Ist Microsoft Teams HIPAA-konform?

Ja, Microsoft Teams ist im vertraglichen HIPAA-Rahmen von Microsoft für berechtigte Covered Entities und Business Associates enthalten. In der Dokumentation zum HIPAA/HITECH-Angebot wird Teams dem Dienstumfang für Commercial und Government Community Cloud (GCC) zugeordnet. Ihre Organisation muss dennoch die jeweils geltende Vereinbarung, das Abonnement und die Konfiguration prüfen.

Die Verpflichtungen aus der Business Associate Agreement (BAA) von Microsoft sind in den geltenden Datenschutznachtrag und die Servicebedingungen integriert. Von einem separaten Antrags- und Unterzeichnungsverfahren sollten Sie nicht ausgehen. Diese vertragliche Abdeckung macht eine Organisation nicht automatisch HIPAA-konform.

Für eine Praxis, die Patientendokumente verarbeitet, stellt sich als Nächstes die Frage, wohin geschützte Gesundheitsinformationen (PHI) gelangen: in einen Teams-Chat, einen Kanal, einen angebundenen Dateispeicher, ein Postfach oder zu einem fax-Anbieter. Jede dieser Grenzen wirkt sich auf Zugriff und Verantwortlichkeiten aus.

Was sollten Sie in Ihrer Vereinbarung mit Microsoft prüfen?

Ermitteln Sie den Tenant, die cloud-Umgebung, die erworbenen Dienste und die Bedingungen, die für Ihre Organisation gelten. Bestätigen Sie, dass der Teams-Dienst, den Sie nutzen werden, unter das geltende HIPAA-Angebot fällt; übertragen Sie eine Aussage über berechtigte Microsoft-Dienste nicht auf jedes kostenlose Konto oder jedes Abonnement.

Prüfen Sie, welche Schutzmaßnahmen Ihre Lizenzen bieten. Für Data Loss Prevention, Audit, Aufbewahrung und weitere Governance-Funktionen gelten Lizenz- und Konfigurationsvoraussetzungen. Wählen Sie das Abonnement passend zu den Kontrollen, die Ihr genehmigter Workflow benötigt.

Die Organisation bleibt für ihre Gesamtnutzung, den Zugriff der Mitarbeitenden und den Umgang mit Dokumenten verantwortlich. Ein Dienst im Geltungsbereich ist der Ausgangspunkt für einen konfigurierten Workflow.

Wohin gelangt das Patientendokument tatsächlich?

Trennen Sie eine Abstimmungsnachricht von dem Dokument, auf das sie sich bezieht. Ein fax kann in einem genehmigten fax-Konto verbleiben, während Mitarbeitende die Nachverfolgung koordinieren – doch eine Nachricht, die den Patienten benennt oder Details zur Überweisung offenlegt, kann selbst PHI enthalten.

Ermitteln Sie für jeden Schritt, was gepostet wird: Statustext, eine fax-Nummer, eine Patientenkennung, ein Dokumentlink, ein Anhang oder eine Vorschau. Prüfen Sie anschließend, wer auf die Unterhaltung zugreifen und wer das zugrunde liegende Dokument öffnen kann. Wenn Sie Slack einsetzen, prüfen Sie die Grenzen der fax-Benachrichtigungen in Slack separat.

Teams-Chat, Teams Phone, angebundener Dateispeicher und eine fax-App sind unterschiedliche Bestandteile eines Kommunikationsworkflows für Patienten und Mitarbeitende. Eine BAA, die für Microsoft-Dienste gilt, begründet nicht automatisch vertraglichen Schutz für einen separaten fax-Anbieter oder jede angebundene Anwendung.

Wie sollten Sie Kanäle, Dateien und Mitarbeiterzugriffe verwalten?

Bestätigen Sie den vorgesehenen Empfängerkreis, bevor Sie patientenbezogene Benachrichtigungen in einem Kanal oder Chat zulassen. Beziehen Sie dabei Gastzugriff, externe Teilnahme und Personalwechsel in die Bewertung ein.

Prüfen Sie sowohl die Mitgliedschaft in der Unterhaltung als auch die Dokumentberechtigungen. Ein Link kann zu einer Ressource mit anderen Zugriffsregeln führen, während ein Anhang eine Kopie erzeugt, die eine eigene Handhabung erfordert. Prüfen Sie Aufbewahrung und Export für die Unterhaltung, den angebundenen Speicher und alle heruntergeladenen Kopien.

