Nr 101). 5 Ein Verstoß wegen ungeklärter Verantwortlichkeiten (Art 5 Abs 1 und 2, Art 24, Art 26 Abs 1 Satz 2 DS-GVO) in der dezentralen Zone der TI im Quartal 1/2019 liege nicht vor. Durch § 307 SGB V idF des PDSG sei zwar erst ab dem 20.10.2020 eine ausdrückliche gesetzliche Regelung auf nationaler Ebene geschaffen worden. Eine explizite Festlegung und Bestimmbarkeit der Verantwortlichkeiten habe sich aber schon aus der DS-GVO (Art 4 Nr 7, Art 26 Abs 1 Satz 1 DS-GVO) ergeben. 6 Es habe nicht zwingend vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (Datenschutz-Folgenabschätzung) durchgeführt werden müssen (Art 35 Abs 1 Satz 1 DS-GVO). Die Verarbeitung personenbezogener Daten von Patienten durch einzelne Ärzte gelte nicht als umfangreich und riskant (Erwägungsgrund <ErwGr> 91 der DS-GVO). 7 § 291 Abs 2b Satz 3 und 14 SGB V aF griffen auch nicht unverhältnismäßig in die Berufsausübungsfreiheit (Art 12 Abs 1 Satz 2 GG) ein. Der Regelungszweck der Verhinderung von Missbrauch der elektronischen Gesundheitskarte sei legitim und diene letztlich dem Erhalt der finanziellen Stabilität der gesetzlichen Krankenversicherung (GKV) (Hinweis auf BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 98). Zur Verwirklichung dieses Ziels habe der Gesetzgeber auch vertragsärztliche Leistungserbringer in die Pflicht nehmen dürfen, die von der Einbeziehung in das öffentlich-rechtliche System des Vertragsarztrechts profitieren (Hinweis auf BVerfG Beschluss vom 31.10.1984 - 1 BvR 35/82 ua - BVerfGE 68, 193, 221). Auch nach der Rechtsprechung des BVerfG gebe es keine absolute Datensicherheit. Ein Standard müsse gewährleistet sein, der wie hier der Sensibilität der betroffenen Daten und dem jeweiligen Gefährdungsrisiko Rechnung trage und bei neuen Erkenntnissen fortentwickelt werde (Urteil vom 27.7.2022). 8 Mit ihrer Sprungrevision rügt die Klägerin eine Verletzung materiellen Rechts sowie von Verfahrensrecht. Die Pflicht zur Anbindung an die TI stelle zumindest nach dem bis zum 20.10.2020 geltenden Regelungskonzept des SGB V einen unverhältnismäßigen Eingriff in die ärztliche Berufsausübungsfreiheit dar, deren Befolgung zu mehrfachen Verstößen gegen die DS-GVO führe. Die Honorarkürzung sei daher rechtswidrig. Nach der Rechtsprechung des BVerfG und des BSG zur elektronischen Verarbeitung sensibler Daten müsse der Gesetzgeber selbst in qualifizierter Weise einen hohen Sicherheitsstandard vorgeben. Die gesetzlichen Vorgaben müssten normenklar und verbindlich sein. Sie müssten sicherstellen, dass fortlaufend neue Erkenntnisse und Einsichten berücksichtigt werden. Dies sei im SGB V bis zum Inkrafttreten des PDSG am 20.10.2020 in Bezug auf die TI nicht erfolgt. In der bis zum 18.12.2019 geltenden Fassung der streitigen Regelungen des SGB V sei die technische Ausgestaltung der Datensicherheit vollständig der Gesellschaft für Telematik überlassen worden. Erst im PDSG sei ein hohes Schutzniveau gesetzlich vorgegeben worden (jetzt § 306 Abs 3 SGB V), sowie ein Verweis auf den Stand der Technik erfolgt (jetzt § 311 Abs 3 Satz 4 SGB V). Auch hätten erst Folgeregelungen im SGB V Vorgaben für die Wartung dezentraler TI-Komponenten festgelegt. Die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung für die vertragsärztliche Versorgung (§ 75b Abs 1 SGB V) sei nicht vor dem Jahr 2021 in Kraft getreten. Zuvor sei Sicherheitsrisiken nicht hinreichend begegnet worden. Auch an einer Datenschutz-Folgenabschätzung gemäß Art 35 Abs 1 DS-GVO habe es vor Beginn der Datenverarbeitung gefehlt. Im streitigen Zeitraum hätte sich die Klägerin bei einer Anbindung an die TI als datenschutzrechtlich Mitverantwortliche einer Mithaftung für datenschutzrechtliche Verstöße und einem Bußgeldrisiko nach der DS-GVO ausgesetzt. Die datenschutzrechtliche Verantwortlichkeit sei gesetzlich nicht hinreichend geregelt gewesen. Darüber hinaus habe das SG unzutreffend die TI-Konnektorenlösung als einzig mögliche technische Lösung angenommen, obwohl es weniger eingreifende Lösungen (wie zB die 2D-Barcode-Alternativmethode) zur Bekämpfung des Versichertenkartenmissbrauchs gegeben habe. Die Sanktionierung sei insgesamt unverhältnismäßig. Dass auch die weiteren klägerischen Einwände in Bezug auf datenschutzrechtliche Mängel nicht berücksichtigt worden seien, stelle für sich gesehen einen absoluten Revisionsgrund im Sinne des § 547 Nr 6 ZPO iVm § 202 Satz 1 SGG dar. 9 Die Klägerin beantragt,das Urteil des SG Mainz vom 27.7.2022 aufzuheben, den Bescheid der Beklagten vom 29.7.2019 in Gestalt des Widerspruchsbescheids vom 27.8.2020 zu ändern und die Beklagte zu verurteilen, der Klägerin Honorar für das Quartal 1/2019 ohne eine Kürzung wegen der Nichtanbindung an die Telematikinfrastruktur zu gewähren. 