Ist FaxZero HIPAA-konform?

FaxZero veröffentlicht in der geprüften öffentlichen Dokumentation kein HIPAA-taugliches Angebot und keine BAA-Option. Eine Organisation im Gesundheitswesen sollte den Dienst nicht für geschützte Gesundheitsinformationen (PHI) verwenden, solange keine bestätigte vertragliche Absicherung und keine angemessenen Schutzmaßnahmen vorliegen.

Diese Schlussfolgerung betrifft eine Praxis, die einen Anbieter für die Verarbeitung von Patientendokumenten auswählt. Sie bedeutet nicht, dass jede Person, die ihre eigenen Gesundheitsunterlagen über einen Faxdienst versendet, automatisch gegen HIPAA verstößt.

Wir haben am 20. Oktober 2026 die öffentliche Startseite, die FAQ, die Nutzungsbedingungen und die Datenschutzrichtlinie von FaxZero geprüft. Entscheidend ist die Unterscheidung zwischen den dokumentierten Funktionen und einer Regelung für das Gesundheitswesen – eine solche Regelung begründen diese Funktionen nicht.

Was sollte eine Organisation, die PHI verarbeitet, prüfen?

Ein Covered Entity oder Business Associate sollte die Rolle eines Anbieters bestimmen, der elektronische PHI in seinem Auftrag verarbeitet, und klären, ob ein BAA erforderlich ist. Speziell für Cloud-Anbieter erläutert die HHS-Leitlinie, dass ein geeignetes BAA und eine Bewertung der Risiken der Vereinbarung notwendig sind. Dies ordnet die rechtliche Rolle von FaxZero nicht ein.

In den öffentlichen Unterlagen von FaxZero sind weder ein Tarif für das Gesundheitswesen noch eine veröffentlichte BAA-Option noch eine HIPAA-spezifische Kontokonfiguration genannt.

Dass keine Option veröffentlicht ist, belegt nicht, dass der Anbieter jede mögliche Vereinbarung ablehnt. Bevor Sie PHI Ihrer Organisation versenden, prüfen Sie die Rolle des Anbieters, das erforderliche BAA, die Eignung des Kontos, Zugriffskontrollen, Aufbewahrung und den operativen Umgang. Wenn sich diese Anforderungen nicht nachweisen lassen, wählen Sie einen Dienst mit dokumentierter Regelung für das Gesundheitswesen.

Auch wenn Sie nur eine einzelne Überweisung oder eine kurze Anfrage nach Unterlagen senden, ist diese Anforderung damit nicht erfüllt. Die Anzahl der Dokumente ist unabhängig davon, ob der gewählte Anbieter und der Workflow geeignet sind.

Macht eine kostenpflichtige Nutzung FaxZero HIPAA-konform?

Am 20. Oktober 2026 bewarb FaxZero eine kostenpflichtige Sendung für 3,29 US-Dollar für bis zu 25 Seiten, mit Priorität und ohne FaxZero-Branding. Die Bewertung des FaxZero-Dienstes behandelt die Sendefunktionen getrennt von der Eignung für das Gesundheitswesen.

Dabei handelt es sich um Unterschiede beim Versand und bei der Darstellung. Für die kostenpflichtige Option ist kein BAA und kein HIPAA-spezifisches Upgrade dokumentiert, daher muss sie dieselben PHI-Anforderungen erfüllen wie die kostenlose Option.

Was sagt FaxZero zur Verschlüsselung?

Die FAQ von FaxZero beschreiben HTTPS-Übermittlungen und SSL/TLS-Kommunikation von den eigenen Servern aus.

Diese Angaben betreffen einzelne Verbindungen. Sie belegen keine Ende-zu-Ende-Verschlüsselung über den gesamten Faxweg und erfüllen auch nicht die oben genannten PHI-Anforderungen.

