Ashio whistleblowing software

DSGVO-konformes Hinweisgebersystem: Das Pflicht-Playbook

Eine Hand steckt ein Netzwerkkabel sicher ein.

Ein DSGVO-konformes Hinweisgebersystem braucht vier Dinge gleichzeitig: eine tragfähige Rechtsgrundlage, eine abgeschlossene Datenschutz-Folgenabschätzung (DSFA), dokumentierte technische und organisatorische Maßnahmen (TOMs) und ein geprüftes Rollenkonzept. Wer eines davon überspringt, riskiert nicht nur Bußgelder nach Art. 83 DSGVO, sondern auch den Vertrauensverlust bei den Mitarbeitern, die das System überhaupt erst nutzen sollen.

Sofort zu erledigen:

  • Datenschutzbeauftragten (DSB), Rechtsabteilung, IT und Betriebsrat in einem Kick-off-Meeting zusammenbringen
  • Rechtsgrundlage nach Art. 6 DSGVO festlegen (in den meisten Fällen lit. c in Verbindung mit dem HinSchG)
  • DSFA nach Art. 35 DSGVO anstoßen, bevor das System produktiv geht
  • TOMs schriftlich dokumentieren und im Verzeichnis der Verarbeitungstätigkeiten (VVT) eintragen
  • Auftragsverarbeitungsvertrag (AVV) mit dem Softwareanbieter abschließen, sofern ein externer Dienst genutzt wird

Zur Frage intern versus extern: Ein externer, zertifizierter Kanal über einen spezialisierten Anbieter ist in den meisten Fällen vorzuziehen, weil er Interessenkonflikte reduziert, Anonymität technisch besser absichert und den Betriebsrat weniger in Zugriffsrechte einbindet als eine selbst betriebene Lösung. Wer intern betreibt, trägt die volle technische Last allein.

Wichtige Erkenntnisse

Ein DSGVO-konformes Hinweisgebersystem erfordert eine gesetzlich gestützte Rechtsgrundlage, eine abgeschlossene DSFA, dokumentierte TOMs und ein geprüftes Rollenkonzept, bevor die erste Meldung eingeht.

Thema Details
Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO i.V.m. HinSchG; Einwilligung ist im Beschäftigungsverhältnis fast nie geeignet.
DSFA-Pflicht Bei Hinweisgebersystemen in der Regel zwingend nach Art. 35 DSGVO; DSB muss eingebunden werden.
Löschfrist Daten sollten in der Regel nach Abschluss der Ermittlungen gelöscht werden; Ausnahmen sind zu dokumentieren.
Speicherort Speicherung im EWR oder in der Schweiz; Drittstaatenübermittlungen nur mit geeigneten Garantien (SCC).
Ashio Bietet anonymen Meldekanal ohne IP-Tracking, Audit-Trail und Datenspeicherung in der Schweiz für prüfungssichere Konformität.

Inhaltsverzeichnis

Was ist ein Hinweisgebersystem und welche Varianten gibt es?

Ein Hinweisgebersystem ist ein strukturierter Meldekanal, über den Mitarbeiter, Lieferanten oder andere Personen Verstöße gegen Recht oder interne Richtlinien melden können, ohne Repressalien befürchten zu müssen. Typische Meldesachverhalte sind Korruption, Betrug, Verstöße gegen Arbeitssicherheit, Datenschutzverletzungen oder Diskriminierung.

Varianten im Überblick:

  • Intern betrieben: Das Unternehmen hostet die Software selbst oder auf eigenen Servern. Volle Kontrolle, aber auch volle Verantwortung für Sicherheit, Verfügbarkeit und Datenschutz.
  • Extern über Auftragsverarbeiter: Ein spezialisierter Anbieter stellt die Plattform bereit. Der Verantwortliche bleibt datenschutzrechtlich zuständig, delegiert aber Betrieb und Sicherheit vertraglich.
  • Anonyme Meldung: Der Melder gibt keine Identität preis. Kommunikation läuft über ein pseudonymes Postfach oder eine Melde-ID.
  • Identifizierte Meldung mit Kommunikation: Der Melder nennt seinen Namen, erhält aber besonderen Schutz nach dem HinSchG. Ermöglicht direkten Austausch, erfordert aber stärkere Vertraulichkeitsgarantien.

