Vereinbarung für Geschäftspartner

Für diese Vereinbarung für Geschäftspartner („Vereinbarung“) gelten folgende Definitionen:

• „Erfasste Einrichtung“ bezeichnet einen Krankenversicherungsplan, eine Clearingstelle im Gesundheitswesen oder einen Gesundheitsdienstleister, der Gesundheitsinformationen elektronisch übermittelt und HIPAA unterliegt.
• „Geschäftspartner“ bezeichnet Chargezen Corporation, die im Auftrag der erfassten Einrichtung geschützte Gesundheitsinformationen erstellt, empfängt, aufbewahrt oder übermittelt.
• „Geschützte Gesundheitsinformationen“ oder „PHI“ bezeichnet individuell identifizierbare Gesundheitsinformationen, die in beliebiger Form oder auf einem beliebigen Medium übermittelt oder aufbewahrt werden, wie in 45 CFR § 160.103 definiert.
• „Elektronische geschützte Gesundheitsinformationen“ oder „ePHI“ bezeichnet PHI, die auf elektronischen Medien übermittelt oder aufbewahrt werden.
• „Sicherheitsvorfall“ bezeichnet den versuchten oder erfolgreichen unbefugten Zugriff, die unbefugte Nutzung, Offenlegung, Änderung oder Vernichtung von Informationen oder eine Beeinträchtigung des Systembetriebs.
• „Verletzung“ bezeichnet die Beschaffung, den Zugriff, die Nutzung oder die Offenlegung von PHI auf eine nach HIPAA unzulässige Weise, die die Sicherheit oder den Datenschutz der PHI beeinträchtigt.

2.1 Der Geschäftspartner darf PHI nur nutzen oder offenlegen, soweit dies zur Erbringung der im zugrunde liegenden Dienstleistungsvertrag festgelegten Leistungen für die erfasste Einrichtung erforderlich oder gesetzlich vorgeschrieben ist.

2.2 Der Geschäftspartner darf PHI für seine ordnungsgemäße Geschäftsführung und Verwaltung oder zur Erfüllung rechtlicher Pflichten nutzen, sofern eine Offenlegung:

• Gesetzlich vorgeschrieben ist; oder
• Der Geschäftspartner vom Empfänger angemessene Zusicherungen erhält, dass die PHI vertraulich behandelt und nur gemäß gesetzlichen Anforderungen oder für die Zwecke ihrer Offenlegung genutzt oder offengelegt werden und der Empfänger den Geschäftspartner über Verletzungen informiert.

2.3 Der Geschäftspartner darf PHI mit Daten anderer erfasster Einrichtungen aggregieren (sofern autorisiert) und PHI gemäß 45 CFR § 164.514 de-identifizieren.

3.1 Schutzmaßnahmen. Der Geschäftspartner muss administrative, physische und technische Schutzmaßnahmen umsetzen, die Vertraulichkeit, Integrität und Verfügbarkeit von ePHI angemessen und sachgerecht schützen, wie von der HIPAA Security Rule vorgeschrieben.

3.2 Meldungen. Der Geschäftspartner muss:

• Jede nach dieser Vereinbarung unzulässige Nutzung oder Offenlegung von PHI innerhalb von 3 Werktagen nach Entdeckung melden
• Jeden Sicherheitsvorfall innerhalb von 24 Stunden nach Entdeckung melden
• Jede Verletzung ungesicherter PHI innerhalb von 24 Stunden nach Entdeckung melden und dabei die Informationen bereitstellen, die die erfasste Einrichtung zur Erfüllung der Benachrichtigungspflichten bei Verletzungen benötigt

3.3 Unterauftragnehmer. Der Geschäftspartner muss sicherstellen, dass Unterauftragnehmer, die PHI erstellen, empfangen, aufbewahren oder übermitteln, denselben Beschränkungen und Bedingungen dieser Vereinbarung zustimmen.

3.4 Zugang. Der Geschäftspartner muss PHI für die erfasste Einrichtung zugänglich machen, soweit dies zur Erfüllung ihrer Pflichten nach 45 CFR § 164.524 (individuelle Zugangsrechte) erforderlich ist.

3.5 Berichtigung. Der Geschäftspartner muss PHI zur Berichtigung bereitstellen und Berichtigungen auf Anweisung der erfassten Einrichtung gemäß 45 CFR § 164.526 übernehmen.

3.6 Offenlegungsnachweis. Der Geschäftspartner muss die Informationen bereitstellen, die die erfasste Einrichtung benötigt, um gemäß 45 CFR § 164.528 einen Nachweis über Offenlegungen zu erbringen.

3.7 Zugang für HHS. Der Geschäftspartner muss dem HHS-Minister seine internen Verfahren, Bücher und Aufzeichnungen zu PHI zur Feststellung der HIPAA-Konformität zugänglich machen.

3.8 Erforderliches Mindestmaß. Der Geschäftspartner muss die Nutzung, Offenlegung und Anforderung von PHI auf das zur Erreichung des vorgesehenen Zwecks erforderliche Mindestmaß beschränken.

4.1 Die erfasste Einrichtung muss den Geschäftspartner über Einschränkungen in ihrem Hinweis zu Datenschutzpraktiken informieren, die dessen Nutzung oder Offenlegung von PHI beeinflussen können.

