Privacy by Design für die interne Meldestelle: So gelingt es

Privacy by Design heißt für eine interne Meldestelle: Der Datenschutz wird schon beim Aufbau von Meldekanal, Prozessen und Software eingeplant und nicht erst später ergänzt. Dazu gehören ein Meldeformular, das nur die nötigen Angaben abfragt, ein technisch abgesicherter anonymer Kanal, ein kleiner und protokollierter Kreis von Personen mit Zugriff, Verschlüsselung und ein festes Löschkonzept. Grundlage dafür sind Art. 25 DSGVO und die Vertraulichkeitspflichten des Hinweisgeberschutzgesetzes (HinSchG). Im Folgenden lesen Sie, was beides für Ihre Meldestelle konkret bedeutet und wie Sie Schritt für Schritt vorgehen.

Kurz gesagt

• Privacy by Design bedeutet, dass Sie Datenschutzmaßnahmen schon bei der Entwicklung von Prozessen und Systemen der Meldestelle einbauen und dauerhaft aufrechterhalten.
• Privacy by Default verlangt, dass das System voreingestellt nur die Daten verarbeitet, die für den jeweiligen Zweck nötig sind.
• Die Kernbausteine: Datenminimierung, Pseudonymisierung oder Anonymität, Verschlüsselung, enge und protokollierte Zugriffsrechte, unabhängige Fallbearbeitung.
• Löschung: Die Dokumentation wird grundsätzlich drei Jahre nach Abschluss des Verfahrens gelöscht.
• DSFA: Eine Datenschutz-Folgenabschätzung ist fällig, wenn Ihre Schutzmaßnahmen das Risiko nicht erheblich senken.

Inhaltsverzeichnis

• Was Privacy by Design bei einer Meldestelle bedeutet
• Privacy by Design und Privacy by Default: der Unterschied
• Was Art. 25 DSGVO und das Hinweisgeberschutzgesetz verlangen
• Sieben Bausteine für eine datenschutzgerechte Meldestelle
• Wann eine Datenschutz-Folgenabschätzung nötig ist
• Datenschutz der Meldestelle dokumentieren und überprüfen
• Unsere Sicht: Datenschutz entscheidet, ob überhaupt gemeldet wird
• Ashio für Ihre Meldestelle
• Häufige Fragen
• Quellen

Was Privacy by Design bei einer Meldestelle bedeutet

Eine Meldestelle verarbeitet einige der heikelsten Daten im Unternehmen: die Identität der meldenden Person, Vorwürfe gegen Kolleginnen und Kollegen, oft auch Gesundheitsdaten oder Hinweise auf Straftaten. Wer hier erst nach dem Start über Datenschutz nachdenkt, muss Lücken schließen, die längst Spuren hinterlassen haben: Server-Logs mit IP-Adressen, E-Mail-Postfächer mit zu vielen Mitlesenden, Excel-Listen ohne Löschdatum.

Genau das soll Privacy by Design verhindern. Nach der GDD-Praxishilfe zum HinSchG vom Februar 2025 müssen Verantwortliche bereits bei der Entwicklung von Prozessen und Systemen für interne Meldestellen Maßnahmen integrieren, die die Datenschutzprinzipien dauerhaft sicherstellen. Genannt werden vor allem Datenminimierung, Zugriffsbeschränkung, Pseudonymisierung und Verschlüsselung.

Die europäische Cybersicherheitsagentur ENISA beschreibt den Ansatz ähnlich: Datenschutz gehört von Beginn der Systementwicklung an und während des gesamten Entwicklungsprozesses auf den Plan. Für Ihre Meldestelle heißt das: Die Frage „Welche Daten brauchen wir wirklich, wer darf sie sehen und wann löschen wir sie?“ steht vor der Frage nach dem Logo auf dem Meldeformular.

Praktisch betrifft Privacy by Design drei Ebenen:

1. Technik: der Meldekanal selbst, also Formular, Speicherung, Verschlüsselung, Protokollierung und Exportfunktionen.
2. Organisation: wer die Meldestelle betreibt, wer Zugriff hat, wie Vertretungen geregelt sind und wie Mitarbeitende geschult werden.
3. Prozess: wie eine Meldung vom Eingang bis zur Löschung läuft, mit klaren Fristen und nachvollziehbaren Entscheidungen.

