Ashio whistleblowing software

Sep 24, 2026

Vertraulichkeit vs. Anonymität bei Hinweisgebersystemen

Geschützte Arbeitsstation für vertrauliche Meldungen

Vertraulichkeit bedeutet, dass Ihre Identität befugten Personen bekannt ist und vor Dritten geschützt wird. Anonymität bedeutet, dass niemand Ihre Identität kennt, auch nicht die Meldestelle selbst. Rechtlich verpflichtend ist laut EU‑Richtlinie 2019/1937 nur die Vertraulichkeit. Und genau das schränkt oft die Ermittlungstiefe ein, denn ohne Rückfragen bleiben viele Hinweise unvollständig.

Kurz gesagt:

  • Vertraulichkeit ist gesetzlich verpflichtend, während echte Anonymität freiwillig ist und nur in bestimmten Fällen notwendig wird.
  • Ein vertraulicher Meldkanal erlaubt Rückfragen durch befugtes Personal, bei anonymen Kanälen ist der Kontakt nur über technische Umwege möglich.
  • Echte Anonymität lässt sich anhand eines Dreikriterien-Tests (No Record Isolation, No Linkage, No Inference) sicher bestimmen.
  • Pseudonymisierte Daten sind rechtlich weiterhin personenbezogen und unterliegen der DSGVO, auch wenn sie anonym erscheinen.
  • Organisationen sollten vertrauliche Kanäle grundsätzlich anbieten und nur bei konkreter Gefahr von Repressalien auch echte Anonymität ermöglichen.
Ashio
Sichere Meldungen anonym ermöglichen
Ashio bietet Unternehmen einen sicheren, anonymen Meldekanal mit Identitätsschutz, Audit Trail und Dashboard zur Verwaltung von Meldungen.
Ashio kennenlernen

Inhaltsverzeichnis

Vertraulichkeit, Anonymität und Pseudonymisierung: die Begriffe im Klartext

Die drei Begriffe werden in der Praxis ständig verwechselt, obwohl sie rechtlich völlig unterschiedliche Konsequenzen haben.

Vertraulichkeit heißt: Eine oder mehrere befugte Personen, etwa die interne Meldestelle, wissen, wer Sie sind. Diese Information darf aber nicht an Dritte weitergegeben werden, weder an Kollegen noch an die beschuldigte Person. Genau das regelt Artikel 16 der EU‑Richtlinie 2019/1937.

Anonymität heißt: Niemand, auch nicht die Meldestelle, kennt Ihre Identität. Damit das technisch stimmt, dürfen weder IP‑Adresse noch Metadaten, Schreibstil‑Fingerprints oder Zeitstempel eine Rückverfolgung ermöglichen.

Pseudonymisierung liegt dazwischen: Ihr Name wird durch ein Kürzel oder eine Ticket‑ID ersetzt, die Zuordnung bleibt aber irgendwo gespeichert. Rechtlich gelten pseudonymisierte Daten weiterhin als personenbezogen, wie der EDPB klarstellt.

In der Praxis zeigt sich der Unterschied so:

  • Ein internes Meldeformular mit Namensfeld, das nur der Compliance‑Beauftragte einsehen darf: vertraulich.
  • Ein Meldekanal ohne jede Identitätsabfrage und ohne IP‑Protokollierung: anonym.
  • Ein Chat mit pseudonymer Fall‑ID, bei dem im Hintergrund noch ein Zugangsprotokoll existiert: pseudonymisiert, nicht anonym.

Was schreibt das Gesetz wirklich vor?

Die EU‑Richtlinie 2019/1937 verpflichtet Mitgliedstaaten und Unternehmen zur Vertraulichkeit der Hinweisgeberidentität. Ob zusätzlich anonyme Meldungen ermöglicht werden müssen, liegt dagegen im Ermessen jedes einzelnen Mitgliedstaats, so Erwägungsgrund 34.

Deutschland hat diesen Spielraum genutzt, aber nicht ausgereizt. Das Hinweisgeberschutzgesetz verlangt in §8, dass Meldestellen die Vertraulichkeit wahren. Eine generelle Pflicht, Kanäle so zu bauen, dass technisch echte Anonymität möglich ist, besteht nicht. §16 HinSchG regelt zusätzlich, dass externe Meldestellen mündliche und schriftliche Meldewege anbieten müssen und der Zugriff auf befugtes Personal begrenzt bleibt.

Kurz gesagt: Vertraulichkeit ist Pflicht. Anonymität ist Kür, die Unternehmen freiwillig oben drauflegen können.

