Datenschutz im Krankenhaus betrifft den gesamten Behandlungsablauf: Aufnahme, Diagnostik, Pflege, Abrechnung, Entlassung und spätere Auskünfte. Patientendaten müssen dort verfügbar sein, wo sie benötigt werden, und zugleich vor unberechtigter Einsicht, falscher Zuordnung oder zweckfremder Nutzung geschützt werden. Dass eine Information für die Versorgung wichtig ist, erlaubt noch keinen beliebigen Zugriff durch alle Beschäftigten oder angeschlossenen Dienstleister.
Entscheidend sind der konkrete Zweck, der Einrichtungsträger und die jeweilige Verarbeitung. DSGVO, anwendbares Bundes- oder Landesrecht, Sozialrecht und berufliche Verschwiegenheit greifen ineinander. Nicht jede Vorschrift gilt für jede Pflegeeinrichtung genauso wie für ein zugelassenes Krankenhaus. Dieser Leitfaden zeigt die wesentlichen Prüfschritte für die institutionelle Versorgung; spezielle Abläufe erläutern ergänzend die Beiträge zu ambulanten Pflegediensten und zur Arztpraxis.
Rechtsrahmen nach Träger und Aufgabe bestimmen
Ermitteln Sie zuerst, welche Stelle für die betreffende Verarbeitung verantwortlich ist. Eine Klinikgesellschaft, ein öffentlicher Krankenhausträger und ein externer Laboranbieter können unterschiedliche Aufgaben und Verantwortlichkeiten haben. Die Nutzung einer gemeinsamen Software beantwortet diese Frage nicht. Dokumentieren Sie, wer über Behandlungsorganisation, Datennutzung und Weitergabe entscheidet und welche Leistungen tatsächlich im Auftrag erbracht werden.
Das BDSG ist nicht unterschiedslos die einzige deutsche Ergänzung der DSGVO. Bei öffentlichen Einrichtungen sind sein Anwendungsbereich und einschlägiges Landesrecht zu beachten; Krankenhausgesetze können zusätzliche Vorgaben enthalten. Für kirchliche Einrichtungen können die Voraussetzungen besonderer Datenschutzregelungen und eigener Aufsicht relevant sein. Auch die sozialrechtlichen Vorschriften unterscheiden sich nach Aufgabe und Leistungserbringer. Eine Rechtsgrundlagenliste muss diese Einordnung abbilden, statt sämtliche Normen pauschal als kumulativ anwendbar zu bezeichnen.
Gesundheitsdaten unterliegen grundsätzlich Art. 9 DSGVO. Für eine zulässige Verarbeitung benötigen Sie eine passende Ausnahme von diesem Verbot und eine tragfähige Grundlage nach Art. 6. Die Einordnung der Rechtsgrundlagen hilft, Vertrag, gesetzliche Pflicht und öffentliche Aufgabe auseinanderzuhalten. Art. 6 Abs. 1 Buchst. b setzt insbesondere die erforderliche Verbindung zur betroffenen Vertragspartei voraus; er trägt nicht automatisch jede Information über Angehörige oder Beschäftigte.
Behandlung, Abrechnung und zusätzliche Zwecke trennen
Für medizinische Versorgung und Behandlung ist Art. 9 Abs. 2 Buchst. h eine zentrale Vorschrift, verbunden mit den dort genannten rechtlichen Voraussetzungen und der Geheimhaltung nach Abs. 3. Soweit anwendbar, konkretisiert § 22 BDSG bestimmte Verarbeitungen im Gesundheits- und Sozialbereich. Die Norm verlangt Erforderlichkeit und enthält Voraussetzungen zur Verarbeitung durch entsprechend verpflichtete Personen oder unter deren Verantwortung.
