DSGVO-Checkliste für Pflegeeinrichtungen: Datenschutz im gesamten Unternehmen sicher umsetzen

Die Datenschutz-Grundverordnung (DSGVO) stellt hohe Anforderungen an Unternehmen – insbesondere an Pflegeeinrichtungen, die täglich mit sensiblen personenbezogenen Daten arbeiten. Datenschutz betrifft hier nicht nur die Pflegekräfte, sondern den gesamten Betrieb: vom Empfang über die IT bis zur Heimleitung. Wer in Städten wie Berlin, Leipzig, Magdeburg, Dresden oder Potsdam tätig ist, muss sicherstellen, dass die DSGVO-Vorgaben auf allen Ebenen eingehalten werden.

Diese Checkliste hilft Pflegeeinrichtungen in ganz Deutschland, ihre Prozesse datenschutzkonform auszurichten – vollständig, rechtssicher und praxisnah.

1. Verzeichnis von Verarbeitungstätigkeiten erstellen (Art. 30 DSGVO)

Ein Verzeichnis aller Datenverarbeitungen bildet die Grundlage für eine DSGVO-konforme Organisation.

Typische Verarbeitungstätigkeiten:

• Aufnahme neuer Pflegebedürftiger Hier werden Stammdaten, Gesundheitsdaten und Sozialversicherungsdaten erfasst – häufig auch in digitalen Pflegedokumentationen. Die Zwecke, Rechtsgrundlagen und Speicherdauer dieser Daten müssen im Verzeichnis klar angegeben werden.
• Lohnabrechnung von Pflegepersonal Auch Mitarbeiterdaten wie Steuer-ID, Bankverbindung oder Krankenstandsdaten werden verarbeitet. Diese Informationen sind ebenfalls dokumentationspflichtig und erfordern eine klare Zugriffsbeschränkung.
• Videobewachung öffentlicher Bereiche Falls vorhanden, muss die Videoüberwachung klar benannt, begründet (z. B. Schutz vor Diebstahl), und mit entsprechenden Hinweisen vor Ort sowie im Datenschutzverzeichnis erfasst sein.

2. Datenschutzbeauftragten benennen (Art. 37 DSGVO)

Pflegeeinrichtungen sind fast immer verpflichtet, einen Datenschutzbeauftragten zu bestellen – insbesondere wenn sie sensible Daten (Gesundheitsdaten) in großem Umfang verarbeiten oder mehr als 20 Mitarbeitende regelmäßig mit personenbezogenen Daten arbeiten.

Aufgaben des DSB:

• Schulung der Mitarbeiter Der DSB organisiert regelmäßige Datenschutzschulungen, um sicherzustellen, dass alle Beschäftigten wissen, wie sie mit personenbezogenen Daten umgehen müssen.
• Beratung der Geschäftsführung Der Datenschutzbeauftragte unterstützt die Leitungsebene bei Entscheidungen rund um datenschutzrelevante Prozesse, IT-Systeme oder externe Dienstleister.
• Kontakt zur Aufsichtsbehörde Im Falle von Datenschutzvorfällen oder Auskunftsanfragen fungiert der DSB als Ansprechpartner gegenüber den Landesdatenschutzbehörden, etwa in Sachsen-Anhalt, Brandenburg oder Sachsen.

3. Einwilligungen rechtssicher einholen (Art. 6 und 7 DSGVO)

Viele Datenverarbeitungen in der Pflege benötigen eine freiwillige und dokumentierte Einwilligung.

Beispiele:

• Fotoveröffentlichung auf der Website Ein Bild eines Bewohners darf nur mit schriftlicher Zustimmung verwendet werden. Dabei muss klar sein, wofür das Foto verwendet wird, und die Zustimmung kann jederzeit widerrufen werden.
• Kontaktaufnahme mit Angehörigen per E-Mail oder SMS Auch hierfür ist eine informierte Einwilligung erforderlich. Besonders bei sensiblen Informationen wie Medikamentengabe oder Arztberichten gilt: Keine Kommunikation ohne Zustimmung.

4. Datenschutz-Folgenabschätzung (DSFA) prüfen (Art. 35 DSGVO)

Wenn eine Datenverarbeitung ein hohes Risiko für die Rechte der Betroffenen darstellen kann, ist eine DSFA gesetzlich vorgeschrieben.

Typische Fälle in Pflegeeinrichtungen:

• Einsatz von Videokameras in Gemeinschaftsbereichen Hier muss abgewogen werden, ob der Nutzen der Überwachung das Risiko für die Persönlichkeitsrechte der Bewohner überwiegt.
• Digitale Pflegeplattformen oder Online-Dokumentationssysteme Bei cloudbasierten Lösungen ist das Risiko für unbefugten Zugriff oder Datenverlust besonders hoch und muss bewertet werden.

