Kein Bereich arbeitet mit so sensiblen Daten wie die Pflege. Diagnosen, Medikamentenpläne, Pflegeberichte, Informationen über körperliche und geistige Verfassung — all das sind Daten, die das Intimste berühren, was ein Mensch hat.
Gleichzeitig ist die Datenschutzlage in vielen Pflegeeinrichtungen und ambulanten Diensten noch lückenhaft. Papierstapel im Fahrzeug, geteilte Passwörter in der Pflegesoftware, WhatsApp-Gruppen für die Schichtübergabe — die Realität ist oft weit von der DSGVO entfernt.
Das muss sich ändern. Und es ist machbar.
Warum Datenschutz in der Pflege besonders wichtig ist
Pflegedaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO: Gesundheitsdaten. Für sie gelten erhöhte Anforderungen. Wer sie verarbeitet, braucht entweder eine ausdrückliche Einwilligung oder eine spezifische Rechtsgrundlage.
Hinzu kommt: Pflegebedürftige Menschen befinden sich oft in einer Situation, in der sie ihre Rechte nicht ohne Weiteres selbst wahrnehmen können. Das schafft eine besondere Schutzpflicht.
Und die Aufsichtsbehörden schauen genau hin: Beschwerden über mangelhaften Datenschutz in Pflegeeinrichtungen sind keine Seltenheit — und führen zu Prüfungen mit realen Konsequenzen.
Welche DSGVO-Pflichten gelten für Pflegedienste?
Rechtsgrundlage für die Datenverarbeitung
Die Verarbeitung von Pflegedaten ist in der Regel auf Art. 9 Abs. 2 lit. h DSGVO gestützt: Verarbeitung zu Zwecken der Gesundheitsversorgung und Pflege. Diese Grundlage greift, wenn die Verarbeitung durch medizinisches oder pflegerisches Fachpersonal erfolgt oder unter dessen Verantwortung.
Wichtig: Einwilligungen sind nicht immer der richtige Weg — gerade bei urteilsunfähigen Pflegebedürftigen. Hier muss die Rechtsgrundlage sorgfältig geprüft werden.
Datenschutzbeauftragter: Pflicht oder nicht?
Für viele Pflegeeinrichtungen gilt: Ja, ein Datenschutzbeauftragter ist Pflicht. Nach § 38 BDSG ist ein DSB zu bestellen, wenn regelmäßig mehr als 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — oder wenn besondere Kategorien (Gesundheitsdaten) verarbeitet werden, auch unterhalb dieser Schwelle.
Verarbeitungsverzeichnis
Jeder Pflegedienst und jedes Pflegeheim muss ein Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO führen. Dort werden alle Verarbeitungsprozesse dokumentiert: Pflegedokumentation, Abrechnung, Personalverwaltung, Kommunikation mit Ärzten, Angehörigenkommunikation.
Technische und organisatorische Maßnahmen (TOMs)
Art. 32 DSGVO verlangt angemessene Schutzmaßnahmen. Für Pflegeeinrichtungen bedeutet das konkret:
- Zugriffsschutz für Pflegesoftware (personenbezogene Logins, keine Sammelaccounts)
- Verschlüsselung mobiler Geräte (Tablets, Laptops)
- Sichere Kommunikationswege (kein WhatsApp für Schichtübergaben mit Patientendaten)
- Physische Sicherung von Papierunterlagen
- Regelungen zur Mitnahme von Unterlagen (z. B. Tourenplanung)
Typische Risikobereiche in der Pflegepraxis
WhatsApp & Co. in der Kommunikation
Der Klassiker: Pflegekräfte tauschen Patienteninformationen über private Messenger-Dienste aus. Das ist datenschutzrechtlich problematisch — WhatsApp-Daten landen auf US-Servern, die Einwilligung der Betroffenen fehlt, die Kontrolle ist nicht vorhanden.
Lösung: Datenschutzkonforme Kommunikationslösungen nutzen — es gibt spezialisierte Anbieter für den Pflegebereich.
Pflegedokumentation auf Papier im Fahrzeug
Tourenunterlagen, Pflegeprotokolle, Medikamentenpläne — oft im Fahrzeug mitgeführt, manchmal auch mal vergessen. Diebstahl oder Verlust sind eine Datenpanne.
