Privacy Rule für den CISO: Minimum Necessary, De-Identifizierung und Pflichtorganisation

Problem in der Praxis

Für deutsche Anbieter von Software und KI ist die Nutzung von Kundendaten zur Produktverbesserung ein wiederkehrendes Thema. Unter HIPAA darf ein Business Associate PHI nur so nutzen, wie BAA und Privacy Rule es erlauben (hipaa-003). Wer Daten für eigene Zwecke nutzen möchte, braucht deshalb entweder eine ausdrückliche vertragliche und rechtliche Grundlage oder Daten, die nach der Privacy Rule de-identifiziert sind. In der Praxis wird "anonymisiert" oft gleichgesetzt mit "Namen entfernt" oder "pseudonymisiert". Beides genügt der Safe-Harbor-Methode nicht: Sie verlangt die Entfernung von 18 Gruppen von Identifikatoren und das Fehlen tatsächlichen Wissens über eine Re-Identifizierbarkeit.

Ein zweites Problem ist das Prinzip der minimalen Datenmenge im Support und in der Fernwartung: Logs, Screenshots und Datenbankauszüge enthalten oft mehr PHI als für die Aufgabe nötig.

CISO-Einordnung

Minimum Necessary (45 CFR 164.502(b)): Bei Nutzung, Offenlegung und Anforderung von PHI sind angemessene Anstrengungen zu unternehmen, die PHI auf das für den Zweck Notwendige zu beschränken. Die Pflicht trifft Covered Entities und Business Associates; laut OCR-Merkblatt gehört sie zu den Pflichten, für die Business Associates unmittelbar haften. Sie gilt nicht für Offenlegungen an oder Anforderungen durch Leistungserbringer zur Behandlung, für bestimmte Nutzungen und Offenlegungen gegenüber dem Betroffenen, für Nutzungen und Offenlegungen aufgrund einer Authorization, für Offenlegungen an HHS im Rahmen der Durchsetzung, für gesetzlich vorgeschriebene Nutzungen und Offenlegungen und für solche, die zur Einhaltung der HIPAA-Vorschriften nötig sind (45 CFR 164.502(b)(2)).

De-Identifizierung (45 CFR 164.514(a) bis (c)):

• Expert Determination. Eine Person mit einschlägigem Wissen und Erfahrung mit anerkannten statistischen und wissenschaftlichen Methoden stellt fest, dass das Risiko sehr gering ist, dass die Information allein oder in Kombination mit anderen vernünftigerweise verfügbaren Informationen von einem zu erwartenden Empfänger zur Identifizierung genutzt werden kann, und dokumentiert Methoden und Ergebnisse.
• Safe Harbor. Entfernt werden 18 Gruppen von Identifikatoren der Person und ihrer Angehörigen, Arbeitgeber und Haushaltsmitglieder, darunter Namen, geografische Einheiten unterhalb eines Bundesstaats (mit einer engen Ausnahme für die ersten drei Ziffern einer Postleitzahl), alle Datumsbestandteile außer dem Jahr, dazu Altersangaben über 89 und alle Datumsbestandteile einschließlich des Jahres, die auf ein solches Alter hinweisen (zusammenfassbar zur Kategorie 90 oder älter), Telefon-, Fax- und E-Mail-Angaben, Sozialversicherungs-, Patienten-, Versicherten-, Konto- und Lizenznummern, Fahrzeug- und Gerätekennungen und Seriennummern, URLs, IP-Adressen, biometrische Merkmale, Gesichtsbilder und jede sonstige eindeutige Kennung; zusätzlich darf kein tatsächliches Wissen bestehen, dass die verbleibende Information zur Identifizierung genutzt werden kann.
• Re-Identifizierungscode. Ein Code zur Wiederherstellung des Personenbezugs ist zulässig, wenn er nicht aus Informationen über die Person abgeleitet ist und weder für andere Zwecke genutzt noch offengelegt wird, ebenso wenig der Mechanismus (45 CFR 164.514(c)).

Für technisch orientierte Teams ist bedeutsam, dass Geräte- und Seriennummern, URLs und IP-Adressen ausdrücklich zu den Safe-Harbor-Identifikatoren gehören. Telemetrie- und Logdaten sind deshalb selten ohne Weiteres de-identifiziert.

Pflichtorganisation der Covered Entity (45 CFR 164.530): Benennung eines Privacy Official; Schulung der gesamten Workforce zu den Richtlinien und Verfahren; angemessene administrative, technische und physische Schutzmaßnahmen für die Privatsphäre; Minderung schädlicher Wirkungen bekannter Verstöße, soweit praktikabel, auch wenn sie von einem Business Associate ausgehen; Dokumentation mit sechsjähriger Aufbewahrung. Ein Group Health Plan, der Leistungen ausschließlich über einen Versicherungsvertrag erbringt und außer Summary Health Information und Teilnahmedaten keine PHI erstellt oder empfängt, ist von den meisten dieser Pflichten ausgenommen und unterliegt der Dokumentationspflicht nur für die nach 45 CFR 164.504(f) geänderten Plandokumente (45 CFR 164.530(k)); das betrifft unmittelbar die Arbeitgeberkonstellation einer US-Tochter. Daneben verlangt die Security Rule eine benannte verantwortliche Person für die Sicherheit (45 CFR 164.308(a)(2)); der Regelungstext schließt nicht aus, dass dieselbe Person beide Rollen wahrnimmt.

