Index
82/02 Gesundheitsrecht allgemeinNorm
B-VG Art139 Abs1 Z3, Art140 Abs1 Z1 litcLeitsatz
Zurückweisung eines Individualantrags gegen Bestimmungen des EpidemieG 1950, der COVID-19-EinreiseV 2021, der Verordnung betreffend anzeigepflichtige übertragbare Krankheiten sowie der AbsonderungsV mangels hinreichender Darlegung der Bedenken und der unmittelbaren BetroffenheitSpruch
Der Antrag wird zurückgewiesen.
Begründung
Begründung
I. Antrag
Gestützt auf Art139 Abs1 Z3 und auf Art140 Abs1 Z1 litc B-VG, begehrt der Antragsteller mit seinem am 20. Oktober 2021 eingebrachten Antrag, der Verfassungsgerichtshof möge
"1. Die geänderte Wortfolge des §4 3. Satz der Verordnung des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz, mit der Verordnung des Ministers für Inneres im Einvernehmen mit dem Minister für Kultus und Unterricht vom 22. Februar 1915 betreffend die Absonderung Kranker, Krankheitsverdächtiger und Ansteckungsverdächtiger und die Bezeichnung von Häusern und Wohnungen oder Infektion mit 2019-nCoV ('2019 neuartiges Coronavirus'), RGBl Nr 39/1915 idgF aufheben.
2. Die 15. Verordnung des Bundesministers für Arbeit, Soziales, Gesundheit und Konsumentenschutz betreffend anzeigepflichtige übertragbare Krankheiten 2020, BGBl II Nr 15/2020 aufheben.
3. Die Verordnung des Bundesministers für Soziales, Gesundheit, Pflege und Konsumentenschutz, mit der Pflege und Konsumentenschutz über die Einreise nach Österreich im Zusammenhang mit COVID-19 (COVID-19-Einreiseverordnung 2021 — COVID-19-EinreiseV-2021), BGBl II Nr 276/2021 idgF, zuletzt geändert durch BGBl Nr 393/2021 aufheben.
4. Die §§3a, 3b, §4 Abs3a, 4 Abs4 Z3, §4 Abs15, 4a Abs6, 4b, 4c, 4d, 4e, 4f, 5a, 5b, 5c, 24 Abs3 Z1 litc, 24 Abs4 und 5, 25 Abs5, 25a, 27a, 28d, 43a, 46, 49, 50 Abs7 bis 25 des Epidemiegesetzes 1950, BGBl 186/1950 idgF sind zur Gänze auf[…]heben".
II. Rechtslage
1. Das Epidemiegesetz 1950 (EpiG), BGBl 186/1950 (WV), lautete in der zum Zeitpunkt der Antragstellung (20. Oktober 2021) geltenden Fassung BGBl I 143/2021 auszugsweise (die angefochtenen Bestimmungen sind hervorgehoben):
"I. HAUPTSTÜCK.
Ermittlung der Krankheit.
Anzeigepflichtige Krankheiten
§1. (1) Der Anzeigepflicht unterliegen:
1. Verdachts-, Erkrankungs- und Todesfälle an Cholera, Gelbfieber, virusbedingtem hämorrhagischem Fieber, infektiöser Hepatitis (Hepatitis A, B, C, D, E), Hundebandwurm (Echinococcus granulosus) und Fuchsbandwurm (Echinococcus multilocularis), Infektionen mit dem Influenzavirus A/H5N1 oder einem anderen Vogelgrippevirus, Kinderlähmung, bakteriellen und viralen Lebensmittelvergiftungen, Lepra, Leptospiren-Erkrankungen, Masern, MERS-CoV (Middle East Respiratory Syndrome Coronavirus/'neues Corona-Virus'), Milzbrand, Psittakose, Paratyphus, Pest, Pocken, Rickettsiose durch R. prowazekii, Rotz, übertragbarer Ruhr (Amöbenruhr), SARS (Schweres Akutes Respiratorisches Syndrom), transmissiblen spongiformen Enzephalopathien, Tularämie, Typhus (Abdominaltyphus), Puerperalfieber, Wutkrankheit (Lyssa) und Bissverletzungen durch wutkranke oder -verdächtige Tiere,
2. Erkrankungs- und Todesfälle an Bang'scher Krankheit, Chikungunya-Fieber, Dengue-Fieber, Diphtherie, Hanta-Virus-Infektionen, virusbedingten Meningoenzephalitiden, invasiven bakteriellen Erkrankungen (Meningitiden und Sepsis), Keuchhusten, Legionärskrankheit, Malaria, Röteln, Scharlach, Rückfallfieber, Trachom, Trichinose, West-Nil-Fieber, schwer verlaufenden Clostridium difficile assoziierten Erkrankungen und Zika-Virus-Infektionen.
(2) Der Bundesminister für Gesundheit und Frauen kann, wenn dies aus epidemiologischen Gründen gerechtfertigt oder auf Grund internationaler Verpflichtungen erforderlich ist, durch Verordnung weitere übertragbare Krankheiten der Meldepflicht unterwerfen oder bestehende Meldepflichten erweitern.
Erstattung der Anzeige
§2. […].
Zur Anzeige verpflichtete Personen.
§3. […].
Datenübermittlung im Interesse des Gesundheitsschutzes
§3a. (1) Die Bezirksverwaltungsbehörde ist ermächtigt, dem Bürgermeister den Namen und die erforderlichen Kontaktdaten einer von einer Absonderungsmaßnahme nach Epidemiegesetz 1950 wegen COVID-19 betroffenen Person, die in seinem Gemeindegebiet wohnhaft ist, mitzuteilen, wenn und soweit es zur Versorgung dieser Person mit notwendigen Gesundheitsdienstleitungen oder mit Waren oder Dienstleistungen des täglichen Bedarfs unbedingt notwendig ist.
(2) Eine Verarbeitung dieser Daten zu anderen Zwecken ist nicht zulässig.
(3) Der Bürgermeister hat die Daten umgehend unumkehrbar zu löschen, wenn diese für die in Abs1 genannten Zwecke nicht mehr erforderlich sind.