Für eine Praxis muss die Entscheidung den gesamten Workflow berücksichtigen: wer die Datei hochlädt, welcher Dienst sie verarbeitet, was beim Empfänger ankommt und wo Kopien verbleiben. Ein verschlüsselter Upload allein klärt diese Fragen nicht.

Wie lange bewahrt FaxZero Dokumente und Metadaten auf?

Laut FAQ löscht FaxZero Faxinhalte innerhalb von drei Tagen nach der Übertragung. Das ist ein festgelegter Zeitraum und weder eine sofortige Löschung noch eine Speicherung von null Tagen.

Dieselben FAQ besagen, dass Metadaten, darunter die E-Mail-Adresse des Absenders und die Ziel-Faxnummer, unbefristet gespeichert werden. Die Datenschutzrichtlinie verwendet eine allgemeinere Formulierung zur Aufbewahrung für erforderliche Zwecke. Holen Sie eine Klarstellung ein, wenn Ihre Anforderungen von der Aufbewahrung einer bestimmten Datenkategorie abhängen.

Eine Löschung durch den sendenden Dienst entfernt auch weder die Kopie der empfangenden Praxis noch Ihre Originaldatei oder anderswo erstellte Kopien. Richten Sie einen eigenen Prozess ein, um erforderliche Unterlagen aufzubewahren und mit sensiblen Informationen umzugehen.

Bietet FaxZero Informationen zur Zustellung?

Ja. Die FAQ beschreiben E-Mails zu Zustellung oder Fehlschlag sowie eine private Statusseiten-URL, die nach der Bestätigung oder Zahlung bereitgestellt wird.

Diese zeigen den Übertragungsstatus an. Sie ersetzen keinen vollständigen organisatorischen Prüfpfad und belegen auch nicht, dass eine behandelnde Person das Dokument gelesen oder in eine Patientenakte übernommen hat.

Was gilt, wenn Sie Ihre eigenen Krankenunterlagen senden?

Wenn Sie Ihre eigenen Unterlagen senden, beginnen Sie mit den Anforderungen der empfangenden Organisation und Ihren Datenschutzpräferenzen.

Wenn Sie Ihre eigenen Krankenunterlagen senden, fragen Sie die empfangende Organisation, welche Kanäle sie akzeptiert und wie das Dokument adressiert werden soll. Ein zugelassenes Patientenportal oder eine andere von dieser Organisation angebotene Methode kann einen klareren Weg bieten.

Wenn Sie sich für einen Faxdienst entscheiden, prüfen Sie dessen Dokumentenverarbeitung, Aufbewahrung und Statusinformationen, bevor Sie sensible Unterlagen hochladen. Fügen Sie nur bei, was der Empfänger benötigt, und prüfen Sie die Faxnummer unabhängig.

Welche dokumentierte Alternative gibt es für PHI in Organisationen?

Fax.Plus, der Herausgeber dieses Leitfadens, unterstützt HIPAA-regulierte fax-Workflows mit Enterprise mit aktivierten Advanced Security Controls und einem unterzeichneten BAA. Das kostenlose Kontingent und die günstigeren Tarife sind für PHI in Organisationen keine gleichwertigen Lösungen.

Die Alohi-HIPAA-Dokumentation erläutert die Voraussetzungen. Schließen Sie die Vereinbarung und die Kontoeinrichtung ab, bevor Sie PHI senden.

Fax.Plus verschlüsselt gespeicherte Dateien mit AES-256. Enterprise bietet SSO und eine rollenbasierte Verwaltung, mit der sich der Zugriff einzelner Mitarbeitender steuern lässt. Diese Kontrollen unterstützen den konfigurierten Workflow; sie stellen jedoch keine Ende-zu-Ende-Verschlüsselung über das externe Telefonnetz hinweg dar und ersetzen nicht das BAA.

Bewerten Sie den konfigurierten Workflow als Ganzes: den Zugriff auf Dokumente am Empfang und im klinischen Bereich sowie die Anforderungen der IT an Berechtigungen, Aufbewahrung und Integrationen.