Lösung: Digitale Pflegedokumentation mit Zugriffsschutz. Wenn Papier, dann klare Regeln zur Aufbewahrung und Rückgabe.
Angehörigenkommunikation
Dürfen Pflegebeschäftigte Informationen an Angehörige weitergeben? Nicht automatisch. Dafür braucht es entweder die Einwilligung des Pflegebedürftigen oder eine rechtliche Bevollmächtigung.
Lösung: Einwilligungserklärungen bei Vertragsschluss einholen, Vollmachten dokumentieren.
Personalakten und Beschäftigtendaten
Auch die eigenen Mitarbeiterdaten — Gesundheitszeugnisse, Impfnachweise, Zeugnisse — müssen sicher verwahrt und nach Ende der Aufbewahrungsfrist gelöscht werden.
Einwilligung, Auftragsverarbeitung, Schweigepflicht — was noch zu beachten ist
Pflegeeinrichtungen arbeiten mit einer Vielzahl externer Dienstleister: Softwareanbieter, Abrechnungsstellen, externe Ärzte. Wo diese Zugang zu Patientendaten haben, braucht es Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO.
Gleichzeitig gilt für pflegerisches Personal die Schweigepflicht nach § 203 StGB — und diese gilt auch nach Ende des Arbeitsverhältnisses. Datenschutz und Schweigepflicht ergänzen sich, ersetzen sich aber nicht gegenseitig.
Schritt für Schritt: So kommen Pflegeeinrichtungen in die DSGVO-Compliance
- Bestandsaufnahme: Welche Daten werden wo verarbeitet? (Pflegesoftware, Papier, Kommunikation)
- Verarbeitungsverzeichnis erstellen: Alle Prozesse erfassen und Rechtsgrundlagen prüfen
- TOMs prüfen und umsetzen: Zugriffsschutz, Verschlüsselung, sichere Kommunikation
- DSB bestellen: Intern oder extern — je nach Größe und Ressourcen
- Mitarbeiter schulen: Datenschutz ist Teamaufgabe — alle müssen es verstehen
- Dokumentieren: Nicht nur umsetzen, sondern nachweisen können
Fazit
Datenschutz in der Pflege ist keine bürokratische Pflichtübung — er schützt die Menschen, die Ihrer Einrichtung vertrauen. Wer sauber aufgestellt ist, hat Rechtssicherheit, stärkt das Vertrauen von Pflegebedürftigen und Angehörigen und ist für Behördenprüfungen gewappnet.
Die gute Nachricht: Die meisten Anforderungen sind umsetzbar, auch ohne riesigen Apparat. Es braucht Struktur, Dokumentation und das richtige Know-how.
Sie möchten wissen, wie Ihr Pflegedienst oder Ihre Einrichtung aktuell aufgestellt ist? Wir kennen die Branche — und helfen Ihnen, Datenschutz so umzusetzen, dass er im Pflegealltag funktioniert.
FAQ: Datenschutz Pflegedienst
Braucht jeder Pflegedienst einen Datenschutzbeauftragten?
In der Regel ja — weil Gesundheitsdaten verarbeitet werden. Die genaue Pflicht hängt von Größe und Verarbeitungsumfang ab, aber die meisten Pflegeeinrichtungen ab einer gewissen Größe sind betroffen.
Darf ich WhatsApp für die Pflegekommunikation nutzen?
Nein — nicht für Inhalte mit Personenbezug. Für allgemeine Dienstplanung in anonymisierter Form ist die Grenze fließend, aber sobald Patientendaten ins Spiel kommen, sind datenschutzkonforme Alternativen Pflicht.
Was passiert bei einem Datenschutzverstoß in einer Pflegeeinrichtung?
Verstöße sind der zuständigen Aufsichtsbehörde zu melden (bei Risiko für Betroffene). Behörden können Bußgelder verhängen — und bei schwerwiegenden Verstößen auch in die Öffentlichkeit gehen. Wichtiger als die Strafe: Der Reputationsschaden in einem Bereich, der von Vertrauen lebt.
