Für die Pflegedokumentation brauchen Sie keine Einwilligung: Sie stützt sich auf Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit Art. 9 Abs. 3 DSGVO — zulässig, weil unter der Verantwortung von Personen verarbeitet wird, die dem Berufsgeheimnis unterliegen.
Ihr Pflegesoftware-Anbieter ist in aller Regel Auftragsverarbeiter. Ohne Vertrag nach Art. 28 DSGVO fehlt die Grundlage — die Schriftform darf elektronisch erfüllt werden (Art. 28 Abs. 9 DSGVO).
Das Verzeichnis von Verarbeitungstätigkeiten ist Pflicht, auch bei zehn Beschäftigten: Die Ausnahme für Betriebe unter 250 Personen greift bei Gesundheitsdaten nicht (Art. 30 Abs. 5 DSGVO).
Neben der DSGVO steht § 203 StGB. Wer mitwirkende Personen — etwa IT-Dienstleister — nicht zur Geheimhaltung verpflichtet, macht sich nach § 203 Abs. 4 StGB selbst strafbar.
Nach einer Datenpanne bleiben 72 Stunden für die Meldung an die Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO). Diese Frist beginnt mit dem Bekanntwerden, nicht mit dem Abschluss der Aufklärung.
Abb. 1 — Der kritischste Ort für Klientendaten ist der Beifahrersitz: Gerätesperre, Verschlüsselung und Fernlöschung entscheiden hier über den Ernstfall. · vocare · Redaktionsbild 08/2026 Gesundheitsdaten gehören nach Art. 9 Abs. 1 DSGVO zu den besonderen Kategorien personenbezogener Daten; ihre Verarbeitung ist grundsätzlich untersagt. Für die Pflege macht Art. 9 Abs. 2 lit. h DSGVO davon eine Ausnahme: erlaubt ist die Verarbeitung unter anderem für die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich. Diese Ausnahme steht allerdings unter der Bedingung des Art. 9 Abs. 3 DSGVO — die Daten müssen von Fachpersonal oder unter dessen Verantwortung verarbeitet werden, das dem Berufsgeheimnis unterliegt.
Der Landesbeauftragte für den Datenschutz Baden-Württemberg ordnet die typischen Fälle in seinem FAQ zur Pflege so ein: Daten zur Durchführung des Vertrags stützen sich auf Art. 6 Abs. 1 lit. b in Verbindung mit Art. 9 Abs. 2 lit. h DSGVO, gesetzlich vorgeschriebene Dokumentation auf Art. 6 Abs. 1 lit. c in Verbindung mit Art. 9 Abs. 2 lit. h DSGVO und dem jeweiligen Fachrecht. Die Einwilligung bleibt für alles Übrige — für Fotos in der Weihnachtszeitung, für Angaben an Dritte ohne rechtliche Grundlage, für Marketing.
Diese Unterscheidung hat einen praktischen Nutzen: Ein Aufnahmebogen, der pauschal „Einwilligung in die Datenverarbeitung" abfragt, verschlechtert Ihre Position. Denn eine Einwilligung ist jederzeit widerrufbar — und die Dokumentation, zu der Sie verpflichtet sind, wollen Sie nicht von einem Widerruf abhängig machen.
Eine verwandte Frage taucht im Alltag noch häufiger auf: Wer darf Auskunft bekommen? Die Tochter am Telefon ist nicht automatisch auskunftsberechtigt, auch wenn sie den Vertrag mit unterschrieben hat. Maßgeblich sind Vollmacht oder Betreuung — was dabei rechtlich gilt, ordnet der Beitrag zu Vorsorgevollmacht und Betreuungsverfügung ein. Hinterlegen Sie den Nachweis in der Akte, statt ihn im Kopf zu haben.
Datenschutzverstöße in ambulanten Diensten entstehen selten durch Hackerangriffe. Sie entstehen an drei banalen Stellen.
