Ashio whistleblowing software

Oct 29, 2026

AVV beim Hinweisgebersystem: wann nötig, was hineingehört

AVV-Vertrag zur Datenschutzprüfung geöffnet

Wer ein Hinweisgebersystem über einen externen Software-Anbieter betreibt, braucht in aller Regel einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Das Hinweisgeberschutzgesetz selbst schreibt keinen AVV vor. Entscheidend ist allein, ob der Dienstleister die Meldungen nur nach Ihren Weisungen verarbeitet. Bei einer reinen Softwarelösung ist das typischerweise der Fall, bei einer externen Ombudsperson oft nicht. Hier erfahren Sie, wie Sie die Rollen sauber zuordnen, welche Klauseln ein AVV für einen Meldekanal zwingend enthalten muss und welche zusätzlichen Punkte gerade bei vertraulichen Hinweisen zählen.

Ashio
Hinweise sicher und anonym erfassen
Ashio bietet Unternehmen einen geschützten Meldekanal mit Identitätsschutz, Audit-Trail und einem Dashboard zur Verwaltung von Meldungen.
Ashio kennenlernen

Kurz gesagt

  • Das HinSchG regelt den AVV nicht. Ob einer nötig ist, folgt aus der DSGVO: Verarbeitet der Anbieter weisungsgebunden, ist er Auftragsverarbeiter.
  • Betreiben Sie die interne Meldestelle selbst und nutzen nur die Software eines Anbieters, schließen Sie mit ihm einen AVV.
  • Übernimmt ein externer Dritter die Meldestelle selbst, kommt nach Auffassung der baden-württembergischen Datenschutzaufsicht eher gemeinsame Verantwortlichkeit in Betracht, mit eigener Vereinbarung nach Art. 26 DSGVO.
  • Ein guter AVV für ein Hinweisgebersystem regelt neben den Pflichtangaben auch die Vertraulichkeit der Identität, Zugriffsrechte, Unterauftragnehmer, den Hosting-Ort und Löschfristen.
  • Die Fristen des HinSchG (sieben Tage, drei Monate, drei Jahre) stehen nicht im AVV. Die Software muss sie aber technisch unterstützen.

Inhaltsverzeichnis

Was AVV im Zusammenhang mit einem Hinweisgebersystem bedeutet

Die Abkürzung AVV ist in Deutschland doppelt belegt. In Behörden steht sie für „Allgemeine Verwaltungsvorschrift“. Wer nach einem AVV für sein Hinweisgebersystem sucht, meint aber fast immer den Auftragsverarbeitungsvertrag aus dem Datenschutzrecht. Er regelt, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet.

Ein Hinweisgebersystem verarbeitet besonders heikle Daten: Namen von Beschuldigten, Schilderungen möglicher Straftaten, manchmal Gesundheitsdaten oder Angaben zu Kolleginnen und Kollegen, die nur am Rande vorkommen. Selbst bei einer anonymen Meldung können Inhalte Rückschlüsse auf die hinweisgebende Person zulassen. Läuft das System bei einem externen Anbieter, muss vertraglich feststehen, wer über diese Daten bestimmt und was der Anbieter damit tun darf.

Wichtig ist der Ausgangspunkt: Der Landesbeauftragte für den Datenschutz Baden-Württemberg stellt in seinen FAQ zum Hinweisgeberschutzgesetz klar, dass das HinSchG selbst keine Aussage dazu trifft, ob ein AVV erforderlich ist. Die Antwort ergibt sich aus Art. 28 DSGVO, und der setzt eine Auftragsverarbeitung voraus. Deren Kennzeichen ist die Weisungsabhängigkeit des Dienstleisters.

Wer ist Verantwortlicher, wer Auftragsverarbeiter?

Bevor Sie einen Vertrag unterschreiben, klären Sie die Rollen. Der falsche Vertragstyp ist einer der häufigsten Fehler, weil ein AVV eine gemeinsame Verantwortlichkeit nicht ersetzt und umgekehrt.

Die Einordnung folgt dabei nicht dem, was im Vertrag steht, sondern dem, was tatsächlich passiert. Das Leipzig Law Journal betont, dass die funktionelle Betrachtungsweise des Europäischen Gerichtshofs strikt anzuwenden ist. Wer faktisch über Zwecke und Mittel der Verarbeitung entscheidet, ist verantwortlich, egal wie die Parteien sich nennen.

