Der spezialisierte Datenschutzbeauftragte in der Altenpflege: Warum Pflegeeinrichtungen einen Experten brauchen, nicht nur einen Datenschützer
Einleitung: Ein unterschätztes Risiko in der Pflegepraxis
In vielen ambulanten und stationären Pflegeeinrichtungen herrsche eine gefährliche Illusion vor: Die Bestellung eines Datenschutzbeauftragten (DSB) sei eine Formalität, die man mit einer generischen Datenschutzlösung „abhaken“ könne. Doch die Realität ist komplexer. Pflegeeinrichtungen verarbeiten täglich eine besonders schützenswerte Kategorie von Daten, nämlich Gesundheitsinformationen, unter Bedingungen, die spezialisierte Expertise erfordern. Der Grund: nicht alle Datenschutzbeauftragten sind gleich. Eine blanke Datenschutzkompetenz reicht in diesem Sektor nicht aus.
Dieser Artikel zeigt auf, warum Pflegeeinrichtungen nicht nur früher als andere Branchen zur Bestellung eines DSB verpflichtet sind, sondern auch einen pflegeerfahrenen und idealerweise auf Pflege spezialisierten Datenschutzbeauftragten benötigen – und welche rechtlichen sowie praktischen Gründe dafür sprechen.
Teil 1: Die rechtliche Benennungspflicht in der Pflege – Sie greift früher als in anderen Branchen
Das Kerntätigkeitsprinzip nach Art. 37 Abs. 1 c) DSGVO
Die Datenschutz-Grundverordnung (DSGVO) regelt in Artikel 37 Absatz 1 Buchstabe c die Benennungspflicht für Datenschutzbeauftragte. Sie bestimmt:
„Der Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.“
Diese Regelung ist für Pflegeeinrichtungen entscheidend. Denn nach Artikel 9 Abs. 1 DSGVO gelten Gesundheitsdaten als „besondere Kategorien personenbezogener Daten“ mit erhöhtem Schutzbedarf. Dies ist nicht mit allgemeinen personenbezogenen Daten wie Namen oder Adressen zu verwechseln – hier geht es um höchst sensible Informationen.
Warum die Benennungspflicht in der Pflege früher greift
Hier liegt der entscheidende Unterschied gegenüber anderen Branchen:
Für einzelne Arztpraxen gilt eine wichtige Einschränkung: Erwägungsgrund 91 DSGVO stellt klar, dass eine Verarbeitung nicht als umfangreich gilt, wenn sie personenbezogene Daten von Patienten durch einen einzelnen Arzt oder sonstigen Angehörigen eines Gesundheitsberufs betrifft. Beispiele sind typische Einzelpraxen von Allgemeinmedizinern oder Zahnärzten.
Wörtlich heißt es:
„Die Verarbeitung personenbezogener Daten sollte nicht als umfangreich gelten, wenn sie sich auf Patientendaten bezieht und durch einen einzelnen Arzt oder sonstigen Angehörigen eines Gesundheitsberufs erfolgt.“
Diese Ausnahme betrifft ausschließlich Einzelbehandler.
Pflegeeinrichtungen dagegen unterliegen dieser Ausnahme nicht, weil:
Deshalb haben sich verschiedene Aufsichtsbehörden dazu geäußert. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) vermerkt: Private Pflegeeinrichtungen müssen einen DSB benennen, wenn die Kerntätigkeit in der umfangreichen Verarbeitung sensibler personenbezogener Daten besteht – und das ist bei Pflegeeinrichtungen strukturell der Fall.
Besonders klar ist die Situation bei Pflegeeinrichtungen in öffentlich-rechtlicher Trägerschaft (städtische, kommunale oder von Landkreisen betriebene Heime): Hier ist die Benennungspflicht nach Art. 37 Abs. 1 a) DSGVO automatisch erfüllt – unabhängig von der Größe, da jede öffentliche Stelle einen DSB benennen muss.
Die Praxis: Kein Spielraum für „Noch nicht nötig“
Viele kleinere Pflegedienste oder neue Pflegeheime beruhigen sich mit dem Gedanken: „Erst wenn wir größer werden…“ Doch rechtlich ist das problematisch. Die Pflicht ergibt sich nicht aus der Mitarbeitendenzahl, sondern aus der Natur der Datenverarbeitung selbst.
