Health Insurance Portability and Accountability Act (HIPAA) & Health Information Technology for Economic and Clinical Health (HITECH) Act

HIPAA und der HITECH Act (Übersicht)

Der Health Insurance Portability and Accountability Act von 1996 (Health Insurance Portability and Accountability Act, HIPAA) und die im Rahmen des HIPAA erlassenen Vorschriften sind eine Reihe von US-amerikanischen Gesundheitsgesetzen, die Anforderungen an die Verwendung, Offenlegung und den Schutz individuell identifizierbarer Gesundheitsinformationen festlegen. Der Geltungsbereich des HIPAA wurde mit der Verabschiedung des Health Information Technology for Economic and Clinical Health (HITECH) Act im Jahr 2009 erweitert.

HIPAA gilt für abgedeckte Einrichtungen (insbesondere Gesundheitsdienstleister, Gesundheitspläne und Clearingstellen für das Gesundheitswesen), die geschützte Gesundheitsinformationen (PHI) von Patienten erstellen, empfangen, pflegen, übertragen oder darauf zugreifen. HIPAA gilt ferner für Geschäftspartner von erfassten Unternehmen, die bestimmte Funktionen oder Aktivitäten im Zusammenhang mit PHI im Rahmen der Erbringung von Dienstleistungen für die betroffene Einrichtung oder im Namen der erfassten Einrichtung ausführen.

Wenn eine betroffene Entität die Dienste eines Clouddienstanbieters wie Microsoft in Anspruch nimmt, ist der Clouddienstanbieter ein Geschäftspartner im Sinne von HIPAA. Wenn ein Geschäftspartner einen Untervertrag mit einem Cloud-Service-Provider abschließt, um PHI zu erstellen, zu empfangen, zu pflegen oder zu übertragen, wird der Cloud-Service-Provider ebenfalls zum Geschäftspartner.

Microsoft, HIPAA und der HITECH Act

Die HIPAA-Vorschriften verlangen, dass betroffene Unternehmen (definiert in den Regeln) Vereinbarungen mit Geschäftspartnern treffen, um sicherzustellen, dass PHI angemessen geschützt sind. Diese Vereinbarung wird als Geschäftspartnervereinbarung bezeichnet. Eine Geschäftspartnervereinbarung legt unter anderem die zulässige und erforderliche Verwendung und Offenlegung von PHI durch den Geschäftspartner fest, basierend auf der Beziehung zwischen den Parteien und den Aktivitäten oder Dienstleistungen, die vom Geschäftspartner ausgeführt werden. Um die Einhaltung von HIPAA durch unsere Kunden bei der Nutzung von Microsoft-Unternehmensprodukten und -diensten zu unterstützen, schließt Microsoft Geschäftspartnervereinbarungen mit seinen betroffenen Unternehmen und Geschäftspartnern ab.

Derzeit gibt es keinen Zertifizierungsstandard, den das Department of Health and Human Services genehmigt, um die Einhaltung von HIPAA oder dem HITECH Act durch einen Geschäftspartner nachzuweisen. Microsoft unterstützt Kunden jedoch bei der Einhaltung von HIPAA und dem HITECH Act und hält sich in seiner Eigenschaft als Geschäftspartner an die Anforderungen von HIPAA für Sicherheitsregeln. Darüber hinaus schließt Microsoft Geschäftspartnervereinbarungen mit seinen betroffenen Unternehmen und Geschäftspartnerkunden ab, um die Einhaltung ihrer HIPAA-Verpflichtungen zu unterstützen.

Zertifizierungen von Drittanbietern

Microsoft-Dienste, die unter das BAA fallen, werden von akkreditierten unabhängigen Prüfern für die Microsoft ISO/IEC 27001-Zertifizierung und die HITRUST Common Security Framework (CSF)-Zertifizierung auditiert.

Microsoft Enterprise Cloud-Dienste sind auch durch FedRAMP-Bewertungen abgedeckt. Microsoft Azure und Microsoft Azure Government haben vom FedRAMP Joint Authorization Board eine vorläufige Betriebsbefugnis erhalten; Microsoft Dynamics 365 U.S. Government erhielt vom US Department of Housing and Urban Development eine Agency Authority to Operate, ebenso wie Microsoft Office 365 U.S. Government vom U.S. Department of Health and Human Services.

Wenn Sie erfahren möchten, wie die Microsoft-Cloud Kunden dabei unterstützt, HIPAA und die HITECH-Anforderungen zu erfüllen, besuchen Sie die Microsoft-Kundenreferenzen.