Die drei typischen Konstellationen

Konstellation Wer bearbeitet die Meldungen? Typische Rolle des Dienstleisters Vertrag
Eigene Meldestelle mit Software eines Anbieters Ihre Beschäftigten (z. B. Compliance, HR, Rechtsabteilung) Auftragsverarbeiter, stellt Plattform und Hosting bereit AVV nach Art. 28 DSGVO
Externe Ombudsperson oder Kanzlei als Meldestelle Der externe Dritte Nach LfDI BW in der Regel gemeinsam verantwortlich mit dem Beschäftigungsgeber Vereinbarung nach Art. 26 DSGVO
Zentrale Meldestelle bei der Konzernmutter Beschäftigte der Muttergesellschaft Abhängig von der Ausgestaltung, häufig strittig Einzelfallprüfung, oft eine Kombination

Zur ersten Zeile: Eine interne Meldestelle, die mit eigenen Beschäftigten besetzt ist, gehört nach den FAQ des LfDI BW zum Beschäftigungsgeber. Unterstützt ein Anbieter dabei weisungsgebunden, etwa indem er die Meldeplattform betreibt, kommt Auftragsverarbeitung in Betracht. Das ist die übliche Lage bei Hinweisgeber-Software.

Zur zweiten Zeile: Betreibt ein externer Dritter die Meldestelle selbst, nimmt er Meldungen entgegen, bewertet sie und führt Folgemaßnahmen durch. Dann sieht die baden-württembergische Aufsicht ihn in der Regel als gemeinsam Verantwortlichen. Welche Personen und Stellen die Meldestelle übernehmen dürfen, haben wir in unserem Beitrag wer interne Meldestelle sein kann zusammengefasst.

Zur dritten Zeile: Bei Konzernen mit zentraler Meldestelle der Muttergesellschaft entstehen nach einer Fachveranstaltung der Stiftung Datenschutz zu Hinweisgebersystemen komplexe Fragen zur Verantwortlichkeit. Stimmen Sie sich hier mit Ihrer oder Ihrem Datenschutzbeauftragten ab, bevor Verträge aufgesetzt werden.

Pflichtinhalte eines AVV nach Art. 28 DSGVO

Steht fest, dass Ihr Anbieter Auftragsverarbeiter ist, muss der Vertrag bestimmte Inhalte haben. Der LfDI Baden-Württemberg fasst sie in seiner Übersicht zur Auftragsverarbeitung nach DS-GVO zusammen. Für ein Hinweisgebersystem lassen sie sich so konkretisieren:

Pflichtangabe Was konkret drinstehen sollte
Gegenstand und Dauer Betrieb des Meldekanals und der Fallbearbeitung, Laufzeit gekoppelt an das Abonnement
Art und Zweck der Verarbeitung Entgegennahme, Speicherung, Kommunikation und Dokumentation von Meldungen nach HinSchG
Art der Daten Meldeinhalte, Kontaktdaten (falls angegeben), Anhänge, Sprachaufnahmen, Bearbeitungsvermerke
Kategorien betroffener Personen Hinweisgebende, beschuldigte Personen, Zeugen, Bearbeiter der Meldestelle
Rechte und Pflichten Weisungsrecht des Verantwortlichen, Kontrollrechte, Pflichten des Anbieters

Dazu kommt die Grundregel: Der Auftragsverarbeiter muss den rechtmäßig erteilten Weisungen des Auftraggebers folgen. Er darf Meldungen also weder für eigene Zwecke auswerten noch Statistiken für Dritte daraus bilden, wenn Sie das nicht ausdrücklich anweisen.

Achten Sie auch auf mitgeltende Dokumente. Die Datenschutzaufsicht Sachsen-Anhalt weist in ihren Hinweisen zur Prüfung eines AVV darauf hin, dass Dokumente, auf die der AVV verweist, ebenfalls geprüft werden. Enthalten sie Pflichtinhalte und sind formal mangelhaft, ist der ganze AVV mangelhaft. Eine TOM-Anlage, die nur als Link auf eine sich ändernde Webseite existiert, ist deshalb ein Warnsignal.

