Microsoft 365 in der Pflege: Wie Sie die Cloud datenschutzkonform nutzen
Teams für die Dienstübergabe, Outlook für die Kommunikation mit Angehörigen, SharePoint für gemeinsame Dokumente: In vielen Sozialstationen und Pflegediensten ist Microsoft 365 längst Alltag. Datenschutzrechtlich sauber eingerichtet ist die Cloud dadurch aber noch nicht automatisch – und bei Gesundheitsdaten schaut die Aufsicht genauer hin.
Warum das Thema für soziale Träger besonders heikel ist
Pflegedokumentation, Diagnosen, Medikationspläne – das sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Für sie gelten strengere Anforderungen an technische und organisatorische Maßnahmen als für gewöhnliche Geschäftsdaten. Wer Microsoft 365 im Pflegealltag nutzt, muss deshalb nicht nur irgendeinen Auftragsverarbeitungsvertrag mit Microsoft haben, sondern auch nachweisen können, dass die konkrete Konfiguration zum Schutzbedarf passt und dass für jeden externen Dienstleister, der Zugriff auf solche Daten hat, ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO besteht.
Hinzu kommt: Viele Sozialstationen und Pflegedienste sind kirchlich oder diakonisch organisiert – Caritas, Diakonie, kirchliche Stiftungen. Für sie gilt zusätzlich zur DSGVO das Kirchliche Datenschutzgesetz (KDG) beziehungsweise das Datenschutzgesetz der EKD, mit eigener Aufsicht und eigenen Anforderungen, die über die DSGVO hinausgehen. Wer als Träger beide Regelwerke gleichzeitig im Blick behalten muss, braucht klare Zuständigkeiten – nicht erst dann, wenn eine Prüfung ansteht.
Vier Bausteine für einen rechtskonformen Einsatz
Ein datenschutzkonformer Microsoft-365-Betrieb steht auf mehreren Säulen:
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO): Microsofts Standard-Datenschutznachtrag muss geprüft und ins eigene Verarbeitungsverzeichnis nach Art. 30 DSGVO eingetragen werden. Wichtig ist, genau zu verstehen, wo Microsoft als Auftragsverarbeiter handelt und wo als eigenständig Verantwortlicher.
- EU Data Boundary: Seit dem 1. Januar 2023 hält Microsoft die Verarbeitung von Kundendaten innerhalb der EU und des EWR, seit Januar 2024 gilt das für praktisch alle personenbezogenen Daten. Das erleichtert internationale Datentransfers, ersetzt aber nicht die eigene Prüfpflicht.
- Konfiguration: Diagnosedaten auf das niedrigste zulässige Level stellen, „Connected Experiences“ und die LinkedIn-Integration deaktivieren, geschäftliche statt private Microsoft-Konten verwenden.
- Dokumentation: Verarbeitungsverzeichnis, Vertragsablage und Informationsblätter für Mitarbeitende aktuell halten – auch das gehört zur Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Eine hundertprozentige, pauschale Rechtssicherheit gibt es dabei nicht – die konkrete Bewertung bleibt einzelfallabhängig und sollte im Zweifel mit dem eigenen Datenschutzbeauftragten abgestimmt werden. Standardvertragsklauseln und die EU Data Boundary erleichtern die Bewertung, sind für sich genommen aber kein Freifahrtschein, der jede Nutzung automatisch rechtfertigt.
Kirchliche Träger: Das KDG stellt eigene Anforderungen
Für kirchliche und diakonische Träger reicht die DSGVO-Betrachtung allein nicht aus. Das KDG verlangt unter anderem:
- Verträge, die neben der DSGVO ausdrücklich auch die Anwendung des KDG vereinbaren – der übliche Standard-Datenschutznachtrag genügt dafür nicht.
- Eine Einordnung der Verarbeitung in eine von drei Datenschutzklassen. Erfolgt keine Einordnung, gilt automatisch die höchste Klasse III.
- Mehrfaktor-Authentifizierung in sicherheitskritischen Bereichen und bei Zugriffen außerhalb gesicherter Netze.
- Eine Aufbewahrung von Audit-Protokollen von mindestens sechs Monaten, abhängig von der jeweiligen Lizenzierung.
- Ein Verbot, seelsorgliche Inhalte in Cloud-Diensten abzulegen – auch nicht in Teams oder OneNote.
Der empfohlene erste Schritt: ein Zuständigkeitsblatt, das festhält, welche Diözese oder Aufsicht zuständig ist und wer intern Ansprechpartner ist. Darauf bauen alle weiteren Maßnahmen auf, von der Vertragsprüfung bis zur technischen Konfiguration.
Ein Punkt, der dabei oft übersehen wird: Im Zuge der NIS-2-Umsetzung sollten auch Auftragsverarbeitungsverträge mit anderen IT-Dienstleistern noch einmal auf Aktualität geprüft werden – nicht nur der Vertrag mit Microsoft selbst. Wer die eigene Dienstleisterlandschaft einmal komplett durchgeht, findet dabei erfahrungsgemäß mehr offene Punkte als erwartet.
Was das für Sie bedeutet
Microsoft 365 lässt sich für Sozialstationen und Pflegedienste datenschutzkonform betreiben – aber nicht „out of the box“. Es braucht eine bewusste Konfiguration, saubere Verträge und, bei kirchlichen Trägern, zusätzlich die KDG-Perspektive. Wer das einmal sauber aufsetzt und dokumentiert, spart sich spätere Nachfragen von Aufsicht, Datenschutzbeauftragten oder Mitarbeitervertretung. Wir unterstützen Sozialstationen und Pflegedienste regelmäßig dabei, ihren Microsoft-365-Tenant entsprechend einzurichten und zu dokumentieren – sprechen Sie uns an, wenn Sie Ihre aktuelle Konfiguration einmal prüfen lassen möchten.