Nutzungsbedingungen

Zuletzt geändert: 16. Februar 2026

Diesist eine unverbindliche deutsche Übersetzung der englischen Originalfassung(https://www.incode.com/terms-of-use). Im Falle von Abweichungen ist dieenglische Fassung maßgeblich.

Willkommen bei Incode. Incode bietetbiometrische Identitätsverifizierungs- und Identifikationsdienste an, mit denenSie Ihre Identität gegenüber Dritten Ihrer Wahl sicher verifizieren können.Bitte lesen Sie weiter, um die Regeln und Einschränkungen kennenzulernen, dieIhre Nutzung unserer Website(s), Produkte, Dienste und Anwendungen (die„Dienste") regeln. Wenn Sie Fragen, Kommentare oder Bedenken zu diesenBedingungen oder den Diensten haben, kontaktieren Sie uns bitte unter:

E-Mail: legalcompliance@incode.com

Diese Nutzungsbedingungen (die„Bedingungen“) sind ein verbindlicher Vertrag zwischen Ihnen und INCODE TECHNOLOGIES, INC. („Incode”,„wir" und „uns"). Ihre Nutzung der Dienste in jeglicher Formbedeutet, dass Sie allen diesen Bedingungen zustimmen, und diese Bedingungenbleiben in Kraft, solange Sie die Dienste nutzen. Diese Bedingungen umfassendie Bestimmungen in diesem Dokument sowie diejenigen in derDatenschutzerklärung (Privacy Policy). IhreNutzung oder Teilnahme an bestimmten Diensten kann zudem zusätzlichenRichtlinien, Regeln und/oder Bedingungen („Zusätzliche Bedingungen")unterliegen, die durch Verweis hierin einbezogen werden, und Sie verstehen undstimmen zu, dass Sie durch die Nutzung oder Teilnahme an solchen Diensten auchdiese Zusätzlichen Bedingungen einhalten.

Bittelesen Sie diese Bedingungen sorgfältig. Sie enthaltenwichtige Informationen über die Ihnen bereitgestellten Dienste sowie überGebühren, Steuern und Entgelte, die wir Ihnen in Rechnung stellen. Diese Bedingungen enthalten Informationenüber künftige Änderungen dieser Bedingungen, automatische Verlängerungen,Haftungsbeschränkungen, einen Verzicht auf Sammelklagen und die Beilegung vonStreitigkeiten durch ein Schiedsverfahren anstelle eines Gerichtsverfahrens.BITTE BEACHTEN SIE, DASS IHRE NUTZUNG DER DIENSTE UND IHR ZUGANG DAZU DENFOLGENDEN BEDINGUNGEN UNTERLIEGEN; WENN SIE NICHT ALLEN FOLGENDEN BEDINGUNGENZUSTIMMEN, DÜRFEN SIE DIE DIENSTE IN KEINER WEISE NUTZEN ODER DARAUF ZUGREIFEN.

HINWEISZUM SCHIEDSVERFAHREN UND VERZICHT AUF SAMMELKLAGEN:MIT AUSNAHME BESTIMMTER ARTEN VON STREITIGKEITEN, DIE IM UNTEN STEHENDENABSCHNITT ZUR SCHIEDSVEREINBARUNG BESCHRIEBEN SIND, STIMMEN SIE ZU, DASSSTREITIGKEITEN ZWISCHEN IHNEN UND UNS DURCH EIN VERBINDLICHES, INDIVIDUELLESSCHIEDSVERFAHREN BEIGELEGT WERDEN, UND SIE VERZICHTEN AUF IHR RECHT, AN EINERSAMMELKLAGE ODER EINEM SAMMEL-SCHIEDSVERFAHREN TEILZUNEHMEN.

Werden sichdiese Bedingungen jemals ändern?

Wir sind ständig bemüht, unsere Dienstezu verbessern, daher müssen sich diese Bedingungen möglicherweise zusammen mitunseren Diensten ändern. Wir behalten uns das Recht vor, die Bedingungenjederzeit zu ändern; wenn wir dies tun, werden wir jedoch einen Hinweis aufunserer Website unter incode.com veröffentlichen, Ihnen eine E-Mail sendenund/oder Sie auf andere Weise benachrichtigen.

Wenn Sie mit den neuen Bedingungen nichteinverstanden sind, steht es Ihnen frei, sie abzulehnen; das bedeutet leider,dass Sie die Dienste nicht mehr nutzen können. Wenn Sie die Dienste inirgendeiner Weise nutzen, nachdem eine Änderung der Bedingungen wirksamgeworden ist, bedeutet dies, dass Sie allen Änderungen zustimmen.

Mit Ausnahme von Änderungen durch uns, wiehier beschrieben, ist keine andere Ergänzung oder Änderung dieser Bedingungenwirksam, es sei denn, sie erfolgt schriftlich und wird sowohl von Ihnen alsauch von uns unterzeichnet.

Wie steht es ummeine Privatsphäre?

Incode nimmt die Privatsphäre seinerNutzer sehr ernst. Die aktuelle Datenschutzerklärung von Incode finden Siehier: Privacy Policy (https://incode.com/privacy-policy/).

Children’sOnline Privacy Protection Act

Der Children’s Online Privacy ProtectionAct („COPPA") verlangt, dass Anbieter von Online-Diensten die Zustimmungder Eltern einholen, bevor sie wissentlich personenbezogene Daten online vonKindern unter 13 Jahren erheben. Wir erheben oder erfragen wissentlich keinepersonenbezogenen Daten von Kindern unter 15 Jahren; wenn Sie ein Kind unter 15Jahren sind, versuchen Sie bitte nicht, sich für die Dienste zu registrierenoder diese anderweitig zu nutzen, und senden Sie uns keine personenbezogenen Daten.Wenn wir erfahren, dass wir personenbezogene Daten von einem Kind unter 15Jahren erhoben haben, werden wir diese Daten so schnell wie möglich löschen.Wenn Sie glauben, dass ein Kind unter 15 Jahren uns möglicherweisepersonenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte unterlegalcompliance@incode.com.

Was sind dieGrundlagen der Nutzung von Incode?

Möglicherweise müssen Sie sich für einKonto registrieren, ein Passwort und einen Benutzernamen(„Incode-Benutzer-ID") auswählen und uns bestimmte Informationen oderDaten, wie z. B. Ihre Kontaktdaten, zur Verfügung stellen. Sie versprechen, unsgenaue, vollständige und aktuelle Registrierungsinformationen über sich selbstzur Verfügung zu stellen. Sie dürfen als Incode-Benutzer-ID keinen Namenwählen, zu dessen Nutzung Sie nicht berechtigt sind, oder den Namen eineranderen Person mit der Absicht, sich als diese Person auszugeben. Sie dürfenIhr Konto ohne unsere vorherige schriftliche Genehmigung nicht an eine anderePerson übertragen.

Darüber hinaus können Sie möglicherweise aufbestimmte Teile oder Funktionen der Dienste zugreifen, indem Sie IhreKontoanmeldedaten von anderen Diensten verwenden (jeweils ein„Drittanbieter-Konto"), z. B. von Diensten, die eine Beziehung zu Ihnen habenund unsere Dienste zur Identitätsverifizierung nutzen. Durch die Nutzung derDienste über ein Drittanbieter-Konto gestatten Sie uns, auf bestimmteInformationen aus diesem Konto zur Verwendung durch die Dienste zuzugreifen.Sie haben letztlich die Kontrolle darüber, wie viele Informationen für unszugänglich sind, und können diese Kontrolle ausüben, indem Sie IhreDatenschutzeinstellungen in Ihrem Drittanbieter-Konto anpassen.

Sie sichern zu und gewährleisten, dass Sieeine Person im gesetzlichen Alter zum Abschluss eines verbindlichen Vertragssind (oder, falls nicht, dass Sie die Erlaubnis Ihrer Eltern oder IhresErziehungsberechtigten zur Nutzung der Dienste erhalten haben und Ihre Elternoder Ihr Erziehungsberechtigter diesen Bedingungen in Ihrem Namen zugestimmthaben).

Sie werden die Dienste nur für Ihre eigeneinterne, persönliche, nicht-kommerzielle Nutzung verwenden und nicht im Namenoder zugunsten Dritter, und nur in einer Weise, die allen für Sie geltendenGesetzen entspricht. Wenn Ihre Nutzung der Dienste durch geltende Gesetzeverboten ist, sind Sie nicht berechtigt, die Dienste zu nutzen. Wir können undwerden nicht dafür verantwortlich sein, wenn Sie die Dienste in einer Weisenutzen, die gegen das Gesetz verstößt.

Sie werden Ihre Incode-Benutzer-ID, IhrKonto oder Ihr Passwort nicht mit anderen teilen, und Sie müssen die SicherheitIhrer Incode-Benutzer-ID, Ihres Kontos, Ihres Passworts und aller anderenZugangswerkzeuge oder Anmeldedaten schützen. Sie sind für alle Aktivitätenverantwortlich, die mit Ihrer Incode-Benutzer-ID und Ihrem Konto verbundensind.

Was ist mitNachrichten (Messaging)?

Im Rahmen der Dienste können SieMitteilungen über die Dienste erhalten, einschließlich Nachrichten, die IncodeIhnen sendet (z. B. per E-Mail oder SMS). Bei der Anmeldung zu den Dienstenerhalten Sie eine Willkommensnachricht und Anweisungen, wie Sie den Empfang vonNachrichten beenden können. Indem Siesich für die Dienste anmelden und uns Ihre Mobilfunknummer mitteilen,bestätigen Sie, dass Sie möchten, dass Incode Ihnen Informationen sendet, dieunserer Ansicht nach für Sie von Interesse sein könnten, was die Nutzungautomatisierter Wähltechnologie durch Incode einschließen kann, um Ihnen an dievon Ihnen angegebene Mobilfunknummer Textnachrichten zu senden, und Sie stimmendem Erhalt von Mitteilungen von Incode zu und sichern zu und gewährleisten,dass jede Person, die Sie für die Dienste registrieren oder für die Sie eineMobilfunknummer angeben, dem Erhalt von Mitteilungen von Incode zugestimmt hat.Sie erklären sich damit einverstanden, Incode von sämtlichen Ansprüchen,Verbindlichkeiten, Schäden (tatsächlichen und Folgeschäden), Verlusten undAufwendungen (einschließlich Anwaltskosten) freizustellen und schadlos zuhalten, die sich aus Ihrem Verstoß gegen das Vorstehende ergeben oder inirgendeiner Weise damit zusammenhängen. Beachten Sie, dass bei derEntscheidung, Textnachrichten über die Dienste zu erhalten, Daten- undNachrichtengebühren anfallen können. Sämtliche derartigen Gebühren, Entgelte oderKosten liegen in Ihrer alleinigen Verantwortung. Sie sollten sich an IhrenMobilfunkanbieter wenden, um zu erfahren, welche Tarife, Gebühren, Entgelteoder Kosten für Ihre Nutzung der Dienste anfallen können.

Gibt esEinschränkungen bei der Nutzung der Dienste?

Sie sichern zu, gewährleisten und stimmenzu, dass Sie nichts, einschließlich jeglicher Inhalte (wie dieser Begriff untendefiniert ist), zu den Diensten beitragen oder bereitstellen oder die Diensteanderweitig in einer Weise nutzen oder mit ihnen interagieren, die:

1.       die geistigen Eigentumsrechte odersonstigen Rechte anderer (einschließlich Incode) verletzt;

2.       gegen Gesetze oder Vorschriftenverstößt, einschließlich, aber nicht beschränkt auf geltendeExportkontrollgesetze, Datenschutzgesetze oder jeden anderen Zweck, der vonIncode vernünftigerweise nicht beabsichtigt ist;

3.       gefährlich, schädlich,betrügerisch, irreführend, bedrohend, belästigend, verleumderisch, obszön oderanderweitig anstößig ist;

4.       die Sicherheit IhrerIncode-Benutzer-ID, Ihres Kontos oder des Kontos einer anderen Person gefährdet(z. B. indem Sie einer anderen Person erlauben, sich als Sie bei den Dienstenanzumelden);

5.       auf irgendeine Weise versucht, dasPasswort, das Konto oder andere Sicherheitsinformationen eines anderen Nutzerszu erlangen;

6.       die Sicherheit einesComputernetzwerks verletzt oder Passwörter oderSicherheitsverschlüsselungscodes knackt;

7.       Maillist, Listserv, jede Form vonAuto-Responder oder „Spam" auf den Diensten ausführt, oder Prozesse, dielaufen oder aktiviert werden, während Sie nicht bei den Diensten angemeldetsind, oder die anderweitig das ordnungsgemäße Funktionieren der Dienstebeeinträchtigen (einschließlich einer unangemessenen Belastung derInfrastruktur der Dienste);

8.       Seiten, Daten oder Teile derDienste oder Inhalte „crawlt“, „scrapt” oder „spidert" (durch manuelleoder automatisierte Mittel);

9.       wesentliche Teile der Inhaltekopiert oder speichert; oder

10.    die Dienste dekompiliert, zurückentwickelt (Reverse Engineering) oderanderweitig versucht, den Quellcode oder die zugrunde liegenden Ideen oderInformationen der Dienste zu erlangen.

Ein Verstoß gegen eine der vorstehendenBestimmungen ist ein Grund für die Beendigung Ihres Rechts zur Nutzung derDienste oder zum Zugriff darauf.

Welche Rechtehabe ich an den Diensten?

