Ashio whistleblowing software

Nov 12, 2026

TOMs für die Meldestelle: Schutzmaßnahmen nach HinSchG und DSGVO

Expertin überprüft die Schutzmaßnahmen der Meldestelle

Eine interne Meldestelle verarbeitet die heikelsten Daten, die es in einem Unternehmen gibt: Vorwürfe gegen Kollegen und Vorgesetzte, Hinweise auf Rechtsverstöße und die Identität der Person, die den Mut hatte, sie zu melden. Die technischen und organisatorischen Maßnahmen, kurz TOMs, legen fest, wie Sie diese Daten schützen: wer Zugriff hat, wie verschlüsselt wird, was protokolliert und wann gelöscht wird. Hier lesen Sie, welche TOMs eine Meldestelle in Deutschland braucht, wie Sie Datenschutz schon beim Aufbau des Hinweisportals einplanen und warum Anmeldeverfahren wie OpenID Connect auf die Seite der Bearbeiter gehören, nicht auf die der Hinweisgeber.

Ashio
Meldungen vertraulich erfassen
Ashio schützt die Identität hinweisgebender Personen und unterstützt Unternehmen dabei, Meldungen transparent zu verfolgen und zu verwalten.
Besuchen

Kurz gesagt

  • Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten, und deren Schutzmaßnahmen sollten Sie jederzeit belegen können.
  • Technisch zählen vor allem Verschlüsselung bei Übertragung und Speicherung, ein Need-to-know-Berechtigungskonzept, lückenlose Protokolle und getestete Backups.
  • Organisatorisch zählen klare Zuständigkeiten, eine Meldestelle ohne Interessenkonflikte, Passwortrichtlinien und feste Löschroutinen.
  • Die Dokumentation einer Meldung wird grundsätzlich drei Jahre nach Abschluss des Verfahrens gelöscht.
  • Wer anonym meldet, sollte sich nie mit Identitätsdaten anmelden müssen. Eine starke Anmeldung braucht der Zugang der Bearbeiter.

Inhaltsverzeichnis

Was TOMs bei einer Meldestelle bedeuten

TOMs steht für technische und organisatorische Maßnahmen. Der Begriff stammt aus dem Datenschutzrecht: Wer personenbezogene Daten verarbeitet, muss sie mit Maßnahmen schützen, die zum Risiko der Verarbeitung passen. Bei einer Meldestelle ist dieses Risiko hoch. Wird ein Name bekannt, drohen der hinweisgebenden Person Nachteile im Job. Gelangt ein ungeprüfter Vorwurf an die falschen Stellen, leidet der Ruf der beschuldigten Person, auch wenn sich der Verdacht später nicht bestätigt.

Zwei Regelwerke greifen hier ineinander. Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Beschäftigungsgeber, die in der Regel mindestens 50 Beschäftigte haben, grundsätzlich zu einer internen Meldestelle. Es verlangt Vertraulichkeit: Die Identität der hinweisgebenden Person darf grundsätzlich nur den für die Bearbeitung zuständigen Personen bekannt werden. Die DSGVO verlangt zusätzlich, dass Sie Ihre Verarbeitung absichern und diese Absicherung nachweisen können.

Praktisch heißt das: Die TOMs Ihrer Meldestelle sind ein eigenes, schriftlich festgehaltenes Paket. Es beschreibt, wie das Hinweisgebersystem aufgebaut ist, wer darin was darf, wie lange Daten bleiben und wie Sie regelmäßig prüfen, ob das alles noch greift. Einen Überblick über die gesetzlichen Pflichten rund um den Meldekanal finden Sie auf unserer Seite zum Hinweisgeberschutzgesetz.

Was TOMs bei einer Meldestelle bedeuten

Technische Maßnahmen im Hinweisgebersystem

Für digitale Meldesysteme werden aus Sicht von Informationssicherheit und Datenschutz vor allem Need-to-know-Zugriffe, Verschlüsselung, Protokollierung und regelmäßige Sicherheitsprüfungen empfohlen, ergänzt um Pseudonymisierung oder Anonymisierung, Backups, Wiederherstellungstests und Schutz vor Schadsoftware. Die folgende Übersicht zeigt, was jede Maßnahme leistet und woran Sie eine gute Umsetzung erkennen.

