Wie müssen Patientenakten entsorgt werden? – Datenschutzkonforme Vernichtung und Vorschriften

Das Entsorgen von Patientenakten gehört zu den datenschutzrechtlich sensibelsten Aufgaben in der Praxisverwaltung. Medizinische Unterlagen enthalten hochsensible Informationen, unabhängig davon, ob sie in Papierform oder als digitale Datensätze vorliegen. Ihre Vernichtung unterliegt klaren gesetzlichen Anforderungen. Die datenschutzkonforme Aktenvernichtung ist dabei keine freiwillige Maßnahme, sondern eine verbindliche Pflicht, die sich aus mehreren Rechtsgebieten gleichzeitig ergibt.

Für Arztpraxen, Psychotherapeuten und medizinische Versorgungszentren bedeutet das: Jeder Schritt im Lebenszyklus einer Patientenakte muss dem Datenschutz entsprechen, von der Erstellung bis zur endgültigen Entsorgung. Fehler bei der Aktenvernichtung im Gesundheitswesen können weitreichende rechtliche, berufsrechtliche und haftungsrechtliche Konsequenzen nach sich ziehen. Das folgende Themenfeld beleuchtet, welche Vorschriften gelten, wann eine Entsorgung zulässig ist und welche Verfahren den rechtlichen Anforderungen genügen.

Die Vernichtung von Patientenakten unterliegt verschiedenen gesetzlichen Vorgaben aus dem Datenschutz-, Berufs- und Strafrecht. Die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) bilden dabei die datenschutzrechtliche Grundlage für den Umgang mit personenbezogenen Gesundheitsdaten. Nach den Grundsätzen der DSGVO dürfen Patientenakten nur so lange aufbewahrt werden, wie dies gesetzlich oder für den jeweiligen Verarbeitungszweck erforderlich ist. Bestehende gesetzliche Aufbewahrungspflichten gehen einem Löschanspruch jedoch grundsätzlich vor. Erst nach Ablauf dieser Fristen müssen die Unterlagen datenschutzkonform vernichtet werden, sodass ein Zugriff durch Unbefugte ausgeschlossen ist.

Ergänzend verpflichtet § 203 StGB Ärzte zur Wahrung der Schweigepflicht und untersagt die unbefugte Offenbarung von Patientengeheimnissen. Diese Verpflichtung wird durch die Berufsordnungen der Ärztekammern konkretisiert und gilt auch nach Beendigung der Behandlung sowie über den Tod eines Patienten hinaus. Für Arztpraxen bedeutet dies, dass Patientenakten ausschließlich unter Einhaltung sämtlicher datenschutz-, berufs- und strafrechtlicher Anforderungen vernichtet werden dürfen. Verstöße können je nach Sachverhalt Bußgelder, strafrechtliche Konsequenzen oder berufsrechtliche Sanktionen nach sich ziehen.

Die gesetzliche Aufbewahrungspflicht für Ärzte ergibt sich maßgeblich aus § 630f Abs. 3 BGB. Danach ist die Behandlungsakte für die Dauer von zehn Jahren nach Abschluss der Behandlung aufzubewahren, soweit nicht andere Vorschriften abweichende Fristen vorsehen. Diese Grundregel gilt für die überwiegende Mehrheit der Patientenakten und bildet den Ausgangspunkt jeder Prüfung der Vernichtungsreife. Erst nach vollständigem Ablauf der Frist darf die Entsorgung beginnen. Eine vorzeitige Vernichtung ist auch bei vermeintlich abgeschlossenen Behandlungen rechtlich unzulässig.

Abweichende Fristen betreffen vor allem diese Unterlagen:

• Röntgenbilder und bildgebende Befunde: Nach dem Strahlenschutzgesetz und der Strahlenschutzverordnung gelten gesonderte Fristen; Aufzeichnungen zu einer Behandlung mit ionisierender Strahlung sind 30 Jahre nach der letzten Anwendung aufzubewahren.
• Röntgenaufnahmen minderjähriger Patienten: Diese müssen nach dem Strahlenschutzgesetz mindestens bis zur Vollendung des 28. Lebensjahres aufbewahrt werden.
• Betäubungsmittelrezepte und Nachweise: Teil III des Betäubungsmittelrezepts ist nach der Betäubungsmittel-Verschreibungsverordnung drei Jahre aufzubewahren und der zuständigen Landesbehörde auf Verlangen vorzulegen.

Entscheidend ist, dass die maßgebliche Frist vollständig abgelaufen sein muss, bevor eine Entsorgung rechtmäßig eingeleitet werden kann.

