Datenschutz in der Pflegeeinrichtung: Was Pflegedienste wirklich beachten müssen

Eine Pflegekraft dokumentiert nach der letzten Tour noch schnell auf dem privaten Handy, weil das Diensttablet den Akku verloren hat. Ein Angehöriger ruft in der Verwaltung an und möchte den Medikamentenplan seiner Mutter „nur kurz” per WhatsApp zugeschickt bekommen. Der IT-Dienstleister loggt sich zur Fernwartung auf den Server ein, auf dem auch die Pflegedokumentation liegt — ganz ohne schriftliche Vereinbarung dazu. Drei ganz normale Situationen im Alltag eines Pflegedienstes. Und drei Situationen, die datenschutzrechtlich heikel sind.

Datenschutz in der Pflege ist kein Papierthema für die Schublade. Pflegeeinrichtungen und ambulante Pflegedienste verarbeiten täglich Gesundheitsdaten — die sensibelste Kategorie personenbezogener Daten, die das Gesetz kennt. Gleichzeitig arbeiten viele Häuser mit knappen Personalressourcen, gewachsenen IT-Strukturen und mobilen Teams, die unterwegs auf Patientendaten zugreifen müssen. Genau in diesem Spannungsfeld entstehen die meisten Fehler — nicht aus Nachlässigkeit, sondern weil niemand im Haus die Zeit hat, sich das Thema strukturiert anzusehen.

Der entscheidende Unterschied zwischen einer Pflegeeinrichtung, die im Ernstfall ruhig bleiben kann, und einer, die in Erklärungsnot gerät, ist selten die Technik — es ist die Frage, ob jemand die Verantwortung dafür wirklich übernommen hat.

Dieser Beitrag ordnet die wichtigsten Punkte praxisnah ein: was rechtlich gilt, wo die größten Risiken im Alltag liegen und welche technischen und organisatorischen Maßnahmen tatsächlich helfen.

Warum Gesundheitsdaten eine besondere Rolle spielen

Die Datenschutz-Grundverordnung (DSGVO) unterscheidet zwischen „normalen” personenbezogenen Daten — etwa Name und Adresse — und den sogenannten besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Dazu zählen unter anderem Gesundheitsdaten, aber auch Informationen zu Religion oder ethnischer Herkunft, die in der Pflegedokumentation ebenfalls häufig mit erfasst werden (z. B. bei besonderen Ernährungs- oder Ritualbedürfnissen).

Für diese Datenkategorie gilt ein deutlich strengerer Maßstab: Die Verarbeitung ist grundsätzlich untersagt, es sei denn, es greift eine ausdrückliche Ausnahme — etwa die Erforderlichkeit für die Gesundheitsversorgung oder Pflege. Pflegedienste bewegen sich hier zwar auf rechtlich zulässigem Boden, weil die Datenverarbeitung für die Leistungserbringung notwendig ist. Das entbindet aber nicht von der Pflicht, diese Daten mit besonders hohem Schutzniveau zu behandeln.

Hinzu kommt die Schweigepflicht, die für Pflegekräfte ohnehin gilt und sich mit den DSGVO-Anforderungen überschneidet, aber nicht deckungsgleich ist. Schweigepflicht betrifft in erster Linie das, was mündlich oder schriftlich nach außen weitergegeben wird. Die DSGVO betrifft zusätzlich, wie Daten technisch gespeichert, verarbeitet und geschützt werden. Beides gehört zusammen, wird in der Praxis aber oft getrennt betrachtet — mit der Folge, dass die Schweigepflicht ernst genommen wird, während die technische Absicherung der Systeme dahinter offenbleibt.

Der Auftragsverarbeitungsvertrag (AVV): Pflicht bei jedem externen IT-Dienstleister

Sobald ein externer Dienstleister Zugriff auf personenbezogene Daten hat — etwa ein IT-Systemhaus, das Server wartet, ein Anbieter von Pflegesoftware oder ein Cloud-Hoster — muss nach Art. 28 DSGVO ein Auftragsverarbeitungsvertrag (AVV) geschlossen werden. Ohne diesen Vertrag ist die Datenverarbeitung durch den Dienstleister formal nicht rechtmäßig, selbst wenn die eigentliche Pflegetätigkeit einwandfrei läuft.

Was genau ein AVV regeln muss und worauf Pflegeeinrichtungen dabei achten sollten, erklären wir ausführlich im Lexikon-Eintrag zur Auftragsverarbeitung (AVV). Wichtig für die Praxis: Ein AVV ist kein Formular, das einmal unterschrieben und dann abgeheftet wird. Er sollte regelmäßig geprüft werden — etwa wenn sich der Leistungsumfang des Dienstleisters ändert oder neue Systeme hinzukommen.

