Pflegedienst und Datenschutz 2026: Orientierung für ambulante Träger im Standard-Profil

Welche regulatorischen Vorgaben sind im ambulanten Pflegedienst einschlägig?

Vier Rechtsbereiche treten verbreitet parallel auf:

Datenschutz mit besonderen Kategorien (DSGVO Art. 9). Gesundheits- und biometrische Daten fallen unter Art. 9 DSGVO mit grundsätzlichem Verarbeitungsverbot. Für die pflegerische Versorgung kommt regelmäßig Art. 9 Abs. 2 lit. h DSGVO in Betracht, vorbehaltlich der berufsrechtlichen und sozialdatenschutzrechtlichen Anforderungen. Erweiterte technisch-organisatorische Maßnahmen sind nach Art. 32 DSGVO einzuplanen.

Sozialdatenschutz im Verhältnis zu Pflegekassen (§§ 104, 105 SGB XI, § 78 SGB X). Das Sozialgeheimnis nach § 35 SGB I und die §§ 67 ff. SGB X richten sich an die Leistungsträger, etwa Pflegekassen und Sozialhilfeträger, nicht unmittelbar an einen privaten Pflegedienst. Für den Pflegedienst als Leistungserbringer regelt § 104 SGB XI, welche Angaben er für Prüfverfahren, Versorgungsverträge und Abrechnung speichern und an Pflegekassen, Medizinische Dienste und weitere Prüfstellen übermitteln darf und muss; § 105 SGB XI regelt die Abrechnung. Erhält der Pflegedienst Sozialdaten von einem Leistungsträger, darf er sie nur zu dem Zweck verarbeiten, zu dem sie ihm übermittelt wurden (§ 78 Abs. 1 SGB X).

Strafrechtliche Schweigepflicht (§ 203 StGB). Pflegefachkräfte sind als „Angehörige eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert" regelmäßig Geheimnisträger nach § 203 Abs. 1 Nr. 1 StGB. Die Strafbarkeit der unbefugten Offenbarung besteht parallel zu DSGVO und Sozialdatenschutzrecht.

Pflegerecht (SGB XI und landesrechtliche Vorschriften). Versorgungsverträge nach SGB XI, MDK-/MD-Prüfungen, Qualitätsprüfungs-Richtlinien und landesrechtliche Heim- und Pflegevorschriften können zusätzlich dokumentations- und schutz-spezifische Pflichten begründen.

Welche Konstellation passt typisch zum ambulanten Pflegedienst im Standard-Profil?

Für einen ambulanten Pflegedienst mit bis zu 50 Pflegekräften ist die folgende Konstellation typisch, eine abschließende Einordnung hängt jedoch vom Einzelfall ab:

• Verantwortlicher nach Art. 4 Nr. 7 DSGVO für die Versorgungsdokumentation der eigenen Patienten.
• Bestellungspflicht für einen Datenschutzbeauftragten kann sich aus Art. 37 Abs. 1 lit. c DSGVO ergeben, wenn die Verarbeitung von Gesundheitsdaten als umfangreich gilt; das ist im Einzelfall zu bewerten (Erwägungsgrund 91 sieht, bezogen auf die Datenschutz-Folgenabschätzung, nur die Verarbeitung von Patientendaten durch einzelne Ärzte oder sonstige Angehörige eines Gesundheitsberufes nicht als umfangreich an). Unabhängig davon verlangt § 38 Abs. 1 Satz 1 BDSG einen Datenschutzbeauftragten, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl verlangt § 38 Abs. 1 Satz 2 BDSG einen Datenschutzbeauftragten, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen.
• Mehrere Sub-Verarbeiter: Pflegesoftware-Anbieter, Hosting, Druck- und Versanddienstleister, Aktenvernichtung. AVVs nach Art. 28 DSGVO sind typischerweise einschlägig, im Verhältnis zu Pflegekassen und Medizinischem Dienst kommt jedoch regelmäßig eine eigene gesetzliche Übermittlungs-Grundlage zum Tragen.
• DPIA-Pflicht nach Art. 35 DSGVO bei systematischer Beobachtung oder Telemonitoring-Systemen, verbreitet einschlägig.

Welcher Aufbau-Rahmen ist verbreitet?

