Datenschutz in der Pflege

So einfach, sicher und alltagstauglich wie möglich.

Beschäftigtendatenschutz im Pflegedienst: Dienstpläne, Krankmeldungen und Gesundheitsdaten des Teams

11.07.2026 von Dominic

Wenn über Datenschutz im Pflegedienst gesprochen wird, geht es fast immer um Patientendaten. Dabei wird die zweite Pflichtbaustelle regelmäßig übersehen: die Daten der eigenen Beschäftigten. Pflegedienste verarbeiten täglich hochsensible Mitarbeiterdaten: Krankmeldungen und Diagnoseinformationen, Impf- und Immunitätsnachweise, Führungszeugnisse, Dienstpläne in Apps auf privaten Handys, Tourendaten mit Standortbezug. Welche Regeln hier gelten, wo die typischen Fehler liegen und was jede Pflegedienstleitung jetzt organisieren sollte, erklärt dieser Beitrag.

Rechtsgrundlagen: § 26 BDSG, Art. 88 DSGVO und die besondere Rolle der Gesundheitsdaten

Der Beschäftigtendatenschutz ist in Deutschland vor allem in § 26 BDSG geregelt, der auf der Öffnungsklausel des Art. 88 DSGVO beruht. Danach dürfen Beschäftigtendaten verarbeitet werden, soweit dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Das Wort „erforderlich“ ist dabei der Maßstab, an dem jede einzelne Verarbeitung gemessen wird: Was für Dienstplanung, Lohnabrechnung oder Qualitätssicherung nicht benötigt wird, darf auch nicht erhoben oder gespeichert werden.

Für Pflegedienste kommt eine Verschärfung hinzu: Viele der relevanten Mitarbeiterdaten sind Gesundheitsdaten nach Art. 9 DSGVO und unterliegen damit demselben strengen Schutzregime wie Patientendaten. Krankmeldungen, Impfstatus, Angaben aus dem betrieblichen Eingliederungsmanagement oder Schwangerschaftsmitteilungen dürfen nur verarbeitet werden, wenn eine besondere Rechtsgrundlage greift, etwa zur Erfüllung arbeits- und sozialrechtlicher Pflichten (§ 26 Abs. 3 BDSG, Art. 9 Abs. 2 lit. b DSGVO). Welche Grundpflichten für Pflegedienste beim Umgang mit Patientendaten gelten und wann ein Datenschutzbeauftragter Pflicht ist, haben wir in unserem Grundlagenbeitrag zum externen Datenschutzbeauftragten im Pflegedienst erläutert. Die dort beschriebene Bestellpflicht umfasst selbstverständlich auch den Beschäftigtendatenschutz.

Krankmeldungen, eAU und BEM: Gesundheitsdaten der Mitarbeiter richtig behandeln

Der häufigste Praxisfehler beginnt am Telefon: Eine Mitarbeiterin meldet sich krank, und die Pflegedienstleitung fragt nach der Diagnose. Dazu ist niemand verpflichtet. Der Arbeitgeber hat Anspruch auf die Information, dass und wie lange eine Arbeitsunfähigkeit voraussichtlich besteht, nicht aber auf deren Grund. Seit Einführung der elektronischen Arbeitsunfähigkeitsbescheinigung (eAU) ruft der Arbeitgeber die AU-Daten gesetzlich Versicherter direkt bei der Krankenkasse ab und erhält dabei bewusst keine Diagnose. Wird eine Diagnose dennoch freiwillig mitgeteilt, darf sie nicht in Dienstplan, Teamchat oder Personalakte weiterverbreitet werden.

Besonders heikel ist die interne Kommunikation: Im Dienstplan oder im Teamordner hat der Grund einer Abwesenheit nichts zu suchen. „Krank“ als neutraler Vermerk ist zulässig, „Bandscheibenvorfall“ oder „Reha wegen Burnout“ ist ein Datenschutzverstoß gegenüber der betroffenen Person, der zudem das Vertrauen im Team beschädigt.

Eine eigene Kategorie bildet das betriebliche Eingliederungsmanagement (BEM) nach § 167 Abs. 2 SGB IX, das bei mehr als sechs Wochen Arbeitsunfähigkeit innerhalb eines Jahres anzubieten ist. Im BEM-Verfahren entstehen detaillierte Gesundheitsinformationen. Diese gehören in eine separat geführte BEM-Akte mit eng begrenztem Zugriffskreis, niemals in die allgemeine Personalakte. Die Teilnahme ist freiwillig und setzt eine informierte Einwilligung voraus.

