IT Glossary
HIPAA regelt den Schutz von Gesundheitsdaten in den USA. Erfahren Sie, wann ein europäisches Unternehmen vertraglich trotzdem darunter fällt.
August 7, 2026
HIPAA (Health Insurance Portability and Accountability Act) ist ein Bundesgesetz der Vereinigten Staaten aus dem Jahr 1996, das nationale Standards für den Schutz individuell zuordenbarer Gesundheitsinformationen festlegt. Seine Privacy Rule regelt Nutzung und Weitergabe geschützter Gesundheitsinformationen, während seine Security Rule die administrativen, physischen und technischen Schutzmassnahmen für diese Informationen in elektronischer Form definiert.
Drei Anforderungen treffen Identitätsteams unmittelbar. Die Zugriffskontrolle nach 45 CFR 164.312(a) verlangt eine eindeutige Benutzeridentifikation und einen Mechanismus, der den Zugriff auf befugte Personen beschränkt. Die Workforce Security nach 164.308(a)(3) verlangt Verfahren zum Vertragsende, die Zugriffe beim Austritt entfernen. Das Information Access Management nach 164.308(a)(4) verlangt eine dokumentierte Erteilung, Einrichtung und Änderung von Zugriffsrechten. Das sind die Offboarding- und Zugriffsüberprüfungsmassnahmen, in der Sprache von 1996 formuliert.
Ein europäischer Anbieter von Gesundheitssoftware gewinnt seinen ersten US-Krankenhauskunden und wird damit Business Associate. Der Vertrag verlangt den Nachweis, dass der Zugriff auf Systeme mit geschützten Gesundheitsinformationen beschränkt, dokumentiert und beim Austritt entfernt wird. Das Unternehmen erfüllt die DSGVO bereits, doch niemand hat je eine datierte Zugriffsüberprüfung über die betroffenen Anwendungen erstellt. Dieser Nachweis ist in beiden Rahmenwerken dieselbe Arbeit, und genau die automatisiert Corma. Satelia hat diesen Weg für seine Identity Governance in einem regulierten Gesundheitsumfeld gewählt.
Nicht unmittelbar, denn es handelt sich um US-Recht. Es gilt vertraglich für jedes europäische Unternehmen, das als Business Associate für eine US-amerikanische Covered Entity auftritt, über den Business Associate Agreement, den es unterzeichnet.
HIPAA ist sektorspezifisches US-Recht für Gesundheitsinformationen. Die DSGVO ist eine allgemeine europäische Verordnung für alle personenbezogenen Daten, wobei Gesundheitsdaten nach Artikel 9 als besondere Kategorie behandelt werden.
Der Vertrag, der einen Dienstleister im Umgang mit geschützten Gesundheitsinformationen an die HIPAA-Schutzmassnahmen, die Meldung von Verstössen und die Pflichten gegenüber Unterauftragnehmern bindet.
Der Text verwendet den Begriff nicht, doch die Standards zu Information Access Management und Workforce Security verlangen eine dokumentierte Erteilung, Änderung und Entfernung von Zugriffen, und genau das belegt eine Zugriffsüberprüfung.