Vertraulichkeit und Anonymität: was ein AVV hier leisten muss

Bei einem gewöhnlichen SaaS-Tool reicht oft ein Standard-AVV. Bei einem Meldekanal nicht, denn der Schutz der Identität der hinweisgebenden Person ist der Kern des Gesetzes.

Nach § 16 HinSchG dürfen nur die für die Entgegennahme und Bearbeitung zuständigen Personen sowie die sie unterstützenden Personen Zugriff auf eingehende Meldungen haben. Die Vorschrift sieht außerdem vor, dass die interne Meldestelle auch anonyme Meldungen bearbeiten sollte. Eine Pflicht, den Kanal technisch für anonyme Meldungen auszulegen, besteht dagegen nicht.

Für den AVV folgt daraus:

  1. Kein Zugriff des Anbieters auf Inhalte. Der Vertrag sollte festhalten, dass Beschäftigte des Anbieters Meldeinhalte nicht einsehen. Idealerweise ist das durch Ende-zu-Ende-Verschlüsselung abgesichert, bei der der Anbieter technisch gar nicht mitlesen kann.
  2. Keine Protokollierung identifizierender Metadaten. Speichert die Plattform IP-Adressen oder Gerätekennungen, hilft auch die beste Vertraulichkeitsklausel wenig. Lassen Sie sich schriftlich bestätigen, was protokolliert wird und was nicht.
  3. Rollen- und Rechtekonzept. Der AVV oder seine TOM-Anlage sollte beschreiben, wie Sie Zugriffe auf einzelne Fälle beschränken können, etwa wenn sich eine Meldung gegen ein Mitglied der Meldestelle richtet.
  4. Supportzugriffe. Regeln Sie, ob und wie der Anbieter im Supportfall auf Ihr Konto zugreift: nur auf Ihre Anforderung und ohne Einsicht in Fallinhalte.
  5. Verschwiegenheit. Alle beim Anbieter eingesetzten Personen müssen zur Vertraulichkeit verpflichtet sein.

Technische und organisatorische Maßnahmen, Unterauftragnehmer, Hosting

Der Auftragsverarbeiter muss geeignete technische und organisatorische Maßnahmen ergreifen. Der LfDI BW nennt darunter Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die rasche Wiederherstellung nach einem Zwischenfall und eine regelmäßige Überprüfung der Wirksamkeit.

Bei einem Hinweisgebersystem fragen Sie konkret nach:

  • Verschlüsselung: bei der Übertragung und im Ruhezustand, und wer die Schlüssel hält.
  • Zertifizierung: etwa ISO 27001 für das Rechenzentrum oder den Anbieter selbst, mit aktuellem Nachweis.
  • Backups und Wiederherstellung: wie oft, wo gespeichert, wie schnell wiederherstellbar.
  • Audit-Trail: ob jede Aktion in einem Fall unveränderlich protokolliert wird. Das dient Ihrer Rechenschaftspflicht und schützt zugleich vor Manipulationsvorwürfen.

Unterauftragnehmer: Für Unteraufträge bedarf es grundsätzlich der vorherigen schriftlichen Genehmigung des Verantwortlichen. Verlangen Sie eine vollständige Liste mit Namen, Sitz und Leistung jedes Unterauftragnehmers, also für Hosting, E-Mail-Versand, Übersetzung oder Spracherkennung, und ein Widerspruchsrecht bei Änderungen.

Hosting-Ort und Drittländer: Bei Übermittlungen in Drittländer sind die Anforderungen des Kapitels V DSGVO einzuhalten. Der AVV sollte den Speicherort eindeutig benennen und die Rechtsgrundlage für jede Übermittlung außerhalb der EU angeben. Achten Sie auch auf Unterauftragnehmer mit Mutterkonzern in einem Drittland, deren Zugriffsmöglichkeiten oft übersehen werden.

Löschung, Betroffenenrechte, Datenpannen und Kontrollen

Der Auftragsverarbeiter muss Sie bei der Erfüllung Ihrer Datenschutzpflichten technisch und organisatorisch unterstützen und Datenschutzverletzungen unverzüglich melden. Umgekehrt müssen Sie ihn einbeziehen, wenn Sie eine Datenschutz-Folgenabschätzung durchführen. Bei einem System, das Hinweise auf Rechtsverstöße verarbeitet, liegt eine solche Abschätzung nahe. Die Entscheidung trifft Ihre Datenschutzorganisation.

