§ 630f BGB und Datensicherheit in der Praxis: Aufbewahrung, Zugriffsprotokolle und Meldepflichten

Die meisten Texte über Datensicherheit im Gesundheitswesen hören bei Firewall und Phishing-Training auf. Bei der Praxisleitung kommen engere Fragen an: Wie lange heben wir diese Akte auf? Wer hat sie am Dienstag geöffnet? Müssen wir den verlorenen Laptop melden? Und wie schnell bekommt die Patientin ihre Kopie?

Dieser Leitfaden beantwortet die vier Fragen für Deutschland, ausgehend von § 630f BGB, der Dokumentationspflicht des Arztes. Die Vorschrift verpflichtet den Behandelnden, eine Behandlungsakte zu führen, Änderungen sichtbar zu halten und die Akte zehn Jahre aufzubewahren. Dazu kommen Art. 32 und 33 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenpannen), § 630g BGB (Einsicht) und § 203 StGB (Schweigepflicht). Die US-Regeln unter HIPAA dienen als Vergleich, nicht als Maßstab.

Der Haken: Die Pflichten begleiten eine Akte ihr ganzes Leben. Ein Aufklärungsbogen, der 2026 unterschrieben wird, kann 2036 und später noch Ihre Sache sein.

Wie Patienten ihre Formulare digital unterschreiben, behandelt unser Beitrag zum digitalen Unterschreiben von Patientenformularen. Auf der Chaindoc-Seite für das Gesundheitswesen stehen die Dokumente, die Praxen über uns verschicken.

In den USA läuft ein großer Teil der Datensicherheit über eine einzige Verordnung, und die Zahlen oben zeigen, wo sie sich bewähren muss: Vier von fünf großen Pannen waren Hacking oder IT-Vorfälle, und die Daten lagen meist auf einem Netzwerkserver. In Deutschland verteilen sich die Anforderungen an den Datenschutz in der Arztpraxis auf mehrere Texte. Bei gespeicherten Akten fragen sie alle dasselbe: Wer kommt an den Server, würden Sie es bemerken, und könnten Sie ihn wiederherstellen?

Was die DSGVO in der Arztpraxis für gespeicherte Akten verlangt, steht zuerst in Art. 32 Abs. 1: Maßnahmen, die dem Risiko angemessen sind, mit Beispielen. Für Gesundheitsdaten legt § 22 Abs. 2 BDSG eine Liste nach. Vertragsarztpraxen kommen an der IT-Sicherheitsrichtlinie nicht vorbei, die die Kassenärztlichen Bundesvereinigungen nach § 390 SGB V erlassen: Sie verlangt unter anderem die sichere Installation und Wartung der Komponenten der Telematikinfrastruktur und Maßnahmen zur Sensibilisierung der Mitarbeitenden. Krankenhäuser unterliegen § 391 SGB V und müssen organisatorische und technische Vorkehrungen nach dem Stand der Technik treffen.

Datensicherheit nach § 630f BGB: Anforderungen an gespeicherte Akten

• Zugriffsbeschränkung (§ 22 Abs. 2 BDSG): Wer darf welche Akte lesen? Jede Person hat ein eigenes Login, und der Zugang endet mit dem Arbeitsverhältnis.
• Protokollierung, ebenfalls aus § 22 Abs. 2 BDSG: Maßnahmen, mit denen sich nachträglich feststellen lässt, ob und von wem Daten eingegeben, verändert oder entfernt wurden.
• Verschlüsselung und Pseudonymisierung, beide in Art. 32 Abs. 1 lit. a DSGVO als Beispiele genannt. Wo Sie darauf verzichten, halten Sie schriftlich fest, was stattdessen schützt.
• Wiederherstellung (lit. c): die Daten nach einem physischen oder technischen Zwischenfall rasch wieder verfügbar machen.
• Regelmäßige Überprüfung (lit. d): ein Verfahren, das die Wirksamkeit der Maßnahmen prüft, bewertet und festhält.
• Sensibilisierung des Teams und, wo es vorgeschrieben ist, eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter.

Das alles gehört schriftlich festgehalten: Nach Art. 5 Abs. 2 DSGVO müssen Sie die Einhaltung nachweisen können.

