Österreich: ELGA und KI-Zugriff

Wer darf ELGA-Daten verarbeiten?

ELGA, die Elektronische Gesundheitsakte, macht Befunde, Entlassungsbriefe und Medikationsdaten für behandelnde Einrichtungen abrufbar. Das Gesundheitstelematikgesetz 2012 (GTelG) bindet jede Verarbeitung an drei Bedingungen (§ 14 Abs. 1): Die Patientin oder der Patient ist eindeutig identifiziert, die Einrichtung ist identifiziert, und sie ist zugriffsberechtigt.

Verarbeiten dürfen die Daten nur (§ 14 Abs. 2 Z 1):

• die behandelnden oder betreuenden Gesundheitsdiensteanbieter,
• Einrichtungen, an die die Person zur Behandlung zugewiesen wurde,
• Personen, die diese Einrichtungen unterstützen und im konkreten Fall dazu angewiesen wurden.

Zweck ist allein die Gesundheitsversorgung nach Art. 9 Abs. 2 lit. h DSGVO. Ausgenommen sind die Verwaltung von Systemen und Diensten, Arbeitsmedizin und die Beurteilung der Arbeitsfähigkeit. Alles, was das Unionsrecht oder ein Gesetz nicht vorsieht, ist verboten (§ 14 Abs. 3).

Darf eine KI auf ELGA zugreifen?

Das GTelG kennt keinen eigenen Zugriff für KI. Eine KI ist ein Werkzeug der berechtigten Einrichtung. Daraus folgt nach unserer Einschätzung:

Einsatz	Einordnung
Ärztin lässt sich einen Befund aus ELGA für den aktuellen Fall zusammenfassen	im Rahmen der Behandlung, wenn sie selbst zugreifen darf
Pflegekraft lässt die Medikation für die Übergabe aufbereiten, auf Anweisung	möglich, als angewiesene Person (§ 14 Abs. 2 Z 1 lit. c)
KI ruft im Hintergrund ELGA-Daten aller Patienten ab, um Auffälligkeiten zu suchen	nicht vom Behandlungszweck gedeckt
ELGA-Daten fließen in das Training eines Modells	nicht vorgesehen, damit verboten

Jede Verarbeitung im Rahmen von ELGA wird protokolliert, unter anderem mit Zeit, Art des Vorgangs, der Einrichtung und dem Namen der natürlichen Person, die die Daten verarbeitet hat (§ 22 Abs. 2). Ein Zugriff muss deshalb immer einer Person zugeordnet sein. Die Protokolle werden drei Jahre aufbewahrt, Patientinnen und Patienten können sie im ELGA-Portal einsehen.

Welche Rechte haben Patientinnen und Patienten?

• Opt-out: Sie können ELGA ganz oder teilweise widersprechen (§ 15 Abs. 2). Vorhandene Verweise werden dann gelöscht oder unzugänglich gemacht.
• Ein- und ausblenden: Sie können einzelne Befunde für Einrichtungen ausblenden oder löschen und Zugriffsfristen verkürzen (§ 16 Abs. 1).
• Kein Nachteil: Wer widerspricht, darf in der Versorgung nicht benachteiligt werden (§ 16 Abs. 3).

Für Ihre KI heißt das: Fehlt ein Befund in ELGA, kann das eine bewusste Entscheidung der Person sein. Eine Zusammenfassung aus ELGA ist deshalb nie sicher vollständig.

Was gilt für Daten, die schon im Haus sind?

Hat eine Einrichtung einen Befund im Rahmen der Behandlung abgerufen und in ihre Dokumentation übernommen, gelten für diese Kopie das Krankenanstaltenrecht, die Dokumentationspflichten und die DSGVO. Auch dann bleibt der Zweck an die Behandlung gebunden. Für eine Auswertung zu Forschung oder Qualität brauchen Sie eine eigene Rechtsgrundlage.

Wie geht das mit basebox?

basebox ist nicht an ELGA angebunden. Anbindungen an klinische Systeme entstehen erst, wenn der Hersteller oder das Haus den Zugang bereitstellt, etwa über FHIR oder eine vorhandene Schnittstelle; dann bauen wir den Konnektor, abgestimmt mit Haus und Hersteller.

Was basebox mitbringt, passt zu den Regeln des GTelG:

• Handeln im Namen einer Person: Ein Agent handelt immer im Namen einer Person und erreicht nur, was für sie freigegeben ist und was sie im Zielsystem selbst darf. Ein gemeinsames Dienstkonto gibt es nicht.
• Protokoll: Das Audit-Log hält fest, wer was wann getan hat; Einträge sind nicht änderbar.
• Kein Training: Ihre Daten trainieren kein Modell.

basebox bietet in Österreich die Cloud und den Server an. Der Server steht auf Wunsch in Ihrem Haus, auch ohne Internetverbindung. Oberfläche und Support gibt es auf Deutsch und Englisch.

Keine Rechtsberatung: Die Einordnung von KI-Einsätzen in der Tabelle ist unsere Einschätzung, keine Auslegung durch Behörden oder Gerichte. Klären Sie konkrete Vorhaben mit Ihrem Datenschutzbeauftragten und der ELGA GmbH. Das GTelG 2012 wird häufig geändert; maßgeblich ist die geltende Fassung im RIS. Stand der Recherche: 11. Oktober 2026.