HDI MedLetter März 2023: Aufbewahrung von Patientenakten: viele Regeln – viele Gefahrenquellen

Die Notwendigkeit der Geheimhaltung der Gesundheitsdaten stellt für die Einhaltung der ebenfalls gesetzlich geregelten Aufbewahrungspflichten eine zusätzliche Herausforderung dar. Behandlungsunterlagen müssen in der Regel zehn Jahre nach Abschluss der Behandlung aufbewahrt werden (vgl. § 630 f Abs. 3 BGB; § 10 Abs. 3 MBO-Ärzte), wenn es keine Sondervorschrift gibt. Eine solche gilt zum Beispiel für Behandlungsdokumentationen aus dem Röntgen- (§ 28 Abs. 3 Röntgenverordnung) und Strahlenschutzbereich (§ 42 Abs. 1 Strahlenschutzverordnung) oder im Bereich der Transfusionsmedizin und bei BG-Verletzungsartenverfahren. Neben den Verlängerungen der Aufbewahrungszeiten gibt es für einzelne Unterlagen (z. B. Arbeitsunfähigkeitsbescheinigungen) auch kürzere Fristen. Behält man etwaige längere Sonderfristen im Blick, könnte man sich eigentlich gut an der Faustformel der zehn Jahre orientieren, wäre nicht im Bürgerlichen Gesetzbuch für eine Verletzung von Leben, Körper oder Gesundheit eine Verjährungsfrist von bis zu 30 Jahren bestimmt. Stellt sich beispielsweise erst nach 29 Jahren heraus, dass bei einem Eingriff eine Kompresse vergessen wurde oder durch eine nicht von der Einwilligung des Patienten gedeckte Behandlung ein Gesundheitsschaden entstanden ist, können auch nach dieser langen Zeitspanne noch Ansprüche erhoben werden. Mit Blick auf die allgemeinen zivilrechtlichen Beweislastregeln sollte deshalb zumindest die Aufklärungsdokumentation 30 Jahre aufbewahrt werden.

Ärzte lagern neben den eigenen auch häufig fremde Behandlungsunterlagen, wenn sie eine Praxis erworben haben. Denn die Unterlagen des ehemaligen Praxisinhabers bleiben in dessen Eigentum. Er ist weiterhin dafür verantwortlich, dass Unbefugte keinen Zugang zu den Unterlagen erlangen. Deshalb enthalten die meisten Praxiskaufverträge mittlerweile eine Klausel, die regelt, dass der neue Praxisinhaber erst mit Zustimmung des Patienten die Unterlagen des Veräußerers einsehen darf und dass die Akten bis dahin verschlossen gelagert werden.

Gehen die Unterlagen des alten Praxisinhabers aufgrund einer unsachgemäßen Lagerung verloren, drohen mögliche Rückgriffsansprüche, wenn der alte Praxisinhaber aufgrund des Verlustes der Unterlagen beispielsweise einen Haftungsprozess verliert. Dabei führt nicht jede Einwirkung von Naturgewalten – wie z. B. das Flutereignis im Ahrtal – zu einer Haftung des neuen Praxisinhabers. Die Unterlagen dürfen aber nicht sehenden Auges entsprechenden Gefahren ausgesetzt werden, z. B. in Kartons in einem feuchten Keller gelagert werden.

Werden Unterlagen in Papier geführt, entsteht ein nicht unerheblicher Platzbedarf, sodass sich Behandler regelmäßig dazu entscheiden, Unterlagen – auch aus Kostengründen (Anmietung weiterer Lagerräume etc.) – nach Ablauf der Aufbewahrungsfristen zu vernichten. Um die Unterlagen vor dem Zugriff durch Unbefugte zu schützen, scheidet eine Entsorgung über die normale Altpapiertonne allerdings aus, auch wenn die Unterlagen zerkleinert werden. Die betroffenen Daten sind besonders schutzwürdig, sodass auch eine Rekonstruktion möglichst verhindert werden sollte. Hier empfiehlt es sich, ein entsprechend zertifiziertes Entsorgungsunternehmen zu beauftragen. Bis zur Abholung durch das Unternehmen sollten die Unterlagen wegen der beschriebenen Strafvorschriften sicher im Haus oder auf einem abgeschlossenen Grundstück aufbewahrt werden, denn der Arzt trägt für die ordnungsgemäße Vernichtung der Unterlagen die Verantwortung.

