Wiederkehrende Vorfälle entstehen häufig aus denselben Schwachstellen: unklare Zuständigkeiten, hektische Übergaben und unsichere Kommunikationswege. Menschliches Fehlverhalten nannten 63 % der Einrichtungen als häufige Ursache, externe Angriffe und Ursachen wie DDoS-Attacken 59 %, wie die Erhebung zur Bedrohungslage im Gesundheitswesen zeigt. Im Schichtbetrieb müssen Kliniken und Pflegeeinrichtungen deshalb klare Regeln für mobile Teams, digitale Patientenakten und den Ausstieg aus dem Fax festlegen. Datenschutz entscheidet täglich, wer welche Information erhält und ob Versorgung auch unter Zeitdruck sicher funktioniert.
Inhaltsverzeichnis
- Warum Datenschutz im Gesundheitswesen heute mehr ist als eine Rechtsfrage
- Die rechtlichen Grundlagen für Kliniken, Praxen und Pflegeeinrichtungen
- Technische Anforderungen rund um ePA und digitale Versorgungsdaten
- Technische und organisatorische Maßnahmen im Einrichtungsalltag
- Datenpannen erkennen, melden und richtig reagieren
- Datenschutz und Datennutzung im Krankenhaus in Einklang bringen
- Checklisten und nächste Schritte für Ihre Einrichtung
Warum Datenschutz im Gesundheitswesen heute mehr ist als eine Rechtsfrage
Datenschutz ist kein Bremsklotz. Klare Prozesse schaffen Sicherheit, beschleunigen Entscheidungen und schützen das Vertrauen von Patientinnen und Patienten. Gesundheitsdaten zählen zu den sensibelsten Informationen einer Organisation. Eine Diagnose, ein Medikationsplan, ein Pflegebericht oder ein psychiatrischer Befund kann das Privatleben und die berufliche Situation eines Menschen dauerhaft beeinflussen. Deshalb behandelt die DSGVO Gesundheitsdaten als besonders schutzwürdige Daten.
Was die bekannten Zahlen zur Bedrohungslage nicht zeigen: Viele Vorfälle folgen wiederkehrenden Mustern. Im Schichtbetrieb entstehen Risiken vor allem dort, wo Zuständigkeiten, mobile Zugriffe und Kommunikationswege nicht zusammenpassen. Der Ausstieg aus dem Fax verschärft diese Aufgabe nicht automatisch, er verlangt aber sichere digitale Alternativen für Arztbriefe, Übergaben und Rückfragen.
Der riskante Moment ist oft unspektakulär
Ein Vorfall beginnt häufig mit einer Situation, die im Alltag plausibel wirkt:
- Falscher Empfänger: Ein Arztbrief geht an eine veraltete Adresse oder an die falsche Praxis.
- Offener Bildschirm: Ein Stationsrechner bleibt während der Übergabe entsperrt.
- Gemeinsames Konto: Mehrere Mitarbeitende verwenden denselben Zugang, weil die Anmeldung im Notfall zu lange dauert.
- Mobiles Gerät: Ein Diensthandy oder Tablet geht außerhalb der Einrichtung verloren.
- Externe Fachkraft: Ein befristeter Zugang bleibt nach dem letzten Einsatz aktiv.
Jede dieser Situationen gefährdet die Vertraulichkeit. Zugleich fehlt später oft der Nachweis, wer auf Daten zugegriffen hat. Zu strenge oder schlecht geplante Sperren können die Versorgung zusätzlich behindern. Datenschutz muss deshalb mit Informationssicherheit, Prozessdesign und Schulung verbunden sein.
Praxisregel: Wenn eine Datenschutzvorgabe im Nachtdienst nicht funktioniert, ist sie nicht fertig umgesetzt.
Die Leitung muss prüfen, ob Mitarbeitende für konkrete Situationen klare Anweisungen haben, ob Systeme diese Entscheidungen unterstützen und ob Verantwortliche erreichbar sind. Ein Berechtigungskonzept ohne regelmässige Überprüfung bleibt Papier. Eine Schulung ohne realistische Szenarien bleibt Theorie.
