HIPAA im Überblick: wann US-Gesundheitsdatenrecht deutsche Unternehmen erreicht

Problem in der Praxis

Deutsche Unternehmen begegnen HIPAA meist erst im Vertrieb: Ein US-Krankenhaus, ein US-Versicherer oder ein US-Softwarehaus legt ein Business Associate Agreement (BAA) zur Unterschrift vor. Drei Fehlannahmen machen diesen Moment teuer.

Erstens die Annahme, HIPAA gelte nur für US-Unternehmen. Die Definitionen in 45 CFR 160.103 knüpfen an Funktionen und Tätigkeiten an; eine Ausnahme für Stellen außerhalb der USA enthalten sie nicht. Die Aufsichtsbehörde hält in ihrer Cloud-Leitlinie ausdrücklich fest, dass ePHI auf Servern außerhalb der USA gespeichert werden darf, wenn ein BAA besteht und die HIPAA Rules im Übrigen eingehalten sind.

Zweitens die Annahme, ein ISO-27001-Zertifikat oder ein DSGVO-konformes ISMS decke HIPAA ab. Die Security Rule verlangt eine eigene, auf die ePHI bezogene Risikoanalyse, schriftliche Richtlinien und Verfahren und eine dokumentierte Begründung, wo eine "addressable" Umsetzungsspezifikation nicht umgesetzt wird; ein Zertifikat ist ein möglicher Baustein des Nachweises, kein Ersatz.

Drittens die Annahme, verschlüsselte Daten ohne Schlüsselzugriff seien kein Thema. Laut HHS ist ein Cloud-Anbieter auch dann Business Associate, wenn er nur verschlüsselte ePHI ohne Schlüssel speichert.

CISO-Einordnung

Rechtsgrundlage ist der Health Insurance Portability and Accountability Act von 1996 mit seinem Teil zur Administrative Simplification (42 U.S.C. 1320d ff.), erweitert 2009 durch den HITECH Act. Die Verordnungen stehen in 45 CFR Part 160 und Part 164 und bilden vier Regelwerke:

• Privacy Rule (45 CFR 164.500 ff.): zulässige Nutzung und Offenlegung von PHI, Rechte der Betroffenen, Organisationspflichten.
• Security Rule (45 CFR 164.302 bis 164.318): administrative, physische und technische Schutzmaßnahmen für elektronische PHI (ePHI).
• Breach Notification Rule (45 CFR 164.400 bis 164.414): Benachrichtigung von Betroffenen, Aufsicht und gegebenenfalls Medien bei Verletzungen ungesicherter PHI.
• Enforcement Rule (45 CFR 160.300 ff. und 160.400 ff.): Beschwerden, Prüfungen, Geldbußen, Verfahren.

Zuständige Aufsicht ist das Office for Civil Rights (OCR) im US-Gesundheitsministerium HHS.

Für deutsche Unternehmen sind drei Konstellationen zu unterscheiden:

• Deutscher Anbieter als Business Associate. Wer im Auftrag einer Covered Entity PHI erstellt, empfängt, speichert oder übermittelt, ist Business Associate; wer das im Auftrag eines Business Associate tut, ist als Subcontractor ebenfalls Business Associate (45 CFR 160.103). HHS nennt als Beispiele Cloud-Anbieter, Managed Services Provider, Techniker, die Geräte mit gespeicherter PHI warten, wenn die Wartung die Offenlegung von PHI umfasst, und KI-Chatbots von Drittanbietern in Patientenportalen. Details in hipaa-002.
• US-Tochter als Covered Entity. Betreibt die Tochter Kliniken, Praxen oder Labore und rechnet sie elektronisch mit Kostenträgern ab, oder ist sie selbst Versicherer, gilt sie als Covered Entity mit dem vollen Pflichtenprogramm.
• US-Tochter als Arbeitgeber. Ein betrieblicher Gesundheitsplan (Group Health Plan) mit 50 oder mehr Teilnehmern oder mit Verwaltung durch einen Dritten ist ein Health Plan und damit Covered Entity (45 CFR 160.103). Der Arbeitgeber als Plan Sponsor darf PHI aus dem Plan grundsätzlich nur erhalten, wenn die Plandokumente Nutzung und Offenlegung beschränken und Plan und Sponsor angemessen getrennt sind; ausgenommen sind Summary Health Information für bestimmte Zwecke, Angaben zum Teilnahmestatus und Offenlegungen aufgrund einer Authorization (45 CFR 164.504(f)).

Zum Rechtsstand: Die Vorschriften der Security Rule sind laut den Fundstellenvermerken im eCFR zuletzt 2013 geändert worden. Der Vorschlag vom 06.01.2025 würde unter anderem die Unterscheidung zwischen "required" und "addressable" weitgehend aufheben sowie Verschlüsselung und Multi-Faktor-Authentifizierung mit begrenzten Ausnahmen verlangen; HHS stellt klar, dass bis zum Abschluss des Verfahrens die geltende Security Rule in Kraft bleibt. Die Unified Agenda führt das Vorhaben (RIN 0945-AA22) in der Ausgabe mit der Kennung pubId 202510 als Long-Term Action mit Final Action 07/2027. Eine 2024 beschlossene Änderung der Privacy Rule zum Schutz von Daten zur reproduktiven Gesundheit (89 FR 32976) hat laut HHS ein Bundesbezirksgericht in Texas am 18.06.2025 größtenteils aufgehoben; dieser Track behandelt sie nicht.