Vor der Vernichtung steht ein strukturierter Prüfprozess, der die Vernichtungsreife jeder einzelnen Akte oder Dateigruppe feststellt. Empfehlenswert ist eine regelmäßige, mindestens jährliche Durchsicht des Aktenbestands. Dabei wird anhand des Behandlungsabschlussdatums und der dokumentspezifischen Aufbewahrungsfrist geprüft, welche Unterlagen als entsorgungsreif gelten. Physische und digitale Unterlagen sind getrennt zu erfassen und entsprechend ihrer jeweiligen Vernichtungsmethode vorzubereiten.

Gesondert zu betrachten sind bei der Vorbereitung Dokumentkategorien wie:

• Behandlungsakten in Papierform: Vollständige Krankengeschichten, Arztbriefe, Befundberichte und Einwilligungserklärungen werden nach Fristablauf getrennt und für die zertifizierte Vernichtung gebündelt.
• Analoge bildgebende Unterlagen: Röntgenfilme und Ausdrucke bildgebender Verfahren sind wegen ihrer abweichenden Fristen gesondert zu prüfen und separat vorzubereiten.
• Digitale Patientendaten: Auf Praxisservern und lokalen Systemen gespeicherte Datensätze werden nach Prüfung der Vernichtungsreife zur sicheren Löschung freigegeben und aus Backup-Systemen entfernt.
• Verwaltungsunterlagen mit Patientenbezug: Terminbücher, Abrechnungsunterlagen und patientenbezogene Korrespondenz sind auf eigenständige Aufbewahrungsfristen zu prüfen, bevor sie dem Vernichtungsprozess zugeführt werden.
• Vorbereitetes Vernichtungsprotokoll: Für jede Vernichtungscharge wird vorab eine Dokumentation angelegt, die Aktentyp, Umfang, Datum und vorgesehenes Verfahren festhält.

Die Praxissoftwarelösungen von medatixx unterstützen Arztpraxen und medizinische Versorgungszentren dabei, medizinische und administrative Prozesse digital abzubilden. Patientendaten und Dokumentationen werden zentral verwaltet, sodass relevante Informationen im Behandlungs- und Verwaltungsalltag schnell verfügbar sind. Dank des modularen Aufbaus lassen sich die Lösungen an die Anforderungen unterschiedlicher Praxen und Fachrichtungen anpassen.

Für die digitale Archivierung bietet medatixx mit mediDOK eine Archivierungslösung, die als Add-on in die Praxissoftware integriert werden kann. Verschiedene Importquellen ermöglichen die digitale Archivierung von Bilddateien, Dokumenten und PDF-Dateien. Durch den direkten Zugriff und die integrierte Suchfunktion lassen sich archivierte Patienteninformationen schnell auffinden und in den Praxisalltag einbinden. Eine strukturierte digitale Archivierung erleichtert zudem die geordnete Verwaltung von Patientenunterlagen und schafft eine wichtige organisatorische Grundlage, um gesetzliche Aufbewahrungsfristen im Praxisalltag umzusetzen.

Vernichtungsmethoden für Patientenakten müssen sicherstellen, dass sich Patienteninformationen nach der Entsorgung nicht mehr rekonstruieren lassen. Unabhängig davon, ob es sich um analoge oder digitale Unterlagen handelt, dürfen nur anerkannte Vernichtungsstandards für medizinische Daten eingesetzt werden. Haushaltsübliche Methoden wie einfaches Reißen, ungesichertes Löschen oder die Weitergabe an kommerzielle Wiederverwertungsunternehmen ohne besondere Vereinbarungen erfüllen diese Anforderungen nicht.

Für jede Vernichtungsmaßnahme ist zudem ein Vernichtungsprotokoll anzufertigen, das Art, Umfang und Datum der Entsorgung nachweist. Die folgenden Unterabschnitte vertiefen die Anforderungen für physische und digitale Unterlagen.

Die ISO/IEC 21964 definiert Sicherheitsstufen für die Vernichtung von Datenträgern und gilt als maßgeblicher Standard für die physische Dokumentenvernichtung in Arztpraxen. Patientenunterlagen sind der Schutzklasse 3 zuzuordnen, die besonders sensible personenbezogene Daten wie medizinische Informationen umfasst. Für sie wird mindestens die Sicherheitsstufe P-4 herangezogen, die eine maximale Partikelgröße vorgibt und eine Rekonstruktion des Dokuments praktisch ausschließt. Für Patientenakten empfiehlt sich häufig sogar die Sicherheitsstufe P-5 mit einer noch feineren Zerkleinerung.

