Datenschutz in der Pflege: was gilt für Pflegedokumentation und die Weitergabe von Gesundheitsdaten?

Gesundheitsdaten sind besonders geschützt

Pflegeheime und Spitex-Organisationen bearbeiten täglich Daten über die Gesundheit ihrer Bewohnerinnen, Klienten und Klientinnen. Das Datenschutzgesetz (DSG) zählt Daten über die Gesundheit zu den besonders schützenswerten Personendaten (Art. 5 Bst. c DSG). Dazu gehören auch Daten über Massnahmen der sozialen Hilfe. Wer solche Daten Dritten bekannt gibt, verletzt die Persönlichkeit (Art. 30 Abs. 2 DSG). Widerrechtlich ist das, wenn kein Rechtfertigungsgrund vorliegt, also keine Einwilligung, kein überwiegendes privates oder öffentliches Interesse und keine gesetzliche Grundlage (Art. 31 DSG).

Welches Gesetz genau gilt, hängt von der Trägerschaft ab. Für private Heime und Spitex-Organisationen gilt das DSG des Bundes. Öffentlich-rechtliche Einrichtungen unterstehen in der Regel dem kantonalen Datenschutzrecht. So ist die Datenschutzbeauftragte des Kantons Zürich nach eigenen Angaben für rund 160 der über 300 Alters- und Pflegezentren im Kanton zuständig. Welche Regeln für Ihre Einrichtung gelten, klären Sie mit der kantonalen Datenschutzstelle oder der Aufsicht.

Berufsgeheimnis: wer schweigen muss

Neben dem Datenschutz gilt das strafrechtliche Berufsgeheimnis. Seit dem 1. Februar 2020 nennt Art. 321 des Strafgesetzbuches (StGB) ausdrücklich auch Pflegefachpersonen, neben Ärzten, Physiotherapeuten, Ergotherapeuten und weiteren Gesundheitsberufen, sowie ihre Hilfspersonen. Wer ein Geheimnis offenbart, das ihm im Beruf anvertraut wurde, wird auf Antrag bestraft. Die Pflicht gilt auch nach dem Ende der Berufsausübung. Nicht strafbar ist die Offenbarung mit Einwilligung der berechtigten Person oder mit einer auf Gesuch erteilten schriftlichen Bewilligung der vorgesetzten Behörde oder Aufsichtsbehörde.

Als Hilfspersonen nennt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zum Beispiel medizinische Sekretariate, Praxisassistenzen, IT-Dienstleister und Labore. Gesundheitsberufe, die nicht unter Art. 321 StGB fallen, unterstehen laut EDÖB der beruflichen Schweigepflicht nach Art. 62 DSG: Wer geheime Personendaten aus seiner Berufstätigkeit vorsätzlich offenbart, wird auf Antrag mit Busse bis zu 250 000 Franken bestraft. Das gilt auch für Personen, die für eine geheimhaltungspflichtige Person tätig sind.

Was in die Pflegedokumentation gehört

Das Merkblatt des Kantons Aargau für Spitex-Klientinnen und -Klienten nennt zwei Zwecke der Klientendokumentation: die fachliche Pflege und Betreuung sicherzustellen und die erbrachten Leistungen für die Rechnungsstellung und gegenüber den Versicherern nachzuweisen. Daraus folgt nach den Grundsätzen des DSG, was hineingehört und was nicht:

• Zweckbindung: Daten nur für einen bestimmten, erkennbaren Zweck beschaffen und nur damit vereinbar bearbeiten (Art. 6 Abs. 3 DSG).
• Verhältnismässigkeit: nur erfassen, was für Pflege, Betreuung und Abrechnung nötig ist (Art. 6 Abs. 2 DSG).
• Richtigkeit: unrichtige oder unvollständige Daten berichtigen (Art. 6 Abs. 5 DSG). Laut Aargauer Merkblatt kann eine Person einen Bestreitungsvermerk verlangen, wenn sich die Richtigkeit nicht beweisen lässt.
• Löschen: Daten vernichten oder anonymisieren, wenn sie nicht mehr nötig sind (Art. 6 Abs. 4 DSG), unter Vorbehalt der Aufbewahrungspflichten.

