Breach Notification unter HIPAA: Vermutungsregel, 60-Tage-Frist und Meldewege

Problem in der Praxis

Deutsche Incident-Response-Prozesse sind auf europäisches Recht ausgerichtet (dsgvo-Track). HIPAA folgt einer eigenen Logik. Die Vermutung spricht für eine Verletzung, nicht dagegen; die Frist ist länger, aber eine Höchstgrenze und kein Regelwert; und neben Betroffenen und Aufsicht kann die Presse Adressat sein. Ein deutscher Business Associate meldet zudem nicht an die US-Aufsicht, sondern an seinen Kunden, der dann seine eigenen Fristen hat.

Ein häufiger Fehler liegt beim Zeitpunkt der Entdeckung. Die Frist beginnt nicht mit der internen Bestätigung, sondern mit dem ersten Tag, an dem der Vorfall bekannt ist oder bei angemessener Sorgfalt bekannt gewesen wäre, und das Wissen jedes Workforce-Mitglieds oder Vertreters außer dem Täter wird zugerechnet.

CISO-Einordnung

Begriff und Vermutung (45 CFR 164.402):

• Breach ist der Erwerb, Zugriff, die Nutzung oder Offenlegung von PHI auf eine nach der Privacy Rule unzulässige Weise, die Sicherheit oder Vertraulichkeit der PHI gefährdet.
• Drei Ausnahmen: unbeabsichtigter, gutgläubiger Erwerb, Zugriff oder Nutzung durch ein Workforce-Mitglied oder eine im Auftrag handelnde Person im Rahmen ihrer Befugnis ohne weitere unzulässige Nutzung oder Offenlegung; versehentliche Offenlegung zwischen Befugten derselben Covered Entity, desselben Business Associate oder desselben Organized Health Care Arrangement ohne weitere unzulässige Nutzung oder Offenlegung; Offenlegung, bei der die Covered Entity oder der Business Associate gutgläubig davon ausgeht, dass der unbefugte Empfänger die Information vernünftigerweise nicht behalten konnte.
• Im Übrigen wird eine Verletzung vermutet, es sei denn, eine Risikobewertung nach mindestens vier Faktoren belegt eine geringe Wahrscheinlichkeit der Kompromittierung: Art und Umfang der PHI einschließlich Re-Identifizierbarkeit, die unbefugte Person, ob die PHI tatsächlich erworben oder eingesehen wurden, und das Ausmaß der Risikominderung.

Ungesicherte PHI: Nach der HHS-Leitlinie gelten PHI als gesichert, wenn ePHI im Sinne von 45 CFR 164.304 verschlüsselt sind und Schlüssel oder Verfahren nicht kompromittiert sind (HHS empfiehlt, Schlüssel und Entschlüsselungswerkzeuge getrennt von den Daten aufzubewahren, um eine Kompromittierung zu vermeiden), für ruhende Daten konsistent mit NIST SP 800-111 und für übertragene Daten mit NIST SP 800-52, 800-77, 800-113 oder FIPS-140-2-validiert, oder wenn die Datenträger vernichtet sind (elektronische Medien nach NIST SP 800-88; Schwärzen genügt bei Papier nicht). Eine Verletzung gesicherter PHI löst keine Benachrichtigungspflicht aus.

Fristen und Adressaten:

• Entdeckung (45 CFR 164.404(a)(2)): erster Tag, an dem der Breach bekannt ist oder bei angemessener Sorgfalt bekannt gewesen wäre; Wissen von Workforce-Mitgliedern und Vertretern außer dem Täter wird zugerechnet. Für Business Associates gilt dasselbe (45 CFR 164.410(a)(2)).
• Betroffene (45 CFR 164.404): ohne unangemessene Verzögerung, spätestens 60 Kalendertage nach Entdeckung; in einfacher Sprache mit Hergang und Daten, betroffenen Datenarten, Schutzschritten für Betroffene, Gegenmaßnahmen und Kontaktwegen; schriftlich per Post oder mit Einverständnis per E-Mail; Ersatzbekanntmachung bei fehlenden Kontaktdaten.
• Medien (45 CFR 164.406): bei mehr als 500 Einwohnern eines Bundesstaats oder Gebiets, gleiche Frist.
• HHS (45 CFR 164.408): bei 500 oder mehr Betroffenen gleichzeitig mit der Benachrichtigung der Betroffenen; bei weniger als 500 Protokollführung und Meldung spätestens 60 Tage nach Ende des Kalenderjahres. Die Meldung erfolgt über das Online-Portal von HHS; ein Business Associate darf sie für die Covered Entity einreichen.
• Business Associate an Covered Entity (45 CFR 164.410): ohne unangemessene Verzögerung, spätestens 60 Kalendertage nach Entdeckung, möglichst mit Identifikation der Betroffenen und den für die Benachrichtigung nötigen Angaben.
• Aufschub (45 CFR 164.412): Erklärt eine Strafverfolgungsbehörde, dass die Benachrichtigung Ermittlungen behindern oder der nationalen Sicherheit schaden würde, wird schriftlich für die genannte Dauer, mündlich dokumentiert höchstens 30 Tage aufgeschoben.
• Beweislast (45 CFR 164.414(b)): Covered Entity oder Business Associate müssen belegen, dass alle Benachrichtigungen erfolgt sind oder keine Verletzung vorlag.

