HIPAA

HIPAA ist ein Gesetz der Vereinigten Staaten aus dem Jahr 1996. Der volle Name lautet Health Insurance Portability and Accountability Act. Es regelt, wer Gesundheitsdaten von Patienten sehen, speichern und weitergeben darf. Gemeint sind damit Diagnosen, Laborwerte, Rezepte, Arztbriefe und Abrechnungen. Betroffen sind Krankenhäuser, Arztpraxen, Krankenversicherungen und alle Firmen, die für diese arbeiten. Wer gegen das Gesetz verstößt, muss mit hohen Geldstrafen rechnen.

Warum Gesundheitsdaten besonders geschützt sind

Gesundheitsdaten sind mit die empfindlichsten Informationen über einen Menschen. Eine psychische Erkrankung, eine HIV-Diagnose oder eine Suchtbehandlung kann das ganze Leben beeinflussen. In den USA ist das noch schärfer als in Deutschland. Dort entscheiden private Versicherer und teils auch Arbeitgeber mit, wie teuer eine Behandlung wird. Ein Datenleck kann jemanden also nicht nur bloßstellen, sondern finanziell ruinieren.

Deshalb sieht HIPAA Strafen vor, die ein Unternehmen ernsthaft treffen. Pro Verstoßkategorie sind bis zu rund 2 Millionen Dollar im Jahr möglich. Bei vorsätzlichem Missbrauch drohen zusätzlich Freiheitsstrafen. Große Datenpannen in Kliniken haben schon zweistellige Millionenbeträge gekostet.

Ein häufiger Irrtum: HIPAA ist nicht das amerikanische Gegenstück zur europäischen Datenschutz-Grundverordnung. Die DSGVO gilt für fast alle Daten und fast alle Branchen. HIPAA gilt nur für Gesundheitsdaten und nur für einen klar definierten Kreis von Organisationen. Ein Fitness-Armband, das dein Unternehmen selbst verkauft, fällt meist gar nicht darunter.

Die drei Regelwerke im Gesetz

HIPAA besteht im Kern aus drei Teilen. Die Privacy Rule legt fest, wofür Gesundheitsdaten überhaupt verwendet werden dürfen. Erlaubt sind vor allem Behandlung, Abrechnung und der normale Klinikbetrieb. Für fast alles andere braucht es die schriftliche Zustimmung des Patienten. Außerdem gilt der Grundsatz, immer nur die kleinstmögliche Menge an Daten weiterzugeben.

Die Security Rule betrifft die technische Seite. Daten müssen verschlüsselt gespeichert und übertragen werden. Jeder Zugriff braucht ein eigenes Benutzerkonto und wird protokolliert. So lässt sich später nachvollziehen, wer welche Akte geöffnet hat. Auch Backups und Notfallpläne sind vorgeschrieben.

Die Breach Notification Rule regelt den Ernstfall. Kommen Daten abhanden, müssen die Betroffenen innerhalb von 60 Tagen informiert werden. Ab 500 betroffenen Personen wird der Vorfall zusätzlich öffentlich gemeldet. Wichtig ist auch der Business Associate Agreement genannte Vertrag. Damit verpflichtet ein Krankenhaus jeden Dienstleister, etwa einen Cloud-Anbieter, auf dieselben Regeln.

HIPAA in Cloud-Diensten und KI-Produkten

Der Begriff taucht heute vor allem in der Technikbranche auf. Amazon Web Services, Microsoft Azure und Google Cloud werben damit, HIPAA-konforme Umgebungen anzubieten. Auch Anbieter von KI-Modellen wie OpenAI oder Anthropic schließen entsprechende Verträge mit Kunden aus dem Gesundheitswesen. Ohne diesen Vertrag darf eine Klinik ihre Patientendaten dort schlicht nicht hochladen.

Besonders spannend wird das bei Sprachmodellen. Ärzte nutzen zunehmend Programme, die Gespräche mitschreiben und daraus einen Arztbrief formulieren. Solche Systeme hören Diagnosen mit und fallen damit voll unter das Gesetz. Der Anbieter darf die Aufnahmen dann zum Beispiel nicht ohne Weiteres zum Training neuer Modelle verwenden.

Ein Punkt sorgt oft für Verwirrung. Es gibt kein offizielles HIPAA-Siegel, das eine Behörde verleiht. Kein Produkt ist von sich aus konform, sondern immer nur die Art, wie es eingesetzt wird. Werbeaussagen wie HIPAA-zertifiziert sind deshalb mit Vorsicht zu lesen. Verantwortlich bleibt am Ende die Klinik oder Praxis selbst.