Tourenplan falsch versandt: Datenpanne im ambulanten Dienst klären

Zuerst die Offenlegung begrenzen

Die Person, die den Fehler bemerkt, informiert die intern benannte Leitung oder Vorfallstelle über einen freigegebenen Kommunikationsweg. Ist diese nicht erreichbar, wird die vereinbarte Vertretung eingeschaltet. Die Meldung muss ankommen; eine ungelesene Nachricht in einem Sammelpostfach bietet dafür keine Sicherheit. Der EDSA empfiehlt interne Verfahren, die Hinweise rasch aufgreifen und an die zuständige Führungsebene weitergeben. [3]

Weitere gleichartige Sendungen werden gestoppt. Bei einem freigegebenen Dateilink kann die zuständige Stelle den Zugriff entziehen; eine bereits heruntergeladene Kopie ist dadurch nicht zurückgeholt. Ein technischer Mailrückruf kann versucht werden, beweist aber nicht, dass niemand den Anhang gelesen oder gespeichert hat. IT und Datenschutzfunktion klären, welche Sicherung im konkreten System möglich ist. Beschäftigte löschen keine Protokolle und verändern nicht eigenmächtig das fremde Postfach.

Die beauftragte Stelle kontaktiert den falschen Empfänger möglichst ohne erneute Gesundheitsangaben: Datei nicht weiterverwenden oder weiterleiten, sicher löschen beziehungsweise zurückgeben und die Durchführung bestätigen. Ob der Empfänger bekannt und zuverlässig ist und welche Reaktion tatsächlich belegt ist, gehört in die Bewertung. Die ursprüngliche Verletzung verschwindet durch eine Löschbestätigung nicht automatisch. [2]

Welche Datei ging tatsächlich an wen?

Für die interne Klärung zählt die versandte Fassung, nicht die inzwischen korrigierte Tourliste. Es wird geprüft, welche Menschen erkennbar sind und ob etwa Leistungen, Diagnosen, Zugangshinweise oder private Kontaktdaten enthalten waren. Auch Informationen über Beschäftigte können betroffen sein. Eine bloße Dateibezeichnung sagt über den Inhalt wenig aus.

Hilfreich ist eine kurze, sachliche Zusammenstellung: Wann wurde versandt, wann entdeckt und wann intern gemeldet? Welche Adresse und wie viele Empfänger waren beteiligt? Welche Datei oder Freigabe wurde übermittelt? Ist ein Zugriff bekannt oder bisher ungeklärt? Welche Maßnahmen wurden wann von wem veranlasst? Tatsachen und Vermutungen bleiben getrennt. Unbekanntes wird ausdrücklich als offen geführt.

Zur Klärung werden keine privaten Screenshots angefertigt und keine Kopien in allgemeine Teamchats gestellt. Die zuständigen Stellen sichern notwendige Nachweise im geschützten Vorfallbereich. Eine ausführliche Datenschutzakte gehört nicht ungeprüft in jede betroffene Pflegedokumentation. Versorgungserhebliche Folgen werden dort nach den Regeln des Dienstes sachlich dokumentiert.

Risiko für Menschen statt nur Zahl der Datensätze

Eine unbefugte Offenlegung kann eine Datenschutzverletzung sein, auch wenn sie versehentlich erfolgt. Entscheidend sind die möglichen Folgen für die betroffenen Menschen. Der EDSA nennt unter anderem Kontrollverlust, Diskriminierung, Rufschäden und Verlust der Vertraulichkeit. [4] Für einen Tourenplan prüft die verantwortliche Stelle deshalb nicht nur die Anzahl der Zeilen: Lassen sich Personen und sensible Versorgungshinweise zusammenführen? Kennt der Empfänger die Betroffenen? Gibt es Hinweise auf Weitergabe? Welche Schutzmaßnahmen waren wirksam?

Ein gedachtes Beispiel: Eine Liste mit Namen, Anschriften und Wundversorgungszeiten landet bei einem unbekannten privaten Kontakt. Der Dienst kann zunächst nicht klären, ob sie geöffnet wurde. Diese Unsicherheit ist keine Entwarnung. Ebenso wäre es falsch, aus jedem Tippfehler ohne weitere Prüfung automatisch eine Benachrichtigung aller Betroffenen abzuleiten. Die Entscheidung benötigt den Einzelfall und die zuständige Datenschutzkompetenz.

Interne Meldung, Aufsicht und Betroffene auseinanderhalten

Beschäftigte melden den Vorfall intern unverzüglich nach dem festgelegten Verfahren. Die rechtliche Verantwortung für die Bewertung und erforderliche Meldungen liegt beim Verantwortlichen; die Datenschutzbeauftragten beraten. Eine Fachkraft auf Tour muss den Fall weder allein juristisch entscheiden noch erst vollständig aufklären, bevor sie intern informiert.

