Ist Dropbox Fax HIPAA-konform?

Die geprüften öffentlichen Preise weisen keinen Dropbox-Fax-Tarif aus, der eine Business Associate Agreement enthält. Käufer aus dem Gesundheitswesen sollten sich vor dem Versand geschützter Gesundheitsinformationen schriftlich bestätigen lassen, dass ihr konkreter Fax-Dienst, ihr Konto und ihr Workflow abgedeckt sind. Informationen zu den allgemeinen Funktionen des Produkts finden Sie in unserer Funktionsübersicht zu Dropbox Fax.

Eine separat ausgehandelte Vereinbarung könnte die Bewertung für ein bestimmtes Konto verändern. Die Entscheidung hängt von dem Dienst und dem Workflow ab, die diese Vereinbarung abdeckt, sowie von den erforderlichen Einstellungen und Schutzmaßnahmen.

Die Unterscheidung ist wichtig, wenn Dropbox Fax, Dropbox Sign und der Dropbox-Dateispeicher gemeinsam auftreten. Die gemeinsame Marke belegt nicht, dass eine einzige Vereinbarung jeden Dienst abdeckt.

Was die öffentlichen Informationen zu Dropbox Fax belegen

Wir haben die öffentliche Dokumentation am 20. Oktober 2026 geprüft.

Die Fax-Preisseite listet Abonnements und Nutzungskontingente auf, wir konnten jedoch keinen ausdrücklich benannten Fax-Tarif mit enthaltener BAA ermitteln. Ein größeres Kontingent zu bezahlen, klärt diese vertragliche Frage nicht.

Die Nutzungsbedingungen von Dropbox Sign beziehen Dropbox Fax ausdrücklich in die dort beschriebenen Dienste ein. Abschnitt 4.2(xii) untersagt das Speichern, Übertragen oder sonstige Verarbeiten von PHI, sofern der Kunde und Dropbox nicht separat eine HIPAA-BAA abschließen.

Diese Bedingung begründet gemäß diesen Nutzungsbedingungen die Notwendigkeit einer separaten Vereinbarung. Sie belegt weder, welcher Fax-Tarif infrage kommt, noch ob für Ihr Konto eine Vereinbarung verfügbar ist oder welche Sende- und Empfangsmethoden sie abdecken würde.

Fordern Sie diese Antworten an, bevor Sie ein Abonnement als geeignet für Patientendokumente betrachten.

Dropbox Fax, Dropbox Sign und Dropbox-Speicher sind unterschiedliche Dienste

Wenn jemand sagt „Dropbox ist HIPAA-konform“, klären Sie, welchen Dienst und welche Vereinbarung er oder sie meint.

Eine Vereinbarung für das Speichern eines Dokuments belegt für sich genommen nicht, dass auch der Versand dieses Dokuments über einen separaten Fax-Dienst abgedeckt ist. Dropbox veröffentlicht separate HIPAA-Hinweise für den Dropbox-Dateispeicher und für Dropbox Sign; prüfen Sie den Geltungsbereich der jeweiligen Vereinbarung.

Ebenso sollte die Berechtigung für einen Dropbox-Sign-Tarif nicht als Nachweis für eine BAA-Option bei Dropbox Fax dargestellt werden. Lassen Sie den abgedeckten Dienst ausdrücklich benennen.

Beispielsweise könnte eine Praxis eine Überweisung aus dem Dateispeicher abrufen, sie in Fax hochladen und eine Kopie per E-Mail erhalten. Prüfen Sie jeden an diesem Ablauf beteiligten Dienst, einschließlich des Postfachs, das den Anhang empfängt.

Was Sie über die BAA hinaus prüfen sollten

Bei einem cloud-Anbieter, der elektronische PHI im Auftrag Ihrer Organisation verarbeitet, ist eine BAA Teil der erforderlichen Vereinbarung. Ihre Organisation muss außerdem Risiken bewerten und angemessene Schutzmaßnahmen einrichten; verschlüsselter Speicher allein erfüllt diese Pflichten nicht. HHS-Leitfaden zum cloud-Computing.

Fordern Sie Nachweise an, die sich auf den tatsächlichen Fax-Einsatz beziehen:

• Mitarbeiterzugriff: Wer kann eingehende Dokumente öffnen, Zuweisungen ändern und ausscheidende Nutzer entfernen?
• Aktivitätsinformationen: Welche Ereignisse werden erfasst, welche Details sind verfügbar und wie lange werden die Aufzeichnungen aufbewahrt?
• Dokumentenschutz: Wo gilt die Verschlüsselung in Speicherung, Zustellung und angebundenen Diensten?
• Standort: Wo werden Dokumente und Backups gespeichert, und wo findet die Verarbeitung statt?
• Aufbewahrung: Was geschieht mit Dokumenten im Portal, E-Mail-Anhängen und heruntergeladenen Kopien?

