Compliance Glossar

Administrative Schutzmaßnahmen sind Maßnahmen, Richtlinien und Verfahren zur Entwicklung, Implementierung und Aufrechterhaltung von Sicherheitsvorkehrungen zum Schutz von PHI (geschützten Gesundheitsdaten). Sie dienen den betroffenen Einrichtungen als Leitfaden zur Einhaltung der HIPAA-Sicherheitsbestimmungen. Um die administrativen Schutzmaßnahmen zu erfüllen, müssen die bestehenden Sicherheitskontrollen evaluiert, die Systemrisiken präzise analysiert und dokumentierte Daten ausgewertet werden.

Verfügbarkeit bedeutet, dass Gesundheitseinrichtungen ihre Hardware- und Softwaresysteme ordnungsgemäß und betriebsbereit halten müssen. Dies erfordert von den betroffenen Einrichtungen und ihren Geschäftspartnern, ihre Infrastruktur auf dem neuesten Stand zu halten, um sie vor Sicherheitsbedrohungen zu schützen. Verfügbarkeit ist eine Voraussetzung für die technischen und physischen Sicherheitsvorkehrungen gemäß HIPAA. Ihr Ziel ist es, autorisierten Personen den Zugriff auf die notwendigen Informationen zu ermöglichen.

Eine Vereinbarung zur Auftragsverarbeitung (Business Associate Agreement, BAA) ist ein unterzeichneter Vertrag zwischen betroffenen Einrichtungen und Auftragsverarbeitern. Die HIPAA-Datenschutzbestimmungen schreiben vor, dass betroffene Einrichtungen, die geschützte Gesundheitsdaten (PHI) an Drittanbieter weitergeben, die Verantwortlichkeiten jeder Partei für den Schutz dieser Daten festlegen müssen. Eine BAA muss die zulässigen Regeln für die Nutzung oder Offenlegung von PHI beschreiben und die Geschäftspartner dazu verpflichten…

Geschäftspartner sind Einzelpersonen oder Organisationen, die für eine Einrichtung arbeiten oder Dienstleistungen für diese erbringen. Ihre Tätigkeit umfasst die Nutzung und Weitergabe geschützter Gesundheitsdaten (PHI). Sie müssen die Datenschutzbestimmungen des HIPAA einhalten. Zu den Aufgaben von Geschäftspartnern gehören unter anderem die Bearbeitung von Leistungsanträgen, Datenanalyse, Qualitätssicherung, Praxismanagement und Preisanpassungen.

Zu den erfassten Einrichtungen zählen Krankenversicherungen, Abrechnungsstellen im Gesundheitswesen und Gesundheitsdienstleister. Sie übermitteln Gesundheitsinformationen elektronisch gemäß den Standards des US-Gesundheitsministeriums (HHS) und umfassen Einzelpersonen und Organisationen. – Krankenversicherungen sind Einzelpersonen oder Gruppen, die medizinische Versorgung anbieten oder deren Kosten übernehmen. – Abrechnungsstellen im Gesundheitswesen sind private oder öffentliche Unternehmen, die Gesundheitsdaten verarbeiten…

Eine Datenverwendungsvereinbarung (Data Use Agreement, DUA) regelt den Datenaustausch zwischen Forschungspartnern, die unter die Bestimmungen des HIPAA-Datenschutzgesetzes fallen. Eine DUA definiert, wie die Informationen als begrenzter Datensatz festgelegt werden, wie sie vom vorgesehenen Empfänger verwendet werden und wie gut sie geschützt sind.

Anonymisierte Informationen sind Gesundheitsdaten, die keine Rückschlüsse auf eine Person zulassen, sofern die betroffenen Stellen der Ansicht sind, dass kein begründeter Anlass zu der Annahme besteht, dass sie zur Identifizierung einer Person verwendet werden können. Die HIPAA-Datenschutzbestimmungen sehen zwei Methoden zur Anonymisierung von PHI vor: – Die Methode der Expertenbewertung, bei der statistische oder wissenschaftliche Prinzipien angewendet werden, um zu dem Schluss zu kommen, dass…

Zu den festgelegten Datensätzen gehören Abrechnungsunterlagen, medizinische Unterlagen, Zahlungs- und Leistungsabrechnungen, Fallmanagementunterlagen, Unterlagen zur Krankenversicherungsanmeldung sowie andere Unterlagen, die ganz oder teilweise von oder für eine betroffene Stelle verwendet werden, um Schlussfolgerungen über Einzelpersonen zu ziehen.

