Behandlungsdaten nach Abschluss der Behandlung: Keine Löschung vor Ablauf der Aufbewahrungsfrist

Die Behandlung ist abgeschlossen, der Arzt wurde gewechselt oder die Praxis wird nicht mehr aufgesucht – dennoch liegen die persönlichen Gesundheitsdaten weiterhin in der Arztpraxis. Viele ehemalige Patienten fragen sich in dieser Situation: Kann ich die Löschung meiner Behandlungsdaten verlangen? Oder zumindest eine Einschränkung der Verarbeitung durchsetzen? Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat sich in ihrem Jahresbericht 2025 ausführlich mit dieser praxisrelevanten Frage befasst und gibt eine eindeutige Antwort, die für Arztpraxen und Patienten gleichermaßen bedeutsam ist.

Die Ausgangslage: Wunsch nach Löschung oder Einschränkung der Verarbeitung

Regelmäßig erreichen Datenschutzaufsichtsbehörden Beschwerden und Anfragen zum Umgang mit Behandlungsakten in Arztpraxen. Betroffene möchten wissen, wer auf ihre sensiblen Gesundheitsdaten zugreifen kann und wie lange diese gespeichert werden. Nicht wenige ehemalige Patienten wünschen sich nach Beendigung der Behandlung eine sofortige Löschung ihrer Daten. Andere beantragen zumindest eine Einschränkung der Verarbeitung gemäß Artikel 18 DSGVO, um die Nutzung ihrer Daten zu begrenzen.

Beide Anliegen erscheinen auf den ersten Blick nachvollziehbar – schließlich gewährt die Datenschutz-Grundverordnung Betroffenen grundsätzlich ein Recht auf Löschung nach Artikel 17 DSGVO sowie ein Recht auf Einschränkung der Verarbeitung nach Artikel 18 DSGVO. Doch in der Praxis scheitern diese Wünsche regelmäßig an gesetzlichen Aufbewahrungspflichten, die Vorrang haben.

Die gesetzliche Aufbewahrungsfrist: Zehn Jahre sind Pflicht

Behandlungsakten und medizinische Dokumentationen müssen grundsätzlich für einen Zeitraum von zehn Jahren nach Abschluss der Behandlung aufbewahrt werden. Diese Verpflichtung ergibt sich aus mehreren Rechtsquellen und gilt bundesweit, auch wenn die konkrete Ausgestaltung in den Berufsordnungen der Landesärztekammern leicht variieren kann.

Die rechtlichen Grundlagen für die Aufbewahrungspflicht sind:

• Paragraph 630f Absatz 3 BGB: Diese zivilrechtliche Vorschrift verpflichtet behandelnde Ärzte zur Führung und Aufbewahrung von Patientenakten für die Dauer von zehn Jahren nach Abschluss der Behandlung, sofern nicht andere Vorschriften längere Aufbewahrungsfristen vorsehen.
• Berufsordnungen der Landesärztekammern: In Berlin etwa regelt Paragraph 10 Absatz 3 der Berufsordnung der Ärztekammer Berlin diese Pflicht berufsrechtlich. Vergleichbare Regelungen finden sich in allen Bundesländern.

Diese Aufbewahrungspflicht dient mehreren wichtigen Zwecken: Sie sichert die Dokumentation der Behandlung für mögliche Haftungsfragen, ermöglicht eine lückenlose Nachvollziehbarkeit medizinischer Entscheidungen und schützt sowohl Patienten als auch Ärzte bei späteren Rechtsstreitigkeiten. Die Frist beginnt mit dem Abschluss der Behandlung, nicht etwa mit dem letzten Praxisbesuch.

Kein Recht auf Löschung während der Aufbewahrungsfrist

Solange die zehnjährige Aufbewahrungsfrist läuft, können ehemalige Patienten die Löschung ihrer Behandlungsdaten nicht verlangen. Artikel 17 Absatz 3 Buchstabe b DSGVO regelt diesen scheinbaren Konflikt zwischen Datenschutzrecht und Aufbewahrungspflichten eindeutig: Das Recht auf Löschung besteht nicht, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.

