Aufbewahrung und Löschung für die Praxis | Datenschutz und Sicherheit

Es gibt keine einheitliche gesetzliche Aufbewahrungsfrist, die für alle Praxen passt. Sie wählen selbst ein Profil nach Land, Berufsgruppe, Zulassung, Behandlung, Datenkategorie und Zweck, und Sie müssen die Wahl erklären können. FlowDule legt Ihre fachliche oder rechtliche Aufbewahrungspflicht nicht fest.

Dieser Artikel richtet sich an Sie, wenn Sie eine Praxis oder eine Kette in FlowDule verwalten. Der Text, den Ihre Klientinnen und Klienten lesen, steht unter Aufbewahrung und Rechte.

Wer wofür verantwortlich ist

Sie sind Verantwortlicher für Ihre eigenen Klientinnen und Klienten, Buchungen, Journale, Dokumente und fachlichen Zwecke. Sie entscheiden deshalb:

warum die Daten verarbeitet werden;
welche Rechtsgrundlage verwendet wird;
welche Daten erforderlich sind;
wie lange sie aufbewahrt werden;
wie über Auskunft, Berichtigung, Löschung und andere Rechte entschieden wird;
ob eine gesetzliche Pflicht, eine Beschwerde, ein Streitfall oder ein anderer dokumentierter Grund eine fortgesetzte Aufbewahrung erfordert.

FlowDule ist Auftragsverarbeiter für diese Daten. Wir stellen Einstellungen sowie Export-, Einschränkungs- und Löschfunktionen bereit und handeln nach Ihrer schriftlichen Weisung, das sind die eigenen Einstellungen der Kette in der Plattform zusammen mit dem Auftragsverarbeitungsvertrag.

FlowDule ist selbst Verantwortlicher für eigene Vertrags-, Abrechnungs-, Support- und Sicherheitszwecke. Fristen und Rechte für diese Verarbeitungen stehen in der Datenschutzerklärung.

Wählen Sie Ihr fachliches Profil

Profil	Wer erfasst ist	Ausgangspunkt für die Aufbewahrung
Selbstständige psychotherapeutisch tätige Person ohne Zulassung als Angehörige eines Gesundheitsberufs	Eine psychotherapeutisch tätige Person, die nicht zugleich unter einer einschlägigen gesundheitsfachlichen Zulassung oder einer anderen Sondervorschrift arbeitet	Keine automatische gesundheitsrechtliche Frist von 5 oder 10 Jahren. Die Praxis legt eine erforderliche und angemessene Frist nach der DSGVO, dem Vertrag, konkreten fachlichen Bedarfen und etwaigen dokumentierten Anforderungen fest.
Zugelassene Angehörige eines Gesundheitsberufs, Zehnjahresgruppe	Behandlungsstellen mit Ärztinnen und Ärzten, Zahnärztinnen und Zahnärzten, Chiropraktikerinnen und Chiropraktikern, Hebammen, klinischen Diätassistenzen, klinischen Zahntechnikerinnen und Zahntechnikern oder Dentalhygienikerinnen und Dentalhygienikern	Mindestens 10 Jahre ab dem letzten Eintrag nach den geltenden Journalvorschriften.
Andere zugelassene Angehörige eines Gesundheitsberufs	Andere zugelassene Angehörige eines Gesundheitsberufs, darunter grundsätzlich zugelassene Psychologinnen und Psychologen	Mindestens 5 Jahre ab dem letzten Eintrag, sofern keine längere Vorschrift oder konkrete Ausnahme gilt.
Interdisziplinäre Patientendokumentation	Journal mit Berufsgruppen aus der Fünf- und der Zehnjahresgruppe	Mindestens 10 Jahre für das interdisziplinäre Journal nach den geltenden Vorschriften.
Gesondertes Praxis- oder Länderprofil	Praxis unter anderen Branchen-, Vertrags-, Versicherungs-, Behörden- oder nationalen Anforderungen	Die Sondervorschrift, die nach einer rechtlichen Bewertung gilt. Das Profil wird nicht automatisch aktiviert.

Die Bezeichnung “Psychotherapeutin” oder “Psychotherapeut” begründet für sich genommen keine gesundheitsfachliche Zulassung. Ebenso müssen Sie den tatsächlichen Zulassungsstatus einer Psychologin oder eines Psychologen prüfen: Übergangsregeln können bedeuten, dass eine Person bis Ende 2028 die Berufsbezeichnung Psychologe führen darf, ohne von der neuen Zulassung erfasst zu sein.

