Jenseits von HIPAA: State Privacy Laws und 42 CFR Part 2 im Griff

# Jenseits von HIPAA: State Privacy Laws und 42 CFR Part 2 im Griff

Ein Patient kommt nach einer Überdosis in Ihre Notaufnahme. Der Arzt der Notaufnahme ruft den Hausarzt des Patienten in einer angeschlossenen Praxis an, um die Nachsorge zu koordinieren, und erwähnt dabei die Vorgeschichte einer Opioidabhängigkeit. Unter HIPAA ist dieser Anruf unproblematisch: Behandlungskoordination ist eine erlaubte Offenlegung. Stammt diese Vorgeschichte jedoch aus einem bundesstaatlich gefördertem Behandlungsprogramm für Substanzkonsumstörungen (SUD), kann dieselbe Offenlegung 42 CFR Part 2 verletzen (eine US-Bundesvorschrift, kurz „Part 2") und das Krankenhaus haftbar machen.

Derselbe Patient. Dieselbe klinische Absicht. Zwei unterschiedliche rechtliche Ergebnisse. Das ist das Kernproblem des Datenschutzes im Gesundheitswesen: HIPAA ist ein Mindeststandard, nicht das ganze Gebäude.

Der bundesweite Mindeststandard: HIPAA

HIPAA (Health Insurance Portability and Accountability Act, 1996) legt Basisregeln für Datenschutz und Datensicherheit von protected health information (PHI) fest, also individuell identifizierbaren Gesundheitsdaten, die von Covered Entities (Krankenhäuser, Krankenversicherungen) und deren Business Associates gehalten werden.

Das zentrale HIPAA-Konzept: TPO, also Treatment, Payment und healthcare Operations. HIPAA erlaubt Covered Entities, PHI für TPO-Zwecke ohne separate Patientenzustimmung weiterzugeben. Deshalb ist der Anruf von der Notaufnahme in die Praxis normalerweise zulässig.

HIPAA wird vom Office for Civil Rights (OCR) im US Department of Health and Human Services (HHS) durchgesetzt. Zivilrechtliche Sanktionen sind nach Verschuldensgrad gestaffelt, und OCR veröffentlicht Resolution Agreements. Reale Fälle finden Sie im HHS OCR Enforcement Portal.

Die strengere Bundesebene: 42 CFR Part 2

Part 2 schützt Unterlagen aus bundesstaatlich geförderten SUD-Behandlungsprogrammen. Die Regelung existiert, weil das Stigma rund um Sucht Menschen Arbeitsplätze, Sorgerecht und Wohnung kosten kann. Der Kongress hat deshalb eine höhere Hürde als HIPAA gesetzt.

Der entscheidende Unterschied: Part 2 verlangt grundsätzlich eine Patientenzustimmung, selbst für die Behandlungskoordination. Die TPO-Abkürzung greift hier nicht in gleicher Weise.

Zwei wichtige Aktualisierungen haben die Lage verändert:

• Die Part 2 Final Rule von 2024 (verbindliches Compliance-Datum 16. Februar 2026) hat Part 2 näher an HIPAA angeglichen. Zulässig ist nun eine einzige Patientenzustimmung für alle kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ünftigen TPO-Nutzungen, statt einer separaten Zustimmung für jede Offenlegung.
• Außerdem wurden Breach Notification und Durchsetzung angeglichen (OCR setzt Part 2 nun mit durch, nicht mehr nur SAMHSA, die Substance Abuse and Mental Health Services Administration).

Aber „stärker angeglichen" heißt nicht „identisch". Part 2 beschränkt weiterhin die Verwendung von SUD-Unterlagen in Gerichtsverfahren und verlangt weiterhin bestimmte Formulierungen in der Zustimmung.

Warum Krankenhäuser hier stolpern

Die Falle ist die Data LineageData LineageData lineage maps how data moves and transforms across systems, from origin to consumption, showing where it came from, what changed it, and where it goes.Vollständige Definition ansehen →. Sobald ein Part-2-Datensatz in Ihre elektronische Patientenakte (EHR) gelangt, woher wissen nachgelagerte Nutzer, dass ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → aus einer Part-2-Quelle stammt? Die meisten EHR-Systeme wurden nicht dafür gebaut, Daten nach regulatorischer Herkunft zu taggen.

Konkretes Beispiel: Eine Pflegekraft ruft eine Medikationsliste auf, die Buprenorphin enthält (eine häufige Therapie bei Opioidabhängigkeit). Stammt dieser Eintrag aus einem Part-2-Programm und fehlt ein Consent-Flag, kann die Weitergabe dieser Medikationsliste an einen externen Leistungserbringer Part 2 verletzen, obwohl HIPAA sie erlauben würde.

