Für wen gilt HIPAA? Ein Leitfaden für Gesundheitsdienstleister

Suchen Sie Antworten auf Fragen wie: Für wen gilt HIPAA ? Oder: Gilt HIPAA für Sie und Ihre Mitarbeiter? Die Antworten auf diese Fragen hängen einfach davon ab, ob Ihr Cloud-basiertes Unternehmen die Kriterien der HIPAA-Konformität erfüllt.

HIPAA, auch bekannt als Health Insurance Portability and Accountability Act, ist ein US-Bundesgesetz, das grundlegende Datenschutz- und Sicherheitsstandards für geschützte Gesundheitsinformationen (Protected Health Information, PHI) gewährleistet.

Anhand verschiedener Kriterien wird festgestellt, ob eine Organisation die HIPAA-Bestimmungen einhalten muss. Verstößt eine betroffene Organisation gegen die HIPAA-Vorschriften (wissentlich oder unwissentlich), ziehen dies zivilrechtliche Strafen und Korrekturmaßnahmen des Office for Civil Rights (OCR) nach sich. Speziell entwickelte HIPAA-Compliance-Software unterstützt betroffene Organisationen und Geschäftspartner dabei, Verstöße durch automatisierte Kontrollüberwachung und Beweissicherung zu verhindern. In einigen Fällen kann dies auch strafrechtliche Verfolgung durch das US-Justizministerium (Department of Justice, DOJ) nach sich ziehen.

Die Strafen können je nach Art, Schwere und Dauer der Nichteinhaltung von Hunderten von Dollar pro Verstoß bis zu über 2 Millionen Dollar pro Jahr für identische Verstöße reichen.

Dieser Artikel erläutert, für wen HIPAA gilt, und hilft Ihnen herauszufinden, ob Ihr Cloud-Hosting-Unternehmen eine unter die HIPAA-Bestimmungen fallende Stelle ist. 

Für wen gilt HIPAA?

HIPAA gilt für betroffene Einrichtungen, insbesondere Krankenversicherungen, Abrechnungsstellen im Gesundheitswesen und Gesundheitsdienstleister, die Gesundheitsdaten im Zusammenhang mit bestimmten Standardtransaktionen und an ihre Geschäftspartner elektronisch übermitteln. Jede Person, Organisation oder jedes Cloud-basierte Unternehmen, das diese Definition erfüllt, ist verpflichtet, die HIPAA-Bestimmungen gemäß den HIPAA-Richtlinien einzuhalten.

HIPAA gilt für die fünf größten, unten aufgeführten Organisationen:

1. Abgedeckte Einheiten

Es gibt verschiedene Arten von Organisationen, die unter die Kategorie der abgedeckten Organisationen fallen, wie nachfolgend beschrieben.

• Gesundheitsdienstleister – Jede Organisation oder Einrichtung im Gesundheitswesen, die im Zusammenhang mit abgedeckten Transaktionen Gesundheitsdaten elektronisch übermittelt, muss HIPAA-konform sein. Dies umfasst Ärzte, Zahnärzte, Psychologen, Physiologen, Kliniken, Apotheken, Pflegeheime und ähnliche Leistungserbringer. Es ist zu beachten, dass die bloße Erfassung von Daten nicht ausreicht, um die HIPAA-Bestimmungen zu erfüllen. PHI ist nicht ausreichend, um HIPAA-Verpflichtungen auszulösen; die Anforderung der elektronischen Übermittlung ist der entscheidende Faktor für Gesundheitsdienstleister.
• Krankenversicherungspläne – Alle Unternehmen, die Krankenversicherungspläne anbieten, wie z. B. Krankenversicherungsgesellschaften, Gruppenkrankenversicherungen, Krankenversicherungsorganisationen und staatlich finanzierte Krankenversicherungspläne wie Medicare und Medicaid, sind abgedeckte Einrichtungen.
• Clearingstellen im Gesundheitswesen – Alle Abrechnungsstellen im Gesundheitswesen, die PHI-Daten in ein einheitliches Format für die elektronische Übermittlung umwandeln, fallen ebenfalls unter die erfassten Einrichtungen.

Erscheint Ihnen das zu viel? Keine Sorge. 

Mit Sprinto können Sie HIPAA-Anforderungen einfach zentral abbilden und verwalten. Die Funktionen zur kontinuierlichen Compliance-Überwachung von Sprinto sind nahtlos integriert, um sicherzustellen, dass Ihre täglichen Abläufe den HIPAA-Standards entsprechen.

