scope	topic	status	citation	url	finding	product	open
US-AK	State Privacy Laws	Norm offen	12 AAC28.905(b), 28.906(2); AS45.48.500–590 aktueller Volltext noch offen	https://www.commerce.alaska.gov/web/portals/5/pub/dentalstatutes.pdf	Amtliche Dentalsammlung Revision 23.09.2026 gelesen: übernimmt für Zahnärzte ADA-Kodex mit Stand November 2018 und verlangt Aktenkopien binnen 30 Tagen nach schriftlichem Patienten-/Vormundantrag. Dies belegt noch nicht sämtliche heutigen Datenschutz- oder Offenlegungsregeln. Direkter AS45.48-Abruf lieferte nur Inhaltsverzeichnis/403.	Adresse/Kanal bestätigen, Daten minimieren, Aktenanfragen an Praxis routen; sichere Löschung mit Aufbewahrung/Holds abgleichen.	Adoptierten 2018-Kodex und aktuellen AS45.48.500–590 mit Datenbegriff/Ausnahmen vollständig beschaffen. Gegenwärtige ADA-Webfassung nicht ohne Versionsprüfung als 2018-Recht ausgeben; keine Datenschutzfreigabe aus fehlendem Abruf.
US-HI	Aktenzugang	Norm offen	HRS §§622-57(a),(b), 671-1; HIPAA 45 CFR 164.524 bei erfassten Praxen	https://data.capitol.hawaii.gov/hrscurrent/Vol13_Ch0601-0676/HRS0622/HRS_0622-0057.htm	§622-57 gewährt bei den in §671-1 definierten Anbietern Zugang; die Zehn-Arbeitstage-Regel betrifft die ordnungsgemäß bevollmächtigte anwaltliche Anforderung. Eine reguläre private Zahnzulassung allein begründet die dort definierte Anbietereigenschaft nicht. Allgemeine staatliche Frist für diesen Zahnarzt deshalb offen.	Verifizierte Anfragen an den Aktenverantwortlichen weitergeben. Eingang erfassen, zuständige Person und Fälligkeit dokumentieren; Kalenderexport allein erfüllt das Aktenbegehren regelmäßig nicht.	Bereich der Definition §671-1 (https://data.capitol.hawaii.gov/hrscurrent/Vol13_Ch0601-0676/HRS0671/HRS_0671-0001.htm), Rollen, spezielle Dentalregel und HIPAA-Anwendbarkeit klären. Keine generische Zehntagesfrist programmieren.
US-MS	Praxisschließung und Verkauf	Norm offen	Board Regulation 53; Miss. Code §73-9-13 und SB 2873 (2024) §2	https://www.dentalboard.ms.gov/sites/dentalboard/files/regulation53.pdf	Patienten haben bei entsprechendem Antrag Zugang zu ihren Akten; eine Schließung beseitigt die klinische Aufbewahrungspflicht nicht. Die eingesehene Board-Regel belegt keine allgemeine Zahnarztpflicht zu einer bestimmten Anzahl von Tagen für die Schließungsankündigung. Die vom Medical Board veröffentlichten ärztlichen Vorgaben nicht auf Zahnärzte verallgemeinern.	Vor Übergabe den tatsächlichen Verwahrer und Auskunftskanal festlegen. Offene Buchungen, Exporte und aktive Kommunikationsberechtigungen am Stichtag sicher zuordnen. Automatische Erinnerungen nach dem Betriebsende sperren.	Für gewöhnliche Zahnarztpraxen sind Schließungs-/Verkaufsanzeige, Frist und Weg der Patienteninformation gesondert zu verifizieren. Board Reg. 53 enthält einen älteren Aktenfristhinweis; derzeitige Aktennorm §73-9-13 beachten.
