Was ist HIPAA-Compliance? Covered Entities und BAAs

Die Frage, was HIPAA-Compliance in der Praxis bedeutet, beginnt mit einem einfachen Gedanken: US-Bundesrecht setzt Mindeststandards dafür, wie geschützte Gesundheitsinformationen verwendet, weitergegeben und gesichert werden, und es nimmt sowohl die Organisationen in die Pflicht, die diese Daten erzeugen, als auch die Dienstleister, die sie verarbeiten. Dieser Leitfaden richtet sich an Compliance-Manager, CISOs und Gründer, die wissen müssen, ob HIPAA auf sie anwendbar ist, welche Pflichten daraus folgen und was passiert, wenn die Regeln verletzt werden. Er behandelt die beiden regulierten Parteien, die drei Kernregeln, die vierstufige Sanktionsstruktur und ein praxistaugliches Programm, das sich tatsächlich betreiben lässt. Er erklärt außerdem, warum ein Softwareanbieter mit Sitz in der EU voll in den Anwendungsbereich fallen kann.

Was HIPAA ist

HIPAA ist der Health Insurance Portability and Accountability Act von 1996, ein US-Bundesgesetz, das vom Department of Health and Human Services (HHS) verwaltet wird. Seine Datenschutz- und Sicherheitsanforderungen sind in Verordnungen umgesetzt, die sich in Title 45 des Code of Federal Regulations, Parts 160 und 164, finden. Die Durchsetzung liegt beim HHS Office for Civil Rights (OCR). Wer von "HIPAA-Compliance" spricht, meint in der Regel vier miteinander verbundene Regeln.

• Die Privacy Rule regelt, wie geschützte Gesundheitsinformationen (PHI) verwendet und offengelegt werden dürfen, und gibt Einzelpersonen Rechte an ihren eigenen Unterlagen, einschließlich des Rechts auf Zugang und auf Beantragung von Berichtigungen.
• Die Security Rule legt Standards für den Schutz elektronischer PHI (ePHI) durch administrative, physische und technische Maßnahmen fest.
• Die Breach Notification Rule verlangt eine Benachrichtigung, wenn ungesicherte PHI kompromittiert werden.
• Die Enforcement Rule legt fest, wie das OCR Beschwerden untersucht, Compliance-Prüfungen durchführt und Sanktionen verhängt.

PHI sind individuell identifizierbare Gesundheitsinformationen, die eine regulierte Partei hält oder übermittelt, in jeder Form: auf Papier, elektronisch oder gesprochen. Dazu gehören offensichtliche Daten wie Diagnosen und Testergebnisse, aber auch Identifikatoren im Zusammenhang mit der Versorgung einer Person, etwa Namen, Datumsangaben, Kontaktdaten und Kontonummern, sobald sie mit Gesundheitsinformationen verknüpft sind.

Wer HIPAA einhalten muss

HIPAA gilt nicht für jede Organisation, die mit Gesundheitsdaten in Berührung kommt. Das Gesetz reguliert zwei Kategorien von Parteien, und zu verstehen, zu welcher Sie gehören, ist die wichtigste Scoping-Frage, die Sie beantworten können. Wer sie falsch beantwortet, liegt bei allem Nachgelagerten falsch: die falschen Pflichten, die falschen Verträge, die falschen Nachweise. Sie ist zugleich die am günstigsten zu klärende Frage auf dieser Seite. Ein Nachmittag mit Ihren Kundenverträgen und einem Datenflussdiagramm liefert die Antwort in der Regel, und wer das erledigt, bevor er Tools kauft oder Richtlinien schreibt, spart sich Monate fehlgeleiteter Arbeit.

Covered Entities

Eine Covered Entity ist eine von drei definierten Organisationsarten:

• Gesundheitspläne (health plans), einschließlich Krankenversicherern, HMOs, arbeitgebergetragener Gruppenversicherungen und staatlicher Programme, die Behandlungen bezahlen.
• Healthcare Clearinghouses, die Gesundheitsinformationen von einem Format in ein anderes überführen, zum Beispiel Abrechnungsdienste, die Daten in standardisierte elektronische Anträge umwandeln.
• Leistungserbringer im Gesundheitswesen, die Gesundheitsinformationen im Zusammenhang mit einer erfassten Transaktion elektronisch übermitteln, etwa Abrechnungen, Anspruchsprüfungen oder Überweisungen. Das ist der entscheidende Qualifikator: Ein Leistungserbringer ist nur dann eine Covered Entity, wenn er diese elektronischen Transaktionen durchführt. Auf die meisten Krankenhäuser, Kliniken, Apotheken und Arztpraxen trifft das zu.

