Risiko- und Auffälligkeitsanalyse
§ 42b. (1) Die Krankenversicherungsträger haben zur Ergreifung von Maßnahmen gegen den Versicherungsmissbrauch sowie zur Sicherstellung des Versicherungsschutzes Risiko- und Auffälligkeitsanalysen (Risiko- und Auffälligkeitsanalyse-Tool) im Dienstgeberbereich durchzuführen. Dabei ist unter Verarbeitung der in der Anlage 14 genannten Versicherten- und Dienstgeberdaten insbesondere nach folgenden Gesichtspunkten zu prüfen: Schwarzarbeitsverdacht, Scheinanmeldung, Versichertenströme, Dienstgeberzusammenhänge, Insolvenzgefahr sowie Melde- und Beitragszahlungsverhalten.
(2) Die Oberösterreichische Gebietskrankenkasse hat als Kompetenzzentrum die in Abs. 1 genannten Analysen zu verknüpfen und die Ergebnisse dieser Verknüpfung allen beteiligten Krankenversicherungsträgern, den Abgabenbehörden des Bundes und dem Hauptverband zur Verfügung zu stellen. Soweit die Verarbeitung personenbezogener Daten nicht zwingend geboten ist, sind die Ergebnisse der Datenverarbeitungen zum technisch und organisatorisch frühestmöglichen Zeitpunkt zu pseudonymisieren.
(3) Die Abgabenbehörden des Bundes sind verpflichtet, den Krankenversicherungsträgern zur Durchführung der in Abs. 1 genannten Analysen die Daten der Umsatzsteuer zu übermitteln. Der Bundesminister für Finanzen regelt im Einvernehmen mit dem Bundesminister für Arbeit, Soziales und Konsumentenschutz das Verfahren der Übermittlung, den Inhalt der Meldungen und das Verfahren des Datenträgeraustausches sowie der automationsunterstützten Datenübermittlung, mit Verordnung.
(4) Die Krankenversicherungsträger führen das Risiko- und Auffälligkeitsanalyse-Tool nach Abs. 1 als gemeinsam für die Verarbeitung Verantwortliche nach Art. 26 DSGVO. Die Oberösterreichische Gebietskrankenkasse ist Auftragsverarbeiter im Sinne des Art. 4 Z 8 DSGVO. Die Datenbank ist so auszugestalten, dass eine Weitergabe von Daten nach Abs. 1 auf konkrete Krankenversicherungsträger, Abgabenbehörden des Bundes oder den Hauptverband beschränkt werden kann.
(5) Das Nähere über die notwendigen Sicherheitsmaßnahmen bei der Verarbeitung der jeweiligen personenbezogenen Daten nach den Abs. 1 und 2 ist vom Hauptverband in der Datenschutzverordnung nach § 31 Abs. 12 festzulegen. Der Hauptverband ist dabei im übertragenen Wirkungsbereich tätig und an die Weisungen des Bundesministers für Arbeit, Soziales und Konsumentenschutz gebunden.