New York treibt erneut das Gesetz zum Schutz der Gesundheitsdaten von Verbrauchern voran: Neue Herausforderungen für die Datencompliance, auf die Unternehmen achten müssen.

Ereignisübersicht

Anfang 2025 legte die New Yorker Legislative erneut den „Consumer Health Privacy Act“ (NYCHPA) vor, einen erneuten Versuch nachdem ein ähnlicher Gesetzesentwurf 2023 nicht verabschiedet wurde. Das Gesetz zielt darauf ab, die regulatorischen Lücken des bundesstaatlichen Health Insurance Portability and Accountability Act (HIPAA) zu schließen, indem der Datenschutz auf personenbezogene Gesundheitsdaten ausgeweitet wird, die von nicht unter HIPAA fallenden Stellen verarbeitet werden.

Nach geltendem Recht erfasst HIPAA nur Gesundheitsdienstleister, Krankenkassen und medizinische Abrechnungsstellen. Immer mehr Technologieunternehmen, Fitness-Apps, Hersteller tragbarer Geräte und Arbeitgeber sammeln und verarbeiten jedoch Gesundheitsinformationen von Verbrauchern, für die es derzeit keinen einheitlichen bundesstaatlichen Schutz gibt. Der Gesetzesentwurf des Bundesstaates New York orientiert sich am 2024 in Washington verabschiedeten „My Health My Data Act“ (MHMDA) und versucht, strengere Regeln zu etablieren.

Technische und Risikoanalyse

Kernanforderungen des Gesetzes

• Der NYCHPA erfasst „Verbrauchergesundheitsdaten“, einschließlich aller Informationen über die körperliche oder geistige Gesundheit einer Person oder nicht öffentliche Daten, aus denen auf die Gesundheit geschlossen werden kann. Der Gesetzesentwurf verlangt von Datenverantwortlichen:
• Vor der Erhebung eine ausdrückliche Einwilligung einzuholen;
• das Prinzip der Datenminimierung umzusetzen;
• Mechanismen zur Datenlöschung bereitzustellen;
• den unbefugten Verkauf von Gesundheitsdaten zu verbieten;
• Sicherheitsmaßnahmen zum Schutz der Daten durchzuführen.

Auswirkungen auf Unternehmen

Betroffene Stellen: Jedes Unternehmen, das in New York tätig ist oder sich an New Yorker Einwohner richtet und Verbrauchergesundheitsdaten erhebt oder verarbeitet, könnte betroffen sein, unabhängig davon, ob es unter HIPAA fällt. Dazu gehören Hersteller von Fitness-Trackern, gesundheitsbezogene mobile Apps, arbeitgeberfinanzierte Krankenversicherungspläne, Telemedizin-Plattformen usw.

Compliance-Risiken: Unternehmen müssen ihre Datenerhebungspraktiken überdenken. Beispielsweise könnten Plattformen zur Verwaltung von Mitarbeitergesundheitsleistungen, Gesundheits-Challenge-Apps oder sogar E-Commerce-Websites, die Gesundheitspräparate verkaufen, einbezogen werden. Bei Verstößen drohen zivilrechtliche Geldstrafen von bis zu 10.000 US-Dollar pro Vorfall sowie private Klagebefugnisse.

Datensicherheitsanforderungen: Das Gesetz verlangt die Umsetzung „angemessener Sicherheitsmaßnahmen“, ohne diese jedoch genau zu definieren – möglicherweise wird dabei auf den New Yorker SHIELD Act oder das NIST-Cybersecurity-Framework Bezug genommen. Unternehmen müssen prüfen, ob ihre aktuellen Datensicherheitskontrollen ausreichen.

Analyse der Auswirkungen auf Unternehmen

Betriebsrisiken Unternehmen müssen ihre Datenschutzrichtlinien anpassen, eine Gesundheitsdatenkartierung durchführen und eine Einwilligungsverwaltungsplattform einrichten. Für Technologieunternehmen mit großen Mengen an Gesundheitsdaten kann eine Umstrukturierung der Datenarchitektur erforderlich sein.

Finanzielle Risiken Die Compliance-Kosten umfassen Systemanpassungen, Rechtsberatung und Personalschulungen. Im Falle von Verstößen können mögliche Geldstrafen und Prozesskosten erheblich sein.

