Oct 11, 2026
Aufbewahrungsfristen Hinweise: Was HR‑ und Compliance‑Teams wissen müssen
Die Dokumentation von Meldungen in einem Hinweisgebersystem wird drei Jahre nach Abschluss des Verfahrens gelöscht, eine längere Speicherung ist nur erlaubt, wenn sie rechtlich erforderlich und verhältnismäßig ist. Diese Dreijahresfrist steht in einem gewissen Spannungsfeld zur Datenminimierung der DSGVO, weshalb Unternehmen beide Anforderungen über ein durchdachtes Löschkonzept miteinander versöhnen müssen.
Kurz gesagt:
- Die Dreijahresfrist beginnt erst mit dem formal dokumentierten Verfahrensabschluss, nicht beim Meldungseingang; längere Speicherung ist nur rechtlich erforderlich und verhältnismäßig zulässig.
- Bewahren Sie die Verfahrensakte drei Jahre auf, löschen oder pseudonymisieren Sie entbehrliche Personendaten früher und begrenzen Sie den Zugriff auf befugte Personen.
- Bestätigen Sie den Eingang binnen sieben Tagen, sofern dies die Identität nicht gefährdet; Rückmeldungen folgen binnen drei Monaten, bei komplexen Fällen binnen sechs Monaten.
- Legen Sie eindeutig fest, wer Fälle formal abschließt, koppeln Sie daran den Fristbeginn und prüfen Sie die automatische Löschung jährlich mit einem Testfall.
Inhaltsverzeichnis
- Gesetzliche Grundlage: § 11 HinSchG und EU-Richtlinie 2019/1937
- DSGVO vs. HinSchG: Datenminimierung und Löschkonzept
- Praktische Umsetzung: Workflows, Fristenüberwachung und Systemanforderungen
- Kommunikationsfristen: Eingangsbestätigung und Rückmeldung an Hinweisgebende
- Tonaufzeichnungen, Protokolle und Papierakten: praktische Regeln
- Praxisblick aus Compliance-Teams: typische Fehler vermeiden
- Wie Ashio Unternehmen beim Fristenmanagement unterstützt
- FAQ
- Quellen
Gesetzliche Grundlage: § 11 HinSchG und EU-Richtlinie 2019/1937
Die Pflicht zur Löschung ergibt sich direkt aus dem Gesetz. § 11 HinSchG verlangt, dass Meldungen in dauerhaft abrufbarer Form dokumentiert werden, und schreibt zugleich vor, wann diese Dokumentation wieder zu entfernen ist. Die Frist beginnt nicht mit dem Eingang der Meldung, sondern erst mit dem formalen Abschluss des Verfahrens. Genau dieser Startpunkt sorgt in der Praxis für Unsicherheit, denn ein Verfahren kann auf mehreren Ebenen enden: disziplinarisch, strafrechtlich oder einfach durch interne Klärung.
Die EU-Richtlinie 2019/1937 liefert den übergeordneten Rahmen und betont dabei zwei Dinge gleichermaßen:
- Unternehmen müssen Hinweisgebende innerhalb eines angemessenen Zeitrahmens über Folgemaßnahmen informieren.
- Jede Speicherung personenbezogener Daten muss verhältnismäßig bleiben und darf nicht länger dauern als nötig.
Für Compliance-Verantwortliche heißt das konkret: Die Dreijahresfrist ist kein bürokratisches Detail, sondern eine gesetzlich verankerte Löschpflicht, die aktiv überwacht werden muss.
DSGVO vs. HinSchG: Datenminimierung und Löschkonzept
Art. 5 DSGVO verlangt Datenminimierung, also die Löschung personenbezogener Daten, sobald der Zweck ihrer Erhebung entfällt. Das HinSchG verlangt dagegen eine dreijährige Aufbewahrung der Verfahrensdokumentation. Beide Pflichten lassen sich nicht einfach gegeneinander ausspielen, sie müssen nebeneinander bestehen, und genau dafür braucht es ein differenziertes Löschkonzept.
Die Datenschutzkonferenz empfahl in ihrer Orientierungshilfe zu Whistleblowing-Hotlines früher eine Löschung nicht mehr benötigter Daten binnen rund zwei Monaten nach Abschluss. Diese historische Empfehlung steht im direkten Konflikt zur heutigen Dreijahrespflicht des HinSchG, Unternehmen müssen daher klar unterscheiden, welche Daten tatsächlich drei Jahre relevant bleiben und welche früher gelöscht werden dürfen.