10 Die Beklagte beantragt,die Revision zurückzuweisen. 11 Sie hält die angefochtene Entscheidung für rechtmäßig. 12 Die zulässige Revision ist unbegründet (§ 170 Abs 1 Satz 1 SGG). 13 A. Von Amts wegen zu berücksichtigende Verfahrensmängel, die einer Sachentscheidung des Senats entgegenstünden, sind nicht ersichtlich. Ein absoluter Revisionsgrund im Sinne von § 202 Satz 1 SGG iVm § 547 Nr 6 ZPO liegt nicht vor. 14 1. Die Rüge der Klägerin, das Urteil des SG leide an dem Mangel unzureichender Entscheidungsgründe, weil nicht alle Einwände berücksichtigt worden seien, greift nicht. Unter § 547 Nr 6 ZPO fallen weder knapp gefasste noch unvollständige oder vermeintlich fehlerhaft begründete Entscheidungen (vgl BSG Beschluss vom 12.2.2004 - B 4 RA 67/03 B - juris RdNr 7 mwN; Schmidt in Meyer-Ladewig/Keller/Schmidt, SGG, 14. Aufl 2023, § 162 RdNr 10e mwN). Ein Urteil ist nicht als fehlerhaft aufzuheben, solange eine Auseinandersetzung mit dem Kern des Vorbringens erkennbar und die Argumentation noch nachvollziehbar und verständlich ist (vgl BSG Urteil vom 27.6.2012 - B 6 KA 28/11 R - BSGE 111, 114 =
Nr 22 mwN). Über diese Anforderungen geht das Urteil des SG, das sich eingehend mit der wesentlichen Argumentation der Klägerin auseinandergesetzt hat, weit hinaus. Im Übrigen kann die Sprungrevision nicht auf Mängel des Verfahrens gestützt werden (vgl § 161 Abs 4 SGG). 15 2. Zutreffende Klageart ist die kombinierte, auf Zahlung höheren Honorars gerichtete Anfechtungs- und Leistungsklage (§ 54 Abs 1 Satz 1 Alt 1 und Abs 4 SGG). Vergleichbar mit der quartalsgleichen Richtigstellung macht die Klägerin das teilweise versagte Honorar zu Recht im Wege einer Leistungsklage geltend, verbunden mit der Anfechtungsklage gegen den teilweise ablehnenden Bescheid (vgl BSG Urteil vom 10.12.2008 - B 6 KA 66/07 R - juris RdNr 14; BSG Urteil vom 12.12.2012 - B 6 KA 5/12 R -
Nr 9 mwN; BSG Urteil vom 26.6.2019 - B 6 KA 68/17 R -
Nr 15). 16 B. In materieller Hinsicht hat das SG die Klage zu Recht abgewiesen. Der angegriffene Honorarbescheid ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten. Die für das Quartal 1/2019 vorgenommene Honorarkürzung ist revisionsrechtlich nicht zu beanstanden. Der Einwand der Klägerin, dass die Befolgung der Pflicht zur Anbindung an die TI im Quartal 1/2019 mehrfache Verstöße gegen die DS-GVO zur Folge hätte und die Sanktionierung der Nichtanbindung einen unverhältnismäßigen Eingriff in ihre Berufsausübungsfreiheit darstelle, greift nicht durch. 17 Maßgeblicher Zeitpunkt für die Beurteilung der Rechtmäßigkeit der Höhe des gewährten Honorars ist die materielle Rechtslage im Quartal 1/2019 (dazu 1). Die Voraussetzungen für eine Honorarkürzung nach § 291 Abs 2b Satz 3 und 14 SGB V aF lagen vor (dazu 2). Die gesetzlichen Regelungen zur Einbeziehung der ärztlichen Leistungserbringer in die TI und zu ihrer Verpflichtung zur Durchführung des Online-Abgleichs der Versichertenstammdaten verstoßen nicht gegen Vorgaben der DS-GVO (dazu 3), insbesondere nicht gegen die Gewährleistung einer ausreichenden Datensicherheit des Normenprogramms (dazu 4). Die zugrunde liegenden Rechtsvorschriften verletzen weder die Grundrechte der Klägerin aus der Verfassung noch aus der Europäischen Grundrechtecharta (GRCh) (dazu 5). 18 1. Die streitige Honorarkürzung betrifft nur das Quartal 1/2019. Für die Höhe des Honoraranspruchs der Klägerin ist auf die materielle Rechtslage in diesem Quartal abzustellen (allgemein vgl Keller in Meyer-Ladewig/Keller/Schmidt, SGG, 14. Aufl 2023, § 54 RdNr 34 mwN). Dies gilt auch für die datenschutzrechtlichen Vorgaben, da sich die Beurteilung der Rechtmäßigkeit der Honorarkürzung nur nach den zum Zeitpunkt des sanktionierten Verhaltens geltenden datenschutzrechtlichen Vorschriften richten kann. Die durch das PDSG bei den Vorschriften zur elektronischen Gesundheitskarte (§§ 291 ff SGB V) und zur TI (§§ 306 ff SGB V) eingetretenen Rechtsänderungen sind daher keiner revisionsrechtlichen Prüfung zu unterziehen. Sie erfassen nicht das streitige Rechtsverhältnis im Quartal 1/2019. 