State Laws: die Ebenen darüber

HIPAA und Part 2 sind bundesweite Mindeststandards. Die Bundesstaaten kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen darüber hinausgehen und tun das auch. Ist ein einzelstaatliches Gesetz strenger, setzt es sich durch (die HIPAA-Preemption verdrängt nur einzelstaatliche Gesetze, die weniger Schutz bieten).

Für ein Krankenhaussystem mit Standorten in mehreren Staaten entsteht damit ein Compliance-Flickenteppich. Einige reale Beispiele:

• Kalifornien: der Confidentiality of Medical Information Act (CMIA) ist älter als HIPAA und stellenweise strenger, besonders bei Psychotherapie und seit kurzem bei Daten zu reproduktiver und geschlechtsangleichender Versorgung. Kaliforniens breiter angelegte Gesetze CCPA/CPRA (Verbraucherdatenschutz) nehmen die meisten HIPAA-Daten aus, kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen aber angrenzende Daten erfassen, etwa aus Wellness-Apps oder Website-Tracking.
• Texas: der Texas Medical Records Privacy Act (HB 300) definiert „Covered Entity" breiter als HIPAA und ergänzt Schulungspflichten.
• Washington: der My Health My Data Act (MHMDA), gültig ab 2024, reguliert „Consumer Health Data", die *außerhalb* von HIPAA liegen, etwa Daten aus Zyklus-Tracking-Apps, und enthält ein Private Right of Action, das heißt Betroffene kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen direkt klagen.

Einzelstaatliche Datenschutzgesetze zur reproduktiven Gesundheit haben sich nach 2022 stark ausgeweitet. Mehrere Staaten beschränken inzwischen die Weitergabe von Daten zur reproduktiven Versorgung an Ermittler aus anderen Staaten. Ein Krankenhaussystem, das sowohl in einem restriktiven als auch in einem schützenden Staat tätig ist, muss Anfragen sorgfältig steuern.

Das Schichtenmodell

Denken Sie in einem Stack. Für jedes einzelne Datenelement ist die wirksame Regel die strengste anwendbare Ebene:

Effective rule = strictest of:
    HIPAA (federal floor)
  + 42 CFR Part 2 (if SUD-program origin)
  + State statute (CMIA, HB 300, MHMDA, etc.)
  + Consent scope on record

Ein durchgerechnetes Beispiel. Ein Patient wird in Ihrer Einrichtung in Washington wegen Opioidabhängigkeit behandelt, später fordert eine Praxis in Texas seine Unterlagen an:

1. HIPAA: TPO-Offenlegung erlaubt.

2. Part 2: anwendbar (Herkunft SUD-Programm), also Zustimmung erforderlich, sofern keine Ausnahme greift.

3. Washington MHMDA: die Regeln für Consumer Health Data kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen für alle aus Apps stammenden Elemente gelten.

4. Ergebnis: Sie brauchen eine wirksame Part-2-Zustimmung, die diese Offenlegung abdeckt. Die strengste Ebene entscheidet.

Data GovernanceData GovernanceData governance is the set of policies, roles, and processes that ensure data is accurate, secure, well-defined, and used responsibly across an organization.Vollständige Definition ansehen →: den Stack operativ machen

Regeln auf Papier sind wertlos, wenn Ihre Datenplattform sie nicht durchsetzen kann. Drei Governance-Bausteine:

1. Datenklassifizierung und Tagging

Jeder sensible Datensatz braucht Metadaten, die beantworten: Welches Regulierungsregime gilt? In welchem Staat wurden die Daten erhoben? Welche Zustimmung liegt vor?

Ein minimales Tagging-SchemaSchemaA schema is the formal blueprint that defines how data is structured, named, typed, and related within a database, file, or message.Vollständige Definition ansehen → in einem Data CatalogData CatalogA centralized inventory of an organization's data assets, enriched with metadata, that helps people find, understand, and trust the data they need.Vollständige Definition ansehen → kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnte so aussehen:

-- Sensitivity tags applied at ingestion
record_id        | source_type      | reg_regime  | state | consent_id
-----------------+------------------+-------------+-------+-----------
RX-88213         | SUD_program      | PART2       | WA    | C-40021
LAB-55190        | general_clinic   | HIPAA       | TX    | NULL
APP-10233        | wellness_app     | MHMDA       | WA    | C-40109

Die Spalten reg_regime und consent_id sind es, die einer nachgelagerten Query erlauben, eine Offenlegung automatisch zu blockieren.

2. Consent Management

Sie brauchen ein System of Record für Zustimmungen, das Umfang, Ablauf und Widerruf nachhält. Eine Part-2-Zustimmung muss den Empfänger (oder eine Klasse von Empfängern) und den Zweck benennen. Wird die Zustimmung widerrufen, müssen nachgelagerte Datenflüsse stoppen, was voraussetzt, dass der Widerruf sich auf jedes System überträgt, das die Daten hält.