Die Mitgliedschaft in einem Berufsverband, Versicherungsbedingungen, Vertragsanforderungen oder eine fachliche Empfehlung können Ihre Wahl beeinflussen, dürfen aber nicht als Gesetz dargestellt werden, sofern es sich nicht tatsächlich um eine verbindliche gesetzliche Anforderung handelt.

Sind Sie psychotherapeutisch tätig ohne Zulassung

Dann müssen Sie für jede Kategorie, die Sie nutzen, selbst eine Frist oder ein klares Löschkriterium festlegen. Ihre Bewertung sollte mindestens umfassen:

warum das Journal oder die Notiz erforderlich ist;
wie lange die Daten für einen aktuellen oder absehbaren Klientenverlauf relevant sind;
den Bedarf, den Vertrag, die fachliche Leistung oder einen Rechtsanspruch nachweisen zu können;
die Sensibilität der Daten und die Folgen einer langen Aufbewahrung;
ob eine weniger eingreifende Dokumentation oder eine frühere Löschung möglich ist;
etwaige dokumentierte Anforderungen aus Vertrag, Versicherung oder Berufsverband;
wann die Frist beginnt, zum Beispiel mit dem abgeschlossenen Verlauf oder der letzten relevanten Notiz.

Wir empfehlen keinen willkürlichen Standardzeitraum anstelle der Bewertung. Sie müssen die Frist in Ihrem eigenen Datenschutztext erklären können und sie jedes Mal gleich anwenden.

Sind Sie zugelassene Angehörige eines Gesundheitsberufs

Dann verwenden Sie den Mindestzeitraum nach den geltenden Journalvorschriften. Der Zeitraum läuft in der Regel ab dem letzten Eintrag in der Patientendokumentation.

Eine Patientendokumentation, die für ein laufendes Beschwerde-, Aufsichts- oder Schadensersatzverfahren von Bedeutung ist, müssen Sie weiter aufbewahren, solange das Verfahren läuft, auch wenn der gewöhnliche Mindestzeitraum abgelaufen ist. Öffentliche Behandlungsstellen können darüber hinaus Archivvorschriften unterliegen.

Dass eine gesundheitsrechtliche Mindestfrist abgelaufen ist, bedeutet nicht, dass das Journal länger aufbewahrt werden muss. Danach müssen Sie bewerten, ob weiterhin eine rechtmäßige und erforderliche Grundlage besteht. Ist das nicht der Fall, sind die Daten zu löschen.

Bei Beendigung, Übertragung, Tod oder Insolvenz können besondere Vorschriften über die Übertragung und die fortgesetzte Aufbewahrung gelten. Sie müssen einen eigenen Beendigungsplan haben. FlowDule ist weder Behörde noch fachliche Nachfolge und übernimmt nicht die Verantwortung für das Journal.

Setzen Sie Fristen je Datenkategorie

Ihr Aufbewahrungsprofil, also Ihre Wahl, wie lange jede Art von Daten gespeichert wird, muss mindestens Folgendes abdecken, sofern Sie die Kategorie nutzen:

Datenkategorie	Möglicher Startzeitpunkt	Abschließende Handlung
Klientenstammdaten und Beziehungen	Ende des Verlaufs oder letzte erforderliche Aktivität	Löschung oder eine dokumentierte Einschränkung
Buchungen, Anwesenheit und Kalender	Datum des Termins, Abrechnung oder abgeschlossener Verlauf	Löschung oder Anonymisierung nach den Zwecken der Praxis und etwaigen Anforderungen
Journalnotizen und Versionshistorie	Letzter Eintrag oder Startpunkt der fachlichen Vorschrift	Löschung nach Profil; zugelassene Journale folgen den Vorschriften über Berichtigungen und Aufbewahrung
Pläne, Messwerte und Berichte	Letzte fachliche Verwendung oder Startpunkt des Journals	Dasselbe Profil wie das Journalmaterial, dessen erforderlicher Teil sie sind
Anlagen, Bilder und Ton	Erhebung, fertige Transkription oder letzte erforderliche Verwendung	Rohmaterial wird früher gelöscht, wenn es nicht mehr erforderlich ist
Kommunikation und Freigaben	Versand, Widerruf oder abgeschlossener Verlauf	Eine Freigabe wird sofort geschlossen, wenn der Bedarf entfällt; der Inhalt folgt seiner Kategorie
Zahlungs- und Bestelldaten	Transaktion und einschlägiger Buchführungszeitraum	Die Praxis folgt den eigenen Buchführungs- und Rechnungslegungsanforderungen
Zugriffs-, Revisions- und Sicherheitslogs	Der Vorfall oder die abgeschlossene Untersuchung	Automatische Löschung nach dem Sicherheitszweck; ein konkreter Fall kann ein Legal Hold auslösen
Export- und temporäre Verarbeitungsdateien	Erstellung oder abgeschlossene Übertragung	Kurzer automatischer Ablauf und sichere Löschung

