DSFA für HinSchG-Meldestelle: 7-Schritt-Vorlage

Hauptartikel: HinSchG-Vertraulichkeitskonzept nach § 8 — welche drei Personengruppen § 8 Abs. 1 HinSchG schützt und wie Rollenkonzept, Technik und Audit-Trail die Vertraulichkeit absichern.

Die 7 Schritte im Überblick

Kurzantwort: Die Vorlage arbeitet die DSFA in sieben Schritten ab — von der Beschreibung der Verarbeitung bis zur Neubewertung. Die Nummerierung ist die Praxisstruktur dieses Beitrags und keine gesetzliche Gliederung; die dritte Spalte nennt die Normen, die der jeweilige Schritt auswertet — wo keine Norm steht, handelt es sich um eine Praxisempfehlung. Die vierte Spalte nennt, was im DSFA-Dokument entsteht.

1. Beschreibung: Kanäle, Felder, Empfängerkreis, Rechtsgrundlage

Kurzantwort: Schritt 1 beschreibt die Verarbeitung so konkret, dass eine prüfende Stelle sie ohne Rückfragen nachvollziehen kann. Meldestellen-Software, Anbieter, Eingangskanäle, Datenfluss.

Halten Sie je Kanal fest, welche Felder erhoben werden. In Deutschland verlangt § 16 Abs. 3 Satz 1 HinSchG Meldungen in mündlicher oder in Textform; wird der mündliche Kanal angeboten, muss er per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein (Satz 2), und auf Ersuchen der hinweisgebenden Person ist innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft zu ermöglichen (Satz 3). Jeder Kanal erzeugt eigene Datenspuren — Formulardatensatz, Sprachnachricht, Gesprächsprotokoll —, die einzeln zu beschreiben sind.

Der Empfängerkreis ist eng gezogen: Die Identität darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden (§ 8 Abs. 1 HinSchG). In Österreich schützt § 7 Abs. 1 HSchG die Identität einschließlich aller Informationen, aus denen sie direkt oder indirekt abgeleitet werden kann.

Zur Beschreibung gehört die Rechtsgrundlage: Benennen Sie je Verarbeitungsschritt, auf welchen der sechs Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO Sie sich stützen. Praxisempfehlung: Stützen Sie den laufenden Meldestellen-Betrieb nicht auf eine Einwilligung — sie ist nach Art. 7 Abs. 3 DSGVO jederzeit widerrufbar, und der Widerruf muss so einfach sein wie die Erteilung.

Die Fristen des Verfahrens gehören in dieselbe Beschreibung. Alle Zeilen der folgenden Tabelle sind gesetzliche Fristen, keine Praxiswerte:

2. Notwendigkeit + Verhältnismäßigkeit: warum Software und warum genau diese Felder

Kurzantwort: Schritt 2 begründet nicht, ob eine Meldestelle betrieben wird — das ist in Deutschland ab in der Regel 50 Beschäftigten Pflicht (§ 12 Abs. 1 Satz 1 i. V. m. Abs. 2 HinSchG), in Österreich ab 50 Arbeitnehmern oder Bediensteten (§ 3 Abs. 1 i. V. m. § 11 Abs. 1 HSchG) —, sondern warum sie in genau diesem Zuschnitt betrieben wird. Zu begründen ist, warum eine Softwarelösung erforderlich ist und keine schlankere Alternative genügt — und je Formularfeld, warum es erhoben wird: Pflichtfelder nur dort, wo die Bearbeitung ohne die Angabe nicht möglich ist.

Der Umfang der verarbeiteten Sachverhalte folgt dem sachlichen Anwendungsbereich, und der ist national verschieden. In Deutschland erfasst § 2 Abs. 1 Nr. 1 bis 3 HinSchG strafbewehrte Verstöße, bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient, sowie zahlreiche aufgezählte Bundes-, Landes- und EU-Vorschriften. In Österreich ist der Bereich enger: § 3 Abs. 3 HSchG nennt im Wesentlichen die EU-Bereiche zuzüglich der Korruptionsdelikte nach §§ 302 bis 309 StGB. Eine österreichische Meldestelle kann ihren Datenkorpus damit enger begründen als eine deutsche.

Auch die Kanalarchitektur ist ein Verhältnismäßigkeits-Argument. Nach § 16 Abs. 3 Satz 1 HinSchG besteht in Deutschland ein Wahlrecht zwischen mündlicher Form und Textform; zwingend hinzu kommt allein die persönliche Zusammenkunft auf Ersuchen (Satz 3). Drei parallele Kanäle sind verbreiteter Praxisstandard, keine gesetzliche Pflicht. Anonyme Meldungen sollte die interne Meldestelle bearbeiten (§ 16 Abs. 1 Satz 4 HinSchG); eine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen, besteht nach Satz 5 nicht. Wer den anonymen Eingang dennoch anbietet, erhebt weniger identifizierende Daten — das ist in Schritt 2 als Minimierungsargument dokumentierbar.

3. Risiko-Identifikation: Identitätsbruch, Repressalie, Art.-9-Daten, Drittland

Kurzantwort: Schritt 3 benennt die Schäden, die den betroffenen Personen drohen: Identitäts-Bruch (§ 8 HinSchG), Repressalien-Folgen, Sondersensible Daten (Art. 9), Drittland-Risiko.

Der Identitätsbruch trifft in Deutschland drei Gruppen zugleich: die hinweisgebende Person, die von einer Meldung betroffenen Personen und die sonstigen in der Meldung genannten Personen (§ 8 Abs. 1 HinSchG). In Österreich erstreckt § 7 Abs. 1 HSchG den Schutz ausdrücklich auf alle Informationen, aus denen die Identität direkt oder indirekt abgeleitet werden kann — ein Maßstab, an dem sich Feldstruktur, Freitextfelder, Datei-Anhänge und Exportfunktionen messen lassen müssen.

