Ein System statt fünf Ordner: QM, Datenschutz, Informationssicherheit, Arbeitsschutz und Gewaltschutz zusammenführen

Fünf Pflichten laufen in jeder Einrichtung gleichzeitig: Qualität, Datenschutz, Informations­sicherheit, Arbeitsschutz und Schutz vor Gewalt. Die zugehörigen internationalen Normen folgen zudem demselben Kapitelaufbau. Wer diese Übereinstimmung nutzt, muss dieselbe Risikobewertung nicht fünfmal schreiben.

Integriertes Management­system: eine gemeinsame Struktur aus Regeln, Verantwortlichkeiten und Nachweisen, mit der eine Einrichtung mehrere Pflichten gleichzeitig steuert, etwa Qualität, Datenschutz, Informations­sicherheit, Arbeitsschutz und Gewaltschutz. Es ersetzt keine der einzelnen Pflichten, es bündelt die Prozesse, die sie gemeinsam brauchen: Risikobewertung, Dokumenten­lenkung, Schulung und interne Prüfung.

Wen betreffen die fünf Pflichten und was bringt ein gemeinsames System?

Die fünf Pflichten betreffen jede Einrichtung der Sozialen Arbeit und der Pflege, unabhängig von Größe und Rechtsform: Kinder- und Jugendhilfe einschließlich Kita, Pflege und Altenhilfe, Sozial­psychiatrie, Suchthilfe, Teilhabe, Wohnungslosenhilfe, Bildungsträger und Migrationssozialarbeit gleichermaßen. Qualität und Gewaltschutz schreibt für jedes Feld das jeweilige Sozialgesetzbuch vor. Datenschutz und Informations­sicherheit gelten kraft der Datenschutz-Grundverordnung (DSGVO) für jede Stelle, die personenbezogene Daten verarbeitet, also für jede Einrichtung. Arbeitsschutz gilt für jeden Betrieb mit Beschäftigten, ab der ersten Mitarbeiterin.

Getrennt geführt bedeutet das fünf Handbücher, fünf Schulungspläne und fünf Termine für die jährliche Überprüfung. Zusammengeführt bedeutet es eine Struktur mit denselben Fragen für alle fünf Bereiche: Welches Risiko besteht, wer ist zuständig, wie wird geschult, wie wird ein Vorfall gemeldet, was zeigt die jährliche Bewertung.

Für welche Variante sich eine Einrichtung entscheidet, hängt vom eigenen Ziel ab, nicht von der Größe. Wer ein Zertifikat nach ISO 9001 anstrebt, braucht die formale Auditierung durch eine externe Zertifizierungs­stelle. Wer intern ein wirksames System will, ohne ein Zertifikat vorzulegen, kann dieselbe Struktur als Ordnungsprinzip nutzen und die externe Prüfung auslassen. Beide Wege erfüllen die fünf gesetzlichen Pflichten, der Unterschied liegt allein im Nachweis nach außen.

Welche Grundlage hat jeder der fünf Pflichtenkreise?

Jede der fünf Pflichten hat eine eigene Rechtsgrundlage und eine eigene Aufsicht. Die folgende Übersicht ordnet sie mit der wichtigsten Fundstelle und der Norm, die freiwillig dieselbe Kapitelstruktur anbietet.

Drei der fünf Pflichten können sich derselben freiwilligen Kapitelstruktur bedienen, zwei bleiben ohne Normpendant und verbindlich für sich. Stand: 25. September 2026.

Informations­sicherheit ist der Pflichtenkreis mit der größten Unsicherheit, weil die Zuständigkeit von der Einrichtungsart abhängt. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es verpflichtet die 18 Sektoren aus Anlage 1 und Anlage 2 des BSI-Gesetzes (BSIG) zur Meldung erheblicher Sicherheitsvorfälle, wenn sie die Schwellen aus § 28 BSIG erreichen: für eine wichtige Einrichtung mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme, für eine besonders wichtige Einrichtung mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme.

Kinder- und Jugendhilfe, Eingliederungs­hilfe, Sozial­psychiatrie und Suchthilfe gehören zu keinem der 18 Sektoren. Der Gesundheitssektor in Anlage 1 BSIG erfasst Erbringer von Gesundheitsdienstleistungen im Sinne der Patientenmobilitätsrichtlinie 2011/24/EU. Langzeitpflege ist davon ausdrücklich ausgenommen, weil ihr Ziel die Unterstützung bei alltäglichen Verrichtungen ist und nicht die medizinische Versorgung, wie es deren Erwägungsgrund 14 festhält. Betreibt ein Träger eine Einrichtung, in der intensivmedizinische Versorgung ein wesentlicher Bestandteil des Angebots ist, lohnt sich eine gesonderte Prüfung im Einzelfall.