Die DSFA ist ein strukturierter Prozess, der dokumentiert und bei Bedarf der Aufsichtsbehörde vorgelegt werden muss.

5. Auftragsverarbeitung rechtssicher regeln (Art. 28 DSGVO)

Immer wenn externe Dienstleister personenbezogene Daten im Auftrag der Pflegeeinrichtung verarbeiten, braucht es einen schriftlichen Auftragsverarbeitungsvertrag (AVV).

Typische Beispiele:

• IT-Dienstleister für Pflegesoftware oder Hosting Diese Anbieter haben Zugriff auf Datenbestände und müssen vertraglich verpflichtet sein, die DSGVO einzuhalten.
• Abrechnungsdienstleister für Pflegekassen Auch hier ist ein AVV Pflicht. Ohne einen solchen Vertrag drohen hohe Bußgelder bei Kontrollen.

Der Vertrag muss klar regeln, welche Daten verarbeitet werden, welche Sicherheitsmaßnahmen gelten und wer verantwortlich ist.

6. Technische und organisatorische Maßnahmen (TOMs) umsetzen (Art. 32 DSGVO)

Pflegeeinrichtungen müssen sicherstellen, dass alle personenbezogenen Daten durch geeignete Maßnahmen geschützt sind.

Typische TOMs:

• Zugriffsrechte für Mitarbeiter Nicht jeder sollte auf alle Daten zugreifen können. Pflegekräfte sehen z. B. nur die Daten ihrer betreuten Personen, die Verwaltung keine Gesundheitsdaten.
• Passwortsicherheit und Zwei-Faktor-Authentifizierung Besonders in Online-Systemen sollte ein starker Passwortschutz gelten, idealerweise ergänzt durch 2FA.
• Regelmäßige Datensicherungen (Backups) Damit Datenverluste (z. B. durch Stromausfall oder Cyberangriffe) minimiert werden, sollten regelmäßige Backups eingerichtet sein – am besten automatisiert.
• E-Mail-Verschlüsselung bei sensiblen Inhalten Medizinische Informationen sollten niemals unverschlüsselt per E-Mail versendet werden.

7. Mitarbeiterschulung und Sensibilisierung

Ein zentrales Element der DSGVO ist die regelmäßige Sensibilisierung aller Beschäftigten, die mit personenbezogenen Daten arbeiten.

Schulungsinhalte:

• Grundprinzipien des Datenschutzes (Zweckbindung, Datenminimierung, Transparenz) Die Mitarbeiter sollen verstehen, warum Datenschutz wichtig ist – nicht nur rechtlich, sondern auch ethisch.
• Verhaltensregeln bei Datenpannen oder externen Anfragen Wer meldet was an wen? Welche Fristen gelten? Was tun bei Phishing-Mails?
• Praxisbeispiele aus dem Alltag Wie gehe ich mit einem verloren gegangenen Tablet um, das Zugang zur Pflegedokumentation hatte?

Solche Schulungen können intern durchgeführt oder von externen Anbietern in Leipzig, Berlin oder Magdeburg gebucht werden.

8. Betroffenenrechte ermöglichen (Art. 15–22 DSGVO)

Jede betroffene Person (Bewohner, Angehöriger, Mitarbeiter) hat laut DSGVO umfassende Rechte.

Wichtige Betroffenenrechte:

• Auskunftsrecht Eine betroffene Person kann jederzeit verlangen, welche Daten über sie gespeichert wurden, zu welchem Zweck und wie lange.
• Recht auf Löschung (Recht auf Vergessenwerden) Wenn keine gesetzliche Aufbewahrungspflicht besteht, müssen personenbezogene Daten gelöscht werden, sobald sie nicht mehr benötigt werden.
• Recht auf Berichtigung Falsche oder veraltete Daten müssen umgehend aktualisiert werden.

Pflegeeinrichtungen sollten einen klaren Prozess definieren, um solche Anfragen innerhalb der gesetzlich vorgeschriebenen Frist (1 Monat) zu beantworten.

9. Datenschutzvorfälle dokumentieren und melden (Art. 33 DSGVO)

Datenschutzpannen passieren auch in gut organisierten Einrichtungen – entscheidend ist der richtige und rechtzeitige Umgang damit. Die DSGVO verpflichtet alle Unternehmen, personenbezogene Datenpannen innerhalb von 72 Stunden an die zuständige Datenschutzaufsichtsbehörde zu melden, wenn ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht.

