicht nach, kann der Plattformträger gegenüber dem klinischen Datenknoten den Ausschluss vom
Modellvorhaben anordnen.
(10c) Das Zugänglichmachen von Daten nach Absatz 11 und das Bereitstellen von Daten nach
Absatz 11a erfolgen über automatisierte, informationstechnische Lösungen (Datendienste). Absatz 9
Satz 3 gilt entsprechend. Der Einsatz der Datendienste im Modellvorhaben bedarf der Zulassung durch
den Plattformträger gegenüber dem Betreiber des Datendienstes.“
h) Absatz 11 wird durch die folgenden Absätze 11 bis 11b ersetzt:
„(11) Der Plattformträger macht die in den klinischen Datenknoten und Genomrechenzentren
gespeicherten Daten nach Maßgabe der Sätze 4 und 5 sowie der Absätze 11a und 11b den
Nutzungsberechtigten zugänglich. Nutzungsberechtigt sind natürliche und juristische Personen im
Anwendungsbereich der Verordnung (EU) 2016/679, soweit diese nach Satz 3 zur Verarbeitung der Daten
berechtigt sind. Die vom Plattformträger zugänglich gemachten Daten dürfen von den Nutzungsberechtigten
verarbeitet werden, soweit dies für folgende Zwecke erforderlich ist:
1. Verbesserung der Versorgung durch umfassende Diagnostik und Therapiefindung mittels einer
Genomsequenzierung,
2. Qualitätssicherung,
3. Evaluation des Modellvorhabens,
4. wissenschaftliche Forschung.
Liegen die Voraussetzungen nach den Sätzen 3 und 5 vor, stellt der Plattformträger dem
Nutzungsberechtigten auf Antrag die entsprechend den Anforderungen des Nutzungsberechtigten
ausgewählten Daten durch einen einmaligen oder wiederholten Zugang zu einem Datendienst
anonymisiert und aggregiert bereit. In dem Antrag hat der Nutzungsberechtigte nachvollziehbar
darzulegen, dass Umfang und Struktur der beantragten Daten geeignet und erforderlich sind, um eine von
ihm zur Untersuchung vorgesehene Frage zu beantworten.
(11a) Der Plattformträger kann einem Nutzungsberechtigten pseudonymisierte Einzeldatensätze
bereitstellen, wenn der antragstellende Nutzungsberechtigte nachvollziehbar darlegt, dass ein in Absatz 11
Satz 3 genannter Nutzungszweck dies erfordert. Für den in Absatz 11 Satz 3 Nummer 1 genannten Zweck
kann der Plattformträger dem Nutzungsberechtigten auf Antrag pseudonymisierte Einzeldatensätze über
einen Datendienst für eine wiederholte Nutzung bereitstellen. Der Plattformträger stellt einem
Nutzungsberechtigten die pseudonymisierten Einzeldatensätze für die Verarbeitung unter Kontrolle des
Plattformträgers bereit, soweit
1. gewährleistet ist, dass diese Daten nur solchen Personen bereitgestellt werden, die einer
Geheimhaltungspflicht unterliegen, und
2. durch geeignete technische und organisatorische Maßnahmen sichergestellt wird, dass die Verarbeitung
durch den Nutzungsberechtigten auf das erforderliche Maß beschränkt und insbesondere ein Kopieren
der Daten ausgeschlossen ist.
Der Plattformträger kann Personen, die keiner Geheimhaltungspflicht unterliegen, pseudonymisierte
Einzeldatensätze nach den Sätzen 1 und 2 bereitstellen, wenn sie vor dem Zugang zur Geheimhaltung
verpflichtet wurden. § 1 Absatz 2, 3 und 4 Nummer 2 des Verpflichtungsgesetzes gilt entsprechend.
(11b) Die Nutzungsberechtigten dürfen die nach den Absätzen 11 und 11a zugänglich gemachten oder
bereitgestellten Daten
1. nur für die Zwecke nutzen, für die sie zugänglich gemacht oder bereitgestellt werden, und
2. nicht an Dritte weitergeben, wenn nicht der Plattformträger auf Antrag eine Weitergabe an einen Dritten im
Rahmen eines in Absatz 11 Satz 3 genannten Nutzungszwecks genehmigt. Das Nähere zu den
Voraussetzungen einer in Satz 1 Nummer 2 genannten Genehmigung ist in der Geschäfts- und
Nutzungsordnung nach Absatz 9 Satz 6 festzulegen.