Business Associates

Ein Business Associate ist eine Person oder Organisation, die für eine Covered Entity eine Funktion oder Dienstleistung erbringt, bei der PHI erstellt, empfangen, gespeichert oder übermittelt werden. Hier landen die meisten Technologieunternehmen. Cloud-Hosting-Anbieter, SaaS-Plattformen, Analytics-Anbieter, medizinische Abrechnungsunternehmen, E-Prescribing-Gateways, Datenspeicherfirmen und IT-Dienstleister sind typischerweise Business Associates. Subunternehmer, die ein Business Associate für den Umgang mit PHI einsetzt, sind selbst Business Associates, sodass die Pflichten die Lieferkette hinunterfließen.

Das Instrument, das einen Business Associate bindet, ist das Business Associate Agreement (BAA). Eine Covered Entity muss ein schriftliches BAA abgeschlossen haben, bevor sie einem Business Associate den Umgang mit PHI gestattet, und ein Business Associate muss BAAs mit seinen eigenen Subunternehmern haben. Das BAA legt die zulässigen Verwendungen von PHI fest, verpflichtet den Business Associate zu deren Schutz und zur Meldung von Verletzungen und verlangt die Rückgabe oder Vernichtung der PHI bei Ende der Geschäftsbeziehung. Wichtig: Seit dem HITECH Act haften Business Associates für viele HIPAA-Anforderungen unmittelbar aus dem Gesetz, zusätzlich zu dem, was sie der Covered Entity aus dem BAA schulden. Das OCR kann direkt gegen sie vorgehen. Beim Durchreichen der Pflichten wird es in der Praxis unangenehm. Das eigene BAA zu unterschreiben ist an einem Vormittag erledigt. Ein dazu passendes BAA von dem Infrastrukturanbieter zwei Ebenen unter Ihnen zu bekommen, zu Bedingungen, die mit Ihren Zusagen nach oben übereinstimmen, ist eine Jagd über Wochen, und kleinere Subunternehmer wehren sich hartnäckig gegen Meldefristen und Auditrechte. Fangen Sie früh damit an, denn die Covered Entity, die auf Sie wartet, wartet nicht auf Ihre Lieferkette.

Warum ein EU-Anbieter in den Anwendungsbereich fallen kann

HIPAA ist US-Recht, macht an der US-Grenze aber nicht halt. Die Pflichten knüpfen an die Rolle an, die Sie einnehmen, unabhängig davon, wo Sie ansässig sind. Verarbeitet ein Unternehmen mit Sitz in der Europäischen Union PHI im Auftrag einer US-amerikanischen Covered Entity, ist es ein Business Associate, muss ein BAA unterzeichnen und die einschlägigen Anforderungen erfüllen. Ein EU-Softwareanbieter mit US-Kunden im Gesundheitswesen trägt damit HIPAA-Pflichten neben seinen DSGVO-Pflichten. Die beiden Regelwerke unterscheiden sich, überschneiden sich aber stark bei Zugriffskontrolle, Verschlüsselung, der Meldung von Verletzungen und dem Lieferantenmanagement, weshalb eine einzige Plattform, die beide abdeckt, viel doppelte Arbeit beseitigen kann.

Was HIPAA verlangt

Die Pflichten unterscheiden sich je nach Regel, greifen aber ineinander. Die Privacy Rule definiert, was Sie mit PHI tun dürfen; die Security Rule definiert, wie Sie deren elektronische Form schützen müssen; und die Breach Notification Rule definiert, was Sie tun müssen, wenn der Schutz versagt. Für ein Gesetz ihres Alters hat sich die Security Rule ungewöhnlich gut gehalten, weil sie Ergebnisse beschreibt und die Technologie offen lässt. Der Preis dieser Flexibilität: Sie wird Ihnen nie sagen, wie weit weit genug ist, sodass die Last, die Angemessenheit Ihrer Entscheidungen zu belegen, vollständig bei Ihnen liegt. Rechnen Sie damit, ungefähr so lange zu dokumentieren, warum Sie etwas getan haben, wie die Umsetzung selbst gedauert hat.