Praktisch bewährt sich folgendes Vorgehen:
- Verfahrensdokumentation (Ablauf, Entscheidungen, Maßnahmen) wird für die volle Dreijahresfrist aufbewahrt.
- Personenbezogene Zusatzdaten, die für den Verfahrensabschluss nicht mehr nötig sind, werden frühzeitig pseudonymisiert oder gelöscht.
- Zugriffsrechte werden auf den engsten erforderlichen Personenkreis beschränkt und regelmäßig überprüft.
Profi-Tipp: Trennen Sie von Anfang an Verfahrensakte und Personendaten in separaten Datensätzen, so lässt sich Pseudonymisierung später viel einfacher umsetzen.
Technisch helfen rollenbasierte Zugriffskontrollen und eine strikte Protokollierung, wer wann auf welche Meldung zugegriffen hat. Weitere Details zu Hosting und Verschlüsselung finden sich auf unserer Sicherheits- und DSGVO-Seite.
Praktische Umsetzung: Workflows, Fristenüberwachung und Systemanforderungen
Ein verlässlicher Workflow beginnt beim Eingang der Meldung und endet erst mit der automatisierten Löschung nach drei Jahren. Zwischen diesen beiden Punkten liegen mehrere Schritte, die dokumentiert und nachvollziehbar sein müssen.
- Eingang der Meldung wird zeitgestempelt und im System erfasst.
- Zuständige Person prüft, bearbeitet und entscheidet über Folgemaßnahmen.
- Formaler Verfahrensabschluss wird mit Datum und verantwortlicher Person festgehalten.
- Ab diesem Abschlussdatum startet die Dreijahresuhr automatisch.
- Nach Fristablauf erfolgt die Löschung, protokolliert in einem Lösch-Log.
Damit dieser Ablauf nicht an fehlender Technik scheitert, brauchen Hinweisgebersysteme bestimmte Grundfunktionen. Ein vollständiger Audit-Trail zeigt jederzeit, wer wann welche Aktion vorgenommen hat. Revisionssichere Speicherung verhindert nachträgliche Manipulation der Verfahrensakte. Lösch-Logs belegen, dass Daten tatsächlich und fristgerecht entfernt wurden, was im Streitfall wichtig wird, denn nach Ablauf der drei Jahre stehen die Unterlagen nicht mehr als Beweismittel zur Verfügung. Rollenrechte stellen sicher, dass nur befugte Personen Zugriff auf laufende und abgeschlossene Fälle haben.
Für IT- und Compliance-Teams lohnt sich eine kurze Checkliste vor dem Livegang eines Systems:
- Ist klar definiert, wer einen Fall formal abschließen darf?
- Löst der Abschluss automatisch den Start der Löschfrist aus?
- Wird die Löschung technisch getestet, bevor sie produktiv läuft?
- Gibt es einen Nachweis, dass gelöschte Daten tatsächlich unwiederbringlich entfernt wurden?
Profi-Tipp: Testen Sie den Löschmechanismus einmal jährlich mit einem Testfall, so stellen Sie sicher, dass die Automatisierung auch nach Updates zuverlässig funktioniert.
Kleinere Unternehmen, die ein solches System erstmals einführen, finden eine praxisnahe Einstiegshilfe in unserem Beitrag zum Hinweisgebersystem für KMU.
Kommunikationsfristen: Eingangsbestätigung und Rückmeldung an Hinweisgebende
Neben der Löschfrist gelten feste Fristen für die Kommunikation mit der hinweisgebenden Person, und diese sind ebenso verbindlich wie die Aufbewahrungsregel. Das Bundesjustizamt bestätigt den Eingang einer Meldung in der Regel spätestens nach sieben Tagen, eine Ausnahme gilt nur, wenn dadurch die Identität der meldenden Person gefährdet würde.
- Eingangsbestätigung: sofort oder spätestens innerhalb von sieben Tagen.
- Rückmeldung zu Folgemaßnahmen: grundsätzlich innerhalb von drei Monaten.
- Bei komplexen Fällen: Verlängerung auf bis zu sechs Monate möglich.
Diese Zeitrahmen sind nicht willkürlich gewählt. Die EU-Richtlinie 2019/1937 legt drei Monate als angemessenen Zeitraum fest und lässt für komplexere Sachverhalte eine Verlängerung auf sechs Monate zu. Jede Kommunikation mit der hinweisgebenden Person sollte dokumentiert werden, allerdings ohne die Vertraulichkeit der Identität zu gefährden. Wer Status und Fristen in einem System nachvollziehbar abbildet, schafft damit auch Vertrauen bei den Melderinnen und Meldern selbst, denn sie sehen in Echtzeit, dass ihr Fall bearbeitet wird.
