So dokumentieren Arztpraxen ihre Löschfristen nachvollziehbar

In einer internistischen Gemeinschaftspraxis in Bayern klingelt das Telefon. Die Datenschutzaufsicht kündigt eine Routineprüfung an. Auf der Prüfliste steht: „Bitte legen Sie Ihre Löschregelungen für personenbezogene Daten vor.“ In der Praxis entsteht Unruhe – eine zentrale Übersicht gibt es nicht, niemand weiß genau, welche Daten wann gelöscht werden müssen oder wer zuständig ist.

Genau hier zeigt sich, wie wichtig eine systematische Dokumentation der Löschfristen ist. Sie schützt die Praxis vor Bußgeldern und Datenpannen – und schafft gleichzeitig Ordnung und Klarheit. Mit der richtigen Vorlage, der Lösch-Tabelle aus der hier vorgestellten Arbeitshilfe, wird aus einer unübersichtlichen Pflicht eine nachvollziehbare, prüfsichere Routine.

Warum Löschfristen in Arztpraxen so wichtig sind

Wer in einer Arztpraxis Verantwortung trägt, weiß: Datenschutz ist Teil der Behandlungsqualität. Patientendaten sind besonders schutzbedürftig und dürfen nicht länger gespeichert werden als nötig. Genau hier setzen Löschfristen an – sie machen aus dem Grundsatz der Speicherbegrenzung gelebte Praxis. Eine nachvollziehbar dokumentierte Frist ist kein Formalakt, sondern Ausdruck eines professionellen und verantwortungsvollen Umgangs mit sensiblen Informationen.

Fehlt diese Dokumentation, entsteht gleich ein doppeltes Risiko: Die Aufsichtsbehörde kann die fehlende Nachvollziehbarkeit als Verstoß werten, und veraltete Daten können versehentlich weiterverarbeitet werden. Ohne klar definierte Fristen geraten Praxen leicht zwischen medizinische oder steuerrechtliche Aufbewahrungspflichten und datenschutzrechtliche Löschanforderungen – ein Spannungsfeld, das nur mit klaren Regeln beherrschbar ist.

Auch die ärztliche Schweigepflicht spielt eine Rolle: Sie verlangt, mit Patientendaten vertraulich und zweckgebunden umzugehen. Eine dokumentierte Löschfrist ist damit nicht nur ein Datenschutzinstrument, sondern Teil der ärztlichen Berufsethik. Im Prüfungsfall kann die Praxis mit einer strukturierten Lösch-Tabelle jederzeit belegen, wie und warum Daten gelöscht werden – nachvollziehbar und rechtssicher.

Rechtliche Grundlagen: DSGVO, BDSG und Aufbewahrungspflichten

Die rechtlichen Vorgaben zu Löschfristen sind eindeutig – aber in der Praxis oft schwer zu überblicken. Die Datenschutz-Grundverordnung (DSGVO) bildet dabei das Fundament: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den jeweiligen Zweck erforderlich ist. Arztpraxen müssen deshalb genau festlegen, wann Daten gelöscht werden – und diese Fristen aktiv steuern.

Zum Datenschutz gehört außerdem, ein aktuelles Verzeichnis aller Datenverarbeitungen zu führen. Darin müssen auch die vorgesehenen Löschfristen genannt sein. Gleichzeitig haben Patientinnen und Patienten das Recht, die Löschung ihrer Daten zu verlangen – soweit keine gesetzlichen Pflichten dagegensprechen. Wer diese Anforderungen klar dokumentiert, schützt nicht nur sensible Informationen, sondern schafft auch Rechtssicherheit für das gesamte Praxisteam.

Daneben gelten weitere Aufbewahrungspflichten – insbesondere aus dem Medizin- und Steuerrecht. Sie geben Mindestfristen vor, bevor Daten überhaupt gelöscht werden dürfen. Patientenakten müssen in der Regel zehn Jahre aufbewahrt werden, gerechnet ab dem letzten Behandlungskontakt. Steuerunterlagen bleiben je nach Art meist sechs oder zehn Jahre lang erforderlich.

Achtung: Für bestimmte Dokumentationen wie Röntgenbilder oder Aufzeichnungen zur Strahlentherapie gelten nach dem Strahlenschutzgesetz jedoch Fristen von bis zu 30 Jahren!

Ein häufiger Irrtum: Löschfristen beginnen automatisch mit dem Ende der Behandlung. In Wahrheit startet die Frist erst, wenn keine rechtliche oder organisatorische Notwendigkeit zur Aufbewahrung mehr besteht. Erst dann beginnt die eigentliche Löschfrist zu laufen – und nicht schon mit Abschluss der Behandlung.