US-NM	State Privacy Laws	Norm offen	NMSA57-12 C-2–5, 8; 2017 HB15 final§§2–5, 8 gelesen; aktuelle Konsolidierung offen	https://www.nmlegis.gov/Sessions/17%20Regular/final/HB0015.pdf	Gelesenes verkündetes 2017-Ausgangsgesetz: erfasste Identitäts-/Finanz-/Biometriedaten benötigen angemessene Sicherheit; Sicherheitsanforderung im Dienstleistervertrag; unlesbare Entsorgung wenn geschäftlich nicht mehr angemessen benötigt. §8 nimmt HIPAA-/GLBA-pflichtige Personen aus. Aktueller NMOne Source-Codeabruf 403 verhindert abschließenden Änderungsabgleich.	Daten-/Rolleninventar und dokumentierte Vertrags-/Löschkontrollen; keine pauschale Ausnahme für jeden Kalenderanbieter oder jede Gesundheitsinformation.	Aktuelle 57-12 C-2–5, 8 sowie eigenständige Gesundheitsdaten-/Dentalvertraulichkeitsnormen gegen amtlichen Code abgleichen: https://nmonesource.com/nmos/nmsa/en/item/4423/index.do . Historischer Gesetzestext allein ist keine aktuelle vollständige Privacy-Freigabe.
US-NM	Data Breach Laws	Norm offen	NMSA57-12 C-6–10; 2017 HB15 final§§6–10 gelesen; aktueller Änderungsabgleich offen	https://www.nmlegis.gov/Sessions/17%20Regular/final/HB0015.pdf	Gelesenes 2017-Gesetz nennt schnellstmögliche Meldung, spätestens 45 Kalendertage ab Entdeckung an Betroffene und durch Fremdverwalter an Inhaber; bei>1.000 NM-Betroffenen AG/Auskunfteien. Risikoverzicht bei fehlendem erheblichem Identitätsdiebstahl-/Betrugsrisiko; HIPAA-/GLBA-Entity-Ausnahme und Ermittlungs-/Wiederherstellungsaufschub. Aktuelle Konsolidierung nicht erreichbar.	Vorfall sofort intern eskalieren und Entdeckungszeit sichern; 45-Tage-Regel nur als zu bestätigenden Recherchehinweis führen, Rollen-/Datenprüfung vor Fristberechnung.	Aktuelle 57-12 C-6–10 gegen NMOne Source lesen; Änderungen, Ausnahme und Datenbegriff bestätigen. Weiterhin Normoffen, weil nur verkündete 2017-Fassung vollständig gelesen, nicht aktuelle Gesamtfassung. Keine pauschale Fristfreigabe.
US-ND	State Privacy Laws	Norm offen	NDAC20-02-01-09(1), (7), (10), Fassung 01.04.2026; zusätzliche Datenschutzgrundlage offen	https://ndlegis.gov/information/acdata/pdf/20-02-01.pdf	Aktuelle Dentalregel gelesen: Patientenakte umfasst patientenbezogene Kommunikation und Verwaltungsverlauf; Schutz vor zerstörenden Einflüssen gilt auch elektronisch. Grundfrist sechs Jahre ab letzter Untersuchung/Verschreibung/Behandlung, Minderjährige länger aus sechs Jahren oder ein Jahr ab 18. Keine vollständige Offenlegungs-/SaaS-Datenschutznorm daraus ableitbar.	Kommunikation vor Löschung auf Aktenrelevanz prüfen; Zugriffsschutz, Export, Wiederherstellung und getrennte Versandabmeldung vorsehen.	Materielle Weitergabeerlaubnis, besondere Datenklassen und eigenständige Anbieterrolle nach aktuellem Landes-/Bundesrecht noch zuordnen. Schutz-/Aktennorm allein schließt diese Privacy-Zeile nicht.
