HIPAA-Konformität bei Exclaimer
Exclaimer ist ein HIPAA Business Associate. Wir schließen Business Associate Agreements (BAAs) mit US-Kunden aus dem Gesundheitswesen ab, die dies wünschen, und setzen die administrativen, physischen und technischen Schutzmaßnahmen um, die Business Associates nach der HIPAA Security Rule (45 CFR Part 164) erfüllen müssen.
Die vollständige HIPAA-Dokumentation, einschließlich BAA-Prozess und Nachweisen, finden Sie im Exclaimer Trust Center.
Wie erfüllt Exclaimer die HIPAA-Anforderungen?
Anforderung | So erfüllt Exclaimer sie |
|---|---|
Business-Associate-Status | Agiert als HIPAA Business Associate |
Business Associate Agreements | Schließt auf Anfrage BAAs mit US-Kunden aus dem Gesundheitswesen ab |
Umgang mit PHI | Verarbeitet PHI ausschließlich während der Übertragung, ohne dauerhafte Speicherung von E-Mail-Inhalten |
Benennung eines Security Officers | Benennt Karl Bagci als HIPAA Security Officer gemäß 45 CFR § 164.308(a)(2) |
Unabhängiges Audit | Betreibt Kontrollen, die von BARR Advisory nach SOC 2 Type II auditiert werden |
HIPAA und die Rolle von Exclaimer
Der Health Insurance Portability and Accountability Act (HIPAA) ist ein US-Bundesgesetz zum Schutz sensibler Patientengesundheitsdaten.
Exclaimer verarbeitet E-Mails im Auftrag seiner Kunden. Handelt es sich bei diesen Kunden um US-Organisationen des Gesundheitswesens, können die E-Mails, die unsere Plattform durchlaufen, geschützte Gesundheitsdaten (Protected Health Information, PHI) enthalten. Damit fällt Exclaimer als Business Associate in den Anwendungsbereich von HIPAA.
Ob HIPAA für Ihr Unternehmen und Ihre Nutzung von Exclaimer gilt, liegt in Ihrer Verantwortung. Wo dies der Fall ist, sind unsere Rolle und unsere Pflichten in einem Business Associate Agreement geregelt.
Was ist ein Business Associate Agreement (BAA)?
Ein Business Associate Agreement ist ein gesetzlich vorgeschriebener Vertrag zwischen einer Covered Entity und einem Business Associate. Er legt die zulässige Verwendung und Offenlegung von PHI fest und verpflichtet den Business Associate, angemessene Schutzmaßnahmen umzusetzen.
Wie Exclaimer geschützte Gesundheitsdaten verarbeitet
Wir verarbeiten E-Mails während der Übertragung, um die richtige Signatur anzuwenden. Die Nachrichten durchlaufen unsere Plattform, die Signatur wird im Arbeitsspeicher angewendet, und die Nachricht wird in den E-Mail-Fluss des Kunden zurückgegeben, ohne gespeichert zu werden. Verarbeitete E-Mails werden nicht archiviert, und für Mitarbeitende von Exclaimer gibt es keine Möglichkeit, auf E-Mail-Inhalte zuzugreifen.
Für US-Kunden aus dem Gesundheitswesen bedeutet das: PHI in einer E-Mail durchläuft Exclaimer ausschließlich während der Übertragung. Sie wird weder aufbewahrt noch indexiert, und unsere Teams haben keinen Zugriff darauf. Das entspricht der Anforderung der HIPAA Security Rule, ePHI vor unbefugtem Zugriff und unbefugter Offenlegung zu schützen.
Daten werden während der Übertragung und im Ruhezustand verschlüsselt, gemäß den Standards der HIPAA Security Rule für Übertragungssicherheit und Verschlüsselung.
Wie erhalte ich ein Business Associate Agreement von Exclaimer?
Wenn Ihre Nutzung von Exclaimer PHI betrifft, fordern Sie ein BAA über das Exclaimer Trust Center an. Unser Security-Team erläutert Ihnen die Vereinbarung und die zugehörige Dokumentation auch direkt.
Der HIPAA Security Officer von Exclaimer
HIPAA verpflichtet jeden Business Associate, einen Security Officer zu benennen, der für die Richtlinien und Verfahren zum Schutz von PHI verantwortlich ist (45 CFR § 164.308(a)(2)).