Ein beispielhafter Alltag in einer Pflegeeinrichtung:
Dies ist eindeutig eine umfangreiche, systematische Verarbeitung im Sinne der DSGVO. Die Benennungspflicht besteht ab Tag Eins – unabhängig davon, ob das Heim 5 oder 50 Mitarbeitende hat.
Zusätzlich zur europäischen Benennungspflicht gilt in Deutschland § 38 Abs. 1 BDSG. Danach muss ein Datenschutzbeauftragter benannt werden, wenn in der Einrichtung in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Pflicht greift unabhängig davon, ob die Verarbeitung besondere Kategorien personenbezogener Daten die Kerntätigkeit darstellt.
Das bedeutet: Pflegeeinrichtungen rutschen regelmäßig gleich über zwei Schwellen in die Benennungspflicht – einmal wegen Art. 37 DSGVO (Kerntätigkeit) und zusätzlich wegen § 38 BDSG (Mitarbeitendenzahl). Ein „Wir sind noch zu klein“ ist daher in der Praxis kaum haltbar.
Teil 2: Warum generische Datenschutzkompetenz nicht ausreicht – Die spezifischen Anforderungen der Pflegeverarbeitung
Komplexität der Pflegedokumentation und Datenflüsse
Um zu verstehen, warum ein spezialisierter DSB nötig ist, muss man die praktischen Datenflüsse und deren rechtliche Implikationen verstehen:
Szenario aus einer stationären Pflegeeinrichtung:
Herr Schmidt, 82 Jahre, mit Demenz und Diabetes, wird in einem Pflegeheim betreut. Die Pflegekraft dokumentiert:
Diese Daten werden eingegeben in eine elektronische Pflegedokumentation (ePD). Sie werden täglich aktualisiert, meist im Schichtsystem mehrfach täglich. Sie werden:
Ein generischer Datenschützer fragt: „Wie schützt ihr die Daten? Wen habt ihr Zugriff gegeben?“
Ein pflegeerfahrener DSB versteht sofort: „Das ist nicht einfach nur ‚Daten schützen‘. Hier geht es um Dokumentation, die rechtlich relevant ist, um Kommunikation im multiprofessionellen Team, um Haftungsrisiken, um Geheimhaltung über den Tod hinaus – das ist ein völlig anderes Spielfeld.“
Anforderung 1: Tiefes Verständnis von Pflegeprozessen und Dokumentationszwecken
Nach § 630g BGB (Einsichtsrecht in die Patientenakte) analog und nach Artikel 9 Abs. 2 h) DSGVO ist die Pflegedokumentation rechtlich erforderlich – nicht optional:
„Die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich erforderlich“ (Art. 9 Abs. 2 h DSGVO)
Wer den Pflegealltag nicht kennt, weiß möglicherweise nicht:
Ein DSB mit Pflegeerfahrung kann mit der Pflegeleitung darüber sprechen, was tatsächlich dokumentiert werden muss und was redundant ist. Das ist nicht nur eine Datenschutzoptimierung, sondern auch eine Entlastung für das Personal.
Anforderung 2: Verständnis der voranschreitenden Digitalisierung
Die Pflegeindustrie durchlebt derzeit eine digitale Transformation von historischem Ausmaß:
Elektronische Pflegedokumentation (eWD): Viele Einrichtungen sind gerade dabei oder haben bereits migriert von papiergestützt auf digitale Systeme. Das Digitale Versorgung und Pflege-Modernisierungsgesetz (DVPMG) und § 355 SGB V sehen vor, dass ambulante und stationäre Pflegeeinrichtungen schrittweise an die Telematikinfrastruktur angebunden werden sollen. Ein flächendeckender Anschluss ist ab Mitte 2025 vorgesehen, eine gesetzlich fixierte Pflicht für alle Einrichtungen besteht jedoch noch nicht.
Elektronische Patientenakte (ePA): Die elektronische Patientenakte (ePA) wird ab 2025 zur Regelversorgung im Opt-out-Verfahren bereitgestellt. Pflegeeinrichtungen können darauf zugreifen, sobald ihre TI-Anbindung technisch umgesetzt und freigeschaltet ist. Das erzeugt neue Datenflüsse, neue Zugriffsprotokolle, neue Risiken.
Schnittstellen und APIs: Pflegedokumentation muss mit Abrechnungssystemen, elektronischen Rezeptsystemen (e-Rezept) und ärztlichen Praxismanagementsystemen kommunizieren können.
Was bedeutet das datenschutzrechtlich?