19 2. Gesetzliche Grundlage für die Honorarkürzung ist § 291 Abs 2b Satz 3 und 14 SGB V aF. Für die Klägerin ergab sich im Quartal 1/2019 aus § 291 Abs 2b Satz 3 SGB V aF die Verpflichtung zur Anbindung an die TI, um den dort geregelten Online-Abgleich der Versichertenstammdaten durchführen zu können. Die an der vertragsärztlichen Versorgung teilnehmenden Ärzte, Einrichtungen und Zahnärzte prüfen gemäß § 291 Abs 2b Satz 3 SGB V aF bei der erstmaligen Inanspruchnahme ihrer Leistungen durch einen Versicherten im Quartal die Leistungspflicht der Krankenkasse durch Nutzung der Dienste nach § 291 Abs 2b Satz 1 SGB V aF. Dazu ermöglichen sie den Online-Abgleich und die Online-Aktualisierung der auf der elektronischen Gesundheitskarte nach § 291 Abs 1 und 2 SGB V aF gespeicherten Daten mit den bei der Krankenkasse vorliegenden aktuellen Daten (§ 291 Abs 2b Satz 4 SGB V aF). Die nach § 291 Abs 1 Satz 1 und 2 SGB V aF von den Krankenkassen für jeden Versicherten als Versicherungsnachweis ausgestellte elektronische Gesundheitskarte enthält gemäß § 291 Abs 2 Satz 1 SGB V aF im Wesentlichen folgende Daten: Die Bezeichnung der ausstellenden Krankenkasse, einschließlich eines Kennzeichens für die KÄV, in deren Bezirk der Versicherte seinen Wohnsitz hat (Nr 1), den Familiennamen und Vornamen des Versicherten (Nr 2), das Geburtsdatum des Versicherten (Nr 3), das Geschlecht des Versicherten (Nr 4), die Anschrift des Versicherten (Nr 5), die Krankenversichertennummer des Versicherten (Nr 6), den Versichertenstatus, für die Personengruppen nach § 264 Abs 2 SGB V aF den Status der auftragsweisen Betreuung (Nr 7), den Zuzahlungsstatus des Versicherten (Nr 8), den Tag des Beginns des Versicherungsschutzes (Nr 9), bei befristeter Gültigkeit der elektronischen Gesundheitskarte das Datum des Fristablaufs (Nr 10). Daneben können die in § 291 Abs 2 Satz 2 SGB V aF genannten weiteren Daten enthalten sein. Die Prüfungspflicht gemäß § 291 Abs 2b Satz 3 SGB V aF besteht ab dem Zeitpunkt, ab dem die Dienste nach Satz 1 sowie die Anbindung an die TI zur Verfügung stehen und die Vereinbarungen nach § 291a Abs 7a und 7b SGB V (idF des Gesetzes für sichere digitale Kommunikation und Anwendungen im Gesundheitswesen sowie zur Änderung weiterer Gesetze vom 21.12.2015 mWv 29.12.2015, BGBl I 2408 - im Folgenden aF) geschlossen sind (§ 291 Abs 2b Satz 5 SGB V aF). Im Quartal 1/2019 lagen die in § 291 Abs 2b Satz 5 SGB V aF normierten Voraussetzungen für den Beginn der Prüfungspflicht der Klägerin nach den bindenden Feststellungen des SG (§ 163 SGG) vor. 20 Nach § 291 Abs 2b Satz 14 SGB V aF ist den an der vertragsärztlichen Versorgung teilnehmenden Ärzten, Einrichtungen und Zahnärzten, die die Prüfung nach Satz 3 ab dem 1.1.2019 nicht durchführen, die Vergütung vertragsärztlicher Leistungen pauschal um ein Prozent so lange zu kürzen, bis sie die Prüfung durchführen. Von der Kürzung nach Satz 14 ist bis zum 30.6.2019 abzusehen, wenn der an der vertragsärztlichen Versorgung teilnehmende Arzt oder Zahnarzt oder die an der vertragsärztlichen Versorgung teilnehmende Einrichtung gegenüber der jeweils zuständigen KÄV nachweist, bereits vor dem 1.4.2019 die Anschaffung der für die Prüfung nach Satz 3 erforderlichen Ausstattung vertraglich vereinbart zu haben (§ 291 Abs 2b Satz 16 SGB V aF). Nach den Feststellungen des SG ist die Klägerin ihrer Verpflichtung zur Anbindung an die TI und zur Durchführung des Online-Abgleichs der Versichertenstammdaten im Quartal 1/2019 nicht nachgekommen. Sie hat auch nicht eingewendet, bereits vor dem 1.4.2019 eine vertragliche Vereinbarung über die erforderliche Ausstattung abgeschlossen zu haben. 21 3. Die gesetzlichen Regelungen zur elektronischen Gesundheitskarte - einschließlich der Regelungen zur Verpflichtung der Klägerin zur Anbindung an die TI und Durchführung des Online-Abgleichs der Versichertenstammdaten - verstießen im Quartal 1/2019 nicht gegen Vorgaben der DS-GVO. Der Schutzbereich und sachliche Geltungsbereich der DS-GVO sind eröffnet (dazu a bis c). Die Klägerin war im streitigen Quartal Verantwortliche iS der DS-GVO für die rechtmäßige Datenverarbeitung im Rahmen des Online-Abgleichs der Versichertenstammdaten im Bereich der dezentralen TI-Komponenten (dazu d). Die Verarbeitung der personenbezogenen Gesundheitsdaten entspricht den Rechtmäßigkeitsanforderungen der DS-GVO (dazu e). 22