(4) Der Bürgermeister hat geeignete Datensicherheitsmaßnahmen zu ergreifen.
(5) §30 Abs5 Datenschutzgesetz, BGBl I Nr 165/1999 zuletzt geändert durch das Bundesgesetz BGBl I Nr 24/2018, ist im Rahmen dieser Bestimmung nicht anwendbar.
SARS-CoV-2-Antigentests zur Eigenanwendung
§3b. Liegt nach Durchführung eines SARS-CoV-2-Antigentests zur Eigenanwendung ein positives Testergebnis vor, hat die betroffene Person unverzüglich die Gesundheitsbehörde beispielsweise über die Hotline 1450 zu informieren oder selbständig eine Nachtestung bei einer dafür befugten Stelle zu veranlassen. Eine Nachtestung soll innerhalb von 48 Stunden erfolgen. Bis zum Vorliegen des Testergebnisses der Nachtestung ist unverzüglich eine selbstüberwachte Heimquarantäne anzutreten; dabei gilt für die Entgeltfortzahlung und den Ersatz §32 sinngemäß.
Register der anzeigepflichtigen Krankheiten
§4. (1) Der für das Gesundheitswesen zuständige Bundesminister hat ein elektronisches Register betreffend die Anzeigen nach §1 Abs1 und 2, §2 Abs2, §28c und die Anzeigen nach §§5 und 11 des Tuberkulosegesetzes, BGBl Nr 127/1968, zu betreiben. Der für das Gesundheitswesen zuständige Bundesminister ist Verantwortlicher. Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art21 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr L 119 vom 04.05.2016 S. 1.
(2) Das Anzeigenregister dient der Erfüllung der Aufgaben der Bezirksverwaltungsbehörden zur Durchführung von Erhebungen über das Auftreten anzeigepflichtiger Krankheiten (§5 dieses Bundesgesetzes und §6 Tuberkulosegesetz) sowie zur Verhütung der Weiterverbreitung und Bekämpfung anzeigepflichtiger Krankheiten (§§6 bis 26a dieses Bundesgesetzes und §§7 bis 14 und 23 Tuberkulosegesetz) und der Erfüllung der Aufgaben der Landeshauptmänner im Rahmen ihrer Koordinierungsfunktion gemäß §43 Abs5 und 6.
(3) Die Bezirksverwaltungsbehörden sind verpflichtet, die Daten aus Anzeigen nach §1 Abs1 und 2 und §2 Abs2, §28c, die Daten, die im Rahmen von Erhebungen über das Auftreten anzeigepflichtiger Krankheiten gesammelt werden, und die Daten, die im Zusammenhang mit getroffenen Maßnahmen stehen, im Register zu verarbeiten. Die Bezirksverwaltungsbehörden sind weiters verpflichtet, die Daten aus Anzeigen nach §§5, 10 und 11 Tuberkulosegesetz, die Daten, die im Rahmen von Erhebungen über das Auftreten von Tuberkulose gesammelt werden, und die Daten, die im Zusammenhang mit getroffenen Maßnahmen stehen, im Register zu verarbeiten.
(3a) Die ELGA GmbH ist berechtigt, auf Anforderung des für das Gesundheitswesen zuständigen Bundesministers die im zentralen Impfregister gespeicherten Daten über COVID-19-Impfungen einschließlich des bPK-GH an ihn zu übermitteln. Für die Übermittlung dieser Daten gilt §6 des Gesundheitstelematikgesetzes 2012 – GTelG 2012, BGBl I Nr 111/2012. Die Anforderung des für das Gesundheitswesen zuständigen Bundesministers hat zu enthalten:
1. die Konkretisierung, welche der in §24c Abs2 Z2 lita bis c GTelG 2012 bezeichneten Daten(kategorien) zu übermitteln sind,
2. die Angabe, ob und gegebenenfalls welche zielgruppenspezifische, altersgruppenspezifische oder geografische Einschränkung der zu übermittelnden Daten vorzunehmen ist und
3. die Periodizität der Datenübermittlung.
Der für das Gesundheitswesen zuständige Bundesminister ist berechtigt, die ihm von der ELGA GmbH übermittelten Daten mit dem Register zu verknüpfen und dürfen diese Daten zum Zweck des Ausbruchs- und Krisenmanagements, wie etwa für die Ermittlung von Impfdurchbrüchen, von Ausbruchsclustern oder für die Kontaktpersonennachverfolgung, verarbeitet werden. Die betroffenen Personen haben nach Maßgabe der technischen Verfügbarkeit das Recht, elektronisch im Wege des Zugangsportals (§23 GTelG 2012) Auskunft (Art15 DSGVO) über die sie betreffenden Protokolldaten (Abs9) zu erhalten. Das Auskunftsrecht kann durch die betroffenen Personen hinsichtlich der sie betreffenden Protokolldaten auch zumindest monatlich gegenüber dem für das Gesundheitswesen zuständigen Bundesminister geltend gemacht werden.
(4) Im Register werden folgende Datenkategorien verarbeitet:
1. Daten zur Identifikation von Erkrankten, einer Erkrankung Verdächtigen, Gebissenen, Verstorbenen oder Ausscheidern (Name, Geschlecht, Geburtsdatum, Wohnsitz, soweit vorhanden Telefonnummer und E-Mail-Adresse, Sozialversicherungsnummer und bereichsspezifisches Personenkennzeichen (§9 E-GovG, BGBl I Nr 10/2004)),
2. gegebenenfalls Sterbedaten (Datum, Todesursache, Autopsiestatus),
3. die für die anzeigepflichtige Krankheit relevanten klinischen Daten (Vorgeschichte und Krankheitsverlauf) sowie die in §24c Abs2 Z2 GTelG 2012 genannten Angaben und Labordaten sofern für die Zwecke des Abs2 erforderlich auch negative Testergebnisse auf SARS-CoV-2,
4. Daten zum Umfeld des Erkrankten, einer Erkrankung Verdächtigen, Gebissenen, Verstorbenen oder Ausscheiders, soweit sie in Bezug zur anzeigepflichtigen Erkrankung stehen, sowie Daten zur Identifikation von Kontaktpersonen (Name, Telefonnummer, E-Mail-Adresse, Wohnsitz) und
5. Daten zu den getroffenen Vorkehrungsmaßnahmen.
(5) Bei der Datenverarbeitung gemäß Abs2 bis 4 ist die Verwendung des Namens und des bereichsspezifischen Personenkennzeichens GH zulässig.
