DSG-Compliance im Spital: Datenschutzkonforme interne Kommunikation
Das revidierte Schweizer Datenschutzgesetz (DSG), in Kraft seit 1. September 2023, hat die Anforderungen an den Umgang mit Personendaten in Schweizer Unternehmen grundlegend verschärft. Für Spitäler, Kliniken und Pflegeheime gilt dies in besonderem Maß – schliesslich verarbeiten sie täglich hochsensible Gesundheitsdaten von Patientinnen, Patienten und Mitarbeitenden.
Was das revidierte DSG für Spitäler bedeutet
Das nDSG (neues Datenschutzgesetz) bringt drei zentrale neue Anforderungen:
1. Rechenschaftspflicht (Accountability)
Gesundheitseinrichtungen müssen nachweisen können, dass sie Personendaten rechtmässig bearbeiten. Dies erfordert ein vollständiges Verzeichnis aller Datenbearbeitungen – auch im internen Bereich, also im Intranet.
2. Privacy by Design und Privacy by Default
Systeme müssen so konzipiert sein, dass Datenschutz von Anfang an eingebaut ist. Ein Intranet, das standardmässig zu viele Mitarbeiterdaten anzeigt oder keine Zugriffskontrollen kennt, entspricht nicht mehr den gesetzlichen Anforderungen.
3. Datenpannen melden
Bei schwerwiegenden Verletzungen der Datensicherheit muss der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) unverzüglich informiert werden.
Kritische Bereiche im Spital-Intranet
Personalstammdaten und Verzeichnisse
Mitarbeiterverzeichnisse im Intranet enthalten typischerweise Name, Funktion, Foto, Telefonnummer und E-Mail-Adresse. Diese Daten dürfen nur Berechtigten zugänglich sein und müssen bei Stellenaustritt zeitnah gelöscht oder anonymisiert werden.
Anforderungen an DSG-konforme Mitarbeiterverzeichnisse:
- Granulare Sichtbarkeitseinstellungen (z.B. Foto nur intern sichtbar)
- Automatische Deaktivierung bei Kündigung
- Protokollierung von Datenzugriffen
- Klar definierte Aufbewahrungsfristen
Interne Kommunikation und Chat
Chat-Nachrichten, Kommentare und News-Beiträge sind Personendaten. Das Intranet muss sicherstellen, dass diese Daten verschlüsselt übertragen und gespeichert werden, dass Löschanfragen umgesetzt werden können und dass kein unbefugter Zugriff möglich ist.
Dienstpläne und HR-Daten
Schichtpläne enthalten Arbeitszeiten, Abwesenheiten und indirekt auch Gesundheitsinformationen (z.B. Krankheitstage). Diese fallen unter besonders schützenswerte Personendaten gemäss Art. 5 lit. c DSG.
Wie Präziis DSG-Konformität unterstützt
Präziis wurde von Grund auf mit Blick auf die Anforderungen des Schweizer Datenschutzrechts entwickelt:
Rollenbasierte Zugriffskontrolle (RBAC)
Jeder Mitarbeitende sieht nur, was für seine Funktion und seinen Bereich notwendig ist. Die Integration mit Microsoft Entra ID ermöglicht feingranulare Berechtigungssteuerung auf Abteilungs-, Team- und Dokumentenebene.
Serverstandort Schweiz
Alle Daten werden ausschliesslich in Schweizer Rechenzentren verarbeitet und gespeichert – keine Übermittlung in Drittländer. Dies erfüllt die Anforderungen von Art. 16 DSG zur Bekanntgabe ins Ausland.
Audit-Logs und Protokollierung
Zugriffe auf sensible Dokumente werden automatisch protokolliert. Bei einer Datenpanne kann der Verantwortliche sofort nachvollziehen, wer wann auf welche Daten zugegriffen hat.
Automatisierte Löschfristen
Dokumente und Datensätze können mit Aufbewahrungsfristen versehen werden. Nach Ablauf werden sie automatisch gelöscht oder zur manuellen Überprüfung vorgelegt.
Einwilligungsverwaltung
Für Datenbearbeitungen, die einer Einwilligung bedürfen (z.B. Veröffentlichung von Mitarbeiterfotos im Intranet), bietet Präziis ein integriertes Consent-Management.
Praktische Checkliste: DSG-Audit Ihres Intranets
Führen Sie jährlich folgende Prüfungen durch:
- Ist das Bearbeitungsverzeichnis für das Intranet vollständig und aktuell?
- Werden Zugriffsrechte bei Stellenwechseln zeitnah angepasst?
- Sind alle Datenübertragungen im Intranet verschlüsselt (TLS 1.2+)?
- Gibt es definierte Aufbewahrungsfristen für alle Datenkategorien?
- Können Mitarbeitende ihre Daten einsehen, korrigieren und löschen (Betroffenenrechte)?
- Ist ein Prozess für Datenpannenmeldungen an den EDÖB definiert?
- Wurden externe Auftragsbearbeiter (z.B. Cloud-Anbieter) vertraglich verpflichtet?
Fazit
Das revidierte DSG ist keine Bürokratiehürde, sondern eine Chance. Spitäler, die jetzt in datenschutzkonforme Systeme investieren, stärken das Vertrauen ihrer Mitarbeitenden und schützen sich vor empfindlichen Bussen von bis zu CHF 250'000 für Verletzungen der Sorgfaltspflicht.
Präziis unterstützt Sie dabei, DSG-Konformität nicht nur zu dokumentieren, sondern technisch zu verankern – als integrativer Bestandteil Ihrer Employee Experience Platform.