· Fachartikel ·

· Datenschutz ·

· Pflege ·

Fachartikel · Datenschutz · Pflege

Datenschutzbeauftragter in der Pflege: Pflicht und Pflegeerfahrung

Braucht Ihr Pflegedienst, Ihre Tagespflege oder Ihr Pflegeheim einen Datenschutzbeauftragten? Entscheidend sind die gesetzlichen Voraussetzungen und die tatsächliche Datenverarbeitung Ihrer Einrichtung. Gesundheitsdaten allein begründen keine automatische Benennungspflicht. Weniger als 20 Beschäftigte bedeuten umgekehrt keine automatische Befreiung.

Ist ein Datenschutzbeauftragter erforderlich, zählt neben seiner fachlichen Qualifikation auch das Verständnis für Ihre Pflegeabläufe.

Wann ist ein Datenschutzbeauftragter in der Pflege Pflicht?

Für privat betriebene Pflegeeinrichtungen sind insbesondere die folgenden Voraussetzungen relevant. Es genügt, wenn eine davon erfüllt ist.

Mindestens 20 Personen verarbeiten ständig automatisiert personenbezogene Daten

Nach § 38 Abs. 1 BDSG besteht eine Benennungspflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Gezählt werden Personen, keine Vollzeitstellen. Dazu können Teilzeitkräfte, Verwaltung, Geschäftsführung und Pflegekräfte gehören, die regelmäßig elektronisch dokumentieren. Entscheidend sind die tatsächlichen Aufgaben, nicht allein die Gesamtzahl der Beschäftigten.

Gesundheitsdaten werden als Kerntätigkeit umfangreich verarbeitet

Nach Art. 37 Abs. 1 Buchstabe c DSGVO besteht eine Pflicht, wenn die Kerntätigkeit in der umfangreichen Verarbeitung von Gesundheitsdaten besteht.

Gesundheitsdaten zu verarbeiten gehört zur pflegerischen Versorgung. Ob die Verarbeitung umfangreich ist, wird jedoch gesondert beurteilt. Dabei zählen insbesondere:

  • die Zahl der betreuten Menschen,
  • die Datenmenge und die unterschiedlichen Datenarten,
  • die Dauer der Verarbeitung,
  • die räumliche Ausdehnung.

Eine feste gesetzliche Klientenzahl gibt es dafür nicht. Die Leitlinien zu Datenschutzbeauftragten erläutern diese Kriterien.

Eine Datenschutz-Folgenabschätzung ist erforderlich

Führt die Einrichtung Datenverarbeitungen durch, für die eine Datenschutz-Folgenabschätzung vorgeschrieben ist, besteht nach § 38 Abs. 1 BDSG ebenfalls eine Benennungspflicht unabhängig von der Personenzahl.

Die Nutzung digitaler Pflegesoftware allein beantwortet diese Frage noch nicht. Entscheidend sind die konkrete Verarbeitung und ihr Risiko. Mehr dazu erfahren Sie im Beitrag zur Datenschutz-Folgenabschätzung in der Pflege.

Weitere Voraussetzungen berücksichtigen

Art. 37 Abs. 1 Buchstabe b DSGVO erfasst außerdem die regelmäßige und systematische Überwachung in großem Umfang als Kerntätigkeit. Für Behörden und öffentliche Stellen gilt zusätzlich Buchstabe a. Bei kirchlichen Trägern sind die einschlägigen kirchlichen Datenschutzregelungen zu beachten.

Was bedeutet das für kleine und neu gegründete Pflegedienste?

Ein kleiner Pflegedienst erfüllt möglicherweise noch nicht die 20-Personen-Regel. Dennoch müssen Umfang und Risiken seiner Datenverarbeitung geprüft werden. Die Gründung allein löst keine Benennungspflicht aus.

Bei einem größeren Pflegeheim können zahlreiche Bewohnerakten, vielfältige Gesundheitsdaten und dauerhaft geführte Dokumentationen für eine umfangreiche Verarbeitung sprechen. Eine Prüfung allein anhand der Beschäftigtenzahl reicht deshalb nicht.