Die Abrechnung ist gesondert zu prüfen. Ein Kostenträger benötigt nicht zwangsläufig denselben Informationsumfang wie das Behandlungsteam. Klären Sie die konkrete Übermittlungspflicht oder Erlaubnis und beschränken Sie die Daten entsprechend. Ein berechtigter Abrechnungszweck ist keine allgemeine Erlaubnis, sämtliche klinischen Notizen in einen Verwaltungsprozess zu übernehmen. Der Datenfluss sollte auch erkennen lassen, welche Rückfragen intern bearbeitet werden müssen.
Zusätzliche Zwecke wie Werbung, nicht notwendige Serviceangebote oder Forschung brauchen eine eigene Bewertung. Eine Behandlungseinwilligung ist nicht automatisch eine datenschutzrechtliche Einwilligung für alle weiteren Nutzungen. Wird eine ausdrückliche Einwilligung für Gesundheitsdaten benötigt, sind Freiwilligkeit, Bestimmtheit, Information und Widerruf zu berücksichtigen. Die notwendige Versorgung darf nicht unangemessen davon abhängig gemacht werden, dass Patienten in sachfremde Verarbeitungen einwilligen.
Trennen Sie außerdem Patientendaten von Beschäftigtendaten. Arbeitsmedizinische Unterlagen, Personalverwaltung und die gewöhnliche Dokumentation einer Behandlung haben unterschiedliche Zwecke und Zugriffsberechtigungen. Werden Mitarbeitende selbst Patienten der Einrichtung, darf ihre Akte nicht allein wegen des Arbeitsverhältnisses für Personalverantwortliche offenstehen. Die organisatorische Nähe rechtfertigt keine zusätzliche Einsicht.
Schweigepflicht und datenschutzrechtliche Erlaubnis
§ 203 StGB schützt fremde Geheimnisse, die den dort genannten Berufsgruppen und weiteren verpflichteten Personen bekannt werden. Er erfasst mehr als eine Datenbank mit Diagnosen. Auch die Tatsache eines Behandlungsverhältnisses kann geheimhaltungsbedürftig sein. Die datenschutzrechtliche Zulässigkeit einer Verarbeitung und die Befugnis zur Offenbarung eines Geheimnisses sind daher sorgfältig aufeinander abzustimmen.
Die Regelung unterscheidet berufsmäßige Gehilfen von sonstigen mitwirkenden Personen. Für sonstige Mitwirkende erlaubt Abs. 3 Offenbarungen nur, soweit dies für die Inanspruchnahme ihrer Tätigkeit erforderlich ist. Abs. 4 enthält eigene Strafbarkeitsregeln und Anforderungen an die Sorge für Geheimhaltungsverpflichtungen. Daraus folgt weder eine pauschale Freigabe sämtlicher Dienstleisterzugriffe noch die Aussage, jeder fehlende Vertrag führe ohne weitere Voraussetzungen automatisch zu einer Straftat.
Übertragen Sie diese Abgrenzung in Arbeitsabläufe. Bei telefonischen Anfragen von Angehörigen muss geklärt werden, wer anfragt und auf welcher Grundlage Auskunft erteilt werden darf. Ein bekannter Nachname oder die Behauptung, man sei ein Familienmitglied, genügt dafür nicht. Ebenso benötigt ein Transportdienst regelmäßig nur die für seine Aufgabe erforderlichen Informationen, nicht automatisch den vollständigen Entlassungsbericht.
Zugriffsrechte im Krankenhausinformationssystem
Ein brauchbares Berechtigungskonzept verbindet Funktion und tatsächliche Aufgabe. Ärztlicher Dienst, Pflege, Therapie, Abrechnung und technischer Support haben unterschiedliche Informationsbedürfnisse. Ein konkreter Behandlungsbezug ist häufig wichtig, aber nicht der einzige denkbare rechtmäßige Anlass: Auch zulässige Abrechnung, Qualitätssicherung oder rechtlich erforderliche Archivverwaltung können begrenzten Zugriff benötigen. Maßgeblich ist jeweils der nachgewiesene Aufgabenbezug.