Impfstatus und Führungszeugnis: Was erhoben werden darf und was nicht

Beim Impfstatus gilt ein klarer Grundsatz: Erhoben werden darf, was gesetzlich vorgeschrieben ist, nicht mehr. Für Pflegedienste relevant ist vor allem die Masern-Nachweispflicht nach § 20 IfSG für nach 1970 geborene Beschäftigte in den erfassten Einrichtungen. Hier darf und muss der Nachweis kontrolliert und das Ergebnis dokumentiert werden. Eine darüber hinausgehende Erfassung des allgemeinen Impfstatus, etwa zu Grippe- oder COVID-Impfungen, ist ohne gesetzliche Grundlage in aller Regel unzulässig. Daten, die im Rahmen der ausgelaufenen einrichtungsbezogenen COVID-Impfnachweispflicht erhoben wurden, sind zu löschen, sofern keine andere Rechtsgrundlage ihre Aufbewahrung trägt.

Ähnlich strukturiert ist der Umgang mit Führungszeugnissen, die viele Träger und Kostenträger von Pflegekräften verlangen: Zulässig ist die Einsichtnahme mit einem dokumentierten Vermerk (Datum der Vorlage, Datum des Zeugnisses, Ergebnis unauffällig ja oder nein). Das Anfertigen und dauerhafte Speichern von Kopien ist dagegen regelmäßig unverhältnismäßig und wird von Aufsichtsbehörden beanstandet. Gleiches Prinzip bei Bewerbungen: Unterlagen abgelehnter Bewerber dürfen mit Blick auf die Fristen des AGG für einige Monate aufbewahrt werden, in der Praxis haben sich rund sechs Monate etabliert. Danach sind sie zu löschen oder zurückzusenden, sofern keine Einwilligung für einen Bewerberpool vorliegt.

Dienstplan-Apps, private Handys und WhatsApp: Die digitale Praxisfalle

Die größten Risiken im Beschäftigtendatenschutz entstehen heute nicht im Aktenschrank, sondern auf dem Smartphone. Vier Themen verdienen besondere Aufmerksamkeit:

