Covered Entity vs. Business Associate: HIPAA-Compliance verstehen

Geschützte Gesundheitsinformationen

Informationen, die unter der HIPAA-Datenschutzregel geschützt sind, werden als geschützte Gesundheitsinformationen bezeichnet. Sie umfassen alle individuell identifizierbaren Gesundheitsinformationen, wie Informationen, die eine Person persönlich identifizieren könnten, z. B. demografische Daten, bestimmte Gesundheitszustände, vergangene und gegenwärtige Behandlungen, welche Gesundheitseinrichtungen und Ärzte jemand genutzt hat, und Standardkennungen wie Name, Adresse, Geburtsdatum und Sozialversicherungsnummer.

Covered Entity

Unter den HIPAA-Vorschriften kann eine Covered Entity ein Gesundheitsplan, ein Abrechnungsstelle für Gesundheitswesen oder ein Gesundheitsdienstleister sein, der Gesundheitsinformationen in elektronischer Form im Zusammenhang mit einer gesundheitsbezogenen Transaktion übermittelt. Alle Gesundheitsdienstleister und Gesundheitspläne gelten als Covered Entities. Das bedeutet, dass Ihr Krankenhaus, Arzt und Ihre Versicherungsgesellschaft sowie alle staatlichen, bundesstaatlichen, privaten, Arbeitnehmer- oder Veteranenwohlfahrtskrankenversicherungspläne als Covered Entities gelten und somit verpflichtet sind, die HIPAA-Datenschutzregel einzuhalten.

Business Associate

Ein Business Associate erbringt im Auftrag von Covered Entities Dienstleistungen, die die Verwendung geschützter Gesundheitsinformationen erfordern. Dies kann eine breite Palette potenzieller Dienstleistungen umfassen, wie Buchhaltung, Datenmanagement, Dokumentenverarbeitung, Abrechnung oder Qualitätssicherung. Business Associates können somit Zugang zu Ihren geschützten Gesundheitsinformationen haben. Covered Entities sind dafür verantwortlich, sicherzustellen, dass ihre Business Associates geschützte Gesundheitsinformationen angemessen schützen.

Verträge und Zusicherungen

Wenn die Beziehung zwischen einer Covered Entity und ihren Business Associates als HIPAA-konform betrachtet werden soll, muss der Vertrag zwischen ihnen festlegen, welche Nutzungen der Business Associate von den in seiner Obhut befindlichen geschützten Gesundheitsinformationen vornehmen darf und muss, und sicherstellen, dass der Business Associate die Informationen angemessen schützt. Wenn festgestellt wird, dass der Business Associate gegen diesen Vertrag verstößt, muss die Covered Entity Schritte unternehmen, um den Verstoß zu korrigieren oder den Vertrag zu kündigen.