Unterscheiden Sie Lesen, Ändern, Exportieren und Administrieren. Eine Person, die Werte dokumentieren muss, braucht nicht zwingend sämtliche Datenbestände herunterladen zu können. Prüfen Sie auch stationsübergreifende Rechte, Vertretungen und befristete Einsätze. Das Berechtigungskonzept muss im System wirksam umgesetzt werden; eine schriftliche Rollenliste schützt nicht vor einem technisch weiterhin offenen Zugriff.
Für Notfälle kann ein besonders geregelter Ausnahmezugriff notwendig sein. Legen Sie Voraussetzungen, Begründung und nachträgliche Kontrolle fest, ohne die Versorgung unangemessen zu verzögern. Gleichzeitig darf ein leicht erreichbarer Notfallknopf nicht zum normalen Weg werden, Rollenbegrenzungen zu umgehen. Auffällige Nutzung muss bewertet werden können, und Beschäftigte müssen den vorgesehenen Ablauf kennen.
Protokolle können helfen, unberechtigte Einsicht aufzuklären. Entscheiden Sie, welche Ereignisse erfasst werden, wer sie auswerten darf und wie lange die Informationen benötigt werden. Protokollierung ist selbst eine Verarbeitung und keine Erlaubnis für unbegrenzte Beschäftigtenüberwachung. Stellenwechsel, Austritt und externe Projektenden sollten einen nachvollziehbaren Entzug nicht mehr erforderlicher Rechte auslösen.
Geeignete Schutzmaßnahmen statt einer unveränderten Standardliste
Art. 32 verlangt ein dem Risiko angemessenes Schutzniveau. Vertraulichkeit ist nur ein Teil davon; Integrität, Verfügbarkeit und Belastbarkeit sind im Versorgungsalltag ebenfalls wesentlich. Ein falscher Befund oder eine nicht erreichbare Dokumentation kann Menschen beeinträchtigen, auch ohne nachgewiesenen Datenabfluss. Die Sicherheitsanforderungen nach Art. 32 sind deshalb auf konkrete Ausfallszenarien und Arbeitsweisen zu beziehen.
§ 22 Abs. 2 BDSG verlangt in seinem Anwendungsbereich angemessene und spezifische Schutzmaßnahmen und nennt mögliche Beispiele. Nicht jeder Punkt dieser Liste ist für jede Verarbeitung automatisch ein identisches Pflichtprogramm. Wählen und begründen Sie geeignete Maßnahmen wie Zugangsbeschränkungen, Pseudonymisierung, Verschlüsselung, Sensibilisierung oder Wirksamkeitskontrollen. Ein organisatorisch unmögliches Schutzversprechen schafft keine verlässliche Sicherheit.
Betrachten Sie gemeinsam digitale und analoge Wege. Ausdrucke am Stationsdrucker, beschriftete Unterlagen auf einem Transportwagen und Gespräche in öffentlich zugänglichen Bereichen können Informationen offenlegen. Praktische Maßnahmen müssen zu Schichtbetrieb und Versorgung passen. Sichere Ablage, klar zugeordnete Druckaufträge und geeignete Gesprächsorte sind häufig unmittelbar wirksamer als eine weitere allgemeine Vertraulichkeitspräsentation ohne Bezug zum Arbeitsplatz.
Dienstleister und Cloud getrennt prüfen
Bei ausgelagertem Hosting oder Fernwartung ist zunächst die tatsächliche Rolle festzustellen. Liegt Auftragsverarbeitung vor, verlangt Art. 28 einen schriftlichen, auch elektronisch möglichen Vertrag oder einen anderen nach Unions- oder Mitgliedstaatenrecht bindenden Rechtsakt. Die Vorbereitung eines Auftragsverarbeitungsvertrags hilft bei der Struktur. Daneben sind Geheimnisschutz, einschlägige Sondervorschriften und die konkreten technischen Zugriffe zu beurteilen.