Unabhängig von einer NIS2-Pflicht bleibt Art. 32 DSGVO für jede Einrichtung verbindlich: angemessene technische und organisatorische Maßnahmen für die Datensicherheit, ohne festen Fristenkatalog dahinter.

Wo überschneiden sich die Pflichten und was passiert bei einem Ereignis?

Die fünf Pflichten laufen nicht nebeneinander her, sie verlangen an mehreren Stellen dieselbe Arbeit. Sieben Bereiche wiederholen sich in jedem der fünf Kreise, mit jeweils eigener Ausprägung.

Risikobewertung steht am Anfang jeder Pflicht: Die DSGVO verlangt sie für die Verarbeitung personenbezogener Daten, das Arbeitsschutzgesetz für die Arbeitsbedingungen, das Gewalt­schutz­konzept für die Situation der Menschen in der Einrichtung. Dokumenten­lenkung sorgt dafür, dass überall die aktuelle Fassung eines Konzepts gilt, nicht eine veraltete Kopie auf einem einzelnen Rechner. Unterweisung und Schulung wiederholen sich, weil Datenschutz, Informations­sicherheit, Arbeitsschutz und Gewaltschutz je einen eigenen Nachweis über geschulte Beschäftigte verlangen. Vorfallmeldung folgt in jedem Bereich eigenen Fristen und eigenen Empfängern, wie der Wegweiser weiter unten zeigt. Bei Dienstleistern und der Auftrags­verarbeitung überschneiden sich der Vertrag nach Art. 28 DSGVO und die Sorgfaltspflicht gegenüber der Software, mit der eine Einrichtung arbeitet. Ein internes Audit prüft in einem Durchgang, ob mehrere dieser Pflichten eingehalten werden, statt fünf getrennte Begehungen zu terminieren. Die Management­bewertung durch die Leitung fasst am Jahresende zusammen, wo nachgesteuert werden muss, für alle fünf Bereiche gemeinsam.

Welche Pflicht bei einem konkreten Ereignis greift, unterscheidet sich stark nach Art des Ereignisses. Der folgende Wegweiser ordnet sechs typische Ereignisse den zuständigen Meldewegen zu, mit Frist, Empfänger und Rechtsgrundlage. Zu den Meldepflichten für Kinder- und Jugendhilfe im Einzelnen geht ein eigener Beitrag zu § 47 SGB VIII.

Der Wegweiser zeigt, welche Fristen parallel laufen können, wenn ein Ereignis mehrere Pflichtenkreise gleichzeitig berührt, etwa ein Datenschutzvorfall, der zugleich meldepflichtig nach dem Gewalt­schutz­konzept ist, weil er die Aufsicht über die Bewohnerinnen und Bewohner betrifft. Für die Meldepflicht nach dem Hinweisgeberschutzgesetz gilt eine eigene Größenschwelle, dazu mehr im Abschnitt zu den Rollen.

Was bringt die gemeinsame Normstruktur konkret?

ISO 9001, ISO/IEC 27001 und ISO 45001 folgen seit ihrer letzten grundlegenden Überarbeitung derselben Gliederung, die als Harmonized Structure bezeichnet wird und früher Annex SL beziehungsweise High Level Structure hieß. Kapitel 4 behandelt jeweils den Kontext der Organisation, Kapitel 5 die Führung, Kapitel 6 die Planung einschließlich der Risiken, Kapitel 7 die Unterstützung durch Ressourcen und Kompetenz, Kapitel 8 den Betrieb, Kapitel 9 die Bewertung der Leistung und Kapitel 10 die Verbesserung. Am 16. September 2026 ist die internationale Fassung ISO 9001:2026 erschienen, die deutsche und europäische Fassung DIN EN ISO 9001:2026 folgt im November 2026 und ersetzt DIN EN ISO 9001:2015. Bestehende Zertifikate bleiben bis zur Umstellung gültig, spätestens bis zum 30. September 2029.

Für einen Träger mit Zertifizierungsziel heißt das: Ein Qualitäts­managementhandbuch, das nach dieser Gliederung aufgebaut ist, lässt sich um Kapitel zur Informations­sicherheit erweitern, ohne die Struktur zu wechseln. Prüft eine Zertifizierungs­stelle das Kapitel Risikobewertung, deckt sie damit zugleich einen Teil dessen ab, was ein Informations­sicherheits-Audit verlangt.

Für einen Träger ohne Zertifizierungsziel gilt dieselbe Struktur als reines Ordnungsprinzip, ohne die Kosten einer externen Zertifizierung. Wer sein Datenschutzkonzept, seine Gefährdungsbeurteilung und sein Gewalt­schutz­konzept nach denselben sieben Kapiteln gliedert, kann die einzelnen Pflichten leichter miteinander abgleichen, unabhängig davon, ob am Ende ein Zertifikat steht.

Wie führen ein Risikoregister und ein Jahreskalender die Pflichten zusammen?