Drei Datenschutzpflichten des Auftragsverarbeiters

Löschung und Aufbewahrung

Hier treffen DSGVO und HinSchG direkt aufeinander. Nach § 11 HinSchG wird die Dokumentation einer Meldung drei Jahre nach Abschluss des Verfahrens gelöscht. Sie kann länger aufbewahrt werden, wenn das zur Erfüllung gesetzlicher Anforderungen erforderlich und verhältnismäßig ist. Der AVV sollte deshalb regeln, dass der Anbieter nach Ihrer Weisung löscht, fallbezogen und nicht nur pauschal am Vertragsende, und dass er die Löschung bestätigt. Für das Vertragsende gehört hinein, ob Sie Daten exportieren können und in welchem Format.

Auskunftsanfragen

Eine beschuldigte Person kann nach der DSGVO Auskunft verlangen, zugleich gilt das Vertraulichkeitsgebot zugunsten der hinweisgebenden Person. Diesen Konflikt lösen weder der Anbieter noch der AVV, sondern Sie als Verantwortlicher, im Zweifel mit anwaltlicher Beratung. Der AVV muss nur sicherstellen, dass der Anbieter Anfragen an Sie weiterleitet und nie selbst beantwortet.

Kontrollrechte

Sie müssen den Anbieter überprüfen können, in der Praxis meist über Zertifikate, Prüfberichte und schriftliche Auskünfte. Vor-Ort-Kontrollen sollten nicht ausgeschlossen sein, auch wenn Sie sie selten nutzen.

Wie AVV und HinSchG-Fristen zusammenhängen

Der AVV ist ein Datenschutzvertrag, das HinSchG regelt die Pflichten der Meldestelle. Die Fristen des Gesetzes stehen deshalb nicht im AVV, und sie gelten für Sie, nicht für den Anbieter. Ihre Software muss sie aber zuverlässig abbilden, sonst verpassen Sie sie.

Pflicht Frist Vorschrift
Eingangsbestätigung an die hinweisgebende Person spätestens nach sieben Tagen § 17 HinSchG
Rückmeldung über geplante und ergriffene Folgemaßnahmen innerhalb von drei Monaten nach der Eingangsbestätigung § 17 HinSchG
Löschung der Dokumentation drei Jahre nach Abschluss des Verfahrens, länger nur wenn erforderlich § 11 HinSchG

Bei anonymen Meldungen gelingt die Eingangsbestätigung nur, wenn das System einen Rückkanal bietet, etwa ein Postfach mit Zugangscode, über das die Person den Status verfolgt. Fragen Sie den Anbieter, ob die Plattform Fristen automatisch überwacht und Sie rechtzeitig erinnert. Die Löschfristen wiederum sollten technisch so umsetzbar sein, wie es der AVV beschreibt.

Einen Überblick über die übrigen Pflichten aus dem Gesetz finden Sie auf unserer Seite zum Hinweisgeberschutzgesetz, Grundlagen zu Aufbau und Pflicht im Beitrag Was ist ein Hinweisgebersystem?.

Checkliste: AVV eines Hinweisgeber-Anbieters prüfen

Gehen Sie diese Punkte durch, bevor Sie unterschreiben:

  1. Ist die Rollenverteilung geklärt: Auftragsverarbeitung oder gemeinsame Verantwortlichkeit?
  2. Sind Gegenstand, Dauer, Zweck, Datenarten und Betroffenenkategorien konkret für den Meldekanal beschrieben?
  3. Ist das Weisungsrecht klar geregelt, einschließlich Löschweisungen pro Fall?
  4. Schließt der Vertrag Zugriffe des Anbieters auf Meldeinhalte aus, und ist das technisch abgesichert?
  5. Werden IP-Adressen oder andere identifizierende Metadaten nicht gespeichert?
  6. Liegt eine vollständige, aktuelle Liste der Unterauftragnehmer vor?
  7. Sind Speicherort und Rechtsgrundlage jeder Drittlandübermittlung benannt?
  8. Sind die TOM als feste Anlage beigefügt und nicht nur verlinkt?
  9. Ist die Meldung von Datenpannen „unverzüglich“ zugesagt, mit benannter Kontaktstelle?
  10. Gibt es Kontrollrechte und einen geregelten Datenexport bei Vertragsende?