Ermitteln Sie, ob der Anbieter Diagnosen sehen kann, wie Supportzugriffe freigegeben werden und welche weiteren Stellen beteiligt sind. Ein Vertrag mit einer deutschen Gesellschaft beweist keinen ausschließlich inländischen Betrieb. Umgekehrt folgt aus der DSGVO keine allgemeine Regel, nach der jeder zulässige Dienstleister seinen gesamten Geschäftsbetrieb in der EU haben müsste. Maßgeblich sind die jeweils anwendbaren Anforderungen und tatsächlichen Datenflüsse.
Für den erfassten Gesundheitsbereich enthält § 393 SGB V besondere Cloud-Regeln. Sein persönlicher Anwendungsbereich umfasst unter anderem Leistungserbringer im Sinne des Vierten Kapitels, Kranken- und Pflegekassen sowie ihre jeweiligen Auftragsdatenverarbeiter. Die Norm begrenzt mögliche Verarbeitungsorte, verlangt eine inländische Niederlassung der datenverarbeitenden Stelle und stellt zusätzliche Sicherheitsanforderungen. Diese Sonderregel ist von allgemeinen Cloud-Empfehlungen zu unterscheiden.
Nach § 393 ist grundsätzlich ein aktuelles C5-Testat für die betreffenden Systeme und Technik erforderlich; korrespondierende Kundenkriterien des Berichts müssen umgesetzt werden. Seit Juli 2025 ist grundsätzlich Typ 2 maßgeblich, wobei die aktuelle Norm unter anderem eine zeitlich begrenzte Typ-1-Regel für erstmals in Verkehr gebrachte Systeme sowie eine Alternative für vergleichbare oder höhere Standards enthält. Prüfen Sie deren konkrete Voraussetzungen. „C5-zertifizierte EU-Cloud“ ist dafür keine ausreichend genaue Beschaffungsanforderung.
Der Leitfaden zu BSI C5 hilft bei der Einordnung des Nachweises. Entscheidend ist, ob der Bericht die bezogene Leistung abdeckt und welche Aufgaben der Kunde selbst erfüllen muss. Ein Testat ersetzt weder die Rechtsgrundlage noch die berufliche Geheimhaltung oder die Prüfung internationaler Übermittlungen. Dokumentieren Sie offene Punkte vor dem Einsatz und klären Sie, welche davon eine Freigabe verhindern.
ePA und eigene Behandlungsakte auseinanderhalten
Die elektronische Patientenakte in der Telematikinfrastruktur ist nicht mit der lokalen Behandlungsakte gleichzusetzen. Das Opt-out-Modell bedeutet nicht, dass Versicherte gegen ihren erklärten Widerspruch jede Nutzung dulden müssen. Leistungserbringer müssen die jeweiligen Zugriffs- und Widerspruchsregeln beachten. Zugleich bestehen eigene Dokumentationspflichten fort; eine fehlende Information in der ePA beweist nicht, dass sie in der lokalen Behandlung nie erhoben wurde.
Für zugelassene Krankenhäuser regelt § 348 SGB V die Übertragung bestimmter Behandlungsdaten. Die einzelnen Pflichten sind an Voraussetzungen gebunden, etwa an die konkrete Behandlung, elektronische Verarbeitung, vorgesehene Anwendungsfälle und nicht erklärte Widersprüche. Die Vorschrift verlangt keine unterschiedslose vollständige Kopie sämtlicher interner Altakten bei jedem Kontakt. Auf Verlangen können weitere gesetzlich beschriebene Daten hinzukommen.
Besondere Regeln gelten unter anderem für genetische Untersuchungen sowie Daten, deren Bekanntwerden zu Diskriminierung oder Stigmatisierung führen kann. Die gesetzlichen Informations-, Einwilligungs- und Widerspruchsvorgaben sind im jeweiligen Fall umzusetzen und gegebenenfalls nachprüfbar zu dokumentieren. § 348 enthält außerdem Ausnahmen etwa für erhebliche therapeutische Gründe, erhebliche Rechte Dritter und bestimmte Gefährdungen des Kindeswohls. Eine technische Standardschnittstelle darf diese Entscheidungen nicht übergehen.