Das Diensthandy. Es verlässt das Gebäude, es liegt im Auto, es geht verloren. Art. 32 Abs. 1 DSGVO nennt als Maßnahmen ausdrücklich Pseudonymisierung und Verschlüsselung sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherzustellen. Übersetzt heißt das für die Tour: Gerätevollverschlüsselung, Bildschirmsperre mit kurzem Timeout, keine lokale Ablage von Klientendaten außerhalb der Fachanwendung, und eine Möglichkeit, das Gerät aus der Ferne zu sperren und zu löschen. Wer diese vier Punkte nicht beantworten kann, hat kein Konzept, sondern eine Hoffnung.
Das Papier in der Wohnung. Die Dokumentationsmappe bei den Klientinnen ist Teil der Versorgung — und dort für Besuch, Handwerker und andere Dienste sichtbar. Klären Sie, welche Angaben tatsächlich in die Wohnung gehören und welche nicht. Namen anderer Klientinnen auf einem Tourenzettel gehören eindeutig nicht dazu.
Der Messenger. Das schnelle Foto einer Wunde in die private Gruppe, die Adressabsprache über einen kostenlosen Dienst: beides ist im Alltag verständlich und rechtlich nicht haltbar. Wenn es keinen freigegebenen Kanal gibt, entsteht ein inoffizieller — das ist keine Frage der Disziplin, sondern der Ausstattung.
Der häufigste organisatorische Fehler ist ein anderer und lässt sich in fünf Minuten prüfen: Was passiert mit dem Zugang, wenn jemand das Team verlässt? Deaktivierte Benutzerkonten am letzten Arbeitstag, eingesammelte Schlüssel und Geräte, geänderte gemeinsame Passwörter. Ein aktiver Zugang einer Person, die seit acht Monaten nicht mehr da ist, ist im Prüfungsfall schwer zu erklären.
Sobald ein externer Dienstleister auf Klientendaten zugreifen kann, sind Sie in der Auftragsverarbeitung. Die Datenschutzkonferenz zählt in ihrem Kurzpapier Nr. 13 dazu ausdrücklich das Outsourcing im Rahmen von Cloud-Computing sowie IT- und Fernwartung, sobald ein Zugriff auf personenbezogene Daten notwendig oder möglich ist; rein technische Infrastrukturleistungen ohne Datenzugriff fallen nicht darunter. Der Landesbeauftragte in Baden-Württemberg nennt für Pflegeeinrichtungen die Wartung der Einrichtungssoftware als typisches Beispiel.
Sie müssen dabei zwei Dinge tun: den Anbieter nach Art. 28 Abs. 1 DSGVO auf hinreichende Garantien prüfen und den Vertrag schließen. Was hineingehört, gibt Art. 28 Abs. 3 DSGVO vor:
Prüfliste für den Auftragsverarbeitungsvertrag 0 von 10 erledigt
Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen sind benannt. Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die eingesetzten Personen sind zur Vertraulichkeit verpflichtet. Die Maßnahmen nach Art. 32 DSGVO sind konkret beschrieben — nicht nur als Verweis auf ein Sicherheitskonzept. Unterauftragsverarbeiter sind geregelt; sie dürfen nur mit vorheriger schriftlicher Genehmigung eingesetzt werden (Art. 28 Abs. 2 DSGVO). Unterstützung bei Betroffenenrechten sowie bei den Pflichten aus Art. 32 bis 36 DSGVO ist zugesagt. Löschung oder Rückgabe der Daten nach Auftragsende ist geregelt — inklusive Backups. Nachweis- und Prüfrechte einschließlich Inspektionen sind vereinbart. Der Vertrag liegt schriftlich oder in elektronischem Format vor (Art. 28 Abs. 9 DSGVO). Der Dienstleister ist zusätzlich nach § 203 Abs. 4 StGB zur Geheimhaltung verpflichtet worden. Der letzte Punkt ist der, der am häufigsten fehlt — und der einzige mit strafrechtlicher Folge.
Für die Abrechnung gilt eine eigene Logik, die viele Dienste überrascht. § 302 Abs. 2 SGB V erlaubt Leistungserbringern ausdrücklich, zur Erfüllung ihrer Abrechnungspflichten Rechenzentren in Anspruch zu nehmen; § 105 Abs. 2 SGB XI erklärt diese Regelung für die Pflegeversicherung für entsprechend anwendbar. Eine gesonderte Einwilligung der Klientinnen und Klienten ist dafür nicht erforderlich. Der Preis dieser Erlaubnis ist eine strikte Zweckbindung: Die Rechenzentren dürfen die Daten nur für die im Sozialgesetzbuch bestimmten Zwecke und nur in einer darauf ausgerichteten Weise verarbeiten.