Auch bei einem Umzug der Praxis sollte auf den Transport der Krankenakten besonderes Augenmerk gelegt werden. Die Unterlagen sollten nicht wie das übrige Umzugsgut in unverschlossenen Umzugskartons durch ein Umzugsunternehmen transportiert werden, denn dann ist der Schutz der Daten vor dem Zugriff Unbefugter nicht mehr gewährleistet.

Blickt man auf diese Fallstricke der analogen Aktenführung scheint die elektronische Krankenakte der Goldstandard zu sein. Aber auch die sichere Führung elektronischer Akten bedarf einiger Vorkehrungen. So muss das Netzwerk vor dem Zugriff Unbefugter ebenso geschützt werden wie analoge Behandlungsunterlagen.

Angriffe mittels Viren und anderer Schadsoftware sind nicht selten, wie die regelmäßige mediale Berichterstattung über Hacker-Angriffe auf Kliniken zeigt. Aber auch kleinere Praxen sehen sich zunehmend dem Risiko solcher Angriffe ausgesetzt.

Wird die gesamte Dokumentation aufgrund eines Cyberangriffs vernichtet oder unzugänglich gemacht, droht eine Unterbrechung des Praxisbetriebs. Stehen vorher erhobene Befunde nicht mehr zur Verfügung, ist eine ordnungsgemäße Behandlung der Patienten nicht ohne Weiteres zu gewährleisten. Auf die Angaben des Patienten als medizinischen Laien zu den vorangegangenen Untersuchungen wird sich der Arzt, der seiner Behandlungsdokumentation beraubt wurde, sicher nicht verlassen dürfen. So können Angriffe aus dem virtuellen Raum zu erheblichen finanziellen Schäden führen, wenn der Praxisbetrieb unterbrochen werden muss. Hier bietet HDI mit der Cyberpolice einen zusätzlichen Versicherungsschutz, der neben dem rein finanziellen Ausgleich einen kostenlosen Präventionsbaustein und Notfallplan sowie fachliche Expertise (Expertennetzwerk für die Krisenkommunikation, Rechtsberatung und forensische Dienstleistungen) beinhaltet.

Werden Patientenakten „gekidnappt“ oder gelöscht, entstehen zudem für mögliche haftungsrechtliche Auseinandersetzungen erhebliche Beweisprobleme, denn der ärztlichen Dokumentation kommt im Arzthaftungsprozess ein erheblicher Beweiswert zu. Bestimmte ärztliche Maßnahmen sind zudem dokumentationspflichtig mit der Folge, dass sie zunächst als nicht durchgeführt gelten, wenn sie nicht dokumentiert wurden. Zwar kann die Behandlerseite grundsätzlich den Beweis, dass die Maßnahmen trotzdem erfolgt sind, auch auf anderem Wege (z. B. durch Zeugen) erbringen. Häufig ist aber keine andere Person anwesend oder kann sich wegen der oft langen Verfahrensdauern zum Zeitpunkt einer Beweisaufnahme nicht mehr an die konkrete Situation erinnern.

Neben dem entsprechenden Schutz vor Angriffen von außen, sollten elektronische Krankenakten auch vor anderen Gefahren geschützt werden. Entsteht in der Praxis ein Brand, können dabei auch leicht der Serverschrank und die gespeicherten Daten beschädigt werden. Deshalb sollten Sicherungskopien in – selbstverständlich ausreichend gesicherten und zertifizierten – Cloudlösungen oder aber andernorts abgelegt werden.

Ärzte müssen also im Zusammenhang mit der Anlage und Aufbewahrung von Patientenakten sorgfältig und gewissenhaft vorgehen sowie stets das Interesse des Patienten an einer Geheimhaltung im Auge behalten. Nur dann können straf- und berufsrechtliche Vorgaben eingehalten und unnötige Schadensersatzansprüche und finanzielle Nachteile vermieden werden.

Autorin: Tanja Mannschatz Rechtsanwältin