Die DSGVO greift an einer anderen Stelle ein. Echte anonyme Daten fallen gar nicht in ihren Anwendungsbereich, während pseudonymisierte Daten, also die meisten „anonymen“ Meldeformulare mit Ticket‑Nummer, weiterhin voll der DSGVO unterliegen, wie der EDPB bestätigt. Für die Praxis heißt das: Dokumentationspflichten, Löschfristen und Auskunftsrechte bleiben bei den meisten „anonymen“ Systemen bestehen, weil sie technisch eben nur pseudonym sind. Wer sein Hinweisgebersystem rechtssicher aufsetzen will, sollte diese Feinheit kennen, bevor er den Meldekanal als „vollständig anonym“ bewirbt. Mehr zu den konkreten Pflichten der Meldestellen finden Sie im Überblick zum Hinweisgeberschutzgesetz.

So laufen anonyme und vertrauliche Meldungen im Alltag ab

Der größte praktische Unterschied zeigt sich nicht beim Absenden der Meldung, sondern danach.

  1. Bei vertraulichen Meldungen kennt die Meldestelle Ihren Namen und kann gezielt nachfragen, etwa nach Datum, Zeugen oder Dokumenten.
  2. Bei echten anonymen Meldungen ist Rückfragen nur über technische Umwege möglich, etwa über ein verschlüsseltes Zwei‑Wege‑Postfach mit pseudonymer Fall‑ID, wie es Anbieter im Bereich Hinweisgeberschutz inzwischen anbieten.
  3. Ohne diese Rückkanal‑Technik bleiben viele anonyme Hinweise oberflächlich, weil niemand nachhaken kann, sobald Details fehlen.
  4. Ermittlungsteams berichten deshalb häufiger von geringerer Detailtiefe bei rein anonymen Eingängen als bei vertraulichen.

Profi-Tipp: Bauen Sie auch bei anonymen Kanälen einen Rückkanal ein, etwa über ein Ticket‑System mit Passwort. So bleibt die Identität geschützt, aber die Meldestelle kann trotzdem Rückfragen stellen und die Aufklärung deutlich verbessern.

Zugriffsrechte gehören ebenso zur Praxis wie die Meldung selbst. Nur wer zur Fallbearbeitung befugt ist, darf auf Klartextdaten zugreifen, jede Einsicht sollte protokolliert werden, und die gesamte Fallakte muss revisionssicher, also nachträglich unveränderbar, dokumentiert sein.

Darstellung von Zugriffsprotokollierung und Fallakten

Wann gelten Daten wirklich als anonym?

Ob eine Meldung wirklich anonym ist, lässt sich nicht per Gefühl beurteilen. Der EDPB empfiehlt dafür einen Dreikriterien‑Test:

  • No Record Isolation: Kann ein einzelner Datensatz innerhalb des Systems isoliert und einer Person zugeordnet werden?
  • No Linkage: Lassen sich Datensätze verschiedener Quellen verknüpfen und so die Identität rekonstruieren?
  • No Inference: Kann man aus den vorhandenen Informationen mit hoher Wahrscheinlichkeit auf eine Person schließen?

Erfüllt ein System alle drei Kriterien, gilt die Meldung als echt anonym. Fällt eines davon durch, etwa weil Schreibstil und Abteilungszugehörigkeit zusammen die Person verraten, handelt es sich bestenfalls um Pseudonymisierung.

Wichtig dabei: Anonymität ist relativ zum Betrachter. Eine Meldung kann für die externe Öffentlichkeit anonym wirken und für die interne IT‑Abteilung, die Logfiles einsehen kann, trotzdem re‑identifizierbar bleiben. Der EDPB nennt das den kontextabhängigen Bewertungsansatz im Gegensatz zur vereinfachten Prüfung.

Anonymisierung nimmt Betroffenen zwar rechtlichen Schutz, den die DSGVO an personenbezogene Daten knüpft. Wer diesen Schritt geht, sollte vorher prüfen, ob eine Datenschutz‑Folgenabschätzung nach Art. 35 DSGVO nötig ist, wie datenschutzrechtliche Stellungnahmen betonen.

Organisationen, die Anonymisierung anbieten wollen, sollten diese Prüfung nicht einmalig, sondern regelmäßig wiederholen. Neue Datenquellen oder zusätzliche Auswertungen können aus einer bisher anonymen Meldung plötzlich eine identifizierbare machen.

So gestalten Unternehmen ihre Meldekanäle richtig

Die Entscheidung zwischen vertraulich und anonym sollte nicht willkürlich fallen, sondern einer klaren Logik folgen.