Ein gemeinsames Risikoregister listet jedes erkannte Risiko einmal, mit Quelle, Bewertung und zuständiger Person, unabhängig davon, ob es aus der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, der Gefährdungsbeurteilung nach § 5 ArbSchG oder der Risikoeinschätzung für das Gewalt­schutz­konzept stammt. Trägt eine Einrichtung Risiken in fünf getrennten Listen, verliert sie den Überblick, welches Risiko mehrere Bereiche gleichzeitig betrifft.

Ein gemeinsamer Jahreskalender bündelt die wiederkehrenden Termine aus allen fünf Bereichen: die Unterweisung in Datenschutz und Informations­sicherheit, die Fortbildung zum Gewalt­schutz­konzept, das interne Audit, die Management­bewertung durch die Leitung sowie die Prüfung der technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO und des Gewalt­schutz­konzepts. Stehen diese Termine in einem Kalender statt in fünf, fällt sofort auf, wenn zwei Prüfungen im selben Monat liegen oder ein Termin seit über einem Jahr aussteht. Die folgenden sieben Schritte bauen Register und Kalender auf.

1. Erfassen Sie alle bestehenden Risiken an einer Stelle

   Tragen Sie die Risiken aus Datenschutz-Folgenabschätzung, Gefährdungsbeurteilung und Gewalt­schutz­konzept in ein gemeinsames Register ein, mit Quelle, Bewertung und zuständiger Person.

2. Markieren Sie doppelt erfasste Risiken

   Prüfen Sie, welche Risiken mehrere Pflichtenkreise gleichzeitig betreffen, etwa eine Software, die Sozialdaten verarbeitet und zugleich die Dienstplanung steuert.

3. Tragen Sie alle wiederkehrenden Termine in einen Kalender ein

   Erfassen Sie Schulungen, das interne Audit, die Management­bewertung sowie die Prüfung der technischen und organisatorischen Maßnahmen und des Gewalt­schutz­konzepts.

4. Prüfen Sie den Kalender auf Kollisionen

   Stellen Sie fest, ob zwei Prüfungen im selben Monat liegen oder ein Termin seit über einem Jahr aussteht.

5. Ordnen Sie jedem Termin eine verantwortliche Person zu

   Legen Sie fest, wer die Durchführung überwacht und wer das Ergebnis dokumentiert.

6. Legen Sie die Management­bewertung als gemeinsamen Termin fest

   Bündeln Sie die jährliche Bewertung durch die Leitung für alle fünf Bereiche in einem Termin statt in fünf.

7. Dokumentieren Sie Register und Kalender im Management­system

   Legen Sie beide dort ab, wo auch die übrigen Nachweise liegen, damit ein internes Audit oder eine externe Prüfung sie direkt findet.

Wer trägt welche Rolle und wo drohen Interessenkonflikte?

Fünf Pflichten verlangen im Kern fünf Rollen: die Qualitäts­management­beauftragte, die Datenschutz­beauftragte, die Informations­sicherheits­beauftragte, die Fachkraft für Arbeitssicherheit und eine Ansprechperson für Gewaltschutz. In einer kleineren Einrichtung müssen das nicht fünf Personen sein. Bündeln lässt sich vieles, aber nicht beliebig.

Qualitäts­management und Informations­sicherheit lassen sich in einer Person bündeln, weil beide Rollen dieselbe Struktur nutzen und keine gesetzliche Unvereinbarkeit besteht. Bei der Datenschutz­beauftragten liegt der Fall anders: Nach Art. 38 Abs. 6 DSGVO darf sie weitere Aufgaben übernehmen, aber nur, wenn daraus kein Interessenkonflikt entsteht. Die deutschen Datenschutz­aufsichts­behörden gehen von einem solchen Konflikt insbesondere aus, wenn die Position gleichzeitig zur Leitung der Einrichtung gehört oder über Zwecke und Mittel der Datenverarbeitung entscheidet (Datenschutzkonferenz, Kurzpapier Nr. 12, Stand 17. Dezember 2018). Die Geschäfts­führung oder die Einrichtungsleitung selbst kann die Rolle deshalb nicht ausfüllen.

Die Fachkraft für Arbeitssicherheit bringt eine eigene Qualifikation mit und lässt sich nicht einfach einer anderen Rolle zuschlagen. Die Ansprechperson für Gewaltschutz braucht vor allem Vertrauen bei den Menschen, die die Einrichtung nutzen, und sollte deshalb nicht dieselbe Person sein wie die, die Beschwerden intern entgegennimmt. Ein zugeschnittenes Gewalt­schutz­konzept beschreibt, wie diese Rolle im Alltag ausgefüllt wird.

