Die Festlegung der Prüfverfahren und die Auswahl des Sicherheitsgutachters für das externe Sicherheitsgutachten erfolgt durch die Gesellschaft für Telematik im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik. Das externe Sicherheitsgutachten muss dem Bundesamt für Sicherheit in der Informationstechnik zur Prüfung vorgelegt und durch dieses bestätigt werden. Erst mit der Bestätigung des externen Sicherheitsgutachtens durch das Bundesamt für Sicherheit in der Informationstechnik dürfen die Komponenten durch die Gesellschaft für Telematik zur Verfügung gestellt werden.
(11) Verordnungsdaten und Dispensierinformationen sind mit Ablauf von 100 Tagen nach Dispensierung der Verordnung zu löschen.
(12) Die Gesellschaft für Telematik ist verpflichtet,
1.
bis zum 1. Januar 2022 die Voraussetzungen dafür zu schaffen, dass Versicherte über die Komponenten nach Absatz 10 Satz 1 auf Informationen des Nationalen Gesundheitsportals nach § 395 zugreifen können und dass den Versicherten die Informationen des Portals mit Daten, die in ihrer elektronischen Verordnung gespeichert sind, verknüpft angeboten werden können, und
2.
bis zum 1. Januar 2024 die Voraussetzungen dafür zu schaffen, dass Versicherte über die Komponenten nach Absatz 10 Satz 1 zum Zweck des grenzüberschreitenden Austauschs von Daten der elektronischen Verordnung, nach vorheriger Einwilligung in die Nutzung des Übermittlungsverfahrens und technischer Freigabe zum Zeitpunkt der Einlösung der Verordnung bei dem nach dem Recht des jeweiligen anderen Mitgliedstaats der Europäischen Union zum Zugriff berechtigten Leistungserbringer, Daten elektronischer Verordnungen nach Absatz 2 Satz 1 der nationalen eHealth-​Kontaktstelle übermitteln können.
(13) Mit Einwilligung des Versicherten können die Rechnungsdaten zu einer elektronischen Verordnung, die nicht dem Sachleistungsprinzip unterliegt, für die Dauer von maximal zehn Jahren in den Diensten der Anwendung nach § 334 Absatz 1 Satz 2 Nummer 6 gespeichert werden. Auf die Rechnungsdaten nach Satz 1 haben nur die Versicherten selbst Zugriff. Die Versicherten können diese Rechnungsdaten zum Zweck der Kostenerstattung mit Kostenträgern teilen.
(14) Mit Einwilligung des Versicherten können Daten zu Verordnungen nach den Absätzen 2 und 4 bis 7 sowie Dispensierinformationen nach § 312 Absatz 1 Satz 1 Nummer 3 automatisiert in der elektronischen Patientenakte gespeichert werden.
(15) Das Bundesministerium für Gesundheit kann die in den Absätzen 2 bis 8 genannten Fristen durch Rechtsverordnung ohne Zustimmung des Bundesrates verlängern.
§ 361 Zugriff auf ärztliche Verordnungen in der Telematikinfrastruktur (1) Auf Daten der Versicherten in vertragsärztlichen elektronischen Verordnungen dürfen ausschließlich folgende Personen zugreifen:
1.
Ärzte, Zahnärzte sowie Psychotherapeuten, die in die Behandlung der Versicherten eingebunden sind, mit einem Zugriff, der die Verarbeitung von Daten, die von ihnen nach § 360 übermittelt wurden, ermöglicht, soweit dies für die Versorgung des Versicherten erforderlich ist;
2.
im Rahmen der jeweiligen Zugriffsberechtigung nach Nummer 1 auch Personen, die als berufsmäßige Gehilfen oder zur Vorbereitung auf den Beruf tätig sind, soweit der Zugriff im Rahmen der von ihnen zulässigerweise zu erledigenden Tätigkeiten erforderlich ist und der Zugriff unter Aufsicht einer Person nach Nummer 1 erfolgt,
a)
bei Personen nach Nummer 1,