Zehntes Kapitel: Versicherungs- und Leistungsdaten, Datenschutz, Datentransparenz [1]

Erster Abschnitt: Informationsgrundlagen

Zweiter Titel: Informationsgrundlagen der Krankenkassen

§ 291 Elektronische Gesundheitskarte [2]

(1) Die Krankenkasse stellt für jeden Versicherten eine elektronische Gesundheitskarte aus.

(2) Die elektronische Gesundheitskarte muss technisch geeignet sein,

1. Authentifizierung, Verschlüsselung und elektronische Signatur barrierefrei zu ermöglichen,

2. die Anwendungen der Telematikinfrastruktur nach § 334 Absatz 1 zu unterstützen und

3. sofern sie vor dem 1. Januar 2026 ausgestellt wird, die Speicherung von Daten nach § 291a, und, wenn sie nach diesem Zeitpunkt ausgestellt wird, die Speicherung von Daten nach § 291a Absatz 2 Nummer 1 bis 3 und 6 zu ermöglichen; zusätzlich müssen vor dem 1. Januar 2025 ausgegebene elektronische Gesundheitskarten die Speicherung von Daten nach § 334 Absatz 1 Satz 2 Nummer 2 bis 5 in Verbindung mit § 358 Absatz 4 und nach dem 1. Januar 2025 ausgegebene elektronische Gesundheitskarten die Speicherung von Daten nach § 334 Absatz 1 Satz 2 Nummer 5 in Verbindung mit § 358 Absatz 4 ermöglichen.

(3) ¹Elektronische Gesundheitskarten müssen mit einer kontaktlosen Schnittstelle ausgestattet sein. ²Die Krankenkassen sind verpflichtet,

1. Versicherten auf deren Verlangen unverzüglich eine elektronische Gesundheitskarte mit kontaktloser Schnittstelle und eine persönliche Identifikationsnummer (PIN) zur Verfügung zu stellen, soweit dies noch nicht erfolgt ist, und

2. Versicherten ab dem 1. November 2023 als Verfahren zur nachträglichen, sicheren Identifikation nach § 336 Absatz 4 Nummer 3 und zur sicheren Identifikation nach § 336 Absatz 5 auch die Nutzung eines elektronischen Identitätsnachweises nach § 18 des Personalausweisgesetzes, nach § 12 des eID-Karte-Gesetzes oder nach § 78 Absatz 5 des Aufenthaltsgesetzes anzubieten.

(3a) ¹Bei der Ausgabe von elektronischen Gesundheitskarten mit einer kontaktlosen Schnittstelle nach Absatz 3 informieren die Krankenkassen Versicherte barrierefrei über

1. die Möglichkeit und das Verfahren, eine zugehörige persönliche Identifikationsnummer (PIN) beantragen zu können und

2. die Nutzungsmöglichkeiten solcher Karten für Anwendungen nach § 334 Absatz 1 Satz 2 Nummer 1, 4, 6 und 7.

²Die Krankenkassen informieren nach Satz 1 auch die Versicherten, denen eine elektronische Gesundheitskarte mit kontaktloser Schnittstelle ohne diese Informationen zur Verfügung gestellt wurde. ³Der Spitzenverband Bund der Krankenkassen berichtet dem Bundesministerium für Gesundheit halbjährlich beginnend ab dem 1. Januar 2023 über die jeweilige Anzahl der von den einzelnen Kassen an die Versicherten ausgegebenen elektronischen Gesundheitskarten mit einer kontaktlosen Schnittstelle und die jeweilige Anzahl der an die Versicherten versendeten PINs.

(4) ¹Die elektronische Gesundheitskarte gilt nur für die Dauer der Mitgliedschaft bei der ausstellenden Krankenkasse und ist nicht übertragbar. ²Die Krankenkasse kann die Gültigkeit der Karte befristen.

(5) Spätestens bei der Versendung der elektronischen Gesundheitskarte an den Versicherten hat die Krankenkasse den Versicherten umfassend und in allgemein verständlicher, barrierefreier Form zu informieren über die Funktionsweise der elektronischen Gesundheitskarte und die Art der personenbezogenen Daten, die nach § 291a auf der elektronischen Gesundheitskarte oder durch sie zu verarbeiten sind.