Die Nutzungsberechtigten informieren den Plattformträger über die Vorhaben, für die Daten beantragt
wurden, und deren Ergebnisse. Die Nutzungsberechtigten haben bei der Verarbeitung der nach den
Absätzen 11 und 11a zugänglich gemachten oder bereitgestellten Daten darauf zu achten, keinen Bezug
zu Personen oder Leistungserbringern herzustellen. Wird ein Bezug zu Personen oder Leistungserbringern
unbeabsichtigt hergestellt, so ist dies dem Plattformträger unverzüglich zu melden. Die vorsätzliche
Verarbeitung der bereitgestellten Daten zum Zwecke der Herstellung eines Personenbezugs, zum Zwecke
der Identifizierung von Leistungserbringern und zum Zwecke der bewussten Verschaffung von Kenntnissen
über fremde Betriebs- und Geschäftsgeheimnisse ist untersagt. Dies gilt nicht für den Fall einer in Absatz 9c
Satz 7 Nummer 1 genannten Fallidentifizierung durch die Vertrauensstelle. Wenn ein begründeter Verdacht
besteht, dass Nutzungsberechtigte die vom Plattformträger nach den Absätzen 11 und 11a zugänglich
gemachten oder bereitgestellten Daten in einer Art und Weise verarbeitet haben, die nicht den geltenden
datenschutzrechtlichen Vorschriften oder den Auflagen des Plattformträgers entsprechen, kann der
Plattformträger den Nutzungsberechtigten vom Datenzugang ausschließen. Der Ausschluss kann befristet
werden. Der Plattformträger informiert die zuständigen Datenschutzaufsichtsbehörden über jeden in Satz 8
genannten begründeten Verdacht einer rechtswidrigen Verarbeitung und über jeden Ausschluss eines
Nutzungsberechtigten vom Datenzugang.“
i) Absatz 12 wird wie folgt gefasst:
„(12) Das Bundesministerium für Gesundheit bestimmt im Benehmen mit dem Bundesministerium für
Bildung und Forschung durch Rechtsverordnung mit Zustimmung des Bundesrates das Nähere
1. zu Art und Umfang der nach den Absätzen 9 bis 11b zu übermittelnden Daten und zu den Fristen der
Datenübermittlung,
2. zur Datenverarbeitung durch die Leistungserbringer,
3. zum Verfahren der Pseudonymisierung und
4. zur technischen Ausgestaltung der Datenübermittlung nach den Absätzen 9 bis 11b.“
j) Absatz 13 Satz 1 wird wie folgt gefasst:
„§ 65 gilt mit der Maßgabe, dass der Bericht über die Ergebnisse der Auswertungen einen Vorschlag zur
Übernahme der Leistungen des Modellvorhabens in die Regelversorgung enthalten muss und die
wissenschaftliche Begleitung und Auswertung im Einvernehmen mit dem Bundesministerium für
Gesundheit zu erfolgen hat.“
4. § 84 wird wie folgt geändert:
a) Dem Absatz 5 wird folgender Satz angefügt:
„Der Spitzenverband Bund der Krankenkassen oder die von den Krankenkassen und dem Spitzenverband
Bund der Krankenkassen beauftragte Arbeitsgemeinschaft stellen dem Bundesministerium für Gesundheit
zur Wahrnehmung seiner Aufgaben auf Anforderung unverzüglich Auswertungen der in den Sätzen 1 bis 6
genannten Daten ohne Versichertenbezug und Arztbezug in maschinenlesbarer Form zur Verfügung.“
b) Dem Absatz 7 wird folgender Satz angefügt:
„Absatz 5 Satz 9 gilt entsprechend.“
5. In § 95d Absatz 1 Satz 1 werden nach den Wörtern „erforderlichen Fachkenntnisse“ ein Komma und die Wörter
„Fähigkeiten und Fertigkeiten“ eingefügt.
6. Dem § 267 wird folgender Absatz 8 angefügt:
„(8) Das Bundesamt für Soziale Sicherung stellt dem Bundesministerium für Gesundheit zur Wahrnehmung
seiner Aufgaben auf Anforderung unverzüglich Auswertungen der nach Absatz 1 Satz 1 an das Bundesamt für
Soziale Sicherung übermittelten Daten ohne Versichertenbezug in maschinenlesbarer Form zur Verfügung.“
7. Dem § 269 wird folgender Absatz 9 angefügt:
„(9) Das Bundesamt für Soziale Sicherung stellt dem Bundesministerium für Gesundheit zur Wahrnehmung
seiner Aufgaben auf Anforderung unverzüglich Auswertungen der nach Absatz 5 Satz 1 Nummer 5 an das
Bundesamt für Soziale Sicherung übermittelten Daten ohne Versichertenbezug in maschinenlesbarer Form
zur Verfügung.“
8. § 287 Absatz 2 wird wie folgt gefasst:
„(2) Die nach Absatz 1 verarbeiteten Daten sind zu anonymisieren, soweit und sobald dies nach dem
Forschungszweck des jeweiligen Forschungsvorhabens möglich ist.“
9. § 287a wird aufgehoben.
