| | Gesundheitswissenschaften > | Gesundheitsindustrie | Abrechnung im Gesundheitswesen

Sensible Persönliche Informationen (SPI): Definition, Beispiele & Schutzanforderungen

Was sind Sensible Persönliche Informationen (SPI)?

SPI ist eine Untergruppe der personenbezogenen Daten (PII), die, wenn offengelegt, erheblichen Schaden, Verlegenheit, Unannehmlichkeit oder Ungerechtigkeit für eine Person verursachen kann. Vorschriften (DSGVO, CCPA, HIPAA, GLBA, Landesgesetze) schreiben erhöhten Schutz vor.

Häufige SPI-Kategorien

Kategorie	Beispiele	Wichtige Vorschriften
Staatliche Ausweise	Sozialversicherungsnummer, Führerschein, Reisepass, Staatsausweis, Ausländerregistrierung	GLBA, Landesdatenschutzgesetze, IRS Pub 1075
Finanziell	Bank-/Kreditkartenkonten, Darlehensdetails, Kreditberichte, Steuererklärungen	GLBA, FCRA, PCI DSS, Landesgesetze
Gesundheit/Medizin	Diagnosen, Behandlungen, Verschreibungen, Versicherungsansprüche, genetische Daten, psychische Gesundheit	HIPAA, HITECH, 42 CFR Part 2, Landesgesetze
Biometrisch	Fingerabdruck, Gesichtsgeometrie, Iris, Stimmabdruck, DNA	BIPA (IL), CCPA, DSGVO, Landesgesetze
Rasse/Ethnizität/Herkunft	Selbst identifiziert oder abgeleitet	DSGVO Art. 9, CCPA, Title VII
Sexuelle Orientierung/Geschlechtsidentität	Selbst identifiziert	DSGVO Art. 9, Landesgesetze
Präzise Geolokalisierung	GPS-Koordinaten <1.850 ft Radius	CCPA, Landesgesetze
Kinderdaten (<13/16)	Jede PII, die von einem Kind erhoben wird	COPPA, DSGVO Art. 8, Landesgesetze
Authentifizierungsdaten	Passwörter, Sicherheitsfragen, OTP-Samen, Krypto-Schlüssel	NIST 800-63, FIDO, Landesdatenschutzgesetze

Lohn- & Medizindaten = SPI

Lohnabrechnungsdaten (Gehalt, Abzüge, Direkteinzahlung, Lohnpfändungen) + medizinische Datensätze (Ansprüche, FMLA, Anpassungen) sind Kern-SPI, die erfordern:

Verschlüsselung im Ruhezustand (AES-256) und in der Übertragung (TLS 1.2+).
Rollenbasierte Zugriffskontrolle (minimale Rechte).
Audit-Protokollierung (wer hat wann auf was zugegriffen).
Datenminimierung (nur das Nötigste erheben).
Aufbewahrungs-/Entsorgungsplan (schreddern/kryptographisches Löschen).
Mitarbeiterschulung (Phishing, Umgang, Meldung).
Incident-Response-Plan (Fristen für Verletzungsmeldung).
Lieferantenmanagement (BAAs, DPAs, SOC 2).

Geschäftliche Verpflichtungen

Privacy by Design: Schutzmaßnahmen in Systeme/Prozesse einbetten.
Datenschutz-Folgenabschätzungen (PIA): Bei neuer SPI-Verarbeitung.
Betroffenenrechte: Zugang, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch (je nach geltendem Recht).
Datenpanne-Meldung: 72 Stunden (DSGVO); „ohne unangemessene Verzögerung“ (US-Landesgesetze, HIPAA 60 Tage).

Kernaussage

SPI = hochrisikoreiche PII. Lohn- und Medizindaten sind paradigmatische Beispiele. Compliance erfordert technische, organisatorische und physische Schutzmaßnahmen—nicht nur gute Absichten.

Abrechnung im Gesundheitswesen

Gesundheitswissenschaften