Auch die Ethik der Pflege gehört in diese Betrachtung. Pflegekräfte entscheiden laufend zwischen Nähe, Schnelligkeit, Informationsbedarf und dem Schutz der Privatsphäre. Gute Datenschutzpraxis stärkt diese Verantwortung und verbindet sie mit den Anforderungen digitaler Versorgungsdaten.
Die rechtlichen Grundlagen für Kliniken, Praxen und Pflegeeinrichtungen
Die Rechtslage lässt sich für den Alltag auf ein einfaches Modell reduzieren: Wer verarbeitet welche Gesundheitsdaten, zu welchem Zweck, mit welchem Zugriff und wie lange? Erst wenn diese vier Fragen beantwortet sind, kann die Einrichtung passende Prozesse und technische Massnahmen festlegen.
Die DSGVO bildet den europäischen Rahmen. Sie verlangt unter anderem Rechtmässigkeit, Zweckbindung, Datenminimierung, Vertraulichkeit und Nachvollziehbarkeit. Für die Behandlung bedeutet das nicht, dass für jeden einzelnen Arbeitsschritt eine neue Einwilligung eingeholt werden muss. Die Einrichtung braucht aber eine tragfähige Rechtsgrundlage und muss den Datenfluss auf den erforderlichen Zweck begrenzen.
Das BDSG präzisiert den deutschen Umgang mit personenbezogenen Daten. Ergänzend schützt die berufliche Schweigepflicht nach § 203 StGB Patientinnen und Patienten vor unbefugter Offenbarung. Diese Regeln laufen im Alltag zusammen. Ein Zugriff kann technisch möglich und trotzdem unzulässig sein, wenn die Person keinen dienstlichen Grund dafür hat.
Behandlung, Forschung und Sekundärnutzung trennen
Für die Behandlung braucht das Team die Informationen, die es zur Versorgung benötigt. Forschung, Qualitätsauswertung und andere Formen der Sekundärnutzung verfolgen dagegen einen zusätzlichen Zweck. Die Einrichtung darf diese Ebenen nicht einfach vermischen. Sie muss festlegen, welche Daten in welcher Form genutzt werden, wer darauf zugreifen darf und wie die Zweckbindung dokumentiert wird.
Seit dem 26.03.2024 gilt das Gesundheitsdatennutzungsgesetz, GDNG. Es erweitert die rechtliche Grundlage für die Verarbeitung von Gesundheitsdaten zu Forschungs-, Versorgungs- und Pflegezwecken und verlangt zugleich eine strukturierte Governance mit dezentraler Gesundheitsdateninfrastruktur sowie zentraler Datenzugangs- und Koordinierungsstelle (GDNG als PDF). Für Kliniken folgt daraus keine Einladung zur pauschalen Datensammlung. Gefordert sind kontrollierte Zugriffswege, nachvollziehbare Freigaben, dokumentierte Zwecke und interoperable Datenmodelle.
Das GeDIG verschiebt den politischen und rechtlichen Schwerpunkt zusätzlich in Richtung einer stärkeren Nutzung von Gesundheitsdaten für Versorgung und Forschung. Die Informationen des Bundesgesundheitsministeriums zum GeDIG sind für Leitungen deshalb vor allem unter einer praktischen Frage relevant: Welche Daten dürfen genutzt werden, und wie lässt sich diese Nutzung im eigenen Verantwortungsbereich kontrollieren?
Ein belastbares Prüfmodell
Vor jeder neuen Schnittstelle, App oder Auswertung sollte die verantwortliche Stelle schriftlich beantworten:
- Zweck: Dient der Zugriff Behandlung, Pflege, Abrechnung, Forschung oder einer anderen Aufgabe?
- Personenkreis: Welche Rolle braucht tatsächlich Zugriff?
- Datenumfang: Sind alle angeforderten Felder erforderlich?
- Nachweis: Werden Freigaben, Zugriffe, Änderungen und Löschungen protokolliert?
- Verantwortung: Wer entscheidet bei einer Unklarheit oder einem Ausfall?
Leitungen sollten diese Fragen nicht an externe Anbieter delegieren. Ein Dienstleister kann Technik liefern, aber die Einrichtung bleibt für ihre Verarbeitung verantwortlich. Das gilt auch bei Bewerber- und Beschäftigtendaten. Die Datenschutzanforderungen in der Personalvermittlung zeigen, warum Zweckbindung, Datenminimierung, Speicherbegrenzung und Vertraulichkeit auch im Personalprozess fest verankert werden müssen.
