2014/287/EU: Durchführungsbeschluss der Kommission vom 10. März 2014 zur Festlegung von Kriterien für die Einrichtung europäischer Referenznetzwerke, für die Evaluierung dieser Netzwerke und ihrer Mitglieder und zur Erleichterung des Austauschs von Informationen und Fachwissen in Bezug auf die Einrichtung und Evaluierung solcher Netzwerke Text von Bedeutung für den EWR

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

us Namen, Geschlecht, Geburtsdatum und -ort sowie sonstigen personenbezogenen Daten bestehen, die für die Diagnose und Behandlung erforderlich sind, werden innerhalb der europäischen Referenznetzwerke ausschließlich über das CPMS ausgetauscht und verarbeitet. Die Verarbeitung beschränkt sich darauf, die medizinische Bewertung eines Patientendossiers für Diagnose und Behandlung zu erleichtern, die Daten in Register und andere Datenbanken für komplexe Erkrankungen, die selten sind und eine niedrige Prävalenz aufweisen, aufzunehmen, die der wissenschaftlichen Forschung bzw. klinischen oder gesundheitspolitischen Zwecken dienen, sowie auf die Kontaktaufnahme mit potenziellen Teilnehmern wissenschaftlicher Forschungsinitiativen. Sie beruht auf einer im Einklang mit Anhang IV erteilten Einwilligung. (2) Die Kommission gilt als Verantwortliche für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Verwaltung von Zugangsrechten und verarbeitet diese Daten auf der Grundlage der ausdrücklichen Einwilligung der von den Gesundheitsdienstleistern als Nutzer identifizierten und vom betreffenden europäischen Referenznetzwerk befugten Personen, soweit dies erforderlich ist, um sicherzustellen, dass a) diesen Personen Zugangsrechte gewährt werden, b) diese Personen ihre Rechte ausüben und ihren Verpflichtungen nachkommen können, und c) sie ihren Verpflichtungen als für die Verarbeitung Verantwortliche nachkommen kann. (3) Die Kommission greift nicht auf personenbezogene Patientendaten zu, es sei denn, dies ist zur Erfüllung ihrer Verpflichtungen als gemeinsam für die Verarbeitung Verantwortliche unbedingt notwendig. (4) Nur Personen, die von europäischen Referenznetzen befugt wurden und zu den Personalgruppen und anderen Personen gehören, die mit den CPMS-zugangsberechtigten Gesundheitsdienstleistern assoziiert sind, dürfen Zugang zu personenbezogenen Patientendaten im CPMS erhalten. (5) Der Name des Patienten/der Patientin sowie Geburtsort und genaues Geburtsdatum werden im CPMS verschlüsselt und pseudonymisiert. Weitere personenbezogene Daten, die für die Diagnose und Behandlung erforderlich sind, werden pseudonymisiert. CPMS-Nutzern anderer Gesundheitsdienstleister werden nur pseudonymisierte Daten für Paneldiskussionen und die Bewertung von Patientendossiers zur Verfügung gestellt. (6) Die Kommission stellt die sichere Übermittlung und das sichere Hosting personenbezogener Daten sicher. (7) CPMS-zugangsberechtigte Gesundheitsdienstleister löschen Daten, die nicht mehr erforderlich sind. Personenbezogene Daten von Patienten werden nur so lange gespeichert, wie dies im Interesse der Patientenversorgung, der Diagnose von Erkrankungen oder der Sicherstellung der Betreuung von Familienangehörigen des Patienten/der Patientin innerhalb eines europäischen Referenznetzwerkes erforderlich ist. Jeder CPMS-zugangsberechtigte Gesundheitsdienstleister prüft mindestens alle fünfzehn Jahre die Notwendigkeit der Aufbewahrung der Patientendaten, für die er verantwortlich ist. (8) Die Wirksamkeit technischer und organisatorischer Maßnahmen zur Gewährleistung der Sicherheit bei der Verarbeitung personenbezogener Daten im CPMS wird von der Kommission und den CPMS-zugangsberechtigten Gesundheitsdienstleistern regelmäßig geprüft, beurteilt und bewertet. Artikel 16c Gemeinsame Verantwortung für die Verarbeitung personenbezogener Patientendaten im CPMS (1) Jeder Gesundheitsdienstleister, der Patientendaten im CPMS verarbeitet, und die Kommission übernehmen gemeinsam