(6) ¹Die Krankenkasse hat bei der Ausstellung der elektronischen Gesundheitskarte die in der Richtlinie gemäß § 217f Absatz 4b vorgesehenen Maßnahmen und Vorgaben zum Schutz von Sozialdaten der Versicherten vor unbefugter Kenntnisnahme umzusetzen. ²Die Krankenkasse kann zum Zwecke des in der Richtlinie zum 1. Oktober 2023 vorzusehenden Abgleichs der Versichertenanschrift mit den Daten aus dem Melderegister vor dem Versand der elektronischen Gesundheitskarte und deren persönlicher Identifikationsnummer (PIN) an den Versicherten die Daten nach § 34 Absatz 1 Satz 1 Nummer 1 bis 5, 9 und 11 des Bundesmeldegesetzes aus dem Melderegister abrufen.

(7) ¹Die Krankenkassen stellen den Versicherten gemäß den Festlegungen der Gesellschaft für Telematik ein technisches Verfahren barrierefrei zur Verfügung, welches die Anforderungen nach § 336 Absatz 4 erfüllt. ²Mit Zustimmung des Versicherten sind die Krankenkassen hierbei befugt, zur Prüfung der Identität des Versicherten Daten entsprechend den Vorgaben des § 20 Absatz 3a Satz 1 des Personalausweisgesetzes, des § 16a Absatz 3 Satz 1 des Passgesetzes und des § 78 Absatz 7 Satz 3 des Aufenthaltsgesetzes zu den betroffenen Datenkategorien und deren Verarbeitung auszulesen und zu verwenden; Entsprechendes gilt für das Auslesen und Verwenden von Daten aus einem amtlichen Ausweis oder Pass eines anderen Staates, mit dem die Pass- und Ausweispflicht im Inland erfüllt wird. ³Die Krankenkassen stellen den Versicherten gemäß den Festlegungen der Gesellschaft für Telematik ein technisches und automatisiertes Verfahren barrierefrei zur Verfügung, um aus der Komponente nach § 360 Absatz 10 Satz 1 heraus die Nutzung von Verfahren zur Wahrnehmung der Zugriffsrechte nach § 336 Absatz 1 zu beantragen. ⁴Die Krankenkassen haben die Voraussetzungen dafür zu schaffen, dass Versicherte ein Identifizierungsverfahren spätestens am übernächsten Werktag nach der Beantragung nach Satz 3 nutzen können.

(7a) ¹Ist eine Krankenkasse ihrer jeweiligen Verpflichtung nach Absatz 7 nicht nachgekommen, so stellt der Spitzenverband Bund der Krankenkassen dies durch Bescheid fest. ²Der Spitzenverband Bund der Krankenkassen veröffentlicht auf seiner Internetseite ab dem 15. März 2024 eine Übersicht derjenigen Krankenkassen, die ihrer Verpflichtung nach Absatz 7 nicht nachgekommen sind. ³Die Übersicht ist laufend zu aktualisieren.