Die auf oder über die Diensteangezeigten, dargebotenen oder verfügbaren Materialien, einschließlich, abernicht beschränkt auf Texte, Grafiken, Daten, Artikel, Fotos, Bilder,Illustrationen und so weiter (das Vorstehende insgesamt die „Inhalte"), sinddurch Urheberrecht und/oder andere Gesetze zum Schutz geistigen Eigentumsgeschützt. Sie versprechen, alle Urheberrechtshinweise, Markenregeln,Informationen und Einschränkungen einzuhalten, die in Inhalten enthalten sind,auf die Sie über die Dienste zugreifen, und Sie werden Inhalte, die nicht Ihnengehören, für keinen Zweck nutzen, kopieren, reproduzieren, ändern, übersetzen,veröffentlichen, senden, übertragen, verbreiten, aufführen, hochladen,anzeigen, lizenzieren, verkaufen, kommerzialisieren oder anderweitig verwerten,(i) ohne die vorherige Zustimmung des Eigentümers dieser Inhalte oder (ii) ineiner Weise, die die Rechte einer anderen Person (einschließlich Incode)verletzt.

Vorbehaltlich dieser Bedingungen gewährenwir jedem Nutzer der Dienste eine weltweite, nicht-exklusive, nichtunterlizenzierbare und nicht übertragbare Lizenz zur Nutzung (d. h. zumHerunterladen und lokalen Anzeigen) von Inhalten ausschließlich zum Zweck derNutzung der Dienste. Die Nutzung, Vervielfältigung, Änderung, Verbreitung oderSpeicherung von Inhalten für einen anderen Zweck als die Nutzung der Diensteist ohne unsere vorherige schriftliche Genehmigung ausdrücklich untersagt. Sieverstehen, dass Incode Eigentümer der Dienste ist. Sie werden die Dienste nichtändern, veröffentlichen, übertragen, an deren Übertragung oder Verkaufteilnehmen, reproduzieren (außer wie in diesem Abschnitt ausdrücklichvorgesehen), darauf basierende abgeleitete Werke erstellen oder sie anderweitigverwerten. Die Dienste können es Ihnen ermöglichen, bestimmte Inhalte zukopieren oder herunterzuladen; bitte denken Sie jedoch daran, dass auch dort,wo diese Funktionen existieren, alle Einschränkungen dieses Abschnitts weiterhingelten. ## Was ist mit Inhalten, die ich in die Dienste hochlade?

Nutzerbeiträge (UserSubmissions)

Alles, was Sie über die Dienste posten,hochladen, teilen, speichern oder anderweitig bereitstellen, ist Ihr„Nutzerbeitrag". Sie sind allein verantwortlich für alle Nutzerbeiträge,die Sie zu den Diensten beitragen. Sie sichern zu, dass alle von Ihnenübermittelten Nutzerbeiträge korrekt, vollständig, aktuell und inÜbereinstimmung mit allen geltenden Gesetzen, Regeln und Vorschriften sind.

Lizenzen

Um Ihre Nutzerbeiträge in den Dienstenanzuzeigen und sie in Ihrem Namen mit Dritten zu teilen, gewähren Sie unsbestimmte Rechte an diesen Nutzerbeiträgen (weitere Informationen siehe unten).Bitte beachten Sie, dass alle folgenden Lizenzen unserer Datenschutzerklärungunterliegen, soweit sie sich auf Nutzerbeiträge beziehen, die zugleich Ihrepersonenbezogenen Daten sind.

Für alle Nutzerbeiträge gewähren Sie Incodehiermit eine Lizenz, diese Nutzerbeiträge zu übersetzen, zu ändern (zutechnischen Zwecken, z. B. um sicherzustellen, dass Ihre Inhalte sowohl aufeinem Mobilgerät als auch auf einem Computer angezeigt werden können) und zureproduzieren und anderweitig in Bezug auf sie zu handeln, jeweils um uns denBetrieb der Dienste zu ermöglichen, wie unten näher beschrieben. Dies istlediglich eine Lizenz – Ihr Eigentum an Nutzerbeiträgen bleibt unberührt.

Wenn Sie einen Nutzerbeitrag in Ihremeigenen persönlichen Incode-Konto speichern, und zwar in einer Weise, die fürkeinen anderen Nutzer außer Ihnen sichtbar ist (ein „PersönlicherNutzerbeitrag"), gewähren Sie Incode die obige Lizenz sowie eine Lizenz,Ihren Persönlichen Nutzerbeitrag anzuzeigen, darzubieten und zu verbreiten, undzwar ausschließlich zu dem Zweck, diesen Persönlichen Nutzerbeitrag für Siezugänglich zu machen und die dafür erforderlichen Dienste bereitzustellen.

Wenn Sie uns bitten, einen Nutzerbeitrag anbestimmte, von Ihnen benannte Dritte weiterzugeben (ein „GeteilterNutzerbeitrag"), gewähren Sie Incode die obigen Lizenzen sowie eineLizenz, Ihren Geteilten Nutzerbeitrag anzuzeigen, darzubieten und zu verbreiten,und zwar ausschließlich zu dem Zweck, diesen Geteilten Nutzerbeitrag für diebenannten Dritten zugänglich zu machen und die dafür erforderlichen Dienstebereitzustellen. Außerdem gewähren Sie diesen benannten Dritten eine Lizenz,auf diesen Geteilten Nutzerbeitrag zuzugreifen und alle Rechte daran zu nutzenund auszuüben, soweit dies durch die Funktionalität der Dienste gestattet ist.

Sie stimmen zu, dass die von Ihnen gewährtenLizenzen gebührenfrei, unbefristet, unterlizenzierbar, unwiderruflich undweltweit gültig sind, mit der Maßgabe, dass wir, wenn Sie Ihr Incode-Kontolöschen, die Anzeige Ihrer Nutzerbeiträge für andere Nutzer (falls zutreffend)einstellen; Sie verstehen und stimmen jedoch zu, dass es möglicherweise nichtmöglich ist, diese Inhalte vollständig aus den Aufzeichnungen von Incode zulöschen, und dass Ihre Nutzerbeiträge anderswo einsehbar bleiben können, soweitsie von benannten Dritten kopiert oder gespeichert wurden.

Schließlich verstehen Sie und stimmen zu,dass Incode bei der Durchführung der erforderlichen technischen Schritte zurBereitstellung der Dienste für unsere Nutzer (einschließlich Ihnen)möglicherweise Änderungen an Ihren Nutzerbeiträgen vornehmen muss, um dieseNutzerbeiträge an die technischen Anforderungen von Verbindungsnetzwerken,Geräten, Diensten oder Medien anzupassen, und die vorstehenden Lizenzenumfassen die Rechte dazu.

Wer istverantwortlich für das, was ich in den Diensten sehe und tue?

Sie sind verantwortlich für alle Inhalte,die Sie in irgendeiner Weise zu den Diensten beitragen, und Sie sichern zu undgewährleisten, dass Sie alle dafür erforderlichen Rechte besitzen, und zwar inder Weise, in der Sie sie beitragen.

Die Dienste können Links oder Verbindungenzu Websites oder Diensten Dritter enthalten, die nicht im Eigentum oder unterder Kontrolle von Incode stehen. Wenn Sie auf Websites Dritter zugreifen oderDienste Dritter nutzen, akzeptieren Sie, dass damit Risiken verbunden sind unddass Incode für diese Risiken nicht verantwortlich ist.

Incode hat keine Kontrolle über undübernimmt keine Verantwortung für die Inhalte, die Richtigkeit, dieDatenschutzrichtlinien oder die Praktiken von oder die Meinungen, die aufWebsites Dritter oder von Dritten geäußert werden, mit denen Sie über die Diensteinteragieren. Darüber hinaus wird und kann Incode die Inhalte von Websites oderDiensten Dritter nicht überwachen, überprüfen, zensieren oder bearbeiten. Wirempfehlen Ihnen, sich bewusst zu sein, wenn Sie die Dienste verlassen, und dieGeschäftsbedingungen und Datenschutzerklärungen jeder Website und jedesDienstes Dritter zu lesen, die Sie besuchen oder nutzen. Durch die Nutzung derDienste entbinden Sie uns von jeglicher Haftung, die sich aus Ihrer Nutzung vonWebsites oder Diensten Dritter ergibt, und halten uns schadlos.

Ihre Interaktionen mit Organisationenund/oder Einzelpersonen, die Sie auf oder über die Dienste finden,einschließlich Zahlung und Lieferung von Waren oder Dienstleistungen sowie alleanderen Bedingungen, Konditionen, Garantien oder Zusicherungen im Zusammenhangmit solchen Geschäften, bestehen ausschließlich zwischen Ihnen und diesenOrganisationen und/oder Einzelpersonen. Sie sollten alle Nachforschungenanstellen, die Sie für notwendig oder angemessen halten, bevor Sie eine Online-oder Offline-Transaktion mit einem dieser Dritten durchführen. Sie stimmen zu,dass Incode nicht verantwortlich oder haftbar für Verluste oder Schädenjeglicher Art ist, die infolge solcher Geschäfte entstehen.

Wenn es eine Streitigkeit zwischenTeilnehmern auf dieser Website oder den Diensten oder zwischen Nutzern undDritten gibt, stimmen Sie zu, dass Incode nicht verpflichtet ist, sicheinzuschalten. Für den Fall, dass Sie eine Streitigkeit mit einem oder mehrerenanderen Nutzern haben, entbinden Sie Incode, seine Direktoren, leitendenAngestellten, Mitarbeiter, Vertreter und Rechtsnachfolger von Ansprüchen,Forderungen und Schäden jeder Art und Natur, bekannt oder unbekannt, vermutetoder unvermutet, offengelegt oder nicht offengelegt, die sich aus solchenStreitigkeiten und/oder unseren Diensten ergeben oder in irgendeiner Weisedamit zusammenhängen. Sie verzichten hiermit auf Section 1542 deskalifornischen Zivilgesetzbuchs (California Civil Code) oder jedes ähnlicheGesetz einer anderen Rechtsordnung, das im Wesentlichen besagt: „Eineallgemeine Freistellung erstreckt sich nicht auf Ansprüche, von denen derGläubiger oder die freistellende Partei zum Zeitpunkt der Abgabe derFreistellung nicht weiß oder deren Bestehen zu ihren Gunsten sie nicht vermutetund die, wären sie ihr bekannt gewesen, ihre Einigung mit dem Schuldner oderder freigestellten Partei wesentlich beeinflusst hätten."

Wird Incode dieDienste jemals ändern?

Wir versuchen ständig, unsere Dienste zuverbessern, daher können sie sich im Laufe der Zeit ändern. Wir können Teileder Dienste aussetzen oder einstellen, neue Funktionen einführen,Beschränkungen für bestimmte Funktionen auferlegen oder den Zugang zu Teilenoder allen Diensten einschränken. Wir werden versuchen, Sie zu benachrichtigen,wenn wir eine wesentliche Änderung an den Diensten vornehmen, die Sienachteilig betreffen würde, aber das ist nicht immer praktikabel. Wir behaltenuns das Recht vor, jegliche Inhalte jederzeit, aus beliebigem Grund(einschließlich, aber nicht beschränkt auf den Fall, dass jemand behauptet, Siehätten diese Inhalte unter Verstoß gegen diese Bedingungen beigetragen), nachunserem alleinigen Ermessen und ohne Vorankündigung aus den Diensten zuentfernen.

Was ist,wenn ich die Dienste nicht mehr nutzen möchte?

Es steht Ihnen frei, dies jederzeit zutun, indem Sie uns unter legalcompliance@incode.com kontaktieren; bittebeachten Sie unsere Datenschutzerklärung sowie die obigen Lizenzen, um zuverstehen, wie wir Informationen behandeln, die Sie uns zur Verfügung gestellthaben, nachdem Sie die Nutzung unserer Dienste eingestellt haben.

Incode steht es ebenfalls frei, Ihre Nutzungder Dienste oder Ihr Konto aus beliebigem Grund nach eigenem Ermessen zubeenden (oder den Zugang auszusetzen), einschließlich bei Ihrem Verstoß gegendiese Bedingungen. Incode hat das alleinige Recht zu entscheiden, ob Sie gegeneine der in diesen Bedingungen festgelegten Einschränkungen verstoßen.

Die Kündigung des Kontos kann zurVernichtung aller mit Ihrem Konto verbundenen Inhalte führen; bedenken Siedies, bevor Sie sich entscheiden, Ihr Konto zu kündigen.

Wenn Sie Ihr Konto versehentlich gelöschthaben, kontaktieren Sie uns umgehend unter legalcompliance@incode.com – wirwerden versuchen zu helfen, können aber leider nicht versprechen, dass wiretwas wiederherstellen können.

Bestimmungen, die ihrer Natur nach dieBeendigung dieser Bedingungen überdauern sollten, überdauern die Beendigung.Beispielsweise überdauern alle folgenden Bestimmungen die Beendigung: jedeVerpflichtung Ihrerseits, uns zu bezahlen oder uns freizustellen, jeglicheBeschränkungen unserer Haftung, alle Bestimmungen über Eigentum oder geistigeEigentumsrechte sowie Bestimmungen über Streitigkeiten zwischen uns,einschließlich, aber nicht beschränkt auf die Schiedsvereinbarung.

Was ist mit mobilenAnwendungen?