Nr 14 ff; BSG Urteil vom 18.12.2018 - B 1 KR 40/17 R - SozR 4-7645 Art 9 Nr 1 RdNr 29; BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 25 ff mwN). Es ist nicht davon auszugehen, dass die in Art 168 Abs 7 AEUV zum Ausdruck kommende Grundentscheidung, die Verantwortung für die Organisation, Verwaltung und Finanzierung des gesamten Gesundheitssystems allein den Mitgliedstaaten zu überlassen (vgl Wallrabenstein in Wegener <Hrsg>, Enzyklopädie Europarecht, 2. Aufl 2021, Bd 8, § 8 RdNr 104 mwN) generell zur Begründung einer Ausnahme von der unmittelbaren Anwendbarkeit der DS-GVO herangezogen werden kann (vgl allgemein Kühling/Raab in Kühling/Buchner, DS-GVO BDSG, 4. Aufl 2024, Einführung RdNr 8 und Weichert in Kühling/Buchner, DS-GVO BDSG, 4. Aufl 2024, Art 9 DS-GVO RdNr 96). Die DS-GVO regelt weder Struktur noch Organisation des Gesundheitswesens unmittelbar im Kern, sondern setzt hierfür Rahmenbedingungen (vgl Weichert in Kühling/Buchner, DS-GVO BDSG, 4. Aufl 2024, Art 9 DS-GVO RdNr 96) und belässt den Mitgliedstaaten über Öffnungsklauseln in der DS-GVO bereichsspezifische Gestaltungsspielräume. 26 Eines konkreten grenzüberschreitenden Sachverhalts bedarf es bei der Anwendung der DS-GVO nicht (vgl EuGH Urteil vom 21.12.2023 - C-667/21 - EuZW 2024, 270 - zum Rechtsstreit des MDK Nordrhein wegen der Verarbeitung von Gesundheitsdaten eines Mitarbeiters; EuGH Urteil vom 9.7.2020 - C-272/19 - NVwZ 2020, 1497, 1499 RdNr 66 ff - zur Datenverarbeitung des Petitionsausschusses des Hessischen Landtags im Rahmen einer Petition; vgl allgemein Bäcker in Wegener <Hrsg>, Enzyklopädie Europarecht, 2. Aufl 2021, Bd 8, § 11 RdNr 19 mwN; aA Schröder in Streinz, EUV/AEUV, 3. Aufl 2018, Art 16 AEUV RdNr 9). 27
Nr 30 f). Die Klägerin nahm iS des Art 4 Nr 7 Halbsatz 1 DS-GVO im Eigeninteresse auf die Entscheidung über die Zwecke und Mittel der Datenverarbeitung Einfluss. Charakteristisch für den Verantwortlichen ist sein rechtlicher oder tatsächlicher Einfluss auf die Datenverarbeitung (vgl Schantz in Schantz/Wolff, Das neue Datenschutzrecht, 1. Aufl 2017, C IV 1 c RdNr 361). Derjenige, der - wie hier - Datenverarbeitungsvorgänge zu eigenen Zwecken in "Eigenregie" durchführt, ist aufgrund der tatsächlichen Herrschaft für den Datenverarbeitungsvorgang verantwortlich (vgl Heckmann, Gutachterliche Stellungnahme für den Gesundheitsausschuss des Deutschen Bundestages, Sachverständigenanhörung vom 27.5.2020 zum Entwurf des PDSG, 25.5.2020, Ausschussdrucks 19 <14> 165 <25> RdNr 6). 31
Nr 32 mwN). Die nationalen Ermächtigungen, die die Reichweite des Datenschutzes und den Zweck der Verarbeitung bei der Durchführung des Online-Abgleichs der Versichertenstammdaten regeln, finden sich - bezogen auf das hier maßgebliche Quartal 1/2019 - in § 1 Abs 1, 2 und 5 und § 22 Abs 1 BDSG (hinsichtlich der Datenverarbeitung durch Vertragsärzte) sowie in den bereichsspezifischen Vorschriften der § 15 Abs 2 SGB V (idF des Gesetzes für sichere digitale Kommunikation und Anwendungen im Gesundheitswesen sowie zur Änderung weiterer Gesetze vom 21.12.2015 mWv 29.12.2015, BGBl I 2408 - im Folgenden aF), § 284 SGB V (idF des Heil- und Hilfsmittelversorgungsgesetzes - HHVG - vom 4.4.2017 mWv 1.1.2018, BGBl I 778 - im Folgenden aF), §§ 291, 291a SGB V aF (vgl BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 33 ff zu den gesetzlichen Grundlagen nach Inkrafttreten des PDSG). An der vertragsärztlichen Versorgung teilnehmende Ärzte verarbeiten keine Sozialdaten iS von § 67 Abs 2 Satz 1 SGB X, da sie als Leistungserbringer nicht zu den in § 35 Abs 1 SGB I ausdrücklich genannten Stellen gehören (vgl BSG Urteil vom 10.12.2008 - B 6 KA 37/07 R - BSGE 102,134 =
