Ashio whistleblowing software

Oct 15, 2026

Verfahrensverzeichnis der Meldestelle: Pflichtangaben und Vorlagen

Die verantwortliche Person überprüft die Unterlagen zum Verfahrensverzeichnis

Ihre Meldestelle braucht ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO. Es muss mindestens Zweck, Kategorien betroffener Personen und Daten, Empfänger, Löschfristen sowie technische und organisatorische Maßnahmen nennen. Für besondere Datenkategorien liefert § 10 HinSchG die Befugnis, verlangt aber angemessene Schutzmaßnahmen.

Kurz gesagt:

  • Als Richtwert gilt, dass unbegründete Meldungen unverzüglich gelöscht werden sollen und geprüfte Fälle etwa zwei Monate nach Abschluss, sofern kein Verfahren längere Speicherung erfordert.
  • Benennen Sie Maßnahmen für das Hinweisgebersystem, etwa verschlüsselte Meldungen und Anhänge, keine Speicherung von IP-Adressen, rollenbeschränkten Zugriff und getrennte technische Infrastruktur.
  • Trennen Sie Fallbearbeitung und Personalverwaltung; legen Sie Zuständigkeiten schriftlich fest, denn ein Interessenkonflikt entsteht, wenn der Datenschutzbeauftragte die Folgenabschätzung erstellt und die Meldestelle überwacht.
  • Aktualisieren Sie das Verzeichnis bei Änderungen an Abläufen oder Dienstleistern sofort und prüfen Sie vierteljährlich Fristen, Empfänger sowie Schutzmaßnahmen; archivieren Sie frühere Fassungen.
  • Öffentliche Stellen müssen das Verzeichnis schriftlich oder elektronisch führen und auf Anfrage bereitstellen; externe Meldestellen und Datenempfänger gehören als eigene Einträge hinein.
Ashio
Meldungen sicher und nachvollziehbar verwalten
Ashio schützt die Identität meldender Personen und bietet einen Audit-Trail sowie ein Dashboard zur Verwaltung und Nachverfolgung von Meldungen.
Ashio kennenlernen

Inhaltsverzeichnis

Welche Pflichtangaben gehören in das Verzeichnis einer Meldestelle?

Für das Verzeichnis einer Meldestelle sind Zweck, Kategorien, Empfänger, Löschfristen und Schutzmaßnahmen zwingend. Das Dokument dient zugleich als Nachweis Ihrer Rechenschaftspflicht. Was heißt das konkret für Ihre Einträge?

  • Zweck und Rechtsgrundlage: „Entgegennahme und Prüfung von Hinweisen zu Compliance-Verstößen“. Tragen Sie die jeweils einschlägige Rechtsgrundlage ein. Bei besonderen Kategorien personenbezogener Daten beachten Sie zusätzlich § 10 HinSchG in Verbindung mit Art. 9 DSGVO.
  • Betroffene Personen: hinweisgebende Personen, beschuldigte Personen, Zeugen.
  • Datenkategorien: Sachverhaltsschilderung, Kontaktdaten (falls freiwillig angegeben), Angaben zu Vorgängen und Beteiligten.
  • Empfänger: Mitglieder der Meldestelle, Geschäftsleitung bei Folgemaßnahmen, externe Dienstleister, Behörden.
  • Löschfristen: konkrete Zeiträume je Fallart, nicht bloß „nach Erforderlichkeit“.
  • TOM: Verweis auf Ihr Sicherheitskonzept.
  • Verantwortlicher: Name, Kontaktdaten, gegebenenfalls Datenschutzbeauftragter.

Ergänzend schreibt § 70 BDSG für öffentliche Stellen vor, das Verzeichnis schriftlich oder elektronisch zu führen und auf Anfrage bereitzustellen. Arbeiten Sie mit einer externen Meldestelle oder übermitteln Sie Daten an Dritte, kommen der Dienstleister und die Übermittlungsempfänger als eigene Zeilen dazu.

Welche Vorlagen und Formate eignen sich zum Start?

Die Datenschutzbehörden haben abgestimmte Mustervorlagen zu Art. 30 DSGVO veröffentlicht. Der BfDI bietet außerdem Muster und Hinweise nach § 70 BDSG. Das Format wählen Sie nach Größe Ihrer Organisation.

