Löschkonzept für die Arztpraxis: Welche Daten wann verschwinden

Aufbewahren und Löschen gehören zusammen

Personenbezogene Daten dürfen nicht allein deshalb dauerhaft gespeichert werden, weil Speicherplatz vorhanden ist. Artikel 5 DSGVO verlangt eine Begrenzung der Speicherdauer; Artikel 17 regelt Löschpflichten und Ausnahmen. Gesetzliche Aufbewahrungspflichten können einer sofortigen Löschung entgegenstehen. Auch die erforderliche Sicherung von Rechtsansprüchen kann im Einzelfall relevant sein.

Für die Behandlungsakte sieht § 630f BGB grundsätzlich zehn Jahre nach Abschluss der Behandlung vor, soweit andere Vorschriften keine anderen Fristen bestimmen. Im Strahlenschutz gelten beispielsweise besondere Vorgaben: Aufzeichnungen über entsprechende Behandlungen sind nach § 85 StrlSchG 30 Jahre aufzubewahren. Welche Regel passt, muss anhand der Unterlagen und Behandlung geklärt werden.

Datenarten getrennt betrachten

Für Bewerbungsunterlagen gibt es keine allgemeine gesetzliche Pflicht, sämtliche Dateien genau sechs Monate zu behalten. Der Zweck und eine begründete Aufbewahrung bestimmen die Regel. Ein gewünschter Talentpool benötigt eine eigene Grundlage und zeitliche Begrenzung.

Ein Löschverzeichnis für den Praxisalltag erstellen

Beginnen Sie mit einer überschaubaren Tabelle. Sie beschreibt Datenkategorien und Regeln; vollständige Patienten- oder Bewerberlisten gehören dort nicht hinein. Stimmen Sie die Angaben mit dem Verzeichnis der Verarbeitungstätigkeiten und den Datenschutzinformationen ab.

Ein konkreter Rechtsstreit kann die Aufbewahrung bestimmter Unterlagen erforderlich machen. Dokumentieren Sie einen solchen Ausnahmegrund gezielt, begrenzen Sie den Zugriff und legen Sie einen erneuten Prüftermin fest. Eine pauschale Dauerablage aller Daten für mögliche spätere Konflikte ist daraus nicht abzuleiten.

Backups brauchen ein eigenes Verfahren

Datensicherungen schützen die Verfügbarkeit der Praxisdaten, sind aber kein Bereich ohne Löschpflichten. Der Europäische Datenschutzausschuss behandelt diesen Punkt ausdrücklich in seinem Bericht zum Recht auf Löschung von Februar 2026. Eingriffe in Sicherungen können deren Integrität gefährden; die technische Lösung muss diese Risiken berücksichtigen.

Vereinbaren Sie mit Ihrer IT nachvollziehbare Sicherungszyklen, begrenzte Aufbewahrung und eingeschränkten Zugriff. Wenn einzelne Daten nicht unmittelbar aus einer Sicherung entfernt werden können, muss der Umgang damit begründet und geregelt sein. Nach einer Wiederherstellung dürfen bereits gelöschte Daten nicht unkontrolliert erneut in den Arbeitsbestand gelangen. Vor erneuter Nutzung sind die betreffenden Löschungen wieder anzuwenden und zu überprüfen.

Löschung durchführen und sparsam nachweisen

Planen Sie zunächst einen begrenzten Probelauf mit überprüften Auswahlregeln. Praxissoftware, Cloud-Dienste und Papierarchive benötigen unterschiedliche Verfahren. Das Verschieben einer Datei in den Papierkorb reicht nicht aus. Datenträger müssen mit einem für das Medium geeigneten Verfahren gelöscht oder vernichtet werden.

Dokumentieren Sie beispielsweise Kategorie, Zeitraum, Regel, Freigabe, Ausführung und Prüfergebnis. Ein Löschprotokoll muss keine Diagnosen oder vollständigen Bewerbungsinhalte wiederholen. Erforderliche Kennungen sind zu minimieren und zu schützen; auch für Protokolle gilt eine eigene Aufbewahrungsregel. Bei Dienstleistern sollte die Löschung vertraglich und praktisch nachvollziehbar sein.