DSGVO im Betreuungsdienst 2026: Was wirklich kritisch ist

Die drei häufigsten Verstöße

Verstoß 1: WhatsApp im Team

"Frau Müller hat heute wieder Schmerzen" in der Team-Gruppe ist ein Datenschutzverstoß ersten Grades. Gesundheitsdaten gehen über kommerziellen Messenger an US-Server.

Lösung: DSGVO-konformer Messenger (z.B. interner Chat in Pflegesoftware) oder Threema Work / Wire.

Verstoß 2: Privater Drucker für Leistungsnachweise

Mitarbeiter druckt zu Hause aus → Daten verlassen das Unternehmen ungesichert. Selbst wenn das Papier später verbrannt wird: in der Druckerwarteschlange, Cache, eventuell bei Familienmitgliedern sichtbar.

Lösung: Digitale Unterschrift im Klienten-Tablet oder zentraler Druck nur im Büro.

Verstoß 3: Unverschlüsselte E-Mails an Pflegekassen

Diagnose-Daten per Standard-E-Mail = Datenschutz-Stolperfalle. Auch wenn die Pflegekasse selbst nichts sagt, bei einer Kontrolle wird das negativ bewertet.

Lösung: Verschlüsselter Datenaustausch via §105 SGB XI (elektronischer Datenaustausch mit der Pflegekasse) oder S/MIME-Verschlüsselung.

Welche Dokumente braucht ein Betreuungsdienst?

1. Datenschutzerklärung für Klienten (vor Vertragsunterzeichnung)
2. Verarbeitungsverzeichnis nach Art. 30 DSGVO
3. Auftragsverarbeitungsvertrag (AVV) mit jeder Software/jedem Cloud-Anbieter
4. Datenschutzfolgenabschätzung bei automatisierten Entscheidungen
5. Schulungsnachweise aller Mitarbeiter, jährlich!

Datenschutzbeauftragter: Pflicht ab wann?

§38 Abs. 1 BDSG: ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Mitarbeiterzahl gilt die Bestellpflicht nach Art. 37 Abs. 1 Buchst. c DSGVO zusätzlich immer dann, wenn die Kerntätigkeit in der umfangreichen Verarbeitung von Gesundheitsdaten nach Art. 9 DSGVO besteht, im Betreuungsdienst also je nach Klientenzahl auch unterhalb von 20 Mitarbeitern möglich.

Die Kosten eines externen DSB hängen von Anbieter und Umfang ab, ein Vergleich mehrerer Angebote lohnt sich.

Rechtsquellen

• Art. 9 DSGVO: Verarbeitung besonderer Kategorien personenbezogener Daten (u.a. Gesundheitsdaten)
• Art. 30 DSGVO: Verzeichnis von Verarbeitungstätigkeiten
• Art. 37 DSGVO: Benennung eines Datenschutzbeauftragten
• § 38 BDSG: Datenschutzbeauftragte nichtöffentlicher Stellen (20-Personen-Schwelle)
• § 105 SGB XI: Abrechnung pflegerischer Leistungen, elektronischer Datenaustausch mit der Pflegekasse

Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Rechtsstand: August 2026. Verbindliche Auskünfte erteilen die zuständige Pflegekasse bzw. eine Rechts- oder Steuerberatung.