Ist Microsoft Teams HIPAA-konform?

Ja, Microsoft Teams ist im vertraglichen HIPAA-Rahmen von Microsoft für berechtigte Covered Entities und Business Associates enthalten. In der Dokumentation zum HIPAA/HITECH-Angebot wird Teams dem Dienstumfang für Commercial und Government Community Cloud (GCC) zugeordnet. Ihre Organisation muss dennoch die jeweils geltende Vereinbarung, das Abonnement und die Konfiguration prüfen.

Die Verpflichtungen aus der Business Associate Agreement (BAA) von Microsoft sind in den geltenden Datenschutznachtrag und die Servicebedingungen integriert. Von einem separaten Antrags- und Unterzeichnungsverfahren sollten Sie nicht ausgehen. Diese vertragliche Abdeckung macht eine Organisation nicht automatisch HIPAA-konform.

Für eine Praxis, die Patientendokumente bearbeitet, lautet die nächste Frage: Wohin gelangen geschützte Gesundheitsinformationen (PHI)? In einen Teams-Chat, einen Kanal, einen angebundenen Dateispeicher, ein Postfach oder zu einem Fax-Anbieter. Jede dieser Grenzen wirkt sich auf Zugriff und Verantwortlichkeiten aus.

Was sollten Sie in Ihrer Vereinbarung mit Microsoft prüfen?

Ermitteln Sie den Tenant, die cloud-Umgebung, die erworbenen Dienste und die Bedingungen, die für Ihre Organisation gelten. Bestätigen Sie, dass der Teams-Dienst, den Sie nutzen werden, unter das geltende HIPAA-Angebot fällt; übertragen Sie eine Aussage über berechtigte Microsoft-Dienste nicht auf jedes kostenlose Konto oder jedes Abonnement.

Prüfen Sie, welche Schutzmaßnahmen Ihre Lizenzen bieten. Für Data Loss Prevention, Audit, Aufbewahrung und weitere Governance-Funktionen gelten Lizenz- und Konfigurationsvoraussetzungen. Wählen Sie das Abonnement passend zu den Kontrollen, die Ihr genehmigter Workflow benötigt.

Die Organisation bleibt für ihre Gesamtnutzung, den Zugriff der Mitarbeitenden und den Umgang mit Dokumenten verantwortlich. Ein Dienst im Geltungsbereich ist der Ausgangspunkt für einen konfigurierten Workflow.

Wohin gelangt das Patientendokument tatsächlich?

Trennen Sie eine Koordinationsnachricht von dem Dokument, auf das sie sich bezieht. Ein Fax kann in einem freigegebenen Fax-Konto verbleiben, während das Personal die Nachbereitung abstimmt. Eine Nachricht, die den Patienten identifiziert oder Überweisungsdetails offenlegt, kann jedoch selbst PHI enthalten.

Ermitteln Sie für jeden Schritt, was gepostet wird: Statustext, eine Faxnummer, eine Patientenkennung, ein Dokumentlink, ein Anhang oder eine Vorschau. Prüfen Sie dann, wer auf die Unterhaltung zugreifen und wer das zugrunde liegende Dokument öffnen kann. Wenn Sie Slack einsetzen, prüfen Sie die Grenzen der Fax-Benachrichtigungen in Slack separat.

Teams-Chat, Teams Phone, angebundener Dateispeicher und eine Fax-App sind unterschiedliche Bestandteile eines Kommunikations-Workflows für Patienten und Personal. Ein BAA für Microsoft-Dienste begründet nicht automatisch einen Vertragsschutz für einen separaten Fax-Anbieter oder für jede angebundene Anwendung.

Wie sollten Sie Kanäle, Dateien und Mitarbeiterzugriffe verwalten?

Bestätigen Sie den vorgesehenen Empfängerkreis, bevor Sie patientenbezogene Benachrichtigungen in einem Kanal oder Chat zulassen. Beziehen Sie dabei Gastzugriff, externe Teilnahme und Personalwechsel in die Bewertung ein.

Prüfen Sie sowohl die Mitgliedschaft in der Unterhaltung als auch die Dokumentberechtigungen. Ein Link kann zu einer Ressource mit anderen Zugriffsregeln führen, während ein Anhang eine Kopie erzeugt, die eine eigene Handhabung erfordert. Prüfen Sie Aufbewahrung und Export für die Unterhaltung, den angebundenen Speicher und alle heruntergeladenen Kopien.

