Datenschutz bei digitaler Pflegedokumentation: Anforderungen

Das Wichtigste in Kürze

• Pflegedokumentationen enthalten Gesundheitsdaten und damit besonders sensible personenbezogene Daten. Der Dienst muss festlegen, warum und auf welcher rechtlichen Grundlage er sie verarbeitet.
• Datenschutz ist nicht allein eine Funktion der Software. Verantwortlich sind auch Prozesse, Berechtigungen, Schulungen, Geräte und die Zusammenarbeit mit Dienstleistern.
• Zugriffe sollten auf das beschränkt sein, was Beschäftigte für ihre jeweilige Aufgabe benötigen. Änderungen und Sicherheitsvorfälle brauchen geregelte Abläufe.
• Prüfe vor der Einführung unter anderem Hosting, Datensicherung, Ausfallsicherheit, Datenexport, Löschung und den Vertrag mit dem Anbieter.

Welche Daten sind besonders schutzbedürftig?

Eine digitale Pflegedokumentation kann Angaben zur Gesundheit, zum Pflegebedarf, zu Maßnahmen und zum Verlauf der Versorgung enthalten. Solche Informationen sind besonders sensibel. Auch Stammdaten, Kontaktdaten, Einsatzzeiten und Angaben zu Beschäftigten sind personenbezogene Daten und müssen geschützt werden.

Nicht jede Information gehört automatisch in jede Dokumentation. Lege fest, welche Daten für die Versorgung, die betriebliche Organisation und die Erfüllung geltender Pflichten erforderlich sind. Eine pauschale Speicherung „für alle Fälle“ ist kein Ersatz für ein nachvollziehbares Lösch- und Aufbewahrungskonzept.

Rechtliche Verantwortung und Zuständigkeiten

Der Pflegedienst muss nachvollziehbar festlegen, zu welchen Zwecken er Daten verarbeitet und wer dafür verantwortlich ist. Die Datenschutz-Grundverordnung und das Bundesdatenschutzgesetz bilden hierfür den allgemeinen Rechtsrahmen. Daneben können Pflichten aus dem Sozialrecht, Vereinbarungen mit Kostenträgern sowie landes- oder vertragsabhängige Vorgaben relevant sein.

Unterscheide in der internen Regelung klar zwischen diesen Ebenen:

Ebene	Was Du klären solltest
Gesetzliche Vorgaben	Welche Datenschutz- und Dokumentationspflichten gelten für den konkreten Verarbeitungsvorgang?
Vereinbarungen mit Kostenträgern und Rahmenverträge	Welche Anforderungen gelten für Leistungserbringung, Nachweise und Dokumentation im jeweiligen Land oder Vertrag?
Arbeits- und Tarifvertrag	Welche Regelungen betreffen Beschäftigte und den Umgang mit dienstlichen Informationen? Tarif- und Arbeitsverträge ersetzen keine Datenschutzprüfung.
Interne Regelung	Wer darf auf welche Daten zugreifen, wie werden Geräte genutzt und wie werden Fehler oder Vorfälle gemeldet?

Die Leitung bleibt dafür verantwortlich, dass die Organisation Datenschutz praktisch umsetzt. Eine beauftragte Person für Datenschutz kann beraten und kontrollieren, übernimmt aber nicht automatisch die Verantwortung der Geschäftsführung. Ob eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter zu benennen ist, hängt von den gesetzlichen Voraussetzungen und der konkreten Organisation ab. Prüfe das bei Bedarf mit einer qualifizierten Datenschutzberatung.

Software und Dienstleister sorgfältig prüfen

Eine Softwareentscheidung ist zugleich eine Organisationsentscheidung. Prüfe nicht nur Bedienbarkeit und Funktionen, sondern auch, wie Daten verarbeitet, geschützt, exportiert und gelöscht werden. Verlange verständliche Informationen zu den technischen und organisatorischen Maßnahmen und kläre offene Punkte vor Vertragsabschluss.

Wichtige Fragen für die Auswahl:

• Welche Daten werden gespeichert und zu welchen Zwecken verarbeitet?
• Wer kann Daten sehen, verändern, exportieren oder löschen? Kann der Dienst diese Rechte passend zu Aufgaben und Rollen einrichten?
• Wo und durch wen werden die Daten verarbeitet? Werden weitere Dienstleister eingesetzt?
• Wie werden Übertragung und Speicherung geschützt? Wie funktionieren Datensicherung und Wiederherstellung?
• Welche Protokolle gibt es zu Zugriffen und Änderungen, und wer prüft sie?
• Wie erhält der Dienst seine Daten zurück, wenn er den Anbieter wechselt oder den Vertrag beendet?
• Wie werden Daten am Vertragsende gelöscht oder für eine erforderliche Aufbewahrung verfügbar gehalten?
• Wie informiert der Anbieter über Sicherheitsprobleme und unterstützt er den Dienst bei der Bearbeitung eines Vorfalls?

