Datenschutz in der Pflege

So einfach, sicher und alltagstauglich wie möglich.

Verarbeitungsverzeichnis in Pflegedienst und Sanitätshaus: Pflicht, Aufbau und Praxisbeispiele

25.07.2026 von Dominic

Wenn die Datenschutzaufsicht prüft, lautet die erste Anforderung fast immer gleich: „Legen Sie bitte Ihr Verzeichnis der Verarbeitungstätigkeiten vor.“ Das Verzeichnis nach Art. 30 DSGVO, kurz VVT, ist die Inventarliste aller Datenverarbeitungen einer Einrichtung und damit das Fundament jedes Datenschutzmanagements. Genau dieses Dokument fehlt in Pflegediensten und Sanitätshäusern erfahrungsgemäß am häufigsten oder ist seit Jahren nicht aktualisiert worden. Dieser Beitrag erklärt, warum die Pflicht praktisch jede Einrichtung im Gesundheitswesen trifft, wie ein brauchbares Verzeichnis aufgebaut ist und welche typischen Verarbeitungstätigkeiten in beiden Branchen hineingehören, von der Pflegedokumentation bis zur Rezeptabwicklung.

Die Pflicht: Warum die 250-Mitarbeiter-Ausnahme hier nicht greift

Art. 30 DSGVO verpflichtet jeden Verantwortlichen, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen. Viele Einrichtungsleitungen kennen die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern (Art. 30 Abs. 5 DSGVO) und glauben sich deshalb befreit. Das ist ein Trugschluss: Die Ausnahme entfällt, wenn besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet werden oder die Verarbeitung nicht nur gelegentlich erfolgt. Pflegedienste verarbeiten Gesundheitsdaten als Kerntätigkeit, Sanitätshäuser ebenso, von der Verordnung bis zur Versorgungsdokumentation, und beides geschieht täglich. Damit ist das VVT in beiden Branchen unabhängig von der Betriebsgröße Pflicht, auch für den Dreipersonenbetrieb.

Die Pflicht hat Zähne: Das Verzeichnis ist der Aufsichtsbehörde auf Anfrage vorzulegen (Art. 30 Abs. 4 DSGVO), und ein fehlendes oder grob lückenhaftes VVT kann mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes geahndet werden. Mindestens ebenso relevant ist die Signalwirkung: Wer das Verzeichnis nicht vorlegen kann, lädt die Behörde zur vertieften Prüfung ein, denn ohne VVT funktionieren auch Datenschutzerklärung, Löschkonzept und AV-Vertragsmanagement erkennbar nicht. Welche Grundpflichten darüber hinaus gelten, lesen Sie in unseren Grundlagenbeiträgen zum Datenschutz im Pflegedienst und im Sanitätshaus.

Der Aufbau: Welche Angaben jeder Eintrag braucht

Ein brauchbares VVT besteht aus zwei Ebenen. Das Stammblatt enthält die einrichtungsweiten Angaben: Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Vertreters, sowie des Datenschutzbeauftragten. Darunter folgt je Verarbeitungstätigkeit ein eigener Eintrag mit den Pflichtangaben des Art. 30 Abs. 1 DSGVO: Zwecke der Verarbeitung, Kategorien der betroffenen Personen und der Daten, Kategorien der Empfänger, etwaige Drittlandübermittlungen, die vorgesehenen Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Sinnvoll, wenn auch nicht vorgeschrieben, ist die zusätzliche Angabe der Rechtsgrundlage und der eingesetzten Systeme; spätestens bei der nächsten Prüfung zahlt sich das aus.

Die richtige Granularität ist die häufigste Praxisfrage: Eine Verarbeitungstätigkeit ist ein zusammenhängender Geschäftsprozess mit einheitlichem Zweck, nicht jedes einzelne Programm und nicht der Sammeleintrag „EDV“. Als Faustregel funktioniert die Prozessbrille: Was würde man einem neuen Mitarbeiter als eigenen Arbeitsablauf erklären? Für eine typische Einrichtung kommen so 15 bis 30 Einträge zusammen.