Genau dort verläuft die Grenze, an der Factoring-Angebote scheitern können. Der Bundesgerichtshof hat mit Urteil vom 6. Februar 2025 entschieden, dass die Abtretung von Forderungen an ein Rechenzentrum nichtig ist, sofern dem Rechenzentrum die Weiterabtretung an Dritte gestattet wird (Az. IX ZR 182/23). Wenn Ihnen also jemand sofortige Liquidität gegen Forderungsverkauf anbietet, ist die entscheidende Frage nicht der Prozentsatz, sondern: Was darf mit der Forderung und mit den Daten anschließend geschehen? Lassen Sie sich diesen Punkt im Vertrag zeigen, bevor Sie unterschreiben.
Die Schweigepflicht ist älter als die DSGVO und wirkt unabhängig von ihr. § 203 Abs. 1 StGB erfasst neben Ärztinnen und Apothekern die Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert; der Strafrahmen liegt bei Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Ob und in welchem Umfang die einzelnen Pflegeberufe im konkreten Fall unter diese Aufzählung fallen, ist eine juristische Einordnungsfrage, die Sie mit Ihrer Rechtsberatung klären sollten.
Für die Organisation entscheidender sind die folgenden Absätze. Nach § 203 Abs. 3 Satz 1 StGB liegt kein Offenbaren vor, wenn Geheimnisse gegenüber berufsmäßig tätigen Gehilfen zugänglich gemacht werden. Satz 2 erlaubt das Offenbaren gegenüber sonstigen mitwirkenden Personen, soweit dies für die Inanspruchnahme ihrer Tätigkeit erforderlich ist — das ist die Vorschrift, unter die IT- und Softwaredienstleister sowie deren Subunternehmer fallen.
Die Kehrseite steht in § 203 Abs. 4 StGB: Strafbar macht sich auch, wer eine mitwirkende Person **nicht zur Geheimhaltung verpflichtet** hat. Die schriftliche Verpflichtung Ihres Softwareanbieters, Ihres Abrechnungsdienstleisters und Ihrer IT-Betreuung ist damit keine Kür, sondern Ihre eigene Absicherung. Bei Entgeltlichkeit oder Bereicherungs- beziehungsweise Schädigungsabsicht erhöht sich der Strafrahmen nach § 203 Abs. 6 StGB auf bis zu zwei Jahre. ([§ 203 StGB](https://www.gesetze-im-internet.de/stgb/__203.html))
Das Verzeichnis von Verarbeitungstätigkeiten. Viele Leitungen verlassen sich auf die Ausnahme für kleine Betriebe. Sie greift hier nicht: Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Beschäftigten nur aus, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien nach Art. 9 Abs. 1 DSGVO betrifft. Pflegedokumentation erfüllt alle drei Ausschlussgründe gleichzeitig. Das Verzeichnis ist schriftlich oder elektronisch zu führen und der Aufsichtsbehörde auf Anfrage vorzulegen.
Der Datenschutzbeauftragte. § 38 Abs. 1 BDSG verlangt eine Benennung, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — in einem ambulanten Dienst also praktisch alle, die dokumentieren. Unabhängig von der Personenzahl gilt die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen. Hinzu kommt Art. 37 Abs. 1 lit. c DSGVO: Ein Datenschutzbeauftragter ist auf jeden Fall zu benennen, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht. (Achtung beim Nachlesen: Mehrere Behörden-FAQ zitieren an dieser Stelle noch lit. b — das ist die Überwachungs-Variante und hier nicht einschlägig.)
