Pflegeeinrichtungen und ambulante Dienste arbeiten regelmäßig mit externen Dienstleistern: IT-Dienstleister, Softwareanbieter, Lohnabrechner oder Hosting-Provider. Häufig haben diese Anbieter direkten oder indirekten Zugriff auf personenbezogene Daten von Pflegebedürftigen oder Mitarbeitenden. Hier ist ein rechtssicherer Auftragsverarbeitungsvertrag (AV-Vertrag) unerlässlich, um Datenschutzverstöße zu verhindern und Haftungsrisiken zu minimieren.
Rechtliche Einordnung
Nach Art. 4 Nr. 8 Datenschutz-Grundverordnung (DSGVO) ist Auftragsverarbeitung die Datenverarbeitung durch einen externen Dienstleister im Auftrag und nach Weisung der Einrichtung. Sie als Verantwortliche bleiben dabei datenschutzrechtlich voll verantwortlich. Ein AV-Vertrag ist gemäß Art. 28 DSGVO verpflichtend, wenn personenbezogene Daten durch Dritte verarbeitet werden. Ohne diesen drohen Bußgelder und rechtliche Risiken für Ihre Einrichtung oder Ihren Pflegedienst. Prüfen Sie anhand der folgenden Checkliste, ob der von Ihnen geplante oder bereits bestehende AV-Vertrag den gesetzlichen Anforderungen entspricht.
| Checkliste: Das muss in einem AV-Vertrag stehen | |
| OK? | |
| Benennen Sie klar beide Vertragsparteien: Ihre Einrichtung als Verantwortliche und den externen Dienstleister als Auftragsverarbeiter. | r |
| Beschreiben Sie den konkreten Zweck der Datenverarbeitung, z. B. für Pflegeplanung, Lohnabrechnung oder IT‑Support. | r |
| Halten Sie die Art der Daten, die von dem Dienstleister verarbeitet werden sollen, und die betroffenen Personenkategorien fest – etwa Gesundheitsdaten, Adressen oder Beschäftigtendaten. | r |
| Legen Sie den Beginn, die Dauer sowie Regelungen zur Verlängerung oder Kündigung des Vertrags verbindlich fest. | r |
| Stellen Sie sicher, dass der Dienstleister ausschließlich auf Ihre dokumentierte Weisung hin tätig wird. | r |
| Vereinbaren Sie eine strikte Verschwiegenheitspflicht für Mitarbeitende des Dienstleisters. | r |
| Verlangen Sie eine schriftliche Darstellung der technischen und organisatorischen Schutzmaßnahmen nach Art. 32 DSGVO und prüfen Sie, ob diese die von Ihnen an den Dienstleister übermittelten Daten hinreichend schützen. | r |
| Regeln Sie die Bedingungen, unter denen Subunternehmer eingesetzt werden dürfen, und sichern Sie sich ein Kontroll- oder Widerspruchsrecht. | r |
| Legen Sie fest, dass der Dienstleister Sie bei Anfragen zur Auskunft, Berichtigung oder Löschung von Daten aktiv unterstützen muss. | r |
| Sichern Sie sich das Recht auf Kontrolle und Audit beim Dienstleister, um die Einhaltung der Vereinbarungen zu überprüfen. | r |
| Vereinbaren Sie klar, wie mit den Daten nach Vertragsende umzugehen ist – z. B. Rückgabe oder vollständige Löschung innerhalb eines bestimmten Zeitraums. | r |
| Definieren Sie eine klare Haftungsregelung für den Fall von Datenschutzverstößen oder Datenverlust. Beziehen Sie hierfür Ihren Datenschutzbeauftragten auf. | r |
| Auswertung: Wenn Sie diese Punkte alle abhaken konnten, ist Ihr AV-Vertrag rechtlich einwandfrei. Wenn Sie einzelne Punkte nicht ankreuzen konnten, sollten Sie nachverhandeln oder den Vertrag nicht abschließen. | |
Testen Sie jetzt „PflegeVorsprung“ und