3. Segmentierung

Wo vollständiges Tagging nicht machbar ist, trennen manche Systeme Part-2-Daten in eine separate Zone mit Zugriffskontrolle. Das ist grober, aber leichter zu auditieren.

Die praktischen Checks und Audits

Governance wird durch Checks belegt, nicht durch Absichten. Hier ein konkretes Audit-Programm für ein System mit Standorten in mehreren Staaten.

Zugriffs-Audits

Führen Sie regelmäßig Queries auf den Audit-Logs Ihrer EHR aus, um Offenlegungen von Part-2-Daten ohne passenden Consent-Eintrag zu erkennen. Pseudocode für den Kern-Check:

SELECT d.record_id, d.recipient, d.disclosure_date
FROM disclosures d
JOIN records r ON d.record_id = r.record_id
LEFT JOIN consents c
  ON r.consent_id = c.consent_id
 AND c.recipient = d.recipient
 AND c.status = 'ACTIVE'
WHERE r.reg_regime = 'PART2'
  AND c.consent_id IS NULL;   -- disclosure with no valid consent

Jede zurückgegebene Zeile ist ein potenzieller Part-2-Verstoß, der zu prüfen ist.

Minimum-Necessary-Checks

HIPAA und einzelstaatliche Gesetze verlangen, nur die minimal notwendigen Daten weiterzugeben. Prüfen Sie, ob Massenexporte (zum Beispiel an Analytics-Dienstleister oder für das Training von KI-Modellen) mehr Felder ziehen, als der angegebene Zweck rechtfertigt.

Validierung der De-Identifikation

Wenn Sie geltend machen, Daten seien de-identifiziert (und damit außerhalb des Anwendungsbereichs), prüfen Sie das gegen die HIPAA-Methode Safe Harbor, die das Entfernen von 18 bestimmten Identifikatoren verlangt, oder gegen die Methode Expert Determination. Das Re-Identifikationsrisiko steigt, wenn Sie Datensätze kombinieren, also testen Sie darauf.

Audits von Vendoren und Business Associates

Jedes Business Associate Agreement (BAA) ist ein Haftungskanal. Prüfen Sie, ob Dienstleister, die PHI oder Part-2-Daten verarbeiten, aktuelle BAAs haben, und für Part 2 die neueren Vertragsklauseln, die die Regel von 2024 verlangt.

Routing von Anfragen über Staatsgrenzen

Bauen Sie ein Entscheidungslog für Offenlegungsanfragen, das den anfragenden Staat, den Herkunftsstaat der Daten und die angewandte Regel festhält. Das ist Ihr Nachweis, wenn eine Offenlegung zu reproduktiver Gesundheit oder SUD später angegriffen wird.

Audits von Website und Tracking-Pixeln

Nach der OCR-Guidance zu Online-Tracking-Technologien standen Krankenhäuser unter Beobachtung, weil Third-Party-Pixel PHI aus Patientenportalen und Terminseiten abfließen ließen. Prüfen Sie Ihre öffentlichen Web-Properties auf Tracker, die gesundheitsbezogene Daten an Werbetreibende übermitteln.

Wichtigste Erkenntnisse

• HIPAA ist ein Mindeststandard. Für jedes Datenelement ist die wirksame Regel die strengste anwendbare Ebene: HIPAA, plus Part 2 bei Herkunft aus einem SUD-Programm, plus das relevante einzelstaatliche Gesetz, plus der dokumentierte Umfang der Zustimmung.
• Part 2 verlangt Zustimmung, wo HIPAA keine fordert. Ab dem Compliance-Datum Februar 2026 ist eine einzige TPO-Zustimmung zulässig, aber SUD-Daten genießen weiterhin zusätzlichen Schutz, besonders in Gerichtsverfahren.
• Data Lineage ist das verborgene Risiko. Wenn Ihre EHR die regulatorische Herkunft und den Consent-Status eines Datensatzes nicht taggen kann, kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Sie Part 2 oder einzelstaatliche Regeln nicht zuverlässig durchsetzen.
• Governance ohne Checks ist Theater. Führen Sie wiederkehrende Audits durch: Part-2-Offenlegungen ohne Zustimmung, Minimum Necessary bei Massenexporten, Validierung der De-Identifikation, BAA-Abdeckung und Tracking-Pixel auf Websites.
• Mehrere Staaten bedeuten Routing. Protokollieren Sie für jede sensible Offenlegung den Herkunftsstaat, den anfragenden Staat und die angewandte Regel, besonders bei Anfragen zu reproduktiver Gesundheit und SUD.