Technische Anforderungen rund um ePA und digitale Versorgungsdaten
Die elektronische Patientenakte verlagert Datenschutz in den laufenden Versorgungsprozess. Zum 23. Januar 2025 waren knapp 13 Millionen ePA angelegt, grundsätzlich konnten rund 73 Millionen Versicherte eine ePA erhalten, wie die Übersicht zur DSGVO und elektronischen Patientenakte berichtet. Spätere gematik-Zahlen nennen sogar mehr als 70 Millionen angelegte Patientenakten und über 700 Millionen Datensätze. Für Datenschutzverantwortliche bedeutet das: Sie müssen Datenflüsse zwischen KIS, ePA, Labor, Abrechnung und mobilen Arbeitsplätzen kontrollieren.
Mehr als 93 % der Zahnarztpraxen und Apotheken waren laut dieser Darstellung technisch zur ePA-Nutzung in der Lage. Mehr als 110.000 medizinische Einrichtungen hatten bereits darauf zugegriffen. Entscheidend ist deshalb nicht der Anschluss von Konnektor oder Software allein. Rollen, Freigaben, Protokolle und Ausfallprozesse müssen auch bei Schichtwechsel, Notfallversorgung und eingeschränkter Netzverfügbarkeit funktionieren. Wer das Fax ablöst, braucht für digitale Übergaben klare Zuständigkeiten und einen verlässlichen Rückfallprozess.
Verschlüsselung muss die gesamte Architektur erfassen
Das BSI verlangt für Anwendungen mit sensiblen Gesundheitsdaten konkrete technische Mindeststandards. Die BSI TR-03161 fordert für Hintergrundsysteme eine verschlüsselte Speicherung sensibler Daten. Für Gesundheits- und Pflege-Apps bildet sie zugleich die Grundlage für Konformitätsnachweise nach § 139e Abs. 10 SGB V und § 78a Abs. 7 SGB XI (BSI-Informationen zu E-Health und TR-03161).
Prüfen Sie daher die komplette Architektur: Übertragung, Primärspeicher, Backups, Protokolldaten, temporäre Dateien und Exporte. Eine geschützte Verbindung verhindert keinen ungesicherten Export auf ein lokales Laufwerk. Verschlüsselung ersetzt außerdem keine Zugriffsbeschränkung.
Die vier technischen Prüfsteine
- Zugriffskontrolle: Berechtigungen richten sich nach Rolle, Aufgabe und aktuellem Behandlungskontext. Ein gemeinsamer Stationszugang genügt nicht.
- Protokollierung: Die Einrichtung muss erkennen können, wer Daten gelesen oder verändert hat. Für Protokolle braucht es feste Prüfintervalle und Verantwortliche.
- Gerätesicherheit: Diensthandys, Tablets, Arbeitsplatzrechner und medizinische Geräte gehören in eine verwaltete Umgebung. Sperrung, Aktualisierung und Fernlöschung müssen geregelt sein.
- Schnittstellenkontrolle: Jede Verbindung zwischen KIS, ePA, Labor, Abrechnung und externen Diensten braucht eine dokumentierte Zuständigkeit. Das Schnittstellen-Management für Gesundheitsorganisationen gehört deshalb in die Datenschutzorganisation, nicht nur in die IT.
Fordern Sie von Anbietern konkrete Antworten: Welche Daten werden gespeichert, wo liegen sie, wie werden Schlüssel verwaltet und welche Rollen existieren? Klären Sie ebenso, wie Zugriffe ausgewertet werden und wer bei einer Störung handelt. Ohne diese Nachweise bleibt technische Konformität eine Behauptung.
Technische und organisatorische Maßnahmen im Einrichtungsalltag
Technische und organisatorische Massnahmen, kurz TOMs, müssen den härtesten Arbeitstag überstehen. Im Krankenhaus bedeutet das Schichtwechsel, Notfälle, wechselnde Teams und externe Fachkräfte. In der ambulanten Pflege kommen mobile Geräte, wechselnde Einsatzorte und eingeschränkte Netzverfügbarkeit hinzu. Eine Regel, die nur im ruhigen Büro funktioniert, schützt keine Patientendaten.