Compliance-Risiken Das Gesetz überschneidet sich mit HIPAA, CCPA und dem Recht des Bundesstaates Washington und steht in Konflikt mit diesen. Unternehmen, die in mehreren Bundesstaaten tätig sind, stehen vor fragmentierten Compliance-Anforderungen.### Markenrisiko Gesundheitsdatenlecks oder missbräuchliche Nutzung können das Vertrauen der Verbraucher erheblich schädigen. New York als Medien- und Finanzzentrum verbreitet negative Unternehmensnachrichten schnell.

Branchentrendbeobachtung

Die Vorantreibung des NYCHPA spiegelt den Trend einer wachsenden Anzahl staatlicher Vorschriften im Bereich der Gesundheitsprivatsphäre in den USA wider. Nach Washington, Nevada und Connecticut wird der Beitritt New Yorks die Forderung nach einer bundesweiten Gesetzgebung verstärken. Unternehmen sollten mit weiteren Regulierungen rechnen und einen skalierbaren Datenschutzrahmen aufbauen.

Derzeit verlassen sich Unternehmen weitgehend auf HIPAA-Ausnahmen, aber der neue Gesetzesentwurf behandelt Gesundheitsdaten als sensible Daten, ähnlich wie genetische und biometrische Daten. Dieser Trend entspricht dem besonderen Schutz von Gesundheitsdaten in der EU-Datenschutz-Grundverordnung (DSGVO).

Verteidigungs- und Handlungsempfehlungen

Auf Unternehmensebene - Dateninventur: Sofortige Identifizierung und Klassifizierung aller Verarbeitungsaktivitäten von Gesundheitsdaten, einschließlich Mitarbeiter-, Kunden- und Partnerebdaten. - Datenschutz-Folgenabschätzung: Compliance-Bewertung für neue Projekte zur Verarbeitung von Gesundheitsdaten. - Technische Maßnahmen: Implementierung von Zugriffskontrollen, Verschlüsselung und Datenlebenszyklusmanagement.

Auf Managementebene - Aufbau eines bereichsübergreifenden Compliance-Teams: Koordination von Rechtsabteilung, Informationssicherheit und Produktteams. - Lieferantenmanagement: Überprüfung von Datenverarbeitungsvereinbarungen Dritter zur Sicherstellung der nachgelagerten Compliance. - Prozess zur Bearbeitung von Nutzerrechten: Optimierung der Abläufe für Betroffenenrechte (z. B. Löschung, Auskunft).

Rechtliche Strategien - Beobachtung des Gesetzgebungsfortschritts: Das Gesetz ist noch nicht verabschiedet, aber Unternehmen sollten mit der Simulation von Compliance-Lücken beginnen. - Branchenengagement: Durch Branchenverbände Bedenken äußern und eine angemessene Übergangsfrist anstreben.

SecurityPost Insight

Das New Yorker Verbraucherschutzgesetz für Gesundheitsdaten ist kein Einzelfall, sondern ein Spiegelbild der Ausweitung des US-amerikanischen Gesundheitdatenschutzes vom Gesundheitswesen auf die gesamte Wirtschaft. Für Sicherheitsverantwortliche in Unternehmen ist die Kernbotschaft: Gesundheitsdaten sind nicht mehr ausschließlich in der Zuständigkeit des Gesundheitssektors. Jede App, die Herzfrequenz, Schlafmuster, Medikamenteneinnahme oder Gesundheitsumfragen erhebt, kann strengen Regulierungen unterliegen.

CISOs sollten Gesundheitsdaten als höchste sensible Kategorie behandeln, auch wenn sie derzeit nicht unter HIPAA fallen. Aufbau einer auf Datenklassifizierung basierenden Sicherheitsstrategie, Implementierung dynamischer Einwilligungsmanagement-Tools und Vorhersage länderübergreifender Compliance-Anforderungen. Mit der verstärkten Durchsetzung von Gesundheitsdatenschutz durch die Federal Trade Commission (FTC) und der Ausbreitung einzelstaatlicher Gesetze müssen Unternehmen die Einhaltung von Datenschutzbestimmungen in den Kern des Cybersicherheitsrisikomanagements integrieren.

In den nächsten 12 Monaten werden voraussichtlich mindestens fünf weitere Bundesstaaten ähnliche Gesetze vorschlagen. Unternehmen, die jetzt in wiederverwendbare Datenschutzinfrastruktur investieren, werden wirtschaftlicher handeln, als später mit Sofortmaßnahmen zu reagieren. SecurityPost empfiehlt allen verbraucherorientierten Technologieunternehmen, eine Selbstprüfung zur Einhaltung von Gesundheitsdatenschutzvorschriften durchzuführen und nicht zu warten, bis Bußgelder Schlagzeilen machen.