---

Zuletzt aktualisiert: 16. Juli 2025

1. Einführung

Diese HIPAA-Datenschutzrichtlinie erklärt, wie Bloo, Inc. („wir", „uns" oder „Blue") die Privatsphäre und Sicherheit geschützter Gesundheitsinformationen (PHI) in Übereinstimmung mit dem Health Insurance Portability and Accountability Act von 1996 (HIPAA) und seinen Umsetzungsverordnungen schützt. Diese Richtlinie gilt für unsere Website www.Blue.cc und unsere B2B-SaaS-Plattform, wenn sie zur Verarbeitung von PHI verwendet wird.

2. Definitionen

• Geschützte Gesundheitsinformationen (PHI): Alle Informationen über den Gesundheitszustand, die Bereitstellung von Gesundheitsversorgung oder die Bezahlung für Gesundheitsversorgung, die mit einer bestimmten Person verknüpft werden können.
• Betroffene Einrichtung: Gesundheitsdienstleister, Gesundheitspläne und Gesundheitsclearingstellen, die Gesundheitsinformationen elektronisch übermitteln.
• Geschäftspartner: Eine Person oder Einrichtung, die bestimmte Funktionen oder Aktivitäten ausführt, die die Nutzung oder Offenlegung von PHI im Namen einer betroffenen Einrichtung beinhalten oder Dienstleistungen für diese erbringen.

3. Unsere Rolle

Blue fungiert als Geschäftspartner für betroffene Einrichtungen, wenn unsere B2B-SaaS-Plattform zur Verarbeitung von PHI verwendet wird. Wir verpflichten uns, in dieser Eigenschaft die HIPAA-Bestimmungen einzuhalten.

4. PHI, die wir verarbeiten können

Als Geschäftspartner können wir verschiedene Arten von PHI verarbeiten, einschließlich aber nicht beschränkt auf:

• Patientennamen
• Adressen
• Daten (Geburt, Aufnahme, Entlassung usw.)
• Telefonnummern
• E-Mail-Adressen
• Krankenakten-Nummern
• Kontonummern
• Gesundheitsplan-Begünstigten-Nummern

5. Nutzung und Offenlegung von PHI

Wir verwenden oder legen PHI nur entsprechend unserer Geschäftspartnervereinbarung mit der betroffenen Einrichtung und in Übereinstimmung mit HIPAA-Bestimmungen offen. Dies kann Folgendes umfassen:

• Bereitstellung unserer B2B-SaaS-Plattform-Dienstleistungen
• Durchführung von Datenanalysen zur Verbesserung unserer Dienstleistungen
• Durchführung von Systemwartung und Fehlerbehebung

Wir verwenden oder legen PHI nicht für Marketingzwecke offen oder verkaufen PHI, es sei denn, dies wird ausdrücklich von der betroffenen Einrichtung und der betroffenen Person autorisiert.

6. Datensicherheitsmaßnahmen

Wir implementieren robuste Sicherheitsmaßnahmen zum Schutz von PHI, einschließlich:

• Unternehmensweite Verschlüsselung (AES-256) für ruhende und übertragene Daten
• Erweiterte Überwachungs- und Warnsysteme
• Multi-Faktor-Authentifizierung (MFA) für Backend-Systeme
• Regelmäßige Sicherheitsaudits durch Dritte
• Tägliche Datensicherungen
• Zusammenarbeit mit externen Sicherheitsforschern

7. Mitarbeiterschulung und Zugang

Alle unsere Mitarbeiter erhalten regelmäßige Schulungen zur HIPAA-Compliance. Der Zugang zu PHI ist auf autorisiertes Personal auf einer Need-to-Know-Basis beschränkt.

8. Datenaufbewahrung

Wir bewahren PHI nur so lange auf, wie es zur Erbringung unserer Dienstleistungen erforderlich ist oder gesetzlich vorgeschrieben. Sobald PHI gelöscht wird, bewahren wir sie 30 Tage lang auf, bevor sie dauerhaft gelöscht wird.

9. Datenspeicherung und -übertragung

PHI wird verschlüsselt in AWS-Rechenzentren gespeichert. Wenn wir PHI außerhalb der Vereinigten Staaten übertragen (z. B. nach Singapur), stellen wir sicher, dass angemessene Schutzmaßnahmen vorhanden sind und alle geltenden Gesetze und Vorschriften eingehalten werden.

10. Benachrichtigung bei Datenschutzverletzungen

Im Falle einer Verletzung ungesicherter PHI benachrichtigen wir die betroffenen Einrichtungen ohne unangemessene Verzögerung und in keinem Fall später als 60 Kalendertage nach Entdeckung der Verletzung.

11. Rechte der betroffenen Personen

Wir unterstützen betroffene Einrichtungen bei der Erfüllung ihrer Verpflichtungen, Personen ihre Rechte unter HIPAA zu gewähren, einschließlich:

• Recht auf Zugang zu ihren PHI
• Recht auf Beantragung von Änderungen an ihren PHI
• Recht auf eine Aufstellung der Offenlegungen
• Recht auf Beantragung von Beschränkungen der Nutzung und Offenlegung ihrer PHI
• Recht auf Beantragung vertraulicher Kommunikation

Personen sollten sich an ihren Gesundheitsdienstleister (die betroffene Einrichtung) wenden, um diese Rechte auszuüben.

12. Geschäftspartnervereinbarungen (BAAs)

Als Geschäftspartner verpflichtet sich Blue, Geschäftspartnervereinbarungen (BAAs) mit betroffenen Einrichtungen abzuschließen, wie von HIPAA gefordert. Wenn Sie eine betroffene Einrichtung sind und unsere Dienstleistungen für die Verarbeitung geschützter Gesundheitsinformationen (PHI) nutzen möchten, benötigen Sie eine unterzeichnete BAA mit uns.

Um eine BAA anzufordern:

1. Kontaktieren Sie unser Vertriebsteam unter sales@blue.cc oder über unser Website-Kontaktformular.
2. Geben Sie an, dass Sie eine betroffene Einrichtung sind, die eine BAA für HIPAA-Compliance benötigt.
3. Stellen Sie den Namen Ihrer Organisation und Kontaktinformationen bereit.
4. Unser Team wird innerhalb von 2 Geschäftstagen mit unserer Standard-BAA antworten oder individuelle Anforderungen besprechen.

Bitte beachten Sie:

• Wir verwenden eine Standard-BAA-Vorlage, die von unserem Rechtsteam für HIPAA-Compliance überprüft wurde.
• Jede Änderung an unserer Standard-BAA kann zusätzliche Überprüfung und Genehmigung erfordern.
• Wir empfehlen, dass Sie die BAA von Ihrem eigenen Rechtsberater überprüfen lassen, bevor Sie sie unterzeichnen.
• Eine unterzeichnete BAA muss vorhanden sein, bevor PHI über unsere Plattform verarbeitet wird.

13. Änderungen an dieser Richtlinie

Wir können diese HIPAA-Datenschutzrichtlinie von Zeit zu Zeit aktualisieren. Wir werden betroffene Einrichtungen über wesentliche Änderungen informieren, indem wir die neue Datenschutzrichtlinie auf dieser Seite veröffentlichen. Alle versionskontrollierten Änderungen finden Sie in unserem Gitlab Repository

14. Kontakt

Wenn Sie Fragen zu dieser HIPAA-Datenschutzrichtlinie, unseren Datenpraktiken oder unserem BAA-Prozess haben, kontaktieren Sie bitte unseren Datenschutzbeauftragten:

Emanuele FAJA, CEO
E-Mail: support@blue.cc