Microsoft im Umfang enthaltene Cloudplattformen und -dienste

• Azure und Azure Government
• Azure DevOps Services
• Dynamics 365 und Dynamics 365 U.S. Government
• Microsoft Intune
• Microsoft Copilot for Sicherheit
• Microsoft Defender for Cloud Apps
• Microsoft Defender Experts for Hunting
• Microsoft Defender Experts für XDR
• Microsoft Healthcare Bot Service
• Microsoft Managed Desktop
• Microsoft Professional Services: Premier und On-Premises für Azure, Dynamics 365, Microsoft Intune sowie für mittelständische Unternehmen und Unternehmenskunden von Microsoft 365 Business
• Office 365, Office 365 U.S. Government
• Power Automate-Clouddienst entweder als eigenständiger Dienst oder als Bestandteil eines Plans oder einer Suite der Marke Office 365 oder Dynamics 365
• Power Apps-Clouddienst entweder als eigenständiger Dienst oder als Bestandteil eines Plans oder einer Suite der Marke Office 365 oder Dynamics 365
• Power BI-Clouddienst entweder als eigenständiger Dienst oder als Bestandteil eines Plans oder einer Suite von Office 365 oder Dynamics 365 mit Branding
• Windows 365

Azure, Dynamics 365 und HIPAA

Weitere Informationen zur Compliance von Azure, Dynamics 365 und anderen Onlinediensten finden Sie im Azure HIPAA-Angebot.

Office 365 und HIPAA

Office 365-Umgebungen

Microsoft Office 365 ist eine mehrinstanzenfähige Hyperscale-Cloudplattform und eine integrierte Oberfläche für Apps und Dienste, die Kunden in mehreren Regionen weltweit zur Verfügung steht. Die meisten Office 365-Dienste ermöglichen es Kunden, die Region anzugeben, in der sich ihre Kundendaten befinden. Microsoft kann Kundendaten aus Gründen der Datenresilienz in andere Regionen innerhalb desselben geografischen Gebiets (z. B. die USA) replizieren, Microsoft repliziert jedoch keine Kundendaten außerhalb des ausgewählten geografischen Bereichs.

In diesem Abschnitt werden die folgenden Office 365-Umgebungen behandelt:

• Clientsoftware (Client): Kommerzielle Clientsoftware, die auf Kundengeräten ausgeführt wird.
• Office 365 (Kommerziell): Der kommerzielle öffentliche Office 365-Clouddienst, der global verfügbar ist.
• Office 365 Government Community Cloud (GCC): Der Office 365 GCC-Clouddienst ist für Bundes-, Landes-, Kommunal- und Stammesregierungen der Vereinigten Staaten sowie für Auftragnehmer verfügbar, die Daten im Auftrag der US-Regierung speichern oder verarbeiten.
• Office 365 Government Community Cloud – High (GCC High): Der Office 365 GCC-High-Clouddienst wurde gemäß den Sicherheitsanforderungen der Richtlinien des Verteidigungsministeriums (DoD) Level 4 entwickelt und unterstützt streng regulierte Bundes- und Verteidigungsinformationen. Diese Umgebung wird von Bundesbehörden, der Defense Industrial Base (DIBs) und staatlichen Auftragnehmern verwendet.
• Office 365 DoD (DoD): Der Office 365 DoD-Clouddienst wurde gemäß den DoD-Sicherheitsanforderungen der Stufe 5 entwickelt und unterstützt strenge Bundes- und Verteidigungsvorschriften. Diese Umgebung ist für die ausschließliche Verwendung durch das US-Verteidigungsministerium bestimmt.

Verwenden Sie diesen Abschnitt, um Ihre Complianceverpflichtungen in regulierten Branchen und globalen Märkten zu erfüllen. Informationen dazu, welche Dienste in welchen Regionen verfügbar sind, finden Sie in den Informationen zur internationalen Verfügbarkeit und im Artikel Wo Ihre Microsoft 365 Kundendaten gespeichert werden. Weitere Informationen zur Office 365 Government-Cloudumgebung finden Sie im Artikel Office 365 Government-Cloud.

Ihre Organisation ist vollständig dafür verantwortlich, die Einhaltung aller geltenden Gesetze und Bestimmungen sicherzustellen. Die in diesem Abschnitt bereitgestellten Informationen stellen keine rechtliche Beratung dar und Sie sollten sich bei Fragen zur Einhaltung gesetzlicher Bestimmungen für Ihre Organisation an Rechtsberater wenden.

Office 365-Anwendbarkeit und im Leistungsumfang enthaltene Dienste

Verwenden Sie die folgende Tabelle, um die Anwendbarkeit für Ihre Office 365-Dienste und -Abonnements zu bestimmen:

Häufig gestellte Fragen

Kann meine Organisation einen Vertrag für Geschäftspartner (BAA) mit Microsoft eingehen?