Sie erkennen an und stimmen zu, dass dieVerfügbarkeit unserer mobilen Anwendung von den Drittanbieter-Stores abhängt,aus denen Sie die Anwendung herunterladen, z. B. dem App Store von Apple oderdem Android-App-Markt von Google (jeweils ein „App Store"). Jeder AppStore kann eigene Geschäftsbedingungen haben, denen Sie zustimmen müssen, bevorSie mobile Anwendungen aus diesem Store herunterladen, einschließlich der untenaufgeführten spezifischen Bedingungen in Bezug auf den Apple App Store. Siestimmen zu, diese App-Store-Geschäftsbedingungen einzuhalten, und Ihre Lizenzzur Nutzung unserer Anwendung ist an Ihre Einhaltung dieser Bedingungengeknüpft. Soweit solche anderen Geschäftsbedingungen eines App Stores wenigerrestriktiv sind als die Bedingungen dieser Nutzungsbedingungen oder anderweitigmit ihnen in Konflikt stehen, gelten die restriktiveren oder kollidierendenBestimmungen dieser Nutzungsbedingungen.

Was muss ich sonstnoch wissen?

Gewährleistungsausschluss. Incode und seine Lizenzgeber, Lieferanten, Partner, Mutter- undTochtergesellschaften oder verbundenen Unternehmen sowie deren jeweiligeleitende Angestellte, Direktoren, Mitglieder, Mitarbeiter, Berater,Vertragsmitarbeiter, Vertreter und Bevollmächtigte und deren jeweiligeRechtsnachfolger und Abtretungsempfänger (Incode und alle diese Parteienzusammen die „Incode-Parteien“) geben keine Zusicherungen oder Gewährleistungenin Bezug auf die Dienste ab, einschließlich, aber nicht beschränkt auf Inhalte,die in den Diensten enthalten sind oder über sie abgerufen werden, und dieIncode-Parteien sind nicht verantwortlich oder haftbar für die Richtigkeit, dieEinhaltung von Urheberrechten, die Rechtmäßigkeit oder den Anstand vonMaterial, das in den Diensten enthalten ist oder über sie abgerufen wird, oderfür Ansprüche, Klagen, Verfahren, Kosten, Aufwendungen, Schäden oder Verbindlichkeiten,die sich aus der Nutzung der Dienste ergeben oder in irgendeiner Weise mitIhrer Teilnahme an den Diensten zusammenhängen. Die Incode-Parteien geben keineZusicherungen oder Gewährleistungen bezüglich Vorschlägen oder Empfehlungen vonDienstleistungen oder Produkten ab, die über oder in Verbindung mit denDiensten angeboten oder erworben werden. DIE DIENSTE UND INHALTE WERDEN VONINCODE (UND SEINEN LIZENZGEBERN UND LIEFERANTEN) AUF „AS-IS”-BASIS („WIEBESEHEN") BEREITGESTELLT, OHNE GEWÄHRLEISTUNGEN JEGLICHER ART, WEDERAUSDRÜCKLICH NOCH STILLSCHWEIGEND, EINSCHLIESSLICH, ABER NICHT BESCHRÄNKT AUFSTILLSCHWEIGENDE GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, DER EIGNUNG FÜR EINENBESTIMMTEN ZWECK, DER NICHTVERLETZUNG VON RECHTEN DRITTER ODER DASS DIE NUTZUNGDER DIENSTE UNUNTERBROCHEN ODER FEHLERFREI SEIN WIRD. EINIGE STAATEN ERLAUBENKEINE BESCHRÄNKUNGEN DER DAUER EINER STILLSCHWEIGENDEN GEWÄHRLEISTUNG, SODASSDIE OBIGEN BESCHRÄNKUNGEN MÖGLICHERWEISE NICHT AUF SIE ZUTREFFEN.

Haftungsbeschränkung. SOWEIT NACH GELTENDEM RECHT ZULÄSSIG, HAFTET KEINE DER INCODE-PARTEIENUNTER KEINEN UMSTÄNDEN UND UNTER KEINER RECHTSTHEORIE (EINSCHLIESSLICH, ABERNICHT BESCHRÄNKT AUF DELIKTSRECHT, VERTRAGSRECHT, VERSCHULDENSUNABHÄNGIGEHAFTUNG ODER SONSTIGES) IHNEN ODER EINER ANDEREN PERSON GEGENÜBER FÜR (A)INDIREKTE, BESONDERE, ZUFÄLLIGE SCHÄDEN, STRAFSCHADENSERSATZ ODER FOLGESCHÄDENJEGLICHER ART, EINSCHLIESSLICH SCHÄDEN DURCH ENTGANGENE GEWINNE,BETRIEBSUNTERBRECHUNG, DATENVERLUST, VERLUST DES GESCHÄFTSWERTS, ARBEITSUNTERBRECHUNG,GENAUIGKEIT DER ERGEBNISSE ODER COMPUTERAUSFALL ODER -FEHLFUNKTION, (B)ERSATZWAREN, -DIENSTLEISTUNGEN ODER -TECHNOLOGIE, (C) EINEN BETRAG, DERINSGESAMT DEN HÖHEREN DER FOLGENDEN BETRÄGE ÜBERSTEIGT: (I) EINHUNDERT (100)US-DOLLAR ODER (II) DIE BETRÄGE, DIE SIE IN DEM ZWÖLF- (12-) MONATSZEITRAUM VORDEM JEWEILIGEN ANSPRUCH AN INCODE IM ZUSAMMENHANG MIT DEN DIENSTEN GEZAHLTHABEN UND/ODER SCHULDEN, ODER (D) JEGLICHE ANGELEGENHEIT AUSSERHALB UNSERERANGEMESSENEN KONTROLLE. EINIGE STAATEN ERLAUBEN DEN AUSSCHLUSS ODER DIEBESCHRÄNKUNG VON ZUFÄLLIGEN SCHÄDEN, FOLGESCHÄDEN ODER BESTIMMTEN ANDERENSCHÄDEN NICHT, SODASS DIE OBIGE BESCHRÄNKUNG UND DIE AUSSCHLÜSSE MÖGLICHERWEISENICHT AUF SIE ZUTREFFEN.

Freistellung. Sie erklären sich damit einverstanden, die Incode-Parteien vonsämtlichen Ansprüchen, Verbindlichkeiten, Schäden (tatsächlichen undFolgeschäden), Verlusten und Aufwendungen (einschließlich Anwaltskosten)freizustellen und schadlos zu halten, die sich aus Ansprüchen ergeben oder inirgendeiner Weise damit zusammenhängen, die sich beziehen auf (a) Ihre Nutzungder Dienste (einschließlich Handlungen Dritter, die Ihr Konto nutzen) und (b)Ihren Verstoß gegen diese Bedingungen. Im Falle eines solchen Anspruchs, einerKlage oder eines Verfahrens („Anspruch") werden wir versuchen, eineMitteilung über den Anspruch an die Kontaktdaten zu senden, die wir für IhrKonto haben (wobei das Versäumnis, eine solche Mitteilung zuzustellen, IhreFreistellungsverpflichtungen hierunter nicht aufhebt oder verringert).

Abtretung. Sie dürfen diese Bedingungen oder Ihre Rechte oder Pflichten hierunteroder Ihr Dienste-Konto in keiner Weise (kraft Gesetzes oder anderweitig) ohnevorherige schriftliche Zustimmung von Incode abtreten, delegieren oderübertragen. Wir können diese Bedingungen und unsere Rechte und Pflichten ohneZustimmung übertragen, abtreten oder delegieren.

Rechtswahl. Diese Bedingungen unterliegen dem Federal Arbitration Act, demanwendbaren Bundesrecht und den Gesetzen des Bundesstaates Delaware, ohneRücksicht auf deren kollisionsrechtliche Bestimmungen, und werden nach diesenausgelegt.

Schiedsvereinbarung. Bitte lesen Sie die folgende SCHIEDSVEREINBARUNG sorgfältig, da sieSie verpflichtet, bestimmte Streitigkeiten und Ansprüche mit Incode imSchiedsverfahren beizulegen, und die Art und Weise einschränkt, in der SieRechtsschutz gegenüber Incode suchen können. Sowohl Sie als auch Incodeerkennen an und stimmen zu, dass für Zwecke jeglicher Streitigkeiten, die sichaus dem Gegenstand dieser Bedingungen ergeben oder sich darauf beziehen, dieleitenden Angestellten, Direktoren, Mitarbeiter und unabhängigen Auftragnehmervon Incode („Personal") Drittbegünstigte dieser Bedingungen sind und dassdas Personal mit Ihrer Annahme dieser Bedingungen das Recht hat (und als dasRecht angenommen habend gilt), diese Bedingungen als Drittbegünstigter gegenSie durchzusetzen.

1.       Schiedsordnung; Anwendbarkeit der Schiedsvereinbarung. Die Parteien werden sich nach besten Kräften bemühen, jedeStreitigkeit, jeden Anspruch, jede Frage oder Meinungsverschiedenheit, die sichaus dem Gegenstand dieser Bedingungen ergibt oder sich darauf bezieht, direktdurch Verhandlungen nach Treu und Glauben beizulegen, was eine Vorbedingungdafür ist, dass eine der Parteien ein Schiedsverfahren einleitet. Wenn solcheVerhandlungen die Streitigkeit nicht lösen, wird sie endgültig durch einverbindliches Schiedsverfahren in New York City, New York, beigelegt. DasSchiedsverfahren wird in englischer Sprache gemäß den dann geltenden JAMSStreamlined Arbitration Rules and Procedures (die „Regeln") von einemHandelsschiedsrichter mit umfangreicher Erfahrung in der Beilegung vonStreitigkeiten über geistiges Eigentum und Handelsverträge durchgeführt. DerSchiedsrichter wird gemäß diesen Regeln aus der entsprechenden Liste derJAMS-Schiedsrichter ausgewählt. Das Urteil über den von diesem Schiedsrichtererlassenen Schiedsspruch kann bei jedem zuständigen Gericht eingereicht werden.

2.       Kosten des Schiedsverfahrens. Die Regelnregeln die Zahlung aller Schiedsgebühren. Incode übernimmt alle Schiedsgebührenfür Ansprüche unter fünfundsiebzigtausend (75.000) US-Dollar. Incode wird seineAnwaltsgebühren und Kosten im Schiedsverfahren nicht geltend machen, es seidenn, der Schiedsrichter stellt fest, dass Ihr Anspruch mutwillig ist.

3.       Gericht für geringfügige Forderungen; Rechtsverletzungen. Sowohl Sie als auch Incode können Ansprüche, sofern sie sich dafürqualifizieren, vor einem Gericht für geringfügige Forderungen (Small ClaimsCourt) in New York City, New York, oder in jedem US-Bezirk (County), in dem Sieleben oder arbeiten, geltend machen. Darüber hinaus hat ungeachtet dervorstehenden Verpflichtung, Streitigkeiten im Schiedsverfahren beizulegen, jedePartei das Recht, jederzeit bei jedem zuständigen GerichtUnterlassungsansprüche oder andere billigkeitsrechtliche Rechtsbehelfe geltendzu machen, um die tatsächliche oder drohende Verletzung, widerrechtlicheAneignung oder Verletzung der Urheberrechte, Marken, Geschäftsgeheimnisse,Patente oder sonstigen geistigen Eigentumsrechte einer Partei zu verhindern.

4.       Verzicht auf ein Geschworenenverfahren. SIEUND INCODE VERZICHTEN AUF ALLE VERFASSUNGSMÄSSIGEN UND GESETZLICHEN RECHTE, VORGERICHT ZU GEHEN UND EINE VERHANDLUNG VOR EINEM RICHTER ODER EINER JURY ZUFÜHREN. Sie und Incode entscheiden sich stattdessen dafür, Ansprüche undStreitigkeiten durch ein Schiedsverfahren beilegen zu lassen. Schiedsverfahrensind in der Regel begrenzter, effizienter und kostengünstiger als die vorGericht geltenden Regeln und unterliegen einer sehr eingeschränktengerichtlichen Überprüfung. In jedem Rechtsstreit zwischen Ihnen und Incode überdie Aufhebung oder Vollstreckung eines Schiedsspruchs VERZICHTEN SIE UND INCODEAUF ALLE RECHTE AUF EIN GESCHWORENENVERFAHREN und entscheiden sich stattdessendafür, die Streitigkeit von einem Richter entscheiden zu lassen.

5.       Verzicht auf Sammel- oder konsolidierte Klagen. ALLE ANSPRÜCHE UND STREITIGKEITEN IM ANWENDUNGSBEREICH DIESERSCHIEDSVEREINBARUNG MÜSSEN AUF INDIVIDUELLER BASIS UND NICHT AUF SAMMELBASIS IMSCHIEDSVERFAHREN ODER GERICHTLICH GELTEND GEMACHT WERDEN. ANSPRÜCHE VON MEHRALS EINEM KUNDEN ODER NUTZER KÖNNEN NICHT GEMEINSAM IM SCHIEDSVERFAHREN ODERGERICHTLICH GELTEND GEMACHT ODER MIT DENEN EINES ANDEREN KUNDEN ODER NUTZERSKONSOLIDIERT WERDEN. Sollte dieser Verzicht auf Sammel- oder konsolidierteKlagen jedoch für ungültig oder nicht durchsetzbar erklärt werden, haben wederSie noch Incode Anspruch auf ein Schiedsverfahren; stattdessen werden alleAnsprüche und Streitigkeiten vor einem Gericht gemäß Buchstabe (g) untenbeigelegt.