(6) Jede Verarbeitung der im Register gespeicherten Daten darf nur in Vollziehung dieses Bundesgesetzes, in Vollziehung des Tuberkulosegesetzes sowie in Vollziehung des Zoonosengesetzes, BGBl I Nr 128/2005, erfolgen. Eine Übermittlung der nach den Bestimmungen dieses Bundesgesetzes verarbeiteten personenbezogenen Daten an Dritte und eine Weiterverarbeitung der personenbezogenen Daten zu anderen Zwecken ist nicht zulässig, soweit nicht in diesem Bundesgesetz ausdrücklich anderes bestimmt ist.
(7) Die Bezirksverwaltungsbehörde darf im Rahmen ihrer Zuständigkeit für Zwecke der Erhebungen über das Auftreten und der Verhütung und Bekämpfung einer anzeigepflichtigen Krankheit nach diesem Bundesgesetz und nach dem Tuberkulosegesetz alle Daten einer Person im Register, die im Zusammenhang mit einem bestimmten Verdachts-, Erkrankungs- oder Todesfall stehen, personenbezogen verarbeiten. Der Landeshauptmann darf im Rahmen seiner Koordinierungsfunktion gemäß §43 Abs5 und 6 alle Daten einer Person im Register, die im Zusammenhang mit einem bestimmten Verdachts-, Erkrankungs- oder Todesfall stehen, personenbezogen verarbeiten. Sofern vom für das Veterinärwesen zuständigen Bundesminister gemäß §3 Abs7 des Zoonosengesetzes bzw vom für das Gesundheitswesen zuständigen Bundesminister gemäß §5 Abs4 dieses Bundesgesetzes ein Sachverständiger zur Abklärung bundesländerübergreifender Zoonosenausbrüche bzw Ausbruchscluster bestellt wurde, darf dieser alle Daten von Personen im Register, die im Zusammenhang mit diesem Zoonosenausbruch oder Ausbruchscluster stehen können, personenbezogen verarbeiten, soweit dies zur Abklärung dieses Zoonosenausbruchs oder Ausbruchsclusters erforderlich ist. Der für das Gesundheitswesen zuständig Bundesminister darf zur Erfüllung der Verpflichtungen nach Art15 und 16 Datenschutz-Grundverordnung die Daten einer Person im Register personenbezogen verarbeiten.
(8) Der für das Gesundheitswesen zuständige Bundesminister darf für Zwecke der epidemiologischen Überwachung, Qualitätssicherung und zur Erfüllung von sich aus EU-Recht ergebenden Meldeverpflichtungen die Daten im Register in pseudonymisierter Form verarbeiten. Der für das Gesundheitswesen zuständige Bundesminister kann dazu Dritte als Auftragsverarbeiter heranziehen. Die Bezirksverwaltungsbehörde und der Landeshauptmann dürfen für Zwecke der epidemiologischen Überwachung die Daten im Register in pseudonymisierter Form verarbeiten.
(9) Der für das Gesundheitswesen zuständige Bundesminister, Familie und Jugend hat sicherzustellen, dass jeder Zugriff auf das Register nur unter Nachweis der eindeutigen Identität (§2 Z2 E-GovG) und der Authentizität (§2 Z5 E-GovG) möglich ist. Er muss sicherstellen, dass geeignete, dem jeweiligen Stand der Technik entsprechende Vorkehrungen getroffen werden, um eine Vernichtung, Veränderung oder Abfrage der Daten des Registers durch unberechtigte Benutzer oder Systeme zu verhindern, und dass alle durchgeführten Verwendungsvorgänge, wie insbesondere Eintragungen, Änderungen, Abfragen und Übermittlungen, im notwendigen Ausmaß protokolliert werden.
(10) Die Vertraulichkeit der Datenübermittlung ist durch dem Stand der Technik entsprechende verschlüsselte Übermittlungsverfahren zu gewährleisten.
(11) Die Daten im Register sind zu löschen, sobald sie zur Erfüllung der Aufgaben der Bezirksverwaltungsbehörden im Zusammenhang mit der Erhebung über das Auftreten und im Zusammenhang mit der Verhütung und Bekämpfung einer anzeigepflichtigen Krankheit nach diesem Bundesgesetz und nach dem Tuberkulosegesetz nicht mehr erforderlich sind.
(12) Der Bezirkshauptmann, der Landeshauptmann und der für das Gesundheitswesen zuständige Bundesminister sind verpflichtet, die Zugriffsberechtigung für die einzelnen Benutzer individuell zuzuweisen und zu dokumentieren. Zugriffsberechtigte sind von der weiteren Ausübung ihrer Zugriffsberechtigung auszuschließen, wenn sie diese zur weiteren Erfüllung der ihnen übertragenen Aufgaben nicht mehr benötigen oder sie die Daten nicht entsprechend ihrer Zweckbestimmung verarbeiten.
(13) Die Bezirksverwaltungsbehörden und der Landeshauptmann haben durch organisatorische und technische Vorkehrungen sicherzustellen, dass der Zutritt zu Räumen, in denen sich eine Zugriffsmöglichkeit auf das Register befindet, grundsätzlich nur Bediensteten der Behörde möglich ist. Ist es erforderlich, dass in Räumen mit einer Zugriffsmöglichkeit auf das Register Parteienverkehr stattfindet, ist jedenfalls sicherzustellen, dass eine Einsichtnahme in die Daten des Registers durch Außenstehende nicht möglich ist.
(14) Wird die kommunikationstechnische Einrichtung, die den Zugang zum Register ermöglicht, aus dem Behördenbereich entfernt, ist sicherzustellen, dass eine unberechtigte Einsichtnahme und Verwendung ausgeschlossen ist.