Die gesetzliche Aufbewahrungspflicht nach Paragraph 630f Absatz 3 BGB und den Berufsordnungen der Ärztekammern stellt genau eine solche rechtliche Verpflichtung dar. Die DSGVO erkennt damit ausdrücklich an, dass nationale Gesetzgeber berechtigte Gründe für die weitere Speicherung personenbezogener Daten festlegen können, die den Löschanspruch der Betroffenen einschränken.

Für Arztpraxen bedeutet dies: Ein Löschungsantrag eines ehemaligen Patienten kann während der laufenden Aufbewahrungsfrist rechtmäßig abgelehnt werden. Die Praxis sollte den Betroffenen jedoch transparent über die bestehende Aufbewahrungspflicht und deren Rechtsgrundlage informieren.

Auch die Einschränkung der Verarbeitung ist nicht möglich

Manche Betroffene versuchen einen Umweg über das Recht auf Einschränkung der Verarbeitung nach Artikel 18 DSGVO. Die Idee: Wenn eine vollständige Löschung nicht möglich ist, soll die Nutzung der Daten zumindest stark eingeschränkt werden. Doch auch dieser Weg führt bei Behandlungsakten nicht zum Ziel.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit erklärt die rechtliche Begründung: Artikel 18 Absatz 1 Buchstabe c DSGVO sieht ein Recht auf Einschränkung der Verarbeitung vor, wenn der Verantwortliche die Daten für seine Zwecke nicht mehr benötigt, die betroffene Person sie aber zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen braucht. In diesem speziellen Fall würde eine Löschung gerade nicht im Interesse der betroffenen Person liegen.

Bei Behandlungsakten liegt die Situation jedoch völlig anders: Die Arztpraxis benötigt die Daten noch zur Erfüllung ihrer gesetzlichen Aufbewahrungspflicht. Es darf noch gar nicht gelöscht werden, da die zehnjährige Frist noch läuft. Die Voraussetzungen des Artikel 18 Absatz 1 Buchstabe c DSGVO sind damit nicht erfüllt.

Auch das Bundesdatenschutzgesetz bietet keinen Ausweg

Ein Blick ins Bundesdatenschutzgesetz hilft ebenfalls nicht weiter. Paragraph 35 Absatz 3 BDSG ermöglicht unter bestimmten Umständen die Ersetzung der Löschung durch eine Einschränkung der Verarbeitung – allerdings nur bei satzungsgemäßen oder vertraglichen Aufbewahrungsfristen.

Die Aufbewahrungspflicht nach Paragraph 630f Absatz 3 BGB ist jedoch eine gesetzliche Frist, kein Satzungs- oder Vertragsrecht. Der potenzielle Konflikt zwischen Löschungsanspruch und Aufbewahrungspflicht ist daher bereits durch Artikel 17 Absatz 3 Buchstabe b DSGVO abschließend geregelt. Eine zusätzliche Anwendung des Paragraph 35 BDSG kommt nicht in Betracht.

Klares Fazit der Datenschutzaufsicht

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit kommt zu einem eindeutigen Ergebnis: Behandlungsakten in Arztpraxen sind in der Regel für zehn Jahre nach Abschluss der Behandlung aufzubewahren. In diesem Zeitraum können Betroffene weder eine Löschung noch eine Einschränkung der Verarbeitung nach den speziellen Anforderungen der DSGVO verlangen.

Diese Klarstellung schafft Rechtssicherheit für beide Seiten. Arztpraxen können sich bei der Ablehnung entsprechender Anträge auf eine gefestigte Rechtsauffassung stützen. Patienten wiederum erhalten Transparenz darüber, warum ihre Daten noch gespeichert werden und welche Rechtsgrundlage dies rechtfertigt.

Trotzdem: Rechtmäßige Verarbeitung bleibt Pflicht

Die fehlende Lösch- und Einschränkungsmöglichkeit bedeutet jedoch keineswegs eine Freifahrt für Arztpraxen im Umgang mit Behandlungsdaten. Die Datenschutzaufsicht stellt ausdrücklich klar: Unbeschadet der Aufbewahrungspflicht müssen Arztpraxen durch geeignete technische und organisatorische Maßnahmen nach Artikel 32 DSGVO eine rechtmäßige Verarbeitung sicherstellen.