6.       Opt-out. Sie haben das Recht, die Bestimmungendieses Abschnitts abzulehnen, indem Sie eine schriftliche Mitteilung über IhreEntscheidung zum Opt-out an die folgende Adresse senden: Arquímedes 212 Piso 5,Col. Polanco IV Section, Miguel Hidalgo, CP 11550, Mexiko-Stadt, Mexiko, mitPoststempel innerhalb von dreißig (30) Tagen nach der erstmaligen Annahmedieser Bedingungen. Sie müssen angeben: (i) Ihren Namen und Ihre Wohnanschrift,(ii) die E-Mail-Adresse und/oder Telefonnummer, die mit Ihrem Konto verknüpftist, und (iii) eine klare Erklärung, dass Sie die Schiedsvereinbarung dieserBedingungen ablehnen möchten.

7.       Ausschließlicher Gerichtsstand. Wenn Sie dieOpt-out-Mitteilung gemäß Buchstabe (f) senden und/oder in allen Fällen, indenen die vorstehende Schiedsvereinbarung Ihnen oder Incode gestattet, eineStreitigkeit, die sich aus dem Gegenstand dieser Bedingungen ergibt oder sichdarauf bezieht, vor Gericht auszutragen, gilt die vorstehendeSchiedsvereinbarung für keine der Parteien, und sowohl Sie als auch Incodestimmen zu, dass jedes Gerichtsverfahren (mit Ausnahme von Verfahren übergeringfügige Forderungen) vor den staatlichen oder Bundesgerichten in New YorkCity, New York, bzw. dem Bundesgerichtsbezirk, in den dieser Bezirk fällt,geführt wird.

8.       Salvatorische Klausel. Sollte das obenenthaltene Verbot von Sammelklagen und anderen im Namen Dritter erhobenenAnsprüchen für nicht durchsetzbar befunden werden, ist der gesamte vorstehendeWortlaut dieses Abschnitts zur Schiedsvereinbarung null und nichtig. DieseSchiedsvereinbarung überdauert die Beendigung Ihrer Beziehung zu Incode.

Sonstiges. Sie sind verantwortlich für die Zahlung, Einbehaltung, Einreichung undMeldung aller Steuern, Abgaben und sonstigen staatlichen Veranlagungen imZusammenhang mit Ihrer Aktivität in Verbindung mit den Diensten, wobei Incodenach eigenem Ermessen das Vorstehende in Ihrem Namen oder für sich selbst tunkann, wie es dies für angemessen hält. Das Versäumnis von Ihnen oder uns, einhierin enthaltenes Recht in irgendeiner Weise auszuüben, gilt nicht alsVerzicht auf weitere Rechte hierunter. Sollte eine Bestimmung dieserBedingungen für nicht durchsetzbar oder ungültig befunden werden, wird dieseBestimmung in dem minimal erforderlichen Umfang eingeschränkt oder gestrichen,sodass diese Bedingungen im Übrigen in vollem Umfang in Kraft und wirksam sowiedurchsetzbar bleiben. Sie und Incode stimmen zu, dass diese Bedingungen dievollständige und ausschließliche Erklärung des gegenseitigen Einvernehmenszwischen Ihnen und Incode darstellen und dass diese Bedingungen alle früherenschriftlichen und mündlichen Vereinbarungen, Mitteilungen und sonstigenAbsprachen in Bezug auf den Gegenstand dieser Bedingungen ersetzen undaufheben. Sie erkennen hiermit an und stimmen zu, dass Sie kein Mitarbeiter,Vertreter, Partner oder Joint-Venture-Partner von Incode sind und dass Siekeinerlei Befugnis haben, Incode in irgendeiner Hinsicht zu binden.

Mit Ausnahme der ausdrücklich in den obigenAbschnitten zur Schiedsvereinbarung genannten Fälle stimmen Sie und Incode zu,dass unter diesen Bedingungen keine Drittbegünstigten beabsichtigt sind.

Wir werden personenbezogene Daten,einschließlich biometrischer Daten, auch unter Einsatz von Systemen derKünstlichen Intelligenz („KI") verarbeiten. Dabei beachten wir diefolgenden Grundsätze:

•         Wir stellen sicher, dass Sie vonIncode jederzeit und ohne Einschränkung Informationen darüber erhalten können,wie Ihre personenbezogenen Daten durch KI-Systeme verarbeitet werden.

•         Zur Wahrung desSicherheitsgrundsatzes bei der Entwicklung und dem Einsatz von KI-Lösungenimplementieren wir angemessene technische, personelle, administrative,physische und vertragliche Maßnahmen, die darauf ausgelegt sind, unbefugtenZugriff auf personenbezogene Daten sowie deren Missbrauch, Veränderung,Verlust, Zerstörung oder Offenlegung gegenüber Unbefugten zu verhindern.

Bitte beachten Sie außerdem, dass Sie alsInhaber Ihrer personenbezogenen Daten das Recht haben: (i) die Informationen,die wir im Zusammenhang mit den Diensten über Sie halten, zu kennen, daraufzuzugreifen und sie zu überprüfen; (ii) zu verlangen, dass Ihre Datenaktualisiert, korrigiert oder ergänzt werden, wenn sie unrichtig, unvollständigoder veraltet sind; und (iii) die Löschung Ihrer Daten zu verlangen, wenn Sieder Ansicht sind, dass sie nicht in Übereinstimmung mit geltendem Rechtverarbeitet werden oder für den Zweck, für den sie erhoben wurden, nicht mehrerforderlich sind, es sei denn, wir sind gesetzlich oder vertraglich zu ihrerAufbewahrung verpflichtet. Sie können diese Rechte ausüben, indem Sie unskontaktieren unter: dataprotection@incode.com. # Richtlinie zu Datenschutz,Nutzung und Offenlegung (HIPAA)

IncodeTechnologies, Inc.

Hintergrund

Der Health Insurance Portability andAccountability Act von 1996 (HIPAA) in der durch den Health InformationTechnology for Economic and Clinical Health (HITECH) Act geänderten Fassung undseine Durchführungsverordnungen sehen Beschränkungen für die Nutzung undOffenlegung geschützter Gesundheitsinformationen (Protected Health Information,PHI) vor.

Zweck

Diese Richtlinie legt dieVerantwortlichkeiten, Anforderungen und Verfahren für den Schutz, die Nutzungund die Offenlegung geschützter Gesundheitsinformationen (PHI) fest, die vonIncode und seinen Mitgliedern in jeglicher Form oder auf jeglichem Medium(elektronisch oder anderweitig) übertragen oder gespeichert werden.

Definitionen

Geschäftspartner(Business Associate). Eine Einrichtung, die nichtMitglied der Belegschaft der betroffenen Einrichtung (Covered Entity) ist unddie:

•         eine durch HIPAA regulierteFunktion oder Tätigkeit im Namen einer betroffenen Einrichtung ausführt oderdabei unterstützt, die die Erstellung, den Empfang, die Pflege oder dieÜbermittlung (d. h. Nutzung und Offenlegung) von PHI umfasst (einschließlichSchadenbearbeitung oder -verwaltung, Datenanalyse, Verarbeitung oderVerwaltung, Nutzungsprüfung, Qualitätssicherung,Patientensicherheitsaktivitäten gemäß 42 CFR 3.20, Abrechnung,Leistungsmanagement, Praxismanagement und Neubewertung von Preisen); oder

•         juristische, buchhalterische,versicherungsmathematische, beratende, datenaggregierende, Management-,Akkreditierungs- oder Finanzdienstleistungen erbringt, bei denen die Erbringungsolcher Dienstleistungen dem Dienstleister Zugang zu PHI verschafft;

•         Zu den Geschäftspartnern gehören:

•         eineGesundheitsinformationsorganisation;

•         ein E-Prescribing-Gateway;

•         jede Einrichtung, dieDatenübermittlungsdienste in Bezug auf PHI für eine betroffene Einrichtungerbringt und routinemäßigen Zugang zu PHI benötigt;

•         eine Einrichtung, die PHI für einebetroffene Einrichtung verwahrt, unabhängig davon, ob die Einrichtung die PHItatsächlich einsieht.

AnonymisierteInformationen (De-identified Information). Gesundheitsinformationen,die eine Person nicht identifizieren und bei denen keine vernünftige Grundlagefür die Annahme besteht, dass die Informationen zur Identifizierung einerPerson verwendet werden können. Es gibt zwei Möglichkeiten, wie eine betroffeneEinrichtung feststellen kann, dass Informationen anonymisiert sind:

•         professionelle statistischeAnalyse

•         Entfernung von 18 spezifischenIdentifikatoren.

BestimmterDatensatz (Designated Record Set). Eine Gruppe vonAufzeichnungen, die von oder für ein Unternehmen geführt werden und Folgendesumfassen:

•         Anmelde-, Zahlungs- undSchadenregulierungsunterlagen einer Person, die von oder für den Plan geführtwerden; oder

•         andere geschützteGesundheitsinformationen, die ganz oder teilweise von oder für den Planverwendet werden, um Deckungsentscheidungen über eine Person zu treffen.

Offenlegung(Disclosure). Für Informationen, die PHI sind,bedeutet Offenlegung jede Freigabe, Übertragung, Gewährung von Zugang zu oderPreisgabe individuell identifizierbarer Gesundheitsinformationen in jeglicheranderer Weise an Personen, die nicht bei der Personalabteilung desStandorts/der Standorte des Arbeitgebers beschäftigt sind oder dort arbeiten.

Gesundheitsversorgungsvorgänge(Health Care Operations). Gesundheitsversorgungsvorgängebezeichnen jede der folgenden Tätigkeiten, soweit sie sich auf diePlanverwaltung beziehen:

•         Durchführung vonQualitätsbewertungs- und Verbesserungsmaßnahmen;

•         Überprüfung der Leistung desGesundheitsplans;

•         Risikoprüfung (Underwriting) undPrämienkalkulation;

•         Durchführung oder Veranlassung vonmedizinischen Überprüfungen, Rechtsdienstleistungen und Prüfungsfunktionen;

•         Geschäftsplanung und -entwicklung;

•         Geschäftsführung und allgemeineVerwaltungstätigkeiten;

•         Anonymisierung der Informationenin Übereinstimmung mit den HIPAA-Regeln, soweit dies zur Erbringung dererforderlichen Dienstleistungen notwendig ist.

Zahlung(Payment). Zahlung umfasst Tätigkeiten, dieunternommen werden, um Planbeiträge zu erhalten oder die Verantwortung desPlans für die Erbringung von Leistungen im Rahmen des Plans zu bestimmen oderzu erfüllen, oder um Erstattungen für die Gesundheitsversorgung zu erhaltenoder zu leisten. Zahlung umfasst auch:

•         Feststellungen zurAnspruchsberechtigung und Deckung, einschließlich Leistungskoordination undRegulierung oder Übergang von Ansprüchen (Subrogation) beiGesundheitsleistungsansprüchen;

•         Risikoanpassung auf Grundlage desStatus und der demografischen Merkmale der Versicherten; und

•         Abrechnung, Schadenmanagement,Inkassotätigkeiten, Erlangung von Zahlungen im Rahmen einesRückversicherungsvertrags (einschließlich Stop-Loss-Versicherung undExcess-Loss-Versicherung) und damit verbundene Verarbeitung vonGesundheitsdaten.

Nutzung(Use). Das Teilen, die Verwendung, Anwendung, Nutzung,Prüfung oder Analyse individuell identifizierbarer Gesundheitsinformationendurch eine Person, die für oder innerhalb der Personalabteilung desArbeitgebers arbeitet, oder durch einen Geschäftspartner (wie unten definiert)des Plans.

Anwendungsbereich

Incode ist eine Geschäftseinheit, die inBezug auf geschützte Gesundheitsinformationen (PHI) gemäß den Standards,Anforderungen und Durchführungsbestimmungen der HIPAA-Datenschutzregel als GESCHÄFTSPARTNER (BUSINESS ASSOCIATE)gilt. Daher gilt diese Richtlinie für Incode und alle Mitglieder seinerBelegschaft mit Zugang zu PHI. Darüber hinaus müssen alle Dritten,Unterauftragnehmer oder Anbieter, die für Incode Dienstleistungen erbringen,die die Erstellung, den Empfang, die Pflege oder die Übermittlung privaterGesundheitsinformationen im Namen des Arbeitgebers zur Erfüllung seinervertraglichen Pflichten umfassen, die Anforderungen von HIPAA vollständigeinhalten.

Rollenund Verantwortlichkeiten

Benennungen von Datenschutzpersonal werdendokumentiert und in schriftlicher oder elektronischer Form für sechs Jahre abdem Zeitpunkt der Benennung aufbewahrt.

Der Datenschutzbeauftragte(Data Privacy Officer) von Incode fungiert als Datenschutzverantwortlicher(Privacy Official), der verantwortlich ist für:

•         Entwicklung und Umsetzung vonDatenschutzrichtlinien und -verfahren

•         Entwicklung eines Programms zurBearbeitung von Beschwerden

•         Ernennung von Mitarbeitern, dieals Ansprechpersonen für Fragen, Bedenken oder Beschwerden zum Schutz und zurVertraulichkeit individueller PHI dienen

•         Sicherstellung der Einhaltung derHIPAA-Datenschutzregel in Bezug auf Geschäftspartner undGeschäftspartnervereinbarungen (Business Associate Agreements, BAA)

•         Überwachung der Einhaltung derHIPAA-Datenschutzregel und dieser Richtlinie durch alle Geschäftspartner

•         Entwicklung von Zeitplänen undProgrammen für Datenschutzschulungen

Ferner ist derDatenschutzverantwortliche:

•         verantwortlich für die Überprüfungvon BAAs,

•         verantwortlich für die Verwaltungder Beziehungen zu betroffenen Einrichtungen (Covered Entities) oderGeschäftspartnern,

•         verantwortlich dafür,sicherzustellen, dass alle erforderlichen technischen Schutzmaßnahmen zumSchutz von PHI implementiert wurden,

•         verantwortlich für dieEntwicklung, Aktualisierung, Pflege und Überprüfung dieser Richtlinie.