Die Aufbewahrungsfristen regelt das kantonale Recht. Im Kanton Aargau etwa muss eine Spitex die Klientendaten mindestens 10 Jahre aufbewahren, aus medizinischen Gründen höchstens 20 Jahre seit Erstellung. In anderen Kantonen kann das abweichen.

Zugriff im Team: wer darf was sehen?

Das DSG verlangt eine dem Risiko angemessene Datensicherheit durch technische und organisatorische Massnahmen (Art. 8 DSG). Wie das in der Praxis aussieht, zeigt eine Kontrolle der Zürcher Datenschutzbeauftragten von 2023 in 16 Alters- und Pflegezentren. Zu den häufigsten Mängeln gehörten:

• gemeinsam genutzte Geräte und Logins, sodass Änderungen nicht nachvollziehbar waren, teils mit Zugangsdaten am Bildschirm;
• keine der kontrollierten Einrichtungen zeichnete die Lesezugriffe auf die Pflegedokumentation auf;
• kaum Zwei-Faktor-Authentisierung beim Zugriff von aussen auf Gesundheitsdaten;
• fehlende Updates, unverschlüsselte Backups und kein Notfallplan für Cyberangriffe.

Der EDÖB hält fest, dass das Berufsgeheimnis auch zwischen Personen gilt, die ihm selbst unterstehen. Eine gemeinsame Dokumentation ist so einzurichten, dass jede Fachperson nur auf die Daten der eigenen Patientinnen und Patienten zugreifen kann. Für ein Heim heisst das: persönliche Konten, ein Rollen- und Berechtigungskonzept und Lesezugriffe, die aufgezeichnet und regelmässig kontrolliert werden.

Auskunft an Angehörige

Angehörige gehören nicht automatisch zum Kreis der Berechtigten. Das Aargauer Merkblatt hält fest, dass Klientendaten weiteren Personen nur mit ausdrücklicher schriftlicher Zustimmung oder nach einer Befreiung von der Schweigepflicht durch das Departement mitgeteilt werden, und zwar auch Familienangehörigen, Ehepartnern und Kindern sowie Personen im gleichen Haushalt.

Kantone können für Bezugspersonen eigene Regeln kennen. Der Leitfaden der Zürcher Gesundheitsdirektion zum Erwachsenenschutzrecht für Pflegeheime (Stand November 2012) beschreibt, dass das Team nach dem Zürcher Patientengesetz bei bezeichneten Bezugspersonen davon ausgehen darf, sie über den Gesundheitszustand zu informieren, ausser die Person hat das abgelehnt. Einsicht in die Dokumentation erhalten sie aber nur mit Einverständnis. Ist die Person urteilsunfähig, bleibt das Einsichtsrecht den Personen vorbehalten, die sie bei medizinischen Massnahmen vertreten dürfen. Wer das ist, legt Art. 378 ZGB in einer festen Reihenfolge fest, beginnend mit der Person aus Patientenverfügung oder Vorsorgeauftrag.

Weitergabe an Ärzte, Therapien und Versicherer

Die Einwilligung kann laut EDÖB ausdrücklich, stillschweigend oder durch das Verhalten erfolgen, setzt aber immer eine verständliche Information voraus. Weitergegeben wird nur, was der Empfänger für seine Aufgabe braucht.

• Ärztinnen und Therapien: Die Zürcher Datenschutzbeauftragte hielt 2025 zu einer Physiotherapie im Pflegeheim fest, dass für einen umfassenden Zugriff auf die Pflegesoftware und eine gemeinsame Dokumentation die gesetzliche Grundlage fehlt. Zulässig ist eine begrenzte Auskunft über einzelne Bewohnende, beschränkt auf das, was die Therapie braucht.
• Versicherer: Laut Aargauer Merkblatt erhalten die Versicherer, insbesondere die Krankenversicherer, im Rahmen der gesetzlichen Bestimmungen Einsicht, beschränkt auf das Notwendige.
• Notfälle: In medizinischen Notfällen dürfen Daten laut Aargauer Merkblatt auch ohne Zustimmung an Medizinalpersonen weitergegeben werden.
• Behörden: nur in den vom Gesetz bestimmten Fällen. Vorbehalten bleiben die Bestimmungen über Melde- und Mitwirkungsrechte, die Zeugnispflicht und die Auskunftspflicht gegenüber Behörden (Art. 321 Ziff. 3 StGB).