(15) Labors haben ihrer Meldeverpflichtung (§1 in Verbindung mit §3 Abs1 Z1a dieses Bundegesetzes und §5 Abs2 des Tuberkulosegesetzes) elektronisch durch Eingabe der Meldung in das Register nachzukommen. Der für das Gesundheitswesen zuständige Bundesminister hat durch Verordnung Details dieser Meldungen festzulegen. Sofern diese Informationen aus fachlicher Sicht zur Bekämpfung der COVID-19-Pandemie erforderlich sind, kann dabei festgelegt werden, dass auch negative Testergebnisse auf SARS-CoV-2 zu melden sind.
(16) Die Österreichische Agentur für Gesundheit und Ernährungssicherheit als nationale Referenzzentrale und Referenzlabor für Tuberkulose hat ihrer Meldeverpflichtung nach §1 in Verbindung mit §3 Abs1 Z1a (Laborbefunde) elektronisch durch Eingabe der Meldung in das Register nachzukommen. Weiters sind die Ergebnisse der Resistenzprüfung und Typisierung elektronisch in das Register einzugeben.
(17) Der für das Gesundheitswesen zuständige Bundesminister kann durch Verordnung nach Maßgabe der technischen Möglichkeiten vorsehen, dass Meldepflichtige nach §3 Abs1 Z1 ihrer Meldeverpflichtung nach §1 auch elektronisch durch Eingabe der Meldung in das Register nachkommen können. Dabei sind von den Meldepflichtigen sinngemäß die in den Abs12 bis 14 vorgesehenen Datensicherheitsmaßnahmen zu ergreifen.
Statistik-Register
§4a. (1) Die Daten (§4 Abs3 und Abs3a und 14 bis 17) sind unmittelbar nach erfolgter Meldung auch in ein vom für das Gesundheitswesen zuständigen Bundesminister zu betreibendes Statistik-Register überzuführen. Dieses dient der Statistik und wissenschaftlichen Forschung.
(2) Zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes in der Fassung des 2. Materien-Datenschutz-Anpassungsgesetzes, BGBl I Nr 37/2018, bereits im Register (§4) enthaltene Daten sind mit diesem Zeitpunkt in das Statistik-Register überzuführen.
(3) In das Statistik-Register sind die Daten nach der Ersetzung der Daten zur Personenidentifikation durch ein nicht rückführbar verschlüsseltes eindeutiges Personenkennzeichen zu überführen. Nicht der Pseudonymisierung unterliegen das Geschlecht und das Geburtsjahr.
(4) Gemäß Art5 Abs1 lite Datenschutz-Grundverordnung dürfen die Daten im Statistik-Register gemäß Art89 Abs1 der Datenschutz-Grundverordnung unbeschränkt gespeichert und gegebenenfalls sonst verarbeitet werden.
(5) Der für das Gesundheitswesen zuständige Bundesminister, die Landeshauptmänner und Bezirksverwaltungsbehörden, die Österreichische Agentur für Gesundheit und Ernährungssicherheit und die Gesundheit Österreich GmbH sind berechtigt, die Daten im Register für die in Abs1 genannten Zwecke zu verarbeiten.
(6) Der für das Gesundheitswesen zuständige Bundesminister stattet die COVID-19-bezogenen Daten des Statistik-Registers mit dem verschlüsselten bereichsspezifischen Personenkennzeichen Amtliche Statistik (vbPK-AS) aus. Der Bundesanstalt 'Statistik Österreich' (Bundesanstalt) sind auf deren Anfrage binnen vier Wochen zum Zweck der statistischen Aufbereitung und wissenschaftliche Erforschung der COVID-19-Krisensituation die mit dem verschlüsselten bereichsspezifischen Personenkennzeichen Amtliche Statistik (vbPK-AS) versehenen COVID-19-bezogenen Daten des Statistik-Registers zu übermitteln. Der für das Gesundheitswesen zuständige Bundesminister ist berechtigt, die mit dem vbPK-AS versehenen COVID-19-bezogenen Daten des Statistik-Registers zum Zweck der Erstellung von Statistiken im Zusammenhang mit der epidemiologischen Überwachung sowie dem Monitoring der Wirksamkeit der Maßnahmen in Bezug auf die Bekämpfung von COVID-19 mit einem konkreten, näher zu bezeichnenden Auftrag an die Bundesanstalt zu übermitteln und die Bundesanstalt erstellt aus den ihr übermittelten Daten die Statistik (§4 in Verbindung mit §23 Abs1 Z1 des Bundesstatistikgesetzes 2000, BGBl I Nr 163/1999).
Zertifikate im Zusammenhang mit SARS-CoV-2
§4b. (1) Zum Nachweis der Durchführung eines Tests auf eine Infektion mit SARS-CoV-2, einer überstandenen Infektion mit SARS-CoV-2 und einer empfangenen Schutzimpfung gegen COVID-19 können folgende Zertifikate herangezogen werden:
1. ein Testzertifikat (§4c) über ein mittels NAAT- oder RAT-Test ermitteltes negatives SARS-CoV-2-Testergebnis oder
2. ein Genesungszertifikat (§4d) über den Umstand, dass die Person von einer mittels NAAT-Test oder mittels einer gemäß §4d Abs4 festgelegten Testmethode nachgewiesenen SARS-CoV-2-Infektion genesen ist oder
3. ein Impfzertifikat (§4e) über eine erfolgte COVID-19-Schutzimpfung.