US-OR	State Privacy Laws	Norm offen	ORS646 A.572(1), (2)(b), (h); 646 A.578(1); 646 A.622(1)–(5), 2025 Edition; 2026-Abgleich offen	https://www.oregonlegislature.gov/bills_laws/ors/ors646a.html	Offizielle 2025 Edition konkret gelesen: OCPA-Schwelle 100.000 oder 25.000 plus 25%Verkaufsumsatz; PHI-Ausnahme datenbezogen, keine pauschale HIPAA-Entity-Ausnahme.646 A.578 nennt Zweckbegrenzung und Widerrufsstopp spätestens 15 Tage ab Empfang.646 A.622 verlangt auch von Vendors angemessene Sicherheits-/Entsorgungsmaßnahmen samt geeigneter Dienstleister und vertraglichen Schutzpflichten; konkrete HIPAA-Konformität kann erfüllen.	PHI-/sonstige Datenflüsse getrennt erfassen; Anbieterrolle, Vertragskette, Rechte-/Widerrufsablauf und Sicherheitsprogramm einschließlich Backups/Löschung belegen.	Der amtliche Kapitelkopf warnt vor 2026-Änderungen; verlinkte 2026 A&R-Tabelle über Web 403/HTTPS-Timeout. Änderungen/Wirkungsdaten gegen 2026-Gesetze abgleichen, bevor der gesamte heutige Privacy-Stand als Normgeprüft gilt. Keine generelle Befreiung beliebiger SaaS-Anbieter.
US-PA	State Privacy Laws	Norm offen	49 Pa.Code 33.209(a)–(h); allgemeine Offenlegungs-/SaaS-Grundlage offen	https://www.pacodeandbulletin.gov/secure/pacode/data/049/chapter33/chap33toc.html	Aktuelle offizielle Dentalregel 33.209 gelesen: Akte mindestens fünf Jahre ab letztem Dentaleintrag, Kopien binnen 30 Tagen nach schriftlichem Antrag auch bei Behandlungsschulden; Vorkehrung für Rückzug/Unfähigkeit/Tod. Diese Aktenrechte ersetzen keinen vollständigen Datenschutz- oder Dienstleisterabgleich.	Authentifizierte Auskunft, Praxisrouting und Retention pro Datenart; Versandabmeldung nicht mit Aktenlöschung gleichsetzen.	Für SaaS-Verarbeitung, Weitergabe und besonders geschützte Daten konkrete Privacy-Normen, HIPAA-Rollen und Vertragspflichten noch zuordnen.33.254 ist nur Kinderschutz-Meldeausnahme und keine allgemeine Freigabe.
US-TN	Data Breach Laws	Norm offen	Tenn.Code 47-18-2107; amtlicher Normvolltext weiter offen	https://www.capitol.tn.gov/Archives/Joint/publications/TNCodeBills/2024/TNCodeBill_Volume2_2024.pdf	Direkte offizielle Code-/Gesetzesabrufe nicht lesbar. Keine aktuelle konkrete Landesfrist oder Gesundheitsanbieter-Ausnahme als normverifiziert übernommen. Amtliche UT-MTAS-Erläuterung mit Review 08.07.2026 bestätigt grundsätzlich die Existenz der 2107-Meldepflicht, behandelt aber kommunalen Kontext.	Provider muss Vorfall sofort an Praxis eskalieren; Entdeckung, Datenklassen, Bewohnerstaaten und mögliche Schlüsselkompromittierung sichern. Kein pauschales HIPAA60-Tage-Fenster einstellen.	Aktuelle 2107 einschließlich Informationsbegriff, Inhaber-/Verwalterfristen, GLBA/HIPAA-Ausnahmen, Behörden-/Auskunfteimeldung und Polizeiaufschub direkt prüfen. MTAS ist kein Ersatz: https://www.mtas.tennessee.edu/reference/breach-computer-security-system .
US-UT	Praxisschließung und Verkauf	Norm offen	Utah Admin. Code R156-69-502(10)–(12)	https://www.utah.gov/pmn/files/636101.pdf	Aufbewahrung und Auskunft sind für die Übergabe relevant. Die geprüften amtlichen Absätze nennen keine allgemeine Verkaufsanzeige oder Frist für stationäre Praxisschließungen.	Vor Schließung einen Erfüllungsweg für schriftliche Aktenanfragen erhalten.	Eigenständige Vorschriften für Mitteilungen, Nachsorge oder Wechsel der verantwortlichen Praxis offen.