Die Datenschutz-Folgenabschätzung. Art. 35 Abs. 3 lit. b DSGVO nennt die umfangreiche Verarbeitung besonderer Datenkategorien ausdrücklich als Fall, in dem eine Folgenabschätzung erforderlich ist. In der Muss-Liste der deutschen Aufsichtsbehörden findet sich unter Nummer 3 die umfangreiche Verarbeitung von Daten, die dem Sozial-, einem Berufs- oder besonderen Amtsgeheimnis unterliegen, mit dem Einsatzfeld „Träger von großen sozialen Einrichtungen". Ein wörtlicher Eintrag „ambulanter Pflegedienst" existiert dort nicht, und die Liste ist ausdrücklich nicht abschließend — bewerten Sie den eigenen Fall deshalb dokumentiert, statt ihn stillschweigend zu verneinen.
Ein verlorenes Diensthandy, eine Mappe im Treppenhaus, eine Mail mit der Klientenliste an den falschen Verteiler: Art. 33 Abs. 1 DSGVO verlangt die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden — es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko. Erfolgt die Meldung später, ist die Verzögerung zu begründen. Unabhängig davon sind nach Art. 33 Abs. 5 DSGVO alle Verletzungen zu dokumentieren, auch die nicht gemeldeten.
Führt die Panne voraussichtlich zu einem hohen Risiko, kommt nach Art. 34 DSGVO die Benachrichtigung der betroffenen Personen hinzu. Und hier zeigt sich, warum Verschlüsselung mehr ist als eine technische Empfehlung: Art. 34 Abs. 3 lit. a DSGVO lässt die Benachrichtigung entfallen, wenn die betroffenen Daten durch geeignete Maßnahmen — ausdrücklich genannt ist Verschlüsselung — für Unbefugte unzugänglich sind. Das verschlüsselte Diensthandy ist damit im Ernstfall der Unterschied zwischen einem internen Vorgang und einem Brief an 40 Familien.
Praktisch brauchen Sie dafür genau zwei Dinge: eine Meldekette, die auch am Samstag um 19 Uhr funktioniert, und eine Vorlage, in der die Pflichtangaben schon stehen. Wer erst dann anfängt zu recherchieren, verbraucht die Frist mit Lesen.
Zur Aufbewahrung der Pflegedokumentation kursiert eine Zahl, die selten hinterfragt wird: zehn Jahre. Sie stammt aus § 630f Abs. 3 BGB, der für die Patientenakte eine Aufbewahrung von zehn Jahren nach Abschluss der Behandlung vorsieht — soweit nicht andere Vorschriften andere Fristen bestimmen. Diese Regelung knüpft an den Behandlungsvertrag über eine medizinische Behandlung an.
Ob ein ambulanter Pflegedienst mit reiner Grundpflege nach dem SGB XI darunter fällt, ist damit nicht automatisch beantwortet; bei der Behandlungspflege nach dem SGB V liegt die Nähe zur medizinischen Behandlung deutlich näher. Eine bundesgesetzliche Frist speziell für die Pflegedokumentation ambulanter Dienste ist nicht ersichtlich, und landesrechtliche Vorgaben können hinzukommen. Für die Buchführungsunterlagen gelten über § 6 der Pflege-Buchführungsverordnung die handelsrechtlichen Fristen der §§ 257, 261 HGB — das ist eine andere Frage als die Dokumentation.
Die belastbare Vorgehensweise ist deshalb: ein schriftliches Löschkonzept, das je Datenart eine begründete Frist festlegt, abgestimmt mit Ihrem Datenschutzbeauftragten und Ihrer Rechtsberatung — und nicht die pauschale Übernahme der Zehn-Jahres-Zahl aus einem Forumsbeitrag. Wie eine strukturierte Dokumentation überhaupt aussehen sollte, wenn mehrere Beteiligte zusammenwirken, zeigt der Beitrag zur Pflegedokumentation zu Hause .
Häufige Fragen zum Datenschutz im Pflegedienst Brauchen wir eine Einwilligung für die Pflegedokumentation? In der Regel nicht. Die Verarbeitung stützt sich auf Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit Art. 9 Abs. 3 DSGVO und der jeweiligen vertraglichen oder gesetzlichen Grundlage. Eine Einwilligung ist für alles darüber hinaus nötig — etwa Fotos für die Öffentlichkeitsarbeit. Eine pauschale Einwilligung schwächt die Position sogar, weil sie jederzeit widerrufen werden kann.