Falls Sie weitere Fragen dazu haben, ob Sie eine meldepflichtige Einrichtung sind, haben wir eine einfache Checkliste für Sie, die Ihnen bei der Entscheidung helfen soll:

2. Geschäftspartner

Als Geschäftspartner gilt jede Person oder Organisation, die bestimmte Vorgänge oder Verantwortlichkeiten ausführt, die die Offenlegung oder Verwendung von PHI beinhalten , entweder im Auftrag einer Einrichtung oder als Dienstleister für diese.

Nachfolgend einige Beispiele für Geschäftspartner:

• Ein externer oder unabhängiger Krankenhausberater, der Begutachtungen durchführt
• Ein externer Administrator, der Krankenversicherungen bei der Bearbeitung von Leistungsanträgen unterstützt.
• Eine externe Wirtschaftsprüfungsgesellschaft, die für die Erbringung ihrer Buchhaltungsdienstleistungen für betroffene Unternehmen Zugriff auf die Gesundheitsdaten benötigt.

Geschäftspartner benötigen keinen direkten Patientenkontakt, um ihre Dienstleistungen für die betroffenen Einrichtungen zu erbringen. Die betroffenen Einrichtungen müssen jedoch eine Vereinbarung mit Geschäftspartnern (Business Associate Agreement, BAA) abschließen , um sicherzustellen, dass ihre Partner-Geschäftspartner die gemeinsam genutzten Gesundheitsdaten (PHI) gemäß den HIPAA-Bestimmungen schützen.

Darüber hinaus haften Geschäftspartner direkt für jeden Verstoß gegen HIPAA und unterliegen den gleichen Strafen wie die betroffenen Einrichtungen.

Wir wissen, dass es für viele Unternehmen im Bereich Gesundheitstechnologie eine Herausforderung darstellt, den Umfang der HIPAA-Konformität festzulegen, aber mit Sprinto können Sie den Prozess vereinfachen. 

Setzen Sie die HIPAA-Grundlagen strukturiert und priorisiert um, abgestimmt auf Ihre Geschäftskontexte. Unsere Experten begleiten Sie durch die einzelnen Schritte, sodass Sie keine lange Checkliste abarbeiten müssen. 

Sprinto gewährleistet eine gründliche Programmdurchführung, und dank kontinuierlicher Überwachung können Sie die Compliance sicherstellen und Strafen sowie Probleme aufgrund von Nichteinhaltung vermeiden.

3. Subunternehmer

Ein Subunternehmer ist eine natürliche oder juristische Person, die im Auftrag eines Geschäftspartners Gesundheitsdaten erstellt, pflegt und übermittelt. Tatsächlich trägt ein HIPAA-Subunternehmer dieselben rechtlichen Verantwortlichkeiten wie jeder der zuvor genannten Geschäftspartner. Diese direkte Haftung für Subunternehmer wurde mit der HIPAA-Omnibus-Regel von 2013 eingeführt . Diese Regelung dehnte die HIPAA-Verpflichtungen auf die gesamte Kette der Dienstleister aus, die mit geschützten Gesundheitsdaten (PHI) in Berührung kommen, anstatt beim ersten Geschäftspartner zu enden.

Beispielsweise kann ein Geschäftspartner einer betroffenen Einrichtung eine externe Agentur mit der Vernichtung von Dokumenten beauftragen, die geschützte Gesundheitsdaten (PHI) enthalten, oder einen Cloud-Dienst zur Speicherung und Verarbeitung dieser Daten nutzen. In beiden Fällen fällt die externe Agentur unter die Kategorie der Unterauftragnehmer und muss die meisten HIPAA-Bestimmungen einhalten.

4. Hybride Entitäten

Eine hybride Einrichtung führt in der Regel sowohl HIPAA-pflichtige als auch nicht pflichtige Geschäftstätigkeiten durch.

Ein perfektes Beispiel hierfür ist jedes große Unternehmen mit einer selbstversicherten Krankenversicherung für seine Mitarbeiter. In solchen Unternehmen gilt nur ein Teil als betroffene Stelle, und nur dieser Teil (auch Gesundheitskomponente genannt) unterliegt den HIPAA-Bestimmungen. 

