Datenschutzorganisation und Zuweisung von Verantwortlichkeiten im Datenschutz

CGM Arztsysteme Österreich GmbH – ein Unternehmen der CGM SE & Co. KGaA („CGM“), erachtet den verantwortungsvollen Umgang und die Achtung des Schutzes personenbezogener Daten als obersten Grundsatz. CGM Arztsysteme Österreich GmbH sichert stets die genaue Einhaltung aller relevanten Rechtsvorschriften (insbesondere Datenschutz-Grundverordnung [DSGVO] und Datenschutzgesetz [DSG]) bei der Verarbeitung der personenbezogenen Daten ein.

CGM (https://www.cgm.com/corp_de/impressum/compu-group-medical-se-co-k-ga-a.html) hat ein zentrales Datenschutzmanagement eingeführt, das innerhalb aller CGM-Unternehmen ein einheitliches und hohes Niveau für den Schutz personenbezogener Daten gewährleistet und die Einhaltung der entsprechenden Datenschutzvorschriften sicherstellt.

Mit dieser Datenschutzerklärung erfüllen wir unsere Informationspflichten und stellen Ihnen Informationen über den Umgang mit Daten bei der CGM zur Verfügung. Diese Datenschutzerklärung bezieht sich auf CGM MEDXPERT.

Die aktuellste Version dieser Datenschutzerklärung finden Sie immer im Benutzerhandbuch von CGM MEDXPERT sowie in CGM MEDXPERT selbst.

Arztinformationssystem CGM MEDXPERT

CGM Arztsysteme Österreich GmbH ist ein für alle gängigen ärztlichen Praxisformen im ambulanten Sektor geeignetes ärztliches Informations- und Abrechnungssystem und unterstützt Praxen bei der Einhaltung der gesetzlichen Vorgaben, der strukturierten Dokumentation, der Praxisverwaltung, der Abrechnung, der Verordnung sowie der Erfüllung weiterer Anforderungen an die Praxis, wobei eine modulare Erweiterung jederzeit möglich ist. CGM MEDXPERT verfügt über ein eigenes Benutzerrechte-Konzept. Der Zugriff auf die Software ist somit nur berechtigten Personen gestattet. Das Konzept regelt neben dem Zugriff auf das Produkt selbst auch den Zugriff auf bestimmte Module sowie die Regelung von Schreib- und Leserechten. Grundsatz des Konzepts ist, dass nur Personen, bei denen dies für die Erfüllung gesetzlicher oder vertraglicher Pflichten oder für Verarbeitungen, für die eine Einwilligung vorliegt, unbedingt notwendig ist, ausschließlich jene Daten verarbeiten, die zur Erbringung erforderlich sind.

Verarbeitung von personenbezogenen Daten durch CGM

Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person.

Die CGM speichert bei der Verwendung der angebotenen Produkte / Dienste folgende Arten von Daten auf ihren Server:

• Vertrags- und Registrierungsdaten

• Daten zum technischen Betrieb

Wir verpflichten uns gemäß DSGVO und DSG, sämtliche Vertragsdaten, sämtliche Protokolldaten und sämtliche Daten zum technischen Betrieb nach Kündigung Ihres Vertrages zu löschen. Soweit uns eine längere gesetzliche Verpflichtung zur Aufbewahrung trifft, werden die Daten erst nach Ablauf dieser Frist gelöscht.

Daten zum technischen Betrieb (definiert in Punkt 3.2) werden nur so lange gespeichert, wie es technisch notwendig ist, spätestens jedoch nach Kündigung Ihres Vertrages gelöscht, sofern dem keine gesetzliche Aufbewahrungspflicht entgegensteht.

Verarbeitung von personenbezogenen Daten in CGM MEDXPERT auf dem Server Ihrer Praxis

Wenn Sie CGM MEDXPERT einsetzen, verarbeiten Sie als datenschutzrechtlich Verantwortlicher damit personenbezogene Daten. Dies sind in der Regel die folgenden Daten:

• Stammdaten der Praxis

• Stammdaten der Ordinationsmitarbeiter

• Personenbezogene Daten von zuweisenden Ärzten (Arztstammdaten)

• Patientendaten

  • Stammdaten

  • Besondere Kategorien personenbezogener Daten (bisher: „Sensible Daten“)

Diese Daten werden in der Datenbank auf dem Server Ihrer Praxis gespeichert und verarbeitet.

Datenübermittlung

CGM MEDXPERT übermittelt Daten elektronisch auf gesetzlicher, vertraglicher oder einwilligungsbasierter Grundlage nur nach Interaktion durch den Anwender oder – entsprechend der Zustimmung – automatisiert.

