HIPAA-Aufbewahrungsfristen: Die Sechs-Jahres-Grundlinie
Die HIPAA-Datenschutzverordnung (45 CFR §164.530(j)) verpflichtet abgedeckte Einrichtungen, geschützte Gesundheitsinformationen (PHI) und zugehörige Dokumentation für mindestens sechs Jahre aufzubewahren – gerechnet ab dem Erstellungsdatum oder dem Datum, an dem die Unterlage zuletzt gültig war, je nachdem, welches Datum später liegt.
Was muss sechs Jahre lang aufbewahrt werden?
- Patientenakten (papierbasiert und elektronisch)
- Datenschutzrichtlinien und -verfahren
- Versionen der Datenschutzhinweise (Notice of Privacy Practices, NPP)
- Einverständniserklärungen und Widerrufe
- Protokolle über die Offenlegung von Daten (Accounting of disclosures)
- Verträge mit Auftragsverarbeitern (Business Associate Agreements, BAAs)
- Risikoanalysen und Risikomanagementdokumentation
- Schulungsnachweise
- Beschwerde- und Ermittlungsunterlagen
- Dokumentation zu Datenschutzverletzungen (Breach notification)
- Dokumentation zu physischer und elektronischer Sicherheit
Kritische Ausnahmen und verlängerte Aufbewahrungsfristen
Staatliche Gesetze verlangen oft längere Fristen
| Art der Aufzeichnung | Übliche staatliche Mindestfristen | Beispiele |
|---|
| Patientenakten Erwachsener | 7–10 Jahre ab letztem Kontakt | CA: 7 Jahre; NY: 6 Jahre; TX: 7 Jahre; FL: 5 Jahre (aber 7 für Medicaid) |
| Patientenakten Minderjähriger | Volljährigkeit + 3–10 Jahre | Oft bis zum 21.–28. Lebensjahr; CA: 1 Jahr nach dem 18.; NY: 6 Jahre nach dem 18. |
| Geburtshilfliche Akten | Länger (Mutter + Kind) | Oft 25+ Jahre oder Volljährigkeit des Kindes plus Verjährungsfrist |
| Impfunterlagen | Permanent oder verlängert | Viele Bundesstaaten: permanent |
Faustregel: HIPAA legt die Untergrenze fest; staatliches Recht legt die Obergrenze fest. Die längere Anforderung ist stets zu befolgen.
Bundesprogrammanforderungen
- Medicare/Medicaid: 10 Jahre ab Leistungsdatum (42 CFR §424.32, §431.107)
- OSHA: 30 Jahre für Expositions-/Patientenakten (29 CFR 1910.1020)
- CLIA: 2 Jahre für Labordaten (42 CFR §493.1105)
- FDA/Klinische Studien: 2 Jahre nach Studienende (21 CFR 312.57)
- DEA kontrollierte Substanzen: 2–7 Jahre je nach Einstufung
Rechtsverfahrenssperre (Legal Hold) / Prozess
- Eine Rechtsverfahrenssperre hebt alle Aufbewahrungsfristen auf.
- Alle potenziell relevanten Unterlagen sind bis zur Aufhebung der Sperre durch die Rechtsabteilung zu bewahren.
- Sanktionen wegen Vernichtung von Beweismitteln bei vorzeitiger Löschung.
Besondere Erwägungen
Elektronische Gesundheitsakten (EHR)
- Dieselbe Aufbewahrungsfrist gilt für elektronische PHI (ePHI).
- Integrität, Zugänglichkeit und Lesbarkeit müssen für den gesamten Aufbewahrungszeitraum sichergestellt sein.
- Migrations-/Archivierungsstrategien für veraltete Systeme sind erforderlich.
- Metadaten und Audit-Trails gehören zur Akte.
Auftragsverarbeiter (Business Associates)
- BAAs müssen Aufbewahrungs-, Rückgabe- und Vernichtungspflichten festlegen.
- Die abgedeckte Einrichtung trägt letztendlich die Verantwortung für die PHI-Aufbewahrungskonformität.
- Unterauftragnehmer unterliegen den Durchgriffsverpflichtungen (Flow-down).
Vernichtung / Entsorgung
- Papier: Kreuzschnittschreddern, Verbrennen, Zellstoffherstellung.
- Elektronisch: NIST 800-88-konformes Löschen, Entmagnetisieren, physische Zerstörung.
- Vernichtungszertifikat: Datum, Methode, Zeuge, Beschreibung dokumentieren.
- Niemals: Müllcontainer, Altpapier, normales Löschen, unsichere Entsorgung.
Praktische Compliance-Schritte
- Erstellen Sie eine Matrix für den Aufbewahrungsplan (Art der Aufzeichnung × Aufbewahrungsfrist × Rechtsgrundlage).
- Ordnen Sie die strengste anwendbare Anforderung zu (HIPAA, Staat, Bundesgesetz, Vertrag).
- Implementieren Sie automatisierte Aufbewahrung/Entsorgung in EHR/ECM-Systemen.
- Jährlicher Audit der Aufbewahrungskonformität.
- Schulung des Personals zu Aufbewahrungsrichtlinien und Rechtsverfahrenssperren.
- Vernichtung mit Zertifikaten dokumentieren.
Kernaussage: Sechs Jahre sind das HIPAA-Minimum, aber die meisten Patientenakten erfordern gemäß staatlichem Recht 7–10+ Jahre. Kinder-, Geburtshilfe- und Medicare-Akten erfordern oft deutlich längere Fristen. Wenden Sie stets den längsten anwendbaren Aufbewahrungszeitraum an.
