3CX HIPAA-Richtlinie

Zweck dieser Richtlinie

  1. Diese HIPAA-Richtlinie verdeutlicht, inwieweit der Health Insurance Portability and Accountability Act von 1996 (HIPAA) auf die von 3CX angebotenen Dienstleistungen Anwendung findet und legt die Verantwortlichkeiten der Kunden fest, die geschützte Gesundheitsinformationen (PHI) über die 3CX-Kommunikationsplattform verarbeiten.
  2. Diese Richtlinie ist in Verbindung mit Folgendem zu lesen:
  1. die 3CX-Datenschutzrichtlinie
  2. die 3CX-Nutzungsbedingungen
  3. die 3CX-Datenverarbeitungsvereinbarung (DPA)
  4. die 3CX-Endbenutzer-Lizenzvereinbarung (EULA)
  5. die 3CX-Richtlinie zur fairen Nutzung
  6. die 3CX-Datenschutz- und Cookie-Richtlinie und
  7. alle weiteren Richtliniendokumente, die 3CX gegebenenfalls veröffentlicht.

3CX ist nicht standardmäßig ein HIPAA-Geschäftspartner.

  1. 3CX bietet Software für die Unternehmenskommunikation und zugehörige Dienstleistungen (PBX, Messaging, Anrufbearbeitung und Integrationen) an.
  2. 3CX erstellt, empfängt, verwaltet oder übermittelt keine PHI im Auftrag einer Einrichtung, die den HIPAA-Bestimmungen unterliegt, für HIPAA-regulierte Zwecke.

Entsprechend:

  1. 3CX erfüllt nicht die Kriterien eines „Geschäftspartners“ gemäß HIPAA und bietet standardmäßig keine HIPAA-konformen Dienstleistungen an.
  2. Die Nutzung der Dienste von 3CX erfüllt nicht automatisch die Sicherheits-, Datenschutz- oder Verwaltungsanforderungen von HIPAA.

Verantwortung des Kunden für die Einhaltung der HIPAA-Bestimmungen

  1. Wenn ein Kunde eine unter HIPAA fallende Stelle oder ein Geschäftspartner ist, trägt der Kunde die alleinige Verantwortung für:
  1. Beurteilung, ob die Funktionen von 3CX für die Verarbeitung von PHI geeignet sind.
  2. Umsetzung aller notwendigen administrativen, technischen und organisatorischen Sicherheitsvorkehrungen.
  3. Sicherstellen, dass PHI nicht über Funktionen des 3CX-Systems übertragen oder gespeichert wird, die für HIPAA-Umgebungen ungeeignet sind (z. B. Voicemail-Speicherung, Anrufaufzeichnungen, Anruftranskription, Integrationen von Drittanbietern).
  4. Verhindern, dass PHI über unverschlüsselte Kanäle oder Funktionen weitergegeben wird, die nicht für die sichere medizinische Kommunikation vorgesehen sind.
  5. Sicherstellen, dass ihre Mitarbeiter die geltenden HIPAA-Bestimmungen einhalten.
  1. Nichts in der 3CX-Dokumentation sollte so interpretiert werden, als ob 3CX ein HIPAA-konformes Kommunikationssystem sei oder dass seine Dienste für die Verarbeitung von PHI ausgelegt seien.

3CX-Verarbeitung von Kundendaten

  1. 3CX verarbeitet Kundendaten gemäß:
  1. anwendbare Datenschutzgesetze (z. B. DSGVO)
  2. die 3CX-Datenschutzrichtlinie und
  3. die 3CX DPA

Jedoch:

  1. 3CX überwacht, greift nicht auf den Inhalt von Anrufen, Nachrichten oder Kommunikationen zu und prüft diesen auch nicht, es sei denn, dies ist gesetzlich vorgeschrieben. 3CX übernimmt keine Verpflichtung, geschützte Gesundheitsdaten (PHI) innerhalb der Kundenkommunikation zu identifizieren oder zu schützen.
  2. Die Kunden sind weiterhin dafür verantwortlich, ihre Systeme so zu konfigurieren, dass die Übermittlung von PHI über 3CX vermieden wird, sofern dies nicht angebracht ist.