10. § 295 wird wie folgt geändert:
a) In Absatz 1b Satz 1 werden die Wörter „über Modellvorhaben nach § 64e,“ gestrichen.
b) Dem Absatz 3 wird folgender Satz angefügt:
„Der Spitzenverband Bund der Krankenkassen oder eine von ihm beauftragte Stelle stellt dem
Bundesministerium für Gesundheit zur Wahrnehmung seiner Aufgaben auf Anforderung unverzüglich
Auswertungen der nach Absatz 2 und der Vereinbarung nach Satz 1 Nummer 4 an den Spitzenverband
Bund der Krankenkassen oder eine von ihm beauftragte Stelle übermittelten statistischen Daten ohne
Versichertenbezug und Arztbezug in maschinenlesbarer Form zur Verfügung.“
11. Nach § 295a wird folgender § 295b eingefügt:
㤠295b
Vorabübermittlung vorläufiger Daten zur Abrechnung bei ärztlichen Leistungen
(1) Ergänzend zu der Verpflichtung zur Datenübermittlung zu Abrechnungszwecken nach § 295 Absatz 2
sind die in § 295 Absatz 2 Satz 1 genannten Daten nach Maßgabe der Absätze 2 bis 4 von den
Kassenärztlichen Vereinigungen vorab an die Krankenkassen zur Weiterleitung nach § 303b zu übermitteln,
ohne dass zuvor eine Bereinigung der Daten im Zuge der Abrechnungsprüfung nach § 106d vorzunehmen ist.
(2) Die Übermittlung der unbereinigten Daten nach Absatz 1 erfolgt nach § 295 Absatz 2 in der dort
vorgegebenen Struktur.
(3) Die Datenübermittlung nach Absatz 1 hat spätestens vier Wochen nach Ende des jeweiligen Quartals zu
erfolgen.
(4) Die nach Absatz 1 übermittelten Daten werden im Rahmen der Datenzusammenführung und
-übermittlung nach § 303b über den Spitzenverband Bund der Krankenkassen als Datensammelstelle und die
Vertrauensstelle nach § 303c an das Forschungsdatenzentrum übermittelt und dort für die Zwecke nach § 303e
Absatz 2 mit dem Hinweis, dass es sich um unbereinigte Daten im Rahmen einer Vorabübermittlung handelt,
zugänglich gemacht. Das Forschungsdatenzentrum hat die nach Absatz 1 übermittelten Daten zu löschen,
sobald ihm die bereinigten Daten nach § 303b übermittelt worden sind. Auf die Nutzung unbereinigter Daten
der Vorabübermittlung ist auch bei Publikation von Forschungsergebnissen in transparenter Form hinzuweisen.
(5) Der Spitzenverband Bund der Krankenkassen nimmt auf Anforderung des Bundesministeriums für
Gesundheit unverzüglich statistische Auswertungen der ihm nach Absatz 4 übermittelten Daten ohne
Versichertenbezug und Arztbezug vor und stellt dem Bundesministerium für Gesundheit die Ergebnisse der
Auswertung zur Wahrnehmung seiner Aufgaben in maschinenlesbarer Form zur Verfügung.“
12. Dem § 302 Absatz 5 wird folgender Satz angefügt:
„Der Spitzenverband Bund der Krankenkassen stellt dem Bundesministerium für Gesundheit zur Wahrnehmung
seiner Aufgaben auf Anforderung unverzüglich Auswertungen der ihm nach Satz 3 übermittelten Informationen
ohne Versichertenbezug und Einrichtungsbezug in maschinenlesbarer Form zur Verfügung.“
13. § 303a wird wie folgt geändert:
a) In Absatz 2 Satz 2 werden die Wörter „unterliegen dem Sozialgeheimnis nach § 35 des Ersten Buches und“
gestrichen.
b) In Absatz 3 werden die Wörter „Die Kosten“ durch die Wörter „Die jeweiligen Kosten“ ersetzt und werden
nach den Wörtern „die Krankenkassen“ die Wörter „und Pflegekassen jeweils“ eingefügt.
c) Absatz 4 wird wie folgt geändert:
aa) In Nummer 1 werden die Wörter „und zu den Fristen der Datenübermittlung nach § 303b Absatz 1 Satz 1“
gestrichen.
bb) In Nummer 4 werden nach den Wörtern „nach § 303d Absatz 1“ die Wörter „einschließlich der
Reihenfolge der Bearbeitung von Anträgen nach Dringlichkeit“ eingefügt.
cc) Nummer 5 wird aufgehoben.
dd) Die Nummern 6 und 7 werden die Nummern 5 und 6.
