Ist eFax HIPAA-konform?

Ja, eFax bietet Dienste, die HIPAA-konformes Faxen unterstützen sollen, aber der Tarif und die Vereinbarung sind entscheidend. Der aktuelle Tarif Business führt eine Business Associate Agreement (BAA) auf. Personal führt keine auf. Größere Organisationen können eFax Corporate über ein separates Angebot prüfen. Unsere eFax-Produktbewertung untersucht außerdem die allgemeinen Preise und Dokumentenabläufe.

Dieser Leitfaden bezieht sich auf eFax unter efax.com, den Anbieter. Elektronisches Faxen und Online-Faxen bezeichnen die übergeordnete Kategorie. Ein allgemeiner Verweis auf „E-Fax“ benennt keinen bestimmten Anbieter und begründet keine HIPAA-Eignung.

Für Ärztinnen und Ärzte lautet die praktische Frage, ob Mitarbeitende Patientendokumente über den abgedeckten Dienst senden und empfangen können. Für die IT lautet sie, ob die Vereinbarung, die Kontosteuerungen und die verbundenen Systeme die tatsächliche Bereitstellung abdecken.

Welche eFax-Tarife führen eine BAA auf?

Die aktuelle eFax-Preisseite unterscheidet zwischen Personal und Business. Die Seite für kleine Unternehmen erläutert außerdem die Stellung von Abonnenten des Legacy-Angebots Protect.

Die Preise sind in US-Dollar angegeben. Die oben genannten Business-Preise gelten bei monatlicher Abrechnung nach Ablauf der Einführungsaktion. Die fünf enthaltenen Nutzer können für eine kleine Praxis relevant sein, doch aus einem enthaltenen Nutzerkontingent geht nicht hervor, welche Berechtigungen jede Person erhält.

Wenn Sie bereits Personal für gewöhnliche Dokumente verwenden, klären Sie die Eignung, bevor Sie geschützte Gesundheitsinformationen (PHI) hinzufügen. Ein Tarifwechsel sollte gemeinsam mit der Vereinbarung und den Einstellungen geprüft werden, anstatt davon auszugehen, dass dadurch jeder bestehende Ablauf geeignet wird.

Für welchen Dienst und welche Vereinbarung gilt die eFax-BAA?

Abschnitt 24 der veröffentlichten eFax-Bedingungen enthält ein Business Associate Addendum und verweist auf den „Secured Service“ von Business, Protect und Unite. Der Zusatz gilt für Consensus US, wenn der Kunde ein Covered Entity oder Business Associate ist und diesen Secured Service nutzt. Lesen Sie diesen Geltungsbereich zusammen mit der Vereinbarung, die für Ihr Konto gilt.

Der öffentliche Zusatz liefert vor dem Kauf nützliche Informationen. Er belegt nicht, dass ein bestimmtes Legacy-Konto, eine Corporate-Bestellung, eine E-Mail-Route oder eine verbundene Anwendung zu identischen Bedingungen abgedeckt ist.

Bitten Sie eFax vor dem Versand von PHI, den abgedeckten Dienst, die für Ihr Konto geltende Vereinbarung, die Art des Wirksamwerdens der BAA und eine eventuell erforderliche Konfiguration zu bestätigen. Bewahren Sie diese Bestätigung bei Ihren Anbieterunterlagen auf.

Eine BAA legt Verantwortlichkeiten zwischen Ihrer Organisation und dem Dienstanbieter fest. Ihre Praxis benötigt dennoch angemessene Mitarbeiterzugriffe, eine Überprüfung der Empfänger und Verfahren für den Umgang mit heruntergeladenen oder weitergeleiteten Dokumenten.

Prüfen Sie den tatsächlichen Ablauf für Patientendokumente

Browserzugriff und Mitarbeiterkonten

eFax Business bewirbt Web-Faxen, Administration und Nutzerberechtigungen. Führen Sie den Ablauf mit synthetischen Dokumenten vor: Eine Überweisung geht ein, die Anmeldung erkennt sie, eine Ärztin oder ein Arzt prüft sie, und eine berechtigte Person aus dem Team sendet eine Antwort.

Prüfen Sie, wer die Dokumente der einzelnen Nummern einsehen kann, ob jede Person ein eigenes Konto verwendet und wie ausscheidende Mitarbeitende den Zugriff verlieren. Fragen Sie, welche Authentifizierungs- und Administratorsteuerungen im gewählten Tarif verfügbar sind; übertragen Sie Corporate-Funktionen nicht einfach auf Business.

Eine Zustellbestätigung des Faxsystems beweist nicht, dass eine Person die Überweisung gelesen oder in die vorgesehene Patientenakte eingetragen hat. Legen Sie fest, wer fehlgeschlagene oder fehlgeleitete Übertragungen prüft und wie die Praxis darauf reagiert.

Prüfen Sie bei der Bewertung außerdem:

• Ob MFA für die vorgesehenen Konten verfügbar ist und durchgesetzt wird.
• Welche Sende-, Empfangs- und Zugriffsereignisse protokolliert werden und ob sich diese Protokolle exportieren lassen.
• Wie Mitarbeitende Empfängernummern überprüfen und wie sie reagieren, wenn eine Sendung an eine falsche Nummer gegangen ist.
• Wie gemeinsam genutzte Arbeitsplätze mit Downloads umgehen und wann der Zugriff von Mitarbeitenden überprüft wird.

