Datenschutz bei digitalen Pflege-Tools: DSGVO-Grundlagen für Pflegedienst-Leitungen

Warum Datenschutz in der Pflege eine eigene Gewichtsklasse ist

Pflegedaten sind fast immer Gesundheitsdaten – und Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Für diese gilt ein grundsätzliches Verarbeitungsverbot mit Erlaubnisvorbehalt: Ihr dürft sie nur verarbeiten, wenn eine der eng gefassten Ausnahmen des Art. 9 Abs. 2 DSGVO greift.

Hinzu kommt die strafbewehrte Schweigepflicht: Pflegefachpersonen und Leitungen können der beruflichen Verschwiegenheit nach § 203 StGB unterliegen. Wer digitale Tools einsetzt, gibt sensible Informationen technisch weiter – das muss datenschutz- und schweigepflichtkonform abgesichert sein. Als Pflegedienst seid ihr im Sinne des Art. 4 Nr. 7 DSGVO in aller Regel der Verantwortliche und müsst die Rechtmäßigkeit der Verarbeitung nachweisen können (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).

Das ist kein Grund, die Digitalisierung zu bremsen – wohl aber ein Grund, sie strukturiert anzugehen. Die folgenden Bausteine helfen euch, die richtigen Fragen zu stellen.

• Gesundheitsdaten = besondere Kategorie (Art. 9 DSGVO), Verarbeitungsverbot mit Erlaubnisvorbehalt
• Mögliche Berufsgeheimnis-Pflicht nach § 203 StGB
• Pflegedienst ist meist Verantwortlicher mit Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO)

Die Rechtsgrundlage: Worauf stützt ihr die Verarbeitung?

Jede Verarbeitung braucht eine Rechtsgrundlage. Bei Gesundheitsdaten reicht Art. 6 DSGVO allein nicht – ihr benötigt zusätzlich einen Erlaubnistatbestand aus Art. 9 Abs. 2 DSGVO. In der ambulanten Pflege kommen praktisch mehrere in Betracht, etwa die ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a), die Verarbeitung zum Zweck der Gesundheitsversorgung und Pflege durch Fachpersonal unter Schweigepflicht (Art. 9 Abs. 2 lit. h i. V. m. Abs. 3) sowie flankierende nationale Regelungen im Sozialrecht (SGB XI/V) und im BDSG.

Welche Grundlage für welchen Verarbeitungsschritt trägt, ist eine juristische Bewertung – lasst diese von eurer/eurem Datenschutzbeauftragten dokumentieren. Wichtig für die Praxis: Nicht jede Datenverarbeitung braucht zwingend eine Einwilligung. Gerade die Kernpflege lässt sich häufig auf den Behandlungs-/Versorgungskontext stützen. Für Zusatzfunktionen – etwa eine Angehörigen-App oder Marketing – kann dagegen eine gesonderte Einwilligung erforderlich sein.

Einwilligung richtig gedacht: freiwillig, informiert, widerrufbar

Wo ihr eine Einwilligung nutzt, muss sie den Anforderungen der Art. 7 und Art. 9 Abs. 2 lit. a DSGVO genügen. Bei Gesundheitsdaten verlangt das Gesetz eine ausdrückliche Einwilligung – ein stillschweigendes Einverständnis oder vorangekreuzte Kästchen genügen nicht.

Denkt die Einwilligung außerdem für den konkreten Pflegekontext: Viele pflegebedürftige Menschen sind hochbetagt, teils kognitiv eingeschränkt. Prüft, wer einwilligungsfähig ist und ob eine Betreuung mit passendem Aufgabenkreis oder eine Vorsorgevollmacht vorliegt. Haltet fest, wer wann worin eingewilligt hat, und stellt sicher, dass ein Widerruf jederzeit möglich und technisch umsetzbar ist.

• Ausdrücklich, freiwillig, in verständlicher Sprache und zweckgebunden
• Einwilligungsfähigkeit prüfen; ggf. Betreuung/Vollmacht einbeziehen
• Nachweisbar dokumentieren und Widerruf technisch ermöglichen
• Für unterschiedliche Zwecke (Pflege vs. App-Zusatzdienste) getrennt einholen

Auftragsverarbeitung: der Vertrag, den kein Tool ohne kommt

Sobald ein externer Anbieter personenbezogene Daten in eurem Auftrag verarbeitet – also praktisch bei jeder Cloud-Software, jedem Hosting, jedem digitalen Dokumentationssystem – braucht ihr einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Ohne AVV ist der Einsatz des Tools datenschutzrechtlich angreifbar, unabhängig davon, wie gut die Software funktioniert.

Ein belastbarer AVV regelt Gegenstand und Zweck, die eingesetzten technischen und organisatorischen Maßnahmen, den Umgang mit Unterauftragnehmern (Sub-Prozessoren), Löschung und Rückgabe der Daten nach Vertragsende sowie Unterstützungspflichten bei Betroffenenrechten und Datenpannen. Seriöse Pflege- und Care-Anbieter legen euch den AVV proaktiv vor und benennen ihre Sub-Prozessoren transparent – das ist ein gutes Auswahlsignal.