Die EU-Richtlinie 2019/1937 bildet den Rahmen für interne Meldekanäle und war Auslöser für das deutsche Hinweisgeberschutzgesetz (HinSchG). Unternehmen ab 50 Mitarbeitern sind grundsätzlich zur Einrichtung eines internen Kanals verpflichtet.

Welche Rechtsgrundlagen und Pflichten gelten für Ihr Hinweisgebersystem?

Die Verarbeitung personenbezogener Daten in einem Hinweisgebersystem ist keine datenschutzrechtliche Grauzone, sondern klar geregelt. Die Rechtsgrundlage ist in der Regel Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem HinSchG. Einwilligung scheidet im Beschäftigungsverhältnis fast immer aus, weil sie nicht freiwillig erteilt werden kann, solange ein Machtgefälle zwischen Arbeitgeber und Arbeitnehmer besteht.

Zentrale Rechtsgrundlagen:

  • Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtung): Hauptgrundlage für die Verarbeitung von Melderdaten und Fallinhalten
  • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Ergänzend möglich, etwa bei freiwilligen Systemen über den gesetzlichen Mindestumfang hinaus
  • § 26 BDSG: Gilt für die Verarbeitung von Beschäftigtendaten; Kollektivvereinbarungen (Betriebsvereinbarungen) können die Grundlage stärken
  • Art. 13/14 DSGVO: Informationspflichten gegenüber Meldern und Betroffenen
  • Art. 33/34 DSGVO: Meldepflichten bei Datenschutzverletzungen
  • Art. 28 DSGVO: AVV-Pflicht bei Auftragsverarbeitung
Rolle Zuständigkeit Frist / Meldewege
Verantwortlicher (Unternehmen) Rechtsgrundlage festlegen, DSFA beauftragen, AVV abschließen Vor Inbetriebnahme
Datenschutzbeauftragter DSFA begleiten, VVT-Eintrag prüfen, Aufsichtsbehörde konsultieren Laufend
IT / Auftragsverarbeiter TOMs umsetzen, Protokolle führen, Speicherort sichern Vor und nach Go-live
Betriebsrat Mitbestimmung bei Einführung, Betriebsvereinbarung Vor Inbetriebnahme
Fallmanager Eingang, Ersteinschätzung, Dokumentation, Eskalation Innerhalb definierter SLA

Welche TOMs muss Ihr Hinweisgebersystem konkret erfüllen?

Technische und organisatorische Maßnahmen für ein Hinweisgebersystem sind strenger als bei vielen anderen HR-Anwendungen, weil die Daten besonders sensibel sind und Melder im schlimmsten Fall um ihre Stelle fürchten. Die EDPS-Guidelines empfehlen Privacy-by-Design-Maßnahmen und konkrete technische Vorkehrungen zur Wahrung der Anonymität und Vertraulichkeit.

Technische Maßnahmen:

  • Ende-zu-Ende-Verschlüsselung für Meldeinhalte und Kommunikation
  • Transportverschlüsselung (TLS 1.2 oder höher) für alle Datenübertragungen
  • Pseudonymisierung von Melderdaten, sodass Fallbearbeiter nicht automatisch die Identität kennen
  • Kein IP-Logging beim Eingang von Meldungen
  • Zugriffsbeschränkungen nach dem Prinzip der minimalen Rechte
  • Revisionssicherer Audit-Trail für alle Zugriffe und Änderungen

Organisatorische Maßnahmen:

  • Schriftliches Rollenkonzept mit definierten Zugriffsrechten
  • Betriebsvereinbarung zur Nutzung des Systems
  • Schulungen für alle Fallbearbeiter vor Inbetriebnahme
  • Dokumentiertes Löschkonzept mit automatisierten Fristen
  • VVT-Eintrag mit vollständiger Beschreibung der Verarbeitung

Profi-Tipp: Der häufigste Implementierungsfehler ist das Aktivlassen von Standard-IP-Logs auf dem Webserver. Viele Anbieter liefern ihre Plattform mit aktiviertem Server-Logging aus. Prüfen Sie explizit, ob die IP-Adresse des Melders irgendwo protokolliert wird, auch in Backup-Logs oder CDN-Protokollen.