Nach der Privacy Rule darf eine regulierte Partei PHI nur in zugelassener Weise verwenden oder offenlegen und muss auf die meisten Verwendungen den Grundsatz des "minimum necessary" anwenden: Zugriff und Offenlegung werden auf das begrenzt, was für die Aufgabe erforderlich ist. Einzelpersonen erhalten durchsetzbare Rechte, darunter Zugang zu ihren Unterlagen, die Möglichkeit, Berichtigungen zu beantragen, und eine Aufstellung bestimmter Offenlegungen. Covered Entities müssen zudem eine Notice of Privacy Practices veröffentlichen.

Die Security Rule ist in drei Familien von Schutzmaßnahmen gegliedert, und diese Struktur lohnt es sich einzuprägen, weil sie fast jedes Compliance-Gespräch rahmt:

• Administrative Schutzmaßnahmen: Risikoanalyse und Risikomanagement, ein benannter Sicherheitsverantwortlicher, Schulung der Belegschaft, Zugriffsverwaltung und Verfahren zur Reaktion auf Vorfälle. Die vorgeschriebene Risikoanalyse ist das Fundament der gesamten Regel.
• Physische Schutzmaßnahmen: Zugangskontrollen für Einrichtungen, Arbeitsplatzsicherheit und Regeln für Nutzung und Entsorgung von Geräten und Datenträgern, die ePHI enthalten.
• Technische Schutzmaßnahmen: Zugriffskontrollen, Audit-Logs, Integritätskontrollen, Authentifizierung und Übertragungssicherheit wie Verschlüsselung.

Die Security Rule kennzeichnet manche Spezifikationen als "required" und andere als "addressable". Adressierbar bedeutet: Sie setzen die Schutzmaßnahme um, oder Sie dokumentieren, warum sie in Ihrem Fall unangemessen wäre, und richten eine gleichwertige Alternative ein. Diese Dokumentation ist selbst Teil der Compliance. Es ist das am häufigsten missverstandene Wort der gesamten Regel. Teams lesen adressierbar als Erlaubnis zum Überspringen und stehen am Ende ohne die Schutzmaßnahme und ohne die schriftliche Begründung da, das schlechteste aller möglichen Ergebnisse. Diese Begründung ehrlich aufzuschreiben dauert etwa eine Stunde pro Spezifikation, für eine Leerstelle gibt es also keine gute Ausrede.

Die Breach Notification Rule greift, wenn ungesicherte PHI auf eine von der Privacy Rule unzulässige Weise erlangt, eingesehen, verwendet oder offengelegt werden. Eine regulierte Partei muss betroffene Personen ohne unangemessene Verzögerung und spätestens 60 Tage nach Entdeckung benachrichtigen. 60 Tage klingen großzügig, bis man zusammenzählt, was in diese Frist hineinpassen muss: feststellen, was tatsächlich offengelegt wurde, entscheiden, ob die Offenlegung zulässig war, juristische Prüfung und Freigaben von Personen, die gerade im Urlaub sein können. Die entscheidende Formulierung ist die vage am Anfang, und eine Aufsichtsbehörde hat Spielraum zu argumentieren, Sie hätten die Sache ausgesessen; behandeln Sie die Frist deshalb als äußerste Grenze und planen Sie deutlich früher. Auch das HHS muss benachrichtigt werden. Bei einer Verletzung, die 500 oder mehr Einwohner eines Bundesstaats oder Zuständigkeitsbereichs betrifft, müssen zusätzlich reichweitenstarke lokale Medien informiert werden, und das HHS wird ohne unangemessene Verzögerung benachrichtigt. Kleinere Verletzungen werden protokolliert und dem HHS jährlich gemeldet. Ein Business Associate, der eine Verletzung entdeckt, muss die Covered Entity benachrichtigen, damit diese ihre eigenen Meldepflichten erfüllen kann.

Sanktionen und Durchsetzung

Das OCR untersucht Beschwerden, führt Audits durch und kann zivilrechtliche Geldbußen verhängen. Die Enforcement Rule sieht vier Stufen nach dem Grad des Verschuldens vor, und jede Stufe trägt einen höheren Mindestbetrag pro Verstoß, begrenzt durch eine Jahresobergrenze für alle Verstöße gegen dieselbe Anforderung. Die Stufen sind:

• Stufe 1: Die Einrichtung wusste nichts von dem Verstoß und hätte auch bei angemessener Sorgfalt nichts davon erfahren.
• Stufe 2: Der Verstoß beruhte auf einem nachvollziehbaren Grund (reasonable cause) und erreichte die Schwelle der vorsätzlichen Vernachlässigung nicht.
• Stufe 3: Vorsätzliche Vernachlässigung (wilful neglect), die innerhalb der vorgeschriebenen Frist korrigiert wurde.
• Stufe 4: Vorsätzliche Vernachlässigung, die unkorrigiert blieb.

