Kurze Antwort: HIPAA (1996, mit den Privacy, Security und Breach Notification Rules) gilt für „covered entities“ (abgedeckte Entitäten), Krankenversicherungen, Gesundheitsdaten-Clearingstellen und Anbieter, die elektronisch abrechnen, sowie für deren „business associates“ (Geschäftspartner); sie schützt „protected health information“ (geschützte Gesundheitsinformationen), die diese speichern, und legt fest, welche Nutzungen ohne die Genehmigung der Person erlaubt sind. DSGVO (2016) gilt für jeden Verantwortlichen oder Auftragsverarbeiter, der personenbezogene Daten von Personen in der EU verarbeitet, wobei Gesundheitsdaten eine besondere Kategorie darstellen; sie erfordert eine Rechtsgrundlage für jede Nutzung und gewährt den Personen durchsetzbare Rechte. Der praktische Unterschied für ein Produkt: Eine Verbraucher-Gesundheits-App in den USA unterliegt normalerweise nicht der HIPAA, sondern wird stattdessen von der FTC und staatlichen Gesetzen reguliert; dieselbe App in der EU unterliegt ab dem ersten Nutzer der DSGVO. Ein Produkt, das für beide Märkte bestimmt ist, muss gleichzeitig für die Breite der DSGVO und die vorschreibenden Schutzmaßnahmen der HIPAA entwickelt werden.
Gegenüberstellung
HIPAA regelt für US-amerikanische abgedeckte Entitäten und Geschäftspartner, die geschützte Gesundheitsinformationen verarbeiten, während die DSGVO jeden Controller oder Prozessor von Daten von EU-Bürgern regelt. HIPAA erlaubt die Nutzung für Behandlung, Bezahlung und Betrieb ohne Genehmigung und gibt 60 Tage für die Meldung von Verstößen; die DSGVO verlangt eine Rechtsgrundlage für jeden Zweck, gewährt das Recht auf Löschung und Übertragbarkeit und gibt 72 Stunden.
| HIPAA (USA) | DSGVO (EU) | |
|---|---|---|
| Wer ist reguliert | „Covered entities“ und „business associates“ | Jeder Verantwortliche oder Auftragsverarbeiter von Daten von EU-Einwohnern, überall |
| Welche Daten | „Protected health information“ (PHI): identifizierbare Gesundheitsdaten, die von einer „covered entity“ gespeichert werden | Alle personenbezogenen Daten; Gesundheitsdaten sind eine besondere Kategorie (Artikel 9) |
| Verbraucher-Gesundheits-Apps | Nicht unter HIPAA, es sei denn, sie handeln im Auftrag einer „covered entity“; FTC Act, FTC Health Breach Notification Rule, staatliche Gesetze gelten | Unterliegen der DSGVO; explizite Einwilligung ist die übliche Rechtsgrundlage |
| Rechtsgrundlage für die Nutzung | Erlaubte Nutzungen ohne Genehmigung: Behandlung, Bezahlung, Betrieb, plus aufgeführte Ausnahmen; ansonsten Genehmigung erforderlich | Eine Rechtsgrundlage nach Artikel 6 und eine Ausnahme nach Artikel 9 Absatz 2 für jeden Zweck |
| Minimale Notwendigkeit / Datenminimierung | Standard der minimalen Notwendigkeit | Grundsatz der Datenminimierung (Artikel 5) |
| Rechte der betroffenen Person | Zugang (30 Tage), Berichtigung, Rechnungslegung über Offenlegungen, Einschränkungen | Zugang (1 Monat), Berichtigung, Löschung, Übertragbarkeit, Widerspruch, Einschränkung, Widerruf der Einwilligung |
| De-Identifizierung | Safe Harbor (18 Identifikatoren) oder Expertenbestimmung | Anonymisierung (nicht mehr personenbezogene Daten) vs. Pseudonymisierung (immer noch personenbezogene Daten) |
| Sicherheit | Security Rule: administrative, physische, technische Schutzmaßnahmen; Risikoanalyse; „addressable“ (adressierbar) vs. erforderliche Spezifikationen | Artikel 32: Angemessene Maßnahmen entsprechend dem Risiko; keine feste Liste |