Für den Schichtbetrieb braucht jede Einrichtung ein Rollenmodell mit zeitnaher Deaktivierung. Pflegekräfte sehen die Informationen ihrer Aufgabe, Ärztinnen und Ärzte erhalten die für Diagnostik und Behandlung notwendigen Daten, Verwaltungsteams greifen auf Abrechnung oder Stammdaten zu. Externe Mitarbeitende erhalten keinen pauschalen Vollzugriff, sondern einen befristeten Zugang mit klarer Zuständigkeit.
Mobile Teams brauchen verwaltete Geräte statt privater Messenger. Daten sollten nicht dauerhaft lokal gespeichert werden, Bildschirme müssen automatisch gesperrt werden und verlorene Geräte müssen aus der Ferne gesperrt werden können. Für Papierunterlagen gelten dieselben Grundsätze: verschlossener Transport, kein Liegenlassen im Fahrzeug und sichere Rückgabe nach dem Einsatz.
TOMs nach Einrichtungstyp
| Einrichtungstyp | Typische Risiken | Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|---|---|
| Krankenhaus | Zu breite Berechtigungen, offene Stationsarbeitsplätze, unklare Notfallzugriffe | Rollenbasierte Zugriffe, Mehr-Faktor-Authentifizierung, Protokollierung, verwaltete Arbeitsplatzrechner | Berechtigungskontrollen bei Rollenwechseln, Notfallverfahren, dokumentierte Übergaben, regelmässige Schulungen |
| Pflegeeinrichtung | Gemeinsame Geräte, Einblicke durch Dritte, verlorene Unterlagen | Gerätesperre, Verschlüsselung, zentrale Geräteverwaltung, sichere Datensynchronisation | Ausgaberegister, klare Tourenregeln, Meldeweg für Verlust, Unterweisung vor dem ersten Einsatz |
| Ambulanter Dienst | Mobiles Personal, schwankende Netzverfügbarkeit, private Kommunikationswege | Verwaltete Tablets, Offline-Konzept ohne unkontrollierte lokale Kopien, Fernsperrung | Verbindliche Kommunikationskanäle, Rückgabeprozesse, Vertretungsregelung, Notfallkommunikation |
| Praxis oder MVZ | Fehlversand, gemeinsame Postfächer, Zugriff durch externe Dienstleister | Individuelle Konten, sichere Übermittlung, Protokollierung, getrennte Rollen | Vier-Augen-Prüfung bei sensiblen Sendungen, Dienstleisterprüfung, Löschläufe, dokumentierte Verantwortlichkeiten |
Menschen brauchen klare Entscheidungen
Schulungen sollten keine allgemeine Präsentation über die DSGVO sein. Mitarbeitende müssen üben, wie sie einen falschen Empfänger melden, einen verdächtigen Link behandeln, einen verlorenen Schlüssel dokumentieren oder bei einem Systemausfall kommunizieren. Führungskräfte müssen diese Meldungen unterstützen. Wer aus Angst vor Schuldzuweisungen schweigt, vergrössert den Schaden.
Die Verschwiegenheitspflicht im Gesundheitswesen sollte in Dienstanweisungen mit konkreten Situationen verbunden werden. Entscheidend ist nicht, dass jemand eine Vorschrift auswendig kennt. Entscheidend ist, dass die Person im Stress eine sichere Handlung auswählt.
Führungsentscheidung: Berechtigungen, Geräte und Kommunikationswege müssen für jede Schicht eindeutig sein. Niemand sollte im Notfall improvisieren müssen.
Datenpannen erkennen, melden und richtig reagieren
Eine Pflegekraft bemerkt während der Frühschicht, dass ein Entlassungsbericht im falschen digitalen Postfach liegt. Der Bericht wurde noch nicht geöffnet, aber der Empfänger gehört nicht zum Behandlungsteam. Das ist kein Anlass für eine stille Korrektur. Die Einrichtung muss den Vorfall sichern, bewerten und dokumentieren.
Vom ersten Hinweis zur Bewertung
Zuerst stoppt die verantwortliche Person die weitere Verteilung. Sie löscht oder verschiebt die Nachricht nicht eigenmächtig, sondern sichert die relevanten Informationen und informiert den internen Meldeweg. Dazu gehören mindestens Datenschutzbeauftragte, IT-Leitung und Einrichtungsmanagement, sofern die interne Organisation diese Rollen getrennt besetzt.