Die Aufsichtsmeldung nach Artikel 33 DSGVO ist erforderlich, außer wenn die Verletzung voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten führt. Bei voraussichtlich hohem Risiko verlangt Artikel 34 grundsätzlich zusätzlich die unverzügliche Benachrichtigung der betroffenen Menschen; gesetzliche Ausnahmen müssen konkret geprüft werden. Das sind unterschiedliche Entscheidungen. [1, 2]

Die Aufsicht in Brandenburg erläutert: Die Meldung umfasst insbesondere Art und Umfang, Anlaufstelle, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Gegenmaßnahmen. Noch fehlende Informationen können schrittweise ergänzt werden; eine verspätete Meldung braucht eine Begründung. Zuständig ist die für den jeweiligen Träger zuständige Datenschutzaufsicht, nicht automatisch die hier als Quelle verlinkte Landesbehörde. Bei kirchlichen Trägern sind das anwendbare Datenschutzrecht und der eigene Aufsichtsweg gesondert zu klären. [1]

Bekanntwerden bedeutet nach dem EDSA, dass hinreichende Gewissheit über einen Sicherheitsvorfall mit beeinträchtigten personenbezogenen Daten besteht. Die erste kurze Klärung muss umgehend beginnen; eine umfangreiche Untersuchung darf den Meldebeginn nicht beliebig hinausschieben. [2] 72 Stunden sind kein Wartefenster. Die Fristkontrolle darf nicht bis zur nächsten Dienstbesprechung ruhen. Auch wenn nach Prüfung keine Aufsichtsmeldung nötig ist, bleiben Verletzung, Folgen, Abhilfe und die nachvollziehbare Entscheidung zu dokumentieren. [3] Die verantwortliche Stelle hält fest, wer noch offene Informationen nachverfolgt und bis wann neu bewertet wird.

Die nächste Tour muss trotzdem sicher stattfinden

Schadensbegrenzung und Versorgung werden gemeinsam organisiert: Wer hält die korrekte Tourfassung bereit? Wie erreicht eine Vertretung die benötigten Informationen auf einem zulässigen Weg? Werden Freigaben gesperrt, muss die Einsatzleitung prüfen, ob dadurch notwendige Hausbesuche oder Rückmeldungen ausfallen könnten. Ungeprüfte private Ersatzkanäle schaffen leicht die nächste Offenlegung.

Dieser Beitrag ist eine organisatorische Orientierung für ambulante Dienste und ersetzt keine Einzelfallberatung. Er enthält keine Diagnostik- oder Therapieanweisung. Entsteht zugleich eine konkrete medizinische Gefahr, wird der dafür vorgesehene ärztliche beziehungsweise Notfallweg unabhängig von der Datenschutzklärung aktiviert; bei Lebensgefahr gilt 112. Ein Fehlversand allein ist kein medizinischer Notfall.

Abschließen heißt Ursache und Maßnahme nachprüfen

Nach der akuten Bearbeitung fragt das Team nach der Fehlerquelle: ein veralteter Kontakt, eine unpassende Empfängervorschlagsfunktion, eine zu umfangreiche Exportdatei oder fehlende Vertretungszuständigkeit? Eine konkrete Änderung mit verantwortlicher Person und Prüftermin ist hilfreicher als der bloße Appell, künftig besser aufzupassen. Beispielsweise kann eine unnötige Spalte aus dem Versand entfallen oder ein bisher offener Freigabelink enger begrenzt werden.

Der hier beschriebene Touren- und Rückmeldeablauf ist eine redaktionelle Praxisableitung aus den behördlichen Anforderungen. Eine nachgewiesene Wirksamkeit genau dieses Ablaufs wird nicht behauptet. Für die vorbeugende Gestaltung von Berechtigungen führt der Beitrag Pflegedokumentation im Hausbesuch: Zugriffe im Team begrenzen weiter.

Quellen und redaktionelle Einordnung

1. LDA Brandenburg: Meldung einer Datenschutzverletzung. Amtliche Erläuterung zu Artikel 33 DSGVO, Meldungsinhalt und Nachmeldung; keine allgemeine Zuständigkeit für alle Pflegedienste.
2. EDSA: Guidelines 9/2022 on personal data breach notification under GDPR, Version 2.0, angenommen am 28. März 2023; insbesondere Bekanntwerden, Risikoprüfung und vertrauenswürdige Empfänger. Englisches Behördenoriginal.
3. EDSA: Personal data breaches – what to do, März 2025; amtliche Kurzfassung zu Erkennen, Dokumentieren und Melden.
4. EDSA: Personal data breaches, aktueller Behördenüberblick und Verzeichnis der Leitlinien.