die Verantwortung für die Verarbeitung dieser Daten im CPMS. (2) Für die Zwecke des Absatzes 1 werden die Verpflichtungen gemäß Anhang III zwischen den gemeinsam für die Verarbeitung Verantwortlichen aufgeteilt. (3) Jeder der gemeinsam für die Verarbeitung Verantwortlichen befolgt die einschlägigen Rechtsvorschriften der Union und die nationalen Rechtsvorschriften, denen der jeweilige für die Verarbeitung Verantwortliche unterliegt. ▼B KAPITEL V SCHLUSSBESTIMMUNGEN Artikel 17 Überprüfung Fünf Jahre nach dem Inkrafttreten dieses Durchführungsbeschlusses evaluiert die Kommission dessen Durchführung. Artikel 18 Inkrafttreten Dieser Beschluss tritt am zehnten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. ANHANG I INHALT DER BEWERBUNG ZUR EINRICHTUNG EINES NETZWERKS Die Bewerbung zur Einrichtung eines Netzwerks ist gemäß den Bedingungen der von der Kommission veröffentlichten Aufforderung zur Interessenbekundung einzureichen und muss Folgendes enthalten: a) Name des vorgeschlagenen Netzwerks; b) ausgefülltes Antragsformular einschließlich des Fragebogens zur Selbstbewertung und zusätzlicher im Bewertungshandbuch geforderter Unterlagen; c) Nachweise dafür, dass sämtliche Gesundheitsdienstleister im gleichen Fachgebiet tätig sind und sich mit dem gleichen Gesundheitsproblem bzw. den gleichen Gesundheitsproblemen befassen; d) Namen des Gesundheitsdienstleisters, der als Koordinator des Netzwerks fungiert, und Name und Kontaktdaten der Person, die den vorgeschlagenen Koordinator vertritt; e) Namen sämtlicher sich bewerbender Gesundheitsdienstleister. ANHANG II INHALT DER BEWERBUNG UM MITGLIEDSCHAFT Die Bewerbung um Mitgliedschaft eines Gesundheitsdienstleisters muss Folgendes enthalten: a) Name des betreffenden vorgeschlagenen Netzwerks bzw. des bestehenden Netzwerks; b) ausgefülltes Antragsformular einschließlich des Fragebogens zur Selbstbewertung und zusätzlicher im Bewertungshandbuch geforderter Unterlagen; c) Name und Kontaktdaten des Vertreters des Gesundheitsdienstleisters. ▼M1 ANHANG III AUFTEILUNG DER VERPFLICHTUNGEN ZWISCHEN DEN GEMEINSAM FÜR DIE VERARBEITUNG VERANTWORTLICHEN (1) Die Kommission ist zuständig i) für Einrichtung, Betrieb und Verwaltung des CPMS; ii) dafür, den Gesundheitsdienstleistern die technischen Mittel bereitzustellen, damit sie die Patienten in die Lage versetzen können, ihre Rechte über das CPMS gemäß der Verordnung (EU) 2018/1725 geltend zu machen, und Anträge betroffener Personen zu beantworten sowie Ersuchen nachzukommen, wenn dies nach den geltenden Rechtsvorschriften erforderlich ist; iii) dafür, sicherzustellen, dass das CPMS den Anforderungen an Kommunikations- und Informationssysteme der Kommission ( 1 ) genügt; iv) für die Festlegung und den Einsatz der technischen Mittel, die es den Patienten ermöglichen, ihre Rechte im Einklang mit der Verordnung (EU) 2018/1725 geltend zu machen; v) für die Benachrichtigung der Gesundheitsdienstleister über etwaige Verletzungen des Schutzes personenbezogener Daten im Rahmen des CPMS; vi) den Export von Sätzen personenbezogener Daten aus dem CPMS im Falle eines Wechsels des Verarbeiters der personenbezogenen Daten; vii) für die Identifizierung der Personalgruppen und anderen Personen, die mit den CPMS-zugangsberechtigten Gesundheitsdienstleistern assoziiert sind und denen der Zugang zum CPMS gewährt werden kann; viii) dafür, sicherzustellen, dass der Name und der Geburtsort der Patienten (sofern nicht für die Diagnose und Behandlung erforderlich) und das genaue Geburtsdatum verschlüsselt und pseudonymisiert und die weiteren personenbezogenen Daten, die für die Diagnose und Behandlung erforderlich sind, im CPMS pseudonymisiert werden; ix) für die Schaffung geeigneter Garantien zur Gewährleistung der Sicherheit und Vertraulichkeit der über das CPMS verarbeiteten personenbezogenen Patientendaten. (2) Jeder CPMS-zugangsberechtigte Gesundheitsdienstleister ist zuständig i) für die