Nur wenn alle drei Ebenen zusammenpassen, ist die Meldestelle datenschutzgerecht gestaltet. Die beste Verschlüsselung hilft wenig, wenn Fallberichte anschließend per unverschlüsselter E-Mail an die Geschäftsführung gehen.

Privacy by Design und Privacy by Default: der Unterschied

Beide Begriffe stehen in Art. 25 DSGVO, meinen aber nicht dasselbe. Privacy by Design (Datenschutz durch Technikgestaltung, Abs. 1) ist der übergeordnete Grundsatz: Datenschutz soll über den gesamten Lebenszyklus der Daten gesichert sein, von der Erhebung bis zur Löschung. Privacy by Default (Datenschutz durch datenschutzfreundliche Voreinstellungen, Abs. 2) ist enger. Laut GDD-Praxishilfe muss ein System für interne Meldestellen standardmäßig nur die für den jeweiligen Zweck notwendigen Daten verarbeiten.

Der Gedanke dahinter: Eine meldende Person sollte nichts einstellen oder abwählen müssen, um geschützt zu sein. Der Schutz ist ab Werk aktiv.

Für die Praxis heißt das: Privacy by Default ist ein Teil von Privacy by Design. Wer die Voreinstellungen sauber wählt, hat einen großen Teil der Gestaltungspflicht schon erfüllt.

Was Art. 25 DSGVO und das Hinweisgeberschutzgesetz verlangen

Art. 25 DSGVO verpflichtet Sie als Verantwortlichen, geeignete technische und organisatorische Maßnahmen zu treffen, damit die Datenschutzgrundsätze wirksam umgesetzt werden. Das Hinweisgeberschutzgesetz, mit dem Deutschland die EU-Richtlinie 2019/1937 umgesetzt hat, ergänzt das um eigene Pflichten. Nach der GDD-Praxishilfe kommen vor allem drei Anforderungen hinzu: Vertraulichkeit der Identität, Unabhängigkeit der Bearbeitenden und die Pflicht, nur notwendige Daten zu verarbeiten.

Der Landesbeauftragte für den Datenschutz Baden-Württemberg (LfDI BW) wird in seinen FAQ zum Hinweisgeberschutzgesetz konkret:

• Unabhängigkeit: Die mit Meldungen betrauten Personen müssen unabhängig sein und dürfen keine Interessenkonflikte haben, etwa durch Doppelfunktionen. Geregelt ist das in § 15 HinSchG.
• Technische und organisatorische Maßnahmen: Nach Art. 32 DSGVO gehören ein Zugriffsberechtigungskonzept, Passwortrichtlinien und die Protokollierung von Zugriffen dazu.
• Vertrauliche Speicherung: Aufzeichnungen von Meldungen sind vertraulich zu speichern. Zugriff haben nur die Personen, die für die Bearbeitung nötig sind, und jeder Zugriff wird protokolliert.
• Richtigkeit: Unrichtige personenbezogene Daten in der Dokumentation sind unverzüglich zu löschen oder zu berichtigen (Art. 5 Abs. 1 lit. d DSGVO).
• Auftragsverarbeitung: Ein Vertrag nach Art. 28 DSGVO ist nötig, wenn tatsächlich eine Auftragsverarbeitung vorliegt, etwa beim Einsatz eines Softwareanbieters.

Wer die Meldestelle im eigenen Haus führt und wer extern beauftragt werden kann, klären wir ausführlich in unserem Beitrag wer interne Meldestelle sein kann. Einen Überblick über die Pflichten aus dem Gesetz gibt unsere Seite zum Hinweisgeberschutzgesetz.

Sieben Bausteine für eine datenschutzgerechte Meldestelle

Die folgenden Bausteine übersetzen Art. 25 DSGVO und das HinSchG in konkrete Entscheidungen. Gehen Sie sie beim Aufbau oder bei der Überprüfung Ihrer Meldestelle der Reihe nach durch.