  • Dienstplan-Apps und Auftragsverarbeitung: Wer Dienstpläne, Tourenpläne oder Zeiterfassung über eine App oder Cloud-Lösung organisiert, lässt Beschäftigtendaten durch einen externen Dienstleister verarbeiten. Mit dem Anbieter ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO Pflicht, der Serverstandort sollte in der EU liegen und der Anbieter muss differenzierte Nutzerrollen sowie eine Protokollierung ermöglichen. Ohne AV-Vertrag ist der Einsatz der App bereits ein Verstoß, unabhängig davon, wie gut die Lösung technisch ist.
  • Private Handys (BYOD): In vielen Pflegediensten rufen Mitarbeiter Dienstpläne auf dem privaten Smartphone ab. Das ist zulässig, wenn es geregelt ist: durch eine BYOD-Vereinbarung, die Mindestanforderungen festlegt (Gerätesperre, aktuelle Updates, Trennung von dienstlichen und privaten Daten, Meldepflicht bei Verlust). Noch besser sind Dienstgeräte mit Mobile-Device-Management, bei denen die Einrichtung Daten aus der Ferne löschen kann.
  • WhatsApp-Dienstgruppen: Die WhatsApp-Gruppe für Dienstplanänderungen und Schichttausch ist in der Pflege weit verbreitet und datenschutzrechtlich kaum zu halten: Der Dienst gleicht die Telefonbuchdaten ab, die Teilnahme lässt sich faktisch nicht freiwillig ausgestalten und spätestens wenn Patienten- oder Krankheitsinformationen in der Gruppe landen, liegt ein meldepflichtiger Verstoß nahe. Die Lösung sind datenschutzkonforme Messenger oder die Kommunikationsfunktion der Dienstplan-Software.
  • Ortung und Tourenplanung: Digitale Tourenplanung, mobile Leistungserfassung und geortete Dienstfahrzeuge liefern Standortdaten, aus denen sich Bewegungsprofile der Beschäftigten ergeben können. Zulässig ist die Verarbeitung nur, soweit sie für Tourensteuerung und Nachweiszwecke erforderlich ist, nicht zur permanenten Verhaltenskontrolle. Erforderlich sind klare Zweckfestlegung, kurze Speicherfristen und Transparenz gegenüber dem Team. Besteht ein Betriebsrat oder eine Mitarbeitervertretung, sind technische Einrichtungen, die eine Überwachung ermöglichen, zudem mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG beziehungsweise die kirchenrechtlichen Pendants).
  • Verzeichnis der Verarbeitungstätigkeiten ergänzen: Personalverwaltung, Dienstplanung, Zeiterfassung, eAU-Abruf, BEM und Bewerbermanagement gehören als eigene Verarbeitungstätigkeiten in das Verzeichnis nach Art. 30 DSGVO. In der Praxis sind diese Einträge häufig lückenhaft, weil der Fokus allein auf den Patientenprozessen lag.
  • Berechtigungskonzept für Personaldaten: Zugriff auf Personal- und Gesundheitsdaten brauchen nur Geschäftsführung, Personalverwaltung und in definiertem Umfang die Pflegedienstleitung. Die Personalakte darf nicht im allgemeinen Teamlaufwerk liegen, die BEM-Akte ist separat zu führen.
  • Löschkonzept: Für jede Datenkategorie braucht es definierte Fristen: Bewerberdaten nach einigen Monaten, Lohnunterlagen nach den steuer- und sozialrechtlichen Aufbewahrungsfristen, Führungszeugnis-Vermerke und Impfnachweise nach Wegfall des Zwecks. Ein Löschkonzept, das niemand umsetzt, hilft dabei nicht weiter; die Löschung muss organisatorisch verankert sein.
  • Information der Beschäftigten: Mitarbeiter haben nach Art. 13 DSGVO Anspruch auf transparente Information darüber, welche ihrer Daten zu welchen Zwecken verarbeitet werden. Ein Datenschutzhinweis für Beschäftigte gehört in jede Personalmappe. Hinzu kommt das Auskunftsrecht nach Art. 15 DSGVO, das auch ehemalige Mitarbeiter geltend machen können, etwa im Kontext arbeitsrechtlicher Auseinandersetzungen.
  • Schulung und klare Regeln: Die PDL muss wissen, was sie am Telefon fragen darf, das Team muss wissen, was im Gruppenchat nichts zu suchen hat. Kurze, praxisnahe Unterweisungen wirken hier mehr als jedes Papierkonzept.

Wann externe Unterstützung sinnvoll ist

Beschäftigtendatenschutz liegt quer zu Arbeitsrecht, Sozialrecht und Datenschutzrecht, und genau diese Kombination ist intern selten vorhanden. Hinzu kommt ein struktureller Interessenkonflikt: Wer selbst Dienstpläne schreibt und Personalentscheidungen trifft, kann nicht zugleich unabhängig kontrollieren, ob dabei datenschutzkonform gearbeitet wird (Art. 38 Abs. 6 DSGVO). Ein externer Datenschutzbeauftragter bringt die nötige Distanz und Fachkunde mit, prüft Dienstplan-Apps und AV-Verträge, erstellt Berechtigungs- und Löschkonzepte und schult das Team.

zweiplus betreut bereits über 30 Pflegedienste bundesweit und kennt die typischen Konstellationen aus der Praxis: von der WhatsApp-Dienstgruppe bis zur Einführung einer neuen Tourenplanungssoftware. Für KMU besteht zudem die Möglichkeit, Beratungsleistungen im Bereich Datenschutz über das Förderprogramm der BAFA bezuschussen zu lassen. Ob eine Förderung in Frage kommt, klären wir im Erstgespräch.

Fazit: Mitarbeiterdaten verdienen denselben Schutz wie Patientendaten

Pflegedienste, die ihren Datenschutz allein auf Patientendaten ausrichten, lassen die Hälfte der Pflichten unbearbeitet. Krankmeldungen ohne Diagnoseabfrage, neutrale Dienstplanvermerke, dokumentierte Einsichtnahme statt Kopie beim Führungszeugnis, AV-Verträge für Dienstplan-Apps, geregelte private Handys und ein Ende der WhatsApp-Dienstgruppe: All das sind konkrete, umsetzbare Schritte, die das Risiko von Beschwerden, Bußgeldern und arbeitsrechtlichen Konflikten deutlich senken. Gleichzeitig zahlt sauberer Beschäftigtendatenschutz direkt auf die Mitarbeiterbindung ein: Wer spürt, dass mit den eigenen Gesundheitsdaten sorgfältig umgegangen wird, vertraut auch der Einrichtung. Wer die eigene Personalpraxis strukturiert prüfen lassen möchte, findet in zweiplus einen Partner mit nachgewiesener Branchenerfahrung in der Pflege. Nehmen Sie Kontakt auf und lassen Sie Ihre Datenschutzsituation unverbindlich prüfen.

