# HIPAA und das Business Associate Agreement (/docs/de/trust/hipaa)

Diese Seite fasst das veröffentlichte [Business Associate Agreement](https://salisan.com/us/legal/baa), die [Nutzungsbedingungen](https://salisan.com/us/legal/terms) und die [Datenschutzerklärung](https://salisan.com/us/legal/privacy) für Praxen in den Vereinigten Staaten zusammen, ersetzt sie aber nicht. Für Praxen in der EU gilt stattdessen die DSGVO; siehe [DSGVO](/docs/de/trust/gdpr).

## Wer wofür verantwortlich ist [#roles]

Die Praxis ist die Covered Entity oder ein Business Associate einer Covered Entity, und Salisan, Inc. ist ihr Business Associate (BAA Abschnitt 2.1). Das BAA gilt für geschützte Gesundheitsinformationen (PHI), die Salisan für die Praxis erstellt, empfängt, speichert oder übermittelt. Konto-, Anmelde- und Abrechnungsdaten sind keine PHI; für sie gilt die US-Datenschutzerklärung (Abschnitt 2.3).

Salisan nutzt und offenbart PHI nur, um den Dienst bereitzustellen, abzusichern und zu unterstützen, für die eigene Verwaltung und soweit das Gesetz es verlangt. Salisan verkauft sie nicht und nutzt sie nicht für Marketing (Abschnitte 3.1, 3.2 und 3.7).

## Das Business Associate Agreement [#baa]

Ein Inhaber akzeptiert das BAA zusammen mit den Nutzungsbedingungen in der App, bevor die Praxis Patientendaten eingibt. Die Annahme in der App ist die elektronische Unterschrift der Praxis. Für ein von beiden Seiten unterschriebenes Exemplar senden Sie das Unterschriftsformular am Ende des BAA an legal@salisan.com. Ist die Annahme eines erforderlichen Dokuments überfällig, kann die Praxis ihre Daten weiter lesen und exportieren, aber neue Patientenarbeit pausiert, bis ein Inhaber annimmt.

Das BAA liegt in der Version 2026-11-06 vor. Es unterliegt dem Recht von Delaware, außer soweit die HIPAA-Regeln gelten (Abschnitt 16.6). Siehe [wie Versionen funktionieren](/docs/de/trust/legal-documents#versions).

## Wo Daten gespeichert werden [#location]

Salisan speichert PHI in den Vereinigten Staaten (Abschnitt 4.3), in AWS us-east-1, Northern Virginia, in einem AWS-Konto, das nur für den US-Dienst genutzt wird. Backups laufen innerhalb von 35 Tagen ab. Siehe [Datenstandort](/docs/de/trust/data-location#hosting).

## Subunternehmer und KI [#subcontractors]

Die [Subunternehmerliste](https://salisan.com/us/legal/subcontractors) nennt die zwei Subunternehmer, die PHI erhalten, jeweils mit einem Business Associate Agreement:

- **Amazon Web Services, Inc.**: Hosting in us-east-1, darunter Datenbank, Dateispeicher, E-Mail, Übersetzung, Spracherkennung mit Amazon Transcribe, Webrecherche, die nur anonymisierte Fragen erhält, Protokollierung und Backups.
- **Fireworks.ai, Inc.**: die KI-Modelle. Anfragen werden ohne Datenaufbewahrung verarbeitet und nicht gespeichert.

Die KI-Anbieter von Salisan nutzen PHI nicht, um ihre Modelle zu trainieren oder zu verbessern (Abschnitt 6.1). Inhaber werden mindestens 15 Tage vorher informiert, bevor ein neuer Subunternehmer PHI erhält, und die Praxis kann vorher kündigen (Abschnitt 6.2). [So funktioniert die KI](/docs/de/trust/how-the-ai-works#providers) zeigt, was jede Funktion sendet.

## Meldung von Datenschutzverletzungen [#breach]

Salisan informiert die Inhaber der Praxis per E-Mail über eine Verletzung ungesicherter PHI ohne unangemessene Verzögerung und innerhalb von 30 Kalendertagen nach der Entdeckung, mit den Angaben nach 45 CFR 164.410(c), soweit sie bekannt sind (Abschnitt 5.2). Die Praxis entscheidet, ob und wie sie Patienten, das US-Gesundheitsministerium und die Medien informiert; Salisan hilft bei Eindämmung und Untersuchung (Abschnitt 5.5).

## Patientenrechte [#patient-rights]

Patienten wenden sich für Auskunft, Berichtigung oder eine Aufstellung der Offenlegungen an ihre Praxis. Schreibt ein Patient an Salisan, leitet Salisan die Anfrage innerhalb von 10 Werktagen an die Praxis weiter (Abschnitt 7.3).

- **Auskunft und Berichtigung.** Exportieren Sie die Patientenakte, und berichtigen oder ergänzen Sie Einträge, wobei ihr Verlauf sichtbar bleibt. Siehe [Patientenrechte](/docs/de/trust/patient-rights#export). Was Sie in der App nicht tun können, erledigt Salisan auf Ihre schriftliche Anfrage innerhalb von 15 Werktagen (Abschnitt 7.1).
- **Aufstellung der Offenlegungen.** Exportieren Sie die Akte mit dem Zugriffsprotokoll. Für eine US-Praxis enthält der Export zusätzlich eine Aufstellung der Offenlegungen der letzten sechs Jahre. Sie lässt Behandlung, Zahlung, Praxisbetrieb und Offenlegungen an den Patienten aus, wie 45 CFR 164.528 es erlaubt. Ihre eigenen aufzuführenden Offenlegungen gibt Salisan Ihnen innerhalb von 15 Werktagen nach einer schriftlichen Anfrage (Abschnitt 7.2).

## Ihre Pflichten [#practice-duties]

Das BAA überlässt der Praxis Folgendes (Abschnitt 8):

- Informieren Sie Salisan über Einschränkungen in Ihrer Notice of Privacy Practices und über vereinbarte Beschränkungen, soweit sie die Nutzung der Informationen durch Salisan betreffen.
- Holen Sie jede gesetzlich erforderliche Einwilligung, Genehmigung oder Mitteilung ein, auch nach Gesetzen der Bundesstaaten zum Schutz von Unterlagen zu psychischer Gesundheit, HIV, reproduktiver Gesundheit und Substanzgebrauchsstörungen.
- Nutzen Sie Rollen, Behandlungsteams und den KI-Ausschluss, um Informationen zu schützen, die mehr Schutz brauchen, und informieren Sie Salisan schriftlich, bevor Sie Unterlagen nach 42 CFR Part 2 hinzufügen.

## Kontakt [#contact]

Senden Sie Fragen zum BAA an legal@salisan.com und Datenschutzanfragen zu Ihrem eigenen Konto an privacy@salisan.com. Salisan antwortet darauf innerhalb von 45 Tagen.