Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) hat Ende April 2026 die Ergebnisse einer Prüfung zum Datenpannenmanagement an Universitätskliniken und Krankenhäusern in Nordrhein-Westfalen veröffentlicht. Ziel der Untersuchung war es, zu bewerten, wie die Einrichtungen mit Datenschutzvorfällen umgehen und ob die gesetzlichen Vorgaben der Datenschutz-Grundverordnung (DSGVO) eingehalten werden.
Was war der Anlass?
Die LDI NRW untersuchte das Datenpannenmanagement von insgesamt 33 Kliniken, da Krankenhäuser besonders sensible Gesundheitsdaten verarbeiten und Datenschutzverletzungen dort erhebliche Auswirkungen für Betroffene haben können. Im Fokus standen insbesondere die internen Meldeprozesse, die Dokumentation von Datenschutzvorfällen sowie die Einhaltung der Meldepflichten nach Art. 33 und 34 DSGVO.
Zahlen und Fakten
- Befragt wurden 33 Kliniken, darunter 10 Universitätskliniken und 23 Krankenhäuser der Landschaftsverbände Rheinland und Westfalen-Lippe.
- 12 Einrichtungen gaben an, in den Jahren 2023 und 2024 keine einzige Datenpanne festgestellt zu haben.
- Die LDI NRW hält dies für wenig plausibel und sieht darin Anzeichen für Defizite bei der internen Erfassung und Dokumentation von Datenschutzvorfällen.
- Im Vergleich zu anderen Bereichen waren Kliniken vergleichsweise selten von Cyberangriffen betroffen. Die häufigsten Datenschutzvorfälle waren stattdessen Fehlversendungen und unbefugte Weitergaben personenbezogener Daten.
- Positiv bewertet die Behörde, dass Betroffene auch ohne gesetzliche Verpflichtung informiert wurden:
- 21 % der Fälle im Jahr 2023,
- 13 % der Fälle im Jahr 2024.
Zu welchem Ergebnis ist man gekommen?
Die LDI NRW kommt zu einem gemischten Fazit. Einerseits verfügen die Kliniken über hohe IT-Sicherheitsstandards und sind vergleichsweise selten Ziel erfolgreicher Cyberangriffe. Andererseits bestehen nach Auffassung der Aufsichtsbehörde deutliche Verbesserungsmöglichkeiten bei den internen Melde- und Dokumentationsprozessen für Datenschutzvorfälle. Die Behörde empfiehlt insbesondere regelmäßige Schulungen der Beschäftigten, damit Datenpannen erkannt, intern gemeldet und ordnungsgemäß dokumentiert werden.
Bewertung aus datenschutzrechtlicher Sicht
Die Mitteilung verdeutlicht, dass ein funktionierendes Datenpannenmanagement weit über die reine IT-Sicherheit hinausgeht. Unternehmen und öffentliche Stellen müssen sicherstellen, dass Datenschutzverletzungen nicht nur erkannt, sondern auch intern dokumentiert und – soweit erforderlich – fristgerecht an die Aufsichtsbehörde gemeldet werden. Auffällig wenige gemeldete Vorfälle können aus Sicht der Datenschutzaufsicht sogar ein Hinweis auf unzureichende Meldeprozesse sein.
Aus Sicht einer Datenschutzkanzlei bestätigt die Veröffentlichung, dass Organisationen ihre internen Prozesse regelmäßig überprüfen sollten. Dazu gehören klare Meldewege, verbindliche Dokumentationsverfahren sowie kontinuierliche Sensibilisierung und Schulung der Beschäftigten. Nur so lassen sich die Anforderungen der Art. 33 und 34 DSGVO erfüllen und aufsichtsbehördliche Beanstandungen vermeiden.
Interessant in diesem Zusammenhang könnte unser Beitrag hier ebenfalls für Sie sein.