| Benachrichtigung bei Datenschutzverletzungen | Einzelpersonen und HHS innerhalb von 60 Tagen nach Entdeckung (Medien bei 500+ in einem Bundesstaat); jährliches Protokoll für kleinere Verletzungen | Behörde innerhalb von 72 Stunden; Einzelpersonen unverzüglich, wenn ein hohes Risiko besteht |
| Verträge | „Business associate agreement“ (BAA) | Auftragsverarbeitungsvertrag (Artikel 28) |
| Aufsichtsrollen | Datenschutzbeauftragter und Sicherheitsbeauftragter | Datenschutzbeauftragter, wo erforderlich (Artikel 37) |
| Auswirkungsabschätzung | Risikoanalyse gemäß der Security Rule | Datenschutz-Folgenabschätzung (DSFA) gemäß Artikel 35 |
| Internationale Übermittlung | Keine Einschränkung in HIPAA selbst | Kapitel V: Angemessenheit, SCCs, Data Privacy Framework |
| Durchsetzung | HHS Office for Civil Rights; Generalstaatsanwälte der Bundesstaaten | Nationale Datenschutzbehörden; EDPB |
| Bußgelder | Gestaffelte zivilrechtliche Strafen, inflationsbereinigt, ungefähr bis zu 2 Millionen US-Dollar pro Bestimmung pro Jahr; strafrechtliche Sanktionen | Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes |
Der Unterschied im Umfang, in der Praxis
In der Praxis gilt HIPAA für eine Gesundheits-App nur, wenn sie im Auftrag einer abgedeckten Entität als Geschäftspartner unter einer BAA handelt; eine Verbraucher-App, die ein Patient wählt, fällt nicht unter HIPAA und wird von der FTC und staatlichen Gesetzen geregelt. In der EU ist dieselbe App vom ersten Nutzer an ein DSGVO-Controller.
Ein US-Krankenhaus, das eine Cloud-FHIR-Plattform nutzt: Das Krankenhaus ist eine „covered entity“, die Plattform ein „business associate“ gemäß einem BAA, beide unterliegen der HIPAA. Ein Verbraucher in den USA, der seine Laborberichte in eine App hochlädt: Die HIPAA gilt nicht für die App; die FTC (irreführende Praktiken und die Health Breach Notification Rule, die 2024 aktualisiert wurde, um Gesundheits-Apps ausdrücklich abzudecken) ist zuständig, ebenso wie staatliche Gesetze wie der My Health My Data Act (2023) des Bundesstaates Washington, der eine Einwilligung zur Erhebung von Gesundheitsdaten von Verbrauchern verlangt und Geofencing um Gesundheitseinrichtungen verbietet, sowie die Gesundheitsbestimmungen des California CPRA, Nevada und Connecticut. Ein Patient in der EU, der dasselbe tut: Die App ist ab dem ersten Tag ein Verantwortlicher im Sinne der DSGVO mit Verpflichtungen nach Artikel 9. Siehe DSGVO Artikel 9 für Gesundheitsdaten.
Der Unterschied bei der Rechtsgrundlage
HIPAA und die DSGVO gehen von entgegengesetzten Standpunkten zur Rechtsgrundlage aus. HIPAA erlaubt abgedeckten Entitäten, geschützte Gesundheitsinformationen für Behandlung, Bezahlung und Gesundheitsbetrieb ohne Genehmigung zu nutzen und verlangt eine schriftliche Genehmigung für andere Nutzungen. Die DSGVO verbietet die Verarbeitung von Gesundheitsdaten, es sei denn, eine Ausnahme gemäß Artikel 9 Absatz 2 greift, sodass standardmäßig nichts erlaubt ist und die Einwilligung ausdrücklich, spezifisch und widerrufbar sein muss.
Die HIPAA geht von erlaubten Nutzungen aus: Eine „covered entity“ darf PHI für Behandlung, Bezahlung und Gesundheitsbetriebsvorgänge ohne Nachfrage nutzen und offenlegen, sowie für eine Liste von Zwecken des öffentlichen Interesses; alles andere erfordert eine schriftliche Genehmigung. Die DSGVO geht von einem Verbot (für Gesundheitsdaten) mit Ausnahmen aus; nichts ist „standardmäßig“ erlaubt, und die Einwilligung, wo sie verwendet wird, muss explizit, spezifisch und widerrufbar sein. Der Instinkt eines US-Produktteams, dass „Betrieb“ Analysen abdeckt, ist nicht übertragbar; in der EU benötigen Analysen von Gesundheitsdaten eine Einwilligung oder Anonymisierung.