Ansprechperson / zuständige Stelle:dataprotection@incode.com

Dokumentation

Diese Richtlinie und die zugehörigenVerfahren sind darauf ausgelegt, die Einhaltung der Vorschriften zugewährleisten, wie sie für Incode, seine Größe und die Art seiner Tätigkeitengelten. In dokumentierter Form wird diese Richtlinie mindestens sechs Jahre abdem Datum ihrer letzten Gültigkeit aufbewahrt. Alle notwendigen oderangemessenen Änderungen dieser Richtlinie werden:

•         im Einklang mit den in derHIPAA-Datenschutzregel festgelegten Standards stehen;

•         der Einhaltung von Änderungen derGesetze, Standards, Anforderungen und Durchführungsbestimmungen (einschließlichÄnderungen und Anpassungen von Vorschriften) dienen;

•         umgehend umgesetzt unddokumentiert;

•         in der Datenschutzmitteilung(Notice of Privacy Practices) berücksichtigt; und

•         falls erforderlich, schriftlichoder elektronisch kommuniziert und dokumentiert.

Der Plan dokumentiert bestimmteEreignisse und Maßnahmen (einschließlich Einwilligungen, Auskunftsersuchen,Sanktionen und Beschwerden) im Zusammenhang mit den Datenschutzrechten einerPerson.

AllgemeineRichtlinie (für betroffene Einrichtungen – § 164.530)

Schulung

Incode stellt sicher, dass alle Mitarbeiterjährlich zu den Datenschutzrichtlinien und -verfahren des Unternehmens sowie,soweit anwendbar, zur HIPAA-Datenschutzregel geschult werden. Die Schulung wirdbei Bedarf, mindestens jedoch jährlich, überprüft und aktualisiert.

Administrative,technische und physische Schutzmaßnahmen und Firewall

Incode verfügt über angemesseneadministrative, technische und physische Schutzmaßnahmen, um zu verhindern,dass PHI absichtlich oder unabsichtlich unter Verstoß gegen dieHIPAA-Anforderungen genutzt oder offengelegt werden (siehe dieInformationssicherheitsrichtlinien und -verfahren des Unternehmens sowie dievorhandenen Kontrollen).

•         Administrative Schutzmaßnahmenumfassen die Implementierung von Verfahren für die Nutzung und Offenlegung vonPHI, wie in dieser Richtlinie beschrieben.

•         Technische Schutzmaßnahmenumfassen die Beschränkung des Zugangs zu Informationen durch die Einrichtungvon Computer-Firewalls, die sicherstellen, dass nur autorisierter Zugriff aufPHI auf dem für Verwaltungsfunktionen minimal erforderlichen Niveau erfolgt.

•         Physische Schutzmaßnahmen umfassendas Verschließen von Türen oder Aktenschränken.

Datenschutzmitteilung

Die Datenschutzmitteilung von Incodeenthält:

•         Nutzungen und Offenlegungen vonPHI, die von Incode vorgenommen werden können;

•         die Rechte des Einzelnen gemäß denHIPAA-Datenschutzregeln;

•         die rechtlichen Pflichten vonIncode in Bezug auf die PHI;

•         eine Mitteilung über den Zugang zuPHI im Zusammenhang mit Verwaltungsfunktionen;

•         Beschwerdeverfahren; und

•         weitere Informationen, wie sienach den HIPAA-Datenschutzregeln erforderlich sind.

Incode stellt die Datenschutzmitteilungden entsprechenden Personen zu oder macht sie verfügbar:

•         auf Anfrage

•         innerhalb von 60 Tagen nach einerwesentlichen Änderung der Mitteilung

•         mindestens einmal alle drei Jahrein Übereinstimmung mit der HIPAA-Datenschutzregel.

Sanktionen

Verstöße gegen diese Richtlinie oder dieHIPAA-Datenschutzregel werden mit Sanktionen gemäß der Disziplinarrichtlinievon Incode geahndet, bis hin zur Kündigung (sieheInformationssicherheitsrichtlinie).

Minderungunbeabsichtigter PHI-Offenlegungen

Incode wird, soweit möglich, alle ihmbekannt werdenden schädlichen Auswirkungen einer Nutzung oder Offenlegung derPHI einer Person unter Verstoß gegen HIPAA oder die in dieser Richtliniefestgelegten Richtlinien und Verfahren mindern. Daher werden Mitarbeiterunverzüglich den Datenschutzverantwortlichen kontaktieren, um die geeignetenSchritte zur Minderung des Schadens für betroffene Personen zu erfahren, wenndas Mitglied Kenntnis erlangt von:

•         einer Offenlegung von PHI, sei esdurch einen Mitarbeiter oder einen Geschäftspartner

•         einem Mitarbeiter oderGeschäftspartner, der diese Richtlinie oder HIPAA nicht einhält

KeinEinschüchtern und keine Vergeltungsmaßnahmen

Kein Incode-Mitglied darf eine Personeinschüchtern, bedrohen, nötigen, diskriminieren oder andereVergeltungsmaßnahmen gegen sie ergreifen, weil sie ihre Rechte ausübt, eineBeschwerde einreicht, an einer Untersuchung teilnimmt oder sich einer unzulässigenPraxis nach HIPAA widersetzt.

KeinVerzicht auf HIPAA-Datenschutz

Keine Person wird von Incode oder einemseiner Mitglieder verpflichtet, auf ihre Datenschutzrechte nach HIPAA zuverzichten, als Bedingung für Behandlung, Zahlung, Anmeldung oderAnspruchsberechtigung im Rahmen eines Gesundheitsplans.

Richtlinieund Verfahren für die Nutzung und Offenlegung von PHI

Einhaltung

Alle Mitglieder von Incode mit Zugang zu PHImüssen diese Richtlinie und die enthaltenen Verfahren einhalten.

DerZugang zu PHI ist auf bestimmte Mitarbeiter beschränkt

Die folgenden Mitarbeiter („Mitarbeiter mitZugang") haben Zugang zu PHI:

•         jeder Mitarbeiter, der Funktionendirekt im Namen von Incode ausführt,

•         jeder andere Mitarbeiter, der imNamen des Arbeitgebers Zugang zu PHI für deren Verwendung in„Planverwaltungsfunktionen" hat.

Mitarbeiter mit Zugang dürfen PHI fürUnternehmensverwaltungsfunktionen nutzen und offenlegen, und sie dürfen PHIgegenüber anderen Mitarbeitern mit Zugang für Verwaltungsfunktionen offenlegen(wobei die offengelegten PHI auf das zur Erfüllung der Planverwaltungsfunktionminimal erforderliche Maß beschränkt sein müssen). Mitarbeiter mit Zugangdürfen PHI nicht gegenüber Mitarbeitern (außer Mitarbeitern mit Zugang)offenlegen, es sei denn, es liegt eine Einwilligung vor oder die Offenlegungentspricht anderweitig dieser Richtlinie und allen zugehörigen Verfahren.

ZulässigeNutzungen und Offenlegungen für Planverwaltungszwecke

•         Incode darf Folgendes zur eigenenVerwendung offenlegen:

(a)     anonymisierte Gesundheitsinformationen;

(b)    Anmeldeinformationen;

(c)     zusammenfassende Gesundheitsinformationen zum Zweck der Einholung vonPrämienangeboten für die Bereitstellung von Krankenversicherungsschutz imRahmen eines Plans oder für die Änderung, Ergänzung oder Beendigung des Plans;oder

(d)    PHI aufgrund einer Einwilligung der Person, deren PHI offengelegtwerden.

PHI dürfen gegenüber Mitarbeiternoffengelegt werden, die Zugang haben, um PHI zu nutzen und offenzulegen, umFunktionen im Namen von Incode auszuführen oder Planverwaltungsfunktionenwahrzunehmen („Mitarbeiter mit Zugang").

ZulässigeNutzungen und Offenlegungen: Zahlung und Gesundheitsversorgungsvorgänge

PHI dürfen für die eigenen Zahlungszweckevon Incode offengelegt werden, und PHI dürfen gegenüber einer anderenbetroffenen Einrichtung für deren Zahlungszwecke offengelegt werden. Gleichesgilt für die Offenlegung für Gesundheitsversorgungsvorgänge. PHI dürfengegenüber einer anderen betroffenen Einrichtung für Zwecke derQualitätsbewertung und -verbesserung, des Fallmanagements oder der Programmezur Aufdeckung von Betrug und Missbrauch im Gesundheitswesen der anderenbetroffenen Einrichtung offengelegt werden, wenn die andere betroffeneEinrichtung eine Beziehung zu dem Teilnehmer hat (oder hatte) und dieangeforderten PHI diese Beziehung betreffen.

•         Nutzungen und Offenlegungen fürIncodes eigene Zahlungsaktivitäten oder Gesundheitsversorgungsvorgänge. EinMitarbeiter darf PHI nutzen und offenlegen, um Incodes eigeneZahlungsaktivitäten oder Gesundheitsversorgungsvorgänge durchzuführen.

–        Offenlegungen müssen dem„Minimum-Necessary"-Standard (Grundsatz des erforderlichen Minimums)entsprechen. (Nach diesem Verfahren muss eine nicht wiederkehrende Offenlegungvom Datenschutzverantwortlichen genehmigt werden.)

–        Offenlegungen müssen gemäß demVerfahren für „Dokumentationsanforderungen" dokumentiert werden.

•         Offenlegungen für dieZahlungsaktivitäten einer anderen Einrichtung. Ein Mitarbeiter darf PHIgegenüber einer anderen betroffenen Einrichtung oder einemGesundheitsdienstleister offenlegen, um die Zahlungsaktivitäten der anderenEinrichtung durchzuführen. Diese Offenlegungen erfolgen gemäß den vomDatenschutzverantwortlichen entwickelten Verfahren.

•         Offenlegungen für bestimmteGesundheitsversorgungsvorgänge der empfangenden Einrichtung. Ein Mitarbeiterdarf PHI für Zwecke der Qualitätsbewertung und -verbesserung, desFallmanagements oder der Programme zur Aufdeckung von Betrug und Missbrauch imGesundheitswesen der anderen betroffenen Einrichtung offenlegen, wenn dieandere betroffene Einrichtung eine Beziehung zu der Person hat (oder hatte) unddie angeforderten PHI diese Beziehung betreffen. Solche Offenlegungen erfolgengemäß den vom Datenschutzverantwortlichen entwickelten Verfahren.

–        Die Offenlegung muss vomDatenschutzverantwortlichen genehmigt werden.

–        Offenlegungen müssen dem„Minimum-Necessary"-Standard entsprechen.

–        Offenlegungen müssen gemäß demVerfahren für „Dokumentationsanforderungen" dokumentiert werden.

•         Nutzung oder Offenlegung fürZwecke von Nicht-Gesundheitsleistungen. Sofern keine Einwilligung der Person(wie unter „Offenlegungen aufgrund einer Einwilligung" erörtert) vorliegt,darf ein Mitarbeiter die PHI eines Teilnehmers nicht für die Zahlung oder denBetrieb der „Nicht-Gesundheitsleistungen" des Arbeitgebers (z. B.Berufsunfähigkeits-, Arbeitsunfall- und Lebensversicherung) verwenden. Wenn einMitarbeiter die PHI eines Teilnehmers für die Zahlung oder dieGesundheitsversorgungsvorgänge von Nicht-Plan-Leistungen benötigt, sind die vomDatenschutzverantwortlichen vorgegebenen Schritte zu befolgen.

–        Einholung einer Einwilligung.Kontaktieren Sie zunächst den Datenschutzverantwortlichen, um festzustellen, obeine Einwilligung für diese Art der Nutzung oder Offenlegung vorliegt. Liegtkein Formular vor, fordern Sie ein entsprechendes Formular beim Datenschutzverantwortlichenan. Mitarbeiter dürfen nicht versuchen, Einwilligungsformulare selbst zuentwerfen. Alle Einwilligungen zur Nutzung oder Offenlegung fürNicht-Plan-Zwecke müssen auf einem vom Datenschutzverantwortlichenbereitgestellten (oder genehmigten) Formular erfolgen.

–        Fragen? Jeder Mitarbeiter, dersich nicht sicher ist, ob eine Aufgabe, um deren Ausführung er gebeten wird,als Zahlungsaktivität oder Gesundheitsversorgungsvorgang des Plans gilt, sollteden Datenschutzverantwortlichen oder dessen benannten Vertreter kontaktieren.

KeineOffenlegung für Zwecke außerhalb des Gesundheitsplans

PHI dürfen nicht für die Zahlung oder denBetrieb der „Nicht-Gesundheitsleistungen" von Incode (z. B.Berufsunfähigkeits-, Arbeitsunfall-, Lebensversicherung usw.) genutzt oderoffengelegt werden, es sei denn, der Teilnehmer hat eine Einwilligung für einesolche Nutzung oder Offenlegung erteilt (wie unter „Offenlegungen aufgrundeiner Einwilligung" erörtert) oder eine solche Nutzung oder Offenlegungist nach geltendem einzelstaatlichem Recht erforderlich und bestimmteAnforderungen nach HIPAA sind erfüllt.