Bei in der Regel mindestens 50 Beschäftigten kommt eine weitere Rolle hinzu: die interne Meldestelle nach dem Hinweisgeberschutzgesetz (§ 12 HinSchG), die sich mit einer bestehenden Rolle bündeln lässt, sofern kein Interessenkonflikt entsteht. Wie viele dieser Rollen ein Träger mit zehn bis 49 Beschäftigten intern besetzen kann und wo externe Unterstützung sinnvoll ist, hängt von der Größe der Einrichtung ab, wie der Beitrag zur Zahl 20, die zweimal zählt, zeigt.

Was in den nächsten Wochen zu tun ist

Drei Schritte tragen die nächsten Wochen. Listen Sie zusammen, welches Dokument heute welche der fünf Pflichten abdeckt, und prüfen Sie, wo sich Risiken wiederholen. Legen Sie danach den gemeinsamen Jahreskalender an und klären Sie die Rollenverteilung schriftlich, besonders bei der Datenschutz­beauftragten. Entscheiden Sie erst danach, ob die Struktur zu einem Zertifikat nach ISO 9001 führen soll oder ausschließlich intern genutzt wird. Wer diese drei Schritte vor dem Jahresende klärt, hat eine Struktur, bevor die nächste externe Prüfung ansteht.

Wer diese Struktur nicht allein aufbauen kann oder will, kann sie im Rahmen eines System-Checks fachlich einordnen lassen. Als externer Qualitäts­management­beauftragter unterstütze ich Träger im Sozialwesen und in der Pflege beim Aufbau eines gemeinsamen Management­systems, mit oder ohne Zertifizierungsziel. Als Datenschutz­beauftragter (IHK) und Informations­sicherheits­beauftragter (IHK) bringe ich für die Schnittstelle zu Qualitäts­management, Arbeitsschutz und Gewaltschutz eine zusätzliche fachliche Perspektive mit.

Häufige Fragen

Zum Weiterlesen

• Gewalt­schutz­konzept im Sozialwesen: Von der Pflicht zur gelebten SchutzkulturWie ein zugeschnittenes Gewalt­schutz­konzept für die eigene Einrichtung aussieht, zeigt der Beitrag zum Gewalt­schutz­konzept im Sozialwesen.
• Leistung: System-CheckOb die fünf Pflichten in Ihrer Einrichtung bereits in einer Struktur zusammenlaufen, zeigt ein System-Check der bestehenden Dokumentation.

Quellen

1. Verordnung (EU) 2016/679 (DSGVO), Art. 5, 24, 28, 30, 32, 33, 34, 35 und 38 Absatz 6. eur-lex.europa.eu
2. SGB I, § 35 (Sozialgeheimnis). gesetze-im-internet.de
3. SGB X, § 67 ff. (Begriffsbestimmungen zum Sozialdatenschutz). gesetze-im-internet.de
4. SGB VIII, § 45 Absatz 2, § 47 und § 79a (Betriebs­erlaubnis, Meldepflichten, Qualitäts­entwicklung). gesetze-im-internet.de
5. SGB IX, § 37 und § 37a (Qualitäts­sicherung, Gewaltschutz). gesetze-im-internet.de
6. SGB XI, § 113 (Maßstäbe und Grundsätze zur Pflegequalität). gesetze-im-internet.de
7. Arbeitsschutzgesetz (ArbSchG), §§ 5 und 6 (Gefährdungsbeurteilung, Dokumentation). gesetze-im-internet.de
8. SGB VII, § 193 (Anzeige von Versicherungsfällen). gesetze-im-internet.de
9. Hinweisgeberschutzgesetz (HinSchG), § 12 und § 17 (Meldestelle, Verfahren). gesetze-im-internet.de
10. BSI-Gesetz (BSIG), § 28, § 32 sowie Anlage 1 und Anlage 2 (NIS2-Umsetzung, Schwellenwerte, Meldepflichten). gesetze-im-internet.de
11. Richtlinie 2011/24/EU (Patientenmobilitätsrichtlinie), Erwägungsgrund 14 zur Langzeitpflege, referenziert in Anlage 1 BSIG zur Definition des Gesundheitssektors. eur-lex.europa.eu
12. Bundesamt für Sicherheit in der Informationstechnik, Infopaket Gesundheitswesen zu NIS2. bsi.bund.de
13. Datenschutzkonferenz, Kurzpapier Nr. 12: Datenschutz­beauftragte bei Verantwortlichen und Auftragsverarbeitern, Stand 17. Dezember 2018. datenschutzkonferenz-online.de (PDF)
14. DIN Media, Revision der ISO 9001, Veröffentlichung 2026. dinmedia.de

Stand aller Angaben: 25. September 2026.

Christian Monat

Externer Qualitätsmanagementbeauftragter aus Chemnitz. Berufserfahrung in Eingliederungshilfe, Sozialpsychiatrie und Suchthilfe, seit 2019 in Leitungsfunktionen. Mehr über mich