Was HIPAA von einem Telefonsystem verlangt
Ein Patient gibt geschützte Gesundheitsdaten preis, sobald er einen Namen und einen Anrufgrund nennt. Damit fällt der Telefonservice als Business Associate unter die Regulierung, und daraus folgen vier Pflichten.
Ein unterzeichneter BAA ist der erste und der, den man überspringt. Dann die Verschlüsselung der Daten bei der Übertragung und im Ruhezustand — das Audio, das Transkript und alles, was in Ihre Systeme geschrieben wird. Dann Zugriffskontrolle mit Audit-Trail, damit Sie sagen können, wer einen bestimmten Datensatz gelesen hat. Dann eine Aufbewahrungsrichtlinie mit einem Mechanismus dahinter, denn eine erklärte Richtlinie ohne Löschjob ist eine Absichtserklärung.
Zwei Dinge, die HIPAA nicht verlangt, die Anbieter aber oft so darstellen: einen SOC-2-Bericht und irgendeine bestimmte Zertifizierung. Beides ist ein nützlicher Beleg für allgemeine Sicherheitspraxis, aber es ist nicht die Regulierung.
BAA und wer ihn unterzeichnet
Die verantwortliche Stelle — Ihre Praxis — unterzeichnet mit jedem Business Associate, der PHI berührt. Dazu gehört der Telefonservice, und dazu gehört jeder, an den der Telefonservice die Daten weitergibt — die Kette, der die meisten Prüfungen nicht bis zum Ende folgen. Hinter einem KI-Agenten steht ein Modellanbieter, und dessen Speicherverhalten gehört zu Ihrem Risiko, ob es in Ihrem Vertrag auftaucht oder nicht.
Finn schließt BAAs für Enterprise-Projekte ab, die PHI verarbeiten — pro Projekt statt als pauschale Klausel in jedem Tarif, angefragt über das Trust Centre. Unterzeichnen Sie ihn, bevor Patientendaten fließen. Ein nachträglich vereinbarter BAA deckt rückwirkend nicht ab, was bereits geschehen ist.
Es lohnt sich, klar zu sagen, wo die Grenze verläuft: Der Anbieter ist für die Kontrollen der Plattform verantwortlich, und Sie bleiben dafür verantwortlich, wozu Sie sie einsetzen — welche Anrufe Sie führen, auf welcher Grundlage, bei wem. Diese Aufteilung ist in den Hinweisen zu Einwilligung und Rechtdargelegt, und kein Anbieter kann Ihnen diese Hälfte abnehmen.
PHI in Transkripten und Aufzeichnungen
Hier unterscheiden sich KI-Telefonservices deutlich von menschlichen, und hier sollte die Prüfung ansetzen. Ein menschlicher Service erzeugt eine Nachricht: eine kurze, kuratierte Notiz, die jemand getippt hat. Ein KI-Service erzeugt ein wörtliches Transkript von allem, was der Patient gesagt hat, dazu die Audioaufnahme und alle extrahierten strukturierten Daten — mehrere Kopien derselben PHI in verschiedenen Systemen, jede mit eigenem Speicherverhalten.
Mehr Daten sind nicht automatisch schlechter; ein Transkript ist tatsächlich nützlicher und besser prüfbar als eine Zusammenfassung. Aber es ist mehr Angriffsfläche, und so sollte man es behandeln. Finn verschlüsselt Aufzeichnungen, Transkripte und PII standardmäßig mit AES-256 im Ruhezustand und TLS 1.3 bei der Übertragung und kann Kartennummern, SSNs und Kontonummern automatisch aus Transkripten redigieren, mit eigenen Mustern für alles, was für Ihre Organisation spezifisch ist — sodass manche Kategorien gar nicht erst in lesbarer Form gespeichert werden.
Die Modellebene ist der Teil, den die meisten Prüfungen übersehen. Finn trainiert nicht mit Kundendaten und nutzt Modell-APIs ohne Datenspeicherung, das heißt: Der Modellanbieter hält die Audioaufnahme nach dem Anruf nicht vor. Fragen Sie jeden Anbieter gezielt danach, denn „wir trainieren nicht mit Ihren Daten" und „unsere Unterauftragsverarbeiter speichern sie nicht" sind zwei verschiedene Aussagen, und meist wird nur eine davon gemacht.
Aufbewahrung und Zugriffskontrolle
Zugriffskontrolle ist nur so viel wert, wie Sie beweisen können. Finn schreibt jeden Datenzugriff zusammen mit API-Aufrufen und Konfigurationsänderungen in ein unveränderliches, exportierbares Audit-Log — das ist der Nachweis, auf den es bei einer Untersuchung ankommt. Die Frage lautet nie „haben Sie Zugriffskontrollen", sondern „zeigen Sie mir, wer diesen Datensatz geöffnet hat".
Zu Zertifizierungen, klar gesagt: Finn hält ISO/IEC 27001:2022 und ISO/IEC 20000-1:2018. Finn ist nicht SOC-2-testiert — ein Audit läuft mit A-LIGN, der Bericht wird für August 2026 erwartet. Das steht hier aus demselben Grund, aus dem es diese Seite gibt: Ein Leitfaden, der Ihnen sagt, Anbieterangaben zu hinterfragen, darf bei den eigenen nicht vage bleiben.
Checkliste
Sechs Fragen, die Sie jedem Anbieter stellen sollten, Finn eingeschlossen. Die Antworten sind aufschlussreicher als die Compliance-Seite.
- 1
Unterzeichnen Sie ein BAA, und ab welchem Tarif?
Wenn die Antwort ein Upgrade beinhaltet, ist das ein Preis, keine Compliance-Position. Lassen Sie sich die Stufe schriftlich geben.
- 2
Was genau wird verschlüsselt, und wo liegen die Schlüssel?
„Verschlüsselt" ohne Objekt ist keine Antwort. Fragen Sie getrennt nach Audio, Transkripten, Backups und Logs.
- 3
Wie lange werden Aufzeichnungen und Transkripte aufbewahrt, und was löscht sie?
Eine Aufbewahrungsrichtlinie ohne Löschmechanismus ist eine Absichtserklärung.
- 4
Speichern Ihre Modellanbieter die Audiodaten oder trainieren sie damit?
Die Unterauftragsverarbeiter Ihres Anbieters sind Ihr Risiko. Fragen Sie gezielt nach der Modellebene, nicht nur nach der Plattform.
- 5
Können Sie ein Zugriffsprotokoll für einen bestimmten Datensatz erstellen?
Der Test ist, ob sie Ihnen zeigen können, wer ein bestimmtes Transkript gelesen hat, nicht ob Logging grundsätzlich existiert.
- 6
Welche Zertifizierungen haben Sie heute, und welche sind in Arbeit?
„In Arbeit" ist in Ordnung und üblich. „Compliant" so verwendet, dass es ein Audit impliziert, das niemand abgeschlossen hat, ist es nicht.
