Aufbewahrungsfristen und Löschkonzept im Sanitätshaus: Rezepte, Abrechnungen, Kundendaten
Wie lange müssen Verordnungen aufbewahrt werden? Wann dürfen Kundendaten gelöscht werden, und wann müssen sie es sogar? Sanitätshäuser stehen zwischen zwei Pflichten: Handels-, Steuer- und Medizinprodukterecht verlangen jahrelange Aufbewahrung, die DSGVO verlangt Löschung, sobald Daten nicht mehr benötigt werden. Wer beides nicht in einem Löschkonzept zusammenführt, hebt entweder zu lange auf und verstoßt gegen die Speicherbegrenzung, oder vernichtet zu früh und verliert Belege für Betriebsprüfung und Haftungsfälle. Dieser Beitrag liefert die Fristentabelle für die wichtigsten Dokumentarten im Sanitätshaus und eine Anleitung, wie daraus ein funktionierendes Löschkonzept wird.
Zwei Pflichten, ein Konflikt: Aufbewahren und Löschen
Die DSGVO kennt keine pauschale Erlaubnis, Daten „sicherheitshalber“ zu behalten: Der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) und das Recht auf Löschung (Art. 17 DSGVO) verlangen, dass personenbezogene Daten gelöscht werden, sobald der Zweck entfällt. Gleichzeitig ordnen zahlreiche Gesetze Mindestaufbewahrungsfristen an, und solange diese laufen, ist die Löschung gerade nicht erlaubt (Art. 17 Abs. 3 lit. b DSGVO). Die Aufgabe lautet also nicht „aufbewahren oder löschen“, sondern: für jede Dokumentart die maßgebliche Frist bestimmen, während der Frist gesichert aufbewahren und nach Fristablauf zuverlässig löschen. Genau das leistet ein Löschkonzept, und seine Grundlage ist das Verzeichnis der Verarbeitungstätigkeiten; wie dieses aufgebaut wird, zeigt unser Beitrag zum Verarbeitungsverzeichnis in Pflegedienst und Sanitätshaus.
Fristentabelle: Die wichtigsten Dokumentarten im Sanitätshaus
Die folgende Übersicht fasst die in der Praxis wichtigsten Fristen zusammen (Stand: Juni 2026). Zu beachten: Verträge mit den Kostenträgern nach § 127 SGB V können ergänzende Vorgaben für Abrechnungsunterlagen enthalten, die neben den gesetzlichen Fristen einzuhalten sind.
| Dokumentart | Frist | Grundlage / Hinweis |
|---|---|---|
| Jahresabschlüsse, Handelsbücher, Inventare | 10 Jahre | § 257 HGB, § 147 AO |
| Buchungsbelege, Ein- und Ausgangsrechnungen | 8 Jahre | § 257 HGB, § 147 AO; seit 2025 verkürzt (zuvor 10 Jahre) |
| Verordnungen / Rezepte (Abrechnungsbelege) | 8 Jahre | Als Buchungsbelege; zusätzlich Vorgaben aus Verträgen nach § 127 SGB V prüfen |
| Geschäftsbriefe, geschäftliche E-Mails | 6 Jahre | § 257 HGB, § 147 AO |
| Dokumentation von Sonderanfertigungen (Orthopädietechnik) | 10 Jahre | MDR i. V. m. MPDG; ab Inverkehrbringen des Produkts |
| Versorgungs- und Beratungsdokumentation | 10 Jahre | Anlehnung an Behandlungsdokumentation; auch für Haftungsfälle (Produkthaftung erlischt nach 10 Jahren) |
| Lohn- und Gehaltsunterlagen (Lohnkonten) | 6 Jahre | § 41 EStG; Entgeltunterlagen zusätzlich bis zur Sozialversicherungsprüfung |
| Personalakte nach Ausscheiden | 3 Jahre | Regelverjährung arbeitsrechtlicher Ansprüche; einzelne Bestandteile länger |
| Bewerberdaten (abgelehnte Bewerber) | ca. 6 Monate | Fristen des AGG; länger nur mit Einwilligung |
| Videoüberwachung | 48–72 Stunden | Behördlicher Regelmaßstab; länger nur bei konkretem Vorfall |
| Kundendaten ohne laufende Fristen (z. B. Werbung) | Bis Zweckfortfall / Widerspruch | Art. 5, 17, 21 DSGVO |
Drei Sonderfälle, die im Sanitätshaus den Unterschied machen
- Rezepte und Abrechnungsunterlagen: Verordnungen sind im Sanitätshaus zugleich Versorgungsgrundlage und Buchungsbeleg. Steuerlich gilt seit 2025 die auf 8 Jahre verkürzte Belegfrist; für Unterlagen, deren alte Frist am 1. Januar 2025 bereits lief, greift die Verkürzung ebenfalls. Daneben können die Verträge mit den Kostenträgern eigene Aufbewahrungs- und Nachweispflichten für Abrechnungsfälle vorsehen; im Zweifel gilt die längste einschlägige Frist.
- Sonderanfertigungen der Orthopädietechnik:Wer Einlagen, Orthesen oder Prothesen individuell fertigt, ist Hersteller einer Sonderanfertigung im Sinne der EU-Medizinprodukteverordnung (MDR) und muss die zugehörige Dokumentation mindestens 10 Jahre ab Inverkehrbringen aufbewahren. Diese Frist läuft produktbezogen und damit unabhängig davon, wann der Kunde zuletzt im Geschäft war; das Löschkonzept muss sie getrennt von den kaufmännischen Fristen abbilden.
