GermanSocialLabBildung für soziale Berufe

Rechtssichere Dokumentation in der Sozialen Arbeit

Modul 6 · Digitale Dokumentation & IT-Sicherheit

Fachsoftware, Zugriffsrechte, Revisionssicherheit, Löschkonzept und KI.

👥 Fachkräfte · Studierende · Quereinsteiger⏱ ca. 80 Min.📊 Niveau: Aufbau

Abb. 1 · Vier Säulen der digitalen Dokumentation. (eigene Darstellung, KI-unterstützt)

💻Kernidee. Digitale Dokumentation bringt Tempo und Struktur – aber nur mit sauberer IT-Sicherheit, Revisionssicherheit und einem klaren Löschkonzept bleibt sie auch rechtssicher.

🎯 Lernziele dieses Moduls

Sie richten Zugriffsrechte nach dem Need-to-know-Prinzip aus und erkennen zu weit gefasste Rechte in Ihrer Fachsoftware.
Sie erkennen eine Datenpanne, halten den Sachstand fest und geben sie sofort nach dem internen Ablauf an Leitung und Datenschutzbeauftragte weiter (Art. 33 und 34 DSGVO).
Sie korrigieren Einträge in der elektronischen Akte so, dass Original, Zeitpunkt und Urheberschaft nachvollziehbar bleiben.
Sie nutzen KI-Werkzeuge nur mit anonymisierten Angaben und in vom Träger freigegebenen Anwendungen und kontrollieren jedes Ergebnis fachlich selbst.

Rechtsstand: Oktober 2026 · Bearbeitungszeit ca. 80 Minuten · Selbstlernmodul ohne Betreuung

1 Fachsoftware: Chancen & Risiken

Elektronische Fallakten und Fachsoftware haben die Dokumentation stark verändert. Richtig eingesetzt, sparen sie Zeit und erhöhen die Qualität; falsch konfiguriert, schaffen sie neue Risiken für den Datenschutz.

✅Chancen

strukturierte Vorlagen, schnelle Auffindbarkeit, Auswertbarkeit, weniger Doppelerfassung, ortsunabhängiger Zugriff.

⚠️Risiken

Datenlecks, zu weite Zugriffsrechte, „Klick-Doku" ohne fachliche Tiefe, Abhängigkeit von Anbietern.

Bei der Auswahl einer Software sind Datenschutz und -sicherheit von Anfang an mitzudenken („privacy by design", Art. 25 DSGVO): Serverstandort, Auftragsverarbeitungsvertrag mit dem Anbieter, Verschlüsselung und ein durchdachtes Rollenkonzept sind keine Kür, sondern Voraussetzung für den rechtssicheren Einsatz.

2 IT-Sicherheit im Alltag

👤Rollen & Rechte

Zugriff nur nach „need to know"; abgestufte Rechte statt „alle sehen alles".

🔑Starke Anmeldung

individuelle Konten, starke Passwörter, Zwei-Faktor-Authentifizierung (2FA).

🔒Verschlüsselung

verschlüsselte Übertragung & Speicherung; keine Sozialdaten in unsicheren Kanälen.

💾Backups

regelmäßige, geschützte Sicherungen; Wiederherstellung regelmäßig erprobt.

Kommt es dennoch zu einer Datenpanne (z. B. verlorenes Tablet, Fehlversand, Hackerangriff), greifen Meldepflichten: Verletzungen des Schutzes personenbezogener Daten sind der Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden zu melden (Art. 33 DSGVO), bei hohem Risiko auch den Betroffenen (Art. 34). Jede Einrichtung sollte einen einfachen, allen bekannten Ablauf für solche Fälle haben.

3 Revisionssicherheit

In der elektronischen Akte muss nachvollziehbar sein, wer wann was eingetragen oder geändert hat. Gute Software protokolliert dies automatisch (Zeitstempel, Benutzerkennung, Änderungshistorie).

Nachträgliche, unkenntliche Änderungen zerstören den Beweiswert – und können rechtliche Folgen haben. Korrekturen bleiben sichtbar.

4 Aufbewahrung, Löschung & mobile Doku

Auch digital gilt: Sozialdaten löschen, sobald sie nicht mehr erforderlich sind; steht der Löschung etwas entgegen (z. B. Aufbewahrungsfristen), tritt an ihre Stelle die Einschränkung der Verarbeitung (§ 84 SGB X, Art. 17 und 18 DSGVO) – über ein dokumentiertes Löschkonzept mit Fristen. Bei mobiler Doku (Tablet im Hausbesuch, Homeoffice) sind Geräteverschlüsselung, sichere Verbindungen (VPN) und Sichtschutz Pflicht; Geräte nie unbeaufsichtigt oder ungesperrt lassen.

