Adobe-Produkte und -Services im Einklang mit HIPAA
[Zuletzt aktualisiert: Januar 2025]
Adobe entwickelt seine Lösungen kontinuierlich weiter, um den Anforderungen unserer Kundinnen und Kunden im Gesundheitswesen gerecht zu werden, insbesondere in Bezug auf Datenschutz und Sicherheit.
US-Gesetz über die Übertragbarkeit und Nachweispflicht von Krankenversicherungen
Der Abschnitt „Administrative Simplification“ des US-Gesetzes über die Übertragbarkeit und Nachweispflicht von Krankenversicherungen von 1996 (Health Insurance Portability and Accountability Act, HIPAA) ermächtigt das US-Gesundheitsministerium (Department of Health and Human Services), Standards zum Schutz der Privatsphäre und Sicherheit bestimmter personenbezogener Gesundheitsdaten zu erlassen. HIPAA wurde 2009 durch das Gesetz über Gesundheitsinformationstechnologie für wirtschaftliche und klinische Gesundheit (Health Information Technology for Economic and Clinical Health Act, HITECH Act) ergänzt. Dieses führte Meldepflichten bei Datenschutzverletzungen ein und erweiterte den Geltungsbereich von HIPAA. Die HIPAA-Regeln zu Datenschutz, Sicherheit und Informationspflicht bei Datenpannen legen wichtige Schutzmaßnahmen für personenbezogene Gesundheitsdaten fest, die als „Protected Health Information“ (PHI) bezeichnet werden, wenn diese von einer sogenannten „Covered Entity“ oder einem „Business Associate“ erstellt, empfangen, gespeichert oder übertragen werden. Eine Covered Entity ist beispielsweise ein Gesundheitsdienstleister, eine Krankenversicherung oder eine Clearing-Stelle im Gesundheitswesen. Ein Business Associate ist jede Organisation oder Person – mit Ausnahme der Mitarbeitenden einer Covered Entity –, die im Auftrag einer solchen Einrichtung Aufgaben übernimmt oder Dienstleistungen erbringt, die mit der Erstellung, Verarbeitung, Speicherung oder Übertragung von PHI verbunden sind.
Die HIPAA-Datenschutz- und Sicherheitsregeln verlangen, dass Covered Entities mit ihren Business Associates eine schriftliche Vereinbarung schließen –, ein sogenanntes Business Associate Agreement (BAA). Darin verpflichtet sich der Business Associate, die Vertraulichkeit und Sicherheit der PHI der Covered Entity zu gewährleisten.
Bereitstellung von PHI an Adobe
Adobe bietet Kundinnen und Kunden im Gesundheitswesen bestimmte Services an, die für die Verarbeitung von PHI ausgelegt sind. Diese bezeichnen wir als HIPAA-bereite Services. Sie verfügen über zusätzliche Funktionen, die es sowohl den Kundinnen und Kunden (also Covered Entities oder Business Associates) als auch Adobe ermöglichen, ihre jeweiligen HIPAA-Verpflichtungen zu erfüllen. Diese Zusatzfunktionen können mit höheren Lizenz- oder Abonnementkosten verbunden sein.
Kundinnen und Kunden, die HIPAA-bereite Services zur Verarbeitung von PHI nutzen möchten, müssen mit Adobe ein BAA für diese Services abschließen. Die Bereitstellung von PHI an Adobe ist ausschließlich über HIPAA-bereite Services und nur im Rahmen des jeweiligen Lizenzvertrags und des BAA zulässig. Die Nutzung anderer Adobe-Produkte und -Services für die Erstellung, den Empfang, die Verwaltung oder die Übermittlung von PHI ist nicht erlaubt, da diese nicht für die Unterstützung der HIPAA-Compliance (sei es für Kundinnen und Kunden oder Adobe) konzipiert wurden.
Die aktuelle Liste der HIPAA-bereiten Services umfasst:
- Adobe Acrobat Sign
- Adobe Acrobat Sign für Behörden
- Adobe Experience Manager Cloud Service
- Adobe Workfront
- Adobe Customer Journey Analytics 1
- Adobe Journey Optimizer 2
- Adobe Marketo (nur Engage und Sales Connect)
- Adobe Experience Platform
- Adobe Real-Time CDP 3
- Adobe Experience Manager Managed Services.
- Adobe Connect Managed Services
- Adobe Commerce on Cloud
- Adobe Commerce für Managed Services
Weitere Informationen dazu, wie sich Adobe Experience Cloud-Lösungen im Gesundheitswesen einsetzen lassen, findet ihr in unserem Whitepaper Adobe Experience Cloud for Healthcare Solutions Overview im Adobe Trust Center.
Gemeinsame Verantwortlichkeiten unter HIPAA
Die HIPAA-bereiten Services von Adobe basieren auf einem Sicherheitsmodell mit geteilter Verantwortung. Sowohl Adobe als auch die Kundinnen und Kunden sind mit dafür verantwortlich, den Schutz von PHI zu gewährleisten. Innerhalb dieses Modells ist es Aufgabe der Kundinnen und Kunden, bestimmte Konfigurationen vorzunehmen, die in ihrem Einflussbereich liegen, damit Adobe die Anforderungen der HIPAA Security Rule einhalten kann. Adobe stellt darüber hinaus Konfigurationsempfehlungen bereit, die Kundinnen und Kunden dabei unterstützen, ihre eigenen HIPAA-Compliance-Pflichten bei der Nutzung von HIPAA-bereiten Services zu erfüllen.
Sicherheitsmodell mit geteilter Verantwortung
Im Folgenden wird beschrieben, wie Adobe bestimmte Kernstandards der HIPAA Security Rule im Umgang mit elektronischen geschützten Gesundheitsinformationen („ePHI“) umgesetzt hat. Außerdem geben wir einige Empfehlungen, die Kundinnen und Kunden bei der Einhaltung der HIPAA-Compliance unterstützen.
1 Ausgenommen CJA Labs. CJA Labs ist kein HIPAA-bereiter CJA Service. Weitere Informationen findet ihr hier.
2 Ausgenommen Federated Audience Composition. Federated Audience Composition ist kein HIPAA-konformer AJO-Service.
3 Ausgenommen Real-Time CDP Collaboration, Event Forwarding und Federated Audience Composition. Diese Services sind keine HIPAA-bereiten Services von RTCDP.
4 Ausgenommen: Adobe Commerce on Cloud und Adobe Commerce on Managed Services. Für diese Services gilt das spezifische Sicherheitsmodell mit geteilter Verantwortung von Adobe Commerce.
Weitere Informationen
Informationen zur Konfiguration der HIPAA-bereiten Services findet ihr in der Produktdokumentation auf Experience League.
BAA von Adobe für HIPAA-bereite Services
Bitte wendet euch an eure Ansprechperson im Adobe-Vertrieb oder Customer-Success-Management, um die BAA von Adobe für HIPAA-bereite Services abzuschließen.
Haftungsausschluss
Diese Informationen beschreiben, wie Adobe als Business Associate bestimmte zentrale Standards der HIPAA Security Rule umgesetzt hat. Sie stellen keine Rechtsberatung dar und sollten auch nicht als solche verstanden werden. Jede Kundin und jeder Kunde ist für die Nutzung von HIPAA-bereiten Services selbst verantwortlich und muss sicherstellen, dass HIPAA-bereite Services von Adobe ihren bzw. seinen Compliance-Anforderungen entsprechen.