Die verantwortliche Stelle klärt anschließend:
- Was ist passiert? Falscher Versand, verlorenes Gerät, unberechtigter Zugriff oder technische Fehlkonfiguration?
- Welche Daten sind betroffen? Gesundheitsdaten, Kontaktdaten, Abrechnungsinformationen oder mehrere Kategorien?
- Wer konnte zugreifen? Interne Rolle, externer Dienstleister oder unbekannte Person?
- Welche Schutzmaßnahmen greifen? Verschlüsselung, Sperrung, Rückruf, Zugriffsentzug oder Bestätigung der Löschung?
- Welche Folgen sind möglich? Risiken für Privatsphäre, Versorgung, Sicherheit oder soziale Situation der betroffenen Person?
Nicht jeder interne Fehler führt automatisch zu einer Meldung. Das Team muss das Risiko für die betroffenen Personen bewerten und die Entscheidung nachvollziehbar festhalten. Wird eine Meldung erforderlich, muss die zuständige Aufsichtsbehörde innerhalb der gesetzlichen Frist informiert werden. Für die Bewertung darf die Einrichtung keine Zeit durch interne Schuldzuweisungen verlieren.
Nachbereitung ohne Aktionismus
Nach der akuten Reaktion prüft die Einrichtung den Prozess. War die Empfängeradresse falsch hinterlegt? Fehlte eine Warnung im System? War die Rolle zu weit berechtigt? Hat die betroffene Person gewusst, wo sie den Vorfall melden muss?
Die Antwort muss in eine konkrete Änderung münden. Das kann eine zusätzliche Freigabe, ein neues Pflichtfeld, eine Anpassung der Rechte oder eine kurze Nachschulung sein. Der Vorfall gehört in ein internes Verzeichnis, auch wenn keine Meldung an die Aufsicht erfolgt. Nur so erkennt die Leitung wiederkehrende Muster.
Das folgende Video kann die interne Sensibilisierung ergänzen:
Nach jedem Vorfall zählt eine Frage: Welche konkrete System- oder Prozessänderung verhindert, dass derselbe Fehler erneut passiert?
Datenschutz und Datennutzung im Krankenhaus in Einklang bringen
Eine klare Governance entscheidet darüber, ob digitale Versorgung im Alltag funktioniert. Zweck, Verantwortlichkeit, Zugriff und Ausfallverfahren müssen vor dem Rollout feststehen. Fehlen diese Vorgaben, entstehen unkontrollierte Datenflüsse oder Freigabeschleifen, die Behandlungen und Pflegeabläufe verzögern.
Beim Ausstieg aus dem Fax reicht die Prüfung der rechtlichen Zulässigkeit nicht aus. Entscheidend ist die Auswahl eines digitalen Wegs, der sicher, verfügbar, bedienbar und im Schichtbetrieb verlässlich bleibt. Im Sommer 2026 wurde öffentlich angekündigt, dass die Übermittlung medizinischer oder pflegerischer Daten per Fax künftig nicht mehr zulässig sein soll. Parallel treibt das BMG verbindliche digitale Kommunikationswege voran (Stellungnahme zum GeDIG und digitalen Kommunikationswegen).
Fax-Ersatz braucht einen Betriebsplan
Kaufen Sie kein neues Tool, bevor der bestehende Ablauf beschrieben ist. Legen Sie für die Übergangsphase fest:
- Kanal: Welche Kommunikation läuft über TI-Anwendungen, sichere Portale oder andere freigegebene Systeme?
- Empfänger: Wie prüft das Team die Identität der Praxis, Station oder Pflegekraft?
- Schnittstelle: Wie gelangt die Nachricht in die richtige Patientenakte, ohne manuelle Schattenablagen?
- Verfügbarkeit: Was geschieht bei Netzausfall, Gerätefehler oder einem nicht erreichbaren Empfänger?
- Verantwortung: Wer kontrolliert Eingang, Bearbeitung und Rückmeldung?
Mobile Teams brauchen zusätzlich ein dokumentiertes Ausfallverfahren. Eine sichere Zwischenlösung darf nur die erforderlichen Informationen enthalten. Nach der Wiederherstellung müssen diese vollständig in das führende System übertragen werden. Private Messenger gehören nicht in diesen Prozess.