Konkret bedeutet dies für Praxen:

• Zugriffsbeschränkungen: Nur berechtigte Personen dürfen auf die Behandlungsdaten zugreifen können. Ein Berechtigungskonzept muss klar regeln, wer welche Daten einsehen darf.
• Technische Sicherheit: Die Daten müssen durch angemessene IT-Sicherheitsmaßnahmen vor unbefugtem Zugriff, Verlust oder Zerstörung geschützt werden.
• Organisatorische Maßnahmen: Prozesse und Richtlinien müssen sicherstellen, dass die Daten nur für die zulässigen Zwecke verwendet werden.
• Dokumentation: Die ergriffenen Schutzmaßnahmen sollten dokumentiert werden, um die Einhaltung der Datenschutzanforderungen nachweisen zu können.

Auch während der Aufbewahrungsfrist gilt: Die Grundsätze der Datenminimierung und Zweckbindung sind zu beachten. Die Daten dürfen nur für die Zwecke verarbeitet werden, für die sie ursprünglich erhoben wurden, also im Wesentlichen für die Dokumentation der Behandlung und die Erfüllung rechtlicher Pflichten.

Was geschieht nach Ablauf der Aufbewahrungsfrist?

Nach Ablauf der zehnjährigen Aufbewahrungsfrist müssen die Behandlungsdaten grundsätzlich gelöscht werden, sofern nicht ausnahmsweise längere spezialgesetzliche Fristen greifen oder besondere Umstände eine weitere Aufbewahrung rechtfertigen. Die Löschung sollte systematisch und dokumentiert erfolgen.

Arztpraxen sollten ein Löschkonzept implementieren, das regelmäßig prüft, welche Akten die Aufbewahrungsfrist erreicht haben und gelöscht werden müssen. Dies ist nicht nur eine datenschutzrechtliche Pflicht, sondern auch ein wichtiger Beitrag zur Datensicherheit, da nicht mehr benötigte Daten auch kein Risiko mehr darstellen können.

Handlungsempfehlungen für Arztpraxen

Aufgrund der Entscheidung der Berliner Datenschutzaufsicht sollten Arztpraxen folgende Punkte beachten:

• Transparente Kommunikation: Informieren Sie Patienten bereits bei Behandlungsbeginn über die Aufbewahrung ihrer Daten und die gesetzlichen Fristen.
• Ablehnung begründen: Wenn ehemalige Patienten die Löschung oder Einschränkung verlangen, lehnen Sie den Antrag mit Verweis auf die gesetzliche Aufbewahrungspflicht ab und erläutern Sie die Rechtslage verständlich.
• Datenschutz gewährleisten: Stellen Sie durch geeignete technische und organisatorische Maßnahmen sicher, dass die aufbewahrten Daten angemessen geschützt sind.
• Zugriffe protokollieren: Dokumentieren Sie, wer wann auf welche Patientendaten zugegriffen hat, um Transparenz und Nachvollziehbarkeit zu gewährleisten.
• Löschkonzept etablieren: Implementieren Sie einen systematischen Prozess zur Löschung von Daten nach Ablauf der Aufbewahrungsfrist.

Fazit: Rechtssicherheit durch klare Regelungen

Die Stellungnahme der Berliner Datenschutzaufsicht schafft wichtige Klarheit in einer häufig diskutierten Frage. Behandlungsdaten unterliegen gesetzlichen Aufbewahrungsfristen, die Vorrang vor dem Löschungsanspruch der Betroffenen haben. Dies ist keine Einschränkung des Datenschutzes, sondern eine ausgewogene Abwägung zwischen verschiedenen Rechtsgütern.

Für Arztpraxen bedeutet dies Rechtssicherheit bei der Ablehnung von Löschanträgen. Gleichzeitig bleibt die Verpflichtung bestehen, die aufbewahrten Daten durch angemessene Schutzmaßnahmen zu sichern und nach Ablauf der Frist ordnungsgemäß zu löschen.

Sie haben Fragen zur Umsetzung datenschutzrechtlicher Anforderungen in Ihrer Arztpraxis oder Ihrem Gesundheitsunternehmen? Als zertifizierte Datenschutzexperten unterstützen wir Sie bei der rechtssicheren Gestaltung Ihrer Datenschutzprozesse. Kontaktieren Sie uns für eine unverbindliche Erstberatung – gemeinsam sorgen wir für Compliance und Rechtssicherheit in Ihrer Organisation.