Wann ist eine DSFA Pflicht und wie bauen Sie sie auf?

Die DSFA nach Art. 35 DSGVO ist bei Hinweisgebersystemen in der Regel keine Kann-Option, sondern Pflicht. Der Grund: Es werden hochsensible Beschäftigtendaten verarbeitet, die Rückschlüsse auf Fehlverhalten, persönliche Konflikte oder strafrechtlich relevante Sachverhalte ermöglichen. Das Risiko für Rechte und Freiheiten der Betroffenen ist strukturell hoch.

Schritt-für-Schritt-Aufbau der DSFA:

  1. Scope festlegen: Welche Datenkategorien werden verarbeitet? Melderdaten, Beschuldigtendaten, Zeugenaussagen, Dokumente?
  2. Risikoanalyse: Welche Risiken bestehen für Melder, Beschuldigte und unbeteiligte Dritte? Identitätsaufdeckung, Missbrauch, unbefugter Zugriff?
  3. Maßnahmendefinition: Welche TOMs reduzieren die identifizierten Risiken auf ein akzeptables Niveau?
  4. Dokumentation: DSFA schriftlich festhalten, Datum, Verantwortliche, Ergebnis und Restrisiken dokumentieren
  5. Monitoring: DSFA als lebendes Dokument behandeln, bei wesentlichen Änderungen am System aktualisieren

Must-Include in der DSFA:

  • Betroffene Datenkategorien (inkl. besonderer Kategorien nach Art. 9 DSGVO, falls relevant)
  • Empfänger und Zugriffsberechtigte
  • Speicherorte und Drittstaatenrisiken
  • Löschfristen und Ausnahmen
  • Zugriffsrechte und Rollenkonzept
  • Einbindung des Datenschutzbeauftragten (zwingend nach Art. 35 Abs. 2 DSGVO)

Der Betriebsrat sollte ebenfalls frühzeitig eingebunden werden, nicht nur wegen der Mitbestimmungsrechte, sondern weil seine Zustimmung die Akzeptanz des Systems im Unternehmen erheblich steigert.

Wie organisieren Sie Rollen, Fallbearbeitung und anonyme Hinweise?

Ein Rollenkonzept ist kein bürokratisches Anhängsel, sondern der Kern des Datenschutzes im laufenden Betrieb. Wer auf welche Daten zugreifen darf, muss vor dem ersten Eingang einer Meldung feststehen.

Rollenmatrix:

  • Verantwortlicher: Entscheidet über Verarbeitungszwecke, trägt Haftung, genehmigt Eskalationen
  • Fallmanager: Empfängt Meldungen, führt Ersteinschätzung durch, koordiniert Untersuchung
  • Ermittlerteam: Zugriff nur auf Sachakte, nicht auf Melderidentität
  • Datenschutzbeauftragter: Beratend, kein operativer Zugriff auf Fallinhalte
  • Betriebsrat: Kein Zugriff auf Einzelfälle ohne explizite gesetzliche Grundlage

Prozessablauf:

  1. Meldungseingang, automatische Bestätigung an Melder mit Melde-ID
  2. Ersteinschätzung durch Fallmanager (begründet, unbegründet, eskalationspflichtig?)
  3. Untersuchung mit dokumentierten Zwischenschritten
  4. Entscheidung und Maßnahmen
  5. Abschluss, Dokumentation, Einleitung Löschfrist

Bei anonymen Meldungen gilt: Die Ermittlungsmöglichkeiten sind begrenzt, aber nicht null. Über ein pseudonymes Kommunikationspostfach können Fallmanager Rückfragen stellen, ohne die Identität des Melders zu kennen. Wichtig ist, dass dieses Postfach technisch vom restlichen System getrennt ist.

