# HIPAA für Messaging – was Absender im Gesundheitswesen wissen müssen

> Der US-amerikanische Health Insurance Portability and Accountability Act (HIPAA) regelt den Umgang mit geschützten Gesundheitsdaten (Protected Health Information, PHI) – also alle Informationen, die eine Person mit ihrer medizinischen Versorgung in Verbindung bringen. Bei der Kommunikation über Nachrichten greift HIPAA, sobald Ihre SMS oder WhatsApp-Nachricht PHI enthält (z. B. den Namen einer Klinik, die vereinbarte Fachrichtung, ein Testergebnis oder ein Rezept). Die relevanten Bestimmungen sind die Datenschutzregel, die Sicherheitsregel und die Regel zur Meldung von Datenschutzverletzungen.

- Kanonische URL: https://www.broadnet.me/de/answers/hipaa-for-messaging
- Sprache: de
- Zuletzt geprüft: 2026-09-27
- Herausgeber: BroadNet (https://www.broadnet.me)

## Wenn Messaging HIPAA auslöst

Drei Muster. Eine Terminerinnerung mit Angabe der Fachklinik („Ihr Kardiologietermin“) – PHI. Eine Benachrichtigung über ein Testergebnis („Ihre Laborergebnisse liegen vor“) – PHI. Eine Benachrichtigung über die Abholung eines Rezepts („Ihre Lipitor-Nachfüllung ist in Apotheke X abholbereit“) – PHI. Eine allgemeine Terminerinnerung („Termin morgen um 15 Uhr“) ohne Angabe der Fachrichtung könnte zwar als nicht-PHI gelten, wird aber von den meisten Compliance-Abteilungen vorsichtshalber als PHI behandelt.

## Vereinbarung mit Geschäftspartnern (Business Associate Agreement, BAA)

Jeder Anbieter, der PHI im Auftrag einer Covered Entity verarbeitet, gilt als Business Associate. Ein Business Associate Agreement (BAA) ist zwingend erforderlich – ohne ein solches verstößt die Covered Entity gegen die Vorschriften, sobald sie auch nur eine einzige PHI-haltige Nachricht über den Anbieter versendet. Wenn Sie planen, PHI zu versenden, fragen Sie uns zuerst nach Ihren HIPAA-Anforderungen; die Verfügbarkeit eines BAA wird während der Vertragsphase bestätigt.

## Verschlüsselungsanforderungen

Die Sicherheitsrichtlinie schreibt die Verschlüsselung von PHI (geschützten Gesundheitsdaten) sowohl während der Übertragung als auch im Ruhezustand vor. SMS-Nachrichten zwischen einem SMSC (Short Message Service Center) und dem Endgerät sind nicht Ende-zu-Ende-verschlüsselt (der OTA-Pfad (Over-the-Air) ist vom Betreiber kontrolliert und vertraulich, aber nicht im Sinne der DSGVO/HIPAA verschlüsselt). Die HHS-Richtlinie (US-Gesundheitsministerium) besagt: SMS sind für HIPAA-konforme PHI zulässig, sofern der Patient über die unverschlüsselte Übertragung informiert wurde und seine Einwilligung erteilt hat. Bei besonders sensiblen Daten empfiehlt sich die Verwendung von WhatsApp (Ende-zu-Ende-verschlüsselt) oder Push-Benachrichtigungen an ein HIPAA-konformes Patientenportal.

## Benachrichtigung über Datenschutzverletzung

Bei einer Verletzung des Schutzes von Patientendaten (PHI) müssen Sie den Patienten innerhalb von 60 Tagen, das US-Gesundheitsministerium (HHS) innerhalb von 60 Tagen (oder unverzüglich bei mehr als 500 betroffenen Patienten) und gegebenenfalls die lokalen Medien benachrichtigen. Der CPaaS-Anbieter muss die betroffene Einrichtung so schnell informieren, dass diese die 60-Tage-Frist einhalten kann. Unsere Service-Level-Vereinbarung (SLA) für die Reaktion auf Sicherheitsvorfälle bei HIPAA-Konten sieht eine Bearbeitungszeit von 4 Stunden für die Erstbenachrichtigung und eine vollständige Ursachenanalyse innerhalb von 14 Tagen vor.

## Verwandte Seiten

- [Alle Antworten](https://www.broadnet.me/de/answers)
- [Glossar](https://www.broadnet.me/de/answers)
- [DSGVO für Messaging – was Unternehmen als Absender wissen müssen](https://www.broadnet.me/de/answers/gdpr-for-messaging)
- [Healthcare solutions](https://www.broadnet.me/de/solutions/healthcare)