14. § 303b wird wie folgt geändert:
a) Der Überschrift werden ein Semikolon und das Wort „Verordnungsermächtigung“ angefügt.
b) Absatz 1 wird wie folgt geändert:
aa) Satz 1 wird wie folgt geändert:
aaa) In dem Satzteil vor Nummer 1 werden nach den Wörtern „übermitteln die Krankenkassen“ die
Wörter „und die Pflegekassen bis spätestens zehn Wochen nach Quartalsende“ eingefügt.
bbb) In Nummer 3 werden die Wörter „nach den §§ 295, 295a, 300, 301, 301a und 302“ durch die Wörter
„nach den §§ 295, 295a, 295b, 300, 301, 301a und 302 sowie nach § 105 des Elften Buches“
ersetzt.
ccc) In Nummer 4 werden nach den Wörtern „Angaben zum Vitalstatus“ ein Komma und die Wörter
„Grad der Pflegebedürftigkeit nach § 15 des Elften Buches“ eingefügt.
bb) Satz 2 wird durch die folgenden Sätze ersetzt:
„Im Rahmen der Datenübermittlung nach Satz 1 übermitteln die Krankenkassen und Pflegekassen
jeweils diejenigen in Satz 1 genannten Daten, die ihnen für das jeweils vergangene Kalenderquartal
und für die diesem vergangenen Kalenderquartal vorangegangenen drei Kalenderquartale vorliegen.
Das Forschungsdatenzentrum löscht die nach Satz 1 übermittelten Daten zu einem Kalenderquartal,
sobald ihnen nach Satz 1 erneut Daten zu diesem Kalenderquartal übermittelt werden. Abweichend
von Satz 3 dürfen Daten zu einem Kalenderquartal, zu dem erneut Daten übermittelt wurden, durch
Nutzungsberechtigte und durch das Forschungsdatenzentrum weiterhin verarbeitet werden, wenn die
Daten einem Nutzungsberechtigten bereits auf dessen Antrag hin nach § 303e zugänglich gemacht
wurden und die Verarbeitung im Rahmen dieses Antrags erfolgt. Das Nähere zur technischen
Ausgestaltung der Datenübermittlung regelt der Spitzenverband Bund der Krankenkassen. Das
Bundesministerium für Gesundheit wird ermächtigt, durch Rechtsverordnung mit Zustimmung des
Bundesrates zu bestimmen, dass die Datenübermittlung nach Satz 1, abweichend von Satz 1, zu
einem anderen Zeitpunkt zu erfolgen hat. Die Datenübermittlung nach Satz 1 erfolgt erstmals für das
erste Kalenderquartal des Jahres 2025.“
c) In Absatz 3 Satz 3 werden die Wörter „spätestens bis zum 31. Dezember 2021“ gestrichen.
15. Dem § 303c wird folgender Absatz 4 angefügt:
„(4) Die Vertrauensstelle wirkt bei der Verknüpfung und Verarbeitung von Gesundheitsdaten nach § 4 des
Gesundheitsdatennutzungsgesetzes mit. Sie ist befugt, die für diesen Zweck erforderlichen Daten zu
verarbeiten.“
16. § 303d wird wie folgt geändert:
a) Absatz 1 wird wie folgt geändert:
aa) In Nummer 4 werden nach dem Wort „die“ die Wörter „für Zwecke nach § 303e Absatz 2“ eingefügt.
bb) In Nummer 9 wird das Wort „sowie“ durch ein Komma ersetzt.
cc) In Nummer 10 wird der Punkt am Ende durch das Wort „und“ ersetzt.
dd) Folgende Nummer 11 wird angefügt:
„11. die Daten im Rahmen der Mitwirkung bei der Verknüpfung und Verarbeitung von Gesundheitsdaten
nach § 4 des Gesundheitsdatennutzungsgesetzes zu verarbeiten.“
b) Absatz 2 wird wie folgt geändert:
aa) In Satz 1 werden die Wörter „der Nutzungsberechtigten“ durch die Wörter „zur Sekundärnutzung von
Versorgungsdaten“ ersetzt.
bb) Folgender Satz wird angefügt:
„An dem Arbeitskreis nach Satz 1 sind zu beteiligen:
1. die maßgeblichen Verbände der Selbstverwaltung im Gesundheitswesen und in der Pflege,
2. Institutionen der Gesundheits- und Versorgungsforschung, Bundes- und Landesbehörden,
3. maßgebliche Bundesorganisationen für die Wahrnehmung der Interessen von Patientinnen und
Patienten und der Selbsthilfe chronisch kranker Menschen sowie von Menschen mit Behinderung und
4. die auf Bundesebene maßgeblichen Organisationen für die Wahrnehmung der Interessen und der
Selbsthilfe pflegebedürftiger und behinderter Menschen nach § 118 des Elften Buches.“
c) In Absatz 3 wird die Angabe „30 Jahren“ durch die Angabe „100 Jahren“ ersetzt.