Zur elektronischen Übermittlung auf gesetzlicher Grundlage gehören

• Abrechnungen, wie

  • Kassenabrechnung (DVP)

• ELGA

  • eMedikationsdaten

  • eBefunde

  • eImpfpass

• e-card

  • Konsultationen (online und offline)

  • Elektronische Bewilligungen (eBS)

  • Elektronische Arbeitsunfähigkeitsmeldungen (eAUM)

  • Disease Management Programme (DMP)

  • Arzneimittelbewilligungsservice (ABS)

  • Vorsorgeuntersuchungen (VU-NEU)

  • e-Rezept (EREZ)

• Gerichteter Befundversand

Die Einhaltung der verpflichtenden Anforderungen der Sozialversicherungs-Chipkarten Betriebs- und Errichtungsgesellschaft m.b.H. – SVC sowie der einschlägigen Rechtsvorschriften (GTelG) zur sicheren Übertragung der Daten ist gewährleistet. Die Übermittlung erfolgt in der Regel über den gerichteten Befundversand (z.B. MEDICAL NET). Dieser überträgt Daten Ende-zu-Ende verschlüsselt.

Zur elektronischen Übermittlung auf vertraglicher Grundlage gehören

• Elektronische Abrechnung von medizinischen Leistungen mit den Kostenträgern
  Anwender rechnen medizinische Leistungen gemäß Organisationsbeschreibung für den Datenaustausch mit Vertragspartnern (DVP) des Hauptverbands der Österreichischen Sozialversicherungsträger ab und übermitteln diese elektronisch an den entsprechenden Kostenträger.

• Elektronische Abrechnung von Medikamenten für hausapothekenführende Ärzte
  Hausapothekenführende Ärzte rechnen abgegebene Medikamente gemäß Organisationsbeschreibung für den Datenaustausch mit Vertragspartnern (DVP) des Hauptverbands der Österreichischen Sozialversicherungsträger ab und übermitteln diese elektronisch an den entsprechenden Kostenträger.

• Abrechnungsdaten für das Selbstzahlerabrechnungsservice der CGM
  Ärzte können die gesamte Abrechnung von selbstzahlenden Patienten an Dienstleister auslagern. Dabei werden Daten übermittelt, welche zur Rechnungslegung benötigt werden. Die Übermittlung erfolgt in der Regel über den gerichteten Befundversand (z. B. MEDICAL NET)

• Impfaufzeichnungen
  Für bestimmte Versicherungsträger werden Excel-Listen mit Impfaufzeichnungen der Patienten erstellt. Dabei werden Impfcharge, Impfart, Sozialversicherungsnummer, Geburtsdatum, Vorname, Nachname, Titel, Straße, Postleitzahl und Ort übermittelt.

• SMS-Versand an Patienten
  Das SMS Modul ermöglicht den direkten SMS-Versand aus der Kartei sowie Sammel-SMS und Terminerinnerungen.

• EbM-Guidelines
  Die EbM-Guidelines fassen den vorhandenen Wissensstand aktuell und übersichtlich zusammen. Jeder Artikel bietet einen kurz gefassten aber prägnanten Überblick mit praxisgerechten Empfehlungen. So erhalten Ärzte für fast alle Konsultationsanlässe Informationen für die ärztliche Entscheidungsfindung.

• DEP – Datenerfassungsprotokoll HCS
  Das Datenerfassungprotokoll (gemäß BAO) wird bei entsprechender Beauftragung extern bei HCS GmbH gesichert. Die Übermittlung der Daten erfolgt entsprechend den Vorgaben der gerichteten Befundkommunikation.

• WAHOnline
  Speziell für Wahlärzte und Wahltherapeuten, werden bereits bezahlte Honorarnoten elektronisch an die teilnehmenden Kassen übermittelt. Die Übermittlung der Daten erfolgt entsprechend den Vorgaben der gerichteten Befundkommunikation.
  

Die Einhaltung der entsprechenden Rechtsvorschriften (GTelG) zur sicheren Übertragung der Daten ist gewährleistet. Die Übermittlung erfolgt in der Regel über den gerichteten Befundversand (z. B. MEDICAL NET). Dieser überträgt Daten Ende-zu-Ende verschlüsselt.

Elektronische Datenübermittlung aus weiteren einwilligungsbasierten Verfahren

Zu weiteren einwilligungsbasierten Verfahren gehören solche Funktionen, die nicht zu den gesetzlichen oder vertraglichen Verfahren gehören.

Eine Übermittlung in Drittstaaten findet nicht statt.