Ist unser Softwareanbieter Auftragsverarbeiter? Wenn er auf Klientendaten zugreifen kann — durch Betrieb, Support oder Fernwartung — dann ja. Die Datenschutzkonferenz nennt Cloud-Computing sowie IT- und Fernwartung mit Zugriffsmöglichkeit als typische Fälle der Auftragsverarbeitung. Erforderlich sind dann eine Eignungsprüfung nach Art. 28 Abs. 1 DSGVO und ein Vertrag nach Art. 28 Abs. 3 DSGVO.
Ab wann brauchen wir einen Datenschutzbeauftragten? Nach § 38 Abs. 1 BDSG, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind — unabhängig davon bereits dann, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen. Zusätzlich greift Art. 37 Abs. 1 lit. c DSGVO, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht.
Dürfen Pflegekräfte WhatsApp für dienstliche Absprachen nutzen? Für Klientendaten ist ein Kanal erforderlich, der die Anforderungen des Art. 32 DSGVO erfüllt und vertraglich abgesichert ist; ein privat genutzter Messenger erfüllt das regelmäßig nicht. Wichtiger als das Verbot ist die Bereitstellung einer praktikablen Alternative — sonst entsteht der inoffizielle Kanal von selbst.
Was ist bei einem verlorenen Diensthandy zu tun? Vorgang sofort intern melden, Gerät sperren und aus der Ferne löschen, den Sachverhalt dokumentieren und prüfen, ob eine Meldung nach Art. 33 DSGVO erforderlich ist — die Frist beträgt möglichst 72 Stunden ab Bekanntwerden. War das Gerät wirksam verschlüsselt, kann die Benachrichtigung der Betroffenen nach Art. 34 Abs. 3 lit. a DSGVO entfallen.
Wie lange müssen wir die Pflegedokumentation aufbewahren? Eine eindeutige bundesgesetzliche Frist speziell für die ambulante Pflegedokumentation ist nicht ersichtlich. Die verbreitete Zehn-Jahres-Angabe stammt aus § 630f Abs. 3 BGB zur Patientenakte, dessen Anwendbarkeit auf reine Grundpflege nicht ohne Weiteres feststeht. Legen Sie die Fristen in einem Löschkonzept fest und stimmen Sie es mit Ihrer Rechtsberatung ab.
Datenschutz im ambulanten Dienst entscheidet sich an drei Punkten, die alle organisatorisch sind: einem verschlüsselten Diensthandy mit Fernlöschung, einem vollständigen Auftragsverarbeitungsvertrag samt Verpflichtung nach § 203 Abs. 4 StGB und einer Meldekette, die auch am Wochenende funktioniert. Alles Weitere — Verzeichnis, Folgenabschätzung, Löschkonzept — ist Dokumentation dessen, was Sie ohnehin entschieden haben sollten.
Auch Beschwerdevorgänge enthalten personenbezogene und oft gesundheitsbezogene Angaben. Wie ein Verfahren dafür aufgebaut wird, steht im Beitrag zum Beschwerdemanagement im ambulanten Pflegedienst .
Stand: August 2026. Dieser Beitrag gibt den Rechtsrahmen wieder und ersetzt keine Rechtsberatung. Für die Bewertung Ihres konkreten Falls sind Ihre Datenschutzbeauftragten, die zuständige Landesdatenschutzbehörde und gegebenenfalls anwaltliche Beratung zuständig.
Unterlagen der häuslichen Versorgung strukturiert an einem Ort
[vocare](https://vocare.health/blog/vocare-plattform-haeusliche-pflege-organisieren) bündelt Dokumente, Termine und Ansprüche der häuslichen Pflege — statt sie über Mappen, Mails und Chats zu verteilen. Fragen? Schreiben Sie an info@vocare.health.
Auf die Warteliste Wissen für Pflegedienst-Betreiber
Praxisnahe Tipps zur Pflege und neue Hilfsmittel — einmal im Monat in dein Postfach.
Themen: Datenschutz · DSGVO · Auftragsverarbeitung · Schweigepflicht · § 203 StGB · Mobile Geräte · Ambulante Pflege
Pfad: Startseite › Blog › Pflegesoftware › Datenschutz im ambulanten Pflegedienst
