Durchsetzung und Sanktionen: OCR, Bußgeldstufen, Strafrecht und Bundesstaaten

Problem in der Praxis

Sanktionsrisiken werden in deutschen Unternehmen oft an DSGVO-Maßstäben gemessen und dann unter- oder überschätzt. Die HIPAA-Logik ist eine andere: Bußgelder werden je Verstoß bemessen, ein fortdauernder Verstoß zählt je Tag als eigener Verstoß (45 CFR 160.406), und die Höhe hängt entscheidend vom Verschuldensgrad und von der Behebung binnen 30 Tagen ab. Hinzu kommt, dass neben der Bundesaufsicht die Generalstaatsanwälte der Bundesstaaten klagen können und strengeres Landesrecht zu Gesundheitsinformationen neben HIPAA bestehen bleibt.

Ein zweiter Fehler ist die Gleichsetzung von Regelungstext und Behördenpraxis bei den Jahreshöchstbeträgen. HHS hat 2019 per Ermessensbekanntmachung angekündigt, niedrigere Jahreshöchstbeträge je Stufe anzuwenden; diese Bekanntmachung begründet nach ihrem eigenen Wortlaut keine Rechte und Pflichten.

CISO-Einordnung

Zivilrechtliche Geldbußen (45 CFR 160.402 bis 160.414):

• Adressaten: Covered Entities und Business Associates. Eine Covered Entity haftet für Handlungen ihrer Vertreter einschließlich Workforce und Business Associates im Rahmen der Vertretung nach dem Federal Common Law of Agency; ein Business Associate entsprechend für seine Workforce und Subcontractors (45 CFR 160.402(c)).
• Vier Stufen für Verstöße ab dem 18.02.2009 (45 CFR 160.404(b)(2)): (i) keine Kenntnis und bei angemessener Sorgfalt keine Kenntnismöglichkeit; (ii) reasonable cause, kein willful neglect; (iii) willful neglect, binnen 30 Tagen ab Kenntnis oder Kennenmüssen behoben; (iv) willful neglect, nicht binnen dieser 30 Tage behoben. Der Regelungstext nennt Mindestbeträge je Verstoß von 100, 1.000, 10.000 und 50.000 USD, einen Höchstbetrag je Verstoß von 50.000 USD in den Stufen (i) bis (iii) und einen Jahreshöchstbetrag für identische Verstöße von 1.500.000 USD in allen Stufen.
• Inflationsanpassung: Nach 45 CFR 160.404(a) werden die Beträge jährlich angepasst und in 45 CFR Part 102 veröffentlicht. Die Tabelle in 45 CFR 102.3 nennt in der Spalte für 2025 folgende Höchstwerte: Stufe (i) 145 bis 73.011 USD je Verstoß, Stufe (ii) 1.461 bis 73.011 USD, Stufe (iii) 14.602 bis 73.011 USD, Stufe (iv) 73.011 bis 2.190.294 USD; Jahreshöchstbetrag für identische Verstöße je Stufe 2.190.294 USD.
• Ermessensbekanntmachung 2019 (84 FR 18151): HHS kündigt an, "until further notice" eine Struktur mit niedrigeren Jahreshöchstbeträgen für identische Verstöße je Stufe anzuwenden, nämlich nominal 25.000, 100.000, 250.000 und 1.500.000 USD, und zwar "as adjusted for inflation"; die Bekanntmachung stellt klar, dass sie keine Rechte und Pflichten begründet. Die inflationsangepassten Werte dieser Ermessensgrenzen nennt der Snapshotsatz nicht; sie werden hier nicht errechnet.
• Bemessung (45 CFR 160.408): Art und Umfang des Verstoßes (Zahl der Betroffenen, Dauer), Schaden, frühere Verstöße und Reaktion auf technische Hilfe, finanzielle Lage und Größe, sonstige Umstände.
• Einwendung (45 CFR 160.410(c)): keine Geldbuße, wenn kein willful neglect vorliegt und der Verstoß binnen 30 Tagen ab Kenntnis oder Kennenmüssen behoben wurde, oder binnen einer von HHS bestimmten längeren Frist.
• Verjährung (45 CFR 160.414): Verfahren nur binnen sechs Jahren ab dem Verstoß.
• Vergleich (45 CFR 160.416): HHS kann sich vergleichen oder Bußgelder ermäßigen.

Strafrecht (42 U.S.C. 1320d-6): Wer wissentlich und unter Verstoß gegen die HIPAA-Vorschriften individuell identifizierbare Gesundheitsinformationen erlangt oder offenlegt, kann mit bis zu 50.000 USD und bis zu einem Jahr Freiheitsstrafe bestraft werden; unter Vorspiegelung falscher Tatsachen mit bis zu 100.000 USD und fünf Jahren; mit Absicht des Verkaufs, der Übertragung oder Nutzung zum geschäftlichen Vorteil, persönlichen Gewinn oder zur böswilligen Schädigung mit bis zu 250.000 USD und zehn Jahren. Für Verstöße von Business Associates gegen die Security-Rule-Vorschriften gelten die Geld- und Strafvorschriften nach 42 U.S.C. 17931(b) entsprechend.