Führen Sie die tatsächliche Konfiguration mit synthetischen Dokumenten vor: wer eine Benachrichtigung erhält, was sie offenlegt, wer die Datei öffnen kann und was passiert, wenn dieser Person der Zugriff entzogen wird. Eine erfolgreiche Demonstration überprüft das Verhalten, garantiert aber nicht die Einhaltung der Vorgaben insgesamt.

Wie fügt sich die Fax.Plus-Teams-Integration ein?

Fax.Plus bietet eine native Microsoft Teams-Integration. Sie liefert Benachrichtigungen über eingehende Faxe und den Status ausgehender Faxe, einschließlich erfolgreicher oder fehlgeschlagener Zustellungen, mit den relevanten Fax-Details und einem Link. Zu den allgemeinen Integrationsoptionen gehören auch Anhänge.

Die native Integration bietet Benachrichtigung und Nachverfolgung; sie stellt in Teams keine Oberfläche zum Verfassen oder Senden von Faxen bereit. Die Fax.Plus-Dokumentation zu Teams beschreibt die allgemeine Eignung und Einrichtung der Integration.

Diese allgemeinen Anleitungen legen nicht fest, welches Verhalten unter Advanced Security Controls (ASC) genau zulässig ist. Bevor Sie die Integration mit PHI nutzen, bestätigen Sie bei Fax.Plus für Ihr Konto die Verfügbarkeit, den Nachrichteninhalt, den Umgang mit Anhängen und die zulässige Konfiguration.

Benachrichtigungen ohne Anhänge sind nicht automatisch frei von PHI. Nummern, Kennungen oder andere Nachrichtendetails können sensibel sein. Betrachten Sie diese Option nicht als Beleg dafür, dass ein Kanal für patientenbezogene Aktivitäten geeignet ist.

Was muss die Vereinbarung des Fax-Anbieters abdecken?

Die Fax-Konfiguration von Fax.Plus für das Gesundheitswesen erfordert Enterprise, aktivierte Advanced Security Controls und einen unterzeichneten BAA. Die HIPAA-Dokumentation von Alohi erläutert diese Voraussetzungen. Dass die allgemeine Teams-Integration im Tarif Business verfügbar ist, macht diesen Tarif nicht zu einem geeigneten Ersatz für den Umgang mit PHI.

Wenn Microsoft und Fax.Plus als getrennte Anbieter elektronische PHI erstellen, empfangen, speichern oder übermitteln, bestätigen Sie die geltenden Microsoft-BAA-Bedingungen und schließen Sie den BAA mit Fax.Plus ab. Die Vereinbarung des einen Anbieters deckt den anderen nicht ab. Die HHS-Hinweise zur Cloud erläutern die vertraglichen Anforderungen für Covered Entities und Business Associates, die Cloud-Anbieter nutzen.

Belassen Sie Fax-Dokumente im freigegebenen Workflow des Gesundheitswesens, solange die Teams-Verbindung geprüft wird. Zapier ist unter Fax.Plus ASC nicht verfügbar; die allgemeinen Automatisierungsbeispiele sind daher für diese Konten keine Einrichtung für das Gesundheitswesen.

Was sollte die Praxis freigeben, bevor der Workflow verbunden wird?

Legen Sie fest, welcher Dienst das Fax speichert, welche Mitarbeitenden es bearbeiten und ob Patientendaten in Teams erlaubt sind. Bestätigen Sie die Microsoft-Bedingungen, die Vereinbarung mit dem Fax-Anbieter und die erforderlichen Kontoeinstellungen gemeinsam.

Zeigen Sie für den Empfang, wie eine Überweisung die vorgesehene prüfende Person erreicht, ohne unnötige Sichtbarkeit im Kanal. Dokumentieren Sie für die IT die zulässigen Nachrichtenfelder, Zugriffsregeln, Aufbewahrung und das Entfernen von Nutzern.

Wenn das Verhalten der Verbindung im Gesundheitswesen nicht bestätigt wurde, nutzen Sie für Patientendokumente das freigegebene Fax-Konto und befolgen Sie das etablierte Kommunikationsverfahren Ihrer Organisation.