Zehntes Kapitel: Versicherungs- und Leistungsdaten, Datenschutz, Datentransparenz [1]

Erster Abschnitt: Informationsgrundlagen

Zweiter Titel: Informationsgrundlagen der Krankenkassen

§ 291 Elektronische Gesundheitskarte [2]

(1) Die Krankenkasse stellt für jeden Versicherten eine elektronische Gesundheitskarte aus.

(2) Die elektronische Gesundheitskarte muss technisch geeignet sein,

1. Authentifizierung, Verschlüsselung und elektronische Signatur barrierefrei zu ermöglichen,

2. die Anwendungen der Telematikinfrastruktur nach § 334 Absatz 1 zu unterstützen und

3. sofern sie vor dem 1. Januar 2026 ausgestellt wird, die Speicherung von Daten nach § 291a, und, wenn sie nach diesem Zeitpunkt ausgestellt wird, die Speicherung von Daten nach § 291a Absatz 2 Nummer 1 bis 3 und 6 zu ermöglichen; zusätzlich müssen vor dem 1. Januar 2025 ausgegebene elektronische Gesundheitskarten die Speicherung von Daten nach § 334 Absatz 1 Satz 2 Nummer 2 bis 5 in Verbindung mit § 358 Absatz 4 und nach dem 1. Januar 2025 ausgegebene elektronische Gesundheitskarten die Speicherung von Daten nach § 334 Absatz 1 Satz 2 Nummer 5 in Verbindung mit § 358 Absatz 4 ermöglichen.

(3) ¹Elektronische Gesundheitskarten müssen mit einer kontaktlosen Schnittstelle ausgestattet sein. ²Die Krankenkassen sind verpflichtet,

1. Versicherten auf deren Verlangen unverzüglich eine elektronische Gesundheitskarte mit kontaktloser Schnittstelle und eine persönliche Identifikationsnummer (PIN) zur Verfügung zu stellen, soweit dies noch nicht erfolgt ist, und

2. Versicherten ab dem 1. November 2023 als Verfahren zur nachträglichen, sicheren Identifikation nach § 336 Absatz 4 Nummer 3 und zur sicheren Identifikation nach § 336 Absatz 5 auch die Nutzung eines elektronischen Identitätsnachweises nach § 18 des Personalausweisgesetzes, nach § 12 des eID-Karte-Gesetzes oder nach § 78 Absatz 5 des Aufenthaltsgesetzes anzubieten.

(3a) ¹Bei der Ausgabe von elektronischen Gesundheitskarten mit einer kontaktlosen Schnittstelle nach Absatz 3 informieren die Krankenkassen Versicherte barrierefrei über

1. die Möglichkeit und das Verfahren, eine zugehörige persönliche Identifikationsnummer (PIN) beantragen zu können und

2. die Nutzungsmöglichkeiten solcher Karten für Anwendungen nach § 334 Absatz 1 Satz 2 Nummer 1, 4, 6 und 7.

²Die Krankenkassen informieren nach Satz 1 auch die Versicherten, denen eine elektronische Gesundheitskarte mit kontaktloser Schnittstelle ohne diese Informationen zur Verfügung gestellt wurde. ³Der Spitzenverband Bund der Krankenkassen berichtet dem Bundesministerium für Gesundheit halbjährlich beginnend ab dem 1. Januar 2023 über die jeweilige Anzahl der von den einzelnen Kassen an die Versicherten ausgegebenen elektronischen Gesundheitskarten mit einer kontaktlosen Schnittstelle und die jeweilige Anzahl der an die Versicherten versendeten PINs.

(4) ¹Die elektronische Gesundheitskarte gilt nur für die Dauer der Mitgliedschaft bei der ausstellenden Krankenkasse und ist nicht übertragbar. ²Die Krankenkasse kann die Gültigkeit der Karte befristen.

(5) Spätestens bei der Versendung der elektronischen Gesundheitskarte an den Versicherten hat die Krankenkasse den Versicherten umfassend und in allgemein verständlicher, barrierefreier Form zu informieren über die Funktionsweise der elektronischen Gesundheitskarte und die Art der personenbezogenen Daten, die nach § 291a auf der elektronischen Gesundheitskarte oder durch sie zu verarbeiten sind.

(6) ¹Die Krankenkasse hat bei der Ausstellung der elektronischen Gesundheitskarte die in der Richtlinie gemäß § 217f Absatz 4b vorgesehenen Maßnahmen und Vorgaben zum Schutz von Sozialdaten der Versicherten vor unbefugter Kenntnisnahme umzusetzen. ²Die Krankenkasse kann zum Zwecke des in der Richtlinie zum 1. Oktober 2023 vorzusehenden Abgleichs der Versichertenanschrift mit den Daten aus dem Melderegister vor dem Versand der elektronischen Gesundheitskarte und deren persönlicher Identifikationsnummer (PIN) an den Versicherten die Daten nach § 34 Absatz 1 Satz 1 Nummer 1 bis 5, 9 und 11 des Bundesmeldegesetzes aus dem Melderegister abrufen.

