Patientenakte herausgeben und schwärzen: § 630g BGB und DSGVO

Eine Patientenakte enthält Diagnosen, Befunde, Therapien und Arztbriefe. Im selben Satz können außerdem Angaben über Angehörige, Mitpatienten oder Beschäftigte stehen. Wer die Akte herausgibt, muss deshalb zwei Fehler vermeiden: dem Patienten eigene Informationen vorenthalten und unbeteiligte Dritte unnötig offenlegen.

Der erste Schritt ist die Empfängerrolle. Eine Anfrage des Patienten selbst folgt anderen Regeln als die Anfrage einer Versicherung oder des Medizinischen Dienstes. Dieser Leitfaden behandelt die Einsicht und Kopie für den Patienten. Die übrigen Rollen werden abgegrenzt, damit sie nicht versehentlich im selben Prozess landen.

Was § 630g BGB heute verlangt

§ 630g BGB enthält seit seiner Neufassung vier Absätze mit klar getrennten Aufgaben:

Regel	Bedeutung für die Bearbeitung
§ 630g Abs. 1 BGB	Auf Verlangen ist unverzüglich Einsicht in die vollständige, den Patienten betreffende Behandlungsakte zu gewähren. Abschriften einschließlich elektronischer Abschriften können verlangt werden. Die erste Abschrift ist unentgeltlich.
§ 630g Abs. 2 BGB	Das Recht ist begrenzt, soweit erhebliche therapeutische Gründe oder sonstige erhebliche Rechte Dritter entgegenstehen. Eine Ablehnung muss begründet werden.
§ 630g Abs. 3 BGB	Nach dem Tod erhalten Erben das Recht für vermögensrechtliche Interessen und nächste Angehörige für immaterielle Interessen. Sie müssen die entstandenen Kosten erstatten. Der ausdrückliche oder mutmaßliche Wille des Patienten kann die Einsicht ausschließen.
§ 630g Abs. 4 BGB	Datenschutzrechte bleiben grundsätzlich unberührt. Kostenlose datenschutzrechtliche Ansprüche gehen Entgelten vor. Die Grenzen aus Absatz 2 gelten zwischen Behandelndem und Patienten auch für datenschutzrechtliche Auskunftsansprüche und Informationspflichten.

§ 630f BGB bestimmt, was die Behandlungsakte dokumentieren muss. Dazu zählen aus fachlicher Sicht wesentliche Maßnahmen und Ergebnisse, etwa Anamnese, Diagnosen, Untersuchungen, Befunde, Therapien, Eingriffe, Einwilligungen, Aufklärungen und Arztbriefe. Die Aufbewahrungsfrist beträgt grundsätzlich zehn Jahre nach Abschluss der Behandlung, soweit andere Vorschriften keine abweichenden Aufbewahrungsfristen festlegen.

Wie Art. 15 DSGVO hinzukommt

Art. 15 DSGVO gewährt Auskunft über verarbeitete personenbezogene Daten und eine Kopie dieser Daten. In Patientenakten geht es regelmäßig um Gesundheitsdaten nach Art. 9 DSGVO. Nach Art. 12 Abs. 3 DSGVO muss die Information unverzüglich und grundsätzlich spätestens innerhalb eines Monats bereitgestellt werden. Bei komplexen oder zahlreichen Anträgen kann die Frist um zwei Monate verlängert werden, wenn dies erforderlich ist und der Patient innerhalb des ersten Monats darüber und über die Gründe informiert wird. Auch § 630g BGB verlangt unverzügliche Einsicht. Für denselben Vorgang müssen daher beide Maßstäbe eingehalten werden.

Wie Sie Eingang, Identitätsprüfung und Frist dokumentieren, behandelt der Ablauf für Betroffenenanfragen nach der DSGVO. Die Monatsfrist ist kein Grund, eine bereits mögliche Einsicht bis zum letzten Tag aufzuschieben.

Der Europäische Gerichtshof schärft den Kopieanspruch im Urteil C-307/22 vom 26. Oktober 2023. Dabei greift er die frühere Entscheidung C-487/21 ausdrücklich auf:

Frage	Aussage für die Praxis
Kosten und Zweck des Antrags	Die erste Kopie nach Art. 15 DSGVO ist kostenlos. Der Patient muss keinen bestimmten Grund nennen.
Daten oder vollständige Dokumente?	Die Kopie muss die Daten vollständig, originalgetreu und verständlich wiedergeben. Dokumentauszüge oder ganze Dokumente gehören dazu, soweit der notwendige Kontext anders fehlt. C-307/22 bestätigt dies in Randnummern 71 bis 75 unter Verweis auf C-487/21.
Patientenakte im konkreten Fall	Vollständige Dokumentkopien sind erforderlich, wenn nur so Richtigkeit, Vollständigkeit und Verständlichkeit der enthaltenen Daten überprüft werden können.

