HIPAA-Konformitätsprüfer

Eingabe

Practices

We are a telehealth startup. Patient video visits run through a third-party API, session notes are stored in a cloud Postgres database, and clinicians access records via a web app with email/password login. PHI is sometimes emailed to patients as PDFs. Backups are stored in cloud object storage. We have not yet signed BAAs with all vendors.

Entity Type

covered

Focus

full

Ausgabe (Auszug)

HIPAA-Compliance-Snapshot

Markierte Lücken:
1. Fehlende BAAs – Jeder Dienstleister, der mit PHI in Berührung kommt (Video-API, Cloud-DB, Objektspeicher), benötigt einen unterzeichneten Business Associate Agreement. HOHE Priorität.
2. Authentifizierung – E-Mail/Passwort allein ist schwach; erzwingen Sie MFA für den Zugriff durch Behandelnde.
3. PHI per E-Mail – Unverschlüsselte PDF-E-Mails riskieren eine unzulässige Offenlegung; nutzen Sie ein sicheres Patientenportal oder verschlüsselte Zustellung.
4. Verschlüsselung – Bestätigen Sie, dass PHI im Ruhezustand und bei der Übertragung verschlüsselt ist.

Nächster Schritt: BAAs und MFA priorisieren. Dies ist informativ, keine Rechtsberatung.

Eingabe

Practices

We are a medical billing company that processes claims on behalf of several clinics. We receive patient demographics, diagnosis codes, and insurance details via SFTP. Staff work remotely on company laptops. We have BAAs with our clinic clients but our staff sometimes use personal phones to check work email.

Entity Type

business_associate

Focus

security

Ausgabe (Auszug)

Security-Rule-Prüfung (Business Associate)

Stärken: SFTP für Übertragungen und vorhandene Kunden-BAAs.

Risiken:
1. Nutzung privater Geräte – Der Zugriff auf PHI über nicht verwaltete private Telefone verletzt die Gerätekontrollen; verlangen Sie MDM oder beschränken Sie es auf Firmengeräte.
2. Remote-Endgeräte – Stellen Sie auf allen Laptops Festplattenverschlüsselung und automatische Sperre sicher.
3. Zugriffskontrollen – Implementieren Sie rollenbasierten Zugriff und Audit-Logging dazu, wer welche Datensätze einsieht.
4. Empfohlen werden eine dokumentierte Risikoanalyse und Sicherheitsschulungen für die Belegschaft.

Eingabe

Practices

We run a small wellness coaching business that collects client health intake forms, including conditions and medications, stored in a shared cloud drive. We are not sure whether we count under HIPAA. Forms are sometimes printed and kept in an unlocked filing cabinet at the front desk.

Entity Type

unsure

Focus

privacy

Ausgabe (Auszug)

Datenschutzprüfung (Status unklar)

Zuerst: HIPAA gilt in der Regel, wenn Sie elektronisch mit Versicherungen abrechnen oder im Auftrag eines Covered Entity handeln. Wenn Sie nur Bargeld annehmen und nie Ansprüche übermitteln, fallen Sie möglicherweise nicht unter HIPAA – aber Datenschutzgesetze der Bundesstaaten gelten dennoch.

Unabhängig vom Status beheben Sie diese Punkte:
1. Unverschlossener Aktenschrank – Schließen Sie alle Papierunterlagen mit Gesundheitsdaten ab.
2. Gemeinsam genutztes Cloud-Laufwerk – Beschränken Sie den Zugriff auf namentlich benannte Mitarbeitende; vermeiden Sie breite Freigabelinks.
3. Fügen Sie einen klaren Datenschutzhinweis hinzu, der beschreibt, wie Klientendaten genutzt werden.