Das Ministerium für Soziale Dienste (Department of Human Services, DHS) bietet zahlreiche Gesundheits- und Sozialleistungen an und fördert diese. Es prüft außerdem die Anspruchsberechtigung für diese Leistungen. Dabei werden persönliche Daten und Gesundheitsinformationen über Sie und/oder Ihre Familie erhoben, die vertraulich behandelt und als „geschützte Gesundheitsdaten“ bezeichnet werden.

Ein Gesundheitsdienstleister steht in einer direkten Behandlungsbeziehung zum Patienten, wenn er dem Patienten Dienstleistungen, Diagnosen, Produkte oder Ergebnisse direkt zur Verfügung stellt.

Ein HIPAA-Notfallwiederherstellungsplan (HIPAA DRP) ist ein formeller Vorschlag, der die Prozesse, Maßnahmen und Methoden festlegt, die ergriffen werden müssen, um elektronische Gesundheitsakten (EHR) im Falle einer Naturkatastrophe, eines von Menschen verursachten Unglücksfalls oder eines ähnlichen Ereignisses zu sichern und wiederherzustellen.

Elektronische Speichermedien umfassen Speichersysteme wie Festplatten, Computer, USB-Sticks, optische Datenträger und alle anderen Medien, auf denen Daten digital gespeichert werden können. Auch alle Medien zur Datenübertragung, wie Internet, Extranet, Einwahlverbindungen und private Netzwerke, zählen zu den elektronischen Speichermedien.

Der Notfallplan ist ein Verfahren, das Gesundheitseinrichtungen verpflichtet, ihren Betrieb während eines Katastrophenereignisses aufrechtzuerhalten. Dazu gehören Brände, Erdbeben, Raubüberfälle, Datendiebstähle, Systemausfälle sowie alle anderen Naturkatastrophen und von Menschen verursachten Katastrophen. 

Ein Notfallbetriebsplan (EMO-Plan) ist der Notfallplan einer Organisation zur Aufrechterhaltung des Betriebs im Falle eines Brandes, einer Naturkatastrophe, Vandalismus oder eines Systemausfalls. Budget und Ressourcen sollten für den EMO-Plan bereitgestellt und in einer kontrollierten Umgebung getestet werden.

Alle Patientendaten, die elektronisch erstellt, gespeichert, verwaltet, übermittelt oder weitergegeben werden, gelten als geschützte elektronische Gesundheitsinformationen (ePHI). Gemäß der HIPAA-Verordnung gibt es 18 HIPAA-Kennungen, die als ePHI gelten. Verantwortliche Einrichtungen und Geschäftspartner sind verpflichtet, ePHI gemäß den HIPAA-Sicherheits- und Datenschutzbestimmungen zu schützen. 

Unter einer externen Stelle kann jede Einzelperson, Organisation oder Regierungsbehörde außer der antragstellenden Gruppe verstanden werden, die mit PHI (geschützten Gesundheitsdaten) arbeitet oder diese nutzt.

Alle HIPAA-konformen Einrichtungen müssen einen Sicherheitsplan implementieren, um die Einrichtung und die darin befindlichen Geräte vor unbefugtem physischen Zugriff, Diebstahl und Manipulation an allen Standorten zu schützen, an denen elektronische Gesundheitsdaten (ePHI) gespeichert und/oder abgerufen werden.

Eine Clearingstelle im Gesundheitswesen kann jede Organisation sein, die nicht standardisierte Gesundheitsinformationen im Auftrag einer anderen Einrichtung oder eines anderen Dienstes in ein standardisiertes Inhaltsformat umwandelt.

Die Gesundheitskomponente (Health Care Component, HCC) ist eine Komponente oder eine Kombination von Komponenten einer HIPAA-Hybrideinrichtung. Eine Hybrideinrichtung ist eine Einrichtung, deren Geschäftstätigkeit sowohl abgedeckte als auch nicht abgedeckte Funktionen umfasst. 