Maßnahme Was sie schützt Worauf Sie achten
Verschlüsselung bei Übertragung und Speicherung Meldungstext, Anhänge, Rückfragen Alle Inhalte verschlüsselt, nicht nur das Formular
Need-to-know-Zugriff Identität und Fallinhalt Rechte pro Fall und Rolle, keine Sammelzugänge
Anonymisierung oder Pseudonymisierung Identität der meldenden Person Keine IP-Adressen, keine Cookies, keine Pflichtfelder für Namen
Protokollierung Nachvollziehbarkeit jeder Aktion Zugriffe, Änderungen und Statuswechsel, möglichst unveränderlich
Backups und Wiederherstellungstests Verfügbarkeit der Fälle Wiederherstellung regelmäßig üben, nicht nur sichern
Schutz vor Schadsoftware Integrität der Plattform Hochgeladene Dateien gelten als potenzielles Risiko
Regelmäßige Sicherheitsprüfungen Wirksamkeit aller Maßnahmen Feste Intervalle, dokumentierte Ergebnisse

Verschlüsselung und Anonymität

Verschlüsselung ist die Grundlage, reicht aber allein nicht. Ein Meldekanal kann perfekt verschlüsselt sein und trotzdem verraten, wer gemeldet hat: über gespeicherte IP-Adressen, Tracking-Cookies oder ein Formular, das Name und Abteilung als Pflichtfelder abfragt. Prüfen Sie deshalb immer beides: wie die Inhalte geschützt sind und welche Daten über die meldende Person überhaupt entstehen. Was nie erhoben wird, kann auch nicht abfließen.

Berechtigungen nach dem Need-to-know-Prinzip

Das Vertraulichkeitsgebot verlangt ein abgestuftes Berechtigungskonzept. Wer einen Fall bearbeitet, sieht ihn. Wer nicht zuständig ist, sieht ihn nicht, auch nicht die Geschäftsführung und auch nicht die IT-Administration. Legen Sie fest, wer neue Meldungen als Erstes sichtet, wer Fälle zuweist und wer welche Fälle lesen darf. Zieht die Meldestelle Fachleute hinzu, etwa aus der Rechtsabteilung, erhalten diese nur Zugriff auf den einen Fall und nur so lange, wie sie ihn brauchen.

Protokolle, die sich nicht ändern lassen

Zugriffe, Änderungen und Statusverläufe sollten lückenlos protokolliert werden, wo sinnvoll in unveränderlichen Protokollen. Das schützt in zwei Richtungen: Die hinweisgebende Person kann sich darauf verlassen, dass niemand unbemerkt in ihren Fall schaut. Und das Unternehmen kann gegenüber Aufsichtsbehörden oder Gerichten belegen, dass es jede Meldung ordnungsgemäß behandelt hat.

Bei Ashio setzen wir genau hier an: Der anonyme Meldekanal kommt ohne IP-Tracking aus, Inhalte sind Ende-zu-Ende-verschlüsselt, und jede Aktion landet in einem exportierbaren, unveränderlichen Audit-Trail. Gehostet wird die Plattform vollständig in der Schweiz in einem nach ISO 27001 zertifizierten Umfeld. Details dazu stehen auf unserer Seite zu Sicherheit und DSGVO-Konformität.

Organisatorische Maßnahmen: Wer darf was?

Technik schützt nur so gut, wie die Menschen, die sie bedienen, sauber organisiert sind. Die organisatorischen Maßnahmen beantworten vor allem drei Fragen: Wer ist zuständig, wie werden Interessenkonflikte vermieden und welche Regeln gelten im Alltag?

Zuständigkeit klar benennen. Halten Sie schriftlich fest, welche Personen die interne Meldestelle bilden, wer sie vertritt und wem sie berichten. Infrage kommen etwa Compliance-Beauftragte, eine Ombudsperson oder eine externe Kanzlei. Welche Varianten es gibt und was jeweils dafür spricht, erklären wir in unserem Beitrag Wer kann interne Meldestelle sein?.

