Herausforderungen bei der Umsetzung der Datenschutz-Grundverordnung in Pflegeeinrichtungen

veröffentlicht am 28. März 2018

​Mit der Datenschutz-Grundverordnung (kurz: DSGVO) kommen umfangreiche Änderungen auf die Unternehmen zu. Für Pflegeheime und Pflegedienste gilt es dabei besondere Aufmerksamkeit auf die speziellen datenschutzrechtlichen Anforderungen zu legen, die sich automatisch aus ihrer Dienstleistung ergeben.

​[Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG]

Als europäisches Recht hat die DSGVO gegenüber nationalen Vorschriften Vorrang. Das bisher vertraute Bundesdatenschutzgesetz (BDSG) wird daher mit dem Wirksamwerden der DSGVO auf ein darauf angepasstes, grundlegend verändertes „BDSG neu“ umgestellt. Die DSGVO befindet sich seit dem 25. Mai 2016 in Kraft. Die darin geregelte Übergangsfrist beträgt 2 Jahre, sodass inzwischen nur mehr 14 Wochen verbleiben, um entsprechende Vorkehrungen zu treffen.

Laut einer Bitkom-Studie aus dem Herbst 2017 war zum damaligen Zeitpunkt die Mehrheit der deutschen Unternehmen noch nicht auf die Umsetzung der DSGVO vorbereitet. 54 Prozent sind unzureichend gewappnet und werden die Anpassungen nur teilweise verwirklicht haben.

Die neuen Anforderungen bedeuten insbesondere dann eine Herausforderung, wenn Unternehmen sich bereits jetzt unsicher sind, ob sie die bisherigen Anforderungen des BDSG tatsächlich schon erfüllen. So bleibt zwar die Bestellung eines betrieblichen Datenschutzbeauftragten für Unternehmen mit mehr als 9 Beschäftigten verpflichtend, die automatisiert personenbezogene Daten verarbeiten. Jedoch haben auch und gerade in der Pflegebranche zahlreiche Anbieter bislang gemeint, darauf verzichten zu können.

Sozialunternehmen wie beispielsweise Pflegeheime und Pflegedienste sind von den neuen Bestimmungen uneingeschränkt betroffen und dabei ganz besonderen Herausforderungen ausgesetzt. Die DSGVO regelt den Datenschutz für personenbezogene Daten. Das Aufkommen solcher Daten in der Pflegebranche ist gleichermaßen vielgestaltig wie umfangreich. Neben den Informationen über die Bewohner und Klienten, die im laufenden Betrieb permanent anfallen und für eine qualitativ hochwertige Versorgung auch zwingend benötigt werden, existieren viele weitere relevante Bezugsgruppen. Neben den Mitarbeitern und den auf sie bezogenen Daten gilt es hier beispielsweise auch an die Angehörigen und Betreuer der Bewohner zu denken, aber auch an Dienstleister und Lieferanten, sofern diese in der Rechtsform des Einzelunternehmens tätig sind. Dies kann beispielsweise auch ein selbstständiger Handwerksmeister sein, der gelegentlich kleine Reparaturen durchführt.

Da in der Praxis der Pflegebranche auch der Einsatz von Personaldienstleistern eine nicht unwesentliche Rolle spielt, ist im Zweifelsfall auch das Zusammenspiel zwischen Pflegedienst und Personaldienstleister aufmerksam zu analysieren und ggf. rechtlich auf neue, „stabile“ Beine zu stellen. Insbesondere die sorgfältige Auswahl der Dienstleister sollte dokumentiert, vertragliche Regelungen kritisch geprüft und ggf. ergänzt und dadurch angepasst werden.

Anspruchsvoll für Pflegeheime und Pflegedienste dürfte u.a. die faktische Beweislastumkehr sein, die mit Inkrafttreten der DSGVO einhergeht. Aus Artikel 5 Abs. 2 ergibt sich eine Rechenschaftspflicht des Verantwortlichen für die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten. Das Unternehmen muss einem Betroffenen Auskunft darüber erteilen können, welche Daten von ihm gespeichert sind. Der Artikel 17 regelt das Recht des Betroffenen auf die Löschung der bezüglich seiner Person gespeicherten Daten.

Solchen gesetzlich verbrieften Ansprüchen Betroffener werden die Pflegeanbieter nicht nachkommen können, wenn sie nicht datenschutzrelevante Verfahren in einem sogenannten Verfahrensverzeichnis niedergelegt haben. Folgerichtig wird das Führen eines solchen Verzeichnisses in Artikel 30 als ausdrückliche Pflicht bestimmt. In der betrieblichen Praxis der Pflegeheime dürften solche datenschutzrechtlichen Verfahrensverzeichnisse eher die Ausnahme sein. Auch die in dieser Form neue gesetzliche Anforderung, sogenannte Datenpannen durch das Unternehmen selbst zu erkennen und binnen 72 Stunden die Aufsichtsbehörde zu informieren, wird ohne ein entsprechendes Verzeichnis aussichtslos sein.

Gerade für die Pflegebranche gewinnt außerdem die gänzlich neu eingeführte Datenschutz-Folgenabschätzung eine erhebliche Bedeutung, denn diese ist immer dann vorzunehmen und zu dokumentieren, wenn durch die geplante Verarbeitung ein hohes Risiko für die Rechte von natürlichen Personen absehbar ist. Dieses Kriterium dürfte hinsichtlich der Daten zu den einzelnen Bewohnern grundsätzlich erfüllt sein.

Weitgehend bekannt ist bereits, dass ab Mai die Sanktionen bei Rechtsverstößen erheblich verschärft werden. Bei Verstößen können Bußgelder von bis zu 20 Mio. Euro oder 4 Prozent des Jahresumsatzes verhängt werden. Da allerdings am 25. Mai 2018 die Übergangsfrist nicht etwa beginnt, sondern bereits endet, ist für den Fall, dass hier Lücken festzustellen sind, schnelles Handeln zu empfehlen.

Weniger bekannt ist häufig, dass die generelle Haftung der gesetzlichen Vertreter für die Compliance eines Unternehmens uneingeschränkt auch für das Risiko von Datenschutzverstößen gilt. Wenn also die gesetzlich geforderten Maßnahmen zur Sicherstellung des rechtskonformen Verhaltens des Unternehmens nicht nachgewiesen werden können, besteht unmittelbar der Verdacht auf ein betriebliches Organisationsverschulden mit entsprechender zivil- und ggf. auch strafrechtlicher Haftung. Gänzlich unbekannt ist oft, dass diese Haftung auch solche gesetzlichen Vertreter trifft, die lediglich ehrenamtlich tätig sind, z.B. ehrenamtliche Vorstände eines Vereins.