17. § 303e wird wie folgt geändert:
a) Die Absätze 1 und 2 werden wie folgt gefasst:
„(1) Das Forschungsdatenzentrum macht die ihm vom Spitzenverband Bund der Krankenkassen und von
der Vertrauensstelle übermittelten Daten nach Maßgabe der Absätze 2 bis 6 den in Satz 2 genannten
Nutzungsberechtigten auf Antrag zugänglich. Nutzungsberechtigt sind natürliche und juristische Personen
im Anwendungsbereich der Verordnung (EU) 2016/679, soweit diese nach Absatz 2 zur Verarbeitung der
Daten berechtigt sind.
(2) Die dem Forschungsdatenzentrum übermittelten Daten dürfen von den Nutzungsberechtigten
verarbeitet werden, soweit dies für folgende Zwecke erforderlich ist:
1. Wahrnehmung von Steuerungsaufgaben durch die Kollektivvertragspartner,
2. Verbesserung der Qualität der Versorgung sowie Verbesserung der Sicherheitsstandards der Prävention,
Versorgung und Pflege,
3. Planung von Leistungsressourcen, zum Beispiel Krankenhausplanung oder Pflegestrukturplanungs
empfehlungen nach § 8a Absatz 4 des Elften Buches,
4. wissenschaftliche Forschung zu Fragestellungen aus den Bereichen Gesundheit und Pflege, Analysen
des Versorgungsgeschehens, sowie Grundlagenforschung im Bereich der Lebenswissenschaften,
5. Unterstützung politischer Entscheidungsprozesse zur Weiterentwicklung der gesetzlichen Kranken- und
Pflegeversicherung,
6. Analysen zur Wirksamkeit sektorenübergreifender Versorgungsformen sowie zur Wirksamkeit von
Einzelverträgen der Kranken- und Pflegekassen,
7. Wahrnehmung von Aufgaben der Gesundheitsberichterstattung, anderer Berichtspflichten des Bundes
nach diesem oder dem Elften Buch und der amtlichen Statistik sowie Berichtspflichten der Länder,
8. Wahrnehmung gesetzlicher Aufgaben in den Bereichen öffentliche Gesundheit und Epidemiologie,
9. Entwicklung, Weiterentwicklung und Überwachung der Sicherheit von Arzneimitteln, Medizinprodukten,
Untersuchungs- und Behandlungsmethoden, Hilfs- und Heilmitteln, digitalen Gesundheits- und
Pflegeanwendungen sowie Systemen der Künstlichen Intelligenz im Gesundheitswesen einschließlich
des Trainings, der Validierung und des Testens dieser Systeme der Künstlichen Intelligenz oder
10. Nutzenbewertung von Arzneimitteln, Medizinprodukten, Untersuchungs- und Behandlungsmethoden,
Hilfs- und Heilmitteln sowie digitalen Gesundheits- und Pflegeanwendungen, Verhandlung von
Vergütungsbeträgen oder Festlegung von Höchstbeträgen und Schwellenwerten nach § 134 sowie
Vereinbarung oder Festsetzung von Erstattungsbeträgen von Arzneimitteln nach § 130b.“
b) Absatz 3 wird wie folgt geändert:
aa) In Satz 2 werden die Wörter „die zu untersuchende Frage zu beantworten“ durch die Wörter „die
angestrebten Zwecke nach Absatz 2 zu erfüllen“ ersetzt.
bb) Nach Satz 2 wird folgender Satz eingefügt:
„Das Forschungsdatenzentrum kann einen Antrag dem Arbeitskreis nach § 303d Absatz 2 mit einer Bitte
um Stellungnahme zu der Plausibilität des Antrags innerhalb von höchstens vier Wochen vorlegen.“
c) Nach Absatz 3 wird folgender Absatz 3a eingefügt:
„(3a) Das Forschungsdatenzentrum lehnt einen Antrag nach Absatz 3 ab, wenn
1. durch das Zugänglichmachen der beantragten Daten ein unangemessenes Risiko für die öffentliche
Sicherheit und Ordnung oder den Schutz personenbezogener Daten entstehen würde und dieses Risiko
nicht durch Auflagen und weitere Maßnahmen ausreichend minimiert werden kann,
2. der begründete Verdacht besteht, die Daten könnten für einen anderen Zweck als die in Absatz 2
genannten Zwecke verarbeitet werden,
3. die Bearbeitung eines oder mehrerer Anträge des gleichen Nutzungsberechtigten die Kapazitäten des
Forschungsdatenzentrums unverhältnismäßig bindet und dadurch die Arbeitsfähigkeit des
Forschungsdatenzentrums gefährdet.