FAQs – Häufig gestellte Fragen zum Beschäftigtendatenschutz im Pflegedienst

Nein. Beschäftigte müssen mitteilen, dass und wie lange sie voraussichtlich arbeitsunfähig sind, nicht aber warum. Die Diagnose ist ein Gesundheitsdatum nach Art. 9 DSGVO. Wird sie freiwillig genannt, darf sie nicht weiterverbreitet oder im Dienstplan vermerkt werden.

Bei gesetzlich versicherten Beschäftigten ruft der Arbeitgeber die Arbeitsunfähigkeitsdaten elektronisch bei der Krankenkasse ab. Übermittelt werden Beginn, Dauer und Kennzeichen wie Erst- oder Folgebescheinigung, bewusst aber keine Diagnose. Der Abrufprozess gehört als Verarbeitungstätigkeit in das Verzeichnis nach Art. 30 DSGVO.

Nur soweit eine gesetzliche Nachweispflicht besteht, für Pflegedienste vor allem die Masern-Nachweispflicht nach § 20 IfSG für nach 1970 geborene Beschäftigte. Eine allgemeine Erfassung des Impfstatus ohne gesetzliche Grundlage ist in aller Regel unzulässig. Altdaten aus der ausgelaufenen COVID-Nachweispflicht sind zu löschen.

Nein. Im Dienstplan ist nur der neutrale Hinweis auf die Abwesenheit zulässig, etwa „krank“ oder „abwesend“. Der Grund der Abwesenheit ist ein Gesundheitsdatum und darf weder im Aushang noch in der Dienstplan-App oder im Teamchat erscheinen.

Davon ist abzuraten. Zulässig ist die dokumentierte Einsichtnahme mit Vermerk über Vorlagedatum, Ausstellungsdatum und Ergebnis. Das dauerhafte Speichern von Kopien gilt regelmäßig als unverhältnismäßig und wird von Aufsichtsbehörden beanstandet.

Datenschutzkonform ist sie kaum zu betreiben: WhatsApp greift auf die Telefonbuchdaten zu, die Teilnahme ist faktisch nicht freiwillig und sensible Informationen landen erfahrungsgemäß schnell in der Gruppe. Pflegedienste sollten auf datenschutzkonforme Messenger oder die Kommunikationsfunktion ihrer Dienstplan-Software umstellen.

Nur zweckgebunden, etwa zur Tourensteuerung und für Nachweise gegenüber Kostenträgern, nicht zur permanenten Verhaltenskontrolle. Erforderlich sind Transparenz gegenüber den Beschäftigten, kurze Speicherfristen und bei Bestehen eines Betriebsrats oder einer Mitarbeitervertretung deren Beteiligung.

Nach Abschluss des Verfahrens dürfen Unterlagen abgelehnter Bewerber mit Blick auf mögliche Ansprüche nach dem AGG noch einige Monate aufbewahrt werden; in der Praxis haben sich rund sechs Monate etabliert. Eine längere Speicherung, etwa für einen Bewerberpool, setzt eine Einwilligung voraus.

Das BEM ist freiwillig und setzt eine informierte Einwilligung voraus. Die im Verfahren entstehenden Gesundheitsinformationen gehören in eine separate BEM-Akte mit eng begrenztem Zugriffskreis und dürfen nicht in die allgemeine Personalakte übernommen werden.

Spätestens wenn neue Dienstplan- oder Tourenplanungssoftware eingeführt wird, Beschwerden oder Auskunftsersuchen von Beschäftigten eingehen oder intern niemand die Kombination aus Datenschutz-, Arbeits- und Sozialrecht abdeckt. Ein externer Datenschutzbeauftragter bringt die nötige Unabhängigkeit mit und vermeidet die Interessenkonflikte, die bei internen Lösungen regelmäßig entstehen..

Über uns

Unsere Kerntätigkeit ist die Bestellung als externe Datenschutzbeauftragte für kleine und mittelständische Unternehmen, kommunale Dienstleister und Gemeinden bis hin zur wirtschaftsprüfungspflichtigen Unternehmen.