Wenn ein Anbieter Daten im Auftrag des Pflegedienstes verarbeitet, müssen die Rollen und Pflichten vertraglich geregelt werden. Dazu gehört eine Vereinbarung zur Auftragsverarbeitung, sofern diese rechtliche Einordnung zutrifft. Prüfe die tatsächliche Verarbeitung und nicht nur die Bezeichnung im Vertrag. Verantwortlichkeiten für Betroffenenanfragen, Unterauftragnehmer, Sicherheitsmaßnahmen und Vertragsende sollten verständlich geregelt sein.

Auch eine Speicherung in einer Cloud ist nicht automatisch unzulässig oder automatisch sicher. Entscheidend sind unter anderem Rechtsgrundlage, Zugriffsmöglichkeiten, Schutzmaßnahmen, eingesetzte Dienstleister und die vertraglichen Regelungen. Bei komplexen oder grenzüberschreitenden Verarbeitungen solltest Du fachkundige Datenschutzberatung einbeziehen.

Zugriffsrechte im Pflegealltag

Zugriffsrechte müssen zur tatsächlichen Arbeit passen. Eine Pflegekraft braucht nicht automatisch Zugriff auf sämtliche Daten aller versorgten Personen. Richte Rollen so ein, dass Beschäftigte die Informationen erreichen, die sie für ihre Aufgaben benötigen. Prüfe, ob Vertretungen, Teamwechsel und das Ausscheiden von Beschäftigten im System zeitnah abgebildet werden.

Verwende persönliche Benutzerkonten statt geteilter Zugangsdaten. So lassen sich Zuständigkeiten und Änderungen besser nachvollziehen. Regeln für Passwörter, Bildschirmsperren und den Umgang mit Zugangsdaten müssen verständlich sein und zum Arbeitsalltag passen. Zugänge, die nicht mehr gebraucht werden, sind zu entfernen oder anzupassen.

Protokollierung kann helfen, Zugriffe und Änderungen nachzuvollziehen. Sie ist aber kein Selbstzweck: Lege fest, wer Protokolle prüft, wofür sie verwendet werden und wie lange sie aufbewahrt werden. Berücksichtige dabei auch die Rechte und Informationspflichten gegenüber Beschäftigten.

Mobile Geräte und Arbeiten unterwegs

Bei ambulanter Arbeit greifen Beschäftigte häufig unterwegs auf Dokumentationen zu. Dafür braucht es klare Regeln für dienstliche Geräte und den Zugriff über private Geräte. Private Nutzung sollte nicht stillschweigend zugelassen werden: Prüfe vorher, ob sie mit den Sicherheitsanforderungen vereinbar ist, und regle sie verbindlich.

In einer internen Verfahrensanweisung sollte stehen, wie Beschäftigte Geräte sichern, bei Verlust oder Diebstahl vorgehen und Daten in gemeinsam genutzten oder öffentlich zugänglichen Situationen vor unbefugten Blicken schützen. Kläre außerdem, wie Informationen bei Verbindungsproblemen erfasst und später zuverlässig übertragen werden. Die konkrete Lösung muss zur eingesetzten Technik und zum Ablauf des Dienstes passen.

Aufbewahrung, Auskunft und Löschung

Lege fest, welche Informationen aus welchem Grund gespeichert werden und wann sie gelöscht oder gesperrt werden. Aufbewahrungsfristen können sich aus unterschiedlichen gesetzlichen Pflichten, Verträgen und dem Zweck der Verarbeitung ergeben. Sie sind nicht für alle Daten und alle Dienste pauschal gleich. Prüfe sie für die jeweilige Datenart und die anwendbaren Landes- und Vertragsregelungen.

Beschäftigte sollten wissen, an wen sie Anfragen von Pflegebedürftigen oder anderen betroffenen Personen weiterleiten. Dazu können zum Beispiel Fragen zum Zugang zu gespeicherten Daten oder zu deren Berichtigung gehören. Der Dienst sollte Anfragen erfassen, Zuständigkeiten bestimmen und die Antwort fristgerecht nach den geltenden Vorgaben organisieren. Im Einzelfall sind Datenschutzberatung oder Rechtsberatung einzubeziehen.

Sicherheitsvorfälle vorbereiten

Ein verloren gegangenes Gerät, eine fehlgeleitete Nachricht oder ein unberechtigter Zugriff können einen Datenschutzvorfall darstellen. Beschäftigte müssen wissen, dass sie mögliche Vorfälle unverzüglich an die festgelegte interne Stelle melden. Warte nicht darauf, dass die Ursache vollständig geklärt ist.

Der Dienst sollte vorab bestimmen, wer den Vorfall bewertet, welche Informationen gesichert werden und wer über erforderliche weitere Schritte entscheidet. Dazu gehören gegebenenfalls die Bewertung einer Meldepflicht und die Information betroffener Personen. Diese Entscheidungen hängen vom konkreten Sachverhalt ab; die gesetzlichen Anforderungen sind im Einzelfall zu prüfen. Halte den Ablauf schriftlich fest und übe ihn bei Bedarf mit den zuständigen Personen.