(2) Im Sinne des Abs1 Z1 und 2 ist
1. 'NAAT-Test' ein molekularer Nukleinsäure-Amplifikationstest, insbesondere Verfahren der Reverse-Transkriptase-Polymerase-Kettenreaktion (RT-PCR), der schleifenvermittelten isothermalen Amplifikation (LAMP) und der transkriptionsvermittelten Amplifikation (TMA), die zum Nachweis des Vorhandenseins der SARS-CoV-2-Ribonukleinsäure (RNS) verwendet werden;
2. 'RAT-Test' ein Antigen-Schnelltest, nämlich Verfahren, die auf dem Nachweis viraler Proteine (Antigene) unter Verwendung eines Immuntests mit Seitenstrom-Immunoassay beruhen und in weniger als 30 Minuten zu einem Ergebnis führen; der für das Gesundheitswesen zuständige Bundesminister hat die jeweils aktuelle Liste der anerkannten Testmethoden bzw -produkte auf der Webseite des Ressorts zu veröffentlichen;
3. 'Antikörpertest' ein laborgestützter Test, der an Blutproben (Serum, Plasma oder Vollblut) durchgeführt wird und darauf abzielt festzustellen, ob eine Person Antikörper gegen SARS-CoV-2 entwickelt hat, unabhängig davon, ob sie Symptome aufwies oder nicht; Der für das Gesundheitswesen zuständige Bundesminister hat die jeweils aktuelle Liste der anerkannten Testmethoden bzw -produkte auf der Webseite des Ressorts zu veröffentlichen.
(3) Zum Zweck der Ausstellung und der Bereitstellung von Zertifikaten gemäß Abs1 hat der für das Gesundheitswesen zuständige Bundesminister als datenschutzrechtlich Verantwortlicher (Art4 Z7 DSGVO) ein elektronisches Service ('EPI-Service') einzurichten und zu betreiben. Er kann sich dazu eines Auftragsverarbeiters bedienen.
(4) Die Ausstellung der Zertifikate hat nach Maßgabe der technischen Verfügbarkeit des EPI-Service und der dafür erforderlichen Daten in Form eines QR-Codes zu erfolgen, der
1. die jeweils notwendigen Daten nach den §§4c Abs1, 4d Abs1 oder 4e Abs1 enthält,
2. mit den auf europäischer Ebene allenfalls festgelegten inhaltlichen und technischen Vorgaben interoperabel ist und
3. die Überprüfung von Authentizität, Gültigkeit und Integrität des Zertifikats ermöglicht.
(5) Die Bereitstellung der Zertifikate hat mittels QR-Code und im PDF-Format zu erfolgen, wobei das PDF-Format neben dem QR-Code alle Daten des QR-Codes in menschenlesbarer Form zu enthalten hat. Die Feldbezeichnungen der Daten und allfällige Zusatzinformationen sind in deutscher und englischer Sprache anzugeben. Der für das Gesundheitswesen zuständige Bundesminister kann mit Verordnung Änderungen von Feldbezeichnungen vornehmen und nähere Vorgaben zur Gewährleistung der Barrierefreiheit festlegen.
(6) Die Ausstellung der Zertifikate und die Bereitstellung hat für die sie betreffende Person oder für ihre Vertretung kostenlos zu erfolgen. Dies gilt auch für die Bereitstellung von gedruckten Zertifikaten durch berechtigte Stellen.
(7) Der für das Gesundheitswesen zuständige Bundesminister hat:
1. den Landeshauptleuten als datenschutzrechtlich Verantwortliche (Art4 Z7 DSGVO) den Abruf von Zertifikaten oder von Verweisen auf Zertifikate aus dem EPI-Service zum Zweck der elektronischen Weitergabe an die betroffenen Personen zu ermöglichen, wobei Abrufe ausschließlich mittels bereichsspezifischem Personenkennzeichen Gesundheit (bPK-GH) und über ein gesichertes Netzwerk erfolgen dürfen. Jede über das für die elektronische Weitergabe von Zertifikaten oder Verweisen an Betroffene unbedingt erforderliche Ausmaß hinausgehende Verarbeitung von Daten ist unzulässig.
2. eine Portalverbundanwendung bereitzustellen, die es
a) Gemeinden, Bezirksverwaltungsbehörden und der ELGA-Ombudsstelle als datenschutzrechtlich Verantwortliche (Art4 Z7 DSGVO) ermöglicht, einer anfordernden Person Zertifikate (Abs1) sowie
b) den Kundenservicestellen der Österreichischen Gesundheitskasse als datenschutzrechtlich Verantwortliche (Art4 Z7 DSGVO) ermöglicht, einer anfordernden Person das Impfzertifikat (Abs1 Z3)
in gedruckter Form zur Verfügung zu stellen. Zertifikate dürfen in gedruckter Form und auf Anforderung auch an die Vertretung der betroffenen Person ausgefolgt werden. Jede über das für den Druck von Zertifikaten unbedingt erforderliche Ausmaß hinausgehende Verarbeitung von Daten ist unzulssig.
3. für Bürgerinnen und Bürger die Möglichkeit zur Einsichtnahme, zum Druck und zum Download von Zertifikaten im Wege des Zugangsportals (§23 GTelG 2012) zu schaffen; Die Authentifizierung der Bürgerinnen und Bürger hat gemäß §3 E-GovG zu erfolgen.
(8) Ein fehlerhaftes Genesungs- oder Impfzertifikat ist auf Grund einer Information der sie betreffenden Person von dem für das Gesundheitswesen zuständigen Bundesminister vor Ablauf seiner Gültigkeitsdauer zu widerrufen. Der für das Gesundheitswesen zuständige Bundesminister hat eine Stelle zu benennen, die Informationen über fehlerhafte Zertifikate entgegennimmt. Die benannte Stelle hat die Art des Fehlers zu erheben, für die Behebung des Fehlers zu sorgen und gegebenenfalls die Neuausstellung und Bereitstellung des Zertifikats binnen fünf Arbeitstagen an die betroffene Person zu veranlassen. Widerrufene Zertifikate sind unverzüglich im EPI-Service zu löschen.
(9) Die Verarbeitung von Daten gemäß Abs1 durch den für das Gesundheitswesen zuständigen Bundesminister ist außer zu den in den §§4b bis 4f genannten Zwecken, ausschließlich zur Fehlersuche und Fehlerbehebung sowie für statistische Auswertungen zulässig.
(10) Die für die Umsetzung der §§4b bis 4e erforderlichen Mittel sind den genannten Rechtsträgern aus dem COVID-19-Krisenbewältigungsfonds zu ersetzen.
