Das Business Associate Agreement: Pflichtinhalte, Subunternehmerkette und direkte Haftung

Problem in der Praxis

Deutsche Anbieter erhalten BAAs meist als Vorlage des US-Kunden. Diese Vorlagen enthalten neben dem gesetzlichen Mindestinhalt oft weitergehende Zusagen: kurze Meldefristen, Haftungsfreistellungen, Prüfrechte, Vorgaben zu Speicherorten oder Versicherungen. Im Vertragsalltag wird nicht unterschieden, was gesetzlich zwingend ist und was verhandelbar ist. Zugleich fehlt häufig die zweite Hälfte: die BAAs mit den eigenen Subunternehmern, etwa mit dem Hosting-Anbieter, dem Ticketsystem oder dem externen Support. Damit verstößt der Anbieter gegen eine Pflicht, für die er unmittelbar haftet.

CISO-Einordnung

Die Pflicht zum BAA folgt aus zwei Regelwerken:

• Privacy Rule. Eine Covered Entity darf PHI an einen Business Associate geben und ihn PHI erstellen, empfangen, speichern oder übermitteln lassen, wenn sie zufriedenstellende Zusicherungen erhält, dass er die Information angemessen schützt; diese Zusicherungen sind in einem schriftlichen Vertrag nach 45 CFR 164.504(e) zu dokumentieren. Für den Business Associate gegenüber seinem Subcontractor gilt dasselbe. Die Covered Entity muss mit dem Subcontractor ihres Business Associate keinen eigenen Vertrag schließen (45 CFR 164.502(e)(1) und (2)). Ist der Business Associate gesetzlich zur Leistung verpflichtet, darf die Covered Entity die dafür nötige PHI auch ohne diese Zusicherungen offenlegen, wenn sie sich gutgläubig um sie bemüht hat und den gescheiterten Versuch samt Gründen dokumentiert (45 CFR 164.504(e)(3)(ii)).
• Security Rule. Für ePHI verlangt 45 CFR 164.308(b) dieselben dokumentierten Zusicherungen, mit den Inhalten aus 45 CFR 164.314(a).

Der vorgeschriebene Mindestinhalt nach 45 CFR 164.504(e)(2), zusammengefasst auf Managementebene:

• die erlaubten und gebotenen Nutzungen und Offenlegungen der PHI durch den Business Associate, ohne Erlaubnis zu Handlungen, die der Covered Entity selbst verboten wären (mit Ausnahmen für die eigene Verwaltung des Business Associate und für Datenaggregation);
• die Verpflichtung, PHI nur vertragsgemäß oder gesetzlich geboten zu nutzen, angemessene Schutzmaßnahmen zu treffen und für ePHI die Security Rule einzuhalten;
• die Pflicht, vertragswidrige Nutzungen oder Offenlegungen zu melden, einschließlich Verletzungen ungesicherter PHI nach 45 CFR 164.410;
• die Weitergabe derselben Beschränkungen an Subcontractors;
• die Mitwirkung an Auskunfts-, Berichtigungs- und Protokollrechten der Betroffenen;
• soweit der Business Associate Pflichten der Covered Entity aus der Privacy Rule übernimmt, die Einhaltung der dafür geltenden Anforderungen;
• die Offenlegung der einschlägigen internen Praktiken und Unterlagen gegenüber HHS;
• Rückgabe oder Vernichtung der PHI bei Vertragsende, soweit möglich; sonst Fortgeltung des Vertragsschutzes und Beschränkung weiterer Nutzungen und Offenlegungen auf die Zwecke, die Rückgabe oder Vernichtung unmöglich machen;
• ein Kündigungsrecht der Covered Entity bei wesentlichem Vertragsverstoß.

Die Security Rule ergänzt in 45 CFR 164.314(a)(2)(i), dass der Business Associate die Security Rule einhält, seine Subcontractors entsprechend bindet und jeden Sicherheitsvorfall meldet, von dem er Kenntnis erlangt, einschließlich Verletzungen ungesicherter PHI. Ein Sicherheitsvorfall ist dabei jeder versuchte oder erfolgreiche unbefugte Zugriff, jede unbefugte Nutzung, Offenlegung, Änderung oder Zerstörung von Informationen sowie jede Störung des Systembetriebs in einem Informationssystem (45 CFR 164.304). Die Meldepflicht ist also weiter als die Breach-Meldung.

Unmittelbare Haftung des Business Associate. Laut OCR-Merkblatt zur direkten Haftung kann die Aufsicht gegen Business Associates nur wegen folgender Pflichten vorgehen: Mitwirkung und Auskunft gegenüber HHS, Verbot von Vergeltungsmaßnahmen gegen Beschwerdeführer, Einhaltung der Security Rule, Meldung von Verletzungen an die Covered Entity oder den vorgelagerten Business Associate, unzulässige Nutzung und Offenlegung von PHI, Herausgabe einer elektronischen Kopie nach Maßgabe des BAA, Minimum Necessary, unter Umständen Offenlegungsprotokoll, BAA mit Subcontractors und angemessene Reaktion auf wesentliche Vertragsverstöße eines Subcontractors. Für die Security Rule beruht das auf 42 U.S.C. 17931, der die zentralen Vorschriften auf Business Associates "in the same manner" wie auf Covered Entities anwendet.