1. Das Meldeformular auf das Nötige beschränken

Datenminimierung beginnt beim ersten Feld. Nach der GDD-Praxishilfe sollen nur Daten erhoben werden, die für die Bearbeitung einer Meldung erforderlich sind. Fragen Sie sich bei jedem Feld: Brauchen wir das, um dem Hinweis nachzugehen? Name, Abteilung oder Telefonnummer der meldenden Person sind dafür meist nicht nötig. Sinnvoll sind dagegen eine Kategorie des Verstoßes, ein Freitext, ein ungefährer Zeitraum und die Möglichkeit, Dokumente anzuhängen. Pflichtfelder halten Sie so knapp wie möglich, freiwillige Kontaktangaben kennzeichnen Sie deutlich als freiwillig.

Denken Sie auch an Dateianhänge: Fotos und Office-Dokumente enthalten oft Metadaten wie Autorennamen oder Standortdaten. Weisen Sie meldende Personen darauf hin oder entfernen Sie Metadaten technisch.

2. Anonymität technisch absichern

Ein anonymer Kanal ist nur so anonym wie seine Technik. Wenn der Server IP-Adressen speichert, Cookies setzt oder Analysetools lädt, lässt sich eine Meldung unter Umständen zurückverfolgen, selbst wenn kein Name im Formular steht. Prüfen Sie deshalb, ob Ihr System Verbindungsdaten überhaupt erfasst. Damit meldende Personen trotzdem Rückfragen beantworten und den Bearbeitungsstand sehen können, eignet sich ein Zugangscode statt einer E-Mail-Adresse.

3. Den Zugriff klein halten und protokollieren

Zugriff auf Meldungen hat nur eine kleine, für die Bearbeitung notwendige Gruppe. Legen Sie Rollen fest: Wer sieht eingehende Meldungen, wer darf Fälle bearbeiten, wer nur Statistiken einsehen? Die Geschäftsführung erhält in der Regel aggregierte Berichte, keine Einzelfälle mit Namen. Jeder Zugriff wird protokolliert, wie es der LfDI BW verlangt. Ein unveränderlicher Audit-Trail zeigt später, wer wann welchen Fall geöffnet oder geändert hat.

4. Verschlüsseln, beim Speichern und bei der Übertragung

Daten werden verschlüsselt gespeichert und nur über sichere Kanäle übermittelt. Das gilt auch für die interne Kommunikation über einen Fall: Nachrichten zwischen Fallbearbeitenden und meldender Person laufen idealerweise innerhalb des Systems, nicht über private Messenger oder das allgemeine E-Mail-Postfach. Achten Sie auf Passwortrichtlinien und, wo möglich, auf eine Zwei-Faktor-Anmeldung für alle Bearbeitenden.

5. Unabhängige und geschulte Fallbearbeitung

Die beste Technik ersetzt nicht die richtigen Menschen. Wer Meldungen bearbeitet, darf nicht selbst in den gemeldeten Bereich eingebunden sein. Ein Praxisbeispiel liefert die Datenschutz-Folgenabschätzung der DRK-Kinderklinik Siegen: Dort werden Case Manager gesondert zur Vertraulichkeit verpflichtet und in Fachkunde sowie im Umgang mit vertraulichen Informationen geschult. Werden bei einem persönlichen Gespräch Notizen gemacht, holt die Klinik vorher die Zustimmung der hinweisgebenden Person zur Aufzeichnung ein. Beides lässt sich gut auf andere Organisationen übertragen.

6. Ein Löschkonzept mit festen Fristen

Privacy by Design endet nicht beim Abschluss eines Falls. Laut GDD-Praxishilfe wird die Dokumentation grundsätzlich drei Jahre nach Abschluss des Verfahrens gelöscht. Legen Sie fest, wann ein Verfahren als abgeschlossen gilt, wer die Löschung auslöst und wie sie dokumentiert wird. Am sichersten ist eine Software, die Fristen automatisch überwacht und an fällige Löschungen erinnert, statt sich auf Kalendereinträge zu verlassen.

