Ist Zapier HIPAA-konform?

Nein. Zapier erklärt, dass es nicht HIPAA-konform ist, kein Business Associate Agreement (BAA) unterzeichnet und nicht zum Speichern, Senden oder Automatisieren von geschützten Gesundheitsinformationen (PHI) verwendet werden darf. Auch die veröffentlichten FAQ zur Enterprise-Vereinbarung besagen, dass kein BAA angeboten wird.

Für eine Gesundheitseinrichtung, die eingehende Faxe oder Anfragen nach Unterlagen automatisiert, ist damit der Datenpfad entscheidend. Ein zulässiges Fax-Konto oder Ziel berechtigt nicht dazu, Patienteninformationen zwischendurch über Zapier zu leiten.

Was bedeutet die Richtlinie von Zapier für einen Patienten-Fax-Workflow?

Die Bedingungen von Zapier, gültig ab dem 9. April 2026, verbieten das Hochladen oder Übertragen sensibler personenbezogener Daten – einer Kategorie, die Patienten-, medizinische und HIPAA-regulierte Informationen umfasst. Die Einschränkung geht weiter als die Frage, ob einer Automatisierung ein Dokument angehängt ist.

Ein kostenpflichtiges Abonnement, ein Enterprise-Tarif, eine verschlüsselte Verbindung oder ein SOC 2-Bericht ersetzt nicht das fehlende BAA und setzt die veröffentlichte PHI-Richtlinie nicht außer Kraft. Bewerten Sie Sicherheitsnachweise im Rahmen ihres Geltungsbereichs, statt sie als vertragliche Erlaubnis zu behandeln.

Wenn Ihre Organisation eine von HIPAA erfasste Einrichtung oder ein Geschäftspartner ist und Anbieter für den Umgang mit elektronischen PHI auswählt, prüfen Sie Rolle und Vereinbarung jedes Anbieters. Das BAA eines vorgelagerten Fax-Dienstes deckt keine separate Automatisierungsplattform ab.

Wo kann PHI in die Fax-Automatisierung gelangen?

Stellen Sie sich einen geplanten Workflow vor, der auf ein neues Überweisungs-Fax reagiert und Informationen in ein anderes System weiterleitet. Das PDF ist eine mögliche Offenlegung, doch das Ereignis kann auch Informationen enthalten, die den Patienten identifizieren oder Rückschlüsse auf die Behandlung zulassen.

Prüfen Sie den gesamten Pfad, bevor Sie ein Live-Konto verbinden:

• Trigger und Tests: Welche Felder, Beispieldatensätze, Dateinamen, Nummern, Kennungen oder Links gelangen in den Automatisierungsdienst?
• Verarbeitung und Aktionen: Welche Schritte erhalten die ursprüngliche Payload, extrahierte Inhalte oder Zielangaben, und welche anderen Dienste erhalten das Ergebnis?
• Verlauf und Betriebsprotokolle: Was verbleibt in Testdaten, Ausführungsverlauf, Wiederholungsversuchen, Fehlermeldungen, Warnungen oder nachgelagerten Speichern?

Ein späterer Filter kann Informationen, die in einem früheren Schritt bereits eingegangen sind, nicht rückgängig machen. Ebenso kann ein Workflow, der in seiner Endausgabe harmlos aussieht, dennoch Patienteninformationen in seinem Trigger oder Ausführungsverlauf offenlegen.

Macht das Entfernen des Fax-Anhangs den Workflow geeignet?

Nicht automatisch. Eine Faxnummer, eine mit Patienten verknüpfte Kennung, ein Dateititel oder eine Dokument-URL kann auch ohne das PDF selbst sensible Zusammenhänge offenlegen. Prüfen Sie Inhalt und Beziehungen, statt die Payload nur nach ihrem Format zu beurteilen.

Das Entfernen von Namen oder deren Ersetzung durch ein Token belegt für sich genommen noch keine HIPAA-konforme De-Identifizierung. HHS beschreibt bestimmte Standards zur De-Identifizierung; die anwendbare Methode und die resultierenden Daten müssen angemessen bewertet werden.

Bei Fax.Plus-Konten mit Advanced Security Controls ist die Zapier-Verbindung ohnehin deaktiviert. Eine Payload ohne Anhang ändert nichts an dieser Produkteinschränkung.

Kann eine Gesundheitseinrichtung Zapier ohne PHI nutzen?

