Wie lange müssen Patientendaten aufbewahrt werden? – Fristen, Datenschutz und gesetzliche Grundlagen

Die Frage, wie lange Patientendaten gespeichert werden dürfen und müssen, berührt eines der zentralen Spannungsfelder im deutschen Gesundheitswesen: das Verhältnis zwischen gesetzlichen Dokumentationspflichten und dem Recht auf informationelle Selbstbestimmung. Für Praxisbetreiber, Praxismanager und datenschutzverantwortliche Mitarbeiter ergibt sich daraus ein komplexes Regelungsgeflecht, das nationale Sozialgesetzgebung, europäisches Datenschutzrecht und berufsrechtliche Vorgaben miteinander verbindet.

Wer die Aufbewahrungsfristen für Patientendaten sowie die datenschutzrechtlichen Rahmenbedingungen im Bereich der Krankenkassen und ambulanten Versorgung nicht kennt und umsetzt, riskiert sowohl rechtliche als auch betriebliche Konsequenzen.

Die Speicherung von Patientendaten in Arztpraxen richtet sich nach mehreren ineinandergreifenden Rechtsvorschriften. Zu den wichtigsten zählen das Fünfte und Zehnte Buch des Sozialgesetzbuches (SGB V und SGB X), die Datenschutz-Grundverordnung (DSGVO), das Bundesdatenschutzgesetz (BDSG) sowie die Berufsordnungen der Landesärztekammern und Psychotherapeutenkammern. Während SGB V und SGB X die Verarbeitung von Versicherten- und Sozialdaten im Gesundheitswesen regeln, legen DSGVO und BDSG die allgemeinen datenschutzrechtlichen Anforderungen für den Umgang mit personenbezogenen und besonders schützenswerten Gesundheitsdaten fest. Ergänzend begründen die Berufsordnungen berufsrechtliche Dokumentations- und Aufbewahrungspflichten. Da diese Regelwerke parallel gelten und sich teilweise ergänzen oder als speziellere Vorschriften vorgehen, müssen Arztpraxen bei der Speicherung und Verarbeitung von Patientendaten stets alle einschlägigen gesetzlichen Anforderungen gemeinsam berücksichtigen.

Für die Aufbewahrung von Patientendaten gelten je nach Dokumentenart unterschiedliche gesetzliche Fristen. Die allgemeine Aufbewahrungsfrist für ärztliche Behandlungsunterlagen beträgt zehn Jahre nach Abschluss der Behandlung (§ 630f Abs. 3 BGB sowie Musterberufsordnung für Ärzte). Daneben bestehen für bestimmte Unterlagen steuer-, handels- oder sozialrechtliche Vorgaben sowie fachspezifische Sonderregelungen. Um gesetzliche Anforderungen einzuhalten, sollten Arztpraxen ihre Dokumente entsprechend der jeweiligen Frist systematisch archivieren.]

Für die wichtigsten Unterlagen gelten in der Regel folgende Aufbewahrungsfristen:

• Patientenakten: 10 Jahre nach Behandlungsabschluss gemäß § 630f Abs. 3 BGB und MBO-Ä.
• Abrechnungsunterlagen: In der Regel 10 Jahre gemäß den Vorgaben der Kassenärztlichen Vereinigungen sowie steuerrechtlichen Aufbewahrungspflichten.
• Buchführungs- und Steuerunterlagen: 10 Jahre gemäß § 147 AO.
• Handels- und Geschäftsbriefe: 6 Jahre gemäß § 257 HGB, sofern sie nicht Bestandteil der Patientenakte sind.
• Überweisungsscheine und Konsiliardokumentationen: Grundsätzlich 10 Jahre, wenn sie Teil der Patientenakte sind.
• Impfdokumentationen: In der Regel 10 Jahre nach der letzten Behandlung beziehungsweise entsprechend der allgemeinen ärztlichen Dokumentationspflicht.