5 KI in der Dokumentation – Chance mit Grenzen

🤖Grenze. Keine echten Sozialdaten (Namen, Fälle) in offene KI-Tools eingeben – das kann die Schweigepflicht und den Datenschutz verletzen. KI darf beim Formulieren, Strukturieren, Zusammenfassen mit anonymisierten Angaben unterstützen; die fachliche Verantwortung und Endkontrolle bleiben immer bei der Fachkraft. Zudem verpflichtet die KI-Verordnung (EU) 2024/1689 Träger, die KI-Systeme einsetzen, seit Februar 2025 dazu, für ausreichende KI-Kompetenz ihrer Beschäftigten zu sorgen (Art. 4).

6 Fall aus der Praxis: eine fehlgeleitete E-Mail – zwei Vorgehensweisen

Ambulant betreutes Wohnen (Eingliederungshilfe, SGB IX). Herr D., Fachkraft bei einem freien Träger, schickt am Dienstag um 16:40 Uhr einen Entwicklungsbericht über Frau R. an den Kostenträger. Das E-Mail-Programm hat beim Tippen eine ähnliche Adresse vorgeschlagen – der Bericht mit Angaben zu Diagnose und Medikation ist an einen externen Empfänger gegangen, der mit dem Fall nichts zu tun hat (fiktives, anonymisiertes Beispiel).

Vorgehen AHerr D. bemerkt den Fehler, löscht die Nachricht aus dem Ordner „Gesendet“ und schickt den Bericht erneut an die richtige Adresse. Er erzählt niemandem davon. Als Frau R. Wochen später fragt, wer ihren Bericht erhalten hat, ändert er in der Akte den Versandvermerk, damit „alles stimmt“.

Vorgehen BHerr D. informiert um 16:55 Uhr seine Leitung und die Datenschutzbeauftragte des Trägers über den internen Meldeweg. Er hält fest: Zeitpunkt, falscher Empfänger, betroffene Daten (Gesundheitsdaten, Art. 9 DSGVO), bisherige Schritte. Mit Zustimmung der Leitung bittet er den Empfänger schriftlich, die Nachricht ungeöffnet zu löschen und dies zu bestätigen; die Bestätigung kommt am nächsten Morgen und wird abgelegt. Der Träger als Verantwortlicher schätzt das Risiko ein, meldet die Verletzung binnen 72 Stunden der Aufsichtsbehörde (Art. 33 DSGVO) und entscheidet, Frau R. zu informieren (Art. 34 DSGVO); Herr D. führt das Gespräch am Donnerstag. Danach wird die automatische Adressvervollständigung abgeschaltet; Berichte gehen künftig nur noch verschlüsselt über das Portal des Kostenträgers. Der Versandvermerk in der Akte bleibt unverändert; der Vorfall wird als eigener, datierter Eintrag ergänzt.

Merkmal	Vorgehen A	Vorgehen B
Reaktion	verschweigen, Spuren beseitigen	sofort intern melden (Uhrzeit festgehalten)
Zuständigkeit	Fachkraft entscheidet allein	Verantwortlicher (Träger) entscheidet über die Meldung an die Aufsicht (Art. 33 DSGVO)
Betroffene Person	erfährt nichts	wird informiert, weil ein hohes Risiko angenommen wird (Art. 34 DSGVO)
Schadensbegrenzung	keine	Empfänger um Löschung gebeten, Bestätigung abgelegt
Akte	Vermerk nachträglich verändert – Beweiswert zerstört	Original bleibt, Vorfall als eigener Eintrag ergänzt (revisionssicher)
Lernen	Ursache bleibt bestehen	Ursache behoben: Autovervollständigung aus, verschlüsselter Versandweg

Tab. 1 · Bei einer Datenpanne kommt es nicht auf Fehlerfreiheit an, sondern auf einen schnellen, abgestimmten und dokumentierten Ablauf. (eigene Darstellung, KI-unterstützt)

✍️ Übung (ca. 10 Minuten)

Eine Kollegin aus der Wohngruppe möchte sich von einem frei verfügbaren KI-Chatbot einen Verlaufsbericht vorformulieren lassen. Sie hat schon folgenden Text in das Eingabefeld kopiert:

„Fasse zusammen: K. M., 16 Jahre, Wohngruppe in der Gartenstraße, Diagnose ADHS, nimmt Methylphenidat. Am 03.10. Streit mit einem Mitbewohner, die Polizei war da. Mutter wohnt in der Nachbarstadt.“

Fragen Sie sich: Welche Angaben machen K. allein oder in Kombination identifizierbar? Welche gehören zu den besonderen Kategorien personenbezogener Daten? Braucht das Werkzeug diese Angaben überhaupt? Ist die Anwendung vom Träger freigegeben – und wer kontrolliert das Ergebnis?