Verhältnis zur DSGVO: Für einen deutschen Business Associate können bei einem Vorfall beide Regime zugleich greifen. Die HIPAA-Meldung an den US-Kunden ersetzt keine Meldung nach europäischem Recht und umgekehrt; die DSGVO-Seite steht im dsgvo-Track.

Umsetzungsperspektive

• Incident-Klassifizierung um die HIPAA-Vermutung ergänzen: Jeder Vorfall mit unzulässiger Nutzung oder Offenlegung von PHI gilt als Breach, bis entweder eine der drei Ausnahmen dokumentiert belegt ist oder eine dokumentierte Vier-Faktoren-Bewertung eine geringe Kompromittierungswahrscheinlichkeit zeigt.
• Entdeckungszeitpunkt sauber erfassen: Startpunkt ist der erste Tag, an dem der Breach einem Workforce-Mitglied oder Vertreter (außer dem Täter) bekannt ist oder bei angemessener Sorgfalt bekannt gewesen wäre, nicht die Freigabe durch das Incident-Team.
• Verschlüsselung nach der HHS-Leitlinie gestalten und nachweisen; Voraussetzung ist, dass Schlüssel und Verfahren nicht kompromittiert sind, und getrennte Verwahrung ist das von HHS empfohlene Mittel dafür.
• Für Business Associates: vertraglich zugesagte Meldefristen gegenüber Kunden in den Prozess übernehmen; sie können kürzer sein als 60 Tage.
• Dokumentation jedes Vorfalls so führen, dass die Beweislast nach 45 CFR 164.414(b) getragen werden kann.

Typische Fehler

1. Die 60 Tage werden als Regelfrist verstanden statt als Höchstgrenze hinter "ohne unangemessene Verzögerung".
2. Die Frist wird ab der internen Bestätigung statt ab der ersten Kenntnis gerechnet.
3. Vorfälle werden als "kein Breach" abgeschlossen, ohne dass eine Ausnahme belegt oder eine Vier-Faktoren-Bewertung dokumentiert ist.
4. Verschlüsselte Datenträger gelten als gesichert, ohne dass geprüft ist, ob Schlüssel oder Verfahren kompromittiert sind, etwa weil der Schlüssel mit dem Gerät abhandengekommen ist.
5. Ein deutscher Business Associate meldet direkt an HHS statt an seinen Kunden oder versäumt die Kundenmeldung.

Risiken und Trade-offs

Eine großzügige Meldepraxis vermeidet Fristversäumnisse, kann aber Betroffene, Kunden und Medien unnötig alarmieren. Eine zurückhaltende Praxis trägt das Risiko, dass die Vier-Faktoren-Bewertung einer späteren Prüfung nicht standhält, und die Beweislast liegt beim Unternehmen. Verschlüsselung nach der HHS-Leitlinie ist der wirksamste Hebel, weil sie die Meldepflicht bei Verlust oder Diebstahl entfallen lassen kann; sie setzt aber ein belastbares Schlüsselmanagement voraus.

Entscheidungspunkte

• Ist die HIPAA-Vermutung im Incident-Prozess abgebildet, und wer führt die Vier-Faktoren-Bewertung durch?
• Wie wird der Entdeckungszeitpunkt erfasst und dokumentiert?
• Erfüllt die Verschlüsselung die HHS-Leitlinie, und wo liegen die Schlüssel?
• Welche Meldefristen hat das Unternehmen als Business Associate vertraglich zugesagt?

Praktische Empfehlungen

1. Behandeln Sie jede unzulässige Nutzung oder Offenlegung von PHI als Breach, bis eine Ausnahme belegt oder eine Vier-Faktoren-Bewertung dokumentiert ist.
2. Erfassen Sie als Entdeckungszeitpunkt den ersten Tag, an dem ein Workforce-Mitglied oder Vertreter außer dem Täter Kenntnis hatte oder bei angemessener Sorgfalt gehabt hätte.
3. Gestalten Sie Verschlüsselung und Schlüsselverwahrung nach der HHS-Leitlinie und dokumentieren Sie sie.
4. Hinterlegen Sie im Incident-Plan die Adressaten: Betroffene, Medien, HHS, beziehungsweise als Business Associate den Auftraggeber.
5. Üben Sie das Zusammenspiel von HIPAA- und DSGVO-Meldewegen in einem gemeinsamen Szenario.

Relevante Normreferenzen

• 45 CFR 164.400 bis 164.414 (Breach Notification Rule), insbesondere 164.402 (Begriffe), 164.404 bis 164.408 (Adressaten und Fristen), 164.410 (Business Associates), 164.412 (Aufschub), 164.414 (Beweislast).
• HHS OCR, Guidance to Render Unsecured Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals; HHS OCR, Submitting Notice of a Breach to the Secretary.
• 42 U.S.C. 17932 (HITECH Act sec. 13402) als gesetzliche Grundlage.