(8) ¹Die Krankenkassen stellen den Versicherten ergänzend zur elektronischen Gesundheitskarte auf Verlangen eine digitale Identität für das Gesundheitswesen barrierefrei zur Verfügung, die die Vorgaben nach Absatz 2 Nummer 1 und 2 erfüllt und die Bereitstellung von Daten nach § 291a Absatz 2 und 3 durch die Krankenkassen ermöglicht. ²Mit Zustimmung des Versicherten sind die Krankenkassen hierbei befugt, zur Prüfung der Identität des Versicherten Daten entsprechend den Vorgaben des § 20 Absatz 3a Satz 1 des Personalausweisgesetzes, des § 16a Absatz 3 Satz 1 des Passgesetzes und des § 78 Absatz 7 Satz 3 des Aufenthaltsgesetzes zu den betroffenen Datenkategorien und deren Verarbeitung auszulesen und zu verwenden; Entsprechendes gilt für das Auslesen und Verwenden von Daten aus einem amtlichen Ausweis oder Pass eines anderen Staates, mit dem die Pass- und Ausweispflicht im Inland erfüllt wird. ³Ab dem 1. Januar 2027 dient die digitale Identität nach Satz 1 in gleicher Weise wie die elektronische Gesundheitskarte zur Authentisierung des Versicherten im Gesundheitswesen und als Versicherungsnachweis nach § 291a Absatz 1. ⁴Die Gesellschaft für Telematik legt die Anforderungen an die Sicherheit und Interoperabilität der digitalen Identitäten fest. ⁵Die Festlegung der Anforderungen an die Sicherheit und den Datenschutz erfolgt dabei im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragen für den Datenschutz und die Informationsfreiheit auf Basis der jeweils gültigen Technischen Richtlinien des Bundesamts für Sicherheit in der Informationstechnik und unter Berücksichtigung der notwendigen Vertrauensniveaus der unterstützten Anwendungen. ⁶Eine digitale Identität kann über verschiedene Ausprägungen mit verschiedenen Sicherheits- und Vertrauensniveaus verfügen. ⁷Das Sicherheits- und Vertrauensniveau der Ausprägung einer digitalen Identität muss mindestens dem Schutzbedarf der Anwendung entsprechen, bei der die digitale Identität eingesetzt wird. ⁸Abweichend von Satz 7 kann der Versicherte nach umfassender Information durch die Krankenkasse über die Besonderheiten des Verfahrens in die Nutzung einer digitalen Identität einwilligen, die einem anderen angemessenen Sicherheitsniveau entspricht. ⁹Die Anforderungen an die Sicherheit und Interoperabilität dieses Nutzungsweges der digitalen Identität werden von der Gesellschaft für Telematik festgelegt. ¹⁰Die Festlegung erfolgt hinsichtlich der Anforderungen an die Sicherheit und den Datenschutz im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit. ¹¹Die Krankenkassen sind verpflichtet, berechtigten Dritten die Nutzung der digitalen Identitäten nach Satz 1 zum Zwecke der Authentifizierung von Versicherten zu ermöglichen. ¹²Berechtigte Dritte nach Satz 11 sind Anbieter von Anwendungen nach § 306 Absatz 4 oder Anbieter, für die auf Grund eines Gesetzes oder einer Rechtsverordnung die Nutzung der digitalen Identität nach Satz 1 vorgeschrieben ist. ¹³Darüber hinaus kann die Gesellschaft für Telematik durch verbindlichen Beschluss nach § 315 Absatz 1 Satz 1 Anbieter weiterer Dienste oder Anwendungen nach § 306 Absatz 1 Nummer 2 Buchstabe a als berechtigte Dritte diskriminierungsfrei festlegen. ¹⁴Berechtigte Dritte dürfen zum Zweck der Authentifizierung von Versicherten mittels der digitalen Identitäten personenbezogene Daten des Versicherten verarbeiten, sofern diese für die Nutzung der digitalen Identität erforderlich sind und der Versicherte in die Nutzung der digitalen Identität durch die jeweilige Anwendung eingewilligt hat. ¹⁵Bei der Verarbeitung sind die Anforderungen des Datenschutzes einzuhalten. ¹⁶Die Krankenkassen stellen den zur Nutzung berechtigten Dritten Verfahren zur Erprobung der Integration der digitalen Identität nach Satz 1 zur Verfügung.

(9) ¹Die Versicherten können von ihrer Krankenkasse über eine von ihrer Krankenkasse angebotene Benutzeroberfläche einen Nachweis der Berechtigung zur Inanspruchnahme von Leistungen im Rahmen der vertragsärztlichen Versorgung für die Vorlage bei einem Leistungserbringer anfordern, der unmittelbar von der Krankenkasse über ein sicheres Übermittlungsverfahren nach § 311 Absatz 6 an den Leistungserbringer übermittelt wird. ²Mit Einwilligung des Versicherten kann ein Leistungserbringer den in Satz 1 genannten Nachweis auch unmittelbar über das sichere Übermittlungsverfahren nach § 311 Absatz 6 anfordern. ³Die Einwilligung des Versicherten kann formlos erfolgen. ⁴Der Leistungserbringer hat die Einwilligung des Versicherten in seinem informationstechnischen System zu protokollieren. ⁵Voraussetzung für die Nutzung des Verfahrens nach Satz 2 ist, dass der Versicherte in der jeweiligen Leistungserbringerinstitution bekannt ist. ⁶Die Krankenkasse hat den Versicherten über die Ausstellung eines Nachweises der Berechtigung zur Inanspruchnahme von Leistungen im Rahmen der vertragsärztlichen Versorgung nach den Sätzen 2 bis 5 auf geeignete Weise zu benachrichtigen. ⁷Das Verfahren nach den Sätzen 2 bis 6 soll nur in Ausnahmefällen genutzt werden. ⁸Das Weitere zur Durchführung des Verfahrens nach den Sätzen 2 bis 6 regelt der Spitzenverband Bund der Krankenkassen im Benehmen mit den Verbänden der Leistungserbringer. ⁹Für die Mitteilung der durchgeführten Prüfung des Nachweises nach Satz 1 durch den Leistungserbringer gilt § 291b Absatz 3 entsprechend.