Interessenkonflikte vermeiden. Die Orientierungshilfe der Datenschutzaufsichtsbehörden zu Whistleblowing-Hotlines empfiehlt, die Hotline nicht innerhalb der Personalverwaltung zu organisieren. Sie nennt außerdem Berechtigungskonzepte, Passwortrichtlinien, Verschlüsselung, die Protokollierung von Dateneingaben und Löschroutinen als Maßnahmen. Ist Ihre Personalabteilung am Prozess beteiligt, trennen Sie die Rollen deshalb klar: Die Meldestelle prüft und bearbeitet die Meldung, die Personalabteilung wird erst eingebunden, wenn arbeitsrechtliche Folgen anstehen, und erfährt dabei nur, was sie dafür wissen muss.

Befangenheit regeln. Betrifft eine Meldung eine Person aus dem Kreis der Bearbeiter, muss der Fall automatisch an jemand anderen gehen. Legen Sie diese Regel vorher fest, nicht erst im Ernstfall.

Verpflichtung und Schulung. Alle, die Meldungen bearbeiten, verpflichten sich schriftlich zur Vertraulichkeit und wissen, wie sie mit Identitätsdaten, Anhängen und Rückfragen umgehen. Eine kurze Schulung beim Start und bei jedem Personalwechsel gehört in die TOM-Dokumentation.

Vier organisatorische Schutzmaßnahmen der Meldestelle

Passwort- und Geräteregeln. Bearbeiter melden sich nur mit starken Passwörtern und, wo möglich, mit einem zweiten Faktor an. Fallinhalte werden nicht per E-Mail weitergeleitet, nicht ausgedruckt und nicht auf privaten Geräten gespeichert.

Datenschutz durch Technikgestaltung im Hinweisportal

Privacy by Design, im deutschen Recht Datenschutz durch Technikgestaltung, bedeutet, den Datenschutz bereits beim Entwurf des digitalen Angebots einzuplanen, datenschutzfreundliche Voreinstellungen zu wählen und den Datenschutz im Betrieb regelmäßig zu prüfen. Dazu gehören laut Servicestandard des Bundes Risikoanalysen, die Prüfung von Rechtsgrundlage und Verhältnismäßigkeit, Verschlüsselung, Löschkonzepte sowie Rollen- und Berechtigungskonzepte. Eine Datenschutz-Folgenabschätzung (DSFA) ist bei Bedarf durchzuführen, und bei einer Meldestelle mit sensiblen Vorwürfen sollten Sie diese Frage mit Ihrem Datenschutzbeauftragten ausdrücklich klären und das Ergebnis festhalten.

Für ein Hinweisportal heißt das konkret:

  • Anonym als Voreinstellung. Das Formular fragt keinen Namen ab. Wer sich zu erkennen geben möchte, tut das freiwillig.
  • Nur die nötigen Felder. Jede Frage im Meldeformular braucht einen Zweck. Was für die Prüfung eines Verstoßes nicht gebraucht wird, fliegt raus.
  • Klare Hinweise für Melder. Ein kurzer Text erklärt, dass Fotos und Dokumente versteckte Angaben wie Autor oder Aufnahmeort enthalten können, und dass persönliche Details im Freitext die Anonymität schwächen.
  • Kein Tracking. Keine Analyse-Skripte, keine Cookies, keine Einbindung externer Dienste auf der Meldeseite.
  • Löschung von Anfang an mitdenken. Das Löschkonzept entsteht zusammen mit dem Portal, nicht drei Jahre später, wenn die ersten Fristen ablaufen.

Unser Meldeformular lässt sich individuell gestalten, sodass Sie genau die Felder anbieten, die Ihr Verfahren braucht. Wie wir echte Anonymität technisch umsetzen, zeigt unsere Seite zur anonymen Meldesoftware.

Anmeldung, Anonymität und OpenID Connect

OpenID Connect ist eine Identitätsschicht auf OAuth 2.0: Eine Anwendung lässt die Identität des Nutzers von einem zentralen Anmeldedienst prüfen und erhält von ihm Profilinformationen. In vielen Unternehmen steckt dahinter die bekannte Single-Sign-on-Anmeldung mit dem Firmenkonto.

Genau deshalb ist die Frage, wer sich wie am Hinweisportal anmeldet, eine TOM-Frage.