Die Informationspflicht gegenüber Beschuldigten nach Art. 14 DSGVO kann zeitweilig zurückgestellt werden, wenn die Aufklärung sonst gefährdet würde. Die Gründe müssen schriftlich dokumentiert werden. Das ist kein Freifahrtschein für dauerhaftes Schweigen, sondern eine eng begrenzte Ausnahme.

Eine Hand führt mit einem Stift auf dem Tablet die Vorbereitung von Compliance-Dokumenten durch.

Trennung Melderakte und Sachakte: Die Melderidentität gehört in eine separate, stärker zugangsbeschränkte Akte. Fallbearbeiter sehen standardmäßig nur die Sachakte. Nur der Fallmanager oder eine explizit benannte Person darf beide Akten einsehen, und nur wenn es für die Untersuchung zwingend erforderlich ist.

Wo dürfen Daten gespeichert werden und wie lange?

Der Speicherort ist kein technisches Detail, das man dem Anbieter überlässt. Die DSK empfiehlt ausdrücklich, Übermittlungen in Drittstaaten zu vermeiden oder nur mit geeigneten Garantien vorzunehmen. Art. 28 und Art. 32 DSGVO gelten dabei uneingeschränkt.

Dos:

  • Speicherung innerhalb des EWR oder in der Schweiz (Angemessenheitsbeschluss vorhanden)
  • Bei Drittstaaten: Standardvertragsklauseln (SCC) plus ergänzende Schutzmaßnahmen dokumentieren
  • Backup-Standorte in die Bewertung einbeziehen, nicht nur den Primärserver
  • Löschfristen technisch automatisieren, nicht nur als Policy formulieren

Don’ts:

  • Unbegrenzte Archivierung ohne Löschkonzept
  • IP-Adressen in Zugriffsprotokollen speichern
  • Backups in Drittstaaten ohne geprüfte Schutzmaßnahmen
  • Sub-Prozessoren des Anbieters ignorieren (deren Standorte müssen im AVV aufgeführt sein)

Zur Aufbewahrungsfrist: Der bewährte Richtwert ist Löschung spätestens zwei Monate nach Abschluss der Ermittlungen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Ausnahmen müssen einzelfallbezogen dokumentiert werden. Wer pauschal länger speichert, hat ein Problem bei der nächsten Prüfung.

Profi-Tipp: Prüfen Sie beim Anbieter explizit, ob auch Metadaten (Zeitstempel, Geräteinformationen, Sitzungsdaten) automatisch gelöscht werden. Viele Löschkonzepte erfassen nur den Meldungsinhalt, nicht die technischen Begleitdaten.

Was tun Sie bei einem Datenschutzvorfall im Hinweisgebersystem?

Ein Datenschutzvorfall im Hinweisgebersystem ist besonders heikel, weil er potenziell die Identität von Meldern offenlegt. Die Reaktionszeit ist gesetzlich vorgegeben: Verantwortliche müssen Datenschutzverletzungen unverzüglich und möglichst binnen 72 Stunden melden.

Pflichtangaben nach Art. 33 Abs. 3 DSGVO:

  • Art der Verletzung (unbefugter Zugriff, Datenverlust, Offenlegung?)
  • Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze
  • Kontaktdaten des Datenschutzbeauftragten
  • Beschreibung der wahrscheinlichen Folgen
  • Beschreibung der ergriffenen oder geplanten Abhilfemaßnahmen

Checkliste: Die ersten 72 Stunden nach Bekanntwerden eines Vorfalls

Stunde 0–4: Vorfall intern dokumentieren, Ausmaß einschätzen, DSB informieren Stunde 4–12: Technische Sofortmaßnahmen einleiten (Zugriff sperren, Logs sichern) Stunde 12–48: Meldung an zuständige Aufsichtsbehörde einreichen, auch wenn noch nicht alle Details bekannt sind Stunde 48–72: Ergänzende Informationen nachreichen; Betroffene informieren, wenn hohes Risiko für ihre Rechte besteht

Der Online-Service des LDA Bayern zeigt, wie vorläufige Meldungen mit einer Melde-ID eingereicht und später ergänzt werden können. Dieses Prinzip gilt bei allen deutschen Aufsichtsbehörden: Lieber eine unvollständige Meldung fristgerecht als eine vollständige Meldung zu spät.