Für bestimmte Fachrichtungen und Dokumentationsarten gelten abweichende Aufbewahrungsfristen, die sich aus spezialgesetzlichen Vorschriften oder besonderen Dokumentationspflichten ergeben. Praxen mit entsprechenden Tätigkeitsschwerpunkten sollten ihre Archivierung deshalb an den jeweils geltenden gesetzlichen Vorgaben ausrichten.

Besondere Aufbewahrungspflichten umfassen:

• Strahlentherapiedokumentation: 30 Jahre gemäß Strahlenschutzgesetz (StrlSchG) und Strahlenschutzverordnung (StrlSchV).
• Psychotherapeutische Behandlungsunterlagen: In der Regel 10 Jahre; je nach Berufsordnung des Bundeslandes können längere Fristen gelten.
• Behandlungsunterlagen Minderjähriger: Die gesetzliche Aufbewahrungsfrist beginnt mit dem Abschluss der Behandlung. Für Röntgen- und strahlenmedizinische Unterlagen gilt nach § 85 Abs. 2 StrlSchG eine Aufbewahrung bis zur Vollendung des 28. Lebensjahres; darüber hinaus wird aus haftungsrechtlichen Gründen häufig empfohlen, sämtliche Behandlungsunterlagen minderjähriger Patienten bis zu diesem Zeitpunkt aufzubewahren.
• Onkologische Dokumentation: Im Rahmen von Zertifizierungen und Qualitätssicherungsprogrammen können erweiterte Dokumentations- und Aufbewahrungspflichten bestehen.
• Arbeitsmedizinische Unterlagen: Bis zu 40 Jahre bei Exposition gegenüber krebserzeugenden Gefahrstoffen der Kategorien 1A und 1B gemäß AMR 6.1.

Versicherte und Patienten sind im Rahmen der DSGVO nicht bloß passive Datengeber, sondern Inhaber klar definierter Rechte gegenüber den datenverarbeitenden Stellen. Medizinische Einrichtungen, Praxen und Krankenkassen als Verantwortliche sind verpflichtet, diese Rechte aktiv zu ermöglichen und entsprechende Prozesse vorzuhalten. Im Gesundheitsbereich ist dabei zu beachten, dass einzelne Patientenrechte durch gesetzliche Aufbewahrungspflichten eingeschränkt werden können, etwa wenn ein Löschbegehren einer bestehenden Dokumentationspflicht entgegensteht.

Die wichtigsten Datenschutzrechte und ihre Voraussetzungen im Überblick:

• Auskunftsrecht (Art. 15 DSGVO): Patienten können jederzeit Auskunft darüber verlangen, welche sie betreffenden Daten verarbeitet werden, zu welchem Zweck und an wen diese gegebenenfalls weitergegeben wurden. Die Auskunft ist grundsätzlich unentgeltlich zu erteilen.
• Recht auf Berichtigung (Art. 16 DSGVO): Unrichtige oder unvollständige Daten sind auf Verlangen unverzüglich zu korrigieren. Im medizinischen Kontext ist dies insbesondere bei Diagnosedaten und Stammdaten relevant.
• Recht auf Löschung (Art. 17 DSGVO): Soweit keine gesetzliche Aufbewahrungspflicht entgegensteht, können Patienten die Löschung ihrer Daten verlangen. Besteht eine solche Pflicht, tritt an die Stelle der Löschung in der Regel die Verarbeitungseinschränkung.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Unter bestimmten Voraussetzungen, etwa bei bestrittener Datenrichtigkeit, können Patienten verlangen, dass ihre Daten zunächst nur noch gespeichert, nicht aber weiterverarbeitet werden.
• Widerspruchsrecht (Art. 21 DSGVO): Gegen Datenverarbeitungen, die auf berechtigten Interessen beruhen, ist ein Widerspruch möglich. Im Bereich der gesetzlichen Krankenversicherung ist dieses Recht durch die Erforderlichkeit der Verarbeitung für Versorgungszwecke häufig begrenzt.

