Löschungsanspruch der Patienten nach DSGVO

Nach Art. 17 Abs. 1 DSGVO hat eine Person insbesondere einen Anspruch auf unverzügliche Löschung ihrer personenbezogenen Daten bzw. besteht eine Pflicht des Verantwortlichen zur Löschung, wenn die Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind, wenn sie eine erforderliche Einwilligung in die Verarbeitung widerrufen oder einen Widerspruch gegen die Verarbeitung erklärt hat oder wenn deren Speicherung nicht rechtmäßig ist. In der anwaltlichen Praxis wird immer wieder die Unsicherheit von Ärzten deutlich, wie sie mit einem entsprechenden Löschungsbegehren eines in der Regel ehemaligen Patienten umgehen sollen, da es sowohl u. a. berufs- als auch zivilrechtliche Mindestaufbewahrungsfristen für die Behandlungsdokumentation gibt.

Einschränkung des Löschungsanspruchs des Patienten

Der Anspruch des Patienten bzw. die Pflicht des Arztes zur Löschung wird eingeschränkt durch die Dokumentations- und Aufbewahrungspflichten im Hinblick auf die patientenbezogenen Daten. Ein Löschungsanspruch kommt nämlich gemäß § 35 Abs. 3 BDSGneu i. V. m. Art. 17 Abs. 3 lit. b) DSGVO dann nicht in Betracht, wenn diesem eine rechtliche, vertragliche oder satzungsgemäße Aufbewahrungspflicht entgegensteht.

Nachdem für die ärztliche Dokumentation grundsätzlich eine 10-jährige Mindestaufbewahrungspflicht (vgl. § 10 Abs. 3 MBO-Ä, § 630f Abs. 3 BGB sowie für den vertragsärztlichen Bereich § 57 Abs. 2 BMV-Ä) gilt, wird also der Löschungsanspruch bzw. die Löschpflicht durch gesetzliche oder satzungsgemäße Aufbewahrungspflichten begrenzt.

Diese 10-Jahresfrist ist aber für Arztpraxen oder Krankenhäuser, wie gesagt, lediglich eine Mindestfrist. Durch weitere gesetzliche Vorschriften können sich somit auch längere Aufbewahrungsfristen ergeben. Dies gilt beispielsweise für Aufzeichnungen über eine Röntgenbehandlung/-diagnostik nach der Strahlenschutzverordnung.

Im Falle solch gesetzlicher bzw. aufgrund einer rechtlichen Verpflichtung bestehender Aufbewahrungspflichten, wie den vorgenannten, dürfen die Patientendaten nach Auffassung des Verfassers somit nicht gelöscht werden.

Ferner sind zusätzlich die zivilrechtlichen Verjährungsfristen, die etwa für die Geltendmachung von Schadensersatzansprüchen eines Patienten wegen eines Behandlungsfehlers des Arztes gelten, zu beachten. Die regelmäßige Verjährungsfrist nach § 195 BGB beträgt drei Jahre. Allerdings beginnt diese erst mit dem Ende des Jahres, in dem der Patient von den anspruchsbegründenden Umständen der fehlerhaften Behandlung Kenntnis erlangt oder die Kenntnisnahme grob fahrlässig versäumt hat. Somit ist es möglich, dass ein Patient zum Beispiel erst nach 15 Jahren oder noch später Kenntnis von einem ärztlichen Behandlungsfehler erlangt. In diesen Fällen kann er sodann einen etwaigen Schadensersatzanspruch gegenüber dem Arzt auch noch nach diesem Zeitraum geltend machen, es sein denn, er hat die späte Kenntniserlangung grob fahrlässig verschuldet. Erst wenn seit der fehlerhaften Behandlung 30 Jahre vergangen sind, verjähren mögliche Schadensersatzansprüche endgültig (§ 199 Abs. 2 BGB).

Aufgrund der in einem etwaigen Arzthaftungsprozess gegebenen Beweislast ist damit aus juristischer Sicht einem Arzt grundsätzlich zu empfehlen, die Daten zur Vermeidung von Beweisnachteilen erst nach Ablauf der absoluten 30-jährigen Verjährungsfrist zu löschen. Dies könnte nach Ansicht des Verfassers durch die DSGVO und das BDSG wohl in der Regel gedeckt sein, wenn man eine Ausnahme von der Löschpflicht aus Art. 17 Abs. 3 lit. e) DSGVO begründen kann. Hierzu ist aber in jedem Einzelfall eine Abwägung vorzunehmen unter Berücksichtigung der Interessen des Patienten und der Wahrscheinlichkeit der Geltendmachung von Ansprüchen.

Die weitere Speicherung der Patientendaten bleibt auch erlaubt, wenn sie zur Erfüllung sonstiger rechtlicher Verpflichtungen (z. B. im Rahmen der vertragsärztlichen Abrechnung) erfolgt oder wenn sie aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit (z. B. zum Zweck der Meldung an Krebsregister oder im Rahmen des Infektionsschutzes) oder im Interesse wissenschaftlicher Forschung erfolgt (vgl. Art. 17 Abs. 3 lit. c) und d) DSGVO).

Stellungnahme

Sollte ein Patient vor Ablauf der Mindestaufbewahrungspflichten einen Löschungsanspruch betreffend sämtlicher seiner patientenbezogenen und behandlungsrelevanten Daten geltend machen, so wäre dieser gegenüber dem Patienten nach Meinung des Verfassers aus vorgenannten Gründen der entgegenstehenden gesetzlichen bzw. satzungsmäßigen Aufbewahrungspflichten abzulehnen.

An die Stelle des Löschungsanspruchs tritt in diesen Fällen dann jedoch das Recht des Patienten auf Einschränkung der Verarbeitung durch Sperrung. Dies bedeutet, dass die gespeicherten Daten markiert werden müssen, mit dem Ziel, ihre künftige Verarbeitung einzuschränken.

Bei nicht automatisierten Daten müssen diese von den übrigen Daten separiert und ein Zugriff auf die Fälle des Art. 18 Abs. 2 DSGVO (Verarbeitung nur aus den dort abschließend aufgezählten Gründen, z. B. mit Einwilligung des Patienten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen) beschränkt werden.

Bei automatisierten Dateisystemen muss die Software so gestaltet werden, dass ein Zugriff nur möglich ist, wenn zuvor das Vorliegen der spezifischen Zwecke des Art. 18 Abs. 2 DSGVO geklärt wurde, wobei sicherzustellen ist, dass Zugreifender und Beurteilender nicht identisch sind (vgl. Däubler W. in Däubler W./Wedde P./Weichert T./Sommer I., EU-Datenschutz-Grundverordung und BDSG-neu, Kompaktkommentar, 2018, Bund-Verlag GmbH, Frankfurt am Main, Art. 18 Rn. 10).

Lediglich die Daten, die für das Behandlungsverhältnis nicht von Bedeutung sind, müssten hiernach wohl gelöscht werden.

Zusammenfassend ist damit aus juristischer Sicht des Verfassers zu raten, gegenüber den Patienten die Löschung wie dargestellt abzulehnen (bis auf etwaige nicht für das Behandlungsverhältnis relevante Daten), jedoch darauf zu verweisen, dass die Datenverarbeitung entsprechend Art. 18 DSGVO datenschutzkonform eingeschränkt wird. Die Einschränkung muss dann selbstverständlich auch entsprechend umgesetzt werden.

Dr. jur. Jörg Heberer
Rechtsanwalt
Fachanwalt für Medizinrecht, München
Justitiar BVGD