Testzertifikat
§4c. (1) Das Testzertifikat hat folgende Daten zu enthalten:
1. Nachname(n) und Vorname(n) der getesteten Person, in dieser Reihenfolge,
2. Geburtsdatum der getesteten Person,
3. Zielkrankheit oder -erreger, auf die oder den die Person getestet wurde, ausschließlich lautend auf 'COVID-19' (umfasst auch 'SARS-CoV-2' oder dessen Varianten),
4. Art des Tests,
5. Bezeichnung des Tests (optional bei NAAT-Tests),
6. Bezeichnung des Herstellers des Tests (optional bei NAAT-Tests),
7. Datum und Uhrzeit der Probenahme,
8. Testergebnis,
9. Bezeichnung des Testzentrums oder der testenden Einrichtung (optional bei RAT-Tests),
10. Bezeichnung des Staates, in dem der Test durchgeführt wurde,
11. Bezeichnung des Ausstellers des Testzertifikats,
12. eindeutige Kennung des Testzertifikats.
(2) Die Daten gemäß Abs1 Z1 bis 9 sowie – falls verfügbar – die Sozialversicherungsnummer der getesteten Person sind von den Einrichtungen, die SARS-CoV-2-Tests im Sinne des §4b Abs2 auswerten, das sind insbesondere Teststellen und Labore, unter Einhaltung des §6 GTelG 2012 elektronisch in standardisierter Form an den für das Gesundheitswesen zuständigen Bundesminister zu übermitteln. Dabei sind die in §4 Abs12 bis 14 vorgesehenen Datensicherheitsmaßnahmen zu ergreifen. Der für das Gesundheitswesen zuständige Bundesminister ermittelt aus den übermittelten Daten im Wege der Abfrage des Patientenindex (§4 in Verbindung mit §18 GTelG 2012) oder – im Falle des Fehlens der Sozialversicherungsnummer – im Wege der Stammzahlenregisterbehörde das bereichsspezifische Personenkennzeichen Gesundheit (bPK-GH) und erstellt das Testzertifikat. Das Testzertifikat in den gemäß §4b Abs5 festgelegten Formaten sowie das bPK-GH sind im EPI-Service zu speichern. Teststellen dürfen das Testzertifikat für die getestete Person ausdrucken; zu diesem Zweck darf ihnen das Testzertifikat vom für das Gesundheitswesen zuständigen Bundesminister übermittelt werden. Die Teststellen sind berechtigt, das Testzertifikat zu diesem Zweck in personenbezogener Form zu verarbeiten.
(3) Im Anwendungsbereich des §4c sind der für das Gesundheitswesen zuständige Bundesminister und die übermittelnden Einrichtungen gemeinsam Verantwortliche im Sinne des Art4 Z7 in Verbindung mit Art26 DSGVO:
1. Der für das Gesundheitswesen zuständige Bundesminister ist verantwortlich für die Einrichtung und den Betrieb des EPI-Service (§4b Abs3) und für die Ausstellung und Bereitstellung der Testzertifikate gemäß §4b Abs1 Z1. Ihm obliegen folgende aus der DSGVO resultierende Pflichten:
a) Wahrnehmung von Anträgen gemäß Art15 DSGVO, sofern sie das EPI-Service betreffen;
b) Sicherstellung der Datensicherheit hinsichtlich des EPI-Service;
c) Wahrnehmung der Meldepflicht gemäß Art33 DSGVO sowie Benachrichtigung der betroffenen Personen gemäß Art34 DSGVO, sofern die Verletzung des Schutzes personenbezogener Daten im EPI-Service aufgetreten ist;
d) Zurverfügungstellung des wesentlichen Inhalts der Pflichtenaufteilung in geeigneter Weise.
2. Die Einrichtungen, die SARS-CoV-2-Tests im Sinne des §4b Abs2 auswerten, sind verantwortlich für die Ermittlung und Übermittlung der Testergebnisse. Ihnen obliegen folgende aus der DSGVO resultierende Pflichten:
a) Information der betroffenen Personen gemäß Art13 DSGVO in geeigneter Weise;
b) Wahrnehmung von Anträgen auf Auskunft (Art15 DSGVO), Berichtigung (Art16 DSGVO), Löschung (Art17 DSGVO) und Einschränkung der Verarbeitung (Art18 DSGVO) hinsichtlich jener Daten, die von der jeweiligen Einrichtung verarbeitet werden;
c) unverzügliche Benachrichtigung des für das Gesundheitswesen zuständigen Bundesministers über jede erfolgte Berichtigung oder Löschung oder Einschränkung der Verarbeitung (Art19 DSGVO) hinsichtlich jener Daten, die von der jeweiligen Einrichtung verarbeitet werden;
d) Sicherstellung der Datensicherheit hinsichtlich der Ermittlung und Übermittlung der Daten, die die jeweilige Einrichtung verarbeitet;
e) Wahrnehmung der Meldepflicht gemäß Art33 DSGVO sowie Benachrichtigung der betroffenen Personen gemäß Art34 DSGVO, sofern die Verletzung des Schutzes personenbezogener Daten bei der Ermittlung oder Übermittlung der Daten aufgetreten ist.
3. Sowohl dem für das Gesundheitswesen zuständigen Bundesminister als auch den Einrichtungen, die SARS-CoV-2-Tests im Sinne des §4b Abs2 auswerten, obliegen folgende aus der DSGVO resultierende Pflichten:
a) Verweis an den zuständigen Verantwortlichen, wenn eine betroffene Person unter Nachweis ihrer Identität ein Recht nach der DSGVO gegenüber einem unzuständigen Verantwortlichen wahrnimmt, wobei die betroffene Person entsprechend anzuleiten ist;
b) Information der betroffenen Personen gemäß Art12 Abs4 DSGVO, wenn aufgrund von deren Anträgen kein Tätigwerden erfolgt;
c) Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten gemäß Art30 Abs1 DSGVO sowie
d) Zusammenarbeit mit der Aufsichtsbehörde gemäß Art31 DSGVO.
