Datenschutzpannen im Krankenhaus: Warum null Meldungen ein Warnsignal sein können

Keine Datenpannen in zwei Jahren – ist das wirklich ein gutes Zeichen?

Ein Krankenhaus verarbeitet täglich Tausende personenbezogene Daten. Beschäftigte verschicken Arztbriefe, bearbeiten Patientenakten und tauschen medizinische Informationen aus. Dabei können Fehler passieren. Eine E-Mail erreicht den falschen Empfänger oder ein Dokument wird versehentlich weitergegeben.

Doch was bedeutet es, wenn eine Klinik über Jahre hinweg keinen einzigen Datenschutzvorfall registriert?

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) hat das Datenpannenmanagement von 33 Kliniken untersucht. In ihrer Mitteilung vom 28. April 2026 berichtet die Behörde, dass zwölf Einrichtungen für die Jahre 2023 und 2024 keine einzige bekannt gewordene Datenpanne angegeben hatten.

Die Datenschutzaufsicht hält es für unwahrscheinlich, dass in großen Einrichtungen über einen so langen Zeitraum überhaupt keine Fehler passieren.

Die Untersuchung zeigt auch positive Ergebnisse. Die Kliniken waren vergleichsweise selten von Cyberangriffen betroffen. Die Behörde vermutet, dass dies mit den hohen IT-Sicherheitsstandards zusammenhängt.

Die häufigsten Datenschutzvorfälle betrafen dagegen Fehlversendungen und andere unbefugte Datenweitergaben.

Das ist eine wichtige Erkenntnis: Nicht jede Datenschutzpanne entsteht durch einen Hackerangriff. Häufig reicht ein einfacher Fehler im Arbeitsalltag.

Problematisch wird es, wenn Beschäftigte solche Vorfälle nicht intern melden. Vielleicht wurde der falsche Empfänger direkt kontaktiert und um Löschung gebeten. Oder der Fehler erscheint so unbedeutend, dass niemand die Datenschutzabteilung informiert.

Damit fehlt jedoch eine wichtige Grundlage für die rechtliche Bewertung.

Die DSGVO unterscheidet zwischen der internen Dokumentation und der Meldung an die Datenschutzaufsichtsbehörde.

Nach Artikel 33 DSGVO müssen Verantwortliche Datenschutzverletzungen dokumentieren. Das gilt auch dann, wenn ein Vorfall nicht an die Behörde gemeldet werden muss.

Eine Meldung an die Aufsicht ist grundsätzlich erforderlich, wenn ein Risiko für die Rechte und Freiheiten betroffener Personen besteht. Sie muss möglichst unverzüglich und grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden erfolgen.

Besteht voraussichtlich ein hohes Risiko, müssen nach Artikel 34 DSGVO unter Umständen auch die betroffenen Personen informiert werden.

Gerade bei Gesundheitsdaten ist eine sorgfältige Risikobewertung wichtig, weil diese Informationen besonders sensibel sind.

Die Ergebnisse aus Nordrhein-Westfalen sind auch für Pflegeeinrichtungen, Arztpraxen und andere Unternehmen relevant. Entscheidend ist ein Meldeprozess, der im Arbeitsalltag tatsächlich funktioniert.

Wir empfehlen sechs Maßnahmen:

1. Meldewege festlegen: Beschäftigte müssen wissen, an wen sie sich bei einem Vorfall wenden.
2. Niedrige Meldeschwellen schaffen: Auch vermeintlich kleine Fehler sollten intern gemeldet werden.
3. Vorfälle dokumentieren: Halten Sie Ursache, betroffene Daten, Risiken und Maßnahmen fest.
4. Risiken bewerten: Prüfen Sie, ob eine Meldung an die Datenschutzaufsicht notwendig ist.
5. Beschäftigte schulen: Verwenden Sie Beispiele aus dem Arbeitsalltag.
6. Fehler auswerten: Untersuchen Sie, ob bestimmte Vorfälle häufiger auftreten und Prozesse verbessert werden müssen.

Wichtig ist eine offene Fehlerkultur. Wer eine versehentlich falsch versendete E-Mail sofort meldet, ermöglicht schnelle Gegenmaßnahmen.

Datenschutz Prinz unterstützt Kliniken, Gesundheitseinrichtungen und Unternehmen beim Aufbau eines wirksamen Datenpannenmanagements. Wir helfen bei der Bewertung von Vorfällen, der Dokumentation und der Entscheidung über gesetzliche Meldepflichten.

Außerdem unterstützen wir bei der Schulung von Beschäftigten und der Verbesserung interner Abläufe.

Ein gutes Datenpannenmanagement im Krankenhaus erkennt Fehler, statt sie zu übersehen. Die Untersuchung aus Nordrhein-Westfalen zeigt, dass hohe technische Sicherheitsstandards allein nicht ausreichen.

Erst wenn Beschäftigte Vorfälle zuverlässig melden und Verantwortliche diese systematisch bewerten, kann Datenschutz im Alltag funktionieren. 

Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennen zu lernen!

Ihr Team von Datenschutz Prinz