Ehrlich gesagt ist die Wiederherstellung die Zeile, die Praxen am meisten unterschätzen. Ein Backup, aus dem Sie noch nie zurückgespielt haben, ist eine Hoffnung und kein Plan.

Wer nach der Aufbewahrungsfrist für Patientenakten sucht, bekommt in Deutschland eine klare Zahl: zehn Jahre. Sie steht in § 630f Abs. 3 BGB und beginnt mit dem Abschluss der Behandlung, nicht mit dem letzten Eintrag und nicht mit dem Jahresende. Wer im Dezember 2026 die Behandlung abschließt, hebt die Akte mindestens bis Dezember 2036 auf.

Der Satz hat einen Nachsatz, der gern überlesen wird: Es gilt, »soweit nicht nach anderen Vorschriften andere Aufbewahrungsfristen bestehen«. Solche Vorschriften gibt es. Aufzeichnungen über Behandlungen mit Strahlung bewahren Sie nach § 85 Abs. 2 StrlSchG 30 Jahre auf, Aufzeichnungen über Röntgenuntersuchungen bei Erwachsenen zehn Jahre und bei Minderjährigen bis zur Vollendung des 28. Lebensjahres.

Dann ist da die Verjährung. Schadensersatzansprüche wegen einer Verletzung von Körper oder Gesundheit verjähren ohne Rücksicht auf die Kenntnis des Patienten spätestens nach 30 Jahren (§ 199 Abs. 2 BGB). Das Gesetz zwingt Sie nicht, so lange aufzubewahren. Es erklärt aber, warum manche Praxen die zehn Jahre bewusst überschreiten. Und es zeigt, was auf dem Spiel steht: Wer eine Akte entgegen § 630f Abs. 3 BGB nicht aufbewahrt, muss nach § 630h Abs. 3 BGB damit rechnen, dass vermutet wird, die dokumentierte Maßnahme sei nicht getroffen worden.

Mehrere Uhren laufen also nebeneinander: die zehn Jahre aus dem BGB, Sonderfristen wie im Strahlenschutz, laufende Streitfälle und die Erwartungen Ihrer Berufshaftpflichtversicherung. Die längste gewinnt. Wie sich verschiedene Fristen zu einem Plan verbinden lassen, zeigt unser Beitrag zum Zusammenspiel von Aufbewahrungsplänen.

Die Aufbewahrung ist der Teil der Datensicherheit, den man vergisst, weil am Tag des Fehlers nichts kaputtgeht. Eine Gewohnheit, die sich von großen Kliniken abschauen lässt: das Vernichtungsdatum beim Anlegen der Akte aufschreiben. Aus einer Ermessensfrage in zehn Jahren wird so eine Zeile in einer Liste.

Hier wird Datensicherheit nachweisbar. Das Gesetz stellt zwei Forderungen, die zusammengehören. § 630f Abs. 1 BGB verlangt, dass Berichtigungen und Änderungen der Akte erkennbar bleiben, wann sie vorgenommen wurden. § 22 Abs. 2 BDSG verlangt Maßnahmen, mit denen sich nachträglich feststellen lässt, ob und von wem Daten eingegeben, verändert oder entfernt wurden. Das eine ist die Änderungshistorie der Akte, das andere das Zugriffsprotokoll des Systems. Ein Protokoll, das niemand ansieht, belegt nur, dass es existiert, und Art. 32 Abs. 1 lit. d DSGVO verlangt, dass Sie die Wirksamkeit Ihrer Maßnahmen auch prüfen.

Was ein brauchbares Zugriffsprotokoll festhält

Stellen Sie sich vor, ein Patient fragt: »Wer hat in meine Akte geschaut?« Jeder Eintrag braucht:

1. 1.
   Die Person, mit ihrem eigenen Login. Gemeinsame Zugänge machen das unmöglich.
2. 2.
   Die Akte, die sie berührt hat.
3. 3.
   Was sie getan hat: geöffnet, geändert, exportiert, gedruckt oder gelöscht.
4. 4.
   Wann, auf die Minute.
5. 5.
   Von wo aus, und ob es geklappt hat. Fehlversuche sind oft die interessanten.