Weitere Beispiele für hybride Einrichtungen sind Lebensmittelgeschäfte mit Apotheke und Universitäten mit medizinischen Zentren. 

Eine Organisation, die eine hybride Einrichtung darstellt, muss sicherstellen, dass ihre medizinische Komponente die geschützten Gesundheitsdaten nicht an andere, nicht abgedeckte Komponenten innerhalb der Organisation weitergibt.

5.  Forscher

Die HIPAA-Bestimmungen erlauben es betroffenen Einrichtungen, geschützte Gesundheitsdaten (PHI) an Forscher weiterzugeben, wenn Patienten ihre Einwilligung zur Offenlegung und Nutzung ihrer PHI für Forschungszwecke erteilt haben. In solchen Fällen ist keine Vereinbarung mit einem Geschäftspartner erforderlich. Die betroffene Einrichtung muss jedoch vor der Offenlegung der PHI eine Datenverwendungsvereinbarung mit dem jeweiligen Forscher abschließen.

Die Datenverwendungsvereinbarung trägt dazu bei, eine zufriedenstellende Gewissheit zu schaffen, dass Sie die HIPAA-Compliance-Richtlinien für den begrenzten Datensatz strikt einhalten werden.

Für wen gilt HIPAA nicht?

Genauso wie viele Privatpersonen und Unternehmen zur Einhaltung der HIPAA-Bestimmungen verpflichtet sind, gibt es auch viele, die dazu nicht verpflichtet sind. Und selbst dann sind Gesundheitsdaten manchmal weiterhin für diese Personen und Unternehmen zugänglich. 

Nachfolgend einige Beispiele für diejenigen, die nicht den HIPAA-Bestimmungen unterliegen:

• Zeit- und Lebensversicherungsgesellschaften
• Fitnessstudios und Fitnesszentren
• Schulen und Bezirke
• Gesundheits- und Fitness-Apps für Mobilgeräte
• Die Mehrheit der Strafverfolgungsbehörden
• Staatliche Einrichtungen wie die Kinder- und Jugendhilfe 
• Bestimmte Regierungsabteilungen
• Arbeitgeber
• Arbeitnehmerentschädigungsversicherungen

Es ist wichtig zu beachten, dass diese Organisationen im Allgemeinen nicht direkt durch HIPAA reguliert werden, es sei denn, sie erbringen Dienstleistungen für eine betroffene Einrichtung, die geschützte Gesundheitsdaten (PHI) umfasst. In diesem Fall können sie als Geschäftspartner gelten und den HIPAA-Pflichten unterliegen. Das Verständnis des Zwecks von HIPAA verdeutlicht, warum das Gesetz diesen bedingten Anwendungsbereich verwendet: Das Gesetz ist so konzipiert, dass es sich auf die PHI selbst bezieht, nicht auf das Organigramm. Daher übernimmt jede Einrichtung, die PHI verarbeitet, die damit verbundenen Pflichten.

Für wen gilt die HIPAA-Datenschutzregel?

Die HIPAA-Datenschutzbestimmungen legen nationale Standards zum Schutz medizinischer Dokumente und jeglicher Art identifizierbarer Gesundheitsinformationen von Einzelpersonen fest. Sie gelten für Krankenversicherungen, Abrechnungsstellen im Gesundheitswesen und bestimmte Gesundheitsdienstleister. 

Diese Einrichtungen, die zusammenfassend als „betroffene Einrichtungen“ bezeichnet werden, müssen die Datenschutzstandards einhalten, auch wenn sie bestimmte Funktionen an „Geschäftspartner“ auslagern. 

Wichtig ist, darauf hinzuweisen, dass die Regelung dem US-Gesundheitsministerium (HHS) nicht die Befugnis einräumt, andere private Unternehmen oder bestimmte öffentliche Einrichtungen, wie Arbeitgeber, Lebensversicherungsgesellschaften oder Träger der Sozialversicherung oder Wohlfahrtsleistungen, zu regulieren.

Werden Sie von den HIPAA-Anforderungen betroffen sein?