Typische Datenschutzvorfälle in Pflegeeinrichtungen:

• E-Mails oder Briefe mit personenbezogenen Daten versehentlich an die falsche Person gesendet Zum Beispiel, wenn ein Bewohnerbericht versehentlich an die Familie eines anderen Bewohners verschickt wird. Dies kann ein schwerwiegender Verstoß sein, insbesondere bei Gesundheitsdaten.
• Verlust eines USB-Sticks oder Tablets mit Patientendaten Fehlen entsprechende Sicherheitsvorkehrungen wie Verschlüsselung, kann dies eine meldepflichtige Datenpanne darstellen.
• Hackerangriff auf die zentrale Pflegedatenbank oder Cloud-Lösungen Besonders bei extern gehosteten Pflegesystemen (z. B. in Magdeburg oder Potsdam) müssen technische Sicherheitsmaßnahmen regelmäßig überprüft werden.

Empfohlene Maßnahmen:

• Interne Meldeformulare bereitstellen Mitarbeitende sollten wissen, wie und an wen sie Vorfälle melden können. Idealerweise gibt es ein zentrales Datenschutz-Notfallformular.
• Rollen und Verantwortlichkeiten klären Wer prüft, ob ein Vorfall meldepflichtig ist? Wer informiert die Aufsichtsbehörde und ggf. die betroffene Person?
• Datenpannen-Tagebuch führen Auch Vorfälle, die nicht meldepflichtig sind, sollten intern dokumentiert werden. Dies zeigt gegenüber der Aufsichtsbehörde, dass systematisch gearbeitet wird.

📌 Hinweis: In Berlin, Sachsen-Anhalt und anderen Bundesländern gibt es eigene Online-Meldeportale für Datenpannen bei den Landesdatenschutzbehörden.

10. Datenschutzdokumentation und regelmäßige Audits durchführen

Ein funktionierendes Datenschutzmanagement braucht nicht nur einmalige Maßnahmen, sondern kontinuierliche Pflege und Überprüfung. Die DSGVO fordert in mehreren Artikeln (u. a. Art. 24, 32 und 5 Abs. 2 DSGVO) den Nachweis der Rechenschaftspflicht – das bedeutet, dass Unternehmen zeigen müssen, wie sie den Datenschutz umsetzen.

Bestandteile einer vollständigen Datenschutzdokumentation:

• Verzeichnis der Verarbeitungstätigkeiten (VVT) Regelmäßige Aktualisierung bei Änderungen im Arbeitsablauf oder bei neuen Tools.
• Technische und organisatorische Maßnahmen (TOMs) Sollte mindestens einmal jährlich geprüft und bei technischen Änderungen sofort angepasst werden.
• Einwilligungserklärungen und Vorlagen Müssen in der jeweils aktuellen Version archiviert und auf Abruf verfügbar sein.
• AV-Verträge mit Dienstleistern Alle Verträge sollten zentral abgelegt und regelmäßig überprüft werden – insbesondere bei Wechseln von Dienstleistern oder Software-Anbietern.
• Mitarbeiterschulungsnachweise Es reicht nicht, dass Schulungen stattfinden – der Teilnehmernachweis muss dokumentiert sein, inklusive Datum und Inhalte.
• Protokolle und Berichte von Datenschutzvorfällen Auch hier gilt: Nicht nur erfassen, sondern systematisch dokumentieren.

Warum regelmäßige Audits sinnvoll sind:

• Risiken erkennen, bevor sie zum Problem werden Ein interner oder externer Datenschutz-Audit deckt Schwachstellen auf, die im Alltag oft übersehen werden.
• Vorbereitung auf Prüfungen der Aufsichtsbehörde Bei Beschwerden oder Stichprobenkontrollen durch Datenschutzbehörden in Berlin, Leipzig oder Dresden ist eine vollständige und aktuelle Dokumentation Pflicht.
• Vermeidung von Bußgeldern Wer Verstöße selbst entdeckt und behebt, bevor sie öffentlich werden, kann nicht nur Bußgelder vermeiden, sondern auch Vertrauen bei Bewohnern und Angehörigen aufbauen.

👨‍⚖️ Tipp: Viele Pflegeeinrichtungen lassen sich jährlich extern auditieren, z. B. von Dienstleistern wie Globeria Datenschutz mit Fokus auf Pflege in Sachsen, Brandenburg und Sachsen-Anhalt.

✅ Fazit: DSGVO ist Chefsache – handeln Sie jetzt

Pflegeeinrichtungen in Deutschland, ganz gleich ob in Berlin, Leipzig oder Magdeburg, stehen in der Verantwortung, personenbezogene Daten systematisch und sicher zu schützen. Die hier vorgestellte DSGVO-Checkliste hilft, die Umsetzung strukturiert und rechtssicher zu gestalten.

🚀 Kostenloser DSGVO-Vorabcheck für Pflegeeinrichtungen

Globeria Datenschutz bietet Pflegeeinrichtungen einen kostenlosen DSGVO-Erstcheck an – inklusive Prüfung Ihrer Website, Datenschutzdokumente und konkreter Handlungsempfehlungen.

👉 Jetzt kostenfreien DSGVO-Check anfragen