Business Associate Agreement (BAA)

HIPAA unterteilt die Welt der Gesundheitsdaten in zwei Rollen. Eine Covered Entity ist ein Gesundheitsdienstleister, der Gesundheitsinformationen für Standardtransaktionen elektronisch übermittelt, eine Krankenversicherung oder eine Clearingstelle für das Gesundheitswesen. Ein Business Associate ist eine externe Person oder Organisation, die bei der Erbringung von Leistungen für eine Covered Entity PHI erstellt, empfängt, verwaltet oder übermittelt. Maßgeblich ist die Funktion, nicht die Form: entscheidend ist, ob ein Anbieter mit PHI in Berührung kommt, nicht, welcher Branche er angehört.

Dieselbe Beziehung wiederholt sich eine Ebene tiefer. Beauftragt ein Business Associate ein weiteres Unternehmen mit der Verarbeitung von PHI, etwa einen Hosting-Anbieter für seine Backups, wird dieses Unternehmen zum Subunternehmer-Business-Associate. Es muss durch eine schriftliche Vereinbarung mit denselben Beschränkungen gebunden sein, damit die Vertragskette jede Organisation der Verarbeitungskette erfasst.

Geschützte Gesundheitsinformationen sind eine Form sensibler Daten und verbleiben selten in einem einzigen System. Die folgenden Gruppen befinden sich meist irgendwo in dieser Kette.

Die Vereinbarung muss bestehen, bevor PHI den Anbieter erreicht. Immer wenn eine Leistung das Erstellen, Empfangen, Verwalten oder Übermitteln von PHI für eine Covered Entity umfasst, verlangt HIPAA hinreichende schriftliche Zusicherungen, dass der Anbieter die Daten schützt. Die Weitergabe von PHI ohne eine solche Vereinbarung ist bereits ein Verstoß, selbst wenn nie Daten offengelegt werden.

Manche Beziehungen fallen nicht unter die Regel. Ein reiner Durchleiter, der Informationen weitergibt, ohne auf sie zuzugreifen, etwa ein Internetanbieter oder ein Kurier mit nur kurzzeitigem physischem Besitz, braucht kein BAA. Auch ein Mitarbeiter braucht keines, da er den Pflichten des Arbeitgebers unterliegt. Entscheidend ist der Zugriff: Sobald ein Anbieter PHI vernünftigerweise einsehen, nutzen oder speichern kann, ist eine schriftliche Vereinbarung erforderlich.

HIPAA schreibt den Mindestinhalt des Vertrags vor. Ein vollständiges BAA regelt die folgenden Punkte, und jeder Punkt sollte anhand der tatsächlichen Antwort des Anbieters geprüft werden, nicht nur anhand seiner Vorlage.

Business Associates waren früher nur ihren Kunden verantwortlich. Der HITECH Act von 2009 und die Omnibus Rule von 2013 haben das geändert. Heute haften Business Associates für viele HIPAA-Pflichten direkt gegenüber den Aufsichtsbehörden, darunter die Schutzmaßnahmen der Security Rule und die Meldung von Verstößen. Das Office for Civil Rights im U.S. Department of Health and Human Services setzt die Regeln mit gestaffelten Geldbußen durch, die sich am Grad des Verschuldens orientieren. Auch Generalstaatsanwälte der Bundesstaaten können im Namen ihrer Einwohner klagen.

Die Covered Entity behält ihre eigenen Pflichten. Sie muss vor jeder Offenlegung schriftliche Zusicherungen einholen, bei der Auswahl von Anbietern die gebotene Sorgfalt walten lassen und betroffene Personen sowie die Aufsichtsbehörde benachrichtigen, wenn beim Anbieter eine Datenschutzverletzung eintritt. In der Praxis werten Aufsichtsbehörden ein fehlendes, abgelaufenes oder unzureichendes BAA oft als eigenständigen Verstoß, selbst wenn keine Daten zu Schaden kamen.

Im modernen Einkauf im Gesundheitswesen wirkt das BAA als Schranke. Wo PHI im Spiel ist, scheidet ein Anbieter, der kein BAA unterzeichnen kann, aus. Große Anbieter veröffentlichen beim Onboarding oft eine Standardvereinbarung, und Kunden im Gesundheitswesen akzeptieren diese Bedingungen häufig, statt sie zu verhandeln. Eine Unterschrift ist aber ein Versprechen und kein Nachweis, deshalb erfolgen die folgenden Prüfschritte vor der Vertragsunterzeichnung.

1. 1

   Datenweg abbilden

   Erfassen Sie jeden Ort, an dem der Anbieter PHI speichern, übermitteln oder einsehen würde, einschließlich Backups und Supportzugriffen.

2. 2

   Subunternehmer nachverfolgen

   Fordern Sie die Liste der Subunternehmer an und prüfen Sie, dass jeder an dieselben schriftlichen Beschränkungen gebunden ist.

3. 3

   Meldefrist prüfen

   Kontrollieren Sie die Frist für die Meldung von Verstößen und den benannten Ansprechpartner, damit die Covered Entity ihre eigenen Pflichten erfüllen kann.

4. 4

   Nachweise anfordern

   Verlangen Sie unabhängige Prüfberichte und einen ausgefüllten Sicherheitsfragebogen, bevor PHI weitergegeben wird.

Ein BAA wird im Alltag durch Zugriffskontrolle wirksam. In der Anexet-Konsole legt der Administrator Rechte je Benutzer und je Gruppe für jede Regelgruppe fest, getrennt für Regeln und Vorfälle. Mit dem On-Premise-Betrieb verbleiben die erfassten Daten in der eigenen Infrastruktur des Kunden, und der Anbieter hat keinen Zugriff auf Kundendaten.

Beginnen Sie bei den Daten, die ein Anbieter erreichen könnte, nicht beim Vertragsmuster. Ein BAA legt die Pflichten auf dem Papier fest, doch die dahinterliegenden Kontrollen entscheiden, ob diese Pflichten erfüllt werden. Zu den Schutzmaßnahmen auf Seiten der Covered Entity an jedem Datenfluss finden Sie Hinweise im Beitrag zu Data Loss Prevention (DLP).

Prüfen Sie die Anbieter mit den sensibelsten Daten regelmäßig erneut. Ein Vertrag wird einmal unterzeichnet, die Datenflüsse ändern sich danach aber laufend.