Berichtigungen und die Integrität des Journals

Unrichtige Stamm- und Kontaktdaten müssen berichtigt werden können. Eine Berichtigung darf es nicht unmöglich machen, einschlägige frühere Handlungen darzustellen, wenn die Historie weiterhin erforderlich und rechtmäßig ist.

Für Patientendokumentation unter den Zulassungsvorschriften dürfen Sie ursprüngliche Journaldaten nicht als gewöhnliche Berichtigung löschen oder unlesbar machen. Berichtigungen und Ergänzungen müssen nachvollziehbar sein, sodass die ursprüngliche Version nach den geltenden Anforderungen weiterhin auffindbar ist.

Sind Sie psychotherapeutisch tätig ohne Zulassung, hängt der Bedarf an einer Versionshistorie von Ihrem eigenen Zweck und Ihrer eigenen Verantwortung ab. FlowDule bewahrt nicht ohne Grund alle historischen Versionen dauerhaft auf.

Wenn Daten gelöscht werden

Eine Löschung muss alle Stellen erfassen, an denen die Daten vorkommen:

aktive Datenbankeinträge und Versionsbeziehungen;
Dateien, Anlagen, Bilder und Ton;
Buchungen, Kommunikation, Freigaben und Zugangslinks;
Suchindizes, Warteschlangen, Zwischenspeicher und temporäre Dateien;
Eingaben und Ausgaben der KI nach der genehmigten Einrichtung beim Anbieter;
Exportdateien und Integrationskopien in der Verantwortung von FlowDule;
Objekte, die ohne Eigentümer zurückgeblieben sind, und Löschjobs, die nicht durchgelaufen sind;
Sicherungen nach der festen Rotation.

FlowDule behält einen kleinen Beleg über die Löschung ohne die gelöschten Inhalte. Der Beleg kann Kunde, Weisung, Kategorien, Zeitpunkt, verantwortliche Stelle, Ergebnis, Ablauf der Sicherungen und etwaige rechtmäßige Ausnahmen enthalten.

Sicherungen

Daten können in rollierenden Sicherungen technisch unzugänglich vorhanden sein, bis die Kopien überschrieben werden. Die Datenbank wird täglich mit einer Rotation von 30 Tagen gesichert. In diesem Zeitraum sind die Kopien genauso geschützt wie der Betrieb, sie dürfen nicht zu anderen Zwecken verwendet werden, und sie werden nicht in den normalen Betrieb zurückgeführt.

Wird eine Sicherung wiederhergestellt, sind zuvor durchgeführte Löschungen und geltende Legal Holds erneut anzuwenden, bevor die Umgebung geöffnet wird. Der Rotationszeitraum und die Wiederherstellung müssen erprobt sein. Interne Ziele für Sicherungen sind keine Zusage an Ihre Klientinnen und Klienten, sofern dies nicht ausdrücklich vereinbart ist.

Legal Hold

Ein Legal Hold ist eine vorübergehende, dokumentierte Sperre der gewöhnlichen Löschung für ein genau abgegrenztes Material. Das kann bei einer konkreten Beschwerde, einem Streitfall, einem Behördenverfahren oder einer anderen gesetzlichen Pflicht relevant sein.

Ein Legal Hold muss haben:

eine eindeutige Referenz und eine verantwortliche Person;
eine Grundlage, die aufgeschrieben ist;
eine genaue Abgrenzung von Person, Fall, Objekt und Datenkategorie;
ein Startdatum, ein Datum für die erneute Bewertung und ein Kriterium für die Freigabe;
möglichst geringen Zugang;
eine nachvollziehbare Freigabe und danach eine neue Berechnung der normalen Frist.

Ein Hold für ein Journal oder einen Vorfall darf nicht automatisch alle Daten über die Person oder den gesamten Datenbestand der Praxis sperren.

