Ein Hinweisgebersystem verarbeitet sehr sensible Daten: die Identität der hinweisgebenden Person, Vorwürfe gegen Kolleginnen und Kollegen und oft Hinweise auf Straftaten. Für die interne Meldestelle gelten deshalb zwei Regelwerke zugleich. Das Hinweisgeberschutzgesetz (HinSchG) regelt Vertraulichkeit, Dokumentation und Löschfrist. Die DSGVO regelt Information, Auskunft, Dienstleister und Sicherheit.
Wer eine interne Meldestelle braucht
Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten und betreiben (§ 12 Abs. 1 und 2 HinSchG). Für bestimmte Finanzunternehmen, etwa Kreditinstitute und Wertpapierdienstleister, gilt das unabhängig von der Größe (§ 12 Abs. 3 HinSchG).
Ein Handwerksbetrieb mit 60 Beschäftigten ist also verpflichtet. Er darf sich mit anderen Betrieben mit 50 bis 249 Beschäftigten eine gemeinsame Stelle teilen (§ 14 Abs. 2 HinSchG). Abhilfe und Rückmeldung bleiben aber seine eigene Pflicht. Die Meldestelle kann eine eigene Person, ein Team oder ein Dritter sein (§ 14 Abs. 1 HinSchG), unabhängig und fachkundig (§ 15 HinSchG).
Rechtsgrundlage für die Meldestelle
§ 10 HinSchG erlaubt den Meldestellen, personenbezogene Daten zu verarbeiten, soweit dies für ihre Aufgaben erforderlich ist. Für verpflichtete Unternehmen ist das eine rechtliche Verpflichtung im Sinne von Art. 6 Abs. 1 lit. c DSGVO. Auch besondere Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten, sind erlaubt, soweit erforderlich. Dann brauchen Sie Schutzmaßnahmen nach § 22 Abs. 2 Satz 2 BDSG, etwa Zugriffsbeschränkung, Protokollierung und Verschlüsselung.
Richten Unternehmen unter 50 Beschäftigten freiwillig einen Meldekanal ein, kommt vor allem das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO in Betracht.
Vertraulichkeit: Wer darf was sehen?
Die Meldestelle wahrt die Vertraulichkeit der Identität der hinweisgebenden Person, der beschuldigten Person und weiterer genannter Personen (§ 8 Abs. 1 HinSchG). Kennen darf sie nur, wer Meldungen bearbeitet oder dabei unterstützt. Ausnahmen regelt § 9 HinSchG, etwa im Strafverfahren. Für Folgemaßnahmen darf die Identität der hinweisgebenden Person nur mit ihrer Einwilligung in Textform weitergegeben werden, und zwar für jede einzelne Weitergabe gesondert (§ 9 Abs. 3 HinSchG).
| Phase | Wer sieht die Daten? | Was Sie datenschutzrechtlich tun |
|---|---|---|
| Eingang | nur die Meldestelle | Eingang spätestens nach 7 Tagen bestätigen (§ 17 Abs. 1 HinSchG), Meldung dokumentieren (§ 11 HinSchG) |
| Prüfung | Meldestelle und unterstützende Personen | Stichhaltigkeit prüfen, Identität nur nach § 9 HinSchG weitergeben |
| Folgemaßnahme | zusätzlich z. B. Geschäftsführung oder Fachabteilung | nur erforderliche Angaben weitergeben, Information der beschuldigten Person prüfen (Art. 14 DSGVO) |
| Abschluss | nur die Meldestelle | Rückmeldung spätestens 3 Monate nach Eingangsbestätigung (§ 17 Abs. 2 HinSchG), Löschfrist starten |
Technisch verlangt § 16 Abs. 2 HinSchG, dass nur die zuständigen Personen Zugriff auf eingehende Meldungen haben. Ein Gruppenpostfach, in das auch IT-Administration oder Personalabteilung schauen können, reicht nicht. Nutzen Sie ein eigenes, verschlüsseltes Postfach oder eine Meldeplattform mit Rollenkonzept, ohne Lesezugriff der Administration. Die DSK riet schon 2018, das System nicht in der Personalverwaltung zu betreiben.
Anonymes Hinweisgebersystem
Die interne Meldestelle sollte auch anonyme Meldungen bearbeiten. Eine Pflicht, den Kanal für anonyme Meldungen auszulegen, besteht aber nicht (§ 16 Abs. 1 HinSchG). Bieten Sie einen anonymen Kanal an, prüfen Sie, ob die Plattform IP-Adressen oder Gerätedaten speichert, die Rückschlüsse erlauben. Ein anonymes Postfach für Rückfragen hilft, die Rückmeldung nach § 17 HinSchG trotzdem zu geben.
Dokumentation und Löschfrist
Jede Meldung wird dauerhaft abrufbar dokumentiert (§ 11 Abs. 1 HinSchG). Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht. Länger aufbewahren dürfen Sie sie, um Anforderungen des HinSchG oder anderer Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist (§ 11 Abs. 5 HinSchG). Halten Sie solche Gründe im Löschkonzept fest, etwa ein laufendes Gerichtsverfahren.