Die Unveränderbarkeit ist die andere Hälfte. § 630f Abs. 1 BGB ist hier deutlicher als jede Best-Practice-Liste: Eine Korrektur ist nur zulässig, wenn neben dem ursprünglichen Inhalt erkennbar bleibt, wann sie vorgenommen wurde, und das gilt ausdrücklich auch für elektronische Akten. Ein System, das Einträge überschreibt und die alte Fassung nicht behält, verstößt dagegen. Unser Beitrag dazu, was ein belastbares Änderungs- und Zugriffsprotokoll festhält, geht Feld für Feld durch.

Wie lange Zugriffsprotokolle aufbewahrt werden

Eine feste Zahl nennen weder § 630f BGB noch die DSGVO. Unsere Einschätzung: Bewahren Sie die Protokolle so lange auf, wie Patienten Auskunft verlangen oder Ansprüche geltend machen können, denn ein gelöschtes Protokoll kann nicht mehr klären, wer eine Akte geöffnet hat. Gegenläufig wirkt, dass Protokolle selbst personenbezogene Daten Ihrer Mitarbeitenden enthalten. Legen Sie die Dauer deshalb schriftlich fest, begründen Sie sie und löschen Sie danach.

Wenn die Datensicherheit versagt, entscheiden Art. 33 und 34 DSGVO, was als Nächstes passiert. Ausgangspunkt ist die Verletzung des Schutzes personenbezogener Daten: Daten gehen verloren, werden verändert, vernichtet oder unbefugt offengelegt. Der Laptop aus dem Auto, der Befund an den falschen Empfänger, der Verschlüsselungstrojaner auf dem Praxisserver, alles zählt. Gemeldet wird nicht jede Panne, sondern jede, die voraussichtlich zu einem Risiko für die Betroffenen führt. Bei Gesundheitsdaten fällt die Einschätzung selten zugunsten von »kein Risiko« aus.

Die Fristen, wie die DSGVO sie setzt:

Aufsichtsbehörde. Sie melden »unverzüglich und möglichst binnen 72 Stunden«, nachdem Ihnen die Verletzung bekannt wurde, an die zuständige Aufsichtsbehörde, bei Arztpraxen in der Regel die Datenschutzbehörde des Bundeslandes. Kommt die Meldung später, legen Sie die Gründe der Verzögerung bei. Die Meldung beschreibt die Art der Verletzung mit Kategorien und ungefährer Zahl der Betroffenen, nennt Ihre Kontaktstelle, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Fehlt Ihnen noch etwas, reichen Sie es schrittweise nach.

Betroffene. Bei voraussichtlich hohem Risiko benachrichtigen Sie die Patienten unverzüglich, in klarer und einfacher Sprache. Eine Tagesfrist nennt Art. 34 nicht. Entbehrlich ist die Benachrichtigung, wenn die Daten durch Vorkehrungen wie Verschlüsselung unzugänglich sind, wenn Maßnahmen das hohe Risiko ausgeräumt haben oder wenn sie einen unverhältnismäßigen Aufwand bedeutet; dann tritt eine öffentliche Bekanntmachung an ihre Stelle.

Ihr Dienstleister. Ein Auftragsverarbeiter, der eine Verletzung bemerkt, meldet sie Ihnen unverzüglich (Art. 33 Abs. 2). Seine Frist und Ihre laufen sonst hintereinander.

Dokumentation. Jede Verletzung dokumentieren Sie, auch die nicht gemeldeten, samt Wirkungen und Gegenmaßnahmen (Abs. 5). Die Beweislast liegt bei Ihnen. Führen Sie diese Akte so sorgfältig wie die Patientenakten selbst.

Zum Vergleich: HIPAA lässt der Praxis bis zu 60 Tage, wie die Zusammenfassung der Breach Notification Rule des HHS erklärt. 72 Stunden sind rund zwanzigmal schneller.

Ein Patient, der seine eigene Akte sehen will, ist auch ein Fall für die Datensicherheit, nur ein freundlicher. Sie prüfen, wer fragt, finden alles und geben es heraus, ohne Daten Dritter preiszugeben.

Nach § 630g Abs. 1 BGB ist dem Patienten auf Verlangen unverzüglich Einsicht in die vollständige, ihn betreffende Behandlungsakte zu gewähren. Er kann auch Abschriften verlangen, einschließlich elektronischer, und die erste Abschrift ist unentgeltlich. Abgelehnt werden darf nur, soweit erhebliche therapeutische Gründe oder erhebliche Rechte Dritter entgegenstehen, und die Ablehnung braucht eine Begründung (Abs. 2).

