Kurze Einordnung
Krankenhäuser, Pflegeeinrichtungen und soziale Dienste arbeiten heute mit Cloud-Diensten, Plattformen, digitalen Pflegeanwendungen, externen Rechenzentren und spezialisierten Softwareanbietern. Parallel steigen die Anforderungen an Informationssicherheit, Nachweise und Dienstleistersteuerung. Entscheidend ist dabei ein Grundsatz, der oft untergeht: Auch wenn ein Dienstleister die Daten technisch verarbeitet, bleibt die Einrichtung in der Regel verantwortlich und muss das belegen können.
Praxisrisiken/Fälle
Ein typisches Risiko liegt in der unvollständigen Dienstleisterübersicht. In der Praxis gibt es oft mehr externe Stellen als in der zentralen Vertragsliste stehen: Wartungszugänge für Medizingeräte, Support für Pflegedokumentation, externe Abrechnung, Dienstplansoftware, Messenger, Videodienste, Archivierung, Labor- oder Apothekenschnittstellen, Hosting von Webseiten, Bewerbungsportale oder E-Learning-Systeme. Wenn nicht klar ist, welche Daten ein Dienstleister verarbeitet, können Risiken nicht bewertet werden.
Besonders kritisch sind Gesundheits- und Sozialdaten in Cloud-Umgebungen. Es reicht nicht, dass ein System „modern“ oder „zertifiziert“ wirkt. Einrichtungen müssen prüfen, welche Daten gespeichert werden, ob Daten verschlüsselt sind, wer administrativen Zugriff hat, ob Protokolle geführt werden, wo Rechenzentren stehen und ob Unterauftragnehmer eingebunden sind. Für Krankenhäuser kommen spezialgesetzliche Anforderungen an Cloud und IT-Sicherheit hinzu – etwa die europäische NIS-2-Richtlinie zur Cybersicherheit oder der C5-Kriterienkatalog des BSI für Cloud-Dienste. Pflege, Jugendhilfe und Eingliederungshilfe sollten diese Standards als Orientierung ernst nehmen, auch wo sie nicht unmittelbar gelten. Zunehmende Cyberangriffe verstärken die Wichtigkeit und Dringlichkeit die entsprechenden Dienstleister im Vorfeld aus datenschutzrechtlicher Sicht zu prüfen und entsprechende Maßnahmen zur nachhaltigen Sicherstellung des Datenschutzes und Informationssicherheit umzusetzen.
Ein weiteres Alltagsproblem sind Schnittstellen. Daten werden zwischen Systemen übertragen, z. B. von der Aufnahme in die Pflegedokumentation, von dort in die Abrechnung oder aus dem Krankenhausinformationssystem an externe Leistungserbringer. Fehlerhafte Schnittstellen können dazu führen, dass falsche Daten übertragen, veraltete Informationen weitergegeben oder zu viele Datensätze exportiert werden. Häufig fällt das erst auf, wenn Betroffene Auskunft verlangen oder ein Dienstleisterwechsel ansteht.
Auch Fernwartung ist ein Klassiker. Haben externe Techniker:innen Zugriff, müssen die Rechte begrenzt, die Sitzungen nachvollziehbar und die Zugriffe freigegeben sein. Dauerhafte Administrationszugänge ohne Kontrolle passen nicht zum Schutzbedarf sensibler Daten.
Praktischer Hinweis/Checkliste
Eine vollständige Liste aller Dienstleister und Systeme erstellen, die personenbezogene Daten verarbeiten oder Zugriff darauf haben.
Bestand aufnehmen: Alle Dienstleister und Systeme erfassen, die personenbezogene Daten verarbeiten oder darauf zugreifen.
Rolle klären: Pro Dienstleister festlegen – liegt eine Auftragsverarbeitung, gemeinsame Verantwortlichkeit oder eigene Verantwortlichkeit vor und existieren entsprechende Vertragswerke mit den Dienstleistern/Kooperationspartnern?
Fernwartung regeln: Nur mit Rollenkonzept, Protokollierung, zeitlicher Begrenzung und klarer Freigabe dürfen Fernwartungszugriffe erfolgen.
Schnittstellen regelmäßig testen: Werden ausschließlich erforderliche Daten übertragen, und stimmen die Empfänger?
Nachweise sichern: Sicherheitsnachweise, Löschkonzepte, Unterauftragnehmer und Rechenzentrumsstandorte sind zu dokumentieren und regelmäßig zu überprüfen.
Fazit
Einrichtungen sollten einen Dienstleister-Quick-Check durchführen. Ausgangspunkt ist nicht nur die Vertragsakte, sondern die tatsächliche Systemlandschaft. Fachbereiche sollten gefragt werden, welche Tools sie nutzen und welche externen Zugriffe bestehen. Danach lassen sich Dienstleister nach Risiko priorisieren: hohe Priorität haben Systeme mit Gesundheits-, Pflege-, Teilhabe-, Jugendhilfe-, Personal- oder Abrechnungsdaten. Für diese Systeme sollten Verträge, TOMs, Zugriffsrechte, Protokollierung und Löschprozesse zuerst geprüft werden.
Gerne unterstützen wir Sie bei diesem Vorgehen. Kommen Sie gerne auf uns zu. Jetzt Kontakt aufnehmen!
Hinweis: Dieser Beitrag wurde mit Künstlicher Intelligenz erstellt bzw. überarbeitet.