Sekundärnutzung mit Grenzen
GDNG und GeDIG erweitern die Möglichkeiten für Forschung, Versorgung und Registerarbeit. Krankenhäuser sollten Anfragen deshalb strukturiert prüfen, statt Datennutzung pauschal abzulehnen. Zerlegen Sie jeden Antrag in Zweck, Datenumfang, Zugriffskreis, Pseudonymisierung, Speicherdauer und Rückgabeprozess.
Nutzung braucht Architektur. Getrennte Rollen, nachvollziehbare Freigaben, saubere Datenzugänge und auswertbare Protokolle schaffen verlässlichen Handlungsspielraum. So unterstützt Datenschutz die Datennutzung, während ePA-Prozesse, mobile Dokumentation und Schichtübergaben kontrollierbar bleiben.
Checklisten und nächste Schritte für Ihre Einrichtung
Datenschutz verbessert sich nicht durch eine weitere Ablage mit Richtlinien. Die Leitung braucht eine priorisierte Arbeitsliste, feste Verantwortliche und Termine. Beginnen Sie mit den Datenflüssen, die im Alltag am häufigsten vorkommen: Behandlung, Pflegeübergabe, ePA-Zugriff, mobile Dokumentation, externe Personalbesetzung und Kommunikation mit Dritten.
In der nächsten Woche
- Verantwortung klären: Benennen Sie intern, wer Vorfälle annimmt, bewertet und eskaliert.
- Zugänge prüfen: Lassen Sie Konten ausgeschiedener, versetzter und externer Mitarbeitender kontrollieren.
- Kommunikationswege erfassen: Schreiben Sie auf, wo Teams aktuell Fax, private Messenger, persönliche E-Mail-Konten oder ungesicherte Ablagen verwenden.
- Notfallkarte erstellen: Jede Schicht braucht einen sichtbaren Meldeweg für verlorene Geräte, Fehlversand und Systemausfälle.
- Schulung konkretisieren: Besprechen Sie einen realistischen Fall aus Ihrer Einrichtung, nicht nur abstrakte DSGVO-Grundsätze.
Im nächsten Monat
- Rollenmodell schärfen: Ordnen Sie jedem Arbeitsbereich die tatsächlich erforderlichen Daten und Systeme zu.
- Geräteverwaltung ordnen: Prüfen Sie Sperrung, Verschlüsselung, Aktualisierung, Fernzugriff und Rückgabe mobiler Geräte.
- ePA-Prozess testen: Simulieren Sie Zugriff, Freigabe, Dokumentation und Ausfall im Stations- oder Tourenbetrieb.
- Dienstleister bewerten: Dokumentieren Sie Verantwortlichkeiten, Unterauftragnehmer, Speicherorte und Löschprozesse.
- Personalprozesse absichern: Nutzen Sie eine strukturierte Onboarding-Checkliste für datensensible Personaleinsätze, damit externe Kräfte vor ihrem ersten Einsatz klare Zugriffs- und Vertraulichkeitsregeln kennen.
Im nächsten Quartal
- Dateninventar aktualisieren: Verknüpfen Sie Anwendungen, Datenkategorien, Zwecke, Rollen und Löschregeln.
- Auswertung einführen: Prüfen Sie Protokolle nicht nur bei Verdacht, sondern nach einem festen Verfahren.
- Fax-Ausstieg planen: Legen Sie Zielkanäle, Übergangsregeln, Schnittstellen und Ausfallkonzepte verbindlich fest.
- Sekundärnutzung governancefähig machen: Definieren Sie ein Verfahren für Forschungs-, Register- und Versorgungsanfragen.
- Wirksamkeit messen: Dokumentieren Sie, welche Massnahme umgesetzt wurde und woran die Leitung ihren Erfolg erkennt.
Dexter Life Science unterstützt Einrichtungen mit Personallösungen für Medizin, Pflege und Pädagogik sowie mit strukturierten Prozessen für geprüfte Qualifikationen, klare Zuständigkeiten und verlässliche Einsätze. Wenn Sie Datenschutz und Personalsteuerung im Schichtbetrieb gemeinsam sauber aufstellen wollen, besuchen Sie Dexter Life Science.