7. Dienstleister vertraglich einbinden

Nutzen Sie eine externe Software oder einen externen Betreiber, prüfen Sie, ob eine Auftragsverarbeitung vorliegt, und schließen Sie dann einen Vertrag nach Art. 28 DSGVO. Fragen Sie nach dem Speicherort der Daten, nach Zertifizierungen wie ISO 27001 und nach dem Konzept für Zugriffe durch den Anbieter selbst. Wie wir das bei Ashio lösen, beschreibt unsere Seite zu Sicherheit und DSGVO-Konformität.

Wann eine Datenschutz-Folgenabschätzung nötig ist

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen mit sich bringt. Für interne Meldestellen hält der LfDI BW eine DSFA zumindest dann für nötig, wenn Sicherheitsmaßnahmen und Umstände das gewöhnliche Risiko nicht erheblich reduzieren.

Das passt zu Privacy by Design: Die Risikobewertung, die Sie beim Aufbau ohnehin vornehmen, wird in der DSFA nur förmlich festgehalten. Eine typische Bewertung prüft:

1. Beschreibung der Verarbeitung: welche Daten, von wem, zu welchem Zweck, über welche Kanäle.
2. Notwendigkeit und Verhältnismäßigkeit: werden nur erforderliche Daten erhoben, sind Speicherfristen begrenzt?
3. Risiken für Betroffene: Aufdeckung der Identität, Rufschädigung beschuldigter Personen, unbefugter Zugriff, Repressalien.
4. Abhilfemaßnahmen: Verschlüsselung, anonymer Kanal, Rollenkonzept, Protokollierung, Schulung, Löschkonzept.
5. Restrisiko: Bewertung nach Eintrittswahrscheinlichkeit und Schwere.

Die veröffentlichte DSFA der DRK-Kinderklinik Siegen zeigt, wie ein solches Dokument für eine Meldestelle aufgebaut sein kann. Ziehen Sie für die DSFA Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten früh hinzu, denn deren Stellungnahme gehört in das Verfahren.

Datenschutz der Meldestelle dokumentieren und überprüfen

Art. 25 DSGVO verlangt nicht nur, dass Sie Maßnahmen treffen, sondern dass Sie sie nachweisen können. Für eine Meldestelle haben sich diese Unterlagen bewährt:

• Eintrag im Verzeichnis der Verarbeitungstätigkeiten mit Zweck, Datenkategorien, Empfängern und Löschfristen.
• Rollen- und Berechtigungskonzept mit Namen oder Funktionen der Bearbeitenden und ihrer Vertretung.
• TOM-Dokumentation nach Art. 32 DSGVO: Verschlüsselung, Zugriffsschutz, Protokollierung, Passwortregeln.
• Vertraulichkeitsverpflichtungen und Schulungsnachweise der Fallbearbeitenden.
• Löschkonzept mit Fristen und Löschprotokollen.
• Vertrag zur Auftragsverarbeitung mit dem Softwareanbieter, falls einschlägig.
• DSFA oder eine begründete Notiz, warum keine nötig ist.

Prüfen Sie diese Unterlagen regelmäßig, mindestens einmal im Jahr und immer dann, wenn sich etwas ändert: ein neues Formularfeld, eine neue Person im Bearbeiterkreis, ein Wechsel des Anbieters. Achten Sie dabei auch auf die Richtigkeit: Stellen sich Angaben in einer Falldokumentation als falsch heraus, müssen sie nach den Hinweisen des LfDI BW unverzüglich gelöscht oder berichtigt werden. Ein exportierbarer Audit-Trail erleichtert solche Prüfungen erheblich, weil er zeigt, ob das Rollenkonzept im Alltag eingehalten wird.

Unsere Sicht: Datenschutz entscheidet, ob überhaupt gemeldet wird

Wir erleben immer wieder, dass Privacy by Design als Pflichtübung betrachtet wird, die man für die Aufsichtsbehörde erledigt. Wir sehen das anders. Eine Meldestelle lebt davon, dass Mitarbeitende ihr vertrauen. Wer befürchtet, über eine IP-Adresse, ein Cookie oder ein zu neugieriges Formular erkannt zu werden, meldet nicht. Dann bleibt der Missstand im Unternehmen, und die Meldestelle existiert nur auf dem Papier.