US-WI	State Privacy Laws	Norm offen	Wis.Stat.146.81–146.84; aktueller Normvolltext nicht erreichbar	https://docs.legis.wisconsin.gov/statutes/statutes/146/82	Aktuelle 146.82-Zielquelle sowohl per Web als auch HTTPS erneut timeout. Keine Landes-Ausnahme für Terminsoftware oder pauschale HIPAA-Ersetzung verifiziert. Gelesene amtliche Gerichts-/Behördenmaterialien weisen auf eigenständige Vertraulichkeit von Patientenakten hin, ersetzen aktuelle 146.81/82 mit Ausnahmen nicht.	Patientenakten-/PHI-Zugriff begrenzen; Einwilligung, Zweck, Empfänger und Provider-Rolle je Datenfluss belegen; technische Auskunft/Export nur nach Berechtigungsprüfung.	Aktuelle 146.81-Definitionen einschließlich Zahnarzt, 146.82-Offenlegungstatbestände/Einwilligung sowie Wiederoffenlegung und Verhältnis zu HIPAA direkt beschaffen. Keine Landesfreigabe bis zum konkreten Normabgleich. Zusätzlich genannte DSPS-Boardunterlage 04.03.2026 wurde hier unter https://dsps.wi.gov/Documents/BoardCouncils/DEN/20260304DEBOpenSession.pdf mit 404 beantwortet; daraus keine eigene Volltextprüfung behauptet.
US-WI	Data Breach Laws	Norm offen	Wis.Stat.134.98; DATCP-Breach-Information, kein aktueller Normvolltext	https://datcp.wi.gov/Pages/Publications/IDTheftDataBreach607.aspx	Amtliche DATCP-Erläuterung nennt bestimmte Identitäts-/Finanz-/Biometriedaten, materielles Betrugsrisiko und grundsätzlich 45 Tage ab Kenntnis der Datenbeschaffung sowie Ausnahmen für bestimmte Gesundheitsanbieter. Direkter aktueller 134.98-Abruf weiter timeout; Frist/Ausnahmen sind daher nur behördlicher Recherchehinweis.	Datenklasse, HIPAA-/Anbieterrolle, Entdeckungs-/Kenntniszeit und Vorfallzuständigkeit protokollieren; rasche Praxisbenachrichtigung statt Abwarten.	Aktuellen 134.98-Volltext mit Anwendungsbereich, Inhaber-/Fremdverwalterpflichten, Friststart, Gesundheitsanbieter-Ausnahmen, >1.000-Regel und Ermittlungsaufschub direkt lesen. Keine aktuelle normverifizierte 45-Tage-Gesamtregel.
US-WY	State Privacy Laws	Norm offen	W.S.40-12-501–502 gelesen; Board-Vertraulichkeits-Endfassung offen	https://wyoleg.gov/statutes/compress/title40.pdf	Aktuelle Title 40-Pannennorm gelesen, darunter HIPAA-Compliance-Regel 40-12-502(h); daraus folgt keine allgemeine Offenlegungserlaubnis. Das historische amtliche Regelpaket ARR15-001 wurde nun per HTTPS gelesen: formelle Adoptionsbegründung sowie saubere und Redline-Fassung; Chapter 6§1(b) schützt Aktenvertraulichkeit. Heutige verbindliche Endfassung/Änderungen nicht belegt.	Nachrichteninhalt minimieren, verifizierte Adressierung und kontrollierte Anbieterrolle; Privacy-Abgleich nicht allein mit bestandener Breach-Ausnahme schließen.	Aktuelle Board Chapter 6-Fassung mit Wirkungsnachweis und späteren Änderungen beschaffen; historisches Regelpaket nicht ungeprüft als heutiges Recht übernehmen. Historische Primärquelle: https://www.wyoleg.gov/AgencyRules/ARR15-001.pdf ; Bundes-/Vertragsgrundlage, konkrete Providerrolle und Zweckausnahmen bleiben offen.