# Einleitung

Das FDZ tritt in zwei Rollen auf -- einmal als Server und einmal als ePA-Client.

Wichtigste Anwendungsfälle sind:

- Annahme von Übersetzungstabelle PüP-AN (Submission mit Submission-ID) von der VST  
    (FDZ ist Server)
- Abholen von pseudonymisierten Daten inkl. AN (Submission mit Submission-ID) vom ePA-Aktensystem   
    (FDZ ist "normaler" ePA-Client)

<div drawio-diagram="9"><img src="https://tipkg.de/uploads/images/drawio/2025-04/drawing-1-1744320090.png" alt=""/></div>

Ein AS erzeugt zufällig eine Submission-ID und stellt eine Submission. Dabei werden vom AS Auftragsnummer (AN), Lieferpseudonyme (LP) und pseudoynmisierte Daten erzeugt.

Die Submission-ID (256-Bit-Wert) ist ein wichtiger Zuordnungsschlüsselwert (im Datenbanksinne / Zuordnungsschlüssel).

Das AS sendet eine Abbildungstabelle LP-AN inkl. Submission-ID an die VST. ([Link](https://tipkg.de/books/fdz/page/lieferung-lpansubmission-id-durch-die-beiden-as-an-die-vst))

Die VST sendet eine Abbildungstabelle PüP-AN inkl. Submission-ID an das FDZ. ([Link)](https://tipkg.de/books/fdz/page/lieferung-von-pupansubmission-id-vom-vst-an-das-fdz)

Das FDZ bezieht als "normaler" ePA-Client vom AS die pseudonymisierten Daten (URL kommt dafür aus dem Submission-Daten, siehe weiter unten `call_back_url`). ([Link](https://tipkg.de/books/fdz/page/abholung-von-submissions-durch-das-fdz-von-den-as))

<table border="1" id="bkmrk-fachdienst%2Fin-rolle-" style="border-collapse: collapse; width: 100%;"><colgroup><col style="width: 33.3333%;"></col><col style="width: 33.3333%;"></col><col style="width: 33.3333%;"></col></colgroup><tbody><tr><td>*Fachdienst/in Rolle*</td><td>*Client*</td><td>*Server*</td></tr><tr><td>AS</td><td>Lieferung LP+AN-Submission-ID Daten an die VST</td><td>Hält pseudoynmisierte Daten inkl. AN + Submission-ID vor für das FDZ</td></tr><tr><td>VST</td><td>Liefert PüP+AN-Submission-ID ans FDZ</td><td>Empfänge PüP+AN-Submission-ID  
</td></tr><tr><td>FDZ</td><td>Bezieht pseudonmyisierte Daten inkl. AN + Submission-ID vom AS</td><td>Empfäng PüP+AN-Submission-ID</td></tr></tbody></table>

#### Übersetzungstabelle LP-AN+Submission-ID

Das AS sendet an die VST nach beidseitiger Authentisierung eine Übersetzungstabelle LP-AN+Submission-ID.

#### Übersetzungstabelle PüP-AN+Submission-ID

Das VST sendet an das FDZ eine Übersetzungstabelle PüP-AN+Submission-ID.

Das ist eine mit der Nomenklatur `Datenausleitung-VST-FDZ-<Submission-ID-Hex>.cbor`

Darin befindet sich folgende Datenstruktur.

```json
Submission = [
    {"type": "vst->fdz",
     "created_at": Unix-Zeit,
     "submission_id": Submission-ID,
     "call_back_url": url_aktensystem},
     [PüP1, AN1], [PüP2, AN2] …
]
```

Die Datenstruktur wird über [CBOR](https://datatracker.ietf.org/doc/html/rfc8949) binär kodiert.

Das FDZ erhält also bspw. `Datenausleitung-VST-FDZ-81b1b83e2736d45db16674e527890b8adc69ff7275acf11925faf44ae57f7e2f.cbor`

In der Datenstruktur selbst (CBOR-kodiert) sind die Submission-ID, PüP und AN binär kodiert (also jeweils 32 Byte Binärdaten).

#### Submission vom AS

Aus der `call_back_url` weiß das FDZ, welches AS es mit welcher URL kontaktieren muss. Das FDZ bezieht nach beidseitiger Authentisierung (siehe spätere Abschnitte) die Daten.

Die Daten sind "New-Line-Delimited-JSON (NDJSON)"-Dateien (mit bspw. folgenden Namen: `Datenausleitung-AS-FDZ-<Submission-ID-Hex>.ndjson`).

Vergleiche auch [I\_Data\_Submission\_Service](https://github.com/gematik/ePA-Basic/blob/ePA-3.1.2/src/openapi/I_Data_Submission_Service.yaml).

#### Datensicherung

Wie in [TLS+VAU-Protokoll](https://tipkg.de/books/fdz/page/tlsvau-protokoll) beschrieben werden die Datentransporte jeweils über zwei übereinander liegende Sicherungsschichten (TLS+VAU-Protokoll) Vertraulichkeits- und Authentitätsgeschützt. Auf TLS-Ebene (HTTPS-Schnittstelle) gibt es nur eine Server-seitige Authentisierung. Auf der darüberliegen VAU-Protokoll-Ebene gibt es eine beidseitige Authentisierung (also sowohl VAU-Protokoll-Server-Authentisierung als auch VAU-Protokoll-Client-Authentisierung) -- Standardvorgehen bei ePA weil meistens ePA-Clients keine X.509-Zertifikate über die "direkte" Authentisierung bei TLS einsetzen können. Die nur Server-seitige TLS-Authentisierung bei der VST erleichtert die Umsetzung (spezielle Einsatzumgebung dort / Perimeter TLS-Gateway).