Nr 23; Schifferdecker in BeckOGK, SGB I, § 35 RdNr 62, Stand 15.2.2024; Dochow, MedR 2020, 979, 980). 35 Überdies wahrte die mit dem Online-Abgleich der Versichertenstammdaten verbundene Datenverarbeitung den Grundsatz der Verhältnismäßigkeit iS des Art 6 Abs 3 Satz 4 DS-GVO. Die Datenverarbeitung diente legitimen Zielen iS des Art 6 Abs 3 DS-GVO. Der Online-Abgleich der Versichertenstammdaten ermöglicht es, die Aktualität und die Zuordnung der elektronischen Gesundheitskarte zum jeweiligen Karteninhaber zu überprüfen und damit ungültige sowie verloren oder gestohlen gemeldete Karten zu identifizieren, um so Leistungsmissbrauch zu verhindern. Entgegen der Auffassung der Klägerin ist die sog Barcode-Lösung (Ermöglichung eines Offline-Abgleichs der Versichertenstammdaten in der Praxis, nachdem den Versicherten ihre Daten zuvor von der Krankenkasse per Post übermittelt wurden), kein gleich oder besser geeignetes Mittel, das den Online-Abgleich der Versichertenstammdaten entbehrlich machen könnte. Aufgrund der Abhängigkeit von der Compliance der Versicherten sowie des Fehlens der Möglichkeit eines Echtzeitabgleichs handelt es sich um eine weniger effektive Methode (so zutreffend Schüttler, jurisPR-MedizinRecht 8/2022 Anm 5 und Lorenz, juris PR-ITR 6/2023 Anm 6; zur Wahrung des Verhältnismäßigkeitsgrundsatzes vgl auch BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 43 ff; s auch BSG Urteil vom 23.3.2023 - B 6 KA 14/22 R -
Nr 29 zum Erstattungsbegehren einer KÄV gegen eine Krankenkasse wegen Behandlungen vermeintlicher Grenzgänger aufgrund nicht mehr gültiger europäischer Krankenversicherungskarten). 36 bb) Die Verarbeitung von Gesundheitsdaten (Art 4 Nr 15 DS-GVO) ist gemäß Art 9 Abs 1 DS-GVO grundsätzlich untersagt (Verbot mit Erlaubnisvorbehalt). Es greift jedoch jedenfalls die Ausnahme des Art 9 Abs 2 Buchst h iVm Art 9 Abs 3 DS-GVO. Danach ist die Verarbeitung von Gesundheitsdaten zulässig, wenn sie ua für Zwecke der Gesundheitsvorsorge, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs vorbehaltlich der in Art 9 Abs 3 DS-GVO genannten Bedingungen und Garantien erforderlich ist (zur Erforderlichkeit s auch RdNr 34). Personenbezogene Gesundheitsdaten dürfen zu den in Art 9 Abs 2 Buchst h DS-GVO genannten Zwecken nach Art 9 Abs 3 DS-GVO nur von Fachpersonal oder unter dessen Verantwortung verarbeitet werden, das nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder durch Personen, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegen. Diese Voraussetzungen wurden hinsichtlich der Verarbeitung der auf der elektronischen Gesundheitskarte und im Rahmen der TI gespeicherten Daten erfüllt (s hierzu bereits BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 75 mwN). Gemäß Art 9 Abs 4 DS-GVO sind für Gesundheitsdaten ergänzend die im innerstaatlichen Recht zusätzlich statuierten Bedingungen und Beschränkungen zu beachten (vgl BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 71 mwN). § 22 Abs 1 BDSG konkretisiert als nationale Regelung die Tatbestände, in denen die Verarbeitung besonderer Kategorien personenbezogener Daten ausnahmsweise zulässig ist (Art 9 Abs 2 Buchst b, g, h und i DS-GVO; vgl BT-Drucks 18/11325 S 94; Bieresborn, VSSAR 2/2023, 135, 179). Strengere Anforderungen an den Ermächtigungstatbestand als Art 9 Abs 2 Buchst h DS-GVO begründet die Vorschrift jedoch nicht. 37 4. Die Regelungen zum Online-Abgleich der Versichertenstammdaten alter Rechtslage widersprachen nicht den Vorgaben der DS-GVO zur Gewährleistung einer ausreichenden Datensicherheit. Die angemessene Sicherheit personenbezogener Daten war gewährleistet (dazu a). Eine vorherige Datenschutz-Folgenabschätzung war nicht erforderlich (dazu b). Die Regelungen zum Online-Abgleich der Versichertenstammdaten waren ausreichend normenklar ausgestaltet (dazu c). Die notwendige Überwachung für den sicheren Betrieb der Telematik war gewährleistet (dazu d). Der Gesetzgeber ist seiner Beobachtungs- und Nachbesserungspflicht nachgekommen (dazu e). 38 a) Das streitige Normenkonzept ist mit den Vorgaben der DS-GVO zur Gewährleistung einer ausreichenden Datensicherheit vereinbar. Nach Art 5 Abs 1 Buchst f DS-GVO müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen ("Integrität und Vertraulichkeit"). Dazu gehört auch, dass Unbefugte keinen Zugang zu den Daten haben und weder die Daten noch die Geräte, mit denen diese verarbeitet werden, benutzen können (vgl ErwGr 39 zur DS-GVO). Jede Verarbeitung personenbezogener Daten muss ua mit den in Art 5 DS-GVO aufgestellten Grundsätzen im Einklang stehen (vgl EuGH Urteil vom 24.2.2022 - C-175/20 - EuZW 2022, 527, 529 RdNr 50 mwN). 