Für Hinweisgeber: kein Login mit Identität

Meldet sich eine Mitarbeiterin mit ihrem Firmenkonto am Hinweisportal an, weiß das System, wer sie ist. Der zentrale Anmeldedienst des Unternehmens verzeichnet außerdem in seinen eigenen Protokollen, wer sich wann bei welcher Anwendung angemeldet hat. Selbst wenn die Meldung danach als anonym markiert wird, ist die Verbindung zur Person technisch hergestellt. Das widerspricht dem Gedanken eines anonymen Kanals und schreckt potenzielle Hinweisgeber ab, bevor sie das Formular überhaupt öffnen.

Für die meldende Person ist deshalb ein Zugang ohne Identitätsdaten der richtige Weg. Damit sie trotzdem Rückfragen beantworten und den Bearbeitungsstand verfolgen kann, braucht es einen Rückkanal, der nur an die Meldung gebunden ist, nicht an die Person. Bei Ashio verfolgen Hinweisgeber den Status ihrer Meldung in Echtzeit, ohne dass wir dafür Identitätsdaten erheben. Wie das aus Sicht der Melder aussieht, beschreibt unsere Seite für sichere anonyme Meldungen.

Für Bearbeiter: starke Anmeldung

Ganz anders auf der Seite der Meldestelle. Hier muss eindeutig feststehen, wer einen Fall öffnet, denn nur so funktionieren Need-to-know-Rechte und Protokolle. Ob Sie dafür Passwort mit zweitem Faktor oder eine zentrale Anmeldung nutzen, entscheiden Sie nach Ihrer IT-Landschaft. Entscheidend für die TOMs ist, dass jeder Bearbeiter ein persönliches Konto hat, ausgeschiedene Personen sofort gesperrt werden und jede Anmeldung im Audit-Trail sichtbar ist.

Aufbewahrung und Löschung von Meldungen

Für die Speicherdauer gibt das HinSchG eine klare Linie vor. Zugriff auf die Dokumentation einer Meldung dürfen nur die mit ihrer Bearbeitung betrauten Personen haben. Nach § 11 Abs. 5 HinSchG wird sie drei Jahre nach Abschluss des Verfahrens gelöscht. Länger aufbewahren dürfen Sie nur, wenn das zur Erfüllung des HinSchG oder anderer Rechtsvorschriften erforderlich und verhältnismäßig ist.

Damit das in der Praxis funktioniert, gehören vier Punkte in Ihr Löschkonzept:

  1. Abschlussdatum festhalten. Die Frist läuft ab dem Ende des Verfahrens. Jeder Fall braucht deshalb ein dokumentiertes Abschlussdatum.
  2. Ausnahmen begründen. Soll ein Fall länger bleiben, etwa wegen eines laufenden Gerichtsverfahrens, halten Sie Grund und neue Prüffrist schriftlich fest.
  3. Löschung protokollieren. Ein Eintrag, wann welcher Fall gelöscht wurde, ohne dessen Inhalt zu wiederholen, belegt die Einhaltung.
  4. Kopien mitdenken. Exporte, Notizen und Arbeitsdokumente außerhalb des Systems unterliegen derselben Frist. Am sichersten ist es, wenn Fallinhalte das System gar nicht erst verlassen.

Ashio unterstützt das mit revisionssicherer Dokumentation und automatischer Fristenüberwachung, damit Ihr Team gesetzliche Fristen im Blick behält, ohne Tabellen zu pflegen.

So belegen Sie, dass Ihre TOMs wirken

TOMs sind kein Dokument, das man einmal schreibt und abheftet. Der Servicestandard des Bundes beschreibt den Ablauf: Risikoanalyse, Verantwortlichkeiten klären, TOMs auswählen und regelmäßig prüfen, ob die Verarbeitung noch den Anforderungen der DSGVO entspricht, und Maßnahmen bei Bedarf anpassen. Für eine Meldestelle sieht das so aus:

  1. Risiken benennen. Welche Schäden drohen, wenn eine Identität bekannt wird, ein Fall verloren geht oder ein Unbefugter mitliest?
  2. Verantwortliche festlegen. Wer pflegt die TOM-Dokumentation, wer prüft sie, wer gibt Änderungen frei?
  3. Maßnahmen zuordnen. Jedem Risiko stehen konkrete technische und organisatorische Maßnahmen gegenüber.
  4. Nachweise sammeln. Audit-Trail-Exporte, Schulungsnachweise, Berechtigungslisten und Löschprotokolle zeigen, dass die Maßnahmen gelebt werden.
  5. Regelmäßig prüfen. Einmal im Jahr und nach jeder größeren Änderung, etwa einem neuen Bearbeiter, einem neuen Standort oder einem neuen Meldeformular.