Unsere Sicht: Der beste AVV ist der, der wenig regeln muss

In Gesprächen mit Compliance- und HR-Teams sehen wir oft dasselbe Muster: Der AVV wird als Formalie behandelt, unterschrieben und abgeheftet. Dabei zeigt sich beim Hinweisgebersystem gerade am AVV, ob das Versprechen der Vertraulichkeit hält.

Unsere Überzeugung: Vertragsklauseln sind nur so stark wie die Technik dahinter. Ein Anbieter, der IP-Adressen gar nicht erst erfasst und Inhalte Ende-zu-Ende verschlüsselt, muss weniger versprechen, weil er weniger weiß. Deshalb verzichten wir bei Ashio auf Identitätsdaten und Tracking, hosten vollständig in der Schweiz in einer ISO-27001-Umgebung und halten jeden Bearbeitungsschritt in einem unveränderlichen, exportierbaren Audit-Trail fest.

Prüfen Sie jeden Anbieter mit der Checkliste oben, auch uns. Wer bei Unterauftragnehmern, Speicherort und Supportzugriffen ausweicht, hat Ihnen damit schon eine Antwort gegeben.

— Author

Ashio als Hinweisgebersystem einsetzen

Wenn Sie Ihre interne Meldestelle selbst besetzen und eine Plattform suchen, die Datenschutz und HinSchG-Pflichten gleichermaßen abdeckt, ist Ashio genau dafür gebaut: anonymer Meldekanal ohne IP-Tracking, Statusverfolgung für Hinweisgebende, automatische Fristenüberwachung, revisionssichere Dokumentation und DSGVO-konforme Speicherung in der Schweiz. Der Tarif Basic kostet 29 € pro Monat, nach einer kostenfreien Testphase. Details zu Verschlüsselung und Hosting finden Sie auf unserer Seite Sicherheit und DSGVO-Konformität. Starten können Sie direkt auf ashio.eu.

Häufige Fragen

Ist ein AVV für ein Hinweisgebersystem gesetzlich vorgeschrieben?

Nicht durch das HinSchG, sondern durch die DSGVO, und nur dann, wenn der Anbieter als Auftragsverarbeiter weisungsgebunden für Sie tätig wird. Das ist bei einer reinen Software- und Hosting-Lösung der Normalfall. Fehlt der AVV dann, verarbeiten Sie die Daten ohne die nach Art. 28 DSGVO nötige vertragliche Grundlage.

Brauche ich einen AVV, wenn eine Anwaltskanzlei meine Meldestelle ist?

Häufig nicht, denn eine Kanzlei, die Meldungen eigenständig bewertet, handelt nach Auffassung des LfDI Baden-Württemberg in der Regel als gemeinsam Verantwortliche. Dann ist eine Vereinbarung nach Art. 26 DSGVO der passende Vertrag. Nutzt die Kanzlei zusätzlich eine Software, braucht es für diese wiederum einen AVV.

Reicht ein Standard-AVV des Anbieters?

Ein Standard-AVV kann genügen, wenn er die Pflichtangaben enthält und auf den Meldekanal zugeschnitten ist. Prüfen Sie besonders den Ausschluss von Zugriffen auf Inhalte, den Umgang mit Metadaten, die Unterauftragnehmer und die Löschung pro Fall. Allgemeine Formulierungen ohne konkrete TOM-Anlage reichen bei so sensiblen Daten nicht.

Muss der AVV die Fristen des HinSchG enthalten?

Nein. Die Sieben-Tage-Frist für die Eingangsbestätigung und die Drei-Monats-Frist für die Rückmeldung treffen Ihre Meldestelle, nicht den Anbieter. Der AVV sollte aber die Löschung nach Ihrer Weisung regeln, damit Sie die Drei-Jahres-Regel aus § 11 HinSchG umsetzen können.

Quellen

Empfehlungen