Datensicherheit im Sozialwesen

Schutz sensibler Daten: Compliance-Leitfaden für soziale Institutionen und Heime

Wer in einem Pflegeheim, einer sozialen Einrichtung oder einem Heim arbeitet, weiss: Die eigentliche Arbeit ist die Zeit mit Menschen. Doch im Hintergrund läuft eine Datenmaschinerie, die zunehmend anspruchsvoller wird und deren Fehlfunktion gravierende Konsequenzen haben kann.

Patientendossiers, Medikamentenpläne, Sozialberichte oder KESB-Akten enthalten besonders schützenswerte Daten. Gerade soziale Institutionen sollten daher im Idealfall über eine eigene IT-Abteilung und eine dedizierte Datenschutzstelle verfügen – in der Praxis ist dies jedoch nicht immer der Fall.

Warum der Datenschutz-Druck zunimmt

Das revidierte Schweizer Datenschutzgesetz (revDSG) ist seit September 2023 in Kraft. Es orientiert sich stark an der europäischen DSGVO und bringt konkrete Pflichten, je nach Grösse der Organisationen: Verzeichnis der Bearbeitungstätigkeiten[AH1] , Meldepflicht bei Datenschutzverletzungen, Datenschutz-Folgenabschätzungen bei Hochrisiko-Bearbeitungen und eine deutlich höhere Eigenverantwortung der Organisationen.

Für soziale Institutionen bedeutet das: Die Aussage «Wir haben das immer so gemacht» schützt nicht mehr. Ein Datenleck von Bewohnerdaten ist nicht nur ein Reputationsschaden, es kann umfangreiche Konsequenzen nach sich ziehen.

Die Datenschutzbeauftragte des Kantons Zürich macht in ihren Empfehlungen deutlich, dass Organisationen, die besondere Kategorien von Personendaten bearbeiten, ein dokumentiertes Informationssicherheits- und Datenschutzkonzept (ISDS-Konzept) umgesetzt haben müssen. Für soziale Institutionen im Kanton Zürich ist das keine Kür, es ist zunehmend eine Pflicht.

Wo die grössten Schwachstellen liegen

Aus der Praxis zeigen sich immer wieder dieselben Risikobereiche:

Mobile Pflegedokumentation ohne klare Regeln
Tablets und Smartphones sind aus dem Pflegealltag nicht mehr wegzudenken. Aber: Werden diese Geräte privat und dienstlich genutzt? Sind die Apps für die Pflegedokumentation wirklich auf einem sicheren Stand? Wer hat Zugriff, wenn ein Gerät verloren geht?

Datenaustausch mit externen Stellen
Arztpraxen, Spitäler, Behörden, Angehörige: Soziale Institutionen kommunizieren täglich mit vielen Parteien. Oft läuft das per E-Mail, manchmal sogar per WhatsApp. Unverschlüsselt, unkontrolliert, kaum nachvollziehbar.

Ungeklärte Cloud-Nutzung
Viele Institutionen nutzen Microsoft 365 oder planen die Einführung, oft ohne genau zu wissen, wo die Daten tatsächlich liegen, wer darauf Zugriff hat und ob die Konfiguration überhaupt datenschutzkonform ist. Ein Cloud-Dienst ist kein Freifahrtschein. Er muss richtig eingerichtet und laufend kontrolliert werden.

Fehlende Zugriffskontrollen
Wer darf was sehen? In kleineren Institutionen haben die Mitarbeitenden einfachheitshalber oft Zugriff auf sehr viele Daten. Das mag praktisch sein – datenschutzrechtlich ist es ein Problem.

Der Weg zu einer sicheren, compliant Cloud-Infrastruktur

Die guten Nachrichten: Das Rad muss nicht neu erfunden werden. Es gibt einen strukturierten Weg – der auch ohne grosses IT- und Compliance Budget machbar ist.

Schritt 1: Den Ist-Zustand kennen 

Bevor man etwas verbessern kann, muss man wissen, wo man steht. Ein Cloud Risk Assessment oder ein Datenschutz Maturitäts-Assessment schafft genau das: Einen unabhängigen Blick auf die aktuellen und potenziellen Risiken der Cloud-Nutzung, resp. der Maturität im Datenschutz und der Datensicherheit. Die RIZ AG arbeitet hier mit der auf Datenschutz und Datensicherheit spezialisierten camarque schweiz ag zusammen. Die Assessments von camarque sind speziell auf öffentliche Behörden und soziale Institutionen ausgerichtet. 

Konkret läuft das so ab: Nach einem initialen Fragebogen folgen Interviews, Dokumentenprüfung und technische Analyse. Das Ergebnis ist ein unabhängiger Bericht mit Management Summary, Risikobeschreibung und konkreten Anpassungshinweisen. Dieser Bericht kann direkt als Entscheidungsgrundlage für Stiftungsräte, Verwaltungsräte oder Gemeindebehörden verwendet werden.

Ansprechperson bei camarque ist Alex Hediger, Experte für Informationssicherheit & Datenschutz: alex.hediger@camarque.ch 

Schritt 2: Ein ISDS-Konzept erarbeiten

Das Assessment liefert die Grundlage, aber es braucht auch eine strukturierte Antwort darauf. Das Informationssicherheits- und Datenschutzkonzept (ISDS-Konzept) ist genau das: Ein dokumentiertes Rahmenwerk, das beschreibt, wie die Organisation mit Informationssicherheit und Datenschutz umgeht.

Es definiert Verantwortlichkeiten, Schutzbedarfe, technische Massnahmen und organisatorische Prozesse und es gibt Behörden und Prüfinstanzen auf Anfrage eine klare Antwort: «Ja, wir haben uns damit auseinandergesetzt, das machen wir und hier ist der Beweis.»

Schritt 3: Microsoft 365 richtig konfigurieren

Microsoft 365 ist ein mächtiges Werkzeug, aber «out of the box» ist es nicht automatisch datenschutzkonform konfiguriert. Es braucht gezielte Einstellungen: Welche Dienste sind aktiviert? Wo werden Daten gespeichert? Wie sind Berechtigungen vergeben? Was passiert, wenn Mitarbeitende das Unternehmen verlassen?

Die RIZ AG begleitet soziale Institutionen bei der datenschutzkonformen Einführung und dem Betrieb von Microsoft 365. Als Partner, der ISO/IEC 27001:2022 sowie 9001 zertifiziert ist und langjähriger Erfahrungen im Sozialwesen hat, wissen wir, welche Konfigurationen in der Praxis funktionieren und was den Pflegealltag nicht unnötig kompliziert macht.

Schritt 4: Mitarbeitende einbeziehen, nicht überlasten

Datenschutz scheitert häufig nicht an der Technik, sondern an der Alltagsrealität. Wenn die sichere Lösung drei Klicks mehr braucht als die unsichere, wird die unsichere Lösung genutzt. Das ist kein böser Wille – das ist Zeitdruck im Pflegealltag.

Deshalb gilt: Prozesse müssen so gestaltet werden, dass sie für Pflegepersonal tatsächlich handhabbar sind. Schulungen helfen, aber sie ersetzen keine gute Systemkonfiguration. Die IT muss der Sicherheit den Weg des geringsten Widerstands öffnen.

Haben Sie Fragen oder möchten Sie wissen, wo Ihre Institution heute steht? Kontaktieren Sie uns unverbindlich.