Die konkreten Dollarbeträge werden im Zeitverlauf an die Inflation angepasst; prüfen Sie die aktuellen Beträge daher stets gegen die offizielle Quelle. Über zivilrechtliche Bußgelder hinaus kann das Department of Justice bei wissentlichem Missbrauch von PHI strafrechtlich vorgehen, und viele Verfahren enden mit einem Korrekturmaßnahmenplan, den das OCR über Jahre überwacht. In der Praxis ahndet das OCR am härtesten das Fehlen einer ordentlichen Risikoanalyse, gefolgt von Untätigkeit nach einem bekannten Problem, weshalb Dokumentation und zeitnahe Korrektur ebenso viel zählen wie die zugrunde liegenden Kontrollen.

Wie Sie die Anforderungen tatsächlich erfüllen

1. Bestimmen Sie Ihre Rolle. Halten Sie schriftlich fest, ob Sie Covered Entity, Business Associate oder keines von beiden sind, denn davon hängt ab, welche Pflichten gelten.
2. Kartieren Sie Ihre PHI. Inventarisieren Sie, wo PHI erstellt, empfangen, gespeichert und übermittelt werden, über Systeme, Subunternehmer und physische Standorte hinweg.
3. Führen Sie eine formale Risikoanalyse durch. Bewerten Sie Bedrohungen und Schwachstellen für ePHI und halten Sie die Ergebnisse fest. Dies ist ein vorgeschriebener Schritt der Security Rule und der erste, den das OCR prüft. Erledigen Sie ihn, bevor Sie eine Richtlinie schreiben oder ein Tool kaufen, denn alles Weitere baut darauf auf. Planen Sie Wochen ein: Die Analyse selbst ist unkompliziert, aber klare Antworten darauf zu bekommen, wo ePHI wirklich liegen, einschließlich Logs, Backups und des Support-Tools, das jemand letztes Jahr angebunden hat, ist mühsam.
4. Beheben Sie die Lücken über einen Risikomanagementplan. Priorisieren und schließen Sie die Lücken, die die Analyse gefunden hat, und verfolgen Sie sie bis zum Abschluss.
5. Richten Sie die Schutzmaßnahmen ein. Implementieren Sie administrative, physische und technische Kontrollen und dokumentieren Sie Entscheidungen zu adressierbaren Spezifikationen.
6. Schließen Sie überall dort BAAs ab, wo PHI fließen. Stellen Sie sicher, dass jeder Lieferant und Subunternehmer mit PHI-Kontakt eine aktuelle, konforme Vereinbarung hat.
7. Schreiben und verabschieden Sie Richtlinien. Decken Sie Datenschutzpraktiken, Zugriffsverwaltung, den Minimum-necessary-Grundsatz und Sanktionen bei Verstößen ab.
8. Schulen Sie Ihre Belegschaft. Bieten Sie rollengerechte Schulungen an, frischen Sie sie regelmäßig auf und dokumentieren Sie, wer teilgenommen hat.
9. Bereiten Sie die Reaktion auf Vorfälle und Verletzungen vor. Definieren Sie Erkennung, Bewertung, Meldefristen und Rollen, bevor Sie sie brauchen.
10. Überprüfen Sie jährlich und nach Änderungen. Wiederholen Sie die Risikoanalyse, wenn sich Systeme, Lieferanten oder Bedrohungen ändern, und führen Sie einen Audit-Trail über das gesamte Programm.

Wenn Sie sehen möchten, wie die Anforderungen an einem Ort auf konkrete Kontrollen, Nachweise und BAAs abgebildet werden, lesen Sie, wie Venvera HIPAA handhabt, oder starten Sie mit einem kostenlosen Compliance-Check, um zu sehen, wo Sie heute stehen.

Häufig gestellte Fragen

Gibt es eine HIPAA-Zertifizierung?