- Kundendaten ohne gesetzliche Frist:Stammdaten für künftige Versorgungen, Einwilligungen für Newsletter oder Erinnerungsservices unterliegen keiner Aufbewahrungspflicht, sondern allein der DSGVO: Sie dürfen so lange verarbeitet werden, wie der Zweck trägt und kein Widerspruch vorliegt. Praktisch bewährt sich eine Wiedervorlagelogik: Wer etwa mehrere Jahre keine Versorgung mehr bezogen hat und keine laufenden Fristen auslöst, wird gelöscht oder aktiv um eine Einwilligung zur weiteren Speicherung gebeten.
Das Löschkonzept in fünf Schritten
- 1. Datenarten aus dem Verarbeitungsverzeichnis ableiten: Jede Verarbeitungstätigkeit des VVT liefert die betroffenen Dokument- und Datenarten, von der Verordnung über die Werkstattdokumentation bis zur Bewerbung.
- 2. Frist und Startzeitpunkt je Datenart festlegen: Zur Frist gehört immer der Beginn: Steuerliche Fristen starten mit Ablauf des Kalenderjahres, die MDR-Frist mit Inverkehrbringen des Produkts, die Personalaktenfrist mit dem Ausscheiden. Datenarten mit gleicher Frist und gleichem Startlogik lassen sich zu Löschklassen bündeln; als methodischer Rahmen hat sich die Leitlinie der DIN 66398 etabliert.
- 3. Verantwortliche und Verfahren benennen: Wer löscht was, wann und womit? Ohne benannte Zuständigkeit und festen Turnus, etwa einen jährlichen Löschlauf, bleibt jedes Konzept Papier.
- 4. Sperren statt löschen, wo Fristen kollidieren: Daten, die nur noch wegen einer Aufbewahrungspflicht vorgehalten werden, sind für den Tagesbetrieb zu sperren: kein Zugriff für Verkauf und Beratung, Nutzung nur noch für Prüfung und Nachweis (Art. 18 DSGVO). Gute Branchensoftware unterstützt diese Trennung; wo nicht, hilft die Auslagerung in ein zugriffsbeschränktes Archiv.
- 5. Löschung dokumentieren: Durchgeführte Löschläufe werden protokolliert, ohne die gelöschten Inhalte zu reproduzieren: Datum, Datenart, Zeitraum, Verantwortlicher. Das ist der Nachweis gegenüber der Aufsichtsbehörde, dass das Konzept gelebt wird.
Umsetzung in der Praxis: Backups, Papierarchiv und Aktenvernichtung
Drei Stolpersteine entscheiden über die Wirksamkeit. Erstens die Backups: Sicherungen müssen in das Konzept einbezogen werden, etwa über rollierende Aufbewahrung mit definierter Backup-Lebensdauer und der Regel, dass aus Sicherungen wiederhergestellte Altdaten erneut dem Löschlauf unterliegen. Zweitens das Papierarchiv: Auch der Keller voller Ordner unterliegt der DSGVO; die Fristen gelten für Papier genauso, und ein Archivplan mit Jahrgängen macht den jährlichen Aussonderungslauf erst möglich. Drittens die Vernichtung selbst: Unterlagen mit Gesundheitsdaten gehören nicht in den Altpapiercontainer, sondern in eine Vernichtung nach DIN 66399 mit angemessener Sicherheitsstufe (für Gesundheitsdaten regelmäßig P-4 oder höher). Wird ein Vernichtungsdienstleister beauftragt, liegt Auftragsverarbeitung vor; den passenden Vertrag erklärt unser Beitrag zur Auftragsverarbeitung im Sanitätshaus.
Wann externe Unterstützung sinnvoll ist
Fristen recherchieren kann man einmal; sie dauerhaft je Datenart, System und Archiv umzusetzen ist eine Daueraufgabe, die zwischen Steuerbüro, Software und Tagesgeschäft gern liegen bleibt. Im Rahmen eines Datenschutzmanagementsystems (DSMS) verankert zweiplus das Löschkonzept dauerhaft: von der kostenfreien Schutzbedarfsfeststellung, die erfasst, welche Daten wo liegen, über die Fristenzuordnung je Verarbeitungstätigkeit bis zu den jährlichen Löschläufen samt Protokollierung, TÜV-zertifiziert und mit branchenerprobten Vorlagen für Sanitätshäuser. Für KMU besteht zudem die Möglichkeit, Beratungsleistungen im Bereich Datenschutz über das Förderprogramm der BAFA bezuschussen zu lassen. Ob eine Förderung in Frage kommt, klären wir im Erstgespräch.
Fazit: Wer Fristen kennt, kann löschen, und wer löscht, besteht die Prüfung
Aufbewahrung und Löschung sind kein Widerspruch, sondern zwei Seiten desselben Konzepts: 8 Jahre für Belege und Rezepte, 10 Jahre für Jahresabschlüsse, Sonderanfertigungen und Versorgungsdokumentation, 6 Jahre für Geschäftsbriefe und Lohnkonten, Monate für Bewerbungen, Tage für Videoaufnahmen. Wer diese Fristen je Datenart festlegt, Sperrung und Vernichtung organisiert und die Löschläufe dokumentiert, erfüllt Speicherbegrenzung und Aufbewahrungspflichten gleichzeitig und hat auf die Behördenfrage nach dem Löschkonzept eine belastbare Antwort. Wer dieses Konzept aufbauen oder prüfen lassen möchte, findet in zweiplus einen Partner mit nachgewiesener Branchenerfahrung. Nehmen Sie Kontakt auf und starten Sie mit der kostenfreien Schutzbedarfsfeststellung.