  • Zentrale Excel-Tabelle: schnell, übersichtlich, ideal für eine Meldestelle mit wenigen Verarbeitungstätigkeiten. Schwach bei Versionierung und Detailtiefe.
  • Einzeldokument je Verfahren: Platz für Prüfvermerke, Anlagen und DSFA-Verweise. Dafür aufwendiger zu pflegen und schwerer zu überblicken.
  • Mischform: Kurzzeile in der Tabelle, Details im verlinkten Dokument.

Ein brauchbares Template enthält die Pflichtfelder in Kurzform plus ein Freitextfeld für Prüfvermerke. Dann geht es in drei Schritten weiter: Vorlage an Ihre Meldestelle anpassen, eine verantwortliche Person benennen, das Verzeichnis erstmals befüllen. Wer HR-Prozesse berührt, gleicht die Einträge mit den Regeln aus dem Datenschutz im Recruiting ab.

Welche technischen und organisatorischen Maßnahmen gehören hinein?

Die Aufsichtsbehörden verlangen für Whistleblowing-Systeme besonders strikte Maßnahmen, vor allem beim Schutz vor unbefugtem Zugriff. Tragen Sie im Verzeichnis nicht nur „TOM vorhanden“ ein, sondern benennen Sie die Maßnahmen.

  • Ende-zu-Ende-Verschlüsselung der Meldungen und Anhänge
  • keine IP-Protokollierung, keine Cookies für Melder
  • rollenbasiertes Zugriffskonzept, das nur die Meldestelle auf Fälle zugreifen lässt
  • Audit-Trail mit revisionssicherem Export als Nachweis
  • Trennung der technischen Infrastruktur vom übrigen Unternehmen, wie es auch der BfDI empfiehlt

Wie Anonymität technisch umgesetzt wird, beschreiben wir auf unserer Seite zur anonymen Meldesoftware.

Profi-Tipp: Verweisen Sie im Verzeichnis auf ein separates TOM-Dokument mit Versionsnummer. So müssen Sie bei Sicherheitsupdates nicht jede Zeile ändern, und der Nachweis bleibt trotzdem eindeutig.

Wie regeln Sie Löschung und Aufbewahrung?

Entscheidend ist nicht die physische Löschung, sondern das Ergebnis: Die Daten dürfen nach Ablauf der Erforderlichkeit nicht mehr verarbeitbar sein. Das Standard-Datenschutzmodell macht deutlich, dass eine bloße Sperrung oft nicht ausreicht. Die Behörden nennen als Orientierungswert die unverzügliche Löschung unbegründeter Meldungen und eine Löschung etwa zwei Monate nach Abschluss geprüfter Fälle. Länger speichern dürfen Sie nur, wenn rechtliche Verfahren das erfordern.

  • Fristen je Fallart ins Verzeichnis eintragen, mit kurzer Begründung
  • jeden Löschvorgang samt Datum und Grund dokumentieren
  • Löschmoratorien und Verarbeitungsbeschränkungen sauber vermerken, wie es die Entschließung der DSK nahelegt
  • Verantwortliche Person und Prüfintervall für die Löschroutine festlegen

Wer ist in der Meldestelle wofür zuständig?

Tragen Sie alle beteiligten Rollen ein: Meldestellenbeauftragte, Verantwortliche, Datenschutzbeauftragte und externe Dienstleister. Wer als Meldestelle überhaupt infrage kommt, erklären wir in unserem Beitrag Wer kann interne Meldestelle sein?.

Kritisch ist die Rollentrennung. Ein Interessenkonflikt droht, wenn die Datenschutzbeauftragte die Folgenabschätzung erstellt und danach die Meldestelle überwacht. Legen Sie früh fest, wer implementiert, wer verantwortet und wer prüft.

  • Kontaktpersonen und Kommunikationswege im Verzeichnis nennen
  • Personalverwaltung nicht in die Fallbearbeitung einbinden
  • Vertretungen schriftlich regeln

Wann brauchen Sie eine Datenschutz-Folgenabschätzung?

Meldesysteme können sensible Daten über Verdachtsfälle verarbeiten und Folgen für Betroffene haben. Prüfen Sie, ob für Ihr Meldesystem eine Datenschutz-Folgenabschätzung erforderlich ist. Die Kernrisiken sind Vertraulichkeit, Nichtverkettung der Daten, Wiedererlangbarkeit und Schäden für beschuldigte oder meldende Personen.