39 Für Verantwortliche enthält Art 24 DS-GVO eine allgemeine Verpflichtung für die Verarbeitung personenbezogener Daten, unter Beachtung der Eintrittswahrscheinlichkeit und Schwere von Risiken, geeignete technische und organisatorische Maßnahmen umzusetzen, um sicherzustellen, dass die Verarbeitung im Einklang mit der DS-GVO erfolgt (vgl ErwGr 74 ff zur DS-GVO; vgl auch EuGH Urteil vom 25.1.2024 - C-687/21 - EuZW 2024, 278, 280 RdNr 36 mwN). Nähere Konkretisierungen dazu finden sich in Art 25, 32 und 35 DS-GVO (vgl bereits BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 78 ff). Der EuGH interpretiert diese Vorgaben dahin, dass der für die Verarbeitung Verantwortliche verpflichtet ist, die Risiken einer Verletzung des Schutzes personenbezogener Daten einzudämmen, und nicht, jede Verletzung ihres Schutzes zu verhindern (vgl EuGH Urteil vom 25.1.2024 - C-687/21 - EuZW 2024, 278, 280 RdNr 39 mwN). Weder wird damit eine absolute Datensicherheit gefordert, noch wird postuliert, dass die DS-GVO das Risiko von Verletzungen des Schutzes personenbezogener Daten beseitigt. Vielmehr muss der Verantwortliche geeignete technische und organisatorische Maßnahmen treffen, die darauf gerichtet sind, jede Verletzung des Schutzes personenbezogener Daten so weit wie möglich zu verhindern (vgl EuGH Urteil vom 14.12.2023 - C-340/21 - EuZW 2024, 234, 235 RdNr 29 ff). Nach der Rechtsprechung des BSG zur elektronischen Gesundheitskarte und zur TI (vgl BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 83 unter Hinweis auf BT-Drucks 19/18793 S 100 zu § 307) gilt, dass die Pflicht zur Verwendung bestimmter Dienste, Anwendungen, Komponenten und sonstiger Infrastrukturteile den oder die jeweiligen Verantwortlichen nicht von der Pflicht zur Ergreifung geeigneter und angemessener technischer und organisatorischer Maßnahmen entbindet, soweit diese zusätzlich erforderlich sind zB zur Sicherung von Konnektoren gegen unbefugten Zugang, Verwendung geeigneter Verschlüsselungsstandards nach dem Stand der Technik etc. 40 b) Zur Gewährleistung einer ausreichenden Datensicherheit bei der Verarbeitung personenbezogener Daten beim Einlesen und der Durchführung des Online-Abgleichs der Versichertenstammdaten war nach der Rechtslage im Quartal 1/2019 eine vorherige Datenschutz-Folgenabschätzung nicht zwingend erforderlich. 41 Art 35 Abs 1 Satz 1 DS-GVO verpflichtet den Verantwortlichen für den Fall, dass eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchzuführen (Datenschutz-Folgenabschätzung). 42 Ob eine Datenschutz-Folgenabschätzung nach Art 35 DS-GVO zwingend erforderlich ist, hängt von dem mit der vorgesehenen Verarbeitung verbundenen Risiko für den Datenschutz von Personen ab. Ein solches Risiko liegt insbesondere bei umfangreichen Verarbeitungsvorgängen vor. Hingegen soll die Verarbeitung personenbezogener Daten nicht als umfangreich gelten, wenn Gesundheitsdaten von Patienten betroffen sind und die Verarbeitung durch einen einzelnen Arzt oder sonstigen Angehörigen eines Gesundheitsberufes erfolgt, sodass in diesen Fällen eine Datenschutz-Folgenabschätzung nicht zwingend vorgeschrieben sein soll (vgl ErwGr 91 DS-GVO). Die Gesetzesbegründung zu dem - erst nach dem streitigen Quartal 1/2019 - in Kraft getretenen § 307 SGB V (idF des PDSG) geht davon aus, dass die DS-GVO (ErwGr 91) offengelassen habe, ab welcher Größe das Tatbestandsmerkmal "umfangreich" erfüllt sei, und es daher auf eine wertende Betrachtung des Einzelfalls ankomme, ob Art, Umfang, Umstände oder die Zwecke der Verarbeitung eine zusätzliche Risikoerhöhung begründen. Die Gesetzesmaterialien gehen in diesem Zusammenhang davon aus, dass jedenfalls in Arztpraxen, in denen nicht mehr als 20 Personen beschäftigt sind, dies nicht der Fall ist (vgl BT-Drucks 19/18793 S 100 zu § 307). Zwar hat das SG die Anzahl der in der BAG beschäftigten Personen nicht festgestellt. Darauf kommt es aber nicht entscheidend an. 43 Bei Einführung der TI und erstmaliger Anbindung der Klägerin im Quartal 1/2019 bestand für die Klägerin anfangs nur eine Verpflichtung zur Durchführung des Online-Abgleichs der Versichertenstammdaten, nicht aber zu weiteren TI-Anwendungen. Art, Umfang und Zweck der Datenverarbeitung im ersten Quartal 2019 begründeten daher kein so hohes Risiko für die Rechte und Freiheiten natürlicher Personen, dass zwingend eine vorherige Datenschutz-Folgenabschätzung notwendig gewesen wäre. Aber selbst wenn dieses Erfordernis bestanden hätte, beeinträchtigte ein Fehlen der Datenschutz-Folgenabschätzung nicht die Rechtmäßigkeit der Datenverarbeitung (vgl BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 84 mwN; Nolte/Werkmeister in Gola/Heckmann, DS-GVO - BDSG, 3. Aufl 2022, Art 35 RdNr 74). 