Möglicher Lösungsweg anzeigen

Initialen, Alter, Straße der Wohngruppe, Datum und Polizeieinsatz ergeben zusammen ein Bild, über das K. wiedererkannt werden kann – Initialen allein anonymisieren nicht. Diagnose und Medikation sind Gesundheitsdaten (Art. 9 DSGVO). Der Text gehört daher nicht in ein offenes KI-Werkzeug. Möglich wäre eine Anfrage ganz ohne Falldaten, etwa: „Schlage eine Gliederung für einen Verlaufsbericht aus der stationären Jugendhilfe vor, mit den Abschnitten Ausgangslage, Verlauf, Einschätzung, nächste Schritte, und achte auf die Trennung von Beobachtung und Einschätzung.“ Den Inhalt schreibt die Fachkraft anschließend selbst in der Fachsoftware. Ob und welche KI-Anwendung überhaupt genutzt werden darf, regelt der Träger (interne Regeln, dienstliche Zugänge); die fachliche Verantwortung bleibt bei der Fachkraft.

Es gibt nicht die eine richtige Lösung – entscheidend ist, dass keine Sozialdaten das geschützte System verlassen und die Fachkraft das Ergebnis selbst verantwortet.

🧠 Reflexionsfragen

Habe ich individuelle Zugänge und eine Zwei-Faktor-Anmeldung – oder geteilte Passwörter?
Weiß ich, ob meine Software revisionssicher protokolliert?
Gibt es ein schriftliches Löschkonzept – und halte ich mich daran?

∑ Kernbotschaften

💻Software

Chancen nutzen, Risiken kennen.

🔒Sicherheit

Rollen, 2FA, Verschlüsselung, Backups.

🕓Revisionssicher

Wer/Wann/Was nachvollziehbar.

🤖KI mit Grenzen

keine Sozialdaten in offene Tools.

? Selbstreflexion: Verstehen festigen (freiwillig)

Fünf Fragen zum eigenen Nachdenken. Es gibt keine Bewertung und keine Rückmeldung durch Lehrende – die Lösungshinweise können Sie unten aufklappen.

1. Was bedeutet „need to know" bei Zugriffsrechten?

alle Mitarbeitenden sehen alle Fälle

Zugriff nur, soweit für die eigene Aufgabe erforderlich

nur die Leitung hat Zugriff

Zugriff nur am Wochenende

2. Was zeichnet eine revisionssichere elektronische Akte aus?

sie kann beliebig überschrieben werden

sie protokolliert Wer/Wann/Was mit Änderungshistorie

sie speichert nichts dauerhaft

sie ist ohne Passwort zugänglich

3. Wie sollen Sozialdaten übertragen werden?

per unverschlüsselter E-Mail

verschlüsselt über sichere Kanäle

offen im Team-Chat

per Fax an alle

4. Was gilt für den Einsatz offener KI-Tools?

echte Namen und Falldaten dürfen eingegeben werden

keine echten Sozialdaten eingeben; nur anonymisiert unterstützen

KI ersetzt die fachliche Verantwortung

KI-Ausgaben müssen nicht geprüft werden

5. Was verlangt ein Löschkonzept?

Daten nie zu löschen

Daten zu löschen bzw. ihre Verarbeitung einzuschränken, sobald sie nicht mehr erforderlich sind, mit Fristen

alle Daten sofort zu löschen

Löschung nur auf Zuruf

Lösungshinweise anzeigen

1 → B · 2 → B · 3 → B · 4 → B · 5 → B

§ Quellen

Rechtsquellen (amtliche Fassungen, Stand Oktober 2026; gemeinfrei nach § 5 UrhG): Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), insb. Art. 4 Nr. 12, Art. 5, 9, 25, 32, 33, 34 · Verordnung (EU) 2024/1689 (KI-Verordnung), insb. Art. 4 · SGB I, § 35 · SGB X, insb. §§ 67 ff., 84. Abrufbar unter https://eur-lex.europa.eu und https://www.gesetze-im-internet.de

Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder. (2024). Orientierungshilfe Künstliche Intelligenz und Datenschutz (Version 1.0 vom 6. Mai 2024). https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf

Bundesamt für Sicherheit in der Informationstechnik. (2023). IT-Grundschutz-Kompendium (Edition 2023). https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium/IT_Grundschutz_Kompendium_Edition2023.pdf

Goldberg, B. (2021). Schweigepflicht und Datenschutz in der Sozialen Arbeit und Beratung. Evangelische Hochschule Rheinland-Westfalen-Lippe. https://epflicht.ulb.uni-muenster.de/download/pdf/993126