• AVV nach Art. 28 DSGVO ist Pflicht bei jedem Auftragsverarbeiter
• Achtet auf Sub-Prozessoren-Liste und deren Standorte
• Regelungen zu Löschung, Rückgabe, Meldung von Datenpannen prüfen
• Fehlt ein AVV, ist das ein Ausschlusskriterium

EU-Hosting und Drittlandtransfer: Wo liegen die Daten wirklich?

Für sensible Pflegedaten ist der Speicherort ein zentrales Kriterium. Werden Daten außerhalb der EU/des EWR verarbeitet, greifen die Kapitel-V-Regeln der DSGVO (Art. 44 ff.) mit zusätzlichen Anforderungen an einen Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln. Das ist rechtlich möglich, aber aufwendiger und risikobehafteter – gerade bei Gesundheitsdaten.

Praktisch einfacher und in vielen Datenschutz-Prüfungen bevorzugt ist ein Hosting in der EU, idealerweise mit Serverstandort Deutschland und einem Anbieter, der selbst dem EU-Recht unterliegt. Fragt konkret nach: Wo liegen Primär- und Backup-Daten? Greifen Support- oder Konzerngesellschaften aus Drittländern auf die Systeme zu? Ein bloßes „EU-Rechenzentrum" sagt wenig, wenn der Fernzugriff aus einem Drittland erfolgt.

Technische und organisatorische Maßnahmen (TOM) im Alltag

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Bei Gesundheitsdaten ist der Maßstab entsprechend hoch. Das betrifft nicht nur die Software, sondern eure gesamte Organisation – vom Diensthandy in der Tour bis zur Rechteverwaltung im Büro.

Viele Datenpannen in der Pflege entstehen nicht durch Hackerangriffe, sondern durch Alltagslücken: das ungesperrte Tablet im Pflegewagen, der private WhatsApp-Chat mit Klientendaten, das Sammelpasswort im ganzen Team. Digitale Tools helfen hier, wenn sie rollenbasierte Zugriffe, Verschlüsselung und Protokollierung mitbringen – und wenn ihr die Nutzung klar regelt und schult.

• Verschlüsselung bei Übertragung und Speicherung (Transport- und Ruheverschlüsselung)
• Rollen- und rechtebasierter Zugriff statt Sammel-Logins
• Zwei-Faktor-Authentifizierung, Bildschirmsperre auf mobilen Geräten
• Protokollierung/Zugriffsnachweise und ein Prozess für Datenpannen (Meldung binnen 72 Stunden, Art. 33 DSGVO)
• Keine Klientendaten in privaten Messengern ohne AVV und ohne geeignete Absicherung

Verzeichnis der Verarbeitungen und Datenschutz-Folgenabschätzung

Als Verantwortlicher führt ihr ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Jedes neue digitale Tool ist ein Anlass, dieses Verzeichnis zu aktualisieren: Welche Daten, zu welchem Zweck, auf welcher Rechtsgrundlage, mit welchen Empfängern und Löschfristen?

Weil die umfangreiche Verarbeitung von Gesundheitsdaten ein hohes Risiko für die Betroffenen bedeuten kann, ist zudem oft eine Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) angezeigt – insbesondere bei einer neuen, umfassenden digitalen Dokumentationslösung. Ob und in welchem Umfang sie erforderlich ist, sollte eure:r Datenschutzbeauftragte:r bewerten; die Aufsichtsbehörden führen dazu Positivlisten. Bezieht den Datenschutz früh in Auswahlprozesse ein (Datenschutz durch Technikgestaltung und Voreinstellungen, Art. 25 DSGVO), statt ihn am Ende nachzuholen.

Checkliste für die Tool-Auswahl

Wenn ihr ein digitales Pflege-Tool bewertet, hilft ein strukturierter Kriterienkatalog. Er ersetzt keine rechtliche Prüfung, macht Angebote aber vergleichbar und deckt frühzeitig K.-o.-Kriterien auf.

• Liegt ein vollständiger AVV nach Art. 28 DSGVO vor?
• EU-Hosting, idealerweise Serverstandort Deutschland – wo liegen auch die Backups?
• Findet Support-/Fernzugriff aus Drittländern statt?
• Welche Sub-Prozessoren werden eingesetzt und wo sitzen sie?
• Verschlüsselung, Rollenrechte, 2FA und Zugriffsprotokolle vorhanden?
• Unterstützt das Tool Betroffenenrechte (Auskunft, Löschung, Datenübertragbarkeit)?
• Klare Löschkonzepte und Datenexport bei Anbieterwechsel?
• Transparente Datenschutzinformationen und Ansprechpartner beim Anbieter?
• Lässt sich Datensparsamkeit in den Voreinstellungen umsetzen (Art. 25 DSGVO)?