Nein. Das HHS zertifiziert keine Organisationen als HIPAA-konform, und ein offizielles HIPAA-Zertifikat existiert nicht. Dritte bieten Assessments und Schulungen an, die Sorgfalt belegen können, aber keinen staatlich anerkannten Status verleihen. Compliance ist eine fortlaufende Verpflichtung, die daran gemessen wird, ob Sie die Regeln tatsächlich erfüllen.

Was ist der Unterschied zwischen einer Covered Entity und einem Business Associate?

Eine Covered Entity ist ein Gesundheitsplan, ein Healthcare Clearinghouse oder ein Leistungserbringer im Gesundheitswesen, der Gesundheitsinformationen elektronisch übermittelt. Ein Business Associate ist ein Dienstleister, der PHI im Auftrag einer Covered Entity verarbeitet, etwa ein Cloud-Host oder eine SaaS-Plattform. Verbunden sind beide durch ein Business Associate Agreement, und seit dem HITECH Act haften Business Associates für viele HIPAA-Anforderungen unmittelbar.

Wann müssen Sie eine HIPAA-Verletzung melden?

Betroffene Personen müssen ohne unangemessene Verzögerung und spätestens 60 Tage nach Entdeckung einer Verletzung ungesicherter PHI benachrichtigt werden, und auch das HHS muss informiert werden. Verletzungen, die 500 oder mehr Personen in einem Bundesstaat oder Zuständigkeitsbereich betreffen, erfordern zusätzlich die Benachrichtigung reichweitenstarker lokaler Medien. Kleinere Verletzungen werden protokolliert und dem HHS jährlich gemeldet.

Gilt HIPAA für Unternehmen außerhalb der USA?

Ja, wenn sie als Business Associates handeln. Die HIPAA-Pflichten knüpfen an Ihre Rolle im Umgang mit US-PHI an, unabhängig von Ihrem physischen Standort. Ein Anbieter mit Sitz in der EU, der PHI für eine US-amerikanische Covered Entity verarbeitet, muss ein BAA unterzeichnen und die einschlägigen Anforderungen erfüllen, weshalb HIPAA- und DSGVO-Pflichten oft gemeinsam gemanagt werden müssen.

Was verlangt die HIPAA Security Rule konkret?

Sie verlangt administrative, physische und technische Schutzmaßnahmen für elektronische PHI, verankert in einer dokumentierten Risikoanalyse und einem Risikomanagementplan. Manche Spezifikationen sind vorgeschrieben, andere adressierbar: Sie setzen sie um oder dokumentieren, warum eine gleichwertige Alternative angemessen und verhältnismäßig ist. Zugriffskontrollen, Audit-Logging, Authentifizierung und Übertragungssicherheit gehören alle dazu.

Wie teuer kann ein HIPAA-Verstoß werden?

Zivilrechtliche Geldbußen folgen vier Stufen nach dem Verschuldensgrad, von fehlender Kenntnis bis zu unkorrigierter vorsätzlicher Vernachlässigung, mit höheren Mindestbeträgen je Stufe und einer Jahresobergrenze pro identischer Anforderung. Die genauen Beträge werden an die Inflation angepasst; bestätigen Sie die aktuellen Zahlen beim OCR. Schwere Fälle können außerdem Korrekturmaßnahmenpläne und bei wissentlichem Missbrauch strafrechtliche Anklagen nach sich ziehen.

Primärquellen

• HHS.gov HIPAA for Professionals - die offiziellen Zusammenfassungen der Privacy Rule, der Security Rule und der Breach Notification Rule, veröffentlicht vom Department of Health and Human Services. hhs.gov/hipaa.
• eCFR 45 CFR Part 160 - die allgemeinen Verwaltungsanforderungen, einschließlich der Definitionen und der Enforcement Rule. eCFR Part 160.
• eCFR 45 CFR Part 164 - die Security Rule, die Privacy Rule und die Anforderungen der Breach Notification im vollständigen Verordnungstext. eCFR Part 164.

Hinweis zum Geltungsbereich. Dieser Artikel fasst die HIPAA-Regeln auf allgemeiner Ebene zusammen und stellt keine Rechtsberatung dar. Prüfen Sie konkrete Anforderungen, aktuelle Bußgeldbeträge und deren Anwendung auf Ihre Situation anhand der offiziellen HHS-Leitfäden und des Verordnungstexts und ziehen Sie bei Bedarf qualifizierten Rechtsrat hinzu.

Von Alexander Sverdlov, CEO und Gründer, Venvera. Veröffentlicht am 20. Juli 2026 - Zuletzt geprüft am 20. Juli 2026.