Der Begriff „Gesundheitsdienstleister“ umfasst: – Krankenhäuser, ambulante Pflegedienste, Pflegeheime, – Langzeitpflegeeinrichtungen wie Kliniken, Dialyseeinrichtungen, Gemeindepsychiatrische Zentren, Blutspendezentren, – Notfalldienste, ambulante Operationszentren, – staatlich anerkannte Gesundheitszentren, Gemeinschaftspraxen, Ärzte, Apotheker, Labore, ländliche Einrichtungen…

Das US-amerikanische Ministerium für Gesundheit und Soziale Dienste (HHS) ist ein Ministerium auf Kabinettsebene der Exekutive der US-Bundesregierung, das zum Schutz der Gesundheit aller amerikanischen Bürger und zur Bereitstellung wesentlicher sozialer Dienstleistungen geschaffen wurde.

Der Ausschuss für Humanforschung (HIC) des Gesundheitsministeriums (DPH) ist für die Überwachung, Prüfung und Genehmigung von Forschungsarbeiten zuständig, bei denen identifizierbare Gesundheitsinformationen verwendet werden, die das Ministerium zum Schutz der Rechte und des Wohlergehens der Forschungsteilnehmer erhalten hat.

Eine HIPAA-Geschäftspartnervereinbarung ist ein Vertrag zwischen einer HIPAA-pflichtigen Einrichtung (z. B. einem Gesundheitsdienstleister) und einem Unternehmen oder einer Einzelperson, die bei bestimmten Aufgaben im Zusammenhang mit geschützten Gesundheitsdaten (PHI) unterstützt. Es handelt sich im Wesentlichen um eine schriftliche Vereinbarung, die die Verwendung der PHI regelt. HIPAA verpflichtet die Einrichtungen, mit Geschäftspartnern zusammenzuarbeiten, die nachweislich über die erforderliche Kompetenz zum Schutz der PHI verfügen.

Ein HIPAA-Autorisierungsformular, oft auch HIPAA-Freigabeformular genannt, ist ein Dokument, das Patienten mit ihren Gesundheitsdienstleistern unterzeichnen. Es erteilt dem Anbieter die Erlaubnis, ihre geschützten Gesundheitsdaten (PHI) für bestimmte Zwecke zu verwenden oder weiterzugeben. Zu diesen Gründen gehören: Wann ist eine HIPAA-Autorisierung erforderlich? Eine HIPAA-Autorisierung ist in bestimmten, in Abschnitt 45 des HIPAA-Gesetzes festgelegten Situationen erforderlich…

HIPAA-konformes Faxen ist eine vorgeschriebene und bewährte Methode zur sicheren Übermittlung von Patientendaten. Um die strengen Datenschutzbestimmungen von HIPAA zu erfüllen, nutzen medizinische Fachkräfte und Unternehmen cloudbasierte Faxdienste, um die Integrität der Patientendaten zu gewährleisten. Ist Faxen HIPAA-konform? Faxen gilt aufgrund seiner inhärenten Sicherheit und der Punkt-zu-Punkt-Übertragung grundsätzlich als HIPAA-konform. Faxleitungen und die meisten IP-Netzwerke…

Die HIPAA-Datenschutzbestimmungen legen Standards für den Schutz von Patientenakten und personenbezogenen Gesundheitsdaten (PHI) fest. So sollten beispielsweise Gespräche zwischen Ärzten und Patienten vertraulich stattfinden, und Patienten bevorzugen es möglicherweise, über ihr Mobiltelefon statt zu Hause kontaktiert zu werden. Selbst wohlmeinende Familienmitglieder haben möglicherweise keinen Zugriff auf die Daten eines Angehörigen…

Das HIPAA Journal ist eine hilfreiche Website für alle Fragen rund um HIPAA. Sie bietet Neuigkeiten, Informationen zu Datenschutzverletzungen, Tipps und aktuelle Informationen zur Datensicherheit im Gesundheitswesen. Es gibt Rubriken wie „Neue HIPAA-Bestimmungen“ und „HIPAA-Änderungen 2023“. Hier finden Sie Informationen zu den neuesten HIPAA-Regelaktualisierungen, beispielsweise zu Telemedizin-Regeln und Sicherheitsänderungen. Es wurde sogar über … berichtet.

Jedes HCC benennt HIPAA-Beauftragte, die mit dem HIPAA-Datenschutzbüro zusammenarbeiten und die erste Anlaufstelle für Fragen und Verfahren zur HIPAA-Konformität für die jeweiligen Einrichtungen sind. Die HIPAA-Beauftragten können auch Anfragen von Patienten entgegennehmen, beispielsweise zu Auskunft, Beschwerden, Änderungen und Abrechnungen.