Die Praxissoftwarelösungen von medatixx sind für den Einsatz in Arztpraxen, Psychotherapiepraxen und Medizinischen Versorgungszentren (MVZ) konzipiert und unterstützen unter anderem die Patientenverwaltung, medizinische Dokumentation, Terminplanung und Abrechnung. Je nach Softwarelösung und eingesetzten Zusatzmodulen lassen sich Patientenverwaltung, medizinische Dokumentation, Terminplanung sowie Abrechnung in einer gemeinsamen Systemumgebung organisieren. Ergänzend stehen verschiedene Erweiterungen zur Verfügung, darunter Lösungen für die Online-Terminvergabe, die Videosprechstunde oder die Patientenkommunikation per App. Dadurch lässt sich der Funktionsumfang an die Anforderungen unterschiedlicher Praxisgrößen und Fachrichtungen anpassen.

Die Nichtbeachtung gesetzlicher Aufbewahrungspflichten kann für Praxen und medizinische Einrichtungen weitreichende rechtliche und betriebliche Konsequenzen haben. Typischerweise entstehen Verstöße nicht aus vorsätzlichem Handeln, sondern aus mangelhafter Organisation – etwa wenn Unterlagen vorzeitig vernichtet werden, weil interne Fristen nicht korrekt erfasst sind, oder wenn archivierte Daten nicht ausreichend gegen unbefugten Zugriff gesichert werden. Auch das Fehlen einer strukturierten Dokumentation der Aufbewahrungsprozesse selbst kann als Organisationsmangel gewertet werden.

Mögliche Konsequenzen bei Verstößen gegen Aufbewahrungspflichten und datenschutzrechtliche Vorgaben sind:

• Bußgelder durch Datenschutzaufsichtsbehörden: Auf Grundlage der DSGVO können Aufsichtsbehörden empfindliche Geldbußen verhängen, insbesondere bei schwerwiegenden oder wiederholten Verstößen gegen Grundprinzipien der Datenverarbeitung.
• Aufsichtsrechtliche Kontrollen: Datenschutzbehörden der Länder sind befugt, Praxen und Einrichtungen zu kontrollieren, Verarbeitungsverzeichnisse einzusehen und Abhilfemaßnahmen anzuordnen.
• Berufsrechtliche Konsequenzen: Bei schwerwiegenden Verstößen gegen Dokumentations- und Aufbewahrungspflichten können ärztliche und psychotherapeutische Kammern berufsrechtliche Verfahren einleiten.
• Zivilrechtliche Haftungsrisiken: Werden relevante Unterlagen vorzeitig vernichtet und entstehen dadurch Nachteile für Patienten, kann dies Schadensersatzansprüche begründen.
• Vertragliche Konsequenzen mit Kassenärztlichen Vereinigungen: Bei Verstößen gegen vertragsärztliche Dokumentationspflichten drohen Rückforderungen oder disziplinarische Maßnahmen im Rahmen der Zulassung.
• Reputationsschäden: Datenpannen oder öffentlich bekannte Compliance-Mängel können das Vertrauen von Patienten sowie Kooperationspartnern nachhaltig beeinträchtigen.

Die rechtskonforme Speicherung von Patientendaten setzt voraus, dass Aufbewahrungsfristen und datenschutzrechtliche Vorgaben gleichermaßen beachtet werden. Da sich die maßgeblichen Fristen je nach Dokumentenart und Fachbereich unterscheiden, benötigen Arztpraxen klare Archivierungsprozesse, eine nachvollziehbare Dokumentation und einen verantwortungsvollen Umgang mit sensiblen Gesundheitsdaten. So lassen sich gesetzliche Anforderungen erfüllen und Risiken im Praxisalltag vermeiden.

Rechtssicherheit entsteht durch das Zusammenspiel aus fundiertem Wissen über die geltenden Rechtsgrundlagen, einer systematischen Organisation der Dokumentation und zuverlässig umgesetzten Datenschutzmaßnahmen.