DSGVO-konforme Dokumentation: die fünf Punkte, die geprüft werden

Nils Rieter · Gründer von Lotsana, IT-Unternehmer aus dem Raum Köln. Baut Fachsoftware für ambulante soziale Dienste und schreibt hier über die Praxis dahinter.

Soziale Träger arbeiten mit den sensibelsten Daten überhaupt: Gesundheit, Familie, Kindeswohl. Entsprechend hoch sind die Anforderungen, und entsprechend groß die Unsicherheit. „Machen wir das richtig?" ist eine Frage, die viele Leitungen nachts beschäftigt. Dieser Artikel bringt Ordnung in die wichtigsten Punkte.

Hinweis: Dies ist eine fachliche Orientierung, keine Rechtsberatung. Für verbindliche Bewertungen zieht eure Datenschutzbeauftragten hinzu.

1. Zugriff: Nur wer muss, darf sehen

Das Fundament ist ein sauberes Rollen- und Rechtekonzept. Nicht jeder braucht jede Akte. Wer darf Klientendaten sehen, wer abrechnen, wer Personal verwalten? Je feiner das einstellbar ist, desto besser. Wichtig: Gesperrte Bereiche müssen auch per Direktlink gesperrt sein, nicht nur im Menü ausgeblendet.

2. Nachvollziehbarkeit: Wer hat was geändert?

Ein Protokoll (Audit-Log) über Zugriffe und Änderungen ist nicht nur Pflicht-Kür, sondern schützt euch: Im Streitfall lässt sich belegen, wer wann was getan hat. In Kombination mit einer Versionierung der Dokumentation (alte Stände bleiben erhalten) ist jede Änderung lückenlos nachvollziehbar.

3. Aufbewahrungsfristen: So lange wie nötig

Sozialdaten unterliegen Aufbewahrungsfristen, je nach Hilfeart und Rechtsgrundlage unterschiedlich lang. Entscheidend ist, dass die Fristen überhaupt systematisch hinterlegt sind und nicht im Kopf einzelner Personen stecken.

4. Löschkonzept: Was passiert danach?

Hier scheitern viele. Daten dürfen nicht ewig liegen bleiben. Ein Löschkonzept regelt, was nach Ablauf der Frist passiert: löschen oder anonymisieren. Gut ist, wenn das System fällige Datensätze anzeigt und das Löschen/Anonymisieren nachvollziehbar dokumentiert, statt dass es manuell und unbelegt passiert.

5. Technik & Hosting: Wo liegen die Daten?

Hosting in Deutschland vereinfacht vieles und schafft Vertrauen.
Ein Auftragsverarbeitungs-Vertrag (AVV) mit dem Anbieter ist Pflicht.
Zwei-Faktor-Anmeldung und automatische Backups gehören zum Standard.
Bei KI-Funktionen: Werden Daten anbieteroffen und anonymisiert verarbeitet?

Die ehrliche Prüf-Frage

Stell dir vor, morgen kommt eine Datenschutz- oder Fach-Prüfung. Könntet ihr auf Knopfdruck zeigen: Wer hat Zugriff, wer hat was geändert, welche Fristen laufen, was wurde gelöscht? Wenn ja, seid ihr gut aufgestellt. Wenn das drei Tage Mappen-Wälzen bedeutet, ist es Zeit für ein System, das diese Nachweise eingebaut hat.

Dokumentation, Fristen und Löschkonzept sind Fleißarbeit, aber keine, die du zweimal machst, wenn die Struktur einmal steht. Der Baustein, an dem die meisten hängen, ist die Folgenabschätzung: Das kostenlose DSFA-Muster für soziale Träger nimmt dir das leere Blatt ab. Es ist eine Arbeitshilfe, keine Rechtsberatung.

Lies auch

Schulbegleitung digital dokumentieren: Stunden, Ferien, Nachweise

Wie Träger Schulbegleitung effizient dokumentieren: Stundenerfassung mit Ferienlogik, Leistungsnachweise und Abrechnung ohne Zettelwirtschaft, praxisnah erklärt.

Weiterlesen →

Fachsoftware für die Eingliederungshilfe vergleichen: worauf es wirklich ankommt

Worauf es beim Vergleich von Fachsoftware für Eingliederungs- und Jugendhilfe wirklich ankommt: 7 praxisnahe Kriterien, mit denen du teure Fehlentscheidungen vermeidest.

Weiterlesen →

Weiterlesen

Digitale Klientenakte in der Sozialarbeit: was rein muss (mit Prüfliste)

Passend dazu auf lotsana.de: Software für Trägerorganisationen · Klientenverwaltung