VerpflichtendeOffenlegungen: Einzelperson und HHS

Die PHI eines Teilnehmers müssen gemäß HIPAAin drei Situationen offengelegt werden: (1) Die Offenlegung erfolgt gegenüberder Person, die Gegenstand der Informationen ist (siehe die nachfolgendeRichtlinie „Zugang zu geschützten Informationen und Antrag auf Änderung");(b) die Offenlegung ist gesetzlich vorgeschrieben; oder (c) die Offenlegungerfolgt gegenüber dem HHS (US-Gesundheitsministerium) zum Zweck derDurchsetzung von HIPAA.

•         Antrag einer Einzelperson. NachErhalt eines Antrags einer Person (oder eines Vertreters der Person) aufOffenlegung der eigenen PHI der Person muss der Mitarbeiter das Verfahren für„Offenlegungen gegenüber Einzelpersonen im Rahmen des Rechts auf Zugang zueigenen PHI" befolgen.

•         Antrag des HHS. Nach Erhalt einesAntrags eines HHS-Beamten auf Offenlegung von PHI muss der Mitarbeiter die vomDatenschutzverantwortlichen festgelegten Schritte unternehmen.

•         Befolgen Sie die Verfahren zurÜberprüfung der Identität eines Amtsträgers gemäß „Überprüfung der Identitätvon Personen, die geschützte Gesundheitsinformationen anfordern".

•         Offenlegungen müssen gemäß demVerfahren für „Dokumentationsanforderungen" dokumentiert werden. Zulässige Offenlegungen: Rechtliche undordnungspolitische Zwecke

Ein Mitarbeiter, der einen Antrag aufOffenlegung der PHI einer Person erhält, der in eine der unten unter „Erfassterechtliche und ordnungspolitische Offenlegungen" beschriebenen Kategorienzu fallen scheint, muss den Datenschutzverantwortlichen kontaktieren.Offenlegungen müssen: (1) vom Datenschutzverantwortlichen genehmigt werden; (2)dem „Minimum-Necessary“-Standard entsprechen; und (3) gemäß dem Verfahren für„Dokumentationsanforderungen” dokumentiert werden. Zulässige Offenlegungenumfassen:

•         Offenlegungen über Opfer vonMissbrauch, Vernachlässigung oder häuslicher Gewalt, wenn die folgendenBedingungen erfüllt sind:

–        Die Person stimmt der Offenlegungzu; oder

–        die Offenlegung ist ausdrücklichdurch Gesetz oder Verordnung gestattet und die Offenlegung verhindert Schadenfür die Person (oder ein anderes Opfer), oder die Person ist handlungsunfähigund kann nicht zustimmen und die Informationen werden nicht gegen die Personverwendet und sind für eine unmittelbar bevorstehende Vollstreckungsmaßnahmeerforderlich. In diesem Fall muss die Person umgehend über die Offenlegunginformiert werden, es sei denn, dies würde die Person gefährden oder dieInformation müsste an einen persönlichen Vertreter erfolgen, von dem angenommenwird, dass er für den Missbrauch, die Vernachlässigung oder die Gewaltverantwortlich ist.

•         Für Gerichts- undVerwaltungsverfahren, als Reaktion auf:

–        eine Anordnung eines Gerichts odereines Verwaltungstribunals (die Offenlegung muss auf die durch die Anordnungausdrücklich genehmigten PHI beschränkt sein); und

–        eine Vorladung (Subpoena), einBeweisersuchen (Discovery Request) oder ein anderes rechtmäßiges Verfahren, dasnicht von einer Anordnung eines Gerichts oder Verwaltungstribunals begleitetwird, nach Erhalt von Zusicherungen, dass die Person über den Antragbenachrichtigt wurde oder dass die die Informationen anfordernde Parteiangemessene Anstrengungen unternommen hat, eine qualifizierte Schutzanordnungzu erwirken.

•         An einen Strafverfolgungsbeamtenfür Strafverfolgungszwecke, unter den folgenden Bedingungen:

–        aufgrund eines Verfahrens und wieanderweitig gesetzlich vorgeschrieben, jedoch nur, wenn die angefordertenInformationen relevant und wesentlich sind, der Antrag spezifisch und auf dasvernünftigerweise erforderliche Maß beschränkt ist und es nicht möglich ist,anonymisierte Informationen zu verwenden.

–        Die angeforderten Informationenbeschränken sich auf Informationen zur Identifizierung oder Auffindung einesVerdächtigen, Flüchtigen, wesentlichen Zeugen oder einer vermissten Person.

–        Informationen über einmutmaßliches Opfer einer Straftat, (1) wenn die Person der Offenlegungzustimmt; oder (2) ohne Zustimmung der Person, wenn die Informationen nichtgegen das Opfer verwendet werden sollen, der Informationsbedarf dringend istund die Offenlegung im besten Interesse der Person liegt.

–        Informationen über eineverstorbene Person bei Verdacht, dass der Tod der Person auf strafbaresVerhalten zurückzuführen ist.

–        Informationen, die Beweise fürstrafbares Verhalten darstellen, das auf dem Gelände des Arbeitgebersstattgefunden hat.

•         An zuständige Gesundheitsbehördenfür Maßnahmen im Bereich der öffentlichen Gesundheit.

•         An eineGesundheitsaufsichtsbehörde für Aufsichtstätigkeiten im Gesundheitswesen,soweit gesetzlich zugelassen.

•         An einen Leichenbeschauer(Coroner) oder Gerichtsmediziner in Bezug auf Verstorbene, zum Zweck derIdentifizierung einer verstorbenen Person, der Feststellung der Todesursacheoder anderer gesetzlich zugelassener Aufgaben.

•         Für Zwecke der Organ-, Augen- oderGewebespende Verstorbener, an Organbeschaffungsorganisationen oder andereEinrichtungen, die mit der Beschaffung, Aufbewahrung oder Transplantation vonOrganen, Augen oder Gewebe befasst sind, zum Zweck der Erleichterung vonTransplantationen.

•         Für bestimmte begrenzteForschungszwecke, sofern eine Befreiung von der nach HIPAA erforderlichenEinwilligung von einem zuständigen Datenschutzgremium genehmigt wurde.

•         Zur Abwendung einer ernsthaftenBedrohung für Gesundheit oder Sicherheit, bei einem in gutem Glaubenbestehenden Überzeugung, dass die Nutzung oder Offenlegung erforderlich ist, umeine ernsthafte und unmittelbar bevorstehende Bedrohung für die Gesundheit oderSicherheit einer Person oder der Öffentlichkeit zu verhindern.

•         Für spezialisierte staatlicheFunktionen, einschließlich der Offenlegung der PHI eines Häftlings gegenüberJustizvollzugsanstalten und der Offenlegung der PHI einer Person gegenübereinem autorisierten Bundesbeamten zur Durchführung von Aktivitäten der nationalenSicherheit.

•         FürArbeitsunfallversicherungsprogramme (Workers’ Compensation), soweit dies zurEinhaltung von Gesetzen über Arbeitsunfallversicherung oder ähnliche Programmeerforderlich ist.

Offenlegungenaufgrund einer Einwilligung der Einzelperson

PHI dürfen für jeden Zweck offengelegtwerden, wenn eine Einwilligung vorliegt, die alle Anforderungen von HIPAA aneine gültige Einwilligung erfüllt und von einer Person erteilt wurde. AlleNutzungen und Offenlegungen aufgrund einer unterzeichneten Einwilligung müssenmit den Bedingungen und Konditionen der Einwilligung übereinstimmen.

Jede beantragte Offenlegung gegenüber einemDritten (d. h. nicht der Person, auf die sich die PHI beziehen), die nichtin eine der Kategorien fällt, für die eine Offenlegung nach dieser Richtliniezulässig oder erforderlich ist, kann aufgrund einer Einwilligung der Personerfolgen. Wird eine Offenlegung aufgrund einer Einwilligung beantragt, sind diefolgenden Verfahren zu befolgen:

•         Offenlegungen müssen gemäß demVerfahren für „Dokumentationsanforderungen" dokumentiert werden.

•         Alle Nutzungen und Offenlegungenaufgrund einer Einwilligung müssen mit den Bedingungen und Konditionen derEinwilligung übereinstimmen.

•         Überprüfen Sie, ob dasEinwilligungsformular gültig ist. Gültige Einwilligungsformulare sind solche,die:

–        ordnungsgemäß von der Person oderihrem Vertreter unterzeichnet und datiert sind;

–        nicht abgelaufen oder widerrufensind [das Ablaufdatum des Einwilligungsformulars muss ein bestimmtes Datum (z.B. 1. Juli 2010) oder ein bestimmter Zeitraum (z. B. ein Jahr ab dem Datum derUnterzeichnung) oder ein Ereignis sein, das für die Person oder den Zweck derNutzung oder Offenlegung unmittelbar relevant ist (z. B. für die Dauer desVersicherungsschutzes der Person)];

–        eine Beschreibung der zu nutzendenoder offenzulegenden Informationen enthalten;

–        den Namen der Einrichtung oderPerson enthalten, die zur Nutzung oder Offenlegung der PHI berechtigt ist;

–        den Namen des Empfängers derNutzung oder Offenlegung enthalten;

–        eine Erklärung über das Recht derPerson, die Einwilligung zu widerrufen, und über die Verfahren zum Widerruf vonEinwilligungen enthalten; und

–        eine Erklärung über dieMöglichkeit einer nachfolgenden Weitergabe der Informationen enthalten.

•         Befolgen Sie die Verfahren zurÜberprüfung der Identität der Person (oder ihres Vertreters) gemäß „Überprüfungder Identität von Personen, die geschützte Gesundheitsinformationenanfordern".

Überprüfungder Identität von Personen, die geschützte Gesundheitsinformationen anfordern

Mitarbeiter müssen Schritte unternehmen, umdie Identität von Personen zu überprüfen, die Zugang zu PHI beantragen. Siemüssen auch die Befugnis jeder Person zum Zugang zu PHI überprüfen, wenn dieIdentität oder Befugnis dieser Person nicht bekannt ist. Nachfolgend sindseparate Verfahren zur Überprüfung von Identität und Befugnis aufgeführt, jenachdem, ob der Antrag von der Person selbst, einem Elternteil, das Zugang zuden PHI seines minderjährigen Kindes begehrt, einem persönlichen Vertreter odereinem Amtsträger gestellt wird.

•         Antrag durch die Person selbst. Wenn einePerson Zugang zu ihren eigenen PHI beantragt, sind die folgenden Schritte zubefolgen:

–        Verlangen Sie einenIdentitätsnachweis von der Person. Mitarbeiter können sich auf einen gültigenFührerschein, Reisepass oder einen anderen von einer Regierungsbehördeausgestellten Lichtbildausweis verlassen.

–        Überprüfen Sie, ob der Ausweis mitder Identität der Person übereinstimmt, die Zugang zu den PHI beantragt. WennSie Zweifel an der Gültigkeit oder Echtheit des vorgelegten Ausweises oder ander Identität der antragstellenden Person haben, kontaktieren Sie denDatenschutzverantwortlichen.

–        Fertigen Sie eine Kopie des vonder Person vorgelegten Ausweises an und legen Sie sie im bestimmten Datensatz(Designated Record Set) der Person ab.

–        Wenn die Person PHI telefonischanfordert, fragen Sie nach ihrer Sozialversicherungsnummer.

–        Offenlegungen müssen gemäß demVerfahren für „Dokumentationsanforderungen" dokumentiert werden.

•         Antrag eines Elternteils auf PHI eines minderjährigen Kindes. Wenn ein Elternteil Zugang zu den PHI seines minderjährigen Kindesbeantragt, sind die folgenden Schritte zu befolgen:

–        Verlangen Sie einen Nachweis derBeziehung der Person zu dem Kind. Ein solcher Nachweis kann in Form einerBestätigung der Anmeldung des Kindes als Angehöriger im Plan des Elternteilserfolgen.

–        Offenlegungen müssen gemäß demVerfahren „Dokumentationsanforderungen" dokumentiert werden.

•         Antrag durch einen persönlichen Vertreter.Wenn ein persönlicher Vertreter Zugang zu den PHI einer Person beantragt, sinddie folgenden Schritte zu befolgen:

–        Verlangen Sie eine Kopie einergültigen Vollmacht oder anderer Dokumentation – die Anforderungen können jenach Bundesstaat variieren. Bei Fragen zur Gültigkeit dieses Dokuments lassenSie es vom Datenschutzverantwortlichen prüfen.

–        Fertigen Sie eine Kopie dervorgelegten Dokumentation an und legen Sie sie im bestimmten Datensatz derPerson ab.

–        Offenlegungen müssen gemäß demVerfahren für „Dokumentationsanforderungen" dokumentiert werden.

•         Antrag durch einen Amtsträger. Wenn einAmtsträger Zugang zu PHI beantragt und der Antrag einem der oben unter„Verpflichtende Offenlegungen von PHI" oder „Zulässige Offenlegungen vonPHI" genannten Zwecke dient, sind die folgenden Schritte zur Überprüfungder Identität und Befugnis des Amtsträgers zu befolgen:

–        Wird der Antrag persönlichgestellt, verlangen Sie die Vorlage eines Dienstausweises, anderer amtlicherLegitimationen oder eines anderen Nachweises des Regierungsstatus. Fertigen Sieeine Kopie des vorgelegten Ausweises an und legen Sie sie im bestimmtenDatensatz der Person ab.