Die auf dieser Seite vorgestellte Arbeitshilfe hilft, diese Vorgaben praxisgerecht umzusetzen. Sie zeigt, wie für jede Datenart Frist, Fristbeginn und Löschregel sauber erfasst werden. So lassen sich Widersprüche vermeiden – und die Praxis handelt nachweislich im Einklang mit Datenschutz- und Berufsrecht.

Der erste Schritt: Bestandsaufnahme aller Datenarten

Bevor eine Praxis Löschregeln festlegen kann, muss sie zunächst wissen, welche Datenarten überhaupt vorhanden sind. Denn nur was bekannt ist, lässt sich später dokumentieren, befristen und löschen. An erster Stelle stehen dabei Patientendaten – von der digitalen Patientenakte über Laborberichte bis hin zu Röntgenbildern. Doch auch Personalunterlagen, Abrechnungsdaten, E-Mail-Korrespondenzen, Logdaten aus IT-Systemen oder Verträge mit Dienstleistern gehören in die Betrachtung.

Unsere Arbeitshilfe bietet dafür eine klare Struktur. Ihre Spalten zu Datenkategorie, Verfahren, Speicherort und Rechtsgrundlage helfen, ein vollständiges Dateninventar zu erstellen. Je sorgfältiger diese Erhebung erfolgt, desto tragfähiger wird die spätere Löschdokumentation.

In der Praxis hat sich ein dezentrales Vorgehen bewährt: Jede Abteilung oder Funktionseinheit erfasst zunächst ihre Datenquellen. Anschließend werden die Speicherorte überprüft – vom Praxisserver über cloudbasierte Anwendungen bis hin zu physischen Archiven. Besonders kritisch sind vergessene Speicherorte wie USB-Sticks, lokale Backups, Scanner oder alte Geräte. Genau dort entstehen schnell blinde Flecken, die bei Prüfungen zum Problem werden können.

Ein Beispiel aus dem Alltag: Eine Hausarztpraxis stellt bei der Sichtung alter Unterlagen fest, dass mehrere Patientendatenträger seit Jahren in einem externen Archiv lagern – ohne dokumentiertes Fristende. Mithilfe der Lösch-Tabelle lassen sich diese Datensätze nachträglich einordnen, Fristen festlegen und Verantwortlichkeiten bestimmen. Das Ergebnis: mehr Übersicht, höhere Prüffähigkeit – und ein beruhigtes Team.

Löschregeln festlegen: Kriterien und Verantwortlichkeiten

Wenn alle Datenarten erfasst sind, folgt der wichtigste Schritt: die Festlegung der Löschregeln. Für jede Kategorie muss klar sein, unter welchen Voraussetzungen und zu welchem Zeitpunkt Daten gelöscht werden. Maßgeblich sind drei Faktoren: die Rechtsgrundlage, die Aufbewahrungsfrist und der Zweck der Verarbeitung. Hinzu kommen interne Anforderungen – etwa zur Qualitätssicherung oder Nachvollziehbarkeit.

Unsere Arbeitshilfe macht diese Kriterien übersichtlich sichtbar. In ihren Spalten zu Speicherdauer, Fristbeginn und Löschregel lässt sich jeder Datensatz mit einer klaren Vorgabe verknüpfen. Die strukturierte Darstellung erleichtert die Dokumentation erheblich – und hilft, Fristen sicher im Blick zu behalten.

Ebenso wichtig ist die Frage der Zuständigkeit. In vielen Praxen übernimmt diese Aufgabe die Datenschutzbeauftragte oder der Praxismanager. Doch auch Mitarbeitende aus Verwaltung, IT oder Abrechnung sollten eingebunden sein. Nur wenn alle Verantwortlichen beteiligt sind, bleibt das Löschkonzept realitätsnah und aktuell.

Grundregel: Jede neue Datenart, jede geänderte Frist und jeder neue Speicherort müssen dokumentiert und freigegeben werden. Ein jährlicher Abgleich hat sich bewährt , um die Löschregeln zu prüfen und gegebenenfalls anzupassen. So bleibt das System stabil – auch bei internen Audits oder externen Prüfungen.

Auch Ausnahmen gehören in die Tabelle: Wenn etwa ein laufendes Verfahren oder ein besonderer Aufbewahrungsgrund eine Verlängerung erfordert, sollte diese Abweichung mit Begründung eingetragen werden. So erfüllt die Praxis ihre Rechenschaftspflicht lückenlos und nachvollziehbar.

Im nächsten Schritt geht es um die konkrete Umsetzung: Wie erfassen Sie alle Datenarten vollständig, setzen Fristen richtig an und dokumentieren jede Löschung nachvollziehbar? Genau dabei unterstützt Sie die Lösch-Tabelle – mit klaren Spalten für Datenkategorie, Fristbeginn, Speicherdauer, Löschregel und Verantwortliche. So entsteht eine lückenlose Übersicht, die Datenschutz und Praxisorganisation sicher verbindet.