Der Unterschied bei den Rechten
Bei den individuellen Rechten gewähren HIPAA und die DSGVO beide Zugang und Korrektur, aber die DSGVO fügt Löschung, Übertragbarkeit in einem maschinenlesbaren Format, Widerspruch und das Recht auf Widerruf der Einwilligung hinzu, was HIPAA in dieser Form fehlt. Ein Produkt, das für die Rechte der DSGVO entwickelt wurde, mit Export-, Lösch- und Widerrufsfunktionen im Produkt, erfüllt die Zugangsrechte von HIPAA mit Spielraum.
Die Regeln zur Verhinderung von Informationsblockaden des Cures Act und das Recht auf Zugang zu elektronischen PHI über APIs bewegen US-Patienten in Richtung Portabilität.
Sicherheit und Datenschutzverletzungen
Die Sicherheitsregel von HIPAA ist vorschreibend und enthält eine erforderliche Risikoanalyse, benannte administrative, physische und technische Schutzmaßnahmen, Richtlinien, Schulungen und Auditkontrollen; Artikel 32 der DSGVO ist ergebnisorientiert und verlangt Maßnahmen, die dem Risiko angemessen sind, üblicherweise nachgewiesen durch ISO 27001. Die Fristen für Verstöße unterscheiden sich stark: 60 Tage für Einzelpersonen und das HHS unter HIPAA, 72 Stunden für die Behörde unter der DSGVO.
Die Security Rule der HIPAA ist vorschreibend: Risikoanalyse, benannte Schutzmaßnahmen, Richtlinien, Schulungen, Audit-Kontrollen und eine vorgeschlagene Aktualisierung für 2025, die Verschlüsselung und Multi-Faktor-Authentifizierung obligatorisch statt „addressable“ machen würde. Artikel 32 der DSGVO ist ergebnisorientiert: Angemessenheit entsprechend dem Risiko, wobei Verschlüsselung und Pseudonymisierung als Beispiele genannt werden; ISO 27001 ist der übliche Weg, dies nachzuweisen. Die Fristen für Datenschutzverletzungen unterscheiden sich stark: 60 Tage für Einzelpersonen und HHS gemäß HIPAA, 72 Stunden für die Behörde gemäß DSGVO. Ein gemeinsames Incident-Runbook orientiert sich an der kürzeren Frist. Siehe ISO 27001 vs ISO 27799.
De-Identifizierung
Die Safe Harbor-Methode der HIPAA entfernt 18 aufgeführte Identifikatoren, und die Daten sind keine PHI mehr; die Expertenbestimmung bescheinigt ein sehr geringes Risiko der Re-Identifizierung. Die DSGVO hat keine Liste: Daten sind nur dann anonym, wenn niemand sie vernünftigerweise wieder identifizieren kann, und pseudonymisierte Daten bleiben personenbezogene Daten. Die Ergebnisse der Safe Harbor-Methode erfüllen oft nicht die Anforderungen der DSGVO, insbesondere bei Daten und seltenen Erkrankungen. Siehe De-Identifizierung von Gesundheitsdaten.
Entwicklung für beide Märkte
Ein Produkt, das sowohl die USA als auch die EU bedient, wird am besten zuerst nach der DSGVO konzipiert (Einwilligung pro Zweck, Rechte im Produkt, DPIA, 72-Stunden-Runbook für Verstöße, Option für Hosting in der EU) und die vorschreibenden Artefakte von HIPAA werden darauf aufbauend hinzugefügt: ein Dokument zur Risikoanalyse, eine BAA-Vorlage, Richtlinien zur Sicherheitsregel, ein 60-Tage-Verfahren für Verstöße und Schulungsunterlagen für Mitarbeiter.