4.2 Die erfasste Einrichtung muss den Geschäftspartner über Änderungen oder den Widerruf der von einer Person erteilten Genehmigung zur Nutzung oder Offenlegung von PHI informieren.

4.3 Die erfasste Einrichtung muss den Geschäftspartner über Beschränkungen der Nutzung oder Offenlegung von PHI informieren, denen sie gemäß 45 CFR § 164.522 zugestimmt hat.

4.4 Die erfasste Einrichtung darf vom Geschäftspartner keine Nutzung oder Offenlegung von PHI verlangen, die nach HIPAA unzulässig wäre, wenn sie durch die erfasste Einrichtung selbst erfolgte.

Der Geschäftspartner setzt folgende Sicherheitsmaßnahmen zum Schutz von ePHI um:

5.1 Administrative Schutzmaßnahmen:

• Benennung eines Sicherheitsbeauftragten
• Schulungs- und Sensibilisierungsprogramme für Beschäftigte
• Verfahren zur Zugriffsverwaltung und Autorisierung
• Verfahren für Sicherheitsvorfälle
• Notfallplanung und Wiederherstellung nach Katastrophen
• Regelmäßige Risikobewertungen

5.2 Physische Schutzmaßnahmen:

• Zutrittskontrollen für Einrichtungen (Rechenzentren)
• Richtlinien zur Nutzung und Sicherheit von Arbeitsstationen
• Geräte- und Medienkontrollen

5.3 Technische Schutzmaßnahmen:

• Zugriffskontrollen (eindeutige Benutzer-IDs, automatische Abmeldung)
• Audit-Kontrollen und Protokollierung
• Integritätskontrollen
• Übertragungssicherheit (Transportverschlüsselung)
• Verschlüsselung gespeicherter Daten (AES-256)

6.1 Entdeckung. Eine Verletzung gilt ab dem ersten Tag als „entdeckt“, an dem sie dem Geschäftspartner bekannt ist oder bei angemessener Sorgfalt bekannt gewesen wäre.

6.2 Benachrichtigung. Nach Entdeckung einer Verletzung ungesicherter PHI muss der Geschäftspartner die erfasste Einrichtung innerhalb von 24 Stunden benachrichtigen und Folgendes bereitstellen:

• Identifizierung jeder Person, auf deren PHI zugegriffen wurde oder deren PHI beschafft, genutzt oder offengelegt wurden oder bei denen dies vernünftigerweise anzunehmen ist
• Eine Beschreibung des Geschehens einschließlich des Datums der Verletzung und ihrer Entdeckung
• Die betroffenen PHI-Arten
• Maßnahmen, die betroffene Personen zu ihrem Schutz ergreifen sollten
• Stand der Untersuchung und ergriffene Minderungsmaßnahmen

6.3 Zusammenarbeit. Der Geschäftspartner muss mit der erfassten Einrichtung bei der Untersuchung der Verletzung und der Einhaltung der Benachrichtigungspflichten nach 45 CFR §§ 164.404-164.410 zusammenarbeiten.

6.4 Minderung. Der Geschäftspartner muss die ihm bekannten schädlichen Auswirkungen der Verletzung im praktikablen Umfang mindern.

7.1 Laufzeit. Diese Vereinbarung tritt mit Abschluss in Kraft und gilt fort, bis sämtliche PHI vernichtet oder zurückgegeben wurden oder der zugrunde liegende Dienstleistungsvertrag endet.

7.2 Kündigung aus wichtigem Grund. Jede Partei kann diese Vereinbarung kündigen, wenn die andere Partei sie wesentlich verletzt und die Verletzung nicht innerhalb von 30 Tagen nach schriftlicher Mitteilung behebt.

7.3 Folgen der Beendigung. Bei Beendigung gilt:

• Soweit möglich, muss der Geschäftspartner sämtliche im Auftrag der erfassten Einrichtung erhaltenen oder erstellten PHI zurückgeben oder vernichten
• Ist eine Rückgabe oder Vernichtung nicht möglich, muss der Geschäftspartner den Schutz dieser Vereinbarung auf die PHI erstrecken und jede weitere Nutzung und Offenlegung auf die Zwecke beschränken, die eine Rückgabe oder Vernichtung unmöglich machen
• Der Geschäftspartner muss die Vernichtung der PHI oder die Gründe, aus denen eine Rückgabe oder Vernichtung nicht möglich ist, schriftlich bestätigen

8.1 Änderungen. Diese Vereinbarung darf nur durch eine von beiden Parteien unterzeichnete schriftliche Vereinbarung geändert werden. Die Parteien vereinbaren, sie soweit erforderlich zu ändern, um HIPAA und den zugehörigen Durchführungsvorschriften zu entsprechen.

8.2 Fortgeltung. Die Abschnitte 3.1 (Schutzmaßnahmen), 6 (Benachrichtigung bei Verletzungen) und 7.3 (Folgen der Beendigung) gelten nach Beendigung dieser Vereinbarung fort.

8.3 Auslegung. Unklarheiten dieser Vereinbarung sind so aufzulösen, dass die erfasste Einrichtung HIPAA einhalten kann.

8.4 Keine begünstigten Dritten. Diese Vereinbarung verleiht Dritten keine Rechte.

8.5 Anwendbares Recht. Diese Vereinbarung unterliegt Bundesrecht (HIPAA) und, soweit dieses nicht vorgeht, dem Recht des Bundesstaats Delaware.