Ein Pflegedienst verarbeitet täglich Gesundheitsdaten und damit die am stärksten geschützte Datenkategorie der DSGVO. Dazu kommt die berufliche Schweigepflicht. Anders als in einer Praxis passiert vieles unterwegs: im Auto, auf dem Diensthandy, in der Wohnung der Patienten. Genau dort entstehen die meisten Lücken, nicht in der Verwaltung.
Was rechtlich gilt
Gesundheitsdaten gehören zu den besonderen Kategorien nach Art. 9 DSGVO. Ihre Verarbeitung für Pflege und Versorgung ist nach Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG erlaubt, soweit sie dafür erforderlich ist. Für die Abrechnung mit Pflegekassen kommen die Vorschriften des SGB XI hinzu.
Parallel gilt die Schweigepflicht nach § 203 StGB für Pflegefachkräfte. Sie verbietet die Weitergabe auch dort, wo das Datenschutzrecht großzügiger wäre, etwa gegenüber Angehörigen ohne Vollmacht.
Braucht ein Pflegedienst einen Datenschutzbeauftragten?
Ab in der Regel 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, ja. In Pflegediensten zählen dazu meist auch die Pflegekräfte mit Tourenapp und digitaler Dokumentation. Unabhängig davon kann Art. 37 DSGVO greifen, wenn die Verarbeitung von Gesundheitsdaten umfangreich ist und zur Kerntätigkeit gehört. Wie man die Schwelle richtig zählt, steht im Beitrag Datenschutzbeauftragter: ab wann Pflicht.
Wo im Pflegealltag die Risiken liegen
Messenger und private Handys
Ein Foto der Wunde schnell per Messenger an die Pflegedienstleitung, die Tourenänderung in der Gruppe mit Patientennamen: Das ist bequem und mit privaten Messengern nicht zulässig. Gebraucht wird ein dienstlicher Kanal, der Inhalte verschlüsselt und auf dem Gerät vom Rest getrennt hält, dazu eine klare Regel, was über ihn laufen darf.
Diensthandys und Tablets
Mobile Geräte mit Tourenplanung und Dokumentation brauchen Bildschirmsperre, Verschlüsselung und eine Möglichkeit, verlorene Geräte aus der Ferne zu sperren. Fehlt das, wird aus einem verlorenen Handy schnell eine meldepflichtige Datenpanne.
Schlüssel und Adressen
Viele Dienste verwalten Wohnungsschlüssel ihrer Patienten. Ein Schlüssel mit Anhänger, auf dem Name und Adresse stehen, ist im Verlustfall ein echtes Sicherheitsrisiko. Besser sind Nummern, deren Zuordnung nur im Büro hinterlegt ist.
Dokumentation beim Patienten
Die Pflegemappe in der Wohnung ist oft für Besucher frei zugänglich. Das lässt sich nicht immer vermeiden, sollte aber mit Patienten und Angehörigen besprochen werden. Wo digital dokumentiert wird, sollten in der Wohnung nur die Unterlagen liegen, die dort tatsächlich gebraucht werden.
Auskünfte an Angehörige
Angehörige fragen am Telefon nach dem Zustand der Mutter. Auskunft gibt es nur, wenn der Patient eingewilligt hat oder eine Vollmacht oder Betreuung vorliegt, und das sollte in der Akte vermerkt sein. Für den Alltag hilft eine kurze Liste je Patient, wer was erfahren darf.
Dienstleister und Abrechnung
Pflegesoftware in der Cloud, Abrechnungszentren und IT-Betreuung arbeiten mit Patientendaten. Dafür braucht es Verträge zur Auftragsverarbeitung und, wegen der Schweigepflicht, die Verpflichtung der Dienstleister nach § 203 Abs. 4 StGB. Fehlt diese Verpflichtung, kann schon die Weitergabe an den IT-Betreuer problematisch sein.
Was Mitarbeitende wissen müssen
Im Pflegedienst entscheidet sich Datenschutz vor Ort, nicht im Büro. Kurze, praxisnahe Unterweisungen mit Beispielen aus dem eigenen Dienst wirken besser als allgemeine Folien. Was eine Schulung enthalten sollte und wie man sie nachweist, beschreiben wir im Beitrag zur Datenschutzschulung. Hinzu kommt die schriftliche Verpflichtung auf Vertraulichkeit beim Eintritt.
Unser Vorgehen
Wir begleiten eine Tour gedanklich vom Dienstplan bis zur Abrechnung und prüfen, wo Daten den Dienst verlassen. Daraus entstehen wenige, klare Regeln für Geräte, Kommunikation und Schlüssel. Als externer Datenschutzbeauftragter stehen wir anschließend für Fragen aus dem Alltag zur Verfügung, etwa bei einem verlorenen Diensthandy.
Ein Erstgespräch dauert rund zwanzig Minuten: Kontakt aufnehmen oder anrufen unter 05406 500 4210.
Häufige Fragen zum Datenschutz im Pflegedienst
Braucht ein ambulanter Pflegedienst einen Datenschutzbeauftragten?
Ja, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Pflegekräfte mit Tourenapp oder digitaler Dokumentation zählen meist mit. Unabhängig davon kann Art. 37 DSGVO wegen umfangreicher Verarbeitung von Gesundheitsdaten greifen.
Dürfen Pflegekräfte WhatsApp für Patienteninformationen nutzen?
Für Patientendaten nein. Private Messenger trennen dienstliche Inhalte nicht ausreichend und übertragen Kontaktdaten an den Anbieter. Nötig ist ein dienstlicher, verschlüsselter Kanal mit klarer Regel, was darüber laufen darf.
Dürfen Angehörige Auskunft über einen Patienten bekommen?
Nur mit Einwilligung des Patienten oder bei einer Vollmacht oder rechtlichen Betreuung. Neben der DSGVO gilt die Schweigepflicht nach § 203 StGB. Die Berechtigung sollte in der Akte vermerkt sein.
Ist ein verlorenes Diensthandy eine Datenpanne?
Wenn darauf Patientendaten erreichbar waren, in der Regel ja. Dann ist zu prüfen, ob eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nötig ist. Verschlüsselung und Fernsperre senken das Risiko erheblich.
Welche Verträge braucht ein Pflegedienst mit Dienstleistern?
Mit Anbietern von Pflegesoftware, Abrechnungszentren und IT-Betreuung einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Wegen der Schweigepflicht kommt die Verpflichtung zur Geheimhaltung nach § 203 Abs. 4 StGB hinzu.