Die Bestimmungen des HIPAA betreffen bestimmte Personen und Organisationen. Sie unterliegen den Bestimmungen, wenn Sie zu einer der folgenden Gruppen gehören:

• Gesundheitsdienstleister
• Gesundheitspläne
• Clearingstellen für Gesundheitsinformationen
• Geschäftspartner von betroffenen Unternehmen
• Mitarbeiter dieser Organisationen

Beachten Sie jedoch auch Folgendes:

• Die Datenschutzbestimmungen gelten ausschließlich für betroffene Einrichtungen. Nicht alle Organisationen, die mit Gesundheitsdaten arbeiten, fallen unter diese Bestimmungen und müssen sie daher möglicherweise nicht einhalten.
• Die Datenschutzregel erstreckt sich nicht auf die Forschung selbst, sondern auf die betroffenen Einrichtungen. Forscher, die unter die Regelung fallen können oder nicht, könnten betroffen sein, da die Regelung ihren Zugang zu Informationen beeinflussen kann.
• Die Datenschutzbestimmungen regeln zwar nicht direkt Forscher oder Forschungsprojekte, könnten aber den Zugriff von Forschern auf geschützte Gesundheitsdaten (PHI) beeinflussen. Forscher müssen möglicherweise den betroffenen Stellen Dokumente vorlegen, um die Anforderungen, Bedingungen und Beschränkungen der Datenschutzbestimmungen für den Zugriff auf PHI zu Forschungszwecken zu erfüllen.

Gehören Sie zu den Organisationen, die den HIPAA-Bestimmungen unterliegen? Kein Problem. Sprinto bietet Ihnen Schutzmechanismen, die korrekte Maßnahmen vereinfachen und falsche erschweren. So gewährleisten wir ein erstklassiges, kontinuierlich überwachtes HIPAA-Compliance-Programm und unterstützen mühelos die von HIPAA vorgeschriebenen technischen und administrativen Sicherheitsvorkehrungen.

Sprinto bietet Ihnen einen kontinuierlichen Audit-Stream und verfolgt einen proaktiven Ansatz zur Einhaltung der HIPAA-Vorschriften. Erkennen Sie Probleme schnell, beheben Sie sie umgehend und verbessern Sie Ihre Reporting-Funktionen für ein optimiertes Compliance-Management.

Gilt HIPAA auch für Forscher?

Ja, HIPAA gilt in bestimmten Fällen auch für Forscher. 

Die Datenschutzbestimmungen des HIPAA gelten für Forschungsprojekte, die im Zusammenhang mit der Bereitstellung von Gesundheitsinformationen oder -dienstleistungen durchgeführt werden. Dies umfasst Aktivitäten wie die Einsichtnahme in Krankenakten oder die Durchführung von Umfragen, bei denen geschützte Gesundheitsdaten (PHI) von Patienten in Behandlung erhoben werden. Forschungseinrichtungen, die unter den Anwendungsbereich des HIPAA fallen, streben häufig freiwillig eine HIPAA-Zertifizierung an , da eine formale Bestätigung durch Dritte Universitäten, Ethikkommissionen und Fördermittelgebern die Gewissheit gibt, dass die Datenverarbeitung den Standards entspricht, bevor die Forschung beginnt.

Eine Einrichtung, die den Bestimmungen des HIPAA-Datenschutzgesetzes unterliegt, kann sich auf die Dokumentation eines Forschers über den Verzicht auf die Einwilligungspflicht durch die Datenschutzbehörde verlassen. Dieser Verzicht bestätigt, dass die angeforderten Informationen das für den Forschungszwecken notwendige Minimum darstellen.

Wird die HIPAA-Datenschutzregel die medizinische Forschung behindern?

Nein, die HIPAA-Datenschutzbestimmungen dürften die medizinische Forschung nicht behindern. Im Gegenteil, man geht davon aus, dass Patienten und andere Mitglieder von Krankenversicherungen eher bereit sind, ihre Daten für Forschungszwecke freizugeben, wenn sie wissen, dass diese geschützt sind.

Die Datenschutzbestimmungen erfordern zwar möglicherweise Änderungen in den Vorgehensweisen bestimmter betroffener Gesundheitsdienstleister hinsichtlich der Dokumentation verschiedener Arten von Forschungsfällen und Offenlegungen, sie werden die Forschung jedoch nicht behindern. 

Beachten Sie jedoch, dass einige Anbieter und Krankenkassen die Anforderungen der Regelung an Forschungsfälle und Offenlegungen als belastend empfinden könnten, was sie dazu veranlassen könnte, den Zugang von Forschern zu PHI einzuschränken.

Was unterliegt nicht den HIPAA-Bestimmungen?