Anrufaufzeichnungen, Transkriptionen und Speichermöglichkeiten

  1. Bestimmte optionale 3CX-Funktionen können die Speicherung oder Verarbeitung von Sprach- oder Textdaten beinhalten (z. B. Anrufaufzeichnungen, Anrufwarteschlangen, Chatprotokolle).
  2. 3CX übernimmt keine Gewähr dafür, dass diese Funktionen die strengen Verschlüsselungs- und Prüfanforderungen von HIPAA erfüllen.
  3. Kunden, die mit PHI umgehen, müssen:
  1. Deaktivieren Sie alle Funktionen, die für PHI nicht geeignet sind;
  2. Sicherstellen, dass Verschlüsselung, Zugriffskontrollen, Aufbewahrungseinstellungen und Prüfverfahren mit HIPAA übereinstimmen;
  3. Vermeiden Sie die Übermittlung von PHI in jeglicher Form, es sei denn, sie haben ihre Compliance-Verpflichtungen unabhängig geprüft und bestätigt.

Anfragen von Strafverfolgungsbehörden und Regierungsstellen (Interaktion gemäß HIPAA)

  1. Wenn 3CX eine Anfrage von Strafverfolgungsbehörden auf Zugriff auf Kundendaten erhält, wird 3CX ausschließlich antworten:
  1. soweit dies nach geltendem Recht erforderlich ist
  2. wenn eine Anfrage ordnungsgemäß an die zuständige 3CX-Entität zugestellt wird.
  3. und stets im Einklang mit den Bestimmungen der DSGVO, den vertraglichen Verpflichtungen und den Verfahrenspflichten.
  1. HIPAA verpflichtet 3CX nicht unabhängig zur Offenlegung von PHI.
  2. Informelle, unbegründete oder unsachgemäß zugestellte Anfragen – einschließlich solcher, die Betrug im Gesundheitswesen behaupten – werden von 3CX nicht bearbeitet.

Keine HIPAA-Garantien

  1. Soweit gesetzlich zulässig:
  1. 3CX lehnt jegliche ausdrückliche oder stillschweigende Gewährleistung in Bezug auf die Einhaltung der HIPAA-Bestimmungen oder die Eignung zur Verarbeitung von PHI ab.
  2. Die Dienstleistungen werden „wie besehen“ bereitgestellt und sind nicht für die Nutzung gemäß HIPAA zertifiziert, es sei denn, dies ist ausdrücklich in einer schriftlichen Vereinbarung festgelegt.

Optionale HIPAA-konforme Konfigurationen

  1. Falls ein Kunde eine HIPAA-konforme Nutzung des 3CX-Systems benötigt, gelten folgende Bestimmungen:
  1. Dies muss in einer separaten Vereinbarung mit 3CX geregelt werden.
  2. Eine HIPAA-spezifische Sicherheitsbewertung ist erforderlich.
  3. Es können zusätzliche Kontrollen, Einschränkungen oder architektonische Beschränkungen gelten.
  4. 3CX kann die Unterstützung der HIPAA-regulierten Nutzung verweigern, wenn die Systemarchitektur nicht mit den regulatorischen Anforderungen übereinstimmt.

Aktualisierungen dieser Richtlinie

  1. 3CX kann diese Richtlinie aktualisieren, um Änderungen der Dienste, rechtlicher Anforderungen oder branchenüblicher Praktiken Rechnung zu tragen. Aktualisierungen werden auf der 3CX-Website veröffentlicht.

Siehe auch


Letztes Update

Dieses Dokument wurde zuletzt am 2. Februar 2026 aktualisiert

https://www.3cx.de/unternehmen/hipaa-richtlinie/