HIPAA für italienische Unternehmen:
worauf es wirklich ankommt

Kurz gesagt: Wenn Ihr Unternehmen Gesundheitsdaten im Auftrag von US-Kunden verarbeitet — Software, Sprachdienstleistungen, Life Science, Hosting —, sind Sie mit hoher Wahrscheinlichkeit ein Business Associate im Sinne des HIPAA (Health Insurance Portability and Accountability Act), des US-Bundesgesetzes zum Schutz von Gesundheitsdaten. Die Pflichten kommen per Vertrag: Sie brauchen ein BAA (Business Associate Agreement), Sie müssen die Daten nicht in die USA verlagern, und eine „HIPAA-Zertifizierung“ existiert nicht. Worauf es wirklich ankommt — und warum Unternehmen mit einem ISO-27001-System im Vorteil sind.

HIPAA in Kürze: Warum es auch italienische Unternehmen betrifft

HIPAA schützt PHI (Protected Health Information): Gesundheitsinformationen, die einer Person zugeordnet werden können — Patientenakten, Befunde, Daten aus klinischen Studien und der Pharmakovigilanz, Abrechnungsdaten im Gesundheitswesen. In elektronischer Form spricht man von ePHI. Die operativen Regeln stehen in zwei Durchführungsverordnungen: der Privacy Rule (zulässige Nutzungen und Offenlegungen) und der Security Rule (Sicherheitsmaßnahmen für ePHI), kodifiziert in 45 CFR Parts 160 und 164.

Das Gesetz gilt unmittelbar für Covered Entities — US-Gesundheitsdienstleister, Krankenversicherungen und Clearinghouses — und für deren Business Associates: jeden, der PHI in ihrem Auftrag erstellt, empfängt, speichert oder übermittelt. Die Kette endet nicht beim ersten Glied: Der Subunternehmer eines Business Associate unterliegt denselben Pflichten.

HIPAA ist kein italienisches Gesetz, und das OCR (Office for Civil Rights) des HHS (Department of Health and Human Services) hat keine direkte Zuständigkeit für ein Unternehmen in Piacenza oder Mailand. Die Bindung entsteht jedoch über den Vertrag — und über den Markt: Ohne schriftlich zugesicherte HIPAA-Garantien kann der amerikanische Kunde Ihnen keine Gesundheitsdaten anvertrauen.

Das BAA: Der Vertrag, der die Pflichten auslöst

Das Business Associate Agreement ist der Vertrag, den HIPAA zwischen Covered Entity und Business Associate vorschreibt — und in der Kette zwischen Business Associate und seinen Subunternehmern. Es enthält die Elemente, die die Regulierung ausdrücklich verlangt: zulässige Nutzungen und Offenlegungen der PHI, angemessene Sicherheitsmaßnahmen, die Pflicht, Verletzungen und Vorfälle dem Kunden zu melden, die Bedingungen für den Einsatz von Subunternehmern (ihrerseits schriftlich gebunden) sowie die Rückgabe oder Löschung der Daten am Ende der Zusammenarbeit.

Das typische Beispiel: Ein US-Krankenhaus oder Life-Science-Unternehmen (Covered Entity oder selbst Business Associate) beauftragt ein italienisches Unternehmen mit Leistungen, die Gesundheitsdaten berühren — medizinische Übersetzungen, Softwareentwicklung, Datenanalyse, Anwendungs-Hosting. Das italienische Unternehmen unterzeichnet das BAA mit seinem Kunden; seine eigenen Lieferanten, die diese Daten sehen, unterzeichnen mit ihm. Es ist dieselbe Transparenzlogik, die wir auf unsere öffentliche Liste der Subunternehmer anwenden: Jedes Glied der Kette steht für das nächste ein.

Der richtige Zeitpunkt für die Unterzeichnung ist, bevor PHI zu fließen beginnen: Gut organisierte US-Kunden verlangen das BAA in der Due Diligence, zusammen mit Nachweisen über die Sicherheitskontrollen.