Die Rechte der Klientinnen und Klienten in der Praxis

Nach den Voraussetzungen der DSGVO kann eine Klientin oder ein Klient ein Recht haben auf:

Information über die Verarbeitung;
Auskunft und Kopie;
Berichtigung;
Löschung;
Einschränkung der Verarbeitung;
Datenübertragbarkeit;
Widerspruch;
Widerruf einer Einwilligung, wenn die Verarbeitung auf einer Einwilligung beruht;
nicht bestimmten Entscheidungen unterworfen zu sein, die ausschließlich auf einer automatisierten Verarbeitung beruhen.

Die Rechte sind nicht absolut. Ein Antrag auf Löschung kann zum Beispiel durch eine gesetzliche Journalfrist, ein laufendes Verfahren, die Rechte anderer oder einen erforderlichen Rechtsanspruch eingeschränkt sein. Sie müssen die konkrete Einschränkung gegenüber der Klientin oder dem Klienten erklären können und die Begründung aufschreiben.

Die Klientin oder der Klient wendet sich an Sie, nicht an uns. Ihr Name und Ihr Kontakt müssen aus dem Datenschutztext hervorgehen, dem die Klientin oder der Klient auf den Buchungs- und Klientenseiten begegnet. Wir antworten Ihren Klientinnen und Klienten nicht in Ihrem Namen ohne eine schriftliche Weisung von Ihnen, aber wir unterstützen Sie bei Suche, Export, Berichtigung, Einschränkung und Löschung, wenn dies erforderlich ist. Betrifft der Antrag die eigenen Konto-, Support- oder Vertragsdaten von FlowDule, kann an privacy@flowdule.com geschrieben werden.

Sie beantworten einen Antrag ohne unangemessene Verzögerung und in der Regel spätestens einen Monat, nachdem Sie ihn erhalten haben. Die Frist kann um bis zu zwei Monate verlängert werden, wenn der Antrag kompliziert ist oder wenn Sie viele auf einmal haben; die Klientin oder der Klient muss über die Verlängerung und die Begründung informiert werden, bevor der erste Monat vergangen ist.

Vergewissern Sie sich, wer fragt, verlangen Sie aber nicht mehr als erforderlich. Journal- und Gesundheitsdaten dürfen nicht an eine falsche Person herausgegeben werden. Kopien von Ausweisdokumenten dürfen Sie nur erheben, wenn ein weniger eingreifendes Vorgehen nicht ausreicht, und sie sind schnell wieder zu löschen.

Export und Beendigung

Sie können Ihre eigenen Daten während der Vertragslaufzeit und nach Beendigung nach den Allgemeinen Geschäftsbedingungen und dem Auftragsverarbeitungsvertrag exportieren. Der Export muss die einschlägigen Kundendaten, Beziehungen, Dateien, Versionen und Revisionsmetadaten in beschriebenen, allgemein gebräuchlichen und maschinenlesbaren Formaten umfassen.

Nach dem vereinbarten Exportfenster löscht FlowDule Ihre Daten nach Ihrer Wahl, dem Auftragsverarbeitungsvertrag, der Rotation der Sicherungen und etwaigen rechtmäßigen Ausnahmen. Die eigene Buchführungspflicht von FlowDule für Rechnungs- und Buchhaltungsdaten ist kein Grund, Ihre Klienten- oder Journaldaten zu behalten.

Was Ihr eigener Datenschutztext angeben muss

Vor oder spätestens bei der Erhebung der Daten muss die Klientin oder der Klient von Ihnen einen Datenschutztext erhalten, der mindestens erklärt:

Ihre Identität und Ihren Kontakt;
Zwecke, Datenkategorien und Rechtsgrundlage;
einschlägige Empfänger, Anbieter und Übermittlungen;
die konkrete Aufbewahrungsfrist oder klare Kriterien dafür;
Rechte, Beschwerdemöglichkeit und Kontaktweg;
einen etwaigen Einsatz von KI und die menschliche Prüfung, siehe KI in der Praxis;
besondere Vorschriften über die Journalberichtigung, sofern Sie davon erfasst sind.

Die eigenen Dokumente von FlowDule können Ihren Text unterstützen, ersetzen ihn aber nicht.

Die Vorschriften dahinter

Brauchen Sie Hilfe?

Unter Support in der App können Sie ein Anliegen an das FlowDule-Team senden. Sie können auch an support@flowdule.com schreiben.