Praxisbeispiele Pflegedienst: Diese Einträge gehören hinein

  • Pflegedokumentation und Versorgung: Zweck ist die pflegerische Versorgung einschließlich Behandlungspflege; betroffen sind Klienten und Angehörige; verarbeitet werden Stammdaten, Pflegegrade, Diagnosen, Maßnahmen- und Wunddokumentation. Empfänger sind behandelnde Ärzte und im Prüffall der Medizinische Dienst; Rechtsgrundlage ist die Versorgung (Art. 9 Abs. 2 lit. h DSGVO). Aufbewahrt wird regelmäßig zehn Jahre in Anlehnung an die Behandlungsdokumentation, je nach Landesrecht und Versorgungsverträgen.
  • Abrechnung mit Kranken- und Pflegekassen: Übermittlung der abrechnungsrelevanten Daten und Leistungsnachweise nach § 302 SGB V und § 105 SGB XI, häufig über ein Abrechnungszentrum als Auftragsverarbeiter; Aufbewahrung nach den steuer- und sozialrechtlichen Fristen.
  • Tourenplanung und mobile Leistungserfassung: Einsatzplanung mit Klientenadressen und Mitarbeiterdaten, oft mit Standortbezug; Empfänger ist der Softwareanbieter als Auftragsverarbeiter; kurze Speicherfristen für Bewegungsdaten gehören ausdrücklich in den Eintrag.
  • Personalverwaltung, Dienstplanung und Bewerbungen: Drei getrennte Einträge: die Personalakte einschließlich eAU-Abruf und Nachweisen nach § 20 IfSG, die Dienstplanung mit App-Anbieter als Empfänger und das Bewerbermanagement mit kurzer Löschfrist. Das betriebliche Eingliederungsmanagement verdient wegen des engen Zugriffskreises einen eigenen Eintrag.

Praxisbeispiele Sanitätshaus: Diese Einträge gehören hinein

  • Kunden- und Versorgungsdokumentation: Beratung, Anpassung und Versorgung mit Hilfsmitteln; verarbeitet werden Stammdaten, Verordnungen, Diagnosen, Maßdaten und Versorgungsverläufe; Rechtsgrundlagen sind Vertrag und Versorgung (Art. 6 Abs. 1 lit. b, Art. 9 Abs. 2 lit. h DSGVO).
  • Rezeptabwicklung und Kostenvoranschläge: Annahme und Prüfung von Verordnungen, elektronische Kostenvoranschläge über eKV-Portale, Genehmigungsverkehr mit den Kassen; Empfänger sind Kostenträger und Portalbetreiber. Mit der TI-Anbindung und dem E-Rezept für Hilfsmittel kommt hier ein neuer Eintrag hinzu; Details dazu in unserem Beitrag zu E-Rezept und Telematikinfrastruktur im Sanitätshaus.
  • Abrechnung über das Rechenzentrum: Übermittlung der Abrechnungsdaten nach § 302 SGB V an den Abrechnungsdienstleister; ob dieser Auftragsverarbeiter oder beim Factoring eigenständig verantwortlich ist, sollte der Eintrag ausweisen. Die Rollenklärung erläutert unser Beitrag zur Auftragsverarbeitung im Sanitätshaus.
  • Ladengeschäft und Verwaltung: Kassensystem und Warenwirtschaft, gegebenenfalls Onlineshop und Website mit Kontaktformular, Videoüberwachung als eigener Eintrag mit Kamerastandorten und kurzer Speicherfrist sowie die Personalverwaltung analog zum Pflegedienst.

Das Verzeichnis lebendig halten: Pflege, Review und Verzahnung mit dem DSMS

Das VVT ist kein Einmalprojekt, sondern das Inhaltsverzeichnis des laufenden Datenschutzmanagements: Aus ihm leiten sich Löschkonzept, AV-Vertragsliste, Datenschutzinformationen und die Prioritäten für technische Maßnahmen ab. Damit es aktuell bleibt, braucht es drei Routinen: Erstens wird jede neue Software, jeder neue Dienstleister und jeder neue Prozess vor dem Start im Verzeichnis ergänzt; die Einführung einer neuen Dienstplan-App oder die TI-Anbindung sind klassische Auslöser. Zweitens prüft ein fester Verantwortlicher das Verzeichnis mindestens jährlich auf Vollständigkeit. Drittens wird das VVT mit der Realität abgeglichen: Ein Rundgang durch Verwaltung, Touren- beziehungsweise Werkstattprozesse und Ladengeschäft deckt regelmäßig Verarbeitungen auf, die niemand gemeldet hat, vom Geburtstagskalender bis zum inoffiziellen Excel-Export.

Wann externe Unterstützung sinnvoll ist

Die Erstellung eines VVT scheitert selten am Formular, sondern an der Bestandsaufnahme: Welche Prozesse gibt es wirklich, welche Systeme hängen daran, welche Fristen gelten? Genau hier setzt die kostenfreie Schutzbedarfsfeststellung von zweiplus an: Sie erfasst strukturiert, welche Daten Ihre Einrichtung wo verarbeitet, und liefert damit zugleich das Gerüst für das Verzeichnis. Darauf aufbauend erstellt und pflegt zweiplus das VVT als Teil eines vollständigen Datenschutzmanagementsystems (DSMS), mit branchenerprobten Vorlagen für Pflegedienste und Sanitätshäuser, TÜV-zertifiziert und mit laufender Aktualisierung statt Einmaldokument. Für KMU besteht zudem die Möglichkeit, Beratungsleistungen im Bereich Datenschutz über das Förderprogramm der BAFA bezuschussen zu lassen. Ob eine Förderung in Frage kommt, klären wir im Erstgespräch.

