HIPAA und DSGVO im Überblick

Gesetz zur Übertragbarkeit und Rechenschaftspflicht der Krankenversicherung (HIPAA)

Der Health Insurance Portability and Accountability Act von 1996 (HIPAA) in seiner durch den Health Information Technology for Economic and Clinical Health (HITECH) Act geänderten Fassung schützt die Privatsphäre und die Sicherheit individueller Gesundheitsinformationen, die für die Bereitstellung und Bezahlung von Gesundheitsdienstleistungen verwendet, übermittelt und aufbewahrt werden. Diese Informationen werden als geschützte Gesundheitsinformationen (PHI) bezeichnet.

Der HIPAA gilt für alle Krankenversicherungen und Abrechnungsstellen im Gesundheitswesen sowie für Gesundheitsdienstleister (z. B. Krankenhäuser, Ärzte und Kliniken), die elektronisch mit den Versicherern abrechnen. Diese Einrichtungen werden zusammenfassend als "HIPAA Covered Entities" bezeichnet. Der HIPAA gilt auch für Dritte wie Anwälte, Berater, Wirtschaftsprüfer und andere Dienstleister ("Business Associates"), die auf die PHI einer betroffenen Einrichtung zugreifen, um Dienstleistungen zu erbringen.

Definition von PHI

HIPAA definiert PHI als jegliche Gesundheitsinformationen, die durch eine von HIPAA betroffenen Rechtsperson in gedruckter, mündlicher oder elektronischer Form erstellt, empfangen oder aufbewahrt werden und folgende Bedingungen erfüllen:

1. Sie enthalten „individuelle IDs“, die eine bestimmte Person identifiziert (oder Komponenten besitzt, anhand denen eine bestimmte Person identifiziert werden könnte).
2. Sie beziehen sich auf einen vergangenen, gegenwärtigen oder zukünftigen physischen oder geistigen Gesundheitszustand, auf die Bereitstellung oder Bezahlung einer Gesundheitspflegeleistung, oder anderweitigen genetischen Informationen.

PHI umfassen nahezu alle Informationen aus der Krankenakte eines Patienten, Nachweise von Zahlungen für medizinische Dienstleistungen, die von oder im Namen einer Person erfolgt sind (einschließlich Versicherungsansprüche und Rückerstattungen), oder Informationen, die ein Gesundheitsdienstleister über den physischen oder geistigen Gesundheitszustand einer Person erfasst hat und die die Person eindeutig identifizieren oder zur eindeutigen Identifizierung verwendet werden können.

Datenschutz-Grundverordnung (DSGVO) in der EU

Die Datenschutz-Grundverordnung (DSGVO) ist 2018 in Kraft getreten. Ihr Hauptzweck ist die Schaffung eines einheitlichen Datenschutzrahmens in der EU. Die DSGVO sorgt für eine erhebliche Verbesserung der Datenschutzrechte für Personen in der EU. Sie führt umfassende Grundsätze und Verpflichtungen ein, die von Organisationen, die in der EU tätig sind oder Produkte und Dienstleistungen anbieten, eingehalten werden müssen.

Die DSGVO ist weltweit einer der strengsten Maßstäbe für Datenschutz. Sie ermöglicht es europäischen Datenschutzbehörden, Anordnungen zu erlassen und Sanktionen gegenüber Unternehmen weltweit zu regulieren und zu belangen. 

Geltungsbereich

• Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten von betroffenen EU-Personen sammelt, unabhängig vom Sitz des Unternehmens.
• Sie gilt sowohl für Auftragsverarbeiter als auch für Verantwortliche von Daten.
• Sie gilt für Unternehmen, die in der EU Waren oder Dienstleistungen anbieten, ganz gleich ob gegen Bezahlung oder nicht, oder die das Verhalten von EU-Bewohnern überwachen.
• Der Begriff „personenbezogene Daten“ ist breit gefasst: „alle Informationen, die sich direkt oder indirekt auf eine identifizierte oder identifizierbare natürliche Person beziehen“.

Eine der größten und wirkungsvollsten Änderungen der DSGVO besteht in der behördlichen Aufsicht und Durchsetzung von Rechtsvorschriften auch außerhalb des europäischen Raums. EU-Behörden erhalten die Befugnis, Anordnungen zu erlassen und Sanktionen gegenüber Unternehmen zu verhängen, die personenbezogene Daten (ob durch Mitarbeiter/Verbraucher/Geschäftspartner) von EU-Bewohnern verarbeiten – unabhängig davon, in welchem Land das Unternehmen ansässig ist oder wo die Daten verarbeitet werden.

Nützliche Definitionen

• Bei personenbezogenen Daten kann es sich um Vielerlei handeln: ob Name, Foto, E-Mail-Adresse, IP-Adresse eines Computers oder Patienteninformationen. Datenverarbeitung umfasst Vorgänge wie die Erfassung, Aufzeichnung oder Aufbewahrung von Daten und die Ausführung weiterer Vorgänge damit.
• Im Sinne der DSGVO bezeichnet ein „Verantwortlicher“ die natürliche oder juristische Person, die [...] über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“.
• „Datenverarbeiter" ist die Organisation, „die personenbezogene Daten im Auftrag des Veratwortlichen verarbeitet".