Die Nutzung der nach Absatz 3 oder Absatz 4 zugänglich gemachten Daten ist insbesondere für folgende
Zwecke verboten:
1. Entscheidungen hinsichtlich des Abschlusses oder der Ausgestaltung eines Versicherungsvertrags mit
Bezug auf eine natürliche Person oder eine Gruppe natürlicher Personen,
2. Treffen von Entscheidungen zum Nachteil einer natürlichen Person auf der Grundlage ihrer elektronischen
Gesundheitsdaten,
3. Entwicklung von Produkten oder Dienstleistungen, die Einzelpersonen oder der Gesellschaft insgesamt
schaden können, insbesondere illegale Drogen, alkoholische Getränke und Tabakerzeugnisse,
4. Nutzung der Daten für Marktforschung, Werbung und Vertriebstätigkeiten für Arzneimittel,
Medizinprodukte und sonstige Produkte.“
d) In Absatz 4 Satz 2 werden nach den Wörtern „ohne Sichtbarmachung der Pseudonyme“ die Wörter „mit einer
temporären Arbeitsnummer“ eingefügt.
e) Nach Absatz 4 wird folgender Absatz 4a eingefügt:
„(4a) Das Forschungsdatenzentrum kann entsprechend den Anforderungen der Nutzungsberechtigten die
in Absatz 4 genannten pseudonymisierten Einzeldatensätze mit pseudonymisierten Daten von gesetzlich
geregelten medizinischen Registern, die unter Bundesverwaltung stehen, verknüpfen und die so
verknüpften Datensätze einem Nutzungsberechtigten für die in Absatz 2 Nummer 4 genannten Zwecke
bereitstellen. Eine Verknüpfung nach Satz 1 ist nur zulässig, soweit
1. die Voraussetzungen nach den Absätzen 4 und 5 erfüllt sind,
2. die Verknüpfung für die zu untersuchende Forschungsfrage erforderlich ist,
3. der Nutzungsberechtigte dem Forschungsdatenzentrum nachweist, dass die zu verknüpfenden Daten des
gesetzlich geregelten medizinischen Registers von dem Nutzungsberechtigten entsprechend den
anwendbaren rechtlichen Anforderungen für den jeweiligen in Absatz 2 Nummer 4 genannten Zweck
verarbeitet werden dürfen, und
4. schutzwürdige Interessen der betroffenen Person nicht beeinträchtigt werden oder das öffentliche
Interesse an der wissenschaftlichen Forschung das Geheimhaltungsinteresse der betroffenen Person
überwiegt und das spezifische Re-Identifikationsrisiko in Bezug auf die zu verknüpfenden Daten
bewertet und unter angemessener Wahrung des angestrebten wissenschaftlichen Nutzens durch
geeignete Maßnahmen minimiert worden ist.
Das Bundesministerium für Gesundheit wird im Benehmen mit dem Bundesministerium für Bildung und
Forschung ermächtigt, durch Rechtsverordnung ohne Zustimmung des Bundesrates das Nähere zu regeln
1. zu dem technischen Verfahren zur Verknüpfung der Daten, einschließlich der hierfür erforderlichen
Datenverarbeitung, und
2. zu der Auswahl jener gesetzlich geregelten medizinischen Register, deren Daten nach Satz 1 verknüpft
werden dürfen.“
f) Absatz 5 wird wie folgt geändert:
aa) In Satz 1 Nummer 2 wird das Wort „Weitergabe“ durch die Wörter „Bereitstellung der beantragten Daten“
ersetzt.
bb) In Satz 3 wird nach dem Wort „Forschungsdatenzentrum“ das Wort „unverzüglich“ eingefügt.