Auswahl der Patienten, deren personenbezogene Daten über das CPMS verarbeitet werden; ii) für die Einholung und Aufrechterhaltung einer ausdrücklichen, aufgeklärten, freiwillig für den konkreten Fall erteilten Einwilligung der Patienten, deren Daten über das CPMS im Einklang mit den verbindlichen Mindestanforderungen an das Einwilligungsformular gemäß Anhang IV verarbeitet werden; iii) dafür, als Kontaktstelle für ihre Patienten zu fungieren, u. a. in Fällen, in denen diese ihre Rechte geltend machen, indem er Ersuchen von Patienten oder ihrer Vertreter nachkommt und sicherstellt, dass Patienten, deren Daten über das CPMS verarbeitet werden, in die Lage versetzt werden, ihre Rechte gemäß den Datenschutzvorschriften geltend zu machen, indem er erforderlichenfalls die von der Kommission gemäß Nummer 1 Ziffer ii zur Verfügung gestellten technischen Mittel verwendet; iv) dafür, mindestens alle fünfzehn Jahre die Notwendigkeit zu prüfen, spezifische personenbezogene Patientendaten über das CPMS zu verarbeiten; v) dafür, Sicherheit und Vertraulichkeit bei der internen Verarbeitung personenbezogener Patientendaten außerhalb des CPMS sicherzustellen, wenn diese Daten für Zwecke oder im Zusammenhang mit der Verarbeitung personenbezogener Patientendaten über das CPMS verarbeitet werden; vi) für die Benachrichtigung der Kommission, der zuständigen Aufsichtsbehörden und, soweit erforderlich, der Patienten über Verletzungen des Schutzes personenbezogener Daten in Bezug auf über das CPMS verarbeitete Patientendaten gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder auf Verlangen der Kommission; vii) für die Identifizierung des Personals und anderer Personen, die mit den CPMS-zugangsberechtigten Gesundheitsdienstleistern assoziiert sind und denen der Zugang zu personenbezogenen Patientendaten im CPMS gemäß den Zugangskriterien nach Nummer 1 Ziffer vii dieses Anhang gewährt wird, sowie für die entsprechende Mitteilung an die Kommission; viii) dafür, zu gewährleisten, dass sein Personal und die anderen Personen, die mit ihm assoziiert sind und Zugang zu personenbezogenen Patientendaten im CPMS haben, entsprechend geschult werden, damit sichergestellt wird, dass sie ihre Aufgaben im Einklang mit den für den Schutz personenbezogener Daten geltenden Vorschriften erfüllen, und dass sie der Geheimhaltungspflicht gemäß Artikel 9 Absatz 3 der Verordnung (EU) 2016/679 unterworfen werden. ANHANG IV Verbindlichen Mindestanforderungen an das von CPMS-zugangsberechtigten Gesundheitdienstleistern vorzulegende Einwilligungsformular (1) Das Einwilligungsformular muss eine Beschreibung der Rechtsgrundlage und der Rechtmäßigkeit der Verarbeitung, des Konzepts und des Zwecks der europäischen Referenznetzwerke (im Folgenden 'ERN') gemäß der Richtlinie 2011/24/EU über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung enthalten. Es muss über die spezifischen Verarbeitungsvorgänge und die jeweiligen Rechte der betroffenen Person gemäß den geltenden Datenschutzvorschriften informieren. Darin ist zu erläutern, dass die Netzwerke aus Mitgliedern bestehen, bei denen es sich um hochspezialisierte Gesundheitsdienstleister handelt, und dass ihr Zweck darin besteht, dass Angehörige der Gesundheitsberufe zusammenarbeiten können, um Patienten mit komplexen Erkrankungen oder Gesundheitsproblemen, die selten sind oder eine niedrige Prävalenz aufweisen und eine hochspezialisierte Gesundheitsversorgung erfordern, zu unterstützen. (2) Mit dem Einwilligungsformular wird der Patient/die Patientin um seine/ihre ausdrückliche Einwilligung darin gebeten, dass seine/ihre personenbezogenen Daten einem oder mehreren ERN übermittelt werden, und zwar ausschließlich zu dem Zweck, seinen/ihren Zugang zu Diagnose und Behandlung und zu einer hochwertigen Gesundheitsversorgung zu verbessern. Zu diesem Zweck ist darin Folgendes zu erklären: a) Nach Erteilung der Einwilligung werden die personenbezogenen Daten