Tonaufzeichnungen, Protokolle und Papierakten: praktische Regeln
Mündliche Meldungen bringen eigene Regeln mit. Wird ein Telefongespräch aufgezeichnet, muss die Tonaufzeichnung gelöscht werden, sobald das schriftliche Protokoll fertiggestellt ist. Ohne ausdrückliche Einwilligung der meldenden Person ist ohnehin nur ein Inhaltsprotokoll zulässig, keine Vollaufzeichnung.
Bei Papierakten kann eine vollständige Löschung technisch oder organisatorisch unverhältnismäßig aufwändig sein. In solchen Fällen lässt sich nach BDSG-Grundsätzen statt einer sofortigen Löschung eine Einschränkung der Verarbeitung prüfen, vorausgesetzt, der Aufwand wird dokumentiert und rechtlich geprüft.
Praxisblick aus Compliance-Teams: typische Fehler vermeiden
Der häufigste Fehler in der Praxis ist eine unklare Definition des Verfahrensabschlusses. Wenn niemand eindeutig festlegt, wer einen Fall formal schließt, verschiebt sich der Start der Löschfrist unbemerkt nach hinten, und Daten bleiben länger gespeichert als nötig.
Wer das vermeiden will, etabliert feste Review-Zyklen für das eigene Löschkonzept und testet die technische Umsetzung regelmäßig. Ein enger Austausch mit der Datenschutzbeauftragten oder dem Datenschutzbeauftragten hilft zusätzlich, Entscheidungen nachvollziehbar zu dokumentieren, bevor ein Fall überhaupt geschlossen wird. Schulungen zum Datenschutz im Team, etwa über Angebote wie die von Thinkmedia, schaffen dafür ein gemeinsames Verständnis im gesamten Team.
Wie Ashio Unternehmen beim Fristenmanagement unterstützt
Unsere Plattform ist so gebaut, dass die Dreijahresregel und die DSGVO-Anforderungen nicht manuell nachverfolgt werden müssen. Unsere Plattform übernimmt die technischen Grundlagen, die im Gesetz gefordert sind, direkt im Hintergrund.
- Vollständiger Audit-Trail für jede Meldung, von Eingang bis Abschluss.
- Automatische Fristenüberwachung, die den Start der Löschfrist an den Verfahrensabschluss koppelt.
- Revisionssichere Speicherung gemäß branchenüblichen Standards.
- Anonymes Melden ohne IP-Tracking, damit die Identität der meldenden Person geschützt bleibt.
Weil diese Funktionen in der Lösung enthalten sind, entfällt der Aufwand, eigene Lösch-Logs oder Zugriffskontrollen nachträglich zu bauen. Wer sehen möchte, wie sich das im eigenen Unternehmen umsetzen lässt, findet alle Details zum Basic-Plan direkt auf unserer Produktseite.
FAQ
Wann beginnt die Dreijahresfrist nach § 11 HinSchG?
Die Frist beginnt mit dem formalen Abschluss des Verfahrens, nicht mit dem Eingang der Meldung. Deshalb ist eine klare interne Definition, wer einen Fall abschließt, entscheidend, um Löschfristen korrekt zu berechnen.
Dürfen Meldedaten länger als drei Jahre gespeichert werden?
Eine längere Speicherung ist nur zulässig, wenn sie zur Erfüllung anderer Rechtspflichten erforderlich und verhältnismäßig ist, etwa bei einem laufenden Gerichtsverfahren. Ohne einen solchen Grund gilt die dreijährige Löschpflicht uneingeschränkt.
Wie schnell muss eine Meldung bestätigt werden?
Der Eingang einer Meldung wird in der Regel spätestens nach sieben Tagen bestätigt, außer dies würde die Identität der meldenden Person gefährden. Die Rückmeldung zu Folgemaßnahmen erfolgt meist binnen drei Monaten, bei komplexen Fällen bis zu sechs Monaten.
Was passiert mit Tonaufzeichnungen von Telefonmeldungen?
Die Tonaufzeichnung wird gelöscht, sobald das schriftliche Protokoll des Gesprächs fertiggestellt ist. Ohne ausdrückliche Einwilligung der meldenden Person ist von Anfang an nur ein Inhaltsprotokoll zulässig.
Löst Ashio die Fristenüberwachung automatisch aus?
Unsere Plattform koppelt den Start der Löschfrist technisch an den dokumentierten Verfahrensabschluss und überwacht die Dreijahresfrist automatisch. Details zur Umsetzung finden sich auf der Produktseite von Ashio.