Wenn eine Pflegekraft nachts beim Patienten dokumentiert, ein Angehöriger telefonisch Auskunft verlangt und die Tourenplanung parallel auf dem Diensthandy läuft, entstehen Datenschutzrisiken nicht in der Theorie. Sie entstehen im laufenden Betrieb. Die Datenschutz Intensivpflegedienst Anforderungen betreffen deshalb weit mehr als eine Datenschutzerklärung: Sie müssen in jeder Übergabe, jeder App, jedem Zugriff und jeder Auskunft funktionieren.
Intensivpflegedienste verarbeiten besonders schutzbedürftige Gesundheitsdaten in einem Umfeld, das durch Zeitdruck, wechselnde Einsatzorte und eine enge Zusammenarbeit mit Angehörigen, Ärzten, Kliniken, Therapeuten und Kostenträgern geprägt ist. Ein Dokumentationssystem allein macht diesen Umgang nicht rechtssicher. Entscheidend ist, ob Verantwortlichkeiten, Zugriffsrechte und Nachweise tatsächlich zum Pflegealltag passen.
Warum die Anforderungen in der Intensivpflege höher wirken
Bei der außerklinischen Intensivpflege kommen häufig umfangreiche Informationen zusammen: Diagnosen, Beatmungsparameter, Medikamentengaben, Notfallpläne, Wunddokumentationen, ärztliche Verordnungen, Abrechnungsdaten und Kontaktdaten von Angehörigen. Diese Daten sind nach DSGVO besonders geschützt. Schon ein falsch adressierter Bericht, ein verlorenes Diensthandy oder ein Gespräch im Hausflur kann eine Datenschutzverletzung auslösen.
Hinzu kommt die dezentrale Arbeit. Pflegekräfte dokumentieren beim Patienten zu Hause, in Wohngemeinschaften oder unterwegs. Sie benötigen Informationen rund um die Uhr, dürfen aber nicht uneingeschränkt auf alle Patientenakten zugreifen. Genau an dieser Stelle scheitern viele Dienste: Die Software ist vorhanden, doch Rollen, Berechtigungen und Regeln für mobile Geräte wurden nie sauber festgelegt.
Datenschutz muss dabei die Versorgung ermöglichen, nicht blockieren. In einer Notfallsituation ist ein schneller Zugriff auf medizinisch relevante Informationen erforderlich. Außerhalb dieser Situation gilt aber weiterhin das Need-to-know-Prinzip: Zugriff erhält nur, wer die Daten für seine konkrete Aufgabe benötigt.
Datenschutz im Intensivpflegedienst: Anforderungen an die Organisation
Die DSGVO verlangt keine Sammlung allgemeiner Vorlagen. Sie verlangt einen nachweisbaren Umgang mit Daten. Für einen Intensivpflegedienst heißt das: Die tatsächlichen Prozesse müssen erfasst, bewertet und verbindlich geregelt werden.
Verzeichnis, Rechtsgrundlagen und transparente Information
Das Verzeichnis der Verarbeitungstätigkeiten ist die Arbeitsgrundlage. Darin müssen unter anderem Pflegedokumentation, Dienst- und Tourenplanung, Lohnabrechnung, Bewerbungen, Kommunikation mit Angehörigen, Abrechnung, Qualitätsmanagement, Videoüberwachung und eingesetzte Apps abgebildet sein. Ein Verzeichnis, das nur „Patientenverwaltung“ aufführt, hilft bei einer Prüfung nicht weiter.
Für jede Verarbeitung braucht der Dienst eine tragfähige Rechtsgrundlage. Die Versorgung und Abrechnung stützen sich regelmäßig nicht auf eine Einwilligung, sondern etwa auf gesetzliche Pflichten, Verträge und die Verarbeitung von Gesundheitsdaten im Gesundheits- und Sozialbereich. Einwilligungen bleiben dennoch relevant, beispielsweise bei optionalen Kommunikationswegen, Bildaufnahmen oder der Weitergabe von Informationen an Personen, die nicht eindeutig zur Versorgung berechtigt sind.