der Patienten von den CPMS-zugangsberechtigten Gesundheitsdienstleistern unter folgenden Bedingungen verarbeitet: i) Der Name des Patienten/der Patientin sowie Geburtsort und genaues Geburtsdatum werden nicht ausgetauscht; die eine Identifizierung ermöglichenden Patientendaten werden durch ein individuelles Kennzeichen ersetzt, sodass eine Identifizierung durch niemanden außer dem Gesundheitsdienstleister möglich ist (Pseudonymisierung). ii) Es werden nur Daten, die für Diagnose- und Behandlungszwecke relevant sind, ausgetauscht; hierzu können Geburts- und Wohnregion, Geschlecht, Geburtsjahr und Geburtsmonat, medizinische Bilder, Laborberichte sowie biologische Stichproben gehören. Außerdem können Schreiben und Berichte anderer Angehöriger der Gesundheitsberufe, die den Patienten/die Patientin in der Vergangenheit versorgt haben, dazu gehören. iii) Die Patientendaten werden über das 'Clinical Patient Management System' (System für das klinische Patientenmanagement, im Folgenden 'CPMS'), ein sicheres elektronisches Informationssystem, ausgetauscht. iv) Nur Angehörige der Gesundheitsberufe und andere mit solchen Gesundheitsdienstleistern assoziierte Personen, die dem Berufsgeheimnis unterliegen und die zum Zugang zu Patientendaten in den Netzwerken befugt sind, haben Zugang zu den Patientendaten. v) Angehörige der Gesundheitsberufe und andere mit solchen Gesundheitsdienstleistern assoziierte Personen, die zum Zugang zu Patientendaten befugt sind, dürfen Abfragen im CPMS durchführen und Berichte erstellen, um ähnliche Patientenfälle zu ermitteln. b) Wird die Einwilligung nicht erteilt, wirkt sich dies in keiner Weise auf die Versorgung des Patienten/der Patientin durch den jeweiligen Gesundheitsdienstleister aus. (3) Mit dem Einwilligungsformular kann auch um die zusätzliche Einwilligung des Patienten/der Patientin darin nachgesucht werden, dass seine/ihre Daten in Register oder andere Datenbanken für komplexe Erkrankungen, die selten sind und eine niedrige Prävalenz aufweisen, eingegeben werden, die der wissenschaftlichen Forschung bzw. klinischen oder politischen Zwecken dienen. Wird um Einwilligung zu diesem Zweck nachgesucht, so ist im Einwilligungsformular das Konzept und der Zweck der Register oder Datenbanken für seltene Erkrankungen zu beschreiben und Folgendes zu erläutern: a) Nach Erteilung der Einwilligung werden die personenbezogenen Daten des Patienten/der Patientin von den CPMS-zugangsberechtigten Gesundheitsdienstleistern unter den folgenden Bedingungen verarbeitet: i) Zum Gesundheitszustand des Patienten werden nur relevante Daten ausgetauscht. ii) Angehörige der Gesundheitsberufe und andere mit solchen Gesundheitsdienstleistern assoziierte Personen, die zum Zugang zu Patientendaten befugt sind, dürfen Abfragen im CPMS durchführen und Berichte erstellen, um ähnliche Patientenfälle zu ermitteln. b) Wird die Einwilligung nicht erteilt, wirkt sich dies in keiner Weise auf die Versorgung des Patienten/der Patientin durch den jeweiligen Gesundheitsdienstleister oder darauf aus, dass das Netzwerk auf Anfrage des Patienten/der Patientin Beratung zu Diagnose und Behandlung bereitstellt. (4) Mit dem Einwilligungsformular kann auch um die zusätzliche Einwilligung des Patienten/der Patientin darin nachgesucht werden, von einem Netzwerkmitglied kontaktiert zu werden, das den Patienten/die Patientin als geeignet für eine wissenschaftliche Forschungsinitiative, ein spezifisches wissenschaftliches Forschungsprojekt oder Teile eines wissenschaftlichen Forschungsprojekts betrachtet. Wird um eine Einwilligung zu diesem Zweck nachgesucht, ist in dem Einwilligungsformular zu erläutern, dass die Erteilung der Einwilligung, für wissenschaftliche Forschungszwecke kontaktiert zu werden, in diesem Stadium weder eine Einwilligung in die Nutzung von Patientendaten für eine spezifische wissenschaftliche Forschungsinitiative bedeutet, noch, dass der Patient/die