Einer der hartnäckigsten Mythen im Gesundheitscompliance: „HIPAA verlangt die Aufbewahrung medizinischer Aufzeichnungen für X Jahre.“ Die Wahrheit ist einfacher und differenzierter – HIPAA selbst setzt keine spezifische Aufbewahrungsfrist für medizinische Aufzeichnungen fest. Dies überrascht viele Compliance-Beauftragte, aber die regulatorische Architektur ist absichtlich.
Was HIPAA tatsächlich vorschreibt
Datenschutzregel (45 CFR §164.530)
- Abgedeckte Entitäten müssen geschriebene Richtlinien und Verfahren für Aufbewahrung und Entsorgung von Aufzeichnungen haben
- Müssen diese Richtlinien dokumentieren und Dokumentation für 6 Jahre ab Erstellung oder letztem wirksamen Datum aufbewahren
- Schulung der Belegschaft zu Richtlinien erforderlich
Sicherheitsregel (45 CFR §164.316)
- Sicherheitsdokumentation (Risikoanalysen, Richtlinien, Verfahren) für 6 Jahre aufbewahren
- Audit-Protokolle, Zugriffsberichte, Vorfalldokumentation – 6 Jahre
Verletzungsbenachrichtigungsregel
- Verletzungsdokumentation: 6 Jahre ab Entdeckung
Woher kommen dann die Aufbewahrungsfristen?
Landesrecht (Haupttreiber)
- Jeder Bundesstaat legt Aufbewahrungsfristen für medizinische Aufzeichnungen nach Anbietertyp und Aufzeichnungskategorie fest
- Gängige Spannen: 7–10 Jahre ab letztem Kontakt für Erwachsene; Volljährigkeit + 3–7 Jahre für Minderjährige
- Einige Bundesstaaten differenzieren: Krankenhäuser (10 Jahre), Ärzte (7 Jahre), Verhaltensgesundheit (länger)
- Beispiel: Kalifornien – 7 Jahre für Erwachsene, 1 Jahr nach Vollendung des 18. Lebensjahres für Minderjährige (mindestens 7 Jahre). New York – 6 Jahre. Texas – 7 Jahre für Krankenhäuser, 7 Jahre für Ärzte.
Medicare/Medicaid-Bedingungen der Teilnahme
- Krankenhäuser: 5 Jahre (42 CFR §482.24)
- Critical Access Hospitals: 6 Jahre
- Heimpflegeagenturen: 5 Jahre
Akkreditierungsstandards
- Joint Commission: Stimmt mit Landesrecht überein; betont Zugänglichkeit für Versorgungskontinuität
- NCQA, AAAHC, CARF: Ähnliche Abstimmung
Verjährungsfristen und Rechtshälte
- Medizinische Fehlbehandlung: typischerweise 2–3 Jahre ab Entdeckung, bis zu 7–10 Jahre absolut (bundesstaatlich abhängig)
- Betrug und Missbrauch (False Claims Act): 6–10 Jahre
- Arbeitnehmerentschädigung: variiert nach Bundesstaat, oft 5–10 Jahre
- Rechtshalte übersteigt alle Zeitpläne – Rechtsstreit, Untersuchung, Audit = unbegrenzte Aufbewahrung bis zur Freigabe
Besondere Aufzeichnungskategorien
- Onkologie: Oft 10+ Jahre oder dauerhaft (NCI, CoC-Standards)
- Arbeitsmedizin: OSHA 30 Jahre für Expositionsaufzeichnungen
- Forschung/klinische Studien: FDA 2 Jahre nach Zulassung; Sponsor kann länger verlangen
- Impfungen: Dauerhaft oder gemäß Landes-IIS-Anforderungen
- Verstorbene Patienten: Bundesstaatsspezifisch, oft 5–10 Jahre nach Tod
Best-Practice-Rahmenwerk
- Inventur aller Aufzeichnungstypen nach Abteilung, System, Format
- Zuordnung zu anwendbarem: Landesrecht, Zahleranforderungen, Akkreditierung, Fachrichtlinien
- Längsten anwendbaren Zeitraum für jede Kategorie übernehmen (konservativer Ansatz)
- Dokumentation des Aufbewahrungsplans in Richtlinie mit Rechtsprüfung
- Implementierung automatisierter Entsorgungs-Workflows in EHR/ECM
- Audit jährlich auf Konformität und Rechtshalte-Einhaltung
HIPAA gibt Ihnen den Rahmen; Landesrecht gibt Ihnen die Zahlen. Die konforme Organisation baut die Brücke zwischen ihnen – und vernichtet niemals eine Aufzeichnung unter Rechtshalte.
