Covered Entity (HIPAA)

HIPAA unterstellt nicht jede Organisation, die Gesundheitsdaten verarbeitet, seinen Regeln. Es definiert drei Kategorien, und wer zu einer davon gehört, unterliegt dem vollen Katalog an Datenschutz- und Sicherheitspflichten. Die Definition ist funktional: Maßgeblich ist, was eine Organisation mit Gesundheitsinformationen tut, nicht ihre Rechtsform oder Größe.

Leistungserbringer fallen nur darunter, wenn sie Gesundheitsinformationen elektronisch im Rahmen von Standardtransaktionen übermitteln, etwa bei Abrechnungen oder Eligibilitätsanfragen. Eine rein papierbasierte Praxis erfüllt die Definition nicht.

Viele große Organisationen erbringen sowohl abgedeckte als auch nicht abgedeckte Leistungen, etwa eine Universität mit Lehrkrankenhaus oder ein Händler mit Apotheken. HIPAA erlaubt es ihnen, sich als hybride Entität zu bezeichnen. Dann gelten nur die Komponenten als Covered Entity, die abgedeckte Funktionen erfüllen und schriftlich als Health-Care-Komponente benannt sind.

Die Einstufung ist kein Ausweg. Eine Komponente, die Claims elektronisch abrechnet, bleibt innerhalb der Grenze, denn die Pflichten folgen den Daten. Funktionen, die rein als Arbeitgeber ausgeübt werden, etwa die Lohnbuchhaltung, bleiben immer außen vor.

Die Ausnahmen wiegen so schwer wie die Definition. Daten, die die HIPAA-Welt verlassen, können einem anderen Rechtsregime unterliegen, oder keinem. Häufig ausgenommen sind:

• Arbeitgeber als Arbeitgeber: Personalakten und Lohnunterlagen sind keine PHI, auch bei Krankmeldungen
• Unfallversicherer: Unterliegen dem Recht der US-Bundesstaaten und gelten meist nicht als Health Plan
• Lebens-, Kfz- und Berufsunfähigkeitsversicherer: Sie decken finanzielles Risiko, keine Gesundheitskosten
• Die meisten Schul- und Campuskliniken: Ihre Behandlungsunterlagen unterliegen meist FERPA statt HIPAA
• Rein papierbasierte Leistungserbringer: Keine elektronische Anbindung an Standardtransaktionen; heute selten

Covered Entity und Business Associate sind die beiden zentralen Rollen im Datenmodell von HIPAA. Der Unterschied liegt in der Richtung der Leistung. Die Covered Entity handelt im Gesundheitsverhältnis im eigenen Namen: Sie behandelt Patienten, begleicht Claims oder verarbeitet Standardtransaktionen. Ein Business Associate ist eine Person oder Organisation außerhalb der Belegschaft der Covered Entity, die bei der Erbringung einer Dienstleistung für sie PHI erstellt, empfängt, speichert oder übermittelt, etwa Abrechnung, Transkription, Hosting oder Buchhaltung.

Seit dem HITECH-Gesetz haften Business Associates bei vielen Anforderungen direkt gegenüber den Aufsichtsbehörden. Die Covered Entity behält jedoch eigene Pflichten: schriftliche Zusicherungen, bevor PHI an einen Dienstleister fließen, und die Meldung nach einem Verstoß beim Dienstleister. Eine Organisation kann beide Rollen zugleich innehaben. Ein Krankenhaus, das Claims einer benachbarten Klinik abrechnet, ist deren Business Associate und bleibt für die eigenen Patienten Covered Entity.

Die Privacy Rule regelt, was eine Covered Entity mit PHI tun darf, und gibt Einzelpersonen Rechte an ihren eigenen Informationen. Zentrale Pflichten:

• Zulässige Verwendungen und Offenlegungen: PHI dürfen ohne Patientenautorisierung für Behandlung, Zahlung und Gesundheitsbetrieb genutzt werden. Die meisten anderen Zwecke, etwa Marketing, der Verkauf von Informationen oder ein großer Teil der Forschung, erfordern eine schriftliche Autorisierung.
• Minimum necessary: Jede Verwendung oder Offenlegung ist auf das notwendige Mindestmaß an PHI zu beschränken, mit engen Ausnahmen wie der Übermittlung zwischen Leistungserbringern zur Behandlung.
• Hinweis zu den Datenschutzpraktiken: ein schriftlicher Hinweis, der beschreibt, wie PHI genutzt und offengelegt werden. Er wird Patienten ausgehändigt und auf Anfrage bereitgestellt.
• Rechte der Einzelpersonen: Einsicht in die eigenen Unterlagen, Berichtigung, Auskunft über Offenlegungen, Einschränkungswünsche und vertrauliche Kommunikation.
• Verwaltung: eine benannte Person für den Datenschutz, Schulungen und Sanktionen für die Belegschaft, Beschwerdebearbeitung und dem Risiko angemessene Schutzmaßnahmen.

Die Security Rule gilt für elektronische geschützte Gesundheitsinformationen (ePHI). Sie verlangt ein dokumentiertes, risikobasiertes Programm statt einer festen Checkliste. Die Covered Entity muss regelmäßig eine Risikoanalyse durchführen und administrative, physische und technische Schutzmaßnahmen umsetzen. Zu den technischen Maßnahmen gehören die Zugriffskontrolle nach dem Need-to-know-Prinzip, eindeutige Benutzerkennungen, Prüfprotokolle, Integritätsschutz sowie die Verschlüsselung von ePHI bei Übertragung und im Ruhezustand.

Die Breach Notification Rule fügt eine fristgebundene Pflicht hinzu. So läuft sie ab:

1. 1

   Verstoß vermuten

   Eine unzulässige Verwendung oder Offenlegung ungesicherter PHI gilt als meldepflichtig.

2. 2

   Vier-Faktoren-Bewertung

   Diese Vermutung bleibt bestehen, sofern eine dokumentierte Bewertung keine geringe Kompromittierungswahrscheinlichkeit zeigt.

3. 3

   Rechtzeitig melden

   Einzelpersonen und Aufsichtsbehörde ohne unangemessene Verzögerung informieren, spätestens 60 Tage nach Entdeckung.

Prüfen Sie zuerst, welche der drei Kategorien auf Sie zutrifft, denn davon hängen alle weiteren Pflichten ab. Listen Sie danach die Dienstleister auf, die PHI erhalten, und die Anforderungen an die Vertraulichkeit, die jeder von ihnen erfüllen muss. Einen praxisnahen Überblick zum Schutz von Patientendaten bietet die Seite Schutz von Patientendaten im Gesundheitswesen.