Ein Datenschutzbeauftragter ohne Verständnis für diese Digitalisierung könnte beispielsweise sagen: „Ihr müsst die ePA-Zugriffe loggen und archivieren.“ Ein spezialisierter Pflege-DSB weiß:
Nach Artikel 32 DSGVO ist jede Einrichtung verpflichtet, „technische und organisatorische Maßnahmen“ umzusetzen, um Sicherheit zu gewährleisten. Ein spezialisierter DSB kann die Einrichtung konkret beraten, welche Maßnahmen zu diesem wachsenden Datenfluss passen.
Anforderung 3: Vernetzung mit Ärzten, Fachspezialisten und Sanitätshäusern
Pflegeinrichtungen sind nicht isolierte Datensilos – sie sind Knoten in komplexen Versorgungsnetzwerken:
Ambulante Pflegedienste kooperieren mit:
Stationäre Einrichtungen haben zusätzlich:
Jeder dieser Kontakte ist eine Datenweitergabe und damit eine Datenverarbeitung, die datenschutzrechtlich geregelt sein muss. Nach Artikel 6 DSGVO braucht es eine rechtliche Grundlage (Vertrag, Einwilligung, Erforderlichkeit). Nach Artikel 13 DSGVO müssen Betroffene informiert werden.
Rechtlich kritische Fragen:
Ein generischer DSB könnte theoretisch eine Musterliste der „zulässigen Empfänger“ erstellen. Ein spezialisierter Pflege-DSB versteht:
Anforderung 4: Betroffenenrechte – Das Auskunftsinteresse von Angehörigen und die spezifische Situation pflegebedürftiger Menschen
Die DSGVO gewährt betroffenen Personen extensive Rechte – unter anderem das Auskunftsrecht nach Artikel 15 DSGVO. Doch in der Pflegepraxis entstehen praktische und ethische Komplexitäten:
Szenario 1: Die Tochter fragt nach der Dokumentation ihrer demenzkranken Mutter
Frage: „Darf ich die Pflegedokumentation meiner Mutter einsehen?“
Die Antwort ist nuanciert:
Szenario 2: Der Patient ist verstorben. Der Sohn möchte Einsicht in die Dokumentation, um einen Behandlungsfehler zu überprüfen
Rechtlich greift hier die DSGVO nicht mehr (sie gilt nur für Lebende). Aber es greifen andere Regelungen:
Ein Datenschutzbeauftragter ohne Pflege-Background könnte hier nur sagen: „Das ist ein Zivilrecht-Problem, dafür bin ich nicht zuständig.“ Ein spezialisierter DSB versteht die Schnittstellen zwischen Datenschutz, Medizinrecht, Erbrecht und Pflichtverantwortung.
Nach BfDI-Aussagen (Bundesbeauftragte für Datenschutz und Informationsfreiheit) wird Datenschutz im Gesundheitsbereich viel zu oft isoliert betrachtet. Ein spezialisierter DSB muss diese rechtlichen und praktischen Schnittstellen beherrschen.
Teil 3: Die Empfehlung der Datenschutz-Aufsichtsbehörden und Wissenschaft
Was die Datenschutzkonferenz (DSK) empfiehlt
Die Datenschutzkonferenz (DSK) – das Zusammengremium aller deutschen Bundesdatenschutzbehörden und des BfDI – hat sich mehrfach zum Datenschutz im Gesundheitsbereich geäußert.
Eine zentrale Erkenntnis aus DSK-Stellungnahmen: Gesundheitsdaten haben einen besonderen Vertrauensschutz, der über allgemeine Datenschutznormen hinausgeht. Die DSK betont:
„Da die Epa [elektronische Patientenakte] sehr sensible Gesundheitsdaten beinhaltet, sei es elementar wichtig, dass wir hier auch hohe datenschutzrechtliche Standards setzen.“ (Prof. Louisa Specht-Riemenschneider – Mitglied des Datenschutzbeirats beim BfDI, 2024)
Pflegeeinrichtungen, die diese Daten täglich verarbeiten, benötigen entsprechend hohe Standards bei ihrer Datenschutzaufsicht. Das ist nicht möglich mit einem DSB, der nur Datenschutzrecht kennt – sondern erfordert jemanden, der auch versteht, wie diese Daten entstehen, warum sie notwendig sind, und wie sie korrekt genutzt werden.