44 c) Im Hinblick auf die Rechtslage im Quartal 1/2019 lag entgegen der Ansicht der Klägerin eine ausreichend normenklare Ausgestaltung der Regelungen in §§ 291 ff SGB V aF für den Bereich der elektronischen Gesundheitskarte und TI vor. Bereits im frühen Stadium der TI wurde dem Datenschutz - einschließlich der Datensicherheit - hohe Bedeutung beigemessen (vgl BSG Urteil vom 18.11.2014 - B 1 KR 35/13 R - BSGE 117, 224 =
Nr 25 mwN zur Rechtslage vor dem PDSG; vgl BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 97 mwN). Die Voraussetzungen und der Umfang der Datenverwendung waren klar erkennbar. Es unterlag keinem Zweifel, welche Angaben von wem zu welchem Zweck gespeichert, verwendet und verarbeitet werden durften (vgl hierzu § 284, § 291 Abs 1 und 2, § 291a SGB V aF). Die normenklare Begrenzung der Datenverwendung ergibt sich insbesondere aus folgenden Vorschriften: Die Gesellschaft für Telematik war im Rahmen ihrer Aufgaben nach § 291a Abs 7 Satz 1 und 2 SGB V aF gesetzlich verpflichtet, Vorgaben für die Datensicherheit beim Betrieb der TI zu schaffen und deren Umsetzung zu überwachen. Sie hatte nach § 291b Abs 1 Satz 1 SGB V (idF des Gesetzes zur Umsetzung der Richtlinie <EU> 2016/1148 des Europäischen Parlaments und des Rates vom 6.7.2016 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union vom 23.6.2017 mWv 30.6.2017, BGBl I 1885 - im Folgenden aF) die funktionalen und technischen Vorgaben einschließlich eines Sicherheitskonzepts zu erstellen (Nr 1), Inhalt und Struktur der Datensätze für deren Bereitstellung und Nutzung festzulegen (Nr 2), Vorgaben für den sicheren Betrieb der TI zu erstellen und ihre Umsetzung zu überwachen (Nr 3), die notwendigen Test- und Zertifizierungsmaßnahmen sicherzustellen (Nr 4) und Verfahren einschließlich der dafür erforderlichen Authentisierungsverfahren festzulegen zur Verwaltung der in § 291a Abs 4 und 5a SGB V aF geregelten Zugriffsberechtigungen (Nr 5 Buchst
Nr 87). 46
Nr 102 mwN zur Rspr des BVerfG; in diese Richtung vgl EuGH Urteil vom 25.1.2024 - C-687/21 - EuZW 2024, 278, 280 RdNr 39 mwN). 48 bb) Dem kann nicht mit Erfolg entgegengehalten werden, dass erst im PDSG ein hohes Schutzniveau ausdrücklich gesetzlich verankert worden sei (jetzt § 306 Abs 3 SGB V). Der Gesetzgeber hat den Auf- und Ausbau der TI nachgebessert und vorangetrieben. Nach Art 32 DS-GVO musste auch zuvor schon ein angemessenes Datenschutzniveau unter Berücksichtigung des Stands der Technik durch entsprechende Maßnahmen erreicht werden (vgl RdNr 45 und ErwGr 83; entsprechend der mWv 19.12.2019 in § 291b Abs 1 Satz 24 SGB V geregelten Gewährleistung des Datenschutzes und der Datensicherheit nach dem Stand der Technik auch für den grenzüberschreitenden Austausch von Gesundheitsdaten, jetzt § 311 Abs 3 Satz 4 SGB V). Soweit § 332 SGB V nF Vorgaben für die Wartung dezentraler TI-Komponenten enthält, sah auch bereits die durch das DVG mWv 19.12.2019 eingeführte Vorschrift des § 291b Abs 6a SGB V aF vor, dass die Dienstleister, die die TI-Konnektoren vor Ort in den Arztpraxen installieren bzw warten, über die notwendige Fachkunde verfügen müssen. Auch wenn konkretisierende Regelungen nicht bereits im Quartal 1/2019 existierten, ist der Gesetzgeber ausreichend zeitnah seiner Beobachtungs- und Nachbesserungspflicht nachgekommen, indem er auf die in der Praxis zu Tage getretenen datenschutzrechtlichen Defizite und Sicherheitslücken entsprechende Gegenmaßnahmen ergriffen hat (vgl hierzu im Einzelnen BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 105 mwN). 49 cc) Ähnliches gilt auch, soweit der Gesetzgeber durch § 75b SGB V (idF des DVG vom 9.12.2019 mWv 19.12.2019) der Kassenärztlichen Bundesvereinigung aufgegeben hat, eine IT-Sicherheitsrichtlinie für die vertragsärztliche Versorgung zu erlassen, die mit dem BSI abzustimmenden Anforderungen zur Gewährleistung der IT-Sicherheit festzulegen und jährlich anzupassen. Dadurch wird gewährleistet, dass das hohe Sicherheitsniveau der TI auch der Maßstab für die Datensicherheit in den Vertragsarztpraxen ist (vgl BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 105 mwN). Die "Richtlinie nach § 75b SGB V über die Anforderungen zur Gewährleistung der IT-Sicherheit" vom 16.12.2020 (DÄ 2021, 118 <3>, A 149) ist zwar erst am 23.1.2021 in Kraft getreten. Darin liegt aber kein Verstoß gegen die DS-GVO oder höherrangiges Recht. 