Wie führen Sie ein Hinweisgebersystem in 12 Wochen ein?

Eine strukturierte Einführung verhindert, dass das System zwar technisch läuft, aber datenschutzrechtlich angreifbar bleibt. Der folgende Plan ist auf Unternehmen mittlerer Größe ausgelegt.

Projektphasen:

  1. Wochen 1–2: Scoping — Verantwortlichkeiten klären, Datenkategorien inventarisieren, Betriebsrat informieren
  2. Wochen 3–4: DSFA — Risikoanalyse durchführen, DSB einbinden, Ergebnis dokumentieren
  3. Wochen 5–6: Anbieterauswahl und AVV — Angebote prüfen, AVV nach Art. 28 DSGVO verhandeln und unterzeichnen
  4. Wochen 7–8: Konfiguration — Meldeformular anpassen, Rollenkonzept implementieren, Löschfristen einstellen
  5. Wochen 9–10: Pilotbetrieb — Testmeldungen durchführen, Prozesse prüfen, Schulungen abhalten
  6. Wochen 11–12: Rollout — Kommunikationsplan umsetzen, Mitarbeiter informieren, VVT-Eintrag abschließen

AVV-Vertragscheckliste (Art. 28 DSGVO):

  • Speicherort und Rechenzentrumsstandort explizit benennen
  • Sub-Prozessoren auflisten und Genehmigungspflicht bei Änderungen festlegen
  • Löschkonzept und Fristen vertraglich fixieren
  • Audit-Rechte des Verantwortlichen sicherstellen
  • SLA für Sicherheitsvorfälle und Reaktionszeiten definieren

Betriebsaufnahme-Checkliste:

  • Schulungsnachweis für alle Fallbearbeiter
  • Betriebsvereinbarung unterzeichnet
  • VVT-Eintrag vollständig
  • Kommunikationsplan für Mitarbeiter umgesetzt (Intranet, Aushang, E-Mail)
  • Informationspflichten nach Art. 13 DSGVO erfüllt (Datenschutzhinweis für Melder)

Für die HinSchG-konforme Umsetzung in Deutschland gibt es spezifische Anforderungen an die Unabhängigkeit der zuständigen Person und die Rückmeldepflichten gegenüber dem Melder, die über die DSGVO hinausgehen.

Was prüfen Aufsichtsbehörden und Auditoren konkret?

Wer eine Prüfung erwartet, sollte wissen, was auf dem Tisch landen wird. Aufsichtsbehörden folgen dabei einem konsistenten Muster: Sie prüfen Dokumente, technische Nachweise und Prozesse, nicht nur Absichtserklärungen.

Dokumente, die geprüft werden:

  • DSFA mit Datum, Unterschrift DSB und dokumentiertem Ergebnis
  • VVT-Eintrag mit vollständiger Beschreibung der Verarbeitung
  • AVV mit dem Softwareanbieter
  • Betriebsvereinbarung
  • Schulungsnachweise für Fallbearbeiter
  • Audit-Log-Belege (anonymisiert, aber vollständig)

Technische Nachweise:

  • Verschlüsselungszertifikate und Protokollkonfiguration
  • Nachweis, dass keine IP-Adressen von Meldern gespeichert werden
  • Revisionssichere Audit-Trails
  • Speicherort-Dokumentation (EWR oder Schweiz)
Prüfpunkt Was Prüfer erwarten Ashio-Funktion
Anonymität des Melders Kein IP-Logging, pseudonymes Postfach Anonymer Meldekanal ohne IP-Tracking
Audit-Trail Lückenlose Protokollierung aller Zugriffe Vollständiger, revisionssicherer Audit-Trail
Speicherort EWR oder Angemessenheitsbeschluss Datenspeicherung in der Schweiz
Fristenüberwachung Automatische Löschfristen und Wiedervorlagen Automatische Fristenüberwachung
Rollentrennung Getrennte Melder- und Sachakte Strukturierte Fallbearbeitung mit Rollenverwaltung

Die DSK-Orientierungshilfe ist das Standardreferenzdokument für Auditoren. Wer sie kennt und sein System danach ausgerichtet hat, ist gut vorbereitet. Besonderes Augenmerk legen Prüfer auf Zweckbindung, Datenminimierung und Löschkonzept, weil hier die meisten Systeme Lücken haben.

