(1) Ist eine Speicherung der Patientendaten für die Zwecke, für die sie rechtmäßig verarbeitet werden, nicht mehr erforderlich, tritt an Stelle der Löschung eine Beschränkung der Verarbeitung im Sinne von Artikel 18 der Verordnung (EU) 2016/679, soweit und solange

1. 1.

   der Löschung eine durch Rechtsvorschrift oder durch die ärztliche Berufsordnung vorgeschriebene Aufbewahrungsfrist entgegensteht oder

2. 2.

   Grund zu der Annahme besteht, dass durch die Löschung schutzwürdige Belange der Patientinnen und Patienten beeinträchtigt würden.

(2) Wurde die Verarbeitung eingeschränkt, sind diese Patientendaten gesondert zu speichern. Soweit dies nicht möglich ist, sind die Patientendaten mit einem Sperrvermerk zu versehen. Neben den in Artikel 18 Absatz 2 der Verordnung (EU) 2016/679 aufgeführten Fällen, ist eine Verarbeitung der Patientendaten auch dann zulässig, wenn die Verarbeitung

1. 1.

   für die Durchführung einer Behandlung, mit der die frühere Behandlung in einem medizinischen Sachzusammenhang steht, erforderlich ist oder

2. 2.

   zur Erfüllung der Zwecke aus § 38 und § 40 erforderlich ist.

(3) Soweit die personenbezogenen Daten von Patientinnen und Patienten in automatisierten Verfahren mit der Möglichkeit des Direktabrufs gespeichert werden, ist nach Abschluss der Behandlung, die notwendigen Dokumentationen und die damit zusammenhängenden Zahlungsvorgänge abgeschlossen sind und das Krankenhaus den Bericht über die Behandlung erstellt hat, die Möglichkeit des Direktabrufs zu sperren.

(4) Die Daten können anstelle der Löschung anonymisiert werden, wenn sichergestellt ist, dass der Personenbezug in keiner Weise wiederhergestellt werden kann.