Ja. Microsoft bietet seinen betroffenen Unternehmen und Geschäftspartnern eine Geschäftspartnervereinbarung an, die umfassende Microsoft-Dienste abdeckt.

Die Microsoft HIPAA-Geschäftspartnervereinbarung ist standardmäßig über den Microsoft Online Services Data Protection Addendum für alle Kunden verfügbar, die unter HIPAA abgedeckte juristische Personen oder Geschäftspartner sind. Eine Liste der Clouddienste, die von diesem BAA abgedeckt werden, finden Sie auf dieser Website unter „Microsoft Cloud Services im Leistungsumfang“.

Die HIPAA-Geschäftspartnervereinbarung ist auch für im Umfang befindliche Microsoft Professional Services verfügbar. Wenden Sie sich an Ihren Microsoft-Servicemitarbeiter, um weitere Informationen zu erhalten.

Stellt ein Business Associate Agreement mit Microsoft sicher, dass meine Organization HIPAA und den HITECH Act einhält?

Nein Durch das Anbieten einer Geschäftspartnervereinbarung unterstützt Microsoft Ihre HIPAA-Compliance. Die Verwendung von Microsoft-Diensten allein erreicht jedoch nicht die HIPAA-Konformität. Ihre organization ist dafür verantwortlich, sicherzustellen, dass Sie über ein angemessenes Complianceprogramm und angemessene interne Prozesse verfügen und dass Ihre besondere Nutzung der Microsoft-Dienste mit Ihren Verpflichtungen gemäß HIPAA und dem HITECH Act übereinstimmt.

Kann Microsoft den Business Associate Agreement meiner organization verwenden?

Nein, Microsoft kann die Geschäftspartnervereinbarung eines Kunden nicht verwenden. Da wir Hyperscale-Dienste mit mehreren Mandanten anbieten, die für alle unsere Kunden standardisiert sind, müssen wir konsistent arbeiten. Die Microsoft HIPAA-Geschäftspartnervereinbarung spiegelt genau wider, wie wir arbeiten. Um den Bedürfnissen der Gesundheitsbranche gerecht zu werden, hat Microsoft mit einem Konsortium aus akademischen medizinischen Zentren und anderen öffentlichen und privaten Einrichtungen im Gesundheitswesen zusammengearbeitet, um eine Geschäftspartnervereinbarung zu erstellen, die auf unsere umfangreichen Serviceangebote abgestimmt ist und die Bedürfnisse der Kunden erfüllt.

Wie erhalte ich Kopien von Prüfberichten Dritter?

Das Vertrauensstellungsportal stellt unabhängig geprüfte Complianceberichte zur Verfügung. Sie können über das Portal Prüfberichte anfordern, sodass Ihre Prüfer die Ergebnisse der Clouddienste von Microsoft mit Ihren eigenen gesetzlichen und regulatorischen Anforderungen vergleichen können. Azure Kunden können über das Blatt "Überwachungsberichte" in Microsoft Defender for Cloud auch Azure Zertifikate und Überwachungsberichte in der Azure-Portal abrufen.

Wie kann ich mehr darüber erfahren, wie Microsoft die Compliance mit HIPAA und dem HITECH Act unterstützt?

Um Kunden bei dieser Aufgabe zu unterstützen, hat Microsoft den folgenden Leitfaden veröffentlicht:

• HIPAA/HITECH-Act-Implementierungsleitfaden für Azure für Datenschutz-, Sicherheits- und Compliance-Beauftragte und andere für die HIPAA- und HITECH-Act-Implementierung verantwortliche Personen, beschreibt konkrete Schritte, die Ihre Organization ergreifen kann, um die Compliance aufrechtzuerhalten.

Verwenden des Microsoft Purview Compliance Managers zum Bewerten Ihres Risikos

Microsoft Purview Compliance Manager ist ein Feature im Microsoft Purview-Portal, das Ihnen hilft, den Compliancestatus Ihrer Organization zu verstehen und Maßnahmen zur Risikominderung zu ergreifen. Compliance Manager bietet eine Premiumvorlage für die Erstellung einer Bewertung für diese Verordnung. Suchen Sie die Vorlage auf der Seite Bewertungsvorlagen im Compliance Manager. Erfahren Sie, wie Sie Bewertungen im Compliance-Manager erstellen.

Ressourcen

• Microsoft HIPAA Business Associate Agreement
• Microsoft Cloud für Compliance-Angebote im Gesundheitswesen
• Microsoft Cloud für das Gesundheitswesen