Dies sind Fragen zur Überprüfung, keine Liste bestätigter Einschränkungen von Dropbox Fax.

Auch Sicherheitsberichte und Zertifizierungen sollten auf ihren Geltungsbereich geprüft werden. Ein Nachweis, der einem anderen Produkt zugeordnet ist, belegt nicht, dass jede Fax-Funktion abgedeckt ist.

Fordern Sie von Dropbox eine schriftliche, faxspezifische Antwort an

Beschreiben Sie den Workflow, den Sie nutzen möchten. Eine kleine Praxis, die Überweisungen über einen Browser versendet, hat andere Anforderungen als eine Organisation, die Fax über eine API anbindet.

Bitten Sie Dropbox, Folgendes zu bestätigen:

• Den genauen Fax-Dienst und das Konto, die von der vorgeschlagenen BAA abgedeckt werden.
• Das erforderliche Abonnement, den Vertrag, die Einstellungen und die Aktivierungsschritte.
• Ob das Senden über den Browser, Email-to-Fax, eingehende Anhänge und geplante Integrationen abgedeckt sind.
• Die verfügbaren Kontrollen für Zugriff, Aufbewahrung und Aktivitätsprüfung.
• Den vollständigen Preis und etwaige Einschränkungen für die geplante Nutzung.

Eine allgemeine Zusicherung, dass Dropbox das Gesundheitswesen unterstützt, reicht nicht aus, um diese Details zu klären.

Bewahren Sie die Vereinbarung und die relevanten Konfigurationsinformationen in den Lieferantenunterlagen der Organisation auf. Prüfen Sie den Workflow mit repräsentativen Dokumenten ohne Patientenbezug, bevor Sie PHI einführen.

Was gilt, wenn Ihre Praxis Dropbox Fax bereits nutzt?

Prüfen Sie die mit dem bestehenden Konto verbundene Vereinbarung, bevor Sie zu einem Schluss kommen. Möglicherweise liegen Ihrer Organisation Vertragsdokumente vor, die auf einer öffentlichen Preisseite nicht sichtbar sind.

Wenn die Abdeckung weiterhin ungeklärt ist, nutzen Sie einen von der Organisation genehmigten Kanal, dessen PHI-Regelung bestätigt wurde. Bitten Sie das Datenschutz- oder Compliance-Team, die bisherige Nutzung zu bewerten und die nächsten Schritte festzulegen, einschließlich der Frage, welche Übertragungs- und Kontoinformationen aufbewahrt werden sollen.

Wie die Regelung von Fax.Plus für das Gesundheitswesen im Vergleich abschneidet

Fax.Plus veröffentlicht diesen Leitfaden. Für PHI besteht die erforderliche Fax-Regelung für das Gesundheitswesen aus Enterprise, aktivierten Advanced Security Controls und einer unterzeichneten BAA. Basic, Premium und Business bieten keine alternative HIPAA-taugliche Konfiguration. Anforderungen von Fax.Plus für das Gesundheitswesen.

Für eine Praxis, die einen klar dokumentierten Ausgangspunkt sucht, zeigt dies, welches Fax.Plus-Abonnement und welche Kontrollen zu prüfen sind.

Mitarbeitende müssen weiterhin Empfänger überprüfen, Zugriffe verwalten und Dokumente angemessen behandeln. Ein Bestätigungsbericht kann die Nachverfolgung unterstützen, doch eine erfolgreiche Übertragung belegt weder eine klinische Prüfung noch eine Ablage.

Wenn Sie sich für einen Anbieterwechsel entscheiden

Prüfen Sie, ob Ihre bestehende Nummer übertragen werden kann, und sehen Sie sich die Anforderungen des aufnehmenden Anbieters an, bevor Sie etwas kündigen.

Laut den aktuellen Bedingungen von Dropbox kann die Portierung von Fax-Nummern in den USA, im Vereinigten Königreich und in Kanada sowohl eingehend als auch ausgehend unterstützt werden, möglicherweise gegen eine zusätzliche Gebühr. Bestätigen Sie die Regelungen für Ihre konkrete Nummer.

Bereiten Sie den Zugriff für Mitarbeitende, die Zuweisung eingehender Faxe und die erforderlichen Vereinbarungen vor, bevor Sie PHI im neuen Dienst einführen. Lassen Sie den Dienst der bestehenden Nummer aktiv, bis deren Übertragung abgeschlossen und überprüft ist, und legen Sie fest, wer während des Wechsels eingehende Unterlagen überwacht.