Eine bloße Liste mit Stammdaten reicht daher nicht, wenn Diagnosen, Befunde oder Behandlungsverläufe erst im Dokument verständlich werden. Art. 15 Abs. 4 DSGVO schützt zugleich die Rechte und Freiheiten anderer Personen.

Drittdaten nur an der konkreten Fundstelle bewerten

Typische Drittdaten sind:

• Aussagen und Kontaktdaten von Angehörigen,
• Angaben über Mitpatienten oder andere Bewohner,
• private Daten von Beschäftigten,
• Mitteilungen von Hinweisgebern,
• Daten externer Ansprechpartner,
• Informationen in Fremdbefunden, die weitere Personen betreffen.

Die bloße Nennung eines Dritten rechtfertigt noch keine Schwärzung. Zu prüfen ist, ob dessen Rechte erheblich betroffen sind und wie sich dieses Interesse zum Einsichts- oder Kopierecht des Patienten verhält. Auch erhebliche therapeutische Gründe müssen konkret festgestellt werden. Pauschale Hinweise auf Haftungsrisiken, internen Aufwand oder die Sensibilität einer Akte genügen nicht.

Eine Fundstelle kann zugleich den Patienten und einen Dritten betreffen. Dann helfen drei Fragen:

1. Welche Information über den Patienten muss verständlich bleiben?
2. Welche zusätzliche Information betrifft den Dritten?
3. Lässt sich der Drittschutz durch eine enge Schwärzung erreichen, ohne den Behandlungskontext zu zerstören?

Wenn eine Stelle zurückgehalten oder geschwärzt wird, gehört die konkrete Begründung in den Vorgang. Eine Vollschwärzung ganzer Seiten ist nur tragfähig, wenn eine engere Bearbeitung den entgegenstehenden erheblichen Grund nicht schützen würde.

Empfängerrollen sichtbar trennen

Ein Angehöriger erhält die Akte zu Lebzeiten nicht allein aufgrund des Verwandtschaftsverhältnisses. Auch eine frühere Einwilligung für einen bestimmten Empfänger oder Zweck lässt sich nicht ohne Prüfung auf jede spätere Herausgabe übertragen.

Eine Aufbereitung für externe Begutachtung ist wiederum ein anderer Auftrag. Beim Anonymisieren eines Reha-Entlassungsberichts geht es um den Schutz vor Zuordnung im festgelegten Empfängerkreis, nicht um die vollständige eigene Akte des Patienten.

Ein Ablauf für Patientenanfragen

1. Eingang und gewünschte Form der Einsicht oder Kopie dokumentieren.
2. Identität mit einem zum Risiko passenden Verfahren prüfen.
3. Behandlungsorte, Zeitraum und beteiligte Systeme ermitteln.
4. Die vollständige den Patienten betreffende Akte zusammentragen.
5. Erhebliche therapeutische Gründe und erhebliche Rechte Dritter an konkreten Fundstellen prüfen.
6. Wo möglich eng schwärzen und den verständlichen Zusammenhang erhalten.
7. Die technische Ausgabe kontrollieren und die erste Abschrift kostenlos bereitstellen.
8. Schwärzungen, zurückgehaltene Inhalte und Ablehnungsgründe nachvollziehbar mitteilen.

Wenn Sie diese Schritte in einem Vorgang zusammenführen möchten, ist requests der passende Produktweg. Die Browserdemo zeigt den Ablauf einer Betroffenenanfrage. Die Entscheidung über medizinische Grenzen und den konkreten Herausgabeumfang bleibt bei den zuständigen Personen.

Technische Schwärzung kontrollieren

Ein schwarzes Rechteck über sichtbarem Text kann den darunterliegenden Inhalt im PDF erhalten. Zusätzlich können OCR-Ebenen, Kommentare, Metadaten, Formulare und eingebettete Dateien Informationen enthalten. Nach der Bearbeitung sollte eine Person prüfen, ob sich geschwärzte Begriffe noch suchen, markieren, kopieren oder aus Anhängen und Dokumenteigenschaften auslesen lassen.

Bei einer Patientenakte ist diese Endkontrolle besonders wichtig. Scans, Laborbefunde, Arztbriefe und Exporte aus verschiedenen Systemen verhalten sich technisch unterschiedlich.

Quellen und Stand

Redaktioneller Stand: 8. September 2026. Die BGB-Normen und das Urteil C-307/22 wurden am Original geprüft, die DSGVO anhand der amtlichen BfDI-Wiedergabe, Stand März 2026. Änderungen an § 630g BGB, neue Rechtsprechung zum Kopieumfang und veränderte Empfängerprozesse sind Anlässe für eine erneute Prüfung.

• § 630f BGB
• § 630g BGB
• DSGVO, insbesondere Art. 9, 12 und 15, amtliche Wiedergabe der BfDI
• EuGH-Urteil C-307/22, FT gegen DW, einschließlich der Verweise auf C-487/21 in Randnummern 71 bis 75.