Reaktion auf Verstöße. Wer von einem Muster wesentlicher Verstöße seines Vertragspartners gegen das BAA weiß, muss angemessene Schritte zur Abhilfe ergreifen und, wenn sie erfolglos bleiben, den Vertrag kündigen, soweit das möglich ist. Das gilt für die Covered Entity gegenüber dem Business Associate und für den Business Associate gegenüber seinem Subcontractor.

Umsetzungsperspektive

• Zwischen gesetzlichem Mindestinhalt und kommerziellen Zusatzzusagen unterscheiden; nur Letztere sind verhandelbar.
• Meldezusagen operativ prüfen: Kann der eigene Incident-Prozess Sicherheitsvorfälle im weiten Sinne des 45 CFR 164.304 erkennen und nach den vertraglich vereinbarten Regeln an den Kunden melden? Für Sicherheitsvorfälle legt die Security Rule laut HHS weder Detailgrad noch Häufigkeit oder Format fest, das regelt das BAA. Für Breaches ungesicherter PHI gilt die gesetzliche Höchstfrist von 60 Kalendertagen nach Entdeckung (45 CFR 164.410); Kundenvorlagen sehen oft kürzere Fristen vor.
• Die eigene Subunternehmerkette vor Vertragsunterschrift schließen: BAAs mit allen Dienstleistern, die PHI für das Unternehmen verarbeiten.
• Vertragsende planen: Rückgabe- und Löschprozesse für PHI, einschließlich Backups, mit Nachweis.
• BAA-Register führen: Kunde, Vertragsstand, besondere Zusagen, betroffene Subcontractors.

Typische Fehler

1. Die Kundenvorlage wird ohne Abgleich mit den eigenen Meldefähigkeiten unterschrieben.
2. Subunternehmer mit PHI-Zugriff haben kein BAA, obwohl der Business Associate dafür unmittelbar haftet.
3. Nur Breaches werden gemeldet, nicht Sicherheitsvorfälle im weiteren Sinne, die das BAA nach 45 CFR 164.314(a)(2)(i)(C) erfasst.
4. Bei Vertragsende bleiben PHI in Backups oder Supportsystemen, ohne dass Rückgabe oder Fortgeltung des Schutzes geregelt ist.
5. Das BAA wird als reine Vertragsfrage behandelt, obwohl die Security-Rule-Pflichten auch ohne Vertrag unmittelbar gelten.

Risiken und Trade-offs

Ein einheitliches eigenes BAA-Muster beschleunigt Vertragsabschlüsse, wird von großen US-Kunden aber selten akzeptiert. Weitgehende Zusagen in Kundenvorlagen sichern den Auftrag, schaffen aber Pflichten, die über das Gesetz hinausgehen und operativ erfüllt werden müssen. Für Subunternehmer, die keine BAAs anbieten, bleibt nur der Verzicht auf den Dienst für PHI-Verarbeitung oder eine technische Gestaltung, die PHI dort sicher ausschließt.

Entscheidungspunkte

• Welche BAA-Zusagen sind gesetzlich zwingend, welche kommerziell, und welche kann das Unternehmen operativ einhalten?
• Haben alle eigenen Dienstleister mit PHI-Zugriff ein BAA?
• Wie werden Sicherheitsvorfälle im Sinne des 45 CFR 164.304 an Kunden gemeldet?
• Wie werden PHI bei Vertragsende zurückgegeben oder vernichtet?

Praktische Empfehlungen

1. Prüfen Sie jedes Kunden-BAA gegen den Mindestinhalt aus 45 CFR 164.504(e)(2) und 164.314(a)(2) und markieren Sie Zusatzzusagen.
2. Schließen Sie BAAs mit allen eigenen Subcontractors, bevor PHI an sie fließen.
3. Richten Sie den Incident-Prozess auf die vertraglich zugesagten Meldewege und Fristen aus.
4. Führen Sie ein BAA-Register mit Zusagen und betroffenen Subcontractors.
5. Regeln Sie Rückgabe und Löschung von PHI bei Vertragsende einschließlich Backups.

Relevante Normreferenzen

• 45 CFR 164.502(e) und 164.504(e) (Privacy Rule, Business Associate Contracts).
• 45 CFR 164.308(b) und 164.314(a) (Security Rule, Business Associate Contracts); 45 CFR 164.304 (Begriff Sicherheitsvorfall); 45 CFR 164.410 (Meldung durch Business Associates).
• 42 U.S.C. 17931 (HITECH Act sec. 13401); HHS OCR, Fact Sheet Direct Liability of Business Associates; HHS OCR, Business Associates (mit Hinweis auf Musterklauseln).