Betroffenenrechte wie Auskunft, Berichtigung und Offenlegungsprotokoll (45 CFR 164.524 bis 164.528) richten sich an die Covered Entity; ein Business Associate wirkt nach Maßgabe des BAA mit (hipaa-003). Die 2024 beschlossene Änderung zum Schutz von Daten zur reproduktiven Gesundheit ist laut HHS durch ein Urteil vom 18.06.2025 größtenteils aufgehoben und nicht Gegenstand dieses Artikels.

Umsetzungsperspektive

• Datenminimierung in Support, Fernwartung und Logging umsetzen: Masken, Filter und Freigaben so gestalten, dass nur notwendige PHI das Unternehmen erreichen.
• Sekundärnutzung klären: Produktverbesserung, Analytik oder KI-Training mit Kundendaten nur auf ausdrücklicher Grundlage im BAA oder mit Daten, die nach 45 CFR 164.514(b) de-identifiziert sind.
• Methode wählen: Safe Harbor ist regelbasiert und prüfbar, entfernt aber viele für Analysen wertvolle Felder; Expert Determination erlaubt mehr Datennutzen, verlangt aber fachkundige Bewertung und Dokumentation.
• Bei US-Töchtern als Covered Entity: Privacy Official benennen, Schulungen nachweisen, Dokumentation sechs Jahre aufbewahren; für einen voll versicherten Group Health Plan ohne eigene PHI vorher die Ausnahme nach 45 CFR 164.530(k) prüfen.

Typische Fehler

1. Pseudonymisierte Daten werden als de-identifiziert im Sinne der Privacy Rule behandelt.
2. Geräte-IDs, IP-Adressen oder URLs bleiben in Datensätzen, die als Safe-Harbor-de-identifiziert gelten sollen.
3. Kundendaten werden für Produktentwicklung oder KI-Training genutzt, ohne dass BAA oder De-Identifizierung das tragen.
4. Support-Prozesse ziehen vollständige Datenbankauszüge, wo ein Ausschnitt genügen würde.
5. Ein Re-Identifizierungsschlüssel wird aus Personendaten abgeleitet, etwa als Hash der Patientennummer.

Risiken und Trade-offs

De-Identifizierung eröffnet Nutzungsmöglichkeiten außerhalb des HIPAA-Regimes, kostet aber Datenqualität; Safe Harbor entfernt etwa Datumsangaben unterhalb des Jahres, die für viele medizinische Auswertungen wichtig sind. Expert Determination erhält mehr Information, verlagert das Risiko aber auf die Güte der Bewertung und ihre Dokumentation. Strikte Datenminimierung im Support senkt das Risiko, kann aber die Fehlersuche verlangsamen. Für Daten aus Europa ist zusätzlich die DSGVO-Seite zu prüfen; eine De-Identifizierung nach HIPAA ist nicht automatisch eine Anonymisierung nach europäischem Recht.

Entscheidungspunkte

• Welche Nutzungen von Kundendaten außerhalb der vertraglichen Leistung sind geplant, und worauf stützen sie sich?
• Wird Safe Harbor oder Expert Determination eingesetzt, und wer verantwortet die Bewertung?
• Wie wird Minimum Necessary in Support, Fernwartung und Logging technisch durchgesetzt?
• Wer ist Privacy Official der US-Tochter, und wie wird die Schulung nachgewiesen?

Praktische Empfehlungen

1. Prüfen Sie jede Sekundärnutzung von Kundendaten gegen BAA und Privacy Rule, bevor Daten fließen.
2. Behandeln Sie Pseudonymisierung nicht als De-Identifizierung; prüfen Sie Safe Harbor einschließlich Geräte-IDs, URLs und IP-Adressen.
3. Dokumentieren Sie eine Expert Determination mit Methode und Ergebnis.
4. Setzen Sie Minimum Necessary in Support- und Wartungswerkzeugen technisch um.
5. Benennen Sie bei Covered Entities Privacy Official und Security Official ausdrücklich und regeln Sie die Zusammenarbeit.

Relevante Normreferenzen

• 45 CFR 164.502(b) (Minimum Necessary), 164.514(a) bis (d) (De-Identifizierung, Re-Identifizierung, Minimum-Necessary-Anforderungen), 164.530 (Verwaltungspflichten).
• 45 CFR 164.524 bis 164.528 (Betroffenenrechte), als Hinweis.
• HHS OCR, Fact Sheet Direct Liability of Business Associates; HHS OCR, Fact Sheet zur Final Rule 89 FR 32976 mit Hinweis auf das Urteil vom 18.06.2025.