Organisieren Sie deshalb, wer in der Behandlung informiert, wie ein Widerspruch im System abgebildet wird und wie spätere Korrekturen an der richtigen Stelle ankommen. Die Übergabe zwischen medizinischem Personal, Verwaltung und IT muss funktionieren. Ein allgemeiner Hinweis am Empfang ersetzt nicht jede gesetzlich erforderliche Information zur konkreten Datenübertragung. Pflegeeinrichtungen müssen ihre jeweiligen Aufgaben gesondert bestimmen, statt Krankenhauspflichten ungeprüft zu übernehmen.
Dokumentation und unterschiedliche Aufbewahrungsfristen
§ 630f BGB verlangt eine zeitnahe Behandlungsdokumentation und grundsätzlich zehn Jahre Aufbewahrung nach Abschluss der Behandlung, soweit andere Vorschriften keine anderen Fristen vorsehen. Änderungen müssen den ursprünglichen Inhalt und ihren Zeitpunkt erkennbar lassen. Ein fehlerhafter Eintrag wird deshalb nicht einfach spurlos überschrieben. Fachliche Berichtigung und nachvollziehbare Dokumentationsgeschichte müssen zusammenpassen.
Für Anwendungen ionisierender Strahlung enthält § 85 StrlSchG besondere Regeln. Bei Behandlungen beträgt die dortige Frist dreißig Jahre; bei Untersuchungen Volljähriger zehn Jahre, bei Minderjährigen bis zur Vollendung des achtundzwanzigsten Lebensjahres. Diese Vorgaben betreffen die dort genannten Aufzeichnungen und Bild- beziehungsweise Untersuchungsdaten. Sie sind keine allgemeine Dreißigjahresfrist für jede Krankenhausunterlage oder jede Kinderakte.
Ordnen Sie Dokumentarten den tatsächlich anwendbaren Fristen und Fristbeginnen zu. Abrechnungsunterlagen, klinische Dokumentation und vorübergehende Organisationslisten können unterschiedlich zu behandeln sein. Ein Löschkonzept mit konkreten Regeln muss außerdem Exporte, Altsysteme und Dienstleisterkopien berücksichtigen. Das Ende einer gesetzlichen Mindestaufbewahrung bedeutet nicht ohne weitere Prüfung, dass keine andere rechtmäßige Erforderlichkeit mehr bestehen kann; umgekehrt rechtfertigt eine unbestimmte Haftungsangst keine dauerhafte Vollarchivierung.
Einsicht, Auskunft und sichere Herausgabe
Das aktuelle Einsichtsrecht nach § 630g BGB umfasst unverzügliche Einsicht in die vollständige betreffende Behandlungsakte und Abschriften; die erste Abschrift ist unentgeltlich. Die Vorschrift regelt auch Grenzen, etwa erhebliche therapeutische Gründe oder erhebliche Rechte Dritter, und ihr Verhältnis zu datenschutzrechtlichen Ansprüchen. Eine pauschale Gebührenliste ohne Prüfung des konkreten Anspruchs reicht nicht aus.
Für DSGVO-Anträge gelten zusätzlich die Regeln des Art. 12. Über Maßnahmen ist unverzüglich und spätestens innerhalb eines Monats zu informieren; eine erforderliche Verlängerung um bis zu zwei weitere Monate ist unter den gesetzlichen Bedingungen möglich und innerhalb des ersten Monats zu begründen. Wird nicht tätig geworden, sind unverzüglich, spätestens innerhalb eines Monats, die Gründe sowie Beschwerde- und gerichtliche Rechtsschutzmöglichkeiten mitzuteilen.
Prüfen Sie Identität und Vertretung angemessen und wählen Sie einen sicheren Übermittlungsweg. Angehörige oder Versicherungen haben nicht allein wegen ihres Interesses denselben Anspruch wie der Patient. Enthalten Unterlagen Informationen über Dritte, ist eine konkrete Prüfung erforderlich. Ein vollständiger Ausschluss aller gemischten Dokumente wäre ebenso wenig sachgerecht wie eine ungeprüfte Herausgabe sämtlicher Angaben.