E-Mail-Versand, Benachrichtigungen und Anhänge

eFax bietet Email-to-Fax sowie E-Mail-bezogene Empfangs-Workflows. Prüfen Sie diese getrennt: Das Versenden einer E-Mail als fax, der Erhalt einer Benachrichtigung und der Erhalt eines Dokumentanhangs erzeugen unterschiedliche Kopien und Zugriffswege.

Fragen Sie nach, was in der abgedeckten Konfiguration im Postfach ankommt. Enthält die Nachricht PHI, einen Anhang oder einen Portal-Link? Welche Transportanforderungen gelten? Wer kann sie weiterleiten oder herunterladen, und wie werden Kopien aufbewahrt?

Auch Ihr E-Mail-Anbieter und die interne Handhabung müssen bewertet werden. Eine BAA für den fax-Dienst deckt nicht automatisch ein Postfach, eine gemeinsame Weiterleitungsregel oder ein Archiv eines Drittanbieters ab. Die Sicherheitsinformationen von eFax sind ein Ausgangspunkt; bestätigen Sie das Verhalten, das für Ihr Konto vorgeführt wurde.

Aufbewahrung, Export und Kontoschließung

Klären Sie, wie lange Dokumente verfügbar bleiben, welche Aufbewahrungseinstellungen Administratoren ändern können und wie Datensätze exportiert werden können. Fragen Sie nach, wie Löschung, Backups und Kontoschließung im jeweiligen Dienst gehandhabt werden.

Wenden Sie diese Antworten auf die Aufzeichnungsrichtlinie Ihrer Praxis an. Ein Online-Archiv für fax ist nicht automatisch ein vollständiges System zur Aufbewahrung medizinischer Unterlagen, und der Portalzugriff sollte nicht Ihr einziger Plan zur Sicherung vorgeschriebener Unterlagen sein.

Was ist mit eFax Corporate und Integrationen?

eFax Corporate bietet einen Enterprise-Weg mit Administration, Kontoverwaltung und API-Funktionen. Das Angebot für das Gesundheitswesen sollte geprüft werden, wenn fax Teil eines größeren Dokumenten- oder Interoperabilitätsprojekts ist.

Fordern Sie ein Angebot an, das die genauen Produkte, Endpunkte, Berechtigungen und Datenflüsse benennt. Öffentliche API-Informationen belegen weder, dass die API im Business-Abonnement für 39,99 $ enthalten ist, noch dass sofort ein Produktivzugang besteht.

Bewerten Sie ebenso die Sicherheitsnachweise in ihrem angegebenen Geltungsbereich. Eine HITRUST-r2-Angabe im Zusammenhang mit Corporate sollte nicht als Zertifizierung dargestellt werden, die automatisch jeden eFax-Tarif, jede Integration oder jede Kundenkonfiguration abdeckt.

Wie Fax.Plus HIPAA-konformes Faxen umsetzt

Fax.Plus veröffentlicht diesen Leitfaden und ist ein alternativer Anbieter. Für PHI sind die Anforderungen an fax im Gesundheitswesen eindeutig: Enterprise, aktivierte Advanced Security Controls (ASC) und eine unterzeichnete BAA. Basic, Premium und Business sind kein Ersatz für diese Konstellation. Die HIPAA-Dokumentation von Alohi erläutert die Voraussetzungen.

Fax.Plus Enterprise umfasst unbegrenzt viele Mitglieder, SSO und rollenbasierte Teamverwaltung. Administratoren können Nummernzuweisungen innerhalb der Teamstruktur verwalten – relevant, wenn Empfangspersonal und Behandelnde individuellen Zugriff benötigen. Bewerten Sie Zuweisungen und Verbrauch gemeinsam; unbegrenzt viele Mitglieder bedeuten nicht unbegrenzte fax-Nutzung.

Enterprise bietet mehr als 40 Standorte für die Speicherung von fax-Dokumenten und Backups. Diese Wahl betrifft die Speicherung, nicht jeden Verarbeitungsvorgang; prüfen Sie den dokumentierten Geltungsbereich der Datenresidenz anhand Ihrer Anforderungen. Die REST-API bleibt unter ASC verfügbar. Für den E-Mail-Versand und optionale eingehende Anhänge gelten besondere Sicherheitsbedingungen; lassen Sie sich daher den vorgesehenen E-Mail-Workflow vorführen, bevor Sie PHI übertragen.

Für einen passenden Vergleich stellen Sie die abgedeckte Business- oder Corporate-Konfiguration von eFax dem Angebot Fax.Plus Enterprise mit ASC und der BAA gegenüber. Vergleichen Sie den Arbeitsablauf der Mitarbeitenden, die erforderlichen Kontrollen und das vollständige Angebot. Ein günstigeres Verbraucherabonnement eines der beiden Anbieter ist kein gleichwertiger HIPAA-Vergleich.

Wenn Sie sich für einen Anbieterwechsel entscheiden

Bestätigen Sie die Eignung des neuen Kontos, bevor Sie PHI übertragen. Sichern Sie den erforderlichen fax-Verlauf, prüfen Sie die Bedingungen für die Nummernübertragung und lassen Sie den aktuellen Dienst aktiv, bis eine Portierung abgeschlossen und getestet ist. Prüfen Sie den eingehenden und ausgehenden Versand sowie den Zugriff der Mitarbeitenden, bevor Sie die bisherige Lösung beenden.