Als Orientierung eignet sich ein Vorgehen in drei Bausteinen. Ob es im konkreten Fall passt, ist im Einzelfall zu beurteilen.

Erster Baustein, Verfahrensverzeichnis und Rechtsgrundlagen-Mapping. Eine vollständige Erfassung der Verarbeitungstätigkeiten nach Art. 30 DSGVO mit ausdrücklicher Benennung der Rechtsgrundlage (DSGVO Art. 6/9, insbesondere §§ 104, 105 SGB XI). Eine getrennte Würdigung der Sozialdaten-Übermittlungen an Pflegekassen, MD und gegebenenfalls Apotheken ist typischerweise sinnvoll.

Zweiter Baustein, Sub-Verarbeiter-Inventur und Schweigepflichtverpflichtung. AVV-Inventur mit Pflegesoftware-Anbieter (etwa vivendi, Sinfonie oder MEDIFOX DAN), Hosting-Anbieter, Druck- und Vernichtungsdienstleister, externer IT. Schriftliche Schweigepflichtverpflichtung der Mitarbeitenden nach § 203 StGB sowie Sensibilisierung der „mitwirkenden Personen" nach § 203 Abs. 3 und Abs. 4 Satz 2 Nr. 1 StGB ist verbreitet.

Dritter Baustein, Technisch-organisatorische Maßnahmen und Notfall-Vorbereitung. Maßnahmen, die in der aufsichtsbehördlichen Praxis und in den BSI-Empfehlungen verbreitet als angemessen angesehen werden: Festplatten-Verschlüsselung der mobilen Geräte, Multi-Faktor-Authentifizierung für sensible Konten, dokumentierte Backup-Routinen mit getestetem Restore, jährliche Mitarbeiter-Sensibilisierung. Eine vorbereitete Meldevorlage für die 72-Stunden-Frist nach Art. 33 DSGVO und eine Patienten-Informations-Vorlage für Art. 34 DSGVO ist verbreitet.

Welche Konstellationen erfordern abweichendes Vorgehen?

In einer Reihe von Konstellationen reicht der pauschale Orientierungs-Rahmen für den ambulanten Pflegedienst im Standard-Profil nicht aus und es ist eine erweiterte fachliche Begleitung sinnvoll:

• Stationäre und teilstationäre Pflege: Heimrecht, landesrechtliche Heim- und Pflegevorschriften und gegebenenfalls bauliche Datenschutz-Anforderungen sind zusätzlich zu prüfen.
• Spezielle Versorgungsformen: Intensivpflege, Beatmungspflege, Palliativ-Versorgung, Kinder-Hospiz-Versorgung können sektor-spezifische Zusatzpflichten und erweiterte Schutz-Standards auslösen.
• Telemedizinische Anwendungen und DiGA: Erweiterte Anforderungen aus BfArM-Anerkennung, gematik-Schnittstellen und gegebenenfalls Medizinprodukte-Recht (MDR), eine separate Einordnung wird empfohlen.
• Datenpanne mit Massenwirkung oder Bezug zu sensiblen Versorgungs-Daten: Eine Eskalation an spezialisierte Beratung, Haftpflichtversicherung und Aufsichtsbehörde ist typischerweise geboten, über die regulären Meldepflichten hinaus können zivilrechtliche Schadensersatzfolgen entstehen.
• NIS2-Größenwachstum: Erreicht der Träger mindestens 50 Beschäftigte oder jeweils mehr als 10 Mio. EUR Jahresumsatz und Bilanzsumme (§ 28 Abs. 2 BSIG) und gehört er zu einer Einrichtungsart des Gesundheitswesens nach Anlage 1 BSIG, ist eine eigene NIS2-Würdigung angezeigt.

In diesen Konstellationen ist eine pauschale Orientierungshilfe unzureichend. Eine Einzelfall-Prüfung durch Pflegeverband, Sozialdatenschutz-spezialisierte Beratung oder Datenschutzaufsichtsbehörde wird typischerweise empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung zum Verfahrensverzeichnis liefert der Verfahrensverzeichnis-Generator, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Für eine vertiefte Auseinandersetzung mit den besonderen Kategorien nach Art. 9 DSGVO: DSGVO Art. 9, Gesundheitsdaten und besondere Kategorien.