Typische Fehler und Missverständnisse

• „Der Softwareanbieter ist für den Datenschutz verantwortlich.“ Der Anbieter kann bestimmte Aufgaben übernehmen. Die Verantwortung des Pflegedienstes für seine Zwecke und Abläufe verschwindet dadurch nicht.
• „Ein Passwort reicht als Schutz.“ Datenschutz umfasst auch Berechtigungen, Geräte, Datensicherung, Schulung, Verträge und geregelte Reaktionen auf Vorfälle.
• „Alle Beschäftigten brauchen Zugriff, damit die Versorgung nicht stockt.“ Gute Vertretungsregeln ermöglichen Versorgung, ohne pauschal uneingeschränkte Zugriffe zu vergeben.
• „Einwilligung ist immer die passende Rechtsgrundlage.“ Das ist nicht automatisch der Fall. Prüfe die Rechtsgrundlage für den jeweiligen Zweck fachkundig, statt eine pauschale Einwilligung als Lösung zu verwenden.
• „Ein Wechsel des Anbieters erledigt die Datenfrage.“ Vorab muss geklärt sein, wie Daten exportiert, erforderliche Unterlagen weiter verfügbar gehalten und nicht mehr benötigte Daten gelöscht werden.

Was bedeutet das für die Praxis?

Gehe die Einführung oder Überprüfung der digitalen Pflegedokumentation gemeinsam mit Geschäftsführung, PDL, Verwaltung und den Beschäftigten an, die das System täglich nutzen.

1. Daten und Zwecke erfassen: Welche Informationen werden verarbeitet, wofür und von wem?
2. Zuständigkeiten festlegen: Wer entscheidet über Rechte, Verträge, Anfragen, Löschungen und Vorfälle?
3. Berechtigungen prüfen: Stimmen Rollen und Zugriffe mit den tatsächlichen Aufgaben überein?
4. Anbieter und Vertrag bewerten: Kläre Verarbeitung, Sicherheitsmaßnahmen, Unterauftragnehmer, Datenexport und Vertragsende.
5. Abläufe schriftlich regeln: Beschreibe mobile Nutzung, Vertretung, Ausfall, Verlust von Geräten und Meldung möglicher Vorfälle.
6. Beschäftigte einweisen: Erkläre die Regeln anhand typischer Situationen aus dem ambulanten Alltag und halte fest, wo Fragen gemeldet werden.
7. Regelmäßig nachprüfen: Ändern sich Personal, Software, Zwecke oder Dienstleister, prüfe, ob Berechtigungen, Unterlagen und Abläufe noch passen.

Bei der Prüfung können interne Datenschutzverantwortliche, eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter und bei Bedarf externe Fachberatung unterstützen. Die konkreten Anforderungen hängen von den verarbeiteten Daten, den Abläufen und den geltenden Verträgen ab.

Häufige Fragen

Muss die digitale Pflegedokumentation auf Servern in Deutschland liegen?

Nicht pauschal. Entscheidend sind die konkrete Verarbeitung, die beteiligten Dienstleister, die rechtliche Grundlage und die umgesetzten Schutzmaßnahmen. Prüfe Speicherorte und mögliche Zugriffe anhand der Vertrags- und Anbieterunterlagen.

Dürfen Pflegekräfte Dokumentationsdaten auf dem privaten Smartphone ansehen?

Das sollte nicht ohne Prüfung und verbindliche Regelung zugelassen werden. Der Dienst muss bewerten, ob Sicherheit und Datenschutz gewährleistet sind, und festlegen, welche Geräte und Nutzungsweisen erlaubt sind.

Ist eine Datenschutz-Folgenabschätzung immer erforderlich?

Nein, nicht automatisch bei jeder digitalen Dokumentation. Ob sie erforderlich ist, hängt davon ab, ob die geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte betroffener Personen mit sich bringt. Prüfe die konkrete Verarbeitung und dokumentiere die Entscheidung fachkundig.

Wer prüft, ob die Pflegedokumentation datenschutzkonform ist?

Die Geschäftsführung muss sicherstellen, dass der Dienst seine Pflichten erfüllt. Datenschutzverantwortliche oder externe Beratung können unterstützen. Bei konkreten Rechtsfragen ist eine qualifizierte Datenschutz- oder Rechtsberatung sinnvoll.

Rechtsstand und Quellen

Rechtsstand: Oktober 2026 – vor Anwendung gegen die verlinkte Primärquelle prüfen. Der Beitrag bietet eine allgemeine Orientierung; maßgeblich sind insbesondere die Datenschutz-Grundverordnung, das Bundesdatenschutzgesetz sowie einschlägige sozialrechtliche, landes- und vertragsabhängige Vorgaben. Landes-/Vertragsbedingungen können abweichen.