–        Erfolgt der Antrag schriftlich,überprüfen Sie, ob der Antrag auf dem entsprechenden behördlichen Briefkopfgestellt wurde.

–        Erfolgt der Antrag durch einePerson, die vorgibt, im Namen eines Amtsträgers zu handeln, verlangen Sie eineschriftliche Erklärung auf entsprechendem behördlichem Briefkopf, dass diePerson im Auftrag der Behörde handelt, oder einen anderen Nachweis oder eineDokumentation der Vertretungsbefugnis, wie z. B. einen Dienstleistungsvertrag,eine Absichtserklärung (Memorandum of Understanding) oder einen Auftrag, ausdem hervorgeht, dass die Person im Namen des Amtsträgers handelt.

–        Verlangen Sie eine schriftlicheErklärung über die Rechtsgrundlage, auf der die Informationen angefordertwerden, oder, falls eine schriftliche Erklärung nicht praktikabel wäre, einemündliche Erklärung dieser Rechtsgrundlage. Erfolgt der Antrag der Personaufgrund eines rechtlichen Verfahrens, Haftbefehls, einer Vorladung, Anordnungoder eines anderen rechtlichen Verfahrens, das von einer Grand Jury oder einemGerichts- oder Verwaltungstribunal erlassen wurde, kontaktieren Sie dieRechtsabteilung.

–        Holen Sie die Genehmigung für dieOffenlegung beim Datenschutzverantwortlichen ein.

–        Offenlegungen müssen gemäß demVerfahren für „Dokumentationsanforderungen" dokumentiert werden.

•         Anträge auf Offenlegung von PHI durch Ehepartner, Familienangehörigeund Freunde. PHI werden nicht gegenüberFamilienangehörigen oder Freunden einer Person offengelegt, außer wie nachHIPAA erforderlich oder zulässig. In der Regel ist eine Einwilligungerforderlich, bevor eine andere Partei, einschließlich Ehepartner,Familienangehöriger oder Freund, auf PHI zugreifen kann.

–        Erhält ein Mitarbeiter einenAntrag auf Offenlegung der PHI einer Person von einem Ehepartner,Familienangehörigen oder persönlichen Freund der Person, und ist derEhepartner, Familienangehörige oder persönliche Freund entweder (1) einElternteil der Person und die Person ein minderjähriges Kind oder (2) derpersönliche Vertreter der Person, ist das Verfahren „Überprüfung der Identitätvon Personen, die geschützte Gesundheitsinformationen anfordern" zubefolgen.

–        Sobald die Identität einesElternteils oder persönlichen Vertreters überprüft wurde, ist das Verfahren„Antrag der Person auf Zugang" zu befolgen.

–        Alle anderen Anträge vonEhepartnern, Familienangehörigen und Freunden müssen von der Person, deren PHIbetroffen sind, genehmigt werden. Siehe die Verfahren für „Offenlegungenaufgrund einer Einwilligung der Einzelperson".

Offenlegungenvon PHI gegenüber Geschäftspartnern

Ein Geschäftspartner ist eine Einrichtung,die:

•         eine Planfunktion oder -tätigkeitausführt oder dabei unterstützt, die die Nutzung und Offenlegung geschützterGesundheitsinformationen umfasst (einschließlich Schadenbearbeitung oder-verwaltung, Datenanalyse, Risikoprüfung usw.); oder

•         juristische, buchhalterische,versicherungsmathematische, beratende, datenaggregierende, Management-,Akkreditierungs- oder Finanzdienstleistungen erbringt, bei denen die Erbringungsolcher Dienstleistungen dem Dienstleister Zugang zu PHI verschafft.

Zu den Geschäftspartnern gehören:

•         Gesundheitsinformationsorganisationen;

•         E-Prescribing-Gateways;

•         andere Einrichtungen, dieDatenübermittlungsdienste in Bezug auf PHI erbringen und routinemäßigen Zugangzu PHI benötigen;

•         Einrichtungen, die im Namen einerbetroffenen Einrichtung eine persönliche Gesundheitsakte für eine oder mehrerePersonen anbieten; oder

•         Einrichtungen, die PHI verwahren,unabhängig davon, ob die Einrichtungen die PHI tatsächlich einsehen.

Mitarbeiter dürfen PHI gegenüber denGeschäftspartnern von Incode offenlegen und den Geschäftspartnern gestatten, inseinem Namen PHI zu erstellen oder zu empfangen. Zuvor wird Incode jedochzunächst Zusicherungen des Geschäftspartners einholen, dass er dieInformationen angemessen schützen wird. Alle Nutzungen und Offenlegungen durcheinen „Geschäftspartner" erfolgen in Übereinstimmung mit einer gültigenGeschäftspartnervereinbarung. Bevor PHI mit externen Beratern oderAuftragnehmern geteilt werden, die die Definition eines„Geschäftspartners" erfüllen, müssen Mitarbeiter denDatenschutzverantwortlichen kontaktieren und überprüfen, ob einGeschäftspartnervertrag besteht.

Die folgenden zusätzlichen Verfahren müssenerfüllt werden:

•         Offenlegungen müssen mit denBedingungen des Geschäftspartnervertrags übereinstimmen.

•         Offenlegungen müssen dem„Minimum-Necessary"-Standard entsprechen. (Nach diesem Verfahrenunterliegt jede wiederkehrende Offenlegung einer separaten Richtlinie zurErfüllung der Minimum-Necessary-Anforderung, und jede nicht wiederkehrendeOffenlegung muss vom Datenschutzverantwortlichen genehmigt werden.)

•         Offenlegungen müssen gemäß demVerfahren für „Dokumentationsanforderungen" dokumentiert werden.

Einhaltungdes „Minimum-Necessary"-Standards

HIPAA verlangt, dass bei der Nutzung oderOffenlegung von PHI die offengelegte Menge grundsätzlich auf das „erforderlicheMinimum" beschränkt sein muss, um den Zweck der Nutzung oder Offenlegungzu erreichen.

•         Verfahren für Offenlegungen

–        Identifizieren Sie wiederkehrendeOffenlegungen. Identifizieren Sie für jede wiederkehrende Offenlegung die Artender offenzulegenden PHI, die Arten von Personen, die die PHI erhalten dürfen,die Bedingungen, die für einen solchen Zugang gelten würden, und die Standardsfür Offenlegungen gegenüber routinemäßig beauftragten Arten vonGeschäftspartnern. Erstellen Sie für jede spezifische wiederkehrendeOffenlegung eine Richtlinie, die die offengelegte Menge auf das zur Erfüllungdes Zwecks der Offenlegung minimal erforderliche Maß beschränkt.

–        Bei allen anderen Anträgen aufOffenlegung von PHI kontaktieren Sie den Datenschutzverantwortlichen, dersicherstellt, dass die Menge der offengelegten Informationen das zur Erfüllungdes Zwecks der Offenlegung erforderliche Minimum ist.

•         Verfahren für Anfragen

–        Identifizieren Sie wiederkehrendeAnfragen. Identifizieren Sie für jede wiederkehrende Anfrage die Informationen,die für den Zweck der beantragten Offenlegung erforderlich sind, und erstellenSie eine Richtlinie, die jede Anfrage auf das zur Erfüllung des Zwecks derOffenlegung minimal erforderliche Maß beschränkt.

–        Bei allen anderen Anfragen nachPHI kontaktieren Sie den Datenschutzverantwortlichen, der sicherstellt, dassdie Menge der angeforderten Informationen das zur Erfüllung des Zwecks derOffenlegung erforderliche Minimum ist.

•         Ausnahmen

–        Der„Minimum-Necessary"-Standard gilt nicht für Folgendes:

–        Nutzungen oder Offenlegungengegenüber der Person selbst;

–        Nutzungen oder Offenlegungenaufgrund einer Einwilligung der Person;

–        Offenlegungen gegenüber dem HHS;

–        gesetzlich vorgeschriebeneNutzungen oder Offenlegungen; und

–        Nutzungen oder Offenlegungen, diezur Einhaltung von HIPAA erforderlich sind.

Offenlegungenanonymisierter Informationen

Anonymisierte Informationen sind keine PHI;es handelt sich um Gesundheitsinformationen, die eine Person nichtidentifizieren und bei denen keine vernünftige Grundlage für die Annahmebesteht, dass die Informationen zur Identifizierung einer Person verwendetwerden können. Es gibt zwei Möglichkeiten festzustellen, dass Informationenanonymisiert sind: entweder durch professionelle statistische Analyse oderdurch Entfernung spezifischer Identifikatoren.

Nach Genehmigung und Bestätigung durch denDatenschutzverantwortlichen, dass die betreffenden Informationen anonymisiertsind, dürfen die anonymisierten Informationen in Übereinstimmung mit denHIPAA-Datenschutzvorschriften frei genutzt und offengelegt werden.

Antragder Person auf Zugang

HIPAA gewährt Personen das Recht, auf ihrePHI (oder elektronische Kopien von PHI), die Incode (oder seineGeschäftspartner) in bestimmten Datensätzen verwahrt, zuzugreifen und Kopiendavon zu erhalten.

Nach Erhalt eines Antrags einer Person (odereines Elternteils eines Minderjährigen oder des persönlichen Vertreters einerPerson) auf Offenlegung der PHI einer Person unternehmen die Mitarbeiter diefolgenden Schritte:

Befolgen Sie die Verfahren zur Überprüfungder Identität der Person (oder des Elternteils oder persönlichen Vertreters)gemäß „Überprüfung der Identität von Personen, die geschützteGesundheitsinformationen anfordern".

•         Prüfen Sie den Offenlegungsantrag,um festzustellen, ob die angeforderten PHI im bestimmten Datensatz der Personverwahrt werden. Wenden Sie sich an den Datenschutzverantwortlichen, wenn esden Anschein hat, dass die angeforderten Informationen nicht im bestimmtenDatensatz der Person verwahrt werden. Kein Zugangsantrag darf ohne Genehmigungdes Datenschutzverantwortlichen abgelehnt werden.

•         Prüfen Sie den Offenlegungsantrag,um festzustellen, ob eine Ausnahme von der Offenlegungspflicht bestehen könnte;beispielsweise kann die Offenlegung abgelehnt werden bei Anträgen auf Zugang zuPsychotherapienotizen, Dokumenten, die für ein Gerichtsverfahrenzusammengestellt wurden, Informationen, die im Rahmen von Forschung erhobenwurden, wenn die Person der Verweigerung des Zugangs zugestimmt hat,Informationen, die unter dem Versprechen der Vertraulichkeit erlangt wurden,und anderen Offenlegungen, bei denen ein Angehöriger eines Gesundheitsberufsfeststellt, dass sie wahrscheinlich Schaden verursachen. Wenden Sie sich an denDatenschutzverantwortlichen, wenn Zweifel bestehen, ob eine dieser Ausnahmenzutrifft. Kein Zugangsantrag darf ohne Genehmigung desDatenschutzverantwortlichen abgelehnt werden.

•         Beantworten Sie den Antrag, indemSie die Informationen bereitstellen oder den Antrag innerhalb von 30 Tagenablehnen. Wenn auf die angeforderten PHI nicht innerhalb der 30-Tage-Fristzugegriffen werden kann, kann die Frist um 30 Tage verlängert werden, indem derPerson innerhalb der ursprünglichen 30-Tage-Frist eine schriftliche Mitteilungüber die Gründe für die Verlängerung und das Datum, bis zu dem der Arbeitgeberantworten wird, zugestellt wird.

•         Ein Ablehnungsbescheid mussenthalten: (1) die Grundlage für die Ablehnung; (2) eine Erklärung über dasRecht der Person, gegebenenfalls eine Überprüfung der Ablehnung zu verlangen;und (3) eine Erklärung, wie die Person eine Beschwerde bezüglich der Ablehnungeinreichen kann. Alle Ablehnungsbescheide müssen vomDatenschutzverantwortlichen erstellt oder genehmigt werden.

•         Stellen Sie die angefordertenInformationen in der von der Person gewünschten Form oder dem gewünschtenFormat bereit, sofern sie in dieser Form ohne Weiteres herstellbar sind.Andernfalls stellen Sie die Informationen in lesbarer Papierform oder in eineranderen mit der Person vereinbarten Form bereit.

•         Personen haben das Recht, eineKopie per Post oder E-Mail zu erhalten, oder können eine Kopie persönlichabholen. Personen (einschließlich Häftlinge) haben auch das Recht, dieInformationen vor Ort einzusehen.

•         Wenn die Person anstelle dervollständigen Informationen oder zusätzlich dazu eine Zusammenfassung undErläuterung der angeforderten Informationen beantragt hat, erstellen Sie einesolche Zusammenfassung und Erläuterung der angeforderten Informationen undstellen Sie sie der Person in der gewünschten Form oder dem gewünschten Formatzur Verfügung.

•         Erheben Sie eine angemessene,kostenbasierte Gebühr für Kopien, Porto und die Erstellung einerZusammenfassung (die Gebühr für eine Zusammenfassung muss jedoch im Voraus mitder Person vereinbart werden). Diese Bestimmung ist nicht erforderlich, wennder Plan keine Gebühr erhebt.

•         Offenlegungen müssen gemäß demVerfahren „Dokumentationsanforderungen" dokumentiert werden.

Anträgeder Person auf Änderung

HIPAA gewährt Personen zudem das Recht, dieÄnderung ihrer PHI zu beantragen. Incode wird Änderungsanträge prüfen, die vonTeilnehmern schriftlich eingereicht werden.