(7) ¹Spätestens ab dem 1. Januar 2022 stellen die Krankenkassen den Versicherten gemäß den Festlegungen der Gesellschaft für Telematik ein technisches Verfahren barrierefrei zur Verfügung, welches die Anforderungen nach § 336 Absatz 4 erfüllt. ²Spätestens ab dem 1. Februar 2024 stellen die Krankenkassen den Versicherten gemäß den Festlegungen der Gesellschaft für Telematik ein technisches und automatisiertes Verfahren barrierefrei zur Verfügung, um aus der Komponente nach § 360 Absatz 10 Satz 1 heraus die Nutzung von Verfahren zur Wahrnehmung der Zugriffsrechte nach § 336 Absatz 1 zu beantragen. ³Die Krankenkassen haben die Voraussetzungen dafür zu schaffen, dass Versicherte ein Identifizierungsverfahren spätestens am übernächsten Werktag nach der Beantragung nach Satz 2 nutzen können.

(7a) ¹Ist eine Krankenkasse ihrer jeweiligen Verpflichtung nach Absatz 7 nicht nachgekommen, so stellt der Spitzenverband Bund der Krankenkassen dies durch Bescheid fest. ²Der Spitzenverband Bund der Krankenkassen veröffentlicht auf seiner Internetseite ab dem 15. März 2024 eine Übersicht derjenigen Krankenkassen, die ihrer Verpflichtung nach Absatz 7 nicht nachgekommen sind. ³Die Übersicht ist laufend zu aktualisieren.

(8) ¹Spätestens ab dem 1. Januar 2024 stellen die Krankenkassen den Versicherten ergänzend zur elektronischen Gesundheitskarte auf Verlangen eine sichere digitale Identität für das Gesundheitswesen barrierefrei zur Verfügung, die die Vorgaben nach Absatz 2 Nummer 1 und 2 erfüllt und die Bereitstellung von Daten nach § 291a Absatz 2 und 3 durch die Krankenkassen ermöglicht. ²Ab dem 1. Januar 2026 dient die digitale Identität nach Satz 1 in gleicher Weise wie die elektronische Gesundheitskarte zur Authentisierung des Versicherten im Gesundheitswesen und als Versicherungsnachweis nach § 291a Absatz 1. ³Die Gesellschaft für Telematik legt die Anforderungen an die Sicherheit und Interoperabilität der digitalen Identitäten fest. ⁴Die Festlegung der Anforderungen an die Sicherheit und den Datenschutz erfolgt dabei im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragen für den Datenschutz und die Informationsfreiheit auf Basis der jeweils gültigen Technischen Richtlinien des Bundesamts für Sicherheit in der Informationstechnik und unter Berücksichtigung der notwendigen Vertrauensniveaus der unterstützten Anwendungen. ⁵Eine digitale Identität kann über verschiedene Ausprägungen mit verschiedenen Sicherheits- und Vertrauensniveaus verfügen. ⁶Das Sicherheits- und Vertrauensniveau der Ausprägung einer digitalen Identität muss mindestens dem Schutzbedarf der Anwendung entsprechen, bei der diese eingesetzt wird. ⁷Abweichend von Satz 6 kann der Versicherte nach umfassender Information durch die Krankenkasse über die Besonderheiten des Verfahrens in die Nutzung einer digitalen Identität einwilligen, die einem anderen angemessenen Sicherheitsniveau entspricht. ⁸Die Anforderungen an die Sicherheit und Interoperabilität dieses Nutzungsweges der digitalen Identität werden von der Gesellschaft für Telematik festgelegt. ⁹Die Festlegung erfolgt hinsichtlich der Anforderungen an die Sicherheit und den Datenschutz im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik und der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit. ¹⁰Krankenkassen sind verpflichtet, spätestens ab dem 1. Oktober 2024 berechtigten Dritten die Nutzung der digitalen Identitäten nach Satz 1 zum Zwecke der Authentifizierung von Versicherten zu ermöglichen. ¹¹Berechtigte Dritte nach Satz 10 sind Anbieter von Anwendungen nach § 306 Absatz 4 oder Anbieter, für die aufgrund eines Gesetzes oder einer Rechtsverordnung die Nutzung der digitalen Identität nach Satz 1 vorgeschrieben ist. ¹²Darüber hinaus kann die Gesellschaft für Telematik durch verbindlichen Beschluss nach § 315 Absatz 1 Satz 1 Anbieter weiterer Dienste oder Anwendungen nach § 306 Absatz 1 Nummer 2 Buchstabe a als berechtigte Dritte diskriminierungsfrei festlegen. ¹³Berechtigte Dritte dürfen zum Zweck der Authentifizierung von Versicherten mittels der digitalen Identitäten personenbezogene Daten des Versicherten verarbeiten, sofern diese für die Nutzung der digitalen Identität erforderlich sind und der Versicherte in die Nutzung der digitalen Identität durch die jeweilige Anwendung eingewilligt hat. ¹⁴Bei der Verarbeitung sind die Anforderungen des Datenschutzes einzuhalten. ¹⁵Spätestens ab dem 1. Juli 2023 stellen die Krankenkassen zur Nutzung berechtigten Dritten Verfahren zur Erprobung der Integration der sicheren digitalen Identität nach Satz 1 zur Verfügung.

(9) ¹Die Versicherten können über eine von ihrer Krankenkasse angebotene Benutzeroberfläche einen Nachweis der Berechtigung zur Inanspruchnahme von Leistungen im Rahmen der vertragsärztlichen Versorgung von ihrer gesetzlichen Krankenkasse für die Vorlage bei einem Leistungserbringer anfordern, der unmittelbar von der Krankenkasse über ein sicheres Übermittlungsverfahren nach § 311 Absatz 6 an den Leistungserbringer übermittelt wird. ²Für die Mitteilung der durchgeführten Prüfung des Nachweises nach Satz 1 durch den Leistungserbringer gilt § 291b Absatz 3 entsprechend.