g) Nach Absatz 5 wird folgender Absatz 5a eingefügt:
„(5a) Ergeben sich konkrete Anhaltspunkte dafür, dass Antragstellende oder Nutzungsberechtigte die vom
Forschungsdatenzentrum nach Absatz 3 oder Absatz 4 zugänglich gemachten Daten in einer Art und Weise
verarbeitet haben, die nicht den geltenden datenschutzrechtlichen Vorschriften oder den Auflagen des
Forschungsdatenzentrums entspricht, kann das Forschungsdatenzentrum diese Anhaltspunkte der
zuständigen Datenschutzaufsichtsbehörde und dem Arbeitskreis zur Sekundärnutzung nach § 303d
Absatz 2 zur Stellungnahme mit Fristsetzung von zehn Arbeitstagen vorlegen. Darüber ist der Antragsteller
oder Nutzungsberechtigte zu informieren. Während dieser Frist ruht der Zugang des Antragstellenden oder
Nutzungsberechtigten zu den Daten des Forschungsdatenzentrums.“
h) Absatz 6 Satz 1 wird wie folgt gefasst:
„Stellt die zuständige Datenschutzaufsichtsbehörde fest, dass Nutzungsberechtigte die vom
Forschungsdatenzentrum nach Absatz 3 oder Absatz 4 zugänglich gemachten Daten in einer Art und
Weise verarbeitet haben, die nicht den geltenden datenschutzrechtlichen Vorschriften oder den
diesbezüglichen Auflagen des Forschungsdatenzentrums entspricht, und hat sie wegen eines solchen
Verstoßes eine Maßnahme nach Artikel 58 Absatz 2 Buchstabe b bis j der Verordnung (EU) 2016/679
gegenüber dem Nutzungsberechtigten ergriffen, informiert sie das Forschungsdatenzentrum.“
18. In § 303f Absatz 1 Satz 3 werden nach den Wörtern „Die Krankenkassen,“ die Wörter „die Pflegekassen,“
eingefügt.
19. § 363 wird wie folgt geändert:
a) Der Überschrift werden ein Semikolon und das Wort „Verordnungsermächtigung“ angefügt.
b) Die Absätze 1 und 2 werden wie folgt gefasst:
„(1) Die Daten der elektronischen Patientenakte werden für die in § 303e Absatz 2 aufgeführten Zwecke
zugänglich gemacht, soweit Versicherte nicht der Datenübermittlung nach Absatz 5 widersprochen haben.
(2) Die Daten nach Absatz 1 werden automatisiert an das Forschungsdatenzentrum nach § 303d
übermittelt. Es werden ausschließlich Daten übermittelt, die zuverlässig automatisiert pseudonymisiert
wurden. Die Übermittlung wird in der elektronischen Patientenakte dokumentiert.“
c) Absatz 3 wird wie folgt geändert:
aa) Satz 1 wird wie folgt geändert:
aaa) In dem Satzteil vor Nummer 1 werden die Wörter „pseudonymisieren und verschlüsseln die mit der
informierten Einwilligung“ durch die Wörter „sind verantwortlich für die Pseudonymisierung und
Verschlüsselung der“ ersetzt und wird das Wort „freigegebenen“ durch die Wörter „zu
übermittelnden“ ersetzt.
bbb) In Nummer 2 wird das Wort „freigegebenen“ durch die Wörter „zu übermittelnden“ ersetzt.
bb) In Satz 3 wird das Wort „freigegebenen“ durch die Wörter „nach Absatz 2 übermittelten“ ersetzt.
d) In Absatz 4 Satz 1 wird das Wort „freigegebenen“ durch das Wort „übermittelten“ ersetzt und werden die
Wörter „Nummer 6, 7, 8, 10, 13, 14, 15 und 16“ gestrichen.
e) Absatz 5 wird wie folgt gefasst:
„(5) Versicherte können der Übermittlung von Daten nach den Absätzen 1 und 2 gegenüber den nach
§ 341 Absatz 4 für die Datenverarbeitung in der elektronischen Patientenakte Verantwortlichen jederzeit
widersprechen. Der Widerspruch wird über die Benutzeroberfläche eines geeigneten Endgeräts oder
gegenüber der Ombudsstelle gemäß § 342a erklärt. Der Widerspruch kann auf bestimmte Zwecke nach
§ 303e Absatz 2 beschränkt werden. Ein getätigter Widerspruch wird in der elektronischen Patientenakte
mit Datum und Uhrzeit dokumentiert.“
f) Absatz 6 wird wie folgt geändert:
aa) In Satz 1 werden die Wörter „Widerrufs der informierten Einwilligung nach Absatz 2“ durch die Wörter
„Widerspruchs nach Absatz 5“ ersetzt.
bb) In Satz 3 werden die Wörter „zum Widerruf der Einwilligung nach Absatz 2“ durch die Wörter „zur
Erklärung des Widerspruchs nach Absatz 5“ ersetzt.
cc) Satz 5 wird aufgehoben.