Art. 15 Abs. 3 DSGVO sieht die erste Kopie ebenfalls ohne Entgelt vor, für weitere Kopien darf ein angemessenes Entgelt verlangt werden. Der EuGH hat 2023 entschieden (C-307/22), dass die erste Kopie auch dann kostenlos ist, wenn der Patient sie braucht, um mögliche Haftungsansprüche zu prüfen. Der Zweck der Anfrage ändert daran nichts. Zum Vergleich: HIPAA gibt 30 Tage, Frankreich acht Tage.

Anfragen verlaufen schmerzlos, wenn Sie wissen, wo jeder Teil einer Akte liegt, und ihn ohne Abtippen exportieren können.

Geteilte Laufwerke sind der Ort, an dem die Dokumentenverwaltung im Gesundheitswesen leise schiefgeht: eine eingescannte Überweisung im privaten Ordner, ein Link auf »jeder mit dem Link«. Wer in Deutschland Patientendaten in einen Cloud-Speicher legt, braucht zweierlei, bevor der erste Scan hochgeladen wird.

Erstens einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Ihn zu verlangen und zu prüfen ist Ihre Pflicht als Verantwortlicher; was Google oder Dropbox in ihren Verträgen anbieten, behaupten wir hier nicht. Zweitens die Verpflichtung zur Geheimhaltung. Die Schweigepflicht des Arztes endet nicht an der Praxistür: Ein IT-Dienstleister mit Zugang zu Patientendaten wirkt an der Tätigkeit der Praxis mit; er ist eine mitwirkende Person im Sinne von § 203 Abs. 3 StGB. Wer als Berufsgeheimnisträger nicht dafür sorgt, dass sie zur Geheimhaltung verpflichtet wird, macht sich nach Abs. 4 strafbar.

Für den Vergleich mit den USA haben wir gelesen, was die Hilfeseiten der Anbieter am 14. Oktober 2026 zu HIPAA sagten. Das betrifft HIPAA, nicht die DSGVO.

Dropbox. Administratoren bestimmter Team-Tarife (Standard, Advanced, Enterprise und Education gehören zu den genannten) können ein Business Associate Agreement (BAA) elektronisch in der Admin-Konsole abschließen. Das gilt nur für Kunden mit Sitz in den USA, und Apps von Drittanbietern, die mit Dropbox verbunden sind, deckt es nicht ab.

Google Drive. Administratoren müssen in der Admin-Konsole ein BAA prüfen und annehmen, bevor sie geschützte Gesundheitsdaten in Google-Diensten verwenden; wer keines hat, darf sie in Workspace oder Cloud Identity nicht verwenden. Welche Dienste das BAA abdeckt, steht auf einer gesonderten Google-Liste, prüfen Sie also, ob Drive für Ihre Edition dazugehört. Die Seite wendet sich nur an Workspace- und Cloud-Identity-Kunden; für ein privates Konto sagt sie nichts.

Fairerweise: Beide machen den Vertrag zu einem Schritt, den Administratoren selbst erledigen, nicht zu einem Verkaufsgespräch. Der Gedanke überträgt sich auf Deutschland. Kein Produkt ist von sich aus geeignet; ein Konto taugt erst, wenn der Vertrag unterschrieben, die Freigaben beschränkt und die angebundenen Apps geprüft sind. Das Gegenstück zum BAA heißt hier AVV. Fordern Sie ihn an, bevor Sie hochladen.

Dieselben Fragen stellen Sie jedem Anbieter, der Backup oder Überwachung verkauft: Was protokolliert er, wer kann bei ihm Ihre Daten lesen, und welche Produkte nennt sein Vertrag?