Entwickeln Sie nach den Vorgaben der DSGVO (Einwilligung pro Zweck, Rechte im Produkt, DSFA, 72-Stunden-Runbook, Option für Hosting in der EU) und legen Sie die vorschreibenden Artefakte der HIPAA darüber (Risikoanalyse-Dokument, BAA-Vorlage, Satz von Richtlinien gemäß Security Rule, 60-Tage-Verfahren für Datenschutzverletzungen, Schulungsunterlagen für Mitarbeiter). Halten Sie US- und EU-Daten in separaten Regionen, da sowohl die DSGVO-Übertragungen als auch einige US-Bundesstaatengesetze den Standort berücksichtigen. Anpheros ist auf diese Weise aufgebaut: DSGVO-zuerst als europäisches Unternehmen, wobei die Plattform als „business associate“ unter einem BAA für US-Kunden betrieben werden kann. Die Entwickler-Website dokumentiert DSGVO für Entwickler und Sicherheit.
Diese Seite erklärt die Regulierung für Produkt- und Ingenieurteams. Sie stellt keine Rechtsberatung dar; die unter Quellen verlinkten Texte sind maßgeblich, und Ihr Datenschutzbeauftragter, Ihre benannte Stelle oder Ihr Anwalt entscheidet für Ihren Fall. Letzte Überprüfung: Oktober 2026.
Verwandte Seiten
- DSGVO Artikel 9 für Gesundheitsdaten
- De-Identifizierung von Gesundheitsdaten
- ISO 27001 vs ISO 27799
- TEFCA und QHINs erklärt
- Karte der Gesundheitsdatenvorschriften
- DSGVO für Entwickler (Entwickler-Website)
Quellen
- HHS: HIPAA für Fachleute (Privacy, Security, Breach Notification Rules)
- HHS: Breach Notification Rule
- FTC Health Breach Notification Rule (16 CFR Part 318)
- Washington State: My Health My Data Act (HB 1155)
- Verordnung (EU) 2016/679 (DSGVO), EUR-Lex
- Europäische Kommission: EU-US Data Privacy Framework
Häufige Fragen
Ist eine HIPAA-konforme App automatisch DSGVO-konform?
Nein. HIPAA-Konformität sagt nichts über die Rechtsgrundlage, die Qualität der Einwilligung, Löschung, Übertragbarkeit, DSFA, DPOs oder Übermittlungen aus. Sie deckt einen Teil der Sicherheitserwartungen der DSGVO und ein anderes Regime für Datenschutzverletzungen ab.
Gilt die HIPAA für meine App, wenn ein Arzt sie empfiehlt?
Nicht von sich aus. Die HIPAA gilt, wenn die App im Auftrag einer „covered entity“ im Rahmen einer „business associate agreement“ handelt (z. B. auf Wunsch der Klinik in den Klinikablauf integriert). Eine App, die der Patient selbst wählt und kontrolliert, unterliegt nicht der HIPAA, sondern den Regeln der FTC und staatlichen Gesetzen.
Welche Frist für Datenschutzverletzungen muss ich bei einem gemeinsamen EU-US-Vorfall einhalten?
Beide: 72 Stunden für die EU-Behörde für Daten von EU-Einwohnern, 60 Tage für Einzelpersonen und HHS für PHI, zuzüglich etwaiger staatlicher Fristen (oft 30 bis 60 Tage) und die 60 Tage der FTC-Regel für Verbraucher-Gesundheits-Apps. Runbooks werden nach der kürzesten Frist erstellt.
Dürfen EU-Gesundheitsdaten in den USA verarbeitet werden?
Ja, mit einem Übertragungsinstrument nach Kapitel V: dem EU-US Data Privacy Framework für zertifizierte Unternehmen oder Standardvertragsklauseln mit einer Folgenabschätzung für die Datenübertragung. Viele europäische Kunden verlangen jedoch als vertragliche Bedingung ein Hosting in der EU.
Kostenlos in der Sandbox testen
Ihr erster FHIR-Aufruf in 5 Minuten. Eine HL7 FHIR R4 API mit der Zustimmung des Patienten: probieren Sie sie in der Sandbox aus und verbinden Sie dann Ihre eigene App oder Ihr Kliniksystem.
Kostenlos · 30 synthetische Patienten · keine Karte
Anpheros entwickelt eine Patientenakte, die der Patient kontrolliert und mit jeder Klinik teilen kann, auf einer HL7 FHIR R4-Plattform mit Sitz in der EU. Diese Anleitungen helfen Ihnen, Ihre Gesundheit zu verstehen und zu organisieren; sie ersetzen nicht Ihren Arzt.
Über Anpheros →