(4) Der für das Gesundheitswesen zuständige Bundesminister kann auf Grund neuer wissenschaftlicher Erkenntnisse oder Festlegungen auf europäischer Ebene mit Verordnung die Gültigkeitsdauer von Testzertifikaten gemäß Abs1 sowie deren Berechnungsmethode festlegen oder ändern.
(5) Sämtliche Daten im EPI-Service sind eine Woche ab dem Datum der Probenahme zu löschen.
Genesungszertifikat
§4d. (1) Das Genesungszertifikat hat folgende Daten zu enthalten:
1. Nachname(n) und Vorname(n) der getesteten Person, in dieser Reihenfolge,
2. Geburtsdatum der getesteten Person,
3. Krankheit oder Erreger, von der oder dem die Person genesen ist, ausschließlich lautend auf 'COVID-19' (umfasst auch 'SARS-CoV-2' oder dessen Varianten),
4. Datum des ersten positiven NAAT-Testergebnisses,
5. Bezeichnung des Staates, in dem der Test durchgeführt wurde,
6. Bezeichnung des Ausstellers des Genesungszertifikats,
7. Gültigkeitsbeginn des Genesungszertifikats,
8. Gültigkeitsende des Genesungszertifikats,
9. eindeutige Kennung des Genesungszertifikats.
(2) Der für das Gesundheitswesen zuständige Bundesminister hat die Daten gemäß Abs1 Z1 bis 4 sowie die Sozialversicherungsnummer aus dem Register gemäß §4 und das bereichsspezifische Personenkennzeichen Gesundheit (bPK-GH) im Wege der Abfrage des Patientenindex (§4 in Verbindung mit §18 GTelG 2012) oder – im Falle des Fehlens der Sozialversicherung – im Wege der Stammzahlenregisterbehörde zu ermitteln. Die ELGA GmbH hat für den Fall, dass Antikörpertests als Grundlage für die Ausstellung von Genesungszertifikaten festgelegt werden (Abs4), die für die Ausstellung von Genesungszertifikaten erforderlichen Daten gemäß Abs1 Z1 bis 3 und 5 sowie das bPK-GH aus dem zentralen Impfregister (§24c GTelG 2012) zu ermitteln und dem für das Gesundheitswesen zuständigen Bundesminister unter Einhaltung des §6 GTelG 2012 sowie der technisch-organisatorischen Vorgaben (Schnittstellendefinition) zu übermitteln. Genesungszertifikate sind vom für das Gesundheitswesen zuständigen Bundesminister auf Anforderung von Betroffenen auszustellen.
(3) Das Genesungszertifikat darf frühestens am elften Tag ab dem Datum des ersten positiven NAAT-Testergebnisses ausgestellt werden, seine Gültigkeitsdauer darf 180 Tage, gerechnet ab dem Datum des ersten positiven NAAT-Testergebnisses, nicht übersteigen.
(4) Mit Verordnung kann der für das Gesundheitswesen zuständige Bundesminister auf Grund neuer wissenschaftlicher Erkenntnisse oder diesbezüglicher Festlegungen auf europäischer Ebene bestimmen:
1. abweichende Ausstellungsfristen bzw Gültigkeitsdauern,
2. dass, gegebenenfalls ab welchem Zeitpunkt und unter welchen Voraussetzungen weitere Testmethoden, insbesondere Antikörpertests, als Grundlage für die Ausstellung von Genesungszertifikaten verwendet werden dürfen.
(5) Das Genesungszertifikat in den gemäß §4b Abs5 festgelegten Formaten sowie das bPK-GH sind im EPI-Service zu speichern.
(6) Sämtliche Daten im EPI-Service sind eine Woche nach Gültigkeitsende des Genesungszertifikats zu löschen.
Impfzertifikat
§4e. (1) Das Impfzertifikat hat folgende Daten zu enthalten:
1. Nachname(n) und Vorname(n) der geimpften Person in dieser Reihenfolge,
2. Geburtsdatum der geimpften Person,
3. Krankheit oder Erreger, gegen die oder den die Person geimpft ist, ausschließlich lautend auf 'COVID-19' (umfasst auch 'SARS-CoV-2' oder dessen Varianten),
4. Impfstoff/Prophylaxe (generische Beschreibung des Impfstoffs oder seiner Komponenten),
5. Impfarzneimittel (Bezeichnung des Impfstoffs gemäß Zulassung),
6. Zulassungsinhaber oder Hersteller des Impfstoffs,
7. Nummer der Impfdosis und die Gesamtanzahl der Impfdosen einer Impfserie,
8. Datum der letzten Impfung der Impfserie,
9. Bezeichnung des Staates, in dem die Impfung durchgeführt wurde,
10. Bezeichnung des Ausstellers des Impfzertifikats,
11. eindeutige Kennung des Impfzertifikats.
(1a) Der für das Gesundheitswesen zuständige Bundesminister ist berechtigt, die Daten gemäß §4d Abs1 Z3 und 4 sowie das bereichsspezifische Personenkennzeichen Gesundheit (bPK-GH) der erkrankten Personen aus dem Register gemäß §4 der ELGA GmbH zu übermitteln. Die ELGA GmbH hat vor der Übermittlung an das EPI Service gemäß Abs2 die Gesamtanzahl der Impfdosen einer Impfserie gemäß Abs1 Z7 dem Genesungs-Status entsprechend zu ändern. Hierzu darf Sie die Daten gemäß §4d Abs1 Z3 und 4 verarbeiten. Eine Weiterverarbeitung über die Zwecke des Abs1a hinaus ist nicht zulässig. Mit Verordnung kann der für das Gesundheitswesen zuständige Bundesminister auf Grund neuer wissenschaftlicher Erkenntnisse oder diesbezüglicher Festlegungen auf europäischer Ebene bestimmen, ob und innerhalb welcher Fristen zwischen dem Datum der Erkrankung und der Impfung eine Änderung der Daten gemäß Abs1 Z7 notwendig ist.