Mythos: Die Daten müssen in den USA bleiben

HIPAA enthält keinerlei Anforderung an die Datenresidenz. Die HHS-Leitlinien zum Cloud Computing verbieten die Speicherung außerhalb der Vereinigten Staaten nicht: Sie verlangen, dass der Cloud-Anbieter ein BAA unterzeichnet und die Risiken — auch die jurisdiktionsbezogenen — in der Risk Analysis abgedeckt sind.

Für ein italienisches Unternehmen ist die Speicherung in europäischen Rechenzentren oft die sinnvollste Wahl: Die Verarbeitung in der EU unterliegt ohnehin der DSGVO, und eine einzige Datenresidenz vereinfacht beide Seiten. HIPAA und DSGVO koexistieren konfliktfrei — das eine kommt per Vertrag, die andere per Gesetz. Verlangt ein amerikanischer Kunde die Speicherung in den USA, ist das seine interne Policy oder eine Verhandlungsklausel: legitim, aber keine HIPAA-Pflicht.

Security Rule: Das Mapping auf ISO 27001, 27017 und 27018

Die Security Rule gliedert die Maßnahmen für ePHI in drei Familien: administrative Safeguards (Risk Analysis, Schulung, Personal- und Zugriffsverwaltung, Incident Response), physische Safeguards (Zugang zu Gebäuden, Arbeitsplätzen und Datenträgern) und technische Safeguards (Zugriffskontrolle, Auditing, Integrität, Verschlüsselung bei der Übertragung).

Wer ein ISMS nach ISO/IEC 27001 betreibt, hat die organisatorische Maschine bereits: Risikobewertung, Richtlinien, Zugriffskontrolle, Incident Management, Betriebskontinuität. Die Cloud-Kontrollen der ISO/IEC 27017 und der Schutz personenbezogener Daten in der Cloud nach ISO/IEC 27018 decken das cloudspezifische Terrain ab. Der offizielle Mapping-Leitfaden ist NIST SP 800-66 Rev. 2 (Februar 2024), der die Security Rule in konkrete Sicherheitskontrollen übersetzt: der Ausgangspunkt, um die HIPAA-Anforderungen mit dem eigenen Statement of Applicability abzugleichen.

Es bleiben HIPAA-spezifische Anforderungen ohne direktes ISO-Äquivalent: das BAA, das Minimum-Necessary-Prinzip (nur das für den Zweck nötige Minimum an PHI verarbeiten) und die Meldung von Verletzungen an die Covered Entity nach der Breach Notification Rule: ohne ungerechtfertigte Verzögerung, spätestens innerhalb von 60 Tagen nach Entdeckung — eine regulatorische Obergrenze, die Verträge typischerweise verschärfen. Genau auf diese Punkte konzentriert sich ein Audit des US-Kunden zuerst.

Das Security-Rule-Update: MFA und Verschlüsselung werden Pflicht

Am 6. Januar 2025 veröffentlichte das HHS im Federal Register den Änderungsvorschlag zur Security Rule (NPRM, Notice of Proposed Rulemaking): die erste substanzielle Überarbeitung seit 2013. Die Kernpunkte: verpflichtende Multi-Faktor-Authentifizierung, Verschlüsselung der ePHI im Ruhezustand und bei der Übertragung, Wegfall der Unterscheidung zwischen „required“ und „addressable“ (heute sind viele Maßnahmen faktisch verhandelbar, künftig nicht mehr), ein Technologie-Inventar mit Netzwerkkarte der ePHI-Flüsse und eine jährliche Konformitätsprüfung.

Stand Juni 2026: Die finale Regel wurde bis Mai erwartet und ist bislang nicht veröffentlicht. Die Richtung ist jedoch klar, und es lohnt sich, schon jetzt nach den vorgeschlagenen Anforderungen zu planen: MFA und Verschlüsselung sind ohnehin gute Praxis — und für Unternehmen im NIS2-Anwendungsbereich größtenteils bereits gesetzliche Pflicht.

Cloud-Stack und HIPAA: Was Microsoft abdeckt, was bei Ihnen bleibt

Microsoft nimmt seine Business-Associate-Verpflichtungen in sein Data Protection Addendum auf: Azure und Microsoft 365 können ePHI daher im Rahmen des Microsoft-BAA hosten, auch in europäischen Regionen — die von uns genutzten bieten jeweils 3 Availability Zones.