DSFA, Datenschutzbeauftragter und Forschung
Umfangreiche Verarbeitung besonderer Kategorien gehört zu den gesetzlichen DSFA-Fällen. Für einzelne Projekte sind dennoch die konkreten Bedingungen, einschlägige Listen und Art. 35 Abs. 1 zu prüfen. Nicht jede Telemedizinfunktion oder jeder Zugang zu einer Plattform ist schon aufgrund seines Namens identisch zu behandeln. Die Datenschutz-Folgenabschätzung muss insbesondere Risiken für Patienten, notwendige Alternativen und tatsächlich wirksame Maßnahmen betrachten.
Auch die Benennung eines Datenschutzbeauftragten folgt bestimmten Voraussetzungen. Art. 37 erfasst unter anderem öffentliche Stellen, vorbehaltlich der gerichtlichen Ausnahme, sowie die umfangreiche Verarbeitung von Art.-9- oder Art.-10-Daten als Kerntätigkeit. Für deutsche nichtöffentliche Stellen können die zusätzlichen Regeln des § 38 BDSG eingreifen. Es gibt keinen allgemeinen Grundsatz „DSB ab dem ersten Gesundheitsdatum“. Die Aufgaben des DSB ersetzen nicht die Verantwortung des Trägers.
Forschung ist als eigener Zweck zu bewerten. Soweit § 27 BDSG anwendbar ist, verlangt die Verarbeitung ohne Einwilligung unter anderem Erforderlichkeit und ein erhebliches Überwiegen der Forschungsinteressen sowie angemessene Schutzmaßnahmen. Ein Ethikvotum ersetzt die datenschutzrechtliche Grundlage nicht. Pseudonymisierte Daten bleiben personenbezogen, wenn eine Zuordnung möglich ist; die Norm enthält außerdem Vorgaben zur Anonymisierung und getrennten Speicherung zuordnender Merkmale.
Vorfälle erkennen, bewerten und aufarbeiten
Ein falscher Empfänger, eine Patientenverwechslung oder ein Systemausfall kann eine Verletzung des Schutzes personenbezogener Daten sein. Nicht jeder technische Fehler ist automatisch eine solche Verletzung, und nicht jeder Fall hat dasselbe Risiko. Sichern Sie die Versorgung, begrenzen Sie den Schaden und dokumentieren Sie Tatsachen, Kenntniszeitpunkt und getroffene Maßnahmen. Die vollständige technische Ursachenanalyse muss nicht abgeschlossen sein, bevor eine erste Risikobewertung möglich ist.
Art. 33 verlangt eine Meldung an die zuständige Aufsicht unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten. Eine verspätete Meldung ist zu begründen; Informationen können unter den gesetzlichen Bedingungen schrittweise nachgereicht werden. Jede Datenschutzverletzung ist zu dokumentieren, auch unterhalb der Meldeschwelle. Die Benachrichtigung Betroffener nach Art. 34 betrifft voraussichtlich hohe Risiken und ihre eigenen Ausnahmen.
Bestimmen Sie die zuständige Aufsicht nach Träger und Aufgabe. Die BfDI und ihre Zuständigkeiten sind nicht mit einer allgemeinen Krankenhausaufsicht gleichzusetzen. Zusätzlich können eigenständige Cybersicherheitsmeldungen zu prüfen sein; der Leitfaden zu NIS2 im Gesundheitswesen unterstützt die gesonderte Einordnung. Eine Meldung in einem Verfahren ersetzt nicht automatisch die Prüfung des anderen.
Nach dem Vorfall muss die Einrichtung entscheiden, welche Annahme nicht gehalten hat: Identitätsabgleich, Berechtigung, Übermittlung oder Wiederherstellung. Verbinden Sie die Korrektur mit dem zuständigen Prozess und prüfen Sie ihre Umsetzung. Damit wird aus der Dokumentation ein praktischer Schutz für die nächste Behandlung, statt lediglich ein abgelegter Bericht über das vergangene Ereignis zu bleiben.