Verantwortliche Einrichtungen müssen jedem Individuum, dessen Gesundheitsdaten von ihnen verarbeitet werden, eine Datenschutzerklärung (Datenschutzhinweis) zur Verfügung stellen. Gesundheitsdienstleister senden diese Erklärung neuen Versicherten bei der Anmeldung und mindestens alle drei Jahre bestehenden Versicherten zu. Selbstversicherte Krankenversicherungen erstellen ihre eigenen Datenschutzhinweise, während vollversicherte Versicherungen auf … zurückgreifen.

Die HIPAA-Sicherheitsrichtlinie definiert drei entscheidende Standards zum Schutz von Gesundheitsdaten: Administrative Schutzmaßnahmen: Diese Schutzmaßnahmen sind unerlässlich für die Verwaltung von Sicherheitsvorkehrungen und den Schutz elektronischer Gesundheitsdaten (ePHI). In der Regel überwacht ein benannter Sicherheitsbeauftragter diese Maßnahmen, darunter Risikobewertungen, Zugriffskontrollen, Reaktion auf Sicherheitsvorfälle und Schulungen zur Sensibilisierung für IT-Sicherheit. Physische Schutzmaßnahmen: Diese Maßnahmen konzentrieren sich auf die Sicherung von Gebäuden, Geräten usw.

HIPAA schreibt Sanktionen für Richtlinienverstöße in den betroffenen Einrichtungen vor. Diese Richtlinie konzentriert sich auf Sanktionen für Mitarbeiter bei HIPAA-Verstößen und betont die Wichtigkeit des Schutzes der Patientendaten. Zu den wichtigsten Bestandteilen der Richtlinie gehören: Verstöße gegen die HIPAA-Bestimmungen können zu Geldstrafen zwischen 100 und 250,000 US-Dollar sowie Freiheitsstrafen von einem bis zehn Jahren führen. Konsequente Durchsetzung…

Die HIPAA-Zusammenfassung bietet einen kurzen Überblick über die HIPAA-Richtlinien. Sie beschreibt, wie Gesundheitsdienstleister und verwandte Einrichtungen Gesundheitsdaten verarbeiten müssen und welche Maßnahmen bei der Übermittlung oder Weitergabe von PHI (geschützten Gesundheitsdaten) zu beachten sind. Zu den wichtigsten Themen der HIPAA-Zusammenfassung gehören: Die Datenschutzregel (PHI und wichtige Konzepte). Die Datenschutzregel regelt die Verwendung und…

Ein HIPAA-Verzichtserklärungsformular, auch bekannt als Formular zur Freigabe von Patientendaten, ermöglicht es Patienten, Dritten den Zugriff auf ihre Gesundheitsdaten zu gestatten. Es erlaubt auch Gesundheitsdienstleistern, Informationen bei Bedarf weiterzugeben. Patienten können diese Berechtigungen jederzeit widerrufen oder ändern. Die Weitergabe von Patientendaten ohne HIPAA-Genehmigungsformular stellt einen Verstoß dar.

Eine juristische Person, die sowohl abgedeckte als auch nicht abgedeckte Funktionen ausübt, kann sich gemäß HIPAA als hybride Einrichtung bezeichnen und entscheiden, die Datenschutzbestimmungen nicht auf ihre nicht-medizinischen Bereiche anzuwenden, während alle abgedeckten Bereiche im Gesundheitswesen HIPAA-konform sein müssen und die abgedeckte Einrichtung die Verantwortung für Sicherheitsbestimmungen, Aufsicht und … behält.

Ein eingeschränkter Datensatz wird als Gesundheitsinformation detailliert beschrieben, der bestimmte aufgeführte direkte Identifikatoren ausschließt, aber Stadt, Postleitzahl, Bundesland, Datumsangaben, Telefon- und Faxnummern sowie andere Merkmale, Nummern oder Codes enthalten kann, die nicht als direkte Identifikatoren aufgeführt sind. Die in den eingeschränkten Daten der Datenschutzverordnung definierten direkten Identifikatoren enthalten Bestimmungen, die…

Das Office for Civil Rights (OCR) fördert medizinische Exzellenz im ganzen Land, indem es den gleichberechtigten Zugang zu bestimmten Gesundheits- und Sozialleistungen gewährleistet und gleichzeitig die Vertraulichkeit und Sicherheit von Gesundheitsdaten schützt.