(2) Die ELGA GmbH hat die für die Ausstellung von Impfzertifikaten erforderlichen Daten gemäß Abs1 Z1 bis 8, die Chargennummer des verabreichten Impfstoffs sowie das bPK-GH aus dem zentralen Impfregister (§24c GTelG 2012) zu ermitteln und dem für das Gesundheitswesen zuständigen Bundesminister unter Einhaltung des §6 GTelG 2012 sowie der technisch-organisatorischen Vorgaben (Schnittstellendefinition) zu übermitteln.
(3) Mit Verordnung kann der für das Gesundheitswesen zuständige Bundesminister auf Grund neuer wissenschaftlicher Erkenntnisse oder diesbezüglicher Festlegungen auf europäischer Ebene einen abweichenden Ausstellungszeitpunkt oder die Gültigkeitsdauer und deren Berechnungsmethode für Impfzertifikate festlegen.
(4) Das Impfzertifikat in den gemäß §4b Abs5 festgelegten Formaten sowie das bPK-GH werden im EPI-Service gespeichert. Impfstellen dürfen einer geimpften Person das Impfzertifikat ausdrucken, wofür ihnen das Impfzertifikat vom für das Gesundheitswesen zuständigen Bundesminister übermittelt werden darf. Zu diesem Zweck sind die Impfstellen berechtigt, das Impfzertifikat in personenbezogener Form zu verarbeiten.
(5) Der für das Gesundheitswesen zuständige Bundesminister hat das Impfzertifikat im PDF-Format samt bPK-GH der ELGA GmbH zur Speicherung im zentralen Impfregister zu übermitteln. Die ELGA GmbH hat das Impfzertifikat im zentralen Impfregister zu speichern und jenen Personen, bei denen bis zum Ablauf des 30. Juni 2021 die Impfserie abgeschlossen wurde, eine gedruckte Fassung des Impfzertifikats (PDF-Format) zur Verfügung zu stellen. Die ELGA GmbH hat eine für die Speicherung des Impfzertifikats im zentralen Impfregister sowie für den Druck und Versand von Impfzertifikaten beschränkte spezifische Zugriffsberechtigung im Sinne des §24f Abs4 GTelG 2012.
(6) Bürgerinnen und Bürger können auf das Impfzertifikat auch im Wege des §24e Abs1 Z1 GTelG 2012 zugreifen. Niedergelassene Ärztinnen und Ärzte im Sinne des §24c Abs2 Z1 GTelG 2012, sowie Apotheken gemäß §1 Apothekengesetz, RGBl. Nr 5/1907, dürfen die im zentralen Impfregister verfügbar gemachten Impfzertifikate für die Bürgerinnen und Bürger ausdrucken und haben hierfür eine spezifische Zugriffsberechtigung im Sinne des §24f Abs4 GTelG 2012.
(7) Sämtliche Daten im EPI-Service sind ein Jahr nach Übermittlung des Impfzertifikats an das zentrale Impfregister zu löschen.
Verarbeitung der Nachweise durch Überprüfende
§4f. (1) Überprüfende (§1 Abs5b Z1 bis 3 des COVID-19-Maßnahmengesetzes – COVID-19-MG, BGBl I Nr 12/2020) dürfen Zertifikate gemäß §4b Abs1 zum Zweck ihrer Verifizierung verarbeiten. Die Authentifizierung der Überprüfenden hat zu unterbleiben.
(2) Die Identifizierung einer Person durch Überprüfende hat anhand eines amtlichen Lichtbildausweises oder einer elektronischen Vorzeigemethode, die jedenfalls das kryptographisch gesicherte Bild aus einem amtlichen Lichtbildausweis der Person zu enthalten hat, zu erfolgen.
(3) Die Verifizierung von Zertifikaten durch Überprüfende darf ausschließlich auf dem Endgerät des Überprüfenden ('offline') erfolgen und hat die Signaturprüfung, aus der die syntaktische und inhaltliche Korrektheit sowie die zeitliche Gültigkeit hervorzugehen hat, zu umfassen.
(4) Elektronische Anwendungen zur Verifizierung von Zertifikaten gemäß §§4c bis 4e haben – ausgenommen bei ihrer Verwendung beim Grenzübertritt – die bereitgestellten Zertifikatsdaten für Überprüfende eingeschränkt darzustellen, nämlich mit Nachname(n), Vorname(n) und dem Geburtsdatum der Person, für die das Zertifikat ausgestellt wurde, sowie text- und farbcodiert entweder mit
1. 'gültig' (grün hinterlegt), wenn ein zeitlich gültiges Test-, Genesungs- oder ein Impfzertifikat verfügbar ist, oder
2. 'ungültig' (rot hinterlegt), wenn kein zeitlich gültiges oder kein verifizierbares Zertifikat verfügbar ist.
(5) Elektronische Anwendungen zur Verifizierung von Zertifikaten dürfen folgende zusätzliche Informationen über die Ursache des Rückgabewerts 'ungültig' (rot hinterlegt) der/dem Überprüfenden bereitstellen:
1. 'Gültigkeitsdauer abgelaufen',
2.'QR-Code fehlerhaft',
3. 'Signaturprüfung fehlgeschlagen'.
(6) Sofern eine elektronische Anwendung zur Verifizierung von Zertifikaten den quelloffenen Prüfmechanismus nicht unverändert verwendet, ist dem für das Gesundheitswesen zuständigen Bundesminister der geänderte Source Code offen zu legen. Vorgefundene Mängel sind unverzüglich zu beheben. Der für das Gesundheitswesen zuständige Bundesminister hat den Zugang zum quelloffenen Code für die Verifizierung von Zertifikaten auf geeignete Weise zu veröffentlichen.
(7) Jede über das für die Verifizierung von Zertifikaten unbedingt erforderliche Ausmaß hinausgehende Verarbeitung von Daten durch Überprüfende ist unzulässig.
Erhebungen über das Auftreten einer Krankheit
§5. (1) Über jede Anzeige sowie über jeden Verdacht des Auftretens einer anzeigepflichtigen Krankheit haben die zuständigen Behörden durch die ihnen zur Verfügung stehenden Ärzte unverzüglich die zur Feststellung der Krankheit und der Infektionsquelle erforderlichen Erhebungen und Untersuchungen einzuleit