Verpflichtung zur Vertraulichkeit, Datenschutzschulungen

Patientendaten, insbesondere die Gesundheitsdaten, unterliegen den Sicherheitsanforderungen der Datenschutzgesetze (DSGVO und DSG 2018). Zusätzlich drohen bei Verletzungen des Datengeheimnisses Strafen gemäß Strafgesetzbuch (StGB) sowie dem Gesetz gegen den unlauteren Wettbewerb (UWG).

Wir greifen auf diese nur im vereinbarten Rahmen zu und beschränken den Zugriff auf Vertragsdaten, Protokolldaten und Daten zum technischen Betrieb auf Mitarbeiter und Auftragnehmer der CGM, für die diese Informationen zwingend erforderlich sind, um die Leistungen aus unserem Vertrag zu erbringen. Diese Personen sind an die Einhaltung dieser Datenschutzerklärung und an Vertraulichkeitsverpflichtungen (§ 6 DSG 2018, § 6 GTelG, §§ 119 ff StGB) verpflichtend gebunden. Die Verletzung dieser Vertraulichkeitsverpflichtungen kann mit Entlassung und Strafverfolgung geahndet werden.

Die Mitarbeiter werden regelmäßig auf Datenschutz geschult.

Sicherheitsmaßnahmen / Vermeidung von Risiken

Die CGM trifft geeignete technische und organisatorische Maßnahmen, um Ihre personenbezogenen Daten sowie Ihrer Kundendaten (Patientendaten) vor unerlaubtem Zugriff, unerlaubten Änderungen, Offenlegung, Verlust, Vernichtung und sonstigem Missbrauch zu schützen. Hierzu gehören interne Prüfungen unserer Vorgehensweise bei der Datenerhebung, -speicherung und -verarbeitung, weiterhin Sicherheitsmaßnahmen zum Schutz vor unberechtigtem Zugriff auf Systeme, auf denen wir Vertragsdaten oder Daten zum technischen Betrieb speichern. Datenschutzrechtliche Probleme und Sicherheitsrisiken, die von Dritten an uns herangetragen werden, versuchen wir ehestmöglich zu beheben.

Technische und organisatorische Maßnahmen

Um die Datensicherheit zu gewährleisten, überprüft die CGM regelmäßig den Stand der Technik. Hierzu werden unter anderem typische Schadensszenarien ermittelt und anschließend der Schutzbedarf für einzelne personenbezogene Daten abgeleitet und in Schadenskategorien eingeteilt. Zudem wird eine Risikobewertung durchgeführt.

Weiterhin dienen differenzierte Penetrationstest zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit dieser technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

Zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen werden folgende Grundsätze normiert:

• Backup / Datensicherung (Praxis)
  Zur Vorbeugung von Datenverlust werden die Daten regelmäßig gesichert (Backup des AIS und der Zusatzprodukte).

• Privacy by design
  Die CGM achtet darauf, dass Datenschutz und Datensicherheit bereits in der Planung und Entwicklung von IT-Systemen berücksichtigt werden. Somit wird dem Umstand vorgebeugt, dass die Vorgaben des Datenschutzes und der Datensicherheit erst nach dem Bereitstellen von IT-Systemen durch teure und zeitaufwendige Zusatzprogrammierungen umgesetzt werden müssen. Bereits bei der Herstellung werden Möglichkeiten wie Deaktivierung von Funktionalitäten, Authentifizierung oder Verschlüsselungen berücksichtigt.

• Privacy by default
  Weiterhin sind die Produkte der CGM im Auslieferungszustand bereits datenschutzfreundlich voreingestellt, so dass nur die personenbezogenen Daten verarbeitet werden, die für den verfolgten Zweck erforderlich sind.

• Kommunikation per E-Mail (Praxis / CGM)
  Sollten Sie mit der CGM per E-Mail in Kontakt treten wollen, weisen wir darauf hin, dass die Vertraulichkeit der übermittelten Informationen nicht gewährleistet ist. Der Inhalt von E-Mails kann von Dritten eingesehen werden. Wir empfehlen Ihnen daher, uns vertrauliche Informationen ausschließlich über den Postweg zukommen zu lassen.

• Fernwartung
  In Ausnahmefällen kann es vorkommen, dass Mitarbeiter oder Auftragnehmer der CGM auf Patienten- und Kundendaten und somit evtl. auch auf ihre Daten der Ordination zurückgreifen müssen. Hierzu gibt es zentrale Regelungen der CGM.

• • Die Fernwartungs-Zugänge bleiben geschlossen und werden nur durch Kunden frei geschaltet.

  • Passwörter zu Kundensystemen werden nur für die Fernwartung erteilt.