Die Einordnung sollte dokumentiert und bei wesentlichen Veränderungen erneut geprüft werden, etwa bei Wachstum, zusätzlichen Standorten oder neuen digitalen Verfahren.

Auch ohne verpflichtenden Datenschutzbeauftragten gelten die übrigen Datenschutzpflichten. Dazu gehören geeignete Schutzmaßnahmen, Datenschutzinformationen und die Bearbeitung von Betroffenenanfragen.

Für die Startphase ohne Benennungspflicht biete ich eine Gründerbegleitung mit klar begrenztem Leistungsumfang an. Sie unterstützt Sie bei konkreten Datenschutzfragen und umfasst keine Benennung als Datenschutzbeauftragter.

Mehr zur Datenschutzbegleitung für Pflegegründer

Warum Pflegeerfahrung bei der Auswahl hilft

Ein Datenschutzbeauftragter muss fachlich qualifiziert, unabhängig und wirksam eingebunden sein. Pflegeerfahrung ergänzt diese Anforderungen: Sie hilft, rechtliche Vorgaben in Abläufe zu übersetzen, die im Betrieb funktionieren.

Wundfotos im ambulanten Pflegedienst

Eine Pflegekraft möchte ein Wundfoto zur weiteren Behandlung übermitteln. Die Einrichtung braucht Regeln für Aufnahme, Geräte, Speicherung, Zugriff und Versand. Wer mobile Pflegeabläufe kennt, kann diese Fragen so bearbeiten, dass die Lösung auch während einer Tour funktioniert.

Mehr dazu: Private Smartphones im Pflegedienst.

Angehörigenauskünfte im Pflegeheim

Ein Angehöriger fragt telefonisch nach dem Gesundheitszustand eines Bewohners. Mitarbeitende müssen erkennen können, ob und in welchem Umfang sie Auskunft geben dürfen. Die Regelung muss Berechtigungen, Identitätsprüfung und dokumentierte Wünsche berücksichtigen und auch bei wechselnden Mitarbeitenden verständlich bleiben.

Mehr dazu: Auskünfte an Angehörige.

Gemeinsame Pflegesoftware für mehrere Bereiche

Ein Träger führt eine gemeinsame Software für Pflegedienst, Tagespflege und Pflegeheim ein. Dabei müssen Verantwortlichkeiten, Verträge, Datenflüsse und Zugriffe geprüft werden. Gemeinsame Software bedeutet nicht automatisch, dass jeder Bereich alle Daten benötigt. Pflegekenntnis hilft, den tatsächlichen Informationsbedarf richtig einzuordnen.

Was übernimmt der Datenschutzbeauftragte?

Zu seinen gesetzlichen Aufgaben gehören insbesondere Beratung, Überwachung der Datenschutzvorgaben, Beratung zur Datenschutz-Folgenabschätzung und Zusammenarbeit mit der Aufsichtsbehörde. Zusätzliche Unterstützung, etwa beim Erstellen von Unterlagen oder bei Schulungen, sollte im Leistungsumfang konkret vereinbart werden.

Die Verantwortung für die rechtmäßige Datenverarbeitung bleibt bei der Einrichtung. Ihre Leitung muss Entscheidungen treffen, Ressourcen bereitstellen und Maßnahmen umsetzen lassen. Die Benennung eines Datenschutzbeauftragten ersetzt diese Umsetzung nicht.

Welche Unterstützung passt zu Ihrer Pflegeeinrichtung?

Zunächst sollte geklärt sein, ob eine Benennungspflicht besteht. Anschließend zählen Qualifikation, Unabhängigkeit, Erreichbarkeit und ein nachvollziehbarer Leistungsumfang. Die Funktion kann intern oder extern besetzt werden.

Ich verbinde Datenschutzberatung mit eigener Geschäftsführungs- und Leitungserfahrung im Pflegebereich. Gemeinsam klären wir die Voraussetzungen Ihrer Einrichtung und den konkreten Unterstützungsbedarf.

Benennungspflicht und passende Unterstützung klären

Informationen zur laufenden Betreuung finden Sie unter externer Datenschutzbeauftragter für Pflegeeinrichtungen. Für neu gegründete Pflegedienste ohne Benennungspflicht kommt die gesonderte Gründerbegleitung infrage.