6.2 Patientenrechte nach HIPAA

Obwohl HIPAA oft als Gesetz für Gesundheitsdienstleister wahrgenommen wird, enthält es auch explizite Rechte für Patientinnen und Patienten. Diese Rechte sind weniger weitreichend als die Betroffenenrechte der DSGVO, aber in der US-amerikanischen Gesundheitsversorgung von praktischer Bedeutung — auch für Ausländerinnen und Ausländer, die in den USA behandelt werden.

Recht auf Einsicht in eigene Krankenakten

Patienten haben das Recht, ihre eigene Protected Health Information (PHI) in der sogenannten Designated Record Set einzusehen und eine Kopie zu erhalten. Die Covered Entity muss auf einen Antrag innerhalb von 30 Tagen reagieren — mit einer einmaligen Verlängerungsmöglichkeit um weitere 30 Tage, wenn eine schriftliche Begründung erfolgt. Für Kopien darf ein angemessenes Entgelt berechnet werden, das jedoch die tatsächlichen Kosten nicht übersteigen darf. Bestimmte Ausnahmen gelten: Psychotherapienotizen (Psychotherapy Notes) und Informationen in Zusammenhang mit laufenden Gerichtsverfahren können verweigert werden.

Wie stellt man einen Akteneinsichtsantrag?

Der Antrag ist in der Regel schriftlich an das Health Information Management Department (HIM) der Einrichtung zu richten. Viele Krankenhäuser stellen Formulare bereit oder bieten Online-Portale an. Wichtig: Die Einrichtung darf keine inhaltlichen Hürden aufbauen — das Recht besteht unabhängig davon, ob noch ausstehende Rechnungen vorhanden sind.

Recht auf Berichtigung

Patienten können verlangen, dass unrichtige oder unvollständige Informationen in ihrer Krankenakte berichtigt werden. Die Covered Entity kann den Antrag ablehnen, wenn sie glaubt, dass die Akte korrekt und vollständig ist — muss jedoch die Ablehnung begründen, und der Patient hat das Recht, eine eigene Stellungnahme in die Akte aufnehmen zu lassen.

Recht auf Auflistung von Offenlegungen

Für einen Zeitraum von bis zu sechs Jahren können Patienten eine Liste aller Offenlegungen ihrer PHI anfordern — mit Ausnahme von Offenlegungen zu Behandlung, Abrechnung und Betrieb (TPO), da diese als Routinevorgänge nicht separat protokolliert werden.

Recht auf Einschränkung und vertrauliche Kommunikation

Patienten können beantragen, dass bestimmte PHI nicht an bestimmte Personen weitergegeben wird. Außerdem können sie verlangen, über bestimmte Kanäle oder an bestimmten Adressen kontaktiert zu werden — z. B. nur per E-Mail, nicht per Post.

Vergleich mit der DSGVO

Die DSGVO gewährt Betroffenen umfassendere Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). HIPAA kennt kein Recht auf Löschung — einmal dokumentierte Behandlungsinformationen können nicht einfach gestrichen werden, da sie für die Kontinuität der Versorgung und für Haftungszwecke benötigt werden. Die DSGVO ist damit deutlich patientenfreundlicher ausgestaltet.