Geschützte Gesundheitsinformationen (PHI) bezeichnen alle Daten in einer Patientenakte, die zur Identifizierung einer Person verwendet werden können. Diese Daten wurden im Rahmen der Gesundheitsversorgung eines Patienten erstellt, verwendet oder weitergegeben. Die Datenschutzbestimmungen des HIPAA regeln umfassend die Rechte einer Person an diesen Informationen. Betroffene Stellen…

Physische Schutzmaßnahmen sind die physischen Maßnahmen, Verfahren und Richtlinien zum Schutz der elektronischen Informationssysteme und zugehörigen Geräte und Gebäude einer betroffenen Einrichtung vor natürlichen und unnatürlichen Gefahren sowie vor unbefugtem Eindringen.

Der HIPAA-Datenschutzbeauftragte (Health Insurance Portability and Accountability Act) ist verantwortlich für die Entwicklung, Verwaltung und Umsetzung von Prozessen, um sicherzustellen, dass die Organisationen die geltenden bundesstaatlichen und einzelstaatlichen HIPAA-Vorschriften und -Richtlinien einhalten, insbesondere für Organisationen, die Zugriff auf geschützte Gesundheitsinformationen (PHI) haben und diese nutzen.

Zu den Aufgaben im Bereich der öffentlichen Gesundheit gehören die Meldung von Krankheiten oder Verletzungen, die Durchführung von Gesundheitsüberwachungsmaßnahmen, die Meldung von wichtigen Ereignissen (z. B. Geburten oder Todesfällen), die Meldung von Kindesmisshandlung und -vernachlässigung, Untersuchungen und Interventionen sowie die Überwachung von unerwünschten Ereignissen im Zusammenhang mit Arzneimitteln, Lebensmitteln (einschließlich Nahrungsergänzungsmitteln), biologischen Produkten und Medizinprodukten. Betroffene Einrichtungen können unerwünschte Ereignisse im Zusammenhang mit öffentlichen Einrichtungen melden oder…

Eine Risikobewertung dient der Überprüfung, ob Ihre Organisation die technischen, administrativen und physischen Sicherheitsvorkehrungen des HIPAA einhält. Sie hilft außerdem dabei, Bereiche zu identifizieren, in denen die geschützten Gesundheitsdaten (PHI) Ihrer Organisation anfällig für Datenschutzverletzungen sind.

Risikomanagement ist ein formaler Plan zur Identifizierung und Behebung von Risiken. Einige dieser grundlegenden Praktiken helfen Ihnen, die Sicherheitsvorgaben einzuhalten, ohne Ihr Budget zu sprengen: – Implementieren Sie technische, administrative und physische Sicherheitsvorkehrungen zum Schutz von Gesundheitsdaten. – Identifizieren und beheben Sie Schwachstellen in Ihrem System. – Arbeiten Sie kontinuierlich daran und führen Sie entsprechende Maßnahmen durch.

Der HIPAA-Sicherheitsbeauftragte ist für die Überwachung aller Datenarten, die Risikobewertung und die Entwicklung von Richtlinien und Compliance-Maßnahmen zur Behebung von Schwachstellen zuständig. Er ist verantwortlich für die Erstellung, Implementierung und Durchsetzung des Sicherheitsprogramms einer Organisation gemäß den physischen, administrativen und technischen Sicherheitsvorgaben.

Das OCR hat in Zusammenarbeit mit dem Office of the National Coordinator for Health Information Technology ein herunterladbares Tool zur Sicherheitsrisikobewertung (Security Risk Assessment, SRA) entwickelt, das Benutzer mithilfe eines einfachen, assistentengestützten Ansatzes durch den Prozess der Sicherheitsrisikobewertung führt, wie es von CMS (Centers for Medicare and Medicaid Services) für elektronische Gesundheitsakten gefordert wird…

Unterauftragnehmer sind Personen, denen Geschäftspartner eine Aufgabe, Funktion oder Dienstleistung übertragen, die die Erstellung, Übermittlung oder Verwaltung von geschützten Gesundheitsdaten (PHI) beinhaltet. Sie arbeiten im Auftrag eines Geschäftspartners und unterliegen den Datenschutzbestimmungen des HIPAA. 

Es bezieht sich auf geschützte Gesundheitsdaten, die durch den Einsatz einer vom Minister in einer Richtlinie festgelegten Technologie oder eines festgelegten Verfahrens für unbefugtes Personal nicht unbrauchbar, unentzifferbar oder unlesbar gemacht wurden.