Rechte der beschuldigten Person
Die beschuldigte Person erfährt von der Meldung nicht selbst. Sie ist deshalb grundsätzlich nach Art. 14 DSGVO zu informieren, spätestens innerhalb eines Monats (Art. 14 Abs. 3 lit. a DSGVO). Würde die Information die Aufklärung ernsthaft gefährden, dürfen Sie sie nach Art. 14 Abs. 5 lit. b DSGVO aufschieben, solange diese Gefahr besteht. Im Einzelfall kann § 33 Abs. 1 Nr. 2 lit. a BDSG greifen, dann halten Sie die Gründe schriftlich fest (§ 33 Abs. 2 BDSG). Die Identität der hinweisgebenden Person nennen Sie nicht, denn § 29 Abs. 1 Satz 1 BDSG schränkt die Informationspflicht insoweit ein.
Verlangt die beschuldigte Person Auskunft nach Art. 15 DSGVO, gilt Ähnliches. Die Auskunft entfällt, soweit sie Informationen offenbaren würde, die nach einer Rechtsvorschrift oder wegen überwiegender Interessen Dritter geheim bleiben müssen (§ 29 Abs. 1 Satz 2 BDSG). Eine Kopie darf die Rechte anderer nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Schwärzen Sie also Namen und identifizierende Details, statt die Auskunft ganz zu verweigern.
Ombudsperson, Plattform und Konzern
Stellt ein Anbieter nur die Meldeplattform bereit, ist er Auftragsverarbeiter, und Sie brauchen einen Vertrag nach Art. 28 DSGVO. Prüft eine Rechtsanwältin als Ombudsperson die Meldungen eigenverantwortlich, kann sie auch eigene Verantwortliche sein. Legen Sie die Rolle vertraglich fest. Die Pflicht, gegen Verstöße vorzugehen, bleibt in jedem Fall beim Unternehmen (§ 14 Abs. 1 Satz 2 HinSchG).
Eine Konzerntochter mit 300 Beschäftigten kann nach der Gesetzesbegründung (BT-Drs. 20/3442) eine zentrale Stelle bei der Muttergesellschaft als Dritten beauftragen. Die Abhilfe bleibt Sache der Tochter. Klären Sie zudem, ob die Mutter als Auftragsverarbeiter oder gemeinsam Verantwortlicher (Art. 26 DSGVO) handelt. Sitzt sie außerhalb der EU, brauchen Sie Garantien nach Art. 44 ff. DSGVO.
DSFA, Betriebsrat und Bußgelder
Die DSK hielt 2018 für Meldeverfahren eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO für erforderlich. Die gemeinsame Muss-Liste der Aufsichtsbehörden nennt Hinweisgebersysteme zwar nicht ausdrücklich, ist aber nicht abschließend. Vertrauliche Daten und mögliche Straftaten sprechen für ein hohes Risiko. Planen Sie die Datenschutz-Folgenabschätzung deshalb vor dem Start ein.
Der Betriebsrat kann je nach Ausgestaltung mitbestimmen, etwa bei Verhaltensregeln (§ 87 Abs. 1 Nr. 1 BetrVG) oder bei einer technischen Einrichtung (§ 87 Abs. 1 Nr. 6 BetrVG). Mehr dazu lesen Sie unter Betriebsrat und Datenschutz.
Wer keine interne Meldestelle betreibt, riskiert bis zu 20.000 Euro Bußgeld (§ 40 Abs. 2 Nr. 2 und Abs. 6 HinSchG). Wer die Vertraulichkeit vorsätzlich oder leichtfertig verletzt, riskiert bis zu 50.000 Euro, bei Fahrlässigkeit bis zu 10.000 Euro. Für Unternehmen verzehnfacht sich das Höchstmaß bei Vertraulichkeitsverstößen (§ 40 Abs. 6 HinSchG mit § 30 Abs. 2 Satz 3 OWiG). Daneben bleiben Bußgelder nach Art. 83 DSGVO möglich.
Checkliste für Ihre interne Meldestelle
- Pflicht prüfen: mindestens 50 Beschäftigte oder Finanzbranche
- Meldestelle benennen, Unabhängigkeit und Fachkunde sichern
- Kanal mit Rollenkonzept wählen, ohne Lesezugriff der Administration
- Vertrag nach Art. 28 DSGVO oder Rollenklärung mit Anbieter und Ombudsperson
- Datenschutzhinweise für Hinweisgeber und Vorlage für die Information nach Art. 14 DSGVO
- Löschkonzept mit drei Jahren nach Abschluss und dokumentierten Ausnahmen
- DSFA durchführen, Verarbeitungsverzeichnis ergänzen
- Betriebsrat früh einbinden
Datenkodex unterstützt als externer Datenschutzbeauftragter dabei, Löschkonzept, Informationstexte und DSFA für die interne Meldestelle digital aufzusetzen (Leistungen).