Führen Sie die tatsächliche Konfiguration mit synthetischen Dokumenten vor: wer eine Benachrichtigung erhält, was sie offenlegt, wer die Datei öffnen kann und was passiert, wenn dieser Person der Zugriff entzogen wird. Eine erfolgreiche Demonstration überprüft das Verhalten, garantiert aber nicht die Einhaltung der Vorgaben insgesamt.

Wie fügt sich die Fax.Plus-Teams-Integration ein?

Fax.Plus bietet eine native Microsoft Teams-Integration. Sie liefert Benachrichtigungen über eingehende fax sowie Statusmeldungen zu ausgehenden fax, einschließlich erfolgreicher oder fehlgeschlagener Zustellung, mit relevanten fax-Details und einem Link. Die allgemeinen Integrationsoptionen umfassen auch Anhänge.

Die native Integration bietet Benachrichtigung und Nachverfolgung; einen Bildschirm zum Verfassen oder Senden von fax innerhalb von Teams bietet sie nicht. Die Fax.Plus-Dokumentation zu Teams beschreibt die allgemeine Berechtigung für die Integration und die Einrichtung.

Diese allgemeinen Anleitungen legen nicht fest, welches Verhalten unter Advanced Security Controls (ASC) genau zulässig ist. Bevor Sie die Integration mit PHI nutzen, klären Sie mit Fax.Plus für Ihr Konto die Verfügbarkeit, die Nachrichteninhalte, den Umgang mit Anhängen und die zulässige Konfiguration.

Benachrichtigungen ohne Anhänge sind nicht automatisch frei von PHI. Nummern, Kennungen oder andere Nachrichtendetails können sensibel sein. Betrachten Sie diese Option nicht als Beleg dafür, dass ein Kanal für patientenbezogene Aktivitäten geeignet ist.

Was muss die Vereinbarung mit dem fax-Anbieter abdecken?

Die fax-Konfiguration von Fax.Plus für das Gesundheitswesen erfordert Enterprise, aktivierte Advanced Security Controls und eine unterzeichnete BAA. Die Alohi-HIPAA-Dokumentation erläutert diese Voraussetzungen. Die allgemeine Verfügbarkeit der Teams-Integration im Tarif Business macht diesen Tarif nicht zu einem geeigneten Ersatz für die Verarbeitung von PHI.

Wenn Microsoft und Fax.Plus als getrennte Anbieter elektronische PHI erstellen, empfangen, speichern oder übermitteln, bestätigen Sie die geltenden Microsoft-BAA-Bedingungen und schließen Sie die Fax.Plus-BAA ab. Die Vereinbarung des einen Anbieters deckt den anderen nicht ab. Die HHS-Leitlinien zur cloud erläutern die vertraglichen Anforderungen für Covered Entities und Business Associates, die cloud-Anbieter nutzen.

Halten Sie fax-Dokumente im genehmigten Workflow für das Gesundheitswesen, solange die Teams-Verbindung bewertet wird. Zapier ist unter Fax.Plus ASC nicht verfügbar; die allgemeinen Automatisierungsbeispiele sind daher für diese Konten keine Einrichtung für das Gesundheitswesen.

Was sollte die Praxis freigeben, bevor der Workflow verbunden wird?

Legen Sie fest, welcher Dienst das fax speichert, welche Mitarbeitenden es bearbeiten und ob Patientendaten in Teams erlaubt sind. Prüfen Sie die Microsoft-Bedingungen, die Vereinbarung mit dem fax-Anbieter und die erforderlichen Kontoeinstellungen gemeinsam.

Zeigen Sie für den Empfang, wie eine Überweisung die vorgesehene prüfende Person erreicht, ohne unnötige Sichtbarkeit im Kanal. Dokumentieren Sie für die IT die zulässigen Nachrichtenfelder, Zugriffsregeln, Aufbewahrung und das Entfernen von Nutzern.

Wenn das Verhalten der Verbindung im Gesundheitskontext nicht bestätigt wurde, verwenden Sie für Patientendokumente das freigegebene fax-Konto und folgen Sie dem etablierten Kommunikationsverfahren Ihrer Organisation.