Daraus ergeben sich für die Praxis mehrere Anforderungen:

• Eigene Aktenvernichter: Handelsübliche Büroschredder erreichen oft nur die Stufen P-2 oder P-3 und sind für Patientenakten nicht ausreichend; geeignet sind nur Geräte der Stufe P-4 oder höher.
• Zertifizierte Schredderdienstleister: Externe Anbieter, die die Vorgaben der ISO/IEC 21964 nachweislich erfüllen, können mit der Vernichtung beauftragt werden; dafür ist ein schriftlicher Auftrag mit einer Datenschutzvereinbarung erforderlich.
• Sicherheitsbehälter für die Zwischenlagerung: Bis zur Vernichtung sind Patientenakten in verschlossenen, vor unbefugtem Zugriff geschützten Behältern aufzubewahren; ein offenes Zwischenlager ist unzulässig.
• Vernichtungsnachweis: Zertifizierte Dienstleister stellen nach der Vernichtung ein Protokoll aus, das Art und Sicherheitsstufe der Vernichtung dokumentiert.

Digitale Patientendaten auf Praxisservern, lokalen Arbeitsrechnern oder externen Speichermedien erfordern Löschverfahren, die eine irreversible Datenlöschung gewährleisten. Das Verschieben von Dateien in den Papierkorb oder das Formatieren eines Datenträgers gilt nicht als sichere Löschung, da sich die Daten mit entsprechenden Werkzeugen wiederherstellen lassen. Anerkannte Löschverfahren, darunter die Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik, sehen ein mehrfaches Überschreiben der Datenbereiche mit definierten Mustern vor, um eine Rekonstruktion zuverlässig auszuschließen.

Je nach Speichermedium kommen unterschiedliche Verfahren in Betracht:

• Softwarebasiertes Überschreiben: Für Festplatten und wiederbeschreibbare Datenträger lassen sich Löschprogramme einsetzen, die Datenbereiche mehrfach überschreiben und ein Löschprotokoll erzeugen.
• Entmagnetisierung: Magnetische Datenträger wie ältere Festplatten können durch ein starkes Magnetfeld unlesbar gemacht werden, was sich besonders eignet, wenn eine softwarebasierte Löschung nicht mehr möglich ist.
• Physische Vernichtung von Speichermedien: Datenträger, die sich nicht mehr sicher löschen lassen, etwa defekte Festplatten oder SSDs, sind durch zertifizierte Anbieter physisch zu vernichten; dabei ist ein Vernichtungsnachweis einzuholen.
• Backup-Systeme und Cloud-Speicher: Auch in Sicherungssystemen gespeicherte Patientendaten müssen bei Ablauf der Aufbewahrungsfrist vollständig und nachweisbar gelöscht werden, da eine Bereinigung allein der aktiven Systeme nicht ausreicht.

In der Praxis treten immer wieder ähnliche Fehler bei der Aktenentsorgung auf, die erhebliche Compliance-Risiken nach sich ziehen können.

Die folgenden Fehlertypen lassen sich mit gezielten Maßnahmen vermeiden:

• Verfrühte Vernichtung: Akten werden entsorgt, bevor die maßgebliche Aufbewahrungsfrist abgelaufen ist; ein geführtes Fristenregister mit automatischer Wiedervorlage beugt dem vor.
• Nicht zertifizierte Vernichtungsmethoden: Ungeeignete Schredder oder informelle Entsorgungswege lassen sich durch die ausschließliche Nutzung normkonformer Verfahren und geprüfter Dienstleister verhindern.
• Fehlendes Vernichtungsprotokoll: Die Nachweispflicht verlangt ein schriftliches Protokoll mit Datum, Umfang und Methode der Vernichtung.
• Fehlender Vernichtungsnachweis externer Dienstleister: Beim Einsatz externer Anbieter ist ein schriftlicher Vernichtungsnachweis einzufordern, aufzubewahren und bei Bedarf vorzulegen.
• Unzureichende Datenschutzvereinbarung mit Dienstleistern: Externe Vernichtungsdienstleister sind nur mit einem Auftragsverarbeitungsvertrag zu beauftragen, der vor Auftragserteilung vorliegen muss.

Die datenschutzkonforme Entsorgung von Patientenakten ist kein bürokratischer Randaspekt, sondern ein wesentlicher Bestandteil einer rechtssicheren Praxisverwaltung. Wer die geltenden Aufbewahrungsfristen einhält, geeignete Vernichtungsverfahren wählt und jeden Entsorgungsvorgang lückenlos dokumentiert, erfüllt nicht nur gesetzliche Mindestanforderungen. Ein solcher Umgang mit Patienteninformationen stützt zugleich das Vertrauen in die Praxis.

Professionelle Praxisführung und Datenschutz bedingen einander. Praxen, die die Aktenentsorgung als festen Bestandteil ihres Qualitätsmanagements begreifen, schaffen transparente und nachvollziehbare Abläufe, die einer Überprüfung standhalten.