Bundesstaaten (42 U.S.C. 1320d-5(d)): Der Generalstaatsanwalt eines Bundesstaats kann im Namen der Einwohner auf Unterlassung oder Schadensersatz klagen, bis 100 USD je Verstoß und höchstens 25.000 USD je Kalenderjahr für identische Verstöße, zuzüglich Kosten und Anwaltsgebühren nach Ermessen des Gerichts. Während eines laufenden HHS-Verfahrens wegen desselben Verstoßes ist eine solche Klage ausgeschlossen.

Verhältnis zum Recht der Bundesstaaten (45 CFR 160.203, 42 U.S.C. 1320d-7): HIPAA verdrängt entgegenstehendes Landesrecht, aber nicht Landesrecht, das den Schutz individuell identifizierbarer Gesundheitsinformationen strenger regelt als die Privacy Rule, und nicht bestimmte Melde- und Aufsichtsvorschriften. Ein US-Gesundheitsunternehmen muss deshalb HIPAA und das jeweilige Landesrecht nebeneinander einhalten.

Umsetzungsperspektive

• Den Verschuldensgrad steuern: Die Stufen hängen an Kenntnis und Behebung. Ein Prozess, der Verstöße binnen 30 Tagen ab Kenntnis oder Kennenmüssen behebt und das dokumentiert, ist der wirksamste Hebel gegen die oberen Stufen.
• Dauerverstöße vermeiden: Da jeder Tag als eigener Verstoß zählt, verursachen lange offene Lücken (etwa eine fehlende Risikoanalyse) das größte Risiko.
• Vertreter steuern: Eine Covered Entity haftet für Business Associates im Rahmen der Vertretung; BAAs, Auswahl und Überwachung von Dienstleistern sind auch Sanktionsvorsorge.
• Aufbewahrung über die Verjährung hinaus planen: Dokumentation muss sechs Jahre vorgehalten werden, und Verfahren sind binnen sechs Jahren möglich.
• Landesrecht in die Rechtskarte der US-Tochter aufnehmen.

Typische Fehler

1. Bußgeldrisiken werden mit den Beträgen des Regelungstextes ohne Inflationsanpassung kommuniziert, oder die Ermessensgrenzen von 2019 werden als Rechtsnorm dargestellt.
2. Fortdauernde Verstöße werden als ein einziger Verstoß eingeschätzt.
3. Die 30-Tage-Behebung wird nicht dokumentiert, sodass die Einwendung nach 45 CFR 160.410(c) nicht belegt werden kann.
4. Das Haftungsrisiko für Business Associates im Rahmen der Vertretung wird bei Covered Entities übersehen.
5. Landesrecht wird ausgeblendet, weil HIPAA als abschließendes Bundesrecht gilt.

Risiken und Trade-offs

Die gestaffelte Systematik belohnt Organisationen, die Verstöße erkennen und schnell beheben. Wer Lücken lange offen lässt, bewegt sich in die oberen Stufen und multipliziert die Zahl der Verstöße über die Tage. Gleichzeitig ist das Sanktionsrisiko nur ein Teil des Gesamtrisikos: Vertragliche Haftung aus BAAs, Kundenverlust und Landesrecht können schwerer wiegen als ein Bußgeld. Eine Kommunikation mit konkreten Bußgeldzahlen ohne Quelle und Stand erzeugt Scheingenauigkeit.

Entscheidungspunkte

• Gibt es einen Prozess, der HIPAA-Verstöße binnen 30 Tagen ab Kenntnis oder Kennenmüssen behebt und das dokumentiert?
• Welche dauerhaften Lücken (fehlende Risikoanalyse, fehlende BAAs) bestehen, und wann werden sie geschlossen?
• Wie werden Business Associates ausgewählt und überwacht, um Haftung im Rahmen der Vertretung zu begrenzen?
• Welches Landesrecht gilt für die US-Tochter zusätzlich?

Praktische Empfehlungen

1. Richten Sie einen Behebungsprozess mit 30-Tage-Ziel und Nachweis für erkannte Verstöße ein.
2. Priorisieren Sie dauerhafte Lücken, weil fortdauernde Verstöße je Tag zählen.
3. Nennen Sie Bußgeldbeträge nur mit Quelle und Stand (45 CFR 102.3, Spalte des jeweiligen Jahres) und trennen Sie sie von der Ermessensbekanntmachung 2019.
4. Verankern Sie Auswahl und Überwachung von Business Associates als Sanktionsvorsorge.
5. Lassen Sie das Landesrecht der Bundesstaaten, in denen die US-Tochter tätig ist, rechtlich prüfen.

Relevante Normreferenzen

• 45 CFR 160.400 bis 160.426 (Civil Money Penalties), insbesondere 160.402, 160.404, 160.406, 160.408, 160.410, 160.414.
• 45 CFR 102.3 (Inflationsanpassung, Tabelle 1).
• Notification of Enforcement Discretion, 84 FR 18151 (30.04.2019).
• 42 U.S.C. 1320d-5 (Geldbußen, State Attorneys General), 1320d-6 (Strafvorschrift), 1320d-7 und 45 CFR 160.203 (Verhältnis zum Landesrecht), 42 U.S.C. 17931(b).