Aber Vorsicht beim Perimeter: Das BAA des Cloud-Anbieters deckt die Infrastruktur ab, nicht die Art, wie Sie sie nutzen. Zugriffskonfiguration, Multi-Faktor-Authentifizierung, Verschlüsselung, Aufbewahrung der Audit-Logs, Mitarbeiterschulung und Incident Management bleiben in der Verantwortung dessen, der den Dienst für den Endkunden erbringt — das Modell der geteilten Verantwortung, das für alle Cloud-Dienste gilt. Das richtige BAA zu unterzeichnen und dann ein Administratorkonto ohne MFA zu lassen, ist der schnellste Weg, Konformität zu Papier zu machen.

Digitale Souveränität: eine Anmerkung gegen den Strom

Die europäische Debatte über digitale Souveränität rutscht oft in den Maximalismus ab: „Wir brauchen europäische Software“, „weg von amerikanischen Anbietern“ — als wären die USA ein strategischer Gegner. Die industrielle Realität ist weniger ideologisch: Bei Cloud, Sicherheit und digitaler Gesundheit konzentriert sich die weltweite Spezialisierung großteils in den USA — wo im Übrigen sehr viele italienische Fachleute arbeiten —, und ein erheblicher Teil der italienischen B2B-Wirtschaft lebt von transatlantischen Beziehungen, einschließlich der vielen italienischen Unternehmen in amerikanischem Besitz.

Für diese Unternehmen ist die Sorge vor „Daten in Europa, aber unter amerikanischem Recht“ oft ein Scheinproblem: Ist die Muttergesellschaft amerikanisch, besteht die US-Jurisdiktion über die Gruppe ohnehin — durch die Konzernstruktur, noch bevor der Speicherort der Daten eine Rolle spielt. Und Italien vertraut den USA weit kritischere Technologien an als ein Cloud-ERP: die F-35-Kampfflugzeuge, deren Logistik und Software-Updates von amerikanischer Infrastruktur abhängen — die öffentliche Debatte reichte bis zu einem angeblichen „Kill Switch“, offiziell dementiert. Europäischen Purismus bei SaaS zu fordern, während die Landesverteidigung auf US-Plattformen fliegt, sagt viel darüber, wie sehr die Diskussion ideologischer als technisch geworden ist.

Pragmatismus heißt nicht Nachlässigkeit: Wir kennen die Auswirkungen des CLOUD Act, führen Transfer Impact Assessments (TIA) durch, wo Datentransfers es erfordern, und verfolgen den europäischen Data Act und AI Act aufmerksam. Aber Datenresidenz bleibt ein Werkzeug, keine Fahne: Wir schlagen europäische Rechenzentren vor, wenn sie Verträge und Compliance vereinfachen — allen voran die DSGVO —, und arbeiten problemlos innerhalb amerikanischer Konzern- und Regulierungsketten, wenn der Kunde genau das verlangt — ohne uns einer einzigen Philosophie oder einem Lager zu verschreiben. HIPAA funktioniert schließlich genau so: Es folgt den Verträgen, nicht den Grenzen.

Wie AtWorkStudio hilft

Transparenz zuerst: Eine HIPAA-Zertifizierung existiert nicht, und kein seriöser Anbieter kann sich als „HIPAA certified“ bezeichnen. Was wir tun: Wir bringen die Methodik unseres zertifizierten Managementsystems auf das HIPAA-Terrain — Risk Analysis, technische und organisatorische Maßnahmen, prüfbare Dokumentation, Vertragskette mit den Subunternehmern. Wir betreuen bereits italienische Unternehmen mit Nutzern in den Vereinigten Staaten auf verwalteten Cloud-Infrastrukturen.

Wir arbeiten seit dem Jahr 2000 in Piacenza. Wir sind zertifiziert nach ISO/IEC 27001, 27017, 27018 und ISO 9001, ACN-qualifiziert (Agenzia per la Cybersicurezza Nazionale, die italienische nationale Cybersicherheitsbehörde) für Cloud-Dienste, Mitglieder von Clusit (italienischer Verband für Informationssicherheit) und Confindustria Piacenza im RICT-Cluster zugeordnet.