50 dd) Schließlich hat das BSG zu den Regelungen des PDSG bereits entschieden, dass der Gesetzgeber beim Auf- und Ausbau der TI den Vorgaben der DS-GVO Rechnung getragen und den Belangen des Datenschutzes und der Datensicherheit zentrale Bedeutung beigemessen hat (vgl BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 88). Der Gesetzgeber hat auch ausreichende Vorkehrungen zur verfassungsrechtlich gebotenen Gewährleistung der Datensicherheit (vgl BVerfG Urteil vom 2.3.2010 - 1 BvR 256/08 ua - BVerfGE 125, 260, 344 f; BVerfG Beschluss vom 27.5.2020 - 1 BvR 1873/13 ua - BVerfGE 155, 119, 182 RdNr 135 sowie 205 RdNr 188) im Zusammenhang mit der elektronischen Gesundheitskarte und der TI getroffen. Er ist insoweit seiner Beobachtungs- und Nachbesserungspflicht ausreichend nachgekommen (vgl BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 101 ff mwN). 51 ee) Auch im Quartal 1/2019 sind hinreichende Vorkehrungen zur verfassungsrechtlich gebotenen Gewährleistung der Datensicherheit getroffen worden. Die Frage der verfassungskonformen Ausgestaltung der im Streit stehenden gesetzlichen Regelungen zur elektronischen Gesundheitskarte und TI hängt nicht davon ab, ob diese gesetzlichen Vorgaben zum Datenschutz und zur Datensicherheit in der Praxis durchgehend beachtet worden sind. Vielmehr ist nach der Rechtsprechung des BVerfG und BSG entscheidend, dass der Gesetzgeber ausreichende Vorkehrungen zur Gewährleistung eines dem Schutzniveau der betroffenen Daten und der Gefährdungslage angemessen Rechnung tragenden Maßes an Datensicherheit normativ getroffen hat und dabei auch seiner Beobachtungs- und Nachbesserungspflicht nachgekommen ist (vgl BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 101 ff mwN). Dies war hier der Fall. 52 Aus dem gesamten Prozessstoff ergibt sich nicht, dass trotz der vielfältigen institutionellen Sicherungsmechanismen (vgl dazu oben RdNr 38
Nr 27) und der finanziellen Stabilität der GKV, somit einem überragend wichtigem Gemeinschaftsgut (vgl BVerfG Beschluss vom 13.9.2005 - 2 BvF 2/03 - BVerfGE 114, 196, 248 =
Nr 139; BSG Urteil vom 20.1.2021 - B 1 KR 7/20 R - BSGE 131, 169 =
Nr 44 mwN). Die Anbindung der Vertragsärzte als Akteure in der TI dient einer effektiven automatisierten Organisation des Gesundheitssystems der GKV und vermeidet kosten- und zeitintensive Einzelüberprüfungen des Versichertenstatus von Patienten. Zur Verwirklichung des Ziels der Sicherung der finanziellen Stabilität der GKV darf der Gesetzgeber innerhalb der vertragsärztlichen Versorgung die Vertragsärzte als Leistungserbringer in die Pflicht nehmen. Ihnen erwachsen besondere, auch wirtschaftliche Vorteile durch die Einbeziehung in das öffentlich-rechtliche System des Vertragsarztrechts. Im Rahmen ihrer Einbeziehung unterliegen sie in erhöhtem Maße der Einwirkung sozialstaatlicher Gesetzgebung, durch die zur Sicherung der finanziellen Stabilität in das System regulierend eingegriffen wird (vgl BVerfG Beschluss vom 10.4.2000 - 1 BvR 422/00 - SozR 3-2500 § 295 Nr 2 S 13). Die für die Klägerin normierte Verpflichtung zur Anbindung an die TI und die Durchführung des Online-Abgleichs der Versichertenstammdaten ist zur Erreichung des verfolgten Ziels geeignet und erforderlich. Insbesondere ist die Datenverarbeitung in diesem Zusammenhang notwendig, um den legitimen Zweck weitgehend automatisierter Abläufe in der Organisation des Gesundheitssystems mit verschiedenen Akteuren in der TI zu erreichen. Die sog Barcode-Lösung ist kein gleich oder besser geeignetes Mittel, das den Online-Abgleich der Versichertenstammdaten entbehrlich machen könnte (s bereits oben RdNr 35). Die Kürzung des Honorars der Vertragsärzte um ein Prozent bei unterbliebener Anbindung dient als notwendige Maßnahme, um möglichst zeitnah eine vollständige TI in der GKV unter Beteiligung der Vertragsärzte zu verwirklichen. 57
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.