Ein häufiger blinder Fleck: Auch die Pflegesoftware selbst (etwa für Dokumentation und Abrechnung) läuft in vielen Häusern über einen externen Anbieter mit Cloud-Zugriff. Auch hier braucht es einen AVV — unabhängig davon, ob es sich um den „großen” IT-Dienstleister oder einen spezialisierten Softwareanbieter handelt.

Technische und organisatorische Maßnahmen (TOM): das Herzstück der Umsetzung

Die DSGVO verlangt „geeignete technische und organisatorische Maßnahmen” (TOM), um personenbezogene Daten zu schützen. Was abstrakt klingt, lässt sich für Pflegeeinrichtungen sehr konkret herunterbrechen:

1. Zugriffsberechtigungen klar regeln. Nicht jede Mitarbeiterin und jeder Mitarbeiter braucht Zugriff auf alle Patientenakten. Ein rollenbasiertes Berechtigungskonzept sorgt dafür, dass nur der tatsächlich zuständige Personenkreis auf die jeweiligen Daten zugreifen kann — und dass Zugriffe im Zweifel nachvollziehbar sind.
2. Verschlüsselte Kommunikation statt WhatsApp und privater E-Mail. Medikamentenpläne, Pflegeberichte oder Arztbriefe gehören nicht in unverschlüsselte Messenger-Nachrichten. Für die dienstliche Kommunikation braucht es abgesicherte, dokumentierte Wege — sowohl innerhalb des Teams als auch mit Angehörigen und Ärzten.
3. Sichere mobile Endgeräte. Gerade in der ambulanten Pflege sind Tablets und Smartphones ständige Begleiter unterwegs. Diese Geräte brauchen Bildschirmsperren, Verschlüsselung und die Möglichkeit, sie im Verlustfall aus der Ferne zu sperren oder zu löschen.
4. Regelmäßige Backups mit Notfallplan. Fällt die Pflegedokumentation aus — durch einen technischen Defekt oder einen Cyberangriff — muss der Betrieb trotzdem weiterlaufen können. Ein durchdachtes IT-Sicherheitskonzept legt genau das fest: Wer wird informiert, wie schnell sind Daten wiederhergestellt, welche Systeme haben Priorität.
5. Multi-Faktor-Authentifizierung (MFA). Gerade bei Fernzugriffen auf Dokumentationssysteme reduziert MFA das Risiko von Konto-Übernahmen erheblich — ein Passwort allein reicht für den Zugriff auf sensible Pflegedaten nicht mehr aus.

Wie ein solches Maßnahmenpaket im Detail aussieht und wie es sich sauber dokumentieren lässt, begleiten wir im Rahmen unserer IT-Sicherheit für Pflegedienste und -einrichtungen. Welche konkreten IT-Sicherheitsmaßnahmen im Pflegealltag technisch wirklich greifen — von Zugriffskontrollen über Verschlüsselung bis zu getesteten Backups — haben wir im Beitrag IT-Sicherheit in der Pflege zusammengefasst. Branchenspezifisch begleiten wir Sie über unsere IT-Betreuung für die Pflege.

Mobile Endgeräte in der ambulanten Pflege: der größte Alltagsrisikofaktor

Die ambulante Pflege hat eine Besonderheit, die viele allgemeine Datenschutz-Ratgeber übersehen: Die Mitarbeitenden sind den Großteil ihrer Arbeitszeit unterwegs, oft mit privaten oder unzureichend abgesicherten Geräten. Genau hier entstehen in der Praxis die meisten Zwischenfälle — nicht durch böswillige Angriffe, sondern durch Alltagssituationen:

• Ein Diensthandy wird im Auto liegen gelassen oder geht verloren.
• Der Akku ist leer, und aus Zeitdruck wird kurz das private Handy genutzt.
• Notizen werden auf Papier gemacht und landen ungesichert im Auto oder zu Hause.
• WLAN bei Angehörigen wird für die Dokumentation genutzt, ohne dass die Verbindung abgesichert ist.

Pflegedienste, die wir betreuen, lösen das in der Regel mit einer Kombination aus verwalteten Diensttablets (mit zentraler Fernsperrung und -löschung), klaren Nutzungsregeln und einer verschlüsselten App-Anbindung an das Dokumentationssystem — statt auf Zuruf und gutem Willen zu setzen. Wichtig ist dabei: Diese Regelungen müssen praxistauglich sein. Eine Vorgabe, die im hektischen Pflegealltag nicht einzuhalten ist, wird nicht eingehalten — unabhängig davon, wie gut sie auf dem Papier klingt.