Deshalb haben wir Ashio so gebaut, dass Anonymität nicht von einer Einstellung abhängt. Unser Meldekanal verzichtet auf jegliche Identitätsdaten, erfasst keine IP-Adressen, setzt keine Cookies und verschlüsselt Ende-zu-Ende. Meldende Personen verfolgen den Status ihrer Meldung, ohne sich zu erkennen zu geben. Das ist für uns Privacy by Default in seiner konsequentesten Form.

Auf der Seite der Fallbearbeitung setzen wir auf feste Abläufe statt auf Improvisation: strukturierte Fallbearbeitung, automatische Fristenüberwachung und ein unveränderlicher, exportierbarer Audit-Trail. Die Daten liegen in der Schweiz in einem nach ISO 27001 zertifizierten Hosting. So müssen Compliance- und HR-Teams Datenschutz nicht jeden Tag neu erfinden, er ist im Werkzeug bereits angelegt.

Author

Ashio für Ihre Meldestelle

Wenn Sie Ihre Meldestelle neu aufbauen oder einen bestehenden Kanal ablösen möchten, nimmt Ihnen Ashio einen großen Teil der Gestaltungsarbeit ab: wirklich anonyme Meldungen ohne IPs und Cookies, ein individuell gestaltbares Meldeformular, Fristenüberwachung, Audit-Trail und Zusammenarbeit im Team. Alle Compliance-Funktionen sind im Preis enthalten, der Basic-Tarif kostet 29 € pro Monat. Sie können Ashio kostenlos testen und die Einrichtung ohne IT-Aufwand vornehmen. Mehr zur Lösung für Compliance-Teams finden Sie auf unserer Seite für Compliance-Beauftragte.

Häufige Fragen

Muss eine interne Meldestelle anonyme Meldungen ermöglichen, um Privacy by Design zu erfüllen?

Privacy by Design verlangt vor allem, dass Sie nur notwendige Daten verarbeiten und die Vertraulichkeit technisch und organisatorisch absichern. Ein anonymer Kanal ist dafür ein besonders wirksames Mittel, weil die Identität der meldenden Person gar nicht erst im System landet. Wie das HinSchG mit anonymen Meldungen umgeht, erklären wir auf unserer Seite zum Hinweisgebersystem.

Darf die Geschäftsführung Meldungen einsehen?

Zugriff auf einzelne Meldungen haben nur die Personen, die für die Bearbeitung notwendig sind, und sie müssen unabhängig und frei von Interessenkonflikten sein. Die Geschäftsführung erhält deshalb in der Regel zusammengefasste Berichte ohne Rückschluss auf Personen. Bei konkreten Zweifelsfällen, etwa wenn die Geschäftsführung selbst betroffen ist, stimmen Sie das Vorgehen mit Ihrer Datenschutzbeauftragten oder einer im Arbeitsrecht tätigen Anwältin ab.

Wie lange dürfen Meldungen gespeichert werden?

Die Dokumentation wird grundsätzlich drei Jahre nach Abschluss des Verfahrens gelöscht. Legen Sie in Ihrem Löschkonzept fest, wann ein Verfahren abgeschlossen ist und wer die Löschung durchführt und dokumentiert. Eine automatische Fristenüberwachung verhindert, dass Fälle unbemerkt länger liegen bleiben.

Brauche ich mit einem Softwareanbieter einen Auftragsverarbeitungsvertrag?

Ja, wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, ist ein Vertrag nach Art. 28 DSGVO erforderlich. Prüfen Sie zusätzlich Speicherort, Verschlüsselung und Zertifizierungen des Anbieters. Diese Angaben gehören auch in Ihre TOM-Dokumentation und gegebenenfalls in die DSFA.

Quellen

GDD-Praxishilfe HinSchG: Leitfaden zur DS-GVO-konformen Nutzung interner Meldestellen (Februar 2025)

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg: FAQ Hinweisgeberschutzgesetz

ENISA: Privacy and Data Protection by Design (Dezember 2014)

DRK-Kinderklinik Siegen: Datenschutz-Folgenabschätzung zur Einrichtung eines Hinweisgebersystems

Empfehlungen

• Wer kann interne Meldestelle sein? Beauftragter, Anwalt, Externer
• Interne Meldestelle | Konforme Whistleblowing-Software