Vier zentrale Risiken der Datenschutz-Folgenabschätzung

Das Verzeichnis muss die DSFA nicht ersetzen. Es verweist auf sie: Tragen Sie Datum, Version, Ergebnis und Speicherort als Anhangseintrag ein. Hintergrund zu Aufbau und Datenarten finden Sie in unserer Einführung zum Hinweisgebersystem.

Wie pflegen Sie das Verzeichnis dauerhaft?

Ein Verzeichnis, das nach der Erstbefüllung liegen bleibt, hilft bei der Prüfung nicht. Die Aufsichtsbehörde kann es jederzeit anfordern, und dann muss es aktuell sein.

  1. Bei jeder Prozess- oder Dienstleisteränderung das Verzeichnis sofort anpassen.
  2. Quartalsweise prüfen, ob Fristen, Empfänger und TOM noch stimmen.
  3. Ein Änderungsprotokoll führen: wer hat was wann geändert.
  4. Frühere Versionen archivieren.
  5. Nachweise bereithalten: TOM-Dokument, DSFA, Löschprotokolle, Rollenübersicht.

Häufige Fehler, schnelle Verbesserungen

Unsere Einschätzung: Die meisten Verzeichnisse scheitern nicht an fehlendem Wissen, sondern an Pauschalität. „Löschung nach Erforderlichkeit“ oder „TOM nach Stand der Technik“ sagt einer Prüferin nichts. Wer konkrete Fristen, benannte Maßnahmen und eine klare Rollentrennung einträgt, hat den größten Teil erledigt. Messen Sie die Qualität daran, ob eine fremde Person ohne Rückfrage nachvollziehen kann, was mit einem Hinweis geschieht. Eine gute Plattform nimmt Ihnen dabei viel Dokumentationsarbeit ab.

Wie unterstützen wir Ihre Dokumentation?

Mit Ashio nutzen Sie Audit-Trail und Fristen und exportieren den Audit-Trail revisionssicher für Ihr Verzeichnis. Anonyme Meldungen und strukturierte Fallbearbeitung gehören dazu. Wie das für Ihre Organisation aussieht, zeigen wir Ihnen gern auf unserer Seite zur EU-Whistleblowing-Compliance. Starten Sie mit dem Plan Basic für 29 € pro Monat: Ashio.

Wie unterstützen wir Ihre Dokumentation? — overview diagram

FAQ

Muss der Datenschutzbeauftragte im Verzeichnis namentlich genannt werden?

Ja, soweit ein Datenschutzbeauftragter benannt ist, gehören seine Kontaktdaten zu den Angaben über den Verantwortlichen. Eine Funktionsbezeichnung mit erreichbarer Adresse genügt häufig, ein Personenname ist nicht zwingend.

In welchem Zeitraum muss eine Datenschutzverletzung gemeldet werden?

Eine meldepflichtige Verletzung melden Sie unverzüglich an die zuständige Aufsichtsbehörde. Das ist eine Regel der DSGVO, die nicht aus dem Verzeichnis folgt. Dokumentieren Sie den Vorfall und das Ergebnis Ihrer Risikoabwägung trotzdem sauber.

Welche Angaben lassen sich dem Verzeichnis entnehmen?

Zweck, Kategorien betroffener Personen und Daten, Empfänger, Löschfristen und TOM sowie den Verantwortlichen. Damit zeigen Sie Ihre Rechenschaftspflicht gegenüber der Aufsicht.

Ist das alte Verfahrensverzeichnis dasselbe wie das Verzeichnis von Verarbeitungstätigkeiten?

Nicht ganz. Das frühere Verfahrensverzeichnis wurde mit dem Inkrafttreten der DSGVO am 25. Mai 2018 vom Verzeichnis von Verarbeitungstätigkeiten abgelöst. Im Alltag benutzen viele beide Begriffe synonym.

Quellen

Offizielle Leitfäden, Mustervorlagen und Gesetze zur Weiterarbeit

Mit diesen Primärquellen prüfen Sie die Rechtsgrundlagen und finden Muster.

Empfehlungen