Patienten müssen verständlich erfahren, welche Daten der Dienst verarbeitet, zu welchen Zwecken, wie lange sie gespeichert werden und welche Rechte ihnen zustehen. Diese Patienteninformation muss zu den realen Abläufen passen. Werden etwa digitale Dokumentationssysteme, externe Abrechnungsstellen oder Videoberatung eingesetzt, gehört das in die Information hinein.
Berechtigungen statt geteilter Logins
Geteilte Benutzerkonten sind in der Intensivpflege ein wiederkehrendes Problem. Sie sparen vermeintlich Minuten, machen aber jede Nachvollziehbarkeit zunichte. Wenn nicht feststeht, wer einen Eintrag erstellt, geändert oder eingesehen hat, fehlt ein zentraler Schutz- und Prüfungsnachweis.
Jede berechtigte Person braucht ein eigenes Konto. Berechtigungen müssen rollenbasiert vergeben, beim Eintritt dokumentiert und bei einem Wechsel oder Austritt sofort angepasst werden. Die Pflegedienstleitung benötigt andere Rechte als eine Pflegefachkraft, die Verwaltung andere als ein externer IT-Dienstleister. Besonders sensible Funktionen wie das Exportieren großer Datenmengen oder das Anlegen neuer Nutzer dürfen nicht pauschal freigeschaltet sein.
Auch die physische Akte bleibt ein Thema. Werden Unterlagen beim Patienten aufbewahrt, muss klar sein, wer Zugriff hat, wie Einsichtnahmen durch Dritte verhindert werden und wie Unterlagen bei einem Versorgungsende zurückgeführt oder sicher übergeben werden.
Diensthandys, Messenger und private Geräte
Private WhatsApp-Gruppen, Fotos von Wunden auf privaten Smartphones und unverschlüsselte E-Mails mit Befunden sind keine kleinen Alltagserleichterungen. Sie sind offene Datenschutzlücken. Gerade weil Teams im Schichtbetrieb schnell kommunizieren müssen, braucht der Dienst freigegebene und praktisch nutzbare Wege.
Dazu gehören zentral verwaltete Dienstgeräte, eine Bildschirmsperre, Verschlüsselung, aktuelle Software, geregelte Fernlöschung und klare Regeln bei Verlust. Für Messenger und Videokommunikation ist vorab zu prüfen, ob der Anbieter datenschutzrechtlich geeignet ist, wo Daten verarbeitet werden und welche Einstellungen erforderlich sind. Wenn private Geräte ausnahmsweise eingesetzt werden sollen, reicht eine mündliche Erlaubnis nicht aus. Die technische Absicherung und die dienstliche Trennung müssen realistisch umsetzbar sein.
Auftragsverarbeitung: Verträge allein reichen nicht
Viele Intensivpflegedienste arbeiten mit Softwareanbietern, Cloud-Speichern, Abrechnungsdiensten, IT-Betreuern, Dienstplanlösungen oder externen Archivierungsdiensten. Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag, ist regelmäßig ein Vertrag zur Auftragsverarbeitung erforderlich.
Der häufige Fehler: Ein Vertrag wird abgeheftet, ohne den Anbieter weiter zu prüfen. Entscheidend sind auch die konkret vereinbarten technischen und organisatorischen Maßnahmen, Unterauftragnehmer, Speicherorte, Löschfristen und Meldewege bei Sicherheitsvorfällen. Ein Anbieter kann fachlich gut sein und trotzdem nicht zu den eigenen Datenschutzanforderungen passen.
Besondere Aufmerksamkeit verdienen digitale Pflegedokumentation und mobile Anwendungen. Hier müssen Verantwortliche klären, ob Daten lokal auf dem Gerät gespeichert werden, wie Synchronisationen erfolgen, ob sich Daten exportieren lassen und wie der Zugriff nach dem Ende eines Arbeitsverhältnisses zuverlässig endet.
