DSGVO-konforme Dokumentation: die fünf Punkte, die geprüft werden

Soziale Träger arbeiten mit den sensibelsten Daten überhaupt: Gesundheit, Familie, Kindeswohl. Entsprechend hoch sind die Anforderungen – und entsprechend groß die Unsicherheit. „Machen wir das richtig?" ist eine Frage, die viele Leitungen nachts beschäftigt. Dieser Artikel bringt Ordnung in die wichtigsten Punkte.

Hinweis: Dies ist eine fachliche Orientierung, keine Rechtsberatung. Für verbindliche Bewertungen zieht eure Datenschutzbeauftragten hinzu.

1. Zugriff: Nur wer muss, darf sehen

Das Fundament ist ein sauberes Rollen- und Rechtekonzept. Nicht jeder braucht jede Akte. Wer darf Klientendaten sehen, wer abrechnen, wer Personal verwalten? Je feiner das einstellbar ist, desto besser. Wichtig: Gesperrte Bereiche müssen auch per Direktlink gesperrt sein, nicht nur im Menü ausgeblendet.

2. Nachvollziehbarkeit: Wer hat was geändert?

Ein Protokoll (Audit-Log) über Zugriffe und Änderungen ist nicht nur Pflicht-Kür, sondern schützt euch: Im Streitfall lässt sich belegen, wer wann was getan hat. In Kombination mit einer Versionierung der Dokumentation (alte Stände bleiben erhalten) ist jede Änderung lückenlos nachvollziehbar.

3. Aufbewahrungsfristen: So lange wie nötig

Sozialdaten unterliegen Aufbewahrungsfristen – je nach Hilfeart und Rechtsgrundlage unterschiedlich lang. Entscheidend ist, dass die Fristen überhaupt systematisch hinterlegt sind und nicht im Kopf einzelner Personen stecken.

4. Löschkonzept: Was passiert danach?

Hier scheitern viele. Daten dürfen nicht ewig liegen bleiben. Ein Löschkonzept regelt, was nach Ablauf der Frist passiert: löschen oder anonymisieren. Gut ist, wenn das System fällige Datensätze anzeigt und das Löschen/Anonymisieren nachvollziehbar dokumentiert – statt dass es manuell und unbelegt passiert.

5. Technik & Hosting: Wo liegen die Daten?

• Hosting in Deutschland vereinfacht vieles und schafft Vertrauen.
• Ein Auftragsverarbeitungs-Vertrag (AVV) mit dem Anbieter ist Pflicht.
• Zwei-Faktor-Anmeldung und automatische Backups gehören zum Standard.
• Bei KI-Funktionen: Werden Daten anbieteroffen und anonymisiert verarbeitet?

Die ehrliche Prüf-Frage

Stell dir vor, morgen kommt eine Datenschutz- oder Fach-Prüfung. Könntet ihr auf Knopfdruck zeigen: Wer hat Zugriff, wer hat was geändert, welche Fristen laufen, was wurde gelöscht? Wenn ja, seid ihr gut aufgestellt. Wenn das drei Tage Mappen-Wälzen bedeutet, ist es Zeit für ein System, das diese Nachweise eingebaut hat.

Lies auch