  1. Bieten Sie standardmäßig einen vertraulichen Kanal an, weil er gesetzlich verpflichtend ist und die beste Ermittlungsqualität liefert.
  2. Ergänzen Sie eine echte anonyme Option, wenn Repressalien realistisch drohen, zum Beispiel in kleinen Teams mit wenigen möglichen Verdächtigen.
  3. Beschränken Sie den Zugriff auf Klartextdaten technisch und organisatorisch auf die zuständige Meldestelle, mit Verschlüsselung und lückenlosem Audit‑Trail.
  4. Kommunizieren Sie offen, was Anonymität tatsächlich leisten kann und wo ihre Grenzen liegen, etwa bei Rückfragen.
  5. Überwachen Sie gesetzliche Fristen automatisiert, insbesondere Rückmelde- und Abschlussfristen, ohne konkrete Zeitangaben zu nennen.

Profi-Tipp: Erklären Sie Mitarbeitenden in einfachen Worten den Unterschied zwischen „wir kennen Ihren Namen, geben ihn aber nicht weiter“ und „wir kennen Ihren Namen gar nicht“. Diese Klarheit erhöht die Meldebereitschaft messbar, weil Unsicherheit über den eigenen Schutz die größte Hemmschwelle ist.

Für kleinere Organisationen, die zum ersten Mal ein Meldesystem aufbauen, lohnt sich ein Blick auf die praktischen Anforderungen und Kosten, etwa im Leitfaden zu Hinweisgebersystemen für KMU. Wer zusätzlich klären muss, wer die interne Meldestelle überhaupt besetzen darf, findet dazu Hintergrund im Beitrag zur Besetzung interner Meldestellen.

Wie eine Plattform Vertraulichkeit und echte Anonymität technisch umsetzt

Eine spezialisierte Lösung zeigt, wie sich beide Prinzipien in einem System vereinen lassen, ohne dass eines das andere aushöhlt. So wird ein anonymes Meldeformular ohne IP‑Tracking angeboten, sodass technische Rückverfolgung ausgeschlossen ist, kombiniert mit einem vollständigen Audit‑Trail für die interne Nachweisführung. Melder können den Status ihrer Meldung in Echtzeit verfolgen, ohne dabei ihre Identität offenlegen zu müssen.

Auf der Betriebsseite kommen dazu:

  • Datenspeicherung an einem sicheren Standort mit anerkanntem Sicherheitsstandard.
  • Rollenbasierte Zugriffsrechte, damit nur befugtes Personal Falldetails einsehen kann.
  • Revisionssichere Dokumentation, die sich direkt in bestehende Compliance‑Prozesse einbinden lässt.

Details zur technischen Umsetzung eines anonymen Kanals nach HinSchG‑Vorgaben stehen im Beitrag zum anonymen Hinweisgebersystem.

Redaktionelle Einordnung: Wann welche Option zählt

Anonymität rechtfertigt sich vor allem, wenn reale Repressalien drohen, etwa in kleinen Abteilungen, wo jeder weiß, wer wann welche Aufgabe hatte. Vertraulichkeit liefert dagegen fast immer die besseren Ermittlungsergebnisse, weil Rückfragen möglich bleiben. Die klügste Lösung ist selten ein Entweder‑Oder, sondern ein System, das beide Wege anbietet und den Unterschied den Mitarbeitenden ehrlich erklärt, statt Anonymität zu versprechen, die technisch gar nicht existiert.

Quellen

FAQ

Was versteht man unter Vertraulichkeit?

Vertraulichkeit bedeutet, dass eine befugte Stelle Ihre Identität kennt, diese Information aber nicht an Dritte weitergibt. Nach Art. 16 der EU‑Richtlinie 2019/1937 ist das für Hinweisgebersysteme in der EU verpflichtend.

Was versteht man unter Anonymität?

Anonymität bedeutet, dass niemand, auch nicht die Meldestelle selbst, Ihre Identität kennt oder rekonstruieren kann. Technisch erfordert das den Verzicht auf IP‑Protokollierung, Metadaten und andere Rückverfolgungsspuren.

Ist man im Internet wirklich anonym?

Vollständige Anonymität im Internet ist selten, weil Metadaten, Browser‑Fingerprints oder Verhaltensmuster oft eine Rückverfolgung ermöglichen. Anonymität hängt stark vom jeweiligen Bedrohungsmodell und den technischen Schutzmaßnahmen ab, wie Analysen zur digitalen Anonymität zeigen.

Muss ein Meldekanal immer anonyme Meldungen ermöglichen?

Nein. Das HinSchG verlangt Vertraulichkeit, nicht zwingend technische Anonymität. Unternehmen können anonyme Kanäle zusätzlich anbieten, sind dazu aber gesetzlich nicht verpflichtet.

Was ist der Unterschied zwischen anonymen und pseudonymisierten Daten?

Anonyme Daten lassen keine Rückführung auf eine Person zu und fallen deshalb nicht unter die DSGVO. Pseudonymisierte Daten, etwa Meldungen mit Ticket‑ID, bleiben personenbezogen und unterliegen weiterhin der vollen DSGVO.

Empfehlungen