Die Richtlinien von Zapier erlauben Arbeiten im Gesundheitsbereich, bei denen keine PHI anfallen, vorbehaltlich der Bedingungen und sonstiger geltender Pflichten. Ein tatsächlich PHI-freier administrativer Workflow kann daher getrennt von der Verarbeitung von Patientendokumenten bewertet werden.

Stellen Sie fest, was Trigger, Aktionen und Verläufe tatsächlich enthalten. Gehen Sie nicht davon aus, dass Terminplanung, Abrechnung, Erinnerungen oder eine scheinbar aggregierte Ausgabe frei von Patienteninformationen sind, nur weil ihre Bezeichnungen administrativ klingen.

Das Fehlen von PHI setzt zudem Einschränkungen für andere sensible personenbezogene Daten nicht außer Kraft. Prüfen Sie die vollständigen Informations- und Servicebedingungen, bevor Sie einen Workflow in einer Organisation einsetzen.

Warum ist Zapier unter Fax.Plus ASC nicht verfügbar?

Fax.Plus deaktiviert Zapier, wenn Advanced Security Controls (ASC) aktiviert sind. Dies ist die aktuelle Einschränkung der Integration und keine optionale Einstellung für einzelne Patientendokumente. Die Dokumentation zur ASC-Integration bestätigt außerdem, dass die API weiterhin verfügbar ist.

Für die PHI-Verarbeitung in Organisationen mit Fax.Plus sind die Kontovoraussetzungen Enterprise, aktivierte ASC und ein unterzeichnetes BAA. Enterprise allein reicht nicht aus, und die Verfügbarkeit eines allgemeinen Zapier-Connectors in anderen Konfigurationen begründet keine Eignung für das Gesundheitswesen.

Die Verfügbarkeit der API bietet keine Ausnahme für das Weiterleiten von PHI über Zapier. Eine benutzerdefinierte Anfrage, ein Webhook, ein Formatter oder ein Code-Schritt bringt die Plattform dennoch in den Datenpfad; die Vereinbarung des Fax-Anbieters wird dadurch nicht ausgeweitet.

Was ist eine Alternative für die Automatisierung von Patienten-Faxen?

Eine direkte, ordnungsgemäß geprüfte Integration über die Fax.Plus API ist eine eigene Umsetzungsoption. Sie erfordert das berechtigte Enterprise-Konto, aktivierte ASC und ein unterzeichnetes BAA sowie eine genehmigte Umgebung für den Rest des Workflows.

Bewerten Sie die dokumentempfangenden Systeme, Authentifizierung und Berechtigungen, Speicherung, Betriebsprotokolle, Fehlerbehandlung und Ziele. Jeder Dienst, der elektronische PHI verarbeitet, benötigt eine für seine Rolle angemessene vertragliche und technische Regelung.

Halten Sie diese Architektur außerhalb einer Plattform, die solche Daten untersagt. Die Anbindung derselben API über Zapier schafft keine zugelassene Alternative. Die HHS-Leitlinien zur cloud erläutern die Pflichten von HIPAA erfassten Einrichtungen und Geschäftspartnern, die Cloud-Anbieter nutzen.

Eine kleine Praxis muss nicht für jede fax-Aufgabe eine individuelle Entwicklung beauftragen. Sie kann weiterhin Dokumente in ihrer zugelassenen fax-Umgebung verarbeiten und währenddessen prüfen, ob die Automatisierung den Implementierungs- und Governance-Aufwand rechtfertigt.

Was sollten Sie klären, bevor Sie echte Dokumente verwenden?

Legen Sie fest, welche Aufgabe Sie automatisieren möchten, welche Dienste beteiligt sind und welche Informationen jeder Dienst erhält. Bestätigen Sie die zugehörigen Vereinbarungen und Kontokonfigurationen und testen Sie das geplante Verhalten anschließend mit synthetischen Dokumenten statt mit echten Patientenakten.

Legen Sie fest, wer sich um eine fehlgeschlagene Aktion kümmert, wo das maßgebliche Dokument verbleibt und wie Mitarbeitende den Abschluss bestätigen. Eine erfolgreiche technische Übertragung oder ein erfolgreicher Automatisierungslauf belegt nicht, dass eine Ärztin oder ein Arzt das Dokument geprüft oder die Patientenakte korrekt aktualisiert wurde.