Nach Erhalt eines Antrags einer Person (odereines Elternteils eines Minderjährigen oder des persönlichen Vertreters einerPerson) auf Änderung der PHI einer Person, die in einem bestimmten Datensatzverwahrt werden, unternehmen die Mitarbeiter die folgenden Schritte:

•         Befolgen Sie die Verfahren zurÜberprüfung der Identität der Person (oder des Elternteils oder persönlichenVertreters) gemäß „Überprüfung der Identität von Personen, die geschützteGesundheitsinformationen anfordern".

•         Prüfen Sie den Antrag, umfestzustellen, ob die betreffenden PHI im bestimmten Datensatz der Personverwahrt werden. Wenden Sie sich an den Datenschutzverantwortlichen, wenn esden Anschein hat, dass die betreffenden Informationen nicht im bestimmten Datensatzder Person verwahrt werden. Kein Änderungsantrag darf ohne Genehmigung desDatenschutzverantwortlichen abgelehnt werden.

•         Prüfen Sie den Änderungsantrag, umfestzustellen, ob die Informationen nach dem HIPAA-Zugangsrecht zugänglichwären (siehe die obigen Zugangsverfahren). Wenden Sie sich an denDatenschutzverantwortlichen, wenn Zweifel bestehen, ob eine dieser Ausnahmen zutrifft.Kein Änderungsantrag darf ohne Genehmigung des Datenschutzverantwortlichenabgelehnt werden.

•         Prüfen Sie den Änderungsantrag, umfestzustellen, ob die Änderung angemessen ist – d. h., stellen Sie fest,ob die Informationen im bestimmten Datensatz ohne die Änderung richtig undvollständig sind.

•         Beantworten Sie den Antraginnerhalb von 60 Tagen, indem Sie die Person schriftlich darüber informieren,dass die Änderung vorgenommen wird oder dass der Antrag abgelehnt wird. Wenndie Entscheidung nicht innerhalb der 60-Tage-Frist getroffen werden kann, kanndie Frist um 30 Tage verlängert werden, indem der Person innerhalb derursprünglichen 60-Tage-Frist eine schriftliche Mitteilung über die Gründe fürdie Verlängerung und das Datum, bis zu dem der Arbeitgeber antworten wird,zugestellt wird.

•         Wird eine Änderung akzeptiert,nehmen Sie die Änderung im bestimmten Datensatz vor und benachrichtigen Sie inangemessener Weise die Person und alle Personen oder Einrichtungen, diegegebenenfalls auf dem Änderungsantragsformular der Person aufgeführt sind,sowie alle Personen/Einrichtungen, von denen bekannt ist, dass sie über diebetreffende Aufzeichnung verfügen und sich zum Nachteil der Person auf dienicht korrigierten Informationen verlassen könnten.

•         Wird ein Änderungsantragabgelehnt, gelten die folgenden Verfahren:

–        Alle Ablehnungsbescheide müssenvom Datenschutzverantwortlichen erstellt oder genehmigt werden. EinAblehnungsbescheid muss enthalten: (1) die Grundlage für die Ablehnung; (2)Informationen über das Recht der Person, eine schriftliche Widerspruchserklärunggegen die Ablehnung einzureichen, und wie eine solche Erklärung eingereichtwird; (3) eine Erläuterung, dass die Person (wenn sie keineWiderspruchserklärung einreicht) verlangen kann, dass der Änderungsantrag undseine Ablehnung in künftige Offenlegungen der Informationen aufgenommen werden;und (4) eine Erklärung, wie die Person eine Beschwerde bezüglich der Ablehnungeinreichen kann.

–        Reicht die Person nach derAblehnung eine Widerspruchserklärung ein, fügen Sie den Änderungsantrag derPerson, den Ablehnungsbescheid, die etwaige Widerspruchserklärung der Personund die etwaige Erwiderung/Stellungnahme des Arbeitgebers auf diese Widerspruchserklärungjeder nachfolgenden Offenlegung der Aufzeichnung bei, auf die sich derÄnderungsantrag bezieht. Hat die Person keine schriftlicheWiderspruchserklärung eingereicht, fügen Sie den Änderungsantrag und seineAblehnung jeder nachfolgenden Offenlegung der geschütztenGesundheitsinformationen nur bei, wenn die Person dies beantragt hat.

Antragauf Rechenschaftsbericht über Offenlegungen von PHI

Eine Person hat das Recht, einenRechenschaftsbericht über bestimmte Offenlegungen ihrer eigenen PHI zuerhalten.

Nach Erhalt eines Antrags einer Person (odereines Elternteils eines Minderjährigen oder des persönlichen Vertreters einerPerson) auf einen Rechenschaftsbericht über Offenlegungen muss der Mitarbeiterdie folgenden Schritte unternehmen:

•         Befolgen Sie die Verfahren zurÜberprüfung der Identität der Person (oder des Elternteils oder persönlichenVertreters) gemäß „Überprüfung der Identität von Personen, die geschützteGesundheitsinformationen anfordern".

•         Hat die den Rechenschaftsberichtbeantragende Person innerhalb der 12 Monate unmittelbar vor dem Eingang desaktuellen Antrags bereits einen Rechenschaftsbericht erhalten, erstellen Sieeine Mitteilung an die Person, in der sie darüber informiert wird, dass eineBearbeitungsgebühr erhoben wird, und ihr die Möglichkeit gegeben wird, denAntrag zurückzuziehen.

•         Beantworten Sie den Antraginnerhalb von 60 Tagen, indem Sie den Rechenschaftsbericht bereitstellen (wieunten näher beschrieben) oder die Person darüber informieren, dass keineOffenlegungen erfolgt sind, die in einen Rechenschaftsbericht aufgenommen werdenmüssen (siehe die Liste der Ausnahmen von der Rechenschaftspflicht unten). Kannder Rechenschaftsbericht nicht innerhalb der 60-Tage-Frist bereitgestelltwerden, kann die Frist um 30 Tage verlängert werden, indem der Person innerhalbder ursprünglichen 60-Tage-Frist eine schriftliche Mitteilung über die Gründefür die Verlängerung und das Datum, bis zu dem der Arbeitgeber antworten wird,zugestellt wird.

•         Der Rechenschaftsbericht mussOffenlegungen (aber nicht Nutzungen) der PHI der antragstellenden Personumfassen, die vom Plan und seinen Geschäftspartnern während des von der Personbeantragten Zeitraums bis zu sechs Jahre vor dem Antrag vorgenommen wurden.(Beachten Sie jedoch, dass der Plan nicht verpflichtet ist, über OffenlegungenRechenschaft abzulegen, die vor dem 14. April 2004 erfolgt sind.) DerRechenschaftsbericht muss keine Offenlegungen umfassen:

–        zur Durchführung von Behandlung,Zahlung und Gesundheitsversorgungsvorgängen;

–        gegenüber der Person über ihreeigenen PHI;

–        die im Zusammenhang mit eineranderweitig zulässigen Nutzung oder Offenlegung erfolgen;

–        aufgrund einer Einwilligung derPerson;

–        für bestimmte Zwecke dernationalen Sicherheit oder der Nachrichtendienste;

–        gegenüber Justizvollzugsanstaltenoder Strafverfolgungsbehörden, wenn die Offenlegung ohne Einwilligung zulässigwar; und

–        als Teil eines begrenztenDatensatzes (Limited Data Set).

•         Wenn ein Geschäftspartner desPlans befugt ist, die PHI der Person offenzulegen, kontaktiert derDatenschutzbeauftragte den Geschäftspartner, um einen Rechenschaftsbericht überdessen Offenlegungen zu erhalten.

•         Der Rechenschaftsbericht muss fürjede meldepflichtige Offenlegung der PHI der Person die folgenden Informationenenthalten:

–        das Datum der Offenlegung;

–        den Namen (und, falls bekannt, dieAdresse) der Einrichtung oder Person, gegenüber der die Informationenoffengelegt wurden;

–        eine kurze Beschreibung deroffengelegten PHI; und

–        eine kurze Erklärung des Zwecksder Offenlegung. (Die Zweckerklärung kann gegebenenfalls durch Vorlage einerKopie des schriftlichen Offenlegungsantrags erfolgen.)

•         Hat der Plan von einerGesundheitsaufsichtsbehörde oder einem Strafverfolgungsbeamten eine Erklärungüber eine vorübergehende Aussetzung erhalten, wonach die Benachrichtigung derPerson über Offenlegungen von PHI die Tätigkeiten der Behörde mit hinreichenderWahrscheinlichkeit behindern würde, kann die Offenlegung entfallen. Erhält einMitarbeiter eine solche Erklärung, sei es mündlich oder schriftlich, muss erden Datenschutzverantwortlichen für weitere Anleitung kontaktieren.

•         Rechenschaftsberichte müssen gemäßdem Verfahren für „Dokumentationsanforderungen" dokumentiert werden.

Anträgeauf vertrauliche Kommunikation

Personen können beantragen, Mitteilungenüber ihre PHI auf alternativen Wegen oder an alternativen Orten zu erhalten.Beispielsweise können Teilnehmer darum bitten, nur am Arbeitsplatz und nicht zuHause angerufen zu werden. Solche Anträge können bewilligt werden, wenn sieangemessen sind.

Der Arbeitgeber muss einem solchen Antragjedoch stattgeben, wenn der Teilnehmer eindeutig darlegt, dass die Offenlegungaller oder eines Teils dieser Informationen ihn gefährden könnte. DerDatenschutzverantwortliche ist für die Verwaltung von Anträgen auf vertraulicheKommunikation zuständig.

Nach Erhalt eines Antrags einer Person (odereines Elternteils eines Minderjährigen oder des persönlichen Vertreters einerPerson), Mitteilungen über PHI auf alternativen Wegen oder an alternativenOrten zu erhalten, muss der Mitarbeiter die folgenden Schritte unternehmen:

•         Befolgen Sie die Verfahren zurÜberprüfung der Identität der Person (oder des Elternteils oder persönlichenVertreters) gemäß „Überprüfung der Identität von Personen, die geschützteGesundheitsinformationen anfordern".

•         Stellen Sie fest, ob der Antrageine Erklärung enthält, dass die Offenlegung aller oder eines Teils derInformationen, auf die sich der Antrag bezieht, die Person gefährden könnte.

•         Der Mitarbeiter sollte Schritteunternehmen, um Anträgen stattzugeben.

•         Kann einem Antrag nichtstattgegeben werden, muss der Mitarbeiter die Person persönlich, schriftlichoder telefonisch kontaktieren, um zu erläutern, warum dem Antrag nichtstattgegeben werden kann.

•         Alle genehmigten Anträge aufvertrauliche Kommunikation müssen nachverfolgt werden.

•         Anträge und ihre Erledigung müssengemäß dem Verfahren für „Dokumentationsanforderungen" dokumentiert werden.

Anträgeauf Einschränkungen der Nutzung und Offenlegung von PHI

Personen können Einschränkungen der Nutzungund Offenlegung der PHI des Teilnehmers beantragen. Nach Erhalt eines Antragseiner Person (oder eines Elternteils eines Minderjährigen oder des persönlichenVertreters einer Person) auf Zugang zu den PHI einer Person muss derMitarbeiter die folgenden Schritte unternehmen:

•         Befolgen Sie die Verfahren zurÜberprüfung der Identität der Person (oder des Elternteils oder persönlichenVertreters) gemäß „Überprüfung der Identität von Personen, die geschützteGesundheitsinformationen anfordern".

•         Der Mitarbeiter sollte Schritteunternehmen, um Anträgen stattzugeben.

•         Kann einem Antrag nichtstattgegeben werden, muss der Mitarbeiter die Person persönlich, schriftlichoder telefonisch kontaktieren, um zu erläutern, warum dem Antrag nichtstattgegeben werden kann.

•         Alle genehmigten Anträge aufEinschränkungen der Nutzung oder Offenlegung von PHI müssen nachverfolgtwerden.

•         Alle Geschäftspartner, diemöglicherweise Zugang zu den PHI der Person haben, müssen über allevereinbarten Einschränkungen informiert werden.

•         Anträge und ihre Erledigung müssengemäß dem Verfahren für „Dokumentationsanforderungen" dokumentiert werden.

Aufzeichnungen

Kopien aller folgenden Unterlagen werden füreinen Zeitraum von mindestens sechs Jahren ab dem Datum ihrer Erstellung oderihrer letzten Gültigkeit, je nachdem, welches Datum später liegt, aufbewahrt:

•         „Datenschutzmitteilungen"(Notices of Privacy Practices), die an Teilnehmer ausgegeben werden

•         Kopien von Richtlinien undVerfahren

•         Einwilligungen von Einzelpersonen

•         Bei Offenlegung bestimmter PHI:

–        Datum der Offenlegung;

–        Name der Einrichtung oder Person,die die PHI erhalten hat, und, falls bekannt, deren Adresse;

–        kurze Beschreibung deroffengelegten PHI;

–        kurze Erklärung des Zwecks derOffenlegung; und

–        jede weitere Dokumentation, dienach diesen Nutzungs- und Offenlegungsverfahren erforderlich ist.

Kontakt

Incode Technologies Inc. freut sichüber Kommentare, Fragen, Anliegen oder Anregungen. Bitte senden Sie uns IhrFeedback per E-Mail an: cs.service@incode.com

Incode hat seinen Sitz in den USA unter: 101Mission Street, Suite 900, San Francisco, CA 94105