Der benannte HIPAA Security Officer von Exclaimer ist Karl Bagci, Leiter IT und Informationssicherheit. Er verantwortet unser HIPAA-Compliance-Programm.
Bei HIPAA-spezifischen Fragen wenden Sie sich an unser Security-Team unter [email protected].
Welche Schutzmaßnahmen der HIPAA Security Rule setzt Exclaimer um?
Exclaimer betreibt die administrativen, physischen und technischen Schutzmaßnahmen, die Business Associates nach der HIPAA Security Rule erfüllen müssen. Diese Kontrollen sind Teil unseres übergreifenden Informationssicherheitsprogramms.
Exclaimer setzt unter anderem folgende Kontrollen um:
Zugriffskontrollen: Rollenbasierter Zugriff, der den Zugang zu PHI auf autorisiertes Personal beschränkt
Audit-Protokollierung: Umfassende Protokollierung der Systemaktivität zur Sicherheitsüberwachung
Verschlüsselung: TLS für Daten während der Übertragung und AES-256-Verschlüsselung im Ruhezustand
Intrusion Prevention: Netzwerksicherheitskontrollen zur Erkennung und Verhinderung unbefugter Zugriffe
Security-Awareness-Schulungen: Regelmäßige HIPAA- und Sicherheitsschulungen für das gesamte Personal
Dieses Programm wird unabhängig auditiert, und zwar im Rahmen unserer SOC-2-Type-II-Attestierung, die Sicherheit, Verfügbarkeit und Vertraulichkeit abdeckt. Das jüngste Audit wurde im Februar 2026 von BARR Advisory abgeschlossen.
Wo finde ich die HIPAA-Dokumentation und das BAA von Exclaimer?
HIPAA-spezifische Nachweise, darunter unser Business Associate Agreement, ergänzende Richtlinien und die Auditberichte, die unser Sicherheitsprogramm belegen, finden Sie im Exclaimer Trust Center. Dort liegen außerdem vorab ausgefüllte Antworten auf die Sicherheits- und Compliance-Fragen, die Käufer bei der Anbieterprüfung am häufigsten stellen.
Wenn Sie Dokumentation oder Kontext benötigen, die wir nicht veröffentlicht haben, hilft Ihnen unser Security-Team direkt weiter.
Zum Trust Center →Häufig gestellte Fragen zu Exclaimer und HIPAA
Nein, denn es gibt kein HIPAA-Zertifizierungsprogramm. HIPAA ist ein Regelwerk, kein Zertifizierungsstandard. Exclaimer belegt die Konformität durch die betriebenen Schutzmaßnahmen, die mit Kunden geschlossenen Business Associate Agreements und die unabhängigen Audits, die unser übergreifendes Sicherheitsprogramm validieren (darunter SOC 2 Type II).
Ja. Wenn die Nutzung von Exclaimer durch einen US-Kunden aus dem Gesundheitswesen geschützte Gesundheitsdaten (PHI) betrifft, agiert Exclaimer als Business Associate im Sinne von HIPAA.
Ja. Exclaimer schließt Business Associate Agreements mit US-Kunden aus dem Gesundheitswesen ab, die dies wünschen.
Exclaimer verarbeitet E-Mails ausschließlich während der Übertragung. Die Nachrichten durchlaufen unsere Plattform, die Signatur wird im Arbeitsspeicher angewendet, und die Nachricht wird in den E-Mail-Fluss des Kunden zurückgegeben, ohne gespeichert zu werden. Verarbeitete E-Mails werden nicht archiviert, und für Mitarbeitende von Exclaimer gibt es keine Möglichkeit, auf E-Mail-Inhalte zuzugreifen.
Unser Business Associate Agreement, ergänzende Richtlinien und Auditnachweise sind über das Exclaimer Trust Center verfügbar.
Sprechen Sie mit dem Security-Team von Exclaimer
Bei konkreten HIPAA-Fragen, BAA-Bedingungen oder allem, was unsere öffentliche Dokumentation nicht abdeckt, steht Ihnen unser Security-Team gern für ein direktes Gespräch zur Verfügung.
Security-Team kontaktieren →