Finden Sie mit Acronis Ihren Weg zur HIPAA-Compliance

Häufig gestellte Fragen (FAQ)

• Was ist HIPAA?

  HIPAA, der Health Insurance Portability and Accountability Act, ist ein US-amerikanisches Gesetz, das Standards zum Schutz sensibler Patientendaten festlegt. Das Gesetz gilt für betroffene Einrichtungen (wie Gesundheitsdienstleister, Krankenkassen und Abrechnungsstellen im Gesundheitswesen) sowie deren Geschäftspartner – also Unternehmen, die im Auftrag der betroffenen Einrichtungen Dienstleistungen erbringen und geschützte Gesundheitsinformationen (PHI) verarbeiten. HIPAA besteht aus wichtigen Vorschriften, darunter eine Datenschutzvorschrift, die nationale Standards für den Schutz von personenbezogenen Gesundheitsdaten (PHI) festlegt, eine Sicherheitsvorschrift, die Standards für den Schutz elektronischer personenbezogener Gesundheitsdaten (ePHI) festlegt, und eine Meldepflicht bei Datenschutzverstößen, die vorschreibt, dass Datenschutzverstöße, bei denen personenbezogene Gesundheitsdaten ungesichert waren, gemeldet werden müssen. Diese Vorschriften gelten auch für IT-Anbieter, MSPs (Managed Service Provider) und Cloud-Anbieter, die mit personenbezogenen Gesundheitsdaten umgehen, da sie laut Gesetz als Geschäftspartner gelten.

• Warum sollten Sie sich mit HIPAA befassen?

  Sie sollten sich mit HIPAA befassen, weil es sich um eine wichtige Vorschrift mit erheblichen finanziellen und rechtlichen Auswirkungen handelt. Verstöße können zu schweren Strafen führen, mit Geldbußen von bis zu 1,5 Millionen Dollar pro Jahr für jede Kategorie von Verstößen. Das Gesetz definiert strenge Regeln für die Speicherung, den Zugriff und die Übertragung von elektronisch geschützten Gesundheitsdaten (ePHI), was bedeutet, dass die entsprechenden Unternehmen über robuste Sicherheitsmaßnahmen verfügen müssen. Dies umfasst nicht nur Ihre internen Abläufe, sondern auch alle Drittanbieter, mit denen ein Unternehmen zusammenarbeitet.

  Darüber hinaus haften MSPs und andere Anbieter gemäß HIPAA als Geschäftspartner, sodass auch sie direkt mit Geldstrafen belegt werden können, wenn es aufgrund ihrer Fahrlässigkeit zu einem Datenschutzverstoß kommt. Die Gesundheitsbranche wird aufgrund der Vertraulichkeit und des hohen Werts der medizinischen Daten für Cyber-Kriminelle zu einem immer attraktiveren Ziel. Diese wachsende Angriffsfläche (die alles von elektronischen Gesundheitsakten bis hin zu vernetzten medizinischen Geräten einschließt) macht die Einhaltung von Vorschriften und strenge Cyber Security-Maßnahmen wichtiger denn je, um sowohl Ihr Unternehmen als auch Ihre Patient:innen zu schützen.

  HIPAA ist ein US-Bundesgesetz, das nationale Standards festlegt, um die Vertraulichkeit und Sicherheit von medizinischen Daten zu schützen. Die Einhaltung dieses Gesetzes ist für bestimmte Einrichtungen, die mit solchen sensiblen Daten umgehen, zwingend erforderlich.

• Was sind geschützte Gesundheitsinformationen (PHI)?

  PHI umfasst alle Informationen über den Gesundheitszustand einer Person, die Erbringung von Gesundheitsdienstleistungen oder die Bezahlung von Gesundheitsdienstleistungen, die mit dieser bestimmten Person in Verbindung stehen. Dazu gehören:

  • Namen, Adressen und andere Kontaktdaten.
  • Sozialversicherungsnummern und Krankenaktennummern.
  • Informationen zur Krankenversicherung.
  • Patientenfotos.
  • Daten, die sich auf die Person beziehen (z. B. Geburtsdatum, Datum der Aufnahme).
  • Alle Daten zu vergangenen, gegenwärtigen oder zukünftigen physischen oder psychischen Gesundheitszuständen.

• Wer muss die HIPAA-Vorschriften einhalten?

  Die HIPAA-Bestimmungen gelten für zwei wesentliche Gruppen:

  • Betroffene Einrichtungen: Hierbei handelt es sich um Gesundheitsdienstleister, Krankenkassen und Abrechnungsstellen im Gesundheitswesen. Beispiele hierfür sind Ärzte, Kliniken, Krankenhäuser, Zahnärzte und Krankenkassen.
  • Geschäftspartner: Dies sind Drittanbieter, die für ein betreffendes Unternehmen Dienstleistungen erbringen, die die Verwendung oder Offenlegung von personenbezogenen Gesundheitsdaten (PHI) beinhalten. Dazu können Abrechnungsunternehmen, Datenspeicheranbieter und andere IT-Dienstleister gehören.

  Wenn ein Unternehmen oder eine Person unter eine dieser Kategorien fällt und personenbezogene Gesundheitsdaten verarbeitet, muss es bzw. sie die HIPAA-Vorschriften einhalten.