Typische Prüf- und Bußgeldrisiken

Datenschutzverstöße in der Pflege werden auf unterschiedlichen Wegen sichtbar: durch eine Beschwerde von Angehörigen, im Rahmen einer Prüfung durch die zuständige Aufsichtsbehörde, oder — was in der Praxis häufig unterschätzt wird — nach einem Sicherheitsvorfall wie einem Cyberangriff, bei dem im Nachgang genau geprüft wird, ob angemessene Schutzmaßnahmen bestanden.

Typische Prüfpunkte sind dabei regelmäßig:

• Existiert ein aktuelles Verzeichnis von Verarbeitungstätigkeiten?
• Liegen für alle externen Dienstleister mit Datenzugriff gültige AVV vor?
• Sind Zugriffsrechte dokumentiert und nachvollziehbar vergeben?
• Gibt es ein Konzept für den Umgang mit mobilen Endgeräten?
• Existiert ein Notfallplan für den Fall eines Datenverlusts oder eines Angriffs, zum Beispiel durch Phishing?

Für Einrichtungen, die unter die NIS2-Richtlinie fallen könnten — was für den Gesundheits- und Pflegesektor im Einzelfall zu prüfen ist —, kommen zusätzliche Anforderungen an Risikomanagement und Meldepflichten hinzu. Mehr dazu im Lexikon-Eintrag zu NIS2. Wichtig: Dieser Beitrag ersetzt keine Rechtsberatung. Ob und in welchem Umfang einzelne Vorgaben auf eine konkrete Einrichtung zutreffen, sollte im Zweifel mit einer auf Datenschutz spezialisierten Rechtsberatung abgestimmt werden.

Wie Pflegeeinrichtungen das Thema strukturiert angehen

Aus unserer Erfahrung mit Pflegediensten in der Region Hildesheim hilft folgende Reihenfolge, um das Thema Schritt für Schritt in den Griff zu bekommen, statt sich von der Komplexität lähmen zu lassen:

1. Bestandsaufnahme: Welche Systeme verarbeiten Patientendaten, wer hat Zugriff, welche externen Dienstleister sind beteiligt?
2. AVV prüfen und nachziehen: Für jeden externen Dienstleister mit Datenzugriff einen gültigen Auftragsverarbeitungsvertrag sicherstellen.
3. Technische Grundabsicherung: Verschlüsselung, Zugriffsrechte, MFA und Backup als Fundament — unabhängig von der Einrichtungsgröße.
4. Mobile Geräte verwalten statt hoffen: Diensttablets zentral verwalten, mit Fernsperrung und klaren Nutzungsregeln.
5. Regelmäßig überprüfen: Datenschutz ist kein einmaliges Projekt, sondern ein laufender Prozess, der bei neuen Systemen oder Mitarbeitenden mitwächst.

Genau diese Struktur — Bestandsaufnahme, Vertragslage, technische Maßnahmen, mobiles Arbeiten, laufende Kontrolle — ist der Kern eines funktionierenden IT-Sicherheitskonzepts für Pflegeeinrichtungen.

Datenschutz als Vertrauensfrage, nicht als Bürokratie

Für Angehörige und Pflegebedürftige ist der Umgang mit sensiblen Gesundheitsdaten eine Vertrauensfrage — vielleicht die wichtigste überhaupt. Ein Pflegedienst, der nachweisen kann, dass er mit diesen Daten sorgfältig umgeht, gewinnt dieses Vertrauen leichter als einer, bei dem im Ernstfall niemand genau sagen kann, wer wofür zuständig ist.

Wir betreuen ambulante und stationäre Pflegeeinrichtungen im Raum Diekholzen und Hildesheim seit Jahren genau in diesem Spannungsfeld zwischen Pflegealltag, gesetzlichen Anforderungen und begrenzten Personalressourcen. Von der Bestandsaufnahme über die AVV-Prüfung bis zur technischen Absicherung mobiler Endgeräte — als Managed-IT-Partner übernehmen wir die Themen, für die im Pflegealltag schlicht keine Zeit bleibt.

Wenn Sie prüfen möchten, wo Ihre Einrichtung beim Datenschutz aktuell steht, sprechen Sie uns gerne an: telefonisch unter 05121 676 3000 oder direkt im persönlichen Gespräch bei uns in Diekholzen. Wir schauen gemeinsam auf Ihre Systeme, Ihre Verträge und Ihre Abläufe — ohne Fachjargon, dafür mit konkreten nächsten Schritten.

---

Lars Neumann ist Inhaber von LNIT — Lars Neumann IT, einem IT-Systemhaus und Managed Services Provider mit Sitz in Diekholzen bei Hildesheim. LNIT betreut unter anderem ambulante und stationäre Pflegeeinrichtungen in den Bereichen IT-Infrastruktur, Cyber-Sicherheit, Datenschutz-nahe IT-Maßnahmen und Dokumentenmanagement. Dieser Beitrag ersetzt keine individuelle Rechtsberatung.