Patientin auf jeden Fall in Verbindung mit einem spezifischen wissenschaftlichen Forschungsprojekt kontaktiert wird oder Teil eines solchen Projekts sein wird; ferner ist Folgendes zu erläutern: a) Nach Erteilung der Einwilligung werden die personenbezogenen Daten des Patienten/der Patientin von den CPMS-zugangsberechtigten Gesundheitsdienstleistern unter den folgenden Bedingungen verarbeitet: i) Angehörige der Gesundheitsberufe und andere mit solchen Gesundheitsdienstleistern assoziierte Personen, die zum Zugang zu Patientendaten befugt sind, dürfen Abfragen im CPMS durchführen und Berichte erstellen, um ähnliche Patientenfälle zu ermitteln. ii) Wird die Erkrankung oder das Gesundheitsproblem des Patienten/der Patientin als für ein spezifisches wissenschaftliches Forschungsprojekt relevant betrachtet, kann diese/r zwecks Einwilligung in die Nutzung seiner/ihrer Daten für dieses wissenschaftliche Forschungsprojekt kontaktiert werden. b) Wird die Einwilligung nicht erteilt, wirkt sich dies in keiner Weise auf die Versorgung des Patienten/der Patientin durch den jeweiligen Gesundheitsdienstleister oder darauf aus, dass das Netzwerk auf Anfrage des Patienten/der Patientin Beratung zu Diagnose und Behandlung bereitstellt. (5) Im Einwilligungsformular sind die Rechte des Patienten/der Patientin im Hinblick auf seine/ihre Einwilligung(en) in den Austausch personenbezogener Daten zu erläutern; insbesondere ist darüber zu informieren, dass der Patient/die Patientin: a) das Recht hat, die Einwilligung zu erteilen oder zu verweigern, und dass dies keinen Einfluss auf seine/ihre Versorgung hat; b) eine in der Vergangenheit erteilte Einwilligung jederzeit widerrufen kann; c) das Recht hat zu erfahren, welche Daten in einem Netzwerk ausgetauscht werden, sowie Zugang zu über ihn/sie ausgetauschte Daten zu erhalten und Fehler korrigieren zu lassen; d) die Sperrung oder Löschung seiner/ihrer personenbezogenen Daten verlangen kann und ein Recht auf Datenübertragbarkeit hat. (6) Mit dem Einwilligungsformular ist der Patient/die Patientin darüber zu informieren, dass der Gesundheitsdienstleister die personenbezogenen Daten nur so lange speichern wird, wie es für den Zweck erforderlich ist, in den der Patient/die Patientin eingewilligt hat, wobei mindestens alle fünfzehn Jahre die Notwendigkeit einer Speicherung spezifischer personenbezogener Daten des Patienten/der Patientin im CPMS zu prüfen ist. (7) Mit dem Einwilligungsformular ist der Patient/die Patientin über den Namen und die Kontaktdaten der für die Verarbeitung Verantwortlichen zu informieren, wobei klar anzugeben ist, dass die Kontaktstelle zur Geltendmachung der Patientenrechte der jeweilige CPMS-zugangsberechtigte Gesundheitsdienstleister ist, sowie über die Kontaktdaten der Datenschutzbeauftragten, gegebenenfalls über die verfügbaren Rechtsbehelfe im Zusammenhang mit dem Datenschutz und über die Kontaktdaten der nationalen Datenschutzbehörde. (8) Auf dem Einwilligungsformular ist die Einwilligung in jede der drei verschiedenen Formen des Datenaustauschs für den konkreten Fall, ausdrücklich und unmissverständlich wie folgt einzeln zu verzeichnen: a) Die Einwilligung muss durch eine eindeutige bestätigende Handlung zum Ausdruck gebracht werden, z. B. durch Anklicken eines Kästchens und durch eine Unterschrift auf dem Formular; b) es sind beide Optionen (die Erteilung oder die Verweigerung der Einwilligung) anzubieten. ( 1 ) Beschluss (EU, Euratom) 2017/46 der Kommission vom 10. Januar 2017 über die Sicherheit von Kommunikations- und Informationssystemen in der Europäischen Kommission (ABl. L 6 vom 11.1.2017, S. 40) und Beschluss der Kommission vom 13. Dezember 2017 zur Festlegung der Durchführungsbestimmungen zu den Artikeln 3, 5, 7, 8, 9, 10, 11, 12, 14 und 15 des Beschlusses (EU, Euratom) 2017/46 über die Sicherheit von Kommunikations- und Informationssystemen in der Europäischen Kommission (C(2017) 8841 final).