g) Absatz 7 Nummer 2 wird durch die folgenden Nummern 2 und 3 ersetzt:
„2. den technischen und organisatorischen Einzelheiten der Datenfreigabe, der Datenübermittlung, der
Pseudonymisierung und des Widerspruchs nach den Absätzen 2, 3, 5 und 6,
3. den Anforderungen an eine automatisierte Pseudonymisierung zu übermittelnder Daten nach Absatz 2
Satz 2.“
h) Absatz 8 wird wie folgt geändert:
aa) Das Wort „Datenfreigabe“ wird durch das Wort „Datenübermittlung“ ersetzt.
bb) Folgender Satz wird angefügt:
„Das Bundesministerium für Gesundheit wird ermächtigt, im Benehmen mit dem Bundesministerium für
Bildung und Forschung und ohne Zustimmung des Bundesrates durch Rechtsverordnung das Nähere
zum technischen Verfahren bei der Ausleitung von Daten aus der elektronischen Patientenakte nach
Satz 1 und der Zurverfügungstellung für die in Satz 1 genannten Forschungsvorhaben und -bereiche
zu regeln.“
20. § 397 Absatz 1 wird wie folgt geändert:
a) Der Nummer 1 wird folgende Nummer 1 vorangestellt:
„1. entgegen § 25b Absatz 7 einen Versicherten bevorzugt oder benachteiligt,“.
b) Die bisherigen Nummern 1 bis 4 werden die Nummern 2 bis 5.
21. § 399 Absatz 1 wird wie folgt geändert:
a) In Nummer 1 werden die Wörter „Absatz 11 Satz 2 Nummer 2“ durch die Wörter „Absatz 11b Satz 1
Nummer 2“ ersetzt.
b) In Nummer 2 werden die Wörter „Absatz 11 Satz 5“ durch die Wörter „Absatz 11b Satz 6“ ersetzt.
Artikel 4
Änderung des Zehnten Buches Sozialgesetzbuch
In § 75 Absatz 4 Satz 1 des Zehnten Buches Sozialgesetzbuch – Sozialverwaltungsverfahren und
Sozialdatenschutz – in der Fassung der Bekanntmachung vom 18. Januar 2001 (BGBl. I S. 130), das zuletzt
durch Artikel 7a des Gesetzes vom 22. Dezember 2023 (BGBl. 2023 I Nr. 408) geändert worden ist, werden nach
den Wörtern „die weitere Verarbeitung“ ein Komma und die Wörter „einschließlich einer Verarbeitung von
Sozialdaten mit weiteren Daten,“ eingefügt.
Artikel 5
Änderung des Elften Buches Sozialgesetzbuch
§ 94 Absatz 1 des Elften Buches Sozialgesetzbuch – Soziale Pflegeversicherung – (Artikel 1 des Gesetzes vom
26. Mai 1994, BGBl. I S. 1014, 1015), das zuletzt durch Artikel 5 des Gesetzes vom 22. März 2024 (BGBl. 2024 I
Nr. 101) geändert worden ist, wird wie folgt geändert:
1. Der Nummer 11 wird ein Komma angefügt.
2. Nach Nummer 11 wird folgende Nummer 12 eingefügt:
„12. Auswertungen nach § 25b des Fünften Buches“.
Artikel 6
Inkrafttreten
(1) Dieses Gesetz tritt vorbehaltlich des Absatzes 2 am Tag nach der Verkündung in Kraft.
(2) Artikel 3 Nummer 3, 10 Buchstabe a und Nummer 20 tritt am 31. März 2024 in Kraft.
Die verfassungsmäßigen Rechte des Bundesrates sind gewahrt.
Das vorstehende Gesetz wird hiermit ausgefertigt. Es ist im Bundesgesetzblatt zu verkünden.
Berlin, den 22. März 2024
Der Bundespräsident
Steinmeier
Der Bundeskanzler
Olaf Scholz
Der Bundesminister für Gesundheit
Karl Lauterbach
Die Bundesministerin
für Bildung und Forschung
B. Stark-Watzinger
Herausgeber: Bundesministerium der Justiz
Herkunft dieses Textes
Quelle: Bundesgesetzblatt, BGBl. 2024 I Nr. 102. Gesetze, Verordnungen und amtliche Bekanntmachungen sind amtliche Werke (§ 5 Abs. 1 UrhG) und genießen keinen Urheberrechtsschutz. Der Text ist unverändert wiedergegeben (§ 62 UrhG); Herkunft und Prüfwerte stehen hier (§ 63 UrhG).
Ableitung: pdf-layout ·
Prüfwert des Textes d2bb3ac5126d5cad….