Die HIPAA-Bestimmungen gelten nicht für die folgenden Kategorien und Unternehmen:

• Arbeitgeber in ihrer Eigenschaft als Arbeitgeber
• Lebensversicherungsgesellschaften
• Strafverfolgungsbehörden
• Marketingunternehmen (die nicht im Auftrag einer versicherten Einrichtung tätig sind)
• Anbieter kosmetischer Dienstleistungen (die keine Transaktionen im Gesundheitswesen abwickeln)
• Träger der Arbeiterunfallversicherung
• Autoversicherungen (ohne Krankenversicherung)
• Schulen und Schulbezirke (die keine Gesundheitsdienstleistungen anbieten)
• Staatliche Behörden, die nicht mit der Verwaltung oder den Dienstleistungen im Gesundheitswesen in Verbindung stehen.
• Familie und Freunde des Patienten (sofern sie nicht als dessen persönlicher Vertreter handeln)
• Fitness- und Gesundheitsclubs
• Forscher (die keine geschützten Gesundheitsdaten von einer Einrichtung erhalten)
• Rechtsanwälte (die nicht im Auftrag einer betroffenen Einrichtung tätig sind)
• Apotheken, die rezeptfreie Produkte ohne PHI verkaufen
• Alternativmediziner (die keine Gesundheitsdienstleistungen abwickeln)

Gilt HIPAA für jeden?

Gemäß der DSGVO-Konformität kann das US-Gesundheitsministerium (HHS) HIPAA-Strafen gegen betroffene Einrichtungen und Geschäftspartner nur dann verhängen, wenn dies in den HIPAA-Konformitätsbestimmungen festgelegt ist. 

Gemäß den festgelegten Vorschriften zählen zu den erfassten Einrichtungen alle Gesundheitsorganisationen, Abrechnungsstellen im Gesundheitswesen und Krankenversicherungen, die elektronische Übermittlungen von PHI vornehmen. 

Diese Definition der erfassten Einrichtungen ist ziemlich weit gefasst und umfasst nicht nur Krankenhäuser, Kliniken und Versicherungsgesellschaften, sondern auch private Unternehmen, gemeinnützige Organisationen und sogar Regierungsbehörden, die irgendeine Art von Gesundheitsdienstleistungen anbieten.

Der Kreis der Betroffenen endet hier nicht. Viele Arbeitgeber weltweit haben festgestellt, dass sie aufgrund von Funktionen oder Aktivitäten wie beispielsweise einer Gruppenkrankenversicherung für alle Mitarbeiter unter die Kategorie der erfassten Einrichtungen fallen.

Obwohl diese Arbeitgeber darauf drängen, als hybride Unternehmen behandelt zu werden, um die HIPAA-Beschränkungen zu begrenzen, müssen diese Arbeitgeber auch als hybride Unternehmen die üblichen HIPAA-Compliance-Checklistenaktivitäten durchführen.

Neben Arbeitgebern gilt HIPAA auch für Einzelpersonen und Cloud-Anbieter, die geschützte Gesundheitsdaten (PHI) zur Erbringung von Dienstleistungen für betroffene Einrichtungen benötigen. Diese Einzelpersonen und Cloud-Anbieter fallen unter die Kategorie der Geschäftspartner. Geschäftspartner haften direkt für Verstöße gegen HIPAA und unterliegen denselben zivil- und strafrechtlichen Sanktionen wie betroffene Einrichtungen. Sie sind außerdem verpflichtet, bestimmte Geschäftsverträge neu zu verhandeln und zusätzliche Geschäftspraktiken einzuführen, um den Datenschutzbestimmungen von HIPAA zu entsprechen.

Fazit

Nachdem Sie nun die Antwort auf die Frage „Für wen gilt HIPAA?“ haben und wissen, ob Ihre Organisation eine betroffene Stelle, ein Geschäftspartner oder ein Unterauftragnehmer ist, der HIPAA-konform sein muss, haben Sie die Hälfte des Weges zur Sicherstellung der HIPAA-Konformität bereits zurückgelegt.

Sollten Sie Schwierigkeiten haben, sich im komplexen HIPAA-Gesetz zurechtzufinden, keine Sorge, wir helfen Ihnen. Sprinto, eine automatisierte Compliance-Software, unterstützt Sie dabei, die HIPAA-Vorgaben unkompliziert zu erfüllen. Weitere Informationen finden Sie auf unserer Website.

Häufig gestellte Fragen