Datenschutzbeauftragter, Datenschutz-Folgenabschätzung und Schulung
Ein Datenschutzbeauftragter ist nicht nur dann ein Thema, wenn die Beschäftigtenzahl die Schwelle von 20 Personen erreicht, die regelmäßig automatisiert personenbezogene Daten verarbeiten. Bei einem Intensivpflegedienst kann eine Benennung auch unabhängig davon erforderlich sein, wenn die Kerntätigkeit in einer umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten liegt. Die konkrete Struktur des Dienstes entscheidet. Eine belastbare Prüfung ist besser als eine Annahme nach Bauchgefühl.
Auch eine Datenschutz-Folgenabschätzung kann erforderlich sein. Das gilt insbesondere dann, wenn neue Technologien, umfangreiche Gesundheitsdaten oder eine systematische Überwachung besondere Risiken für Patienten schaffen. Nicht jede Pflegesoftware löst automatisch eine Folgenabschätzung aus. Wer aber Telepflege, KI-gestützte Dokumentationshilfe, Ortung, Videoübertragung oder umfassende Auswertungen einführt, muss die Risiken vor dem Start bewerten.
Schulungen sind der Punkt, an dem Papier zu Verhalten wird. Pflegekräfte brauchen keine abstrakten Vorträge über Artikelnummern. Sie müssen wissen, was bei einer Auskunft durch Angehörige gilt, wie Unterlagen unterwegs geschützt werden, wann ein Foto unzulässig ist und an wen ein verlorenes Gerät sofort gemeldet wird. Die Teilnahme und die Inhalte der Schulung müssen dokumentiert sein.
Vorfälle müssen in den ersten Stunden beherrschbar sein
Ein Datenschutzvorfall liegt nicht erst bei einem Hackerangriff vor. Ein falscher E-Mail-Anhang, eine offen liegende Patientenmappe oder ein nicht auffindbares Smartphone kann genügen. Dann zählt Geschwindigkeit: Vorfall sichern, Auswirkungen bewerten, Zugänge sperren, Fakten dokumentieren und gegebenenfalls innerhalb von 72 Stunden die Aufsichtsbehörde informieren.
Dafür braucht der Dienst einen klaren Meldeweg, der auch nachts und am Wochenende funktioniert. Mitarbeitende müssen Vorfälle ohne Angst vor Schuldzuweisungen melden können. Wer einen Fehler erst nach Tagen weitergibt, nimmt dem Unternehmen die Möglichkeit, Schäden zu begrenzen und Fristen einzuhalten.
Löschung und Auskunft im Pflegealltag sauber steuern
Patientendaten dürfen nicht einfach gelöscht werden, sobald eine Versorgung endet. Für zahlreiche Unterlagen gelten gesetzliche Aufbewahrungspflichten. Gleichzeitig dürfen Daten nicht unbegrenzt in alten Postfächern, privaten Ablagen oder nicht mehr benötigten Systemen liegen bleiben.
Ein belastbares Löschkonzept trennt deshalb aktive Fallakten, Aufbewahrungsfristen, gesperrte Daten und endgültige Löschung. Es regelt auch, was mit Papierunterlagen, Sicherungskopien, E-Mail-Postfächern und Daten auf Dienstgeräten geschieht. Das ist besonders wichtig, wenn Patienten oder Angehörige Auskunft verlangen. Ohne klare Datenablage wird eine Auskunft schnell zur hektischen Suchaktion mit zusätzlichem Fehlerrisiko.
Für Intensivpflegedienste ist Datenschutz dann wirksam, wenn er Schichtwechsel, mobile Arbeit und Notfallsituationen mitdenkt. Prüffähige Unterlagen, klare Zuständigkeiten und technisch abgesicherte Prozesse schaffen genau diese Entlastung: Das Team kann sich auf die Versorgung konzentrieren, während der Umgang mit Gesundheitsdaten auch unter Druck nachvollziehbar bleibt.