Missbrauch verhindern Sie vor allem durch Transparenz nach innen: Wenn jeder Zugriff protokolliert ist und die Protokolle stichprobenartig ausgewertet werden, sinkt die Versuchung, aus Neugier in Fälle zu schauen, deutlich. Vier-Augen-Regeln für sensible Schritte wie Löschungen oder die Weitergabe von Informationen an Dritte schließen die letzte Lücke.

Unsere Sicht auf TOMs für Meldestellen

Wir erleben oft, dass Unternehmen ihre TOMs für die Meldestelle als Papierübung behandeln: ein Dokument, das Verschlüsselung und Zugriffsrechte verspricht, während Meldungen in einem geteilten Postfach landen. Das hält keiner Prüfung stand und schützt niemanden.

Unser Ansatz ist umgekehrt. Die wichtigsten Maßnahmen sollen in der Software selbst stecken, damit sie im Alltag gar nicht umgangen werden können. Deshalb verzichten wir beim Meldekanal auf jegliche Identitätsdaten, setzen auf Ende-zu-Ende-Verschlüsselung und erheben keine Tracking-Daten. Was wir nicht kennen, können wir auch nicht preisgeben.

Ebenso wichtig ist uns der Nachweis. Ein unveränderlicher Audit-Trail, den Sie exportieren können, ist für uns der Kern jeder TOM-Dokumentation, weil er zeigt, was tatsächlich passiert ist, nicht nur, was geplant war. Deshalb sind Audit-Trail, Fristen und alle Compliance-Funktionen bei uns im Preis enthalten und keine Zusatzoption.

Das Ashio-Team

Ashio für Ihre Meldestelle

Wenn Sie Ihre Meldestelle aufbauen oder Ihre bestehende Lösung auf solide TOMs umstellen wollen, bietet Ashio dafür eine cloudbasierte Plattform: anonymer Meldekanal ohne IP-Tracking, strukturierte Fallbearbeitung, Team-Kollaboration, Fristenüberwachung und revisionssichere Dokumentation, gehostet in der Schweiz. Dank standardisierter Workflows richten Sie den Kanal ohne IT-Aufwand ein. Der Tarif Basic kostet 29 € pro Monat, und Sie starten mit einer kostenfreien Testphase. Jetzt Ashio testen oder vorab lesen, was ein Hinweisgebersystem für KMU leisten muss.

Häufige Fragen

Was gehört in die TOM-Dokumentation einer Meldestelle?

Mindestens das Berechtigungskonzept, die Verschlüsselung bei Übertragung und Speicherung, die Protokollierung, Backup- und Wiederherstellungsregeln, das Löschkonzept sowie die Zuständigkeiten und Vertretungen. Ergänzen Sie, wie die Anonymität der meldenden Person technisch gewahrt wird und in welchen Abständen Sie die Maßnahmen prüfen.

Darf die Personalabteilung die Meldestelle betreiben?

Die Datenschutzaufsichtsbehörden empfehlen, die Meldestelle nicht innerhalb der Personalverwaltung zu organisieren, um Vertraulichkeit und Unabhängigkeit zu stärken. Ist die Personalabteilung beteiligt, trennen Sie die Rollen klar und geben ihr nur die Informationen, die sie für arbeitsrechtliche Schritte tatsächlich braucht.

Müssen sich Hinweisgeber am Portal anmelden?

Für anonyme Meldungen sollte keine Anmeldung mit Identitätsdaten nötig sein, auch kein Single Sign-on über das Firmenkonto, weil dabei eine Verbindung zur Person entsteht. Rückfragen und Statusverfolgung laufen besser über einen Zugang, der nur an die Meldung gebunden ist.

Wie lange dürfen Meldungen gespeichert werden?

Die Dokumentation wird grundsätzlich drei Jahre nach Abschluss des Verfahrens gelöscht. Eine längere Aufbewahrung ist nur erlaubt, wenn sie zur Erfüllung des HinSchG oder anderer Rechtsvorschriften erforderlich und verhältnismäßig ist.

Quellen

Empfehlungen