Zur allgemeinen Orientierung. Für Ihre persönliche Situation helfen Pflegeberatung und die zuständigen Fachstellen weiter.
Digitale Pflegeunterlagen enthalten sensible Gesundheitsdaten. Pflegeeinrichtungen und Pflegedienste sollten festlegen, wer die Unterlagen anhand der jeweiligen Aufgabe und des Versorgungsbedarfs lesen darf und wem Änderungen oder Weitergaben erlaubt sind.
Einrichtungen müssen sowohl die interne Pflegedokumentation als auch die elektronische Patientenakte (ePA) schützen. Für beide gelten jedoch unterschiedliche Zugriffsregeln.
Interne Akte und ePA trennen
Eine Pflegeeinrichtung oder ein Pflegedienst führt die interne digitale Pflegedokumentation im eigenen Dokumentationssystem. Sie umfasst je nach Angebot zum Beispiel Stammdaten, Risikoeinschätzungen, Maßnahmenplanung, Pflegeberichte und Leistungsnachweise. Dafür braucht die Einrichtung ein eigenes Konzept. Es legt fest, wer welche Funktionen nutzen und auf welche Unterlagen zugreifen darf. Eine bundesweit einheitliche Rechtematrix für alle Pflegeeinrichtungen gibt es nicht.
Die ePA ist eine gesonderte, einrichtungsübergreifende Akte. Ihre Zugriffsregeln ergeben sich unter anderem aus dem Sozialgesetzbuch V und den technischen Abläufen der Telematikinfrastruktur. Eine Berechtigung für die interne Pflegedokumentation bedeutet daher nicht automatisch, dass dieselbe Person auch auf die ePA zugreifen darf.
Rechte nach Aufgaben vergeben
Nach der Datenschutz-Grundverordnung sind Gesundheitsdaten besonders geschützt. Artikel 32 verlangt technische und organisatorische Schutzmaßnahmen, die zum jeweiligen Risiko passen. Beschäftigte erhalten deshalb nur die Zugriffsrechte, die sie für ihre konkrete Arbeit brauchen.
Eine Pflegefachkraft braucht Zugriff auf die Informationen, die für die Versorgung der betreuten Person wichtig sind. Das berechtigt nicht alle Beschäftigten dazu, sämtliche Akten einzusehen. Verwaltungsmitarbeitende benötigen zum Beispiel nicht automatisch dieselben Einsichts- und Änderungsrechte wie Pflegekräfte. Pflegeassistenz und Leitung sollten jeweils eigene Rollen mit passenden Rechten erhalten. Für die IT-Administration sollte ebenfalls eine getrennte Rolle eingerichtet werden, deren Rechte zu den Aufgaben passen.
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt im IT-Grundschutz persönliche Benutzerkennungen, dokumentierte Rechteprofile und das Prinzip „so wenig Rechte wie nötig“. Diese Empfehlungen geben eine technische Orientierung. Sie schreiben nicht für jede Pflegeeinrichtung eine bestimmte Rechtematrix gesetzlich vor.
Konten und Zugriffsrechte verwalten
Jede Person sollte ein eigenes Konto nutzen. Gemeinsame Zugänge erschweren es, nachzuvollziehen, wer eine Akte angesehen oder geändert hat. Die Einrichtung sollte festlegen, wer Zugriffsrechte genehmigt und wie die Genehmigung dokumentiert wird.
Bei einer neuen Stelle erhält eine beschäftigte Person nur die Rechte, die sie für ihre Aufgaben braucht. Ändert sich die Rolle, werden nicht mehr benötigte Berechtigungen angepasst. Beim Austritt wird das Konto gesperrt. Die Abläufe für Eintritt, Rollenwechsel und Austritt sollten diese Schritte verbindlich festlegen.
Die zuständige Leitung sollte regelmäßig prüfen, ob die Zugriffsrechte noch zu den Aufgaben der Beschäftigten passen. Protokolle halten fest, wer auf Unterlagen zugegriffen oder sie geändert hat. Wie viele Zugriffe und Änderungen ein internes Dokumentationssystem protokolliert, hängt vom jeweiligen Risiko und den Funktionen der Software ab.
Besonderheiten der ePA beachten
Nach dem Sozialgesetzbuch V kommen unter anderem Pflegefachpersonen und bestimmte Pflegekräfte für den Zugriff auf die ePA infrage. Der Zugriff muss für die Versorgung erforderlich sein. Für bestimmte Assistenz- und Hilfskräfte gelten zusätzliche Bedingungen, darunter die Aufsicht durch eine zugriffsberechtigte Pflegekraft.
Nach Angaben der gematik stellt das Einlesen der elektronischen Gesundheitskarte in der Pflege den Behandlungskontext her, also den Zusammenhang zwischen dem Zugriff und der Versorgung. Laut gematik muss die pflegebedürftige Person dafür keine PIN eingeben. Die gematik nennt für Pflegeeinrichtungen eine standardmäßige Zugriffsberechtigung für 90 Tage. Versicherte oder ihre Vertretungen können die Dauer ändern oder den Zugriff beenden. Außerdem können sie Dokumente oder Kategorien verbergen. Diese Einstellungen gelten für alle medizinischen Einrichtungen, die auf die ePA zugreifen.
Laut Gesetz ist der Zugriff im Behandlungskontext zulässig, wenn Versicherte nicht widersprochen haben. Zugriffe auf die ePA müssen elektronisch und nachvollziehbar protokolliert werden. Die technische Umsetzung legt fest, wie die Pflegeeinrichtung den Zugriff im Pflegealltag einrichtet. Das Gesetz legt fest, wann er zulässig ist. Einrichtungen sollten deshalb die geltenden gesetzlichen Regeln und die tatsächlichen Abläufe ihrer Technik getrennt prüfen.
Einsicht und Angehörigenzugriff
Angehörige erhalten nicht allein aufgrund ihrer Verwandtschaft automatisch Zugriff auf Pflegeunterlagen oder die ePA. Vor einer Freigabe muss die Einrichtung prüfen, ob eine Vollmacht, eine gesetzliche Vertretung oder eine andere passende Berechtigung vorliegt. Sie muss auch klären, für welche Unterlagen und Handlungen die Berechtigung gilt.
Auch der Anspruch auf Einsicht hängt davon ab, um welche Akte es geht. Die §§ 630f und 630g des Bürgerlichen Gesetzbuchs regeln Dokumentation und Einsicht in Behandlungsakten. Auf interne Pflegedokumentationen lassen sie sich nicht ohne Weiteres übertragen. Der Medizinische Dienst Bayern beschreibt für die ambulante Pflege Anforderungen an die Einsicht in elektronische Dokumentation. Dazu gehört ein barrierefreier Zugang zu den jeweiligen Leistungsbereichen. Diese Maßstäbe gelten nicht automatisch für alle stationären Einrichtungen.
Bei einer Anfrage zur Einsicht sollte die Einrichtung zuerst prüfen, um welche Akte es geht, wer die Anfrage stellt und ob diese Person dazu berechtigt ist. Bei Unsicherheit können die Datenschutzbeauftragten des Trägers helfen. Auch eine rechtliche Prüfung der konkreten Unterlagen kann Klarheit schaffen.
