Aus Fehlern machen Sie Sicherheit: 8 QM-Stolperfallen im Datenschutz

Sie haben geplant, Risiken bewertet, Mitarbeitende geschult und Ihren Datenschutz einem Praxischeck unterzogen. Und trotzdem finden Sie offene Bildschirme, überholte Zugriffsrechte oder eine Pflegekraft, die ein Wundfoto auf dem privaten Smartphone gespeichert hat? Gut so – jedenfalls, wenn Sie jetzt etwas daraus machen. Hier sind 8 Stolperfallen, bei denen sich ein 2. Blick lohnt.

1. „Wir haben doch eine Regelung!“ Die Dienstanweisung ist vorhanden, aber im Rundgang zeigt sich: Im Alltag funktioniert sie nicht. Dann brauchen Sie nicht automatisch eine neue Dienstanweisung. Fragen Sie 5mal wieso. Vielleicht ist die bestehende Regel unbekannt, zu kompliziert, im Arbeitsalltag unrealistisch. Schulen Sie nicht vorschnell nach, sondern betreiben Sie Ursachenforschung, um die beste Maßnahme umsetzen zu können.
2. Alle haben Zugriff – weil es praktisch ist. Mitarbeitende wechseln Wohnbereiche, Touren oder Funktionen. Berechtigungen wachsen – werden aber selten wieder reduziert. Führen Sie regelmäßige Berechtigungschecks ein: Braucht diese Person diesen Zugriff heute noch für ihre Aufgabe?
3. Ambulantunterwegs–Datenschutzfährt mit. In der ambulanten Pflege entstehen besondere Situationen: Diensthandys und Tablets werden im Auto transportiert, Tourenlisten sind mobil verfügbar, die Dokumentation erfolgt beim Pflegekunden und Mitarbeitende arbeiten häufig allein. Der Datenschutzcheck sollte deshalb nicht an der Bürotür enden. Prüfen Sie beispielsweise:
   • Sind Tablets und Smartphones im Fahrzeug ausreichend geschützt?
   • Was passiert bei Verlust oder Diebstahl?
   • Sind Touren oder Bewohnerinformationen von außen sichtbar?
   • Wie erfolgt die Dokumentation unterwegs?
   • Welche Unterlagen werden mitgeführt?
   • Wie werden Papierunterlagen zurücktransportiert und entsorgt?
   1. Können andere Personen beim Pflegekunden Informationen auf dem Bildschirm mitlesen?
4. „Das machen wir schnell über WhatsApp …“ Je mobiler die Pflege wird, desto größer die Versuchung, den schnellsten Kommunikationsweg zu wählen. Genau deshalb sollten Sie nicht nur sagen, was verboten ist, sondern einen praktikablen sicheren Weg anbieten. Prüfen Sie: Haben unsere Mitarbeitenden für jede notwendige Kommunikation auch einen freigegebenen Kommunikationsweg? Wenn die sichere Lösung im Alltag 10mal umständlicher ist als die unsichere, haben Sie ein Prozessproblem.
   • Hinweis: Private Messenger sind schnell und praktisch – für sensible Pflege und Gesundheitsdaten aber nicht der richtige Kommunikationsweg. Wundfotos, Diagnosen, Informationen über Stürze und Medikamente, Screenshots aus der Pflegedokumentation sowie Tourenpläne mit Namen und Adressen haben darin nichts zu suchen.
5. KI ist plötzlich da – obwohl niemand sie eingeführt hat. KI kommt nicht immer als offizielles Digitalisierungsprojekt. Eine Pflegekraft lässt einen Text sprachlich verbessern. Eine Führungskraft formuliert eine Stellungnahme. Jemand erstellt mit einem Chatbot eine Pflegeplanung. Und plötzlich stellt sich die Frage: „Welche Daten wurden dort eigentlich eingegeben“? Gerade bei KI muss Datenschutz von Anfang an mitgedacht werden. Warten Sie nicht darauf, dass Mitarbeitende selbst Regeln erfinden. Eine klare KI-Regel ist 2026 Bestandteil eines zeitgemäßen Datenschutzmanagements. Legen Sie fest:
   • Welche KI-Anwendungen sind freigegeben?
   • Für welche Zwecke dürfen sie genutzt werden?
   • Welche personenbezogenen Daten dürfen eingegeben werden?
   • Welche Daten sind tabu?
   • Müssen Daten anonymisiert werden?
   • Wer prüft KI-generierte Ergebnisse?
   • Wer gibt neue KI-Anwendungen frei?
6. Der/die Datenschutzbeauftragte wird erst ganz am Ende gefragt. Neue Pflegesoftware ausgesucht, Vertrag vorbereitet, Einführung geplant – und kurz vor dem Start heißt es: „Wir müssten vielleicht noch den Datenschutz fragen.“ Zu spät ist das zwar nicht zwingend – aber unnötig schwierig. Bauen Sie einen Datenschutz-Check in Ihren Beschaffungs- und Änderungsprozess ein. Bei neuer Software, Cloud-Lösungen, Apps, KI oder digitalen Dokumentationsverfahren sollte frühzeitig geklärt werden: „Welche Daten? Welcher Zweck? Welcher Anbieter? Welche Zugriffe? Welche Risiken? Auftragsverarbeitung? Drittlandbezug? Datenschutz-Folgenabschätzung erforderlich?“
7. Der gleiche Fehler passiert zum 3. Mal. 3mal eine E-Mail an den falschen Empfänger? Mehrfach offene Bildschirme? Wiederholt private Smartphones? Dann handelt es sich nicht mehr nur um einen Einzelfall. Beobachten Sie Muster. Fragen Sie bei wiederkehrenden Abweichungen: „Was sagt uns dieser Fehler über unser System?“ Wiederholungsfehler gehören ins Risikomanagement.
8. „Erledigt“ wird mit „wirksam“ verwechselt. Neue Regel oder Dienstanweisung geschrieben? Erledigt. Schulung durchgeführt? Erledigt. Dienstgeräte beschafft? Erledigt. Aus QM-Sicht fehlt aber noch eine entscheidende Frage: „Hat sich dadurch das Risiko tatsächlich reduziert?“ Das überprüfen Sie z.B. über Audits, Pflegevisiten oder im Dialog mit externen Prüfern, die Verstöße rückmelden.

Mein Fazit: Datenschutz muss nicht kompliziert sein

Entscheidend für wirksamen Datenschutz ist, dass klare Regeln im Pflegealltag auch funktionieren. Der PDCA-Zyklus hilft dabei: Risiken erkennen, Maßnahmen umsetzen, Wirksamkeit prüfen und konsequent nachbessern. Denn am Ende geht es nicht um perfekte Datenschutzordner, sondern um den verantwortungsvollen Umgang mit den Informationen, die uns Menschen anvertrauen.