  • Besondere Tätigkeiten werden durch das 4-Augenprinzip über qualifizierte Personen abgesichert

  • Wir verwenden Fernwartungsmedien, bei welchen der Kunde aktiv den Zugang freigeben muss und die Aktivitäten mitverfolgen kann.

  • Die Dokumentation des Fernwartungszugriffes erfolgt im CRM System. Dokumentiert werden: Ausführender Mitarbeiter, Zeitpunkt (Datum/Uhrzeit), Dauer, Zielsystem, das Fernwartungsmedium, kurze Beschreibung der Tätigkeit. Bei kritischen Tätigkeiten werden auch die nach dem als 4-Augenprinzip herangezogenen Mitarbeiter erfasst.

  • Die Aufzeichnung der Sitzungen ist verboten.

Rechte der Betroffenen

Personenbezogene Daten des Arztes und der Ordinationsmitarbeiter

Sie haben das Recht auf Auskunft über zu Ihrer Person gespeicherten Daten sowie ggf. Rechte auf Berichtigung, Einschränkung der Verarbeitung, Widerspruch, Sperrung oder Löschung dieser Daten.

Bei der CGM erteilten Einwilligungen haben Sie das Recht, diese jederzeit mit der Wirkung für die Zukunft zu widerrufen.

Darüber hinaus haben Sie das Recht, sich bei der für Sie zuständigen Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Meinung sind, dass wir Ihre personenbezogenen Daten nicht rechtmäßig verarbeiten.

Personenbezogene Daten Ihrer Patienten

Ihre Patienten haben das Recht auf Auskunft über zu ihnen gespeicherten Daten, Mitnahme dieser Daten (Recht auf Datenportabilität) sowie ggf. Rechte auf Berichtigung, Einschränkung der Verarbeitung, Widerspruch, Sperrung oder Löschung dieser Daten.

Bei den Löschanfragen sind Sie jedoch gesetzlich verpflichtet, die geltenden Aufbewahrungsfristen zu beachten.

Bei der Ihnen erteilten Einwilligungen haben Ihre Patienten das Recht, diese jederzeit mit der Wirkung für die Zukunft zu widerrufen.

Darüber hinaus haben sie das Recht, sich bei der für sie zuständigen Datenschutzaufsichtsbehörde zu beschweren, wenn sie der Meinung sind, dass Sie Ihre personenbezogenen Daten nicht richtig verarbeiten.

Durchsetzung

Die CGM überprüft regelmäßig und durchgängig die Einhaltung dieser Datenschutzbestimmungen. Erhält die CGM formale Beschwerdeschriften, wird sie mit dem Verfasser bezüglich seiner Bedenken Kontakt aufnehmen, um eventuelle Beschwerden hinsichtlich der Verwendung von persönlichen Daten zu lösen. Die CGM verpflichtet sich, dazu kooperativ mit den entsprechenden Behörden, einschließlich Datenschutzaufsichtsbehörden, zusammenzuarbeiten.

Änderungen an dieser Datenschutzerklärung

Beachten Sie, dass diese Datenschutzerklärung von Zeit zu Zeit ergänzt und geändert werden kann. Sollten die Änderungen wesentlich sein, werden wir eine ausführlichere Benachrichtigung ausgeben. Jede Version dieser Datenschutzbestimmungen ist anhand ihres Datums- und Versionsstandes in der Fußzeile dieser Datenschutzerklärung (Stand) zu identifizieren. Außerdem archivieren wir alle früheren Versionen dieser Datenschutzbestimmungen zu Ihrer Einsicht auf Nachfrage beim Datenschutzbeauftragten der CGM Arztsysteme Österreich GmbH.

Verantwortlich für CGM Arztsysteme Österreich GmbH

CGM Arztsysteme Österreich GmbH
Ricoweg 22
2351 Wiener Neudorf

Datenschutzbeauftragter

Bei Fragen hinsichtlich der Verarbeitung Ihrer personenbezogenen Daten können Sie sich an den Datenschutzbeauftragten wenden, der Ihnen im Falle von Auskunftsersuchen oder Beschwerden zur Verfügung steht:

Harald Lacherstorfer
CGM Arztsysteme Österreich GmbH | HCS GmbH
Geranienstraße 1
4481 Asten

Harald.Lacherstorfer@cgm.com

Zuständige Aufsichtsbehörde

Für die CGM Arztsysteme Österreich GmbH ist die

Österreichische Datenschutzbehörde
Barichgasse 40-42
1030 Wien
Telefon: +43 1 52 152-0
E‑Mail: dsb@dsb.gv.at

als Aufsichtsbehörde zuständig.

Version: 1, Sep 06, 2024 09:17