Fazit: Das VVT ist die Eintrittskarte in jeden geprüften Datenschutz

Ob Pflegedienst oder Sanitätshaus: Das Verzeichnis der Verarbeitungstätigkeiten ist Pflicht, unabhängig von der Größe der Einrichtung, und es ist das erste Dokument, nach dem jede Aufsichtsbehörde fragt. Wer die 15 bis 30 typischen Verarbeitungstätigkeiten seiner Einrichtung sauber erfasst hat, von der Pflegedokumentation über die Rezeptabwicklung bis zur Personalverwaltung, besitzt zugleich die Landkarte für alle weiteren Datenschutzaufgaben: Löschfristen, AV-Verträge, Informationspflichten und technische Maßnahmen. Der Aufwand ist überschaubar, wenn die Bestandsaufnahme strukturiert erfolgt, und genau dafür gibt es die kostenfreie Schutzbedarfsfeststellung von zweiplus. Nehmen Sie Kontakt auf und verschaffen Sie sich Klarheit über Ihre Verarbeitungstätigkeiten, bevor es die Aufsichtsbehörde tut.

FAQs – Häufig gestellte Fragen zum Verarbeitungsverzeichnis

Ja. Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern (Art. 30 Abs. 5 DSGVO) entfällt, wenn besondere Kategorien personenbezogener Daten verarbeitet werden oder die Verarbeitung nicht nur gelegentlich erfolgt. Pflegedienste und Sanitätshäuser verarbeiten Gesundheitsdaten täglich als Kerntätigkeit; die Pflicht gilt daher unabhängig von der Betriebsgröße.

Das Verzeichnis ist der Aufsichtsbehörde auf Anfrage vorzulegen. Fehlt es oder ist es grob lückenhaft, drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes. Zudem signalisiert ein fehlendes VVT der Behörde, dass auch Löschkonzept, AV-Verträge und Informationspflichten kaum funktionieren können, und provoziert eine vertiefte Prüfung.

Die Pflichtangaben des Art. 30 Abs. 1 DSGVO: Zwecke, Kategorien der betroffenen Personen und der Daten, Empfängerkategorien, etwaige Drittlandübermittlungen, Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Empfehlenswert sind zusätzlich Rechtsgrundlage und eingesetzte Systeme.

Ein zusammenhängender Geschäftsprozess mit einheitlichem Zweck, etwa „Pflegedokumentation“ oder „Rezeptabwicklung“, nicht jedes einzelne Programm und nicht der Sammeleintrag „EDV“. Für eine typische Einrichtung ergeben sich 15 bis 30 Einträge.

Pflegedokumentation und Versorgung, Abrechnung mit Kranken- und Pflegekassen, Tourenplanung und mobile Leistungserfassung, Personalverwaltung mit eAU-Abruf, Dienstplanung, Bewerbermanagement und das betriebliche Eingliederungsmanagement als eigener Eintrag mit engem Zugriffskreis.

Kunden- und Versorgungsdokumentation, Rezeptabwicklung mit elektronischen Kostenvoranschlägen, Abrechnung über das Rechenzentrum, Kassensystem und Warenwirtschaft, gegebenenfalls Onlineshop und Website, Videoüberwachung als eigener Eintrag sowie die Personalverwaltung.

Nein. Das VVT ist ein internes Dokument und nur der Aufsichtsbehörde auf Anfrage vorzulegen (Art. 30 Abs. 4 DSGVO). Es ist nicht mit der Datenschutzerklärung der Website zu verwechseln, die sich an die Betroffenen richtet; beide sollten aber inhaltlich zueinander passen.

Je Eintrag die tatsächlich vorgesehene Frist: für die Pflege- und Versorgungsdokumentation regelmäßig zehn Jahre in Anlehnung an die Behandlungsdokumentation, für Abrechnungs- und Steuerunterlagen die handels- und steuerrechtlichen Fristen, für Bewerberdaten wenige Monate, für Videoüberwachung wenige Tage. Das VVT ist damit zugleich die Basis des Löschkonzepts.

Verantwortlich ist die Einrichtungsleitung; in der Praxis pflegt es der Datenschutzbeauftragte gemeinsam mit den Fachbereichen. Jede neue Software, jeder neue Dienstleister und jeder neue Prozess wird vor dem Start ergänzt, zusätzlich empfiehlt sich eine jährliche Gesamtprüfung.

Sie erfasst strukturiert, welche Daten die Einrichtung wo, womit und zu welchem Zweck verarbeitet, und liefert damit das Gerüst des Verzeichnisses gleich mit. Auf dieser Basis erstellt zweiplus das vollständige VVT und hält es im Rahmen des Datenschutzmanagementsystems laufend aktuell.

Über uns

Unsere Kerntätigkeit ist die Bestellung als externe Datenschutzbeauftragte für kleine und mittelständische Unternehmen, kommunale Dienstleister und Gemeinden bis hin zur wirtschaftsprüfungspflichtigen Unternehmen.