Anforderungen der BfDI zur Qualifikation von Datenschutzbeauftragten
Die BfDI und verschiedene Orientierungshilfen nennen explizit, dass die Qualifikation eines DSB sich nach der Art und dem Risiko der Datenverarbeitung richtet.
Nach Artikel 37 Abs. 5 DSGVO sind folgende Faktoren wesentlich:
Nicht vergessen: Die erforderliche Spezialisierung richtet sich nach der Branche.
Nach verschiedenen Datenschutzbehörden und Fachkriminologen (z.B. Johner Institut):
„Sofern besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) in größerem Umfang verarbeitet werden, muss der DSB sich mit den einschlägigen Regelungen in besonderer Tiefe vertraut machen.“
Genau das ist die Situation in Pflegeeinrichtungen.
Wissenschaftliche Fachliteratur zur Spezialisierung
Die wissenschaftliche Literatur zum Datenschutz im Gesundheitswesen (z.B. Leuchtner, „Datenschutz in der Pflege – Ein Praxishandbuch“) betont wiederholt: Ein Datenschutzbeauftragter in Pflegeeinrichtungen muss nicht nur das Gesetz kennen, sondern auch die Praxis verstehen.
Die Gründe sind:
Teil 4: Praktische Szenarien – Wo Spezialisierung Unterschied macht
Beispiel 1: Pflege-Tablet und ärztliche Visite
Das Szenario:
Ein ambulanter Pflegedienst kümmert sich um Frau Weber, 76, mit Herzinsuffizienz. Der Hausarzt kommt zur wöchentlichen Visite. Die Pflegekraft zeigt dem Arzt auf ihrem Tablet die neuesten Vitalwerte und Beobachtungen. Der Arzt liest mit, schreibt danach eine Notiz hinzu.
Generischer DSB würde fragen:
Spezialisierter Pflege-DSB würde zusätzlich klären:
Diese praxisgerechte Beratung ist nur möglich, wenn der DSB versteht, wie eine ärztliche Visite in der Pflegepraxis abläuft.
Beispiel 2: Einsicht der Tochter in die Pflegedokumentation
Das Szenario:
Herr Müller, 85, mit Demenz, liegt in einem Pflegeheim. Die Tochter ruft an: „Mein Vater sagt, die Pflegekräfte seien unhöflich zu ihm. Ich möchte die Dokumentation einsehen, um zu überprüfen, ob das stimmt.“
Generischer DSB würde sagen:
Spezialisierter Pflege-DSB würde darüber hinaus beraten:
Diese Differenzierung ist datenschutzlich völlig legitim, wird aber von generischen DSB häufig übersehen.
Beispiel 3: Digitalisierung und die Telematikinfrastruktur
Das Szenario:
Ein Pflegeheim führt gerade ein neues elektronisches Pflegedokumentationssystem ein und plant, sich an die Telematikinfrastruktur (TI) anzubinden, um perspektivisch ePA-Zugriffe zu ermöglichen.
Generischer DSB würde checken:
Spezialisierter Pflege-DSB würde zusätzlich beraten:
Dies erfordert Verständnis sowohl für die technische als auch für die organisatorische Seite der Pflegeverarbeitung.
Teil 5: Die Qualifikation des idealen Pflege-DSB
Basierend auf den oben genannten Anforderungen sollte ein spezialisierter Datenschutzbeauftragter für Pflegeeinrichtungen folgende Qualifikationen aufweisen:
Obligatorische Grundqualifikationen (Art. 37 Abs. 5 DSGVO)
Spezielle Pflegekompetenz
Praktische Fähigkeiten
Fazit: Der spezialisierte DSB als Gewinn, nicht als Mehrkosten
Die Bestellung eines Datenschutzbeauftragten ist in Pflegeeinrichtungen nicht optional – sie ist eine rechtliche Pflicht, die früher greift als in vielen anderen Branchen. Aber das reicht nicht: Die Qualität dieser Bestellung entscheidet darüber, ob Datenschutz als lästiges Compliance-Thema oder als Qualitätsmerkmal wahrgenommen wird.
Ein spezialisierter Datenschutzbeauftragter mit Pflegeerfahrung ist nicht „teuer“ – er ist ein Investitionsschutz. Er verhindert:
Gleichzeitig trägt er positiv bei zu:
Pflegeeinrichtungen sollten sich Zeit nehmen, einen DSB zu finden oder zu benennen, der nicht nur die Gesetze kennt, sondern auch versteht, wie der Pflegealltag funktioniert. Der Schritt lohnt sich.