HIPAA steht neben anderen Regimen und verdrängt sie nicht: Strengeres Datenschutzrecht der Bundesstaaten zu Gesundheitsinformationen bleibt nach 45 CFR 160.203(b) anwendbar, und für die Verarbeitung in Deutschland ist die DSGVO-Seite eigenständig zu prüfen (dsgvo-Track).

Umsetzungsperspektive

• Rollen-Inventar erstellen: Für jedes US-Geschäft festhalten, ob das Unternehmen oder eine Tochter Covered Entity, Business Associate, Subcontractor oder nichts davon ist, und welche PHI-Flüsse das begründen.
• Den Group Health Plan jeder US-Tochter prüfen: Teilnehmerzahl, Verwaltung durch Dritte, Plandokumente und die Trennung zwischen Plan und Personalabteilung.
• Vertriebsprozess absichern: Ein BAA ist ein Rechtsdokument mit Sicherheits- und Meldepflichten; es gehört vor der Unterschrift in die Prüfung von Informationssicherheit und Recht.
• Das bestehende ISMS um eine HIPAA-spezifische Risikoanalyse für die ePHI-Verarbeitung ergänzen statt ein Parallelprogramm aufzubauen.
• Die Novelle beobachten, aber nicht vorwegnehmen: Maßnahmen aus dem Vorschlag dürfen freiwillig umgesetzt werden, Pflicht sind sie erst mit einer Final Rule.

Typische Fehler

1. HIPAA wird als reines US-Thema eingeordnet, obwohl der deutsche Anbieter als Business Associate unmittelbar an die Security Rule gebunden ist.
2. Ein ISO-27001-Zertifikat oder ein SOC-2-Bericht wird als HIPAA-Nachweis ausgegeben.
3. Der Group Health Plan der US-Tochter wird übersehen, weil die Personalabteilung ihn als reine Versicherungsfrage behandelt.
4. Inhalte des Security-Rule-Vorschlags werden in Kundenantworten als geltende Pflichten zitiert.
5. Ein BAA wird vom Vertrieb unterschrieben, ohne dass Meldewege und Subunternehmerverträge stehen.

Risiken und Trade-offs

Ein früh und sauber aufgesetztes HIPAA-Programm erleichtert den Zugang zum US-Gesundheitsmarkt, bindet aber Ressourcen für Dokumentation und Vertragsmanagement. Wer HIPAA nur vertraglich über das BAA abhandelt, übernimmt Pflichten, ohne sie operativ zu decken. Wer umgekehrt den Security-Rule-Vorschlag sofort vollständig umsetzt, investiert in Anforderungen, deren endgültige Fassung offen ist. Ein vertretbarer Mittelweg ist, die geltende Security Rule vollständig abzudecken und Vorschlagsinhalte dort vorzuziehen, wo sie ohnehin dem Stand der Technik im eigenen ISMS entsprechen.

Entscheidungspunkte

• Welche Gesellschaften der Gruppe sind Covered Entity, Business Associate oder Subcontractor, und auf welcher PHI-Verarbeitung beruht das?
• Wer prüft und unterschreibt BAAs, und welche Mindestanforderungen gelten für eigene Subunternehmer?
• Ist die HIPAA-Risikoanalyse in das bestehende ISMS eingebettet und dokumentiert?
• Wer beobachtet das Rechtsetzungsverfahren zur Security Rule?

Praktische Empfehlungen

1. Erstellen Sie ein Rollen- und Datenflussinventar für alle US-Gesundheitskunden und US-Töchter.
2. Prüfen Sie den Group Health Plan jeder US-Tochter auf Covered-Entity-Status und Trennung vom Personalbereich.
3. Legen Sie einen BAA-Prüfprozess mit Beteiligung von Informationssicherheit und Recht fest.
4. Führen Sie eine eigene Risikoanalyse für ePHI nach 45 CFR 164.308(a)(1)(ii)(A) durch und verknüpfen Sie sie mit dem ISMS.
5. Kennzeichnen Sie in Kundenkommunikation geltende Pflichten und Vorschlagsinhalte getrennt.

Relevante Normreferenzen

• HIPAA (Pub. L. 104-191), Administrative Simplification, 42 U.S.C. 1320d ff.; HITECH Act (Pub. L. 111-5), insbesondere 42 U.S.C. 17931.
• 45 CFR 160.102 und 160.103 (Anwendungsbereich und Definitionen), 160.203 (Verhältnis zum Recht der Bundesstaaten).
• 45 CFR Part 164 Subparts C, D und E (Security, Breach Notification, Privacy); 45 CFR 164.504(f) (Group Health Plan).
• Notice of Proposed Rulemaking, 90 FR 898 (06.01.2025), RIN 0945-AA22; Final Rule 89 FR 32976 (26.04.2024).
• US-Bundesrecht ist nach 17 U.S.C. 105 urheberrechtlich nicht geschützt und mit Fundstelle frei zitierbar.