Patientendaten haben in Sozialen Medien nichts zu suchen
Mehrfach sind in Nordrhein-Westfalen Pflegekräfte als Influencer aufgefallen, die Pflegebedürftige durch Reels oder Livestreams im Internet zur Schau gestellt haben. Das ist nicht nur ein Vertrauensbruch, sondern regelmäßig auch ein Datenschutzverstoß mit finanziellen Folgen. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) hat solche Fälle 2025 mehrfach geprüft. Bilder schwerer Krankheiten, schlecht gemachte Dokumentationen des Arbeitsalltags oder Livestreams am Patientenbett: Mitarbeitende von Pflegeeinrichtungen teilen zunehmend Eindrücke aus ihrem Job auf Social-Media-Plattformen. Die Motive sind unterschiedlich. Manche Pflegekräfte wollen Krankheitsbilder oder erkrankte Körperteile zeigen, andere Aufmerksamkeit für ihren Berufsalltag erzeugen, eine dritte Gruppe berichtet über genau solche Veröffentlichungen und verstärkt damit das Problem zusätzlich. In den meisten Fällen begehen die Betreuungskräfte damit nicht nur arbeitsrechtliche Pflichtverletzungen, sondern verstoßen auch gegen den Datenschutz. Solche Veröffentlichungen von Patientendaten sind allenfalls mit Einwilligung der Betroffenen zulässig. Das aber ist je nach Krankheitsbild gar nicht möglich, weil viele Erkrankungen bereits die Einwilligungsfähigkeit ausschließen.
Die LDI NRW hat 2025 mehrere solcher Vorgänge überprüft. Pflegekräfte hatten Videos während der Arbeit erstellt und anschließend oder live auf Social-Media-Plattformen geteilt. In einem Fall verbreiteten Personen im Bundesfreiwilligendienst Patientenvideos und -fotos über die App Snapchat. Daneben kam es wiederholt zu Livestreams aus dem Pflegealltag durch Einzelpersonen, die sich und ihre Arbeit im Internet präsentierten. Mehrere Pflegekräfte einer Station posteten gemeinsam Videos und verbrachten so die Pause während der Nachtschicht virtuell mit ihren Followerinnen und Followern. Eine weitere Pflegekraft teilte regelmäßig Videos schwer erkrankter Patientinnen und Patienten und stellte dem in anderen Videos ihr eigenes Leben gegenüber.
Datenschutzrechtlich sind all diese Beispiele hochproblematisch. Werden Personen oder personenbezogene Daten in Videos oder Livestreams gezeigt, handelt es sich um eine Datenverarbeitung. Diese benötigt grundsätzlich eine Rechtsgrundlage nach Art. 6 Abs. 1 DS-GVO. Sind Gesundheitsdaten betroffen, ist deren Verarbeitung nach Art. 9 DS-GVO sogar nur mit ausdrücklicher Einwilligung der betroffenen Person zulässig. Die DS-GVO untersagt die Verarbeitung von Gesundheitsdaten aufgrund ihrer Sensibilität grundsätzlich. Umso schwerer wiegt es, wenn ausgerechnet Personen diese Daten veröffentlichen, denen Patientinnen, Patienten und Angehörige besonders vertrauen. Wenn Pflegekräfte besonders geschützte und sensible Gesundheitsdaten einem unbegrenzten Kreis unbefugter Dritter in Sozialen Netzwerken offenbaren, wiegt das entsprechend schwer. Die Folgen für die Betroffenen können erheblich sein.
Die LDI NRW warnt deshalb eindringlich alle in der Pflege Tätigen. In keinem der geprüften Fälle war das Vorgehen rechtlich zulässig. Die betroffenen Personen hatten nicht eingewilligt, in einem Video oder Livestream zu erscheinen, die Aufnahmen und Veröffentlichungen erfolgten ohne ihr Wissen. Solche Rechtsverstöße können empfindliche Geldbußen nach sich ziehen. Betroffene können darüber hinaus Schadensersatzansprüche geltend machen.
Unsere Empfehlungen
Gesundheitseinrichtungen
Pflegeeinrichtungen sollten klare, schriftliche Social-Media-Richtlinien für Mitarbeitende einführen und regelmäßig schulen. Kameras und Smartphones haben am Patientenbett grundsätzlich nichts verloren, wenn keine dienstliche Notwendigkeit besteht. Bei Verdachtsfällen sollten Einrichtungen konsequent arbeitsrechtlich und datenschutzrechtlich reagieren, auch um eigene Haftungsrisiken zu vermeiden.
Quelle: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
- Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
- Nachweis der Datenlöschung – So dokumentieren Sie korrekt
- Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft
Dieser Absatz enthält Affiliatelinks/Werbelinks