Datenschutzkonformer Dokumentenversand

Wer Berichte, Verordnungen oder Übertrittsdokumente verschickt, gibt Gesundheitsdaten bekannt. Für Gesundheitsfachpersonen verlangt der EDÖB beim Versand per E-Mail Sicherheitsvorkehrungen wie eine Verschlüsselung. Darauf verzichtet werden darf nur, wenn die Person vorher über die Risiken informiert wurde, etwa Abfangen, gehackte Postfächer oder falsche Empfänger, und eingewilligt hat. Cloud-Dienste im Ausland sind laut EDÖB zu vermeiden, weil ausländisches Recht nicht immer einen Schutz bietet, der Art. 321 StGB entspricht.

Setzen Sie für Versand, Speicherung oder Software einen Dienstleister ein, ist er Auftragsbearbeiter. Das ist zulässig, wenn er die Daten nur so bearbeitet, wie Sie es selbst dürften, und keine Geheimhaltungspflicht die Übertragung verbietet (Art. 9 DSG). Sie müssen sich vergewissern, dass er die Datensicherheit gewährleisten kann. Gehen Daten ins Ausland, gelten die Regeln von Art. 16 DSG.

Auskunft, Pannen und Folgenabschätzung

Jede Person kann Auskunft verlangen, ob und welche Daten über sie bearbeitet werden (Art. 25 DSG). Gesundheitsdaten dürfen ihr mit ihrer Einwilligung über eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden. Laut Aargauer Merkblatt erhalten Spitex-Klientinnen auf Verlangen Einsicht, eine Erläuterung und in der Regel eine Kopie.

Eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko führt, ist dem EDÖB so rasch als möglich zu melden (Art. 24 DSG). Bei einer umfangreichen Bearbeitung besonders schützenswerter Daten ist vorgängig eine Datenschutz-Folgenabschätzung zu erstellen (Art. 22 DSG). Ob das auf Ihre Einrichtung zutrifft, ist im Einzelfall zu prüfen. Weitere Pflichten wie das Bearbeitungsverzeichnis erklärt der nDSG-Ratgeber für KMU.

Checkliste: Datenschutz in Heim und Spitex

1. Anwendbares Recht klären: DSG oder kantonales Datenschutzgesetz, dazu die kantonalen Aufbewahrungsfristen.
2. Information beim Eintritt: Zweck, Empfänger und Rechte verständlich erklären, etwa mit einem Merkblatt.
3. Auskunftsberechtigte festhalten: Wer darf was erfahren? Zustimmung schriftlich und mit Datum dokumentieren.
4. Vertretung klären: Patientenverfügung, Vorsorgeauftrag oder Vertretung nach Art. 378 ZGB.
5. Persönliche Konten statt gemeinsamer Logins, Rollen nach Aufgabe.
6. Lesezugriffe protokollieren und stichprobenweise kontrollieren.
7. Weitergaben begrenzen: nur das Nötige an Ärzte, Therapien und Versicherer.
8. Sicher versenden: verschlüsselt, oder unverschlüsselt nur nach Information und Einwilligung.
9. Dienstleister prüfen: Vertrag, Geheimhaltung, Speicherort, Datensicherheit.
10. Notfallplan für Datenpannen und Meldung an den EDÖB.

Und Meyssens?

Meyssens ist ein Einzelunternehmen in Lausen (BL) und hat noch keine Kunden. Wir setzen individuell auf Anfrage kleine Bausteine um, die mit möglichst wenig Gesundheitsdaten auskommen sollen. Sie sind keine fertigen Produkte. Der Baustein für Besichtigungen und Informationsgespräche ist so gedacht, dass Interessierte mit Name und Kontakt buchen, ohne Angaben zur Gesundheit, und Bestätigungen nur Datum, Ort und Ansprechperson enthalten. Die Vorprüfung der Leistungsabrechnung soll den Export aus Ihrer Pflegesoftware lesen und eine Warnliste erstellen, ohne die Datei zu verändern.

Wie Daten im Einzelfall gespeichert und weitergegeben werden, klären wir vor jedem Projekt mit Ihnen, und die Verantwortung für die Pflegedokumentation bleibt beim Betrieb. Mehr zu Abläufen und Berufsgeheimnis auf der Seite Pflegeheim und Spitex, und zur Abrechnung im Ratgeber elektronische Spitex-Abrechnung.