Chaindoc deckt einen Ausschnitt der Datensicherheit ab: die Dokumente, die eine Unterschrift brauchen, also Einwilligungen, Aufnahmebögen, Überweisungsvereinbarungen sowie Personal- und Lieferantenverträge. Es ist weder ein Praxisverwaltungssystem noch die Behandlungsakte nach § 630f BGB und sollte nie der einzige Ort sein, an dem eine Akte liegt. Was es für die Dokumente leistet, die es hält:

• Zertifizierung. ISO 27001 für das Informationssicherheits-Managementsystem und ISO 9001 für das Qualitätsmanagement; das Zertifizierungsaudit nach ISO 27001 ist unser einziges externes Audit.
• Übertragung per TLS, und keine Ende-zu-Ende-Verschlüsselung. Unsere Server lesen Dateien, um sie zu konvertieren, zu prüfen und zu signieren; mit AES-256 verschlüsseln wir die privaten Signaturschlüssel. Wenn Ihre Risikoanalyse einen Anbieter verlangt, der gespeicherte Dateien nicht lesen kann, sind wir das nicht.
• Wer was öffnen darf. Rollen in Team-Workspaces halten die Aufnahmebögen beim Empfang und die Rechnungen in der Abrechnung.
• Ein Signaturprotokoll je Dokument, als PDF exportierbar, für Ihr eigenes Archiv.
• Auf der Blockchain, und nur das. Der Fingerabdruck einer Dokumentversion, wenn Sie sie veröffentlichen, und der Nachweis jedes Unterzeichners, wenn er abschließt. Dateien, Inhalte, Identitäten und Aufrufe bleiben außerhalb.
• Optionale Identitätsprüfung für Unterzeichner, nie ein Pflichtschritt.

Die Dateien liegen in Chaindocs eigener Bibliothek, ohne Anbindung an Ihr Laufwerk oder S3. Ihr Aufbewahrungsplan braucht also einen Exportschritt. Planen Sie ihn jetzt, nicht in der letzten Vertragswoche.

Was wir nicht tun: Chaindoc »DSGVO-konform« nennen. Ob und wie das Datenschutzrecht für Sie gilt, hängt von Ihrer Rolle und Ihren Verträgen ab. Fragen Sie den AVV nach Art. 28 DSGVO und die Verpflichtung nach § 203 StGB bei uns schriftlich an, bevor die erste Patientenakte hineinkommt.

Im Ausland kommen dieselben Fragen mit anderen Fristen. In den USA gilt HIPAA, mit bis zu 60 Tagen für Meldungen. Frankreich hat denselben Art. 33 DSGVO und bewahrt Krankenhausakten nach Art. R1112-7 des Code de la santé publique 20 Jahre auf. Spaniens Ley 41/2002 setzt fünf Jahre als Untergrenze, Mexikos NOM-004-SSA3-2012 ebenfalls. In Brasilien verlangt die LGPD Sicherheitsmaßnahmen (Art. 46) und die Meldung an die Behörde ANPD (Art. 48), und das Prontuário bleibt nach der Lei 13.787 20 Jahre. Alle Mindestfristen stehen in der Tabelle oben.

Wenig Zeit in diesem Quartal? Setzen Sie sie dort ein, wo die Zahlen von 2024 hinzeigen.

1. 1.
   Zugriff zuerst. Vier von fünf großen Pannen waren in den US-Daten Hacking oder IT-Vorfälle. Eigene Logins für alle, Zugänge, die am letzten Arbeitstag enden, und Mehr-Faktor-Anmeldung, wo Ihre Systeme sie anbieten.
2. 2.
   Backups, aus denen Sie wirklich schon einmal zurückgespielt haben, außerhalb der Reichweite eines Angreifers in Ihrem Netz.
3. 3.
   Eine Protokollkontrolle mit einem Namen daran: wer die Zugriffsprotokolle liest, wie oft, wohin die Notizen gehen.
4. 4.
   Ein Aufbewahrungsplan, der jede Frist nennt (§ 630f BGB, Strahlenschutz, laufende Streitfälle) und das Datum, an dem jede Akte gehen darf.
5. 5.
   Eine Pannenakte vor der Panne: die Risikoeinschätzung als Vorlage, ein Entwurf für den Brief an die Patienten, die Meldewege Ihrer Datenschutzbehörde und die 72 Stunden, am ersten Tag notiert.
6. 6.
   Ein Einsichtsverfahren, das alles zu einem Patienten findet und in einem Format exportiert, das er öffnen kann.

Nichts davon braucht neue Software. Es braucht eine Person mit Zeit und Befugnis. Das ist Datensicherheit nach § 630f BGB im Alltag: unspektakuläre Arbeit, termingerecht erledigt, schriftlich festgehalten, wiederholbar, wenn eine Behörde oder ein Patient fragt.