Bei der Auswahl von Anbietern lohnt sich ein Blick auf Auswahlkriterien für sicherheitskritische Software, die ähnliche Anforderungen an Zugriffsschutz und Protokollierung stellen.

Was prüfen Aufsichtsbehörden und Auditoren konkret? — overview diagram

Was Implementierungsprojekte wirklich lehren

Die größte Falle bei der Einführung eines Hinweisgebersystems ist nicht die Technik. Es ist die Annahme, dass ein laufendes System automatisch ein genutztes System ist.

In der Praxis zeigt sich: Systeme, die ohne Kommunikationsplan eingeführt werden, haben in den ersten Monaten kaum Meldungen. Nicht weil es keine Missstände gibt, sondern weil Mitarbeiter dem Kanal nicht vertrauen. Vertrauen entsteht nicht durch eine Datenschutzerklärung, sondern durch sichtbare Unabhängigkeit der zuständigen Person, klare Statusupdates ohne Identifizierung und eine nachvollziehbare Rückmeldung, dass Meldungen ernst genommen werden.

Beim Betriebsrat ist frühzeitige Einbindung kein Risiko, sondern ein Hebel. Wer den Betriebsrat erst informiert, wenn das System fertig konfiguriert ist, verliert Wochen durch Nachverhandlungen. Wer ihn in die Anforderungsdefinition einbezieht, bekommt eine Betriebsvereinbarung, die das System stärkt statt blockiert.

Ein weiterer blinder Fleck: die Informationspflichten nach Art. 13 DSGVO gegenüber dem Melder. Viele Unternehmen vergessen, dass auch der Melder selbst eine betroffene Person ist und beim Eingang seiner Meldung über die Verarbeitung seiner Daten informiert werden muss. Das lässt sich technisch elegant lösen, indem der Datenschutzhinweis direkt in das Meldeformular integriert wird.

Zur Zusammenarbeit mit dem DSB: Binden Sie ihn nicht nur bei der DSFA ein, sondern auch bei der Formulierung des Rollenkonzepts. Ein DSB, der das System kennt, kann bei einer Prüfung souverän Auskunft geben. Einer, der nur die DSFA unterschrieben hat, nicht.

Ashio macht den Einstieg konkret und prüfungssicher

Wer ein Hinweisgebersystem einführen muss, steht vor einer klaren Wahl: selbst bauen mit vollem technischen Aufwand, oder eine Plattform nutzen, die die DSGVO-Anforderungen bereits eingebaut hat. Ashio ist die zweite Option, und zwar ohne Kompromisse bei der Konformität.

Ashio

Ashio bietet einen vollständig anonymen Meldekanal ohne IP-Tracking, einen revisionssicheren Audit-Trail, automatische Fristenüberwachung und DSGVO-konforme Datenspeicherung in der Schweiz. Das Rollenkonzept ist konfigurierbar, die Trennung von Melder- und Sachakte ist technisch erzwungen, nicht nur empfohlen. Für Compliance-Teams bedeutet das: Die technischen Nachweise für die nächste Prüfung sind im System bereits vorhanden.

Der AVV ist standardmäßig verfügbar, Sub-Prozessoren sind dokumentiert, und das Meldeformular lässt sich an interne Anforderungen anpassen. Für Unternehmen, die das HinSchG umsetzen müssen, deckt Ashio die deutschen Spezifika ab, von der Rückmeldepflicht bis zur Unabhängigkeit der zuständigen Person.

Testen Sie Ashio kostenlos oder fordern Sie eine Demo an: Ashio Plattform für EU-konforme Hinweisgebersysteme.

Quellen

Für Audit-Nachweise und DSFA-Dokumentation sind offizielle Quellen unverzichtbar. Die folgende Auswahl deckt die wichtigsten Fragen ab:

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

Empfehlung

DSGVO-konformes Hinweisgebersystem: Das Pflicht-Playbook | Ashio