Die typische Folge eines Bruchs ist die Repressalie — die Whistleblower-Richtlinie nennt beispielhaft Suspendierung, Kündigung, Herabstufung, Versagung einer Beförderung, Änderung des Arbeitsortes und Minderung des Entgelts (Art. 19 RL (EU) 2019/1937). In Deutschland sind gegen hinweisgebende Personen gerichtete Repressalien einschließlich Androhung und Versuch verboten (§ 36 Abs. 1 HinSchG); in Österreich sind Maßnahmen, die in Vergeltung eines berechtigten Hinweises erfolgen, rechtsunwirksam (§ 20 Abs. 1 HSchG). Bewertet wird jedes Risiko deshalb zweidimensional (Praxisempfehlung): nach der Eintrittswahrscheinlichkeit und nach der Schwere für die betroffene Person. Für beide Achsen genügt eine dreistufige Skala (Praxisempfehlung, keine gesetzliche Vorgabe). Eintrittswahrscheinlichkeit: gering — nur bei zusätzlichem Fehlverhalten oder einem Angriff denkbar; mittel — über eine bekannte Schwachstelle des laufenden Betriebs möglich; hoch — im Normalbetrieb angelegt, etwa weil ein Kanal ohne Zugriffsbeschränkung ausgewertet wird. Schwere: gering — für die betroffene Person folgenlos korrigierbar; mittel — mit Aufwand korrigierbar; hoch — irreversibel oder existenzrelevant. Als hohes Restrisiko im Sinne von Schritt 5 gilt in dieser Vorlage jede Kombination, in der eine Achse „hoch“ erreicht und die andere mindestens „mittel“ ist. Beim Identitätsbruch ist die Schwere nach dieser Skala hoch, weil die eben genannte Repressalie Arbeitsplatz und Einkommen trifft und sich nicht rückgängig machen lässt. An dieser Bewertung entscheidet sich, ob nach den Maßnahmen aus Schritt 4 noch ein hohes Restrisiko verbleibt — und damit, ob Schritt 5 ausgelöst wird.

Meldungen können besondere Kategorien personenbezogener Daten enthalten, etwa Gesundheitsdaten, Gewerkschaftszugehörigkeit oder religiöse und weltanschauliche Überzeugungen; deren Verarbeitung ist nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt und nur über die engen Ausnahmen des Absatzes 2 zulässig. Praxis: Freitextfelder und Anhänge sind deshalb der kritischste Teil der Verarbeitung, weil sich dort nicht vorab steuern lässt, welche Datenkategorien eingehen. Für das Drittland-Risiko dokumentieren Sie Hosting-Standort, Support-Zugriffe und Sub-Auftragsverarbeiter des Anbieters. Ergibt die Erhebung Zugriffe aus einem Drittland — typischerweise Fernwartung oder Support —, ist das kein bloßer Dokumentationspunkt mehr, sondern ein eigener Risikoposten in Schritt 3 und braucht in Schritt 4 eine benannte Maßnahme (Praxisempfehlung: vertragliche Zugriffsbeschränkung, EU-only-Support-Option, Verschlüsselung ohne Schlüsselzugriff des Anbieters).

4. Schutzmaßnahmen: je Risiko eine benannte Maßnahme

Kurzantwort: Schritt 4 ordnet jedem Risiko aus Schritt 3 eine benannte Maßnahme zu: Rollenkonzept mit Zugriffsbeschränkung, Verschlüsselung, Audit-Log, Auftragsverarbeitungsvertrag, Schulung, Verschwiegenheits-Erklärungen.

Das Rollenkonzept bildet den gesetzlichen Empfängerkreis ab: zuständige und unterstützende Personen (§ 8 Abs. 1 HinSchG). In Österreich flankiert § 7 Abs. 2 HSchG das zusätzlich — wird der Inhalt eines Hinweises anderen als den zuständigen Mitarbeitern bekannt, ist diesen die Bekanntgabe des Inhalts oder der Identität untersagt. Praxis: Trennung von Meldestelle und Personalabteilung, verschlüsselte Speicherung der Meldungen und ein Audit-Trail aller Zugriffe. Praxis: Diese Trennung ist eine Berechtigungs- und keine Organigramm-Frage — HR-Rollen erhalten keinen Lesezugriff auf Meldungsinhalte und werden erst mit dem Ergebnis einer Folgemaßnahme befasst. In dieselbe Zuordnungstabelle gehören EU-Hosting und die übrigen Maßnahmen zum Drittland-Risiko, die in Schritt 3 genannt sind (Praxisempfehlung). Ebenfalls Praxisempfehlung: die unterstützenden Personen schriftlich auf die Vertraulichkeit nach § 8 Abs. 1 HinSchG (Österreich: § 7 Abs. 2 HSchG) verpflichten und diese Verschwiegenheits-Erklärungen als Nachweis zur DSFA-Anlage nehmen.

Verschlüsselung wirkt dabei doppelt. Sie senkt das Risiko und kann im Ernstfall die Benachrichtigung der betroffenen Personen entbehrlich machen: Nach Art. 34 Abs. 3 DSGVO ist sie nicht erforderlich, wenn geeignete technische und organisatorische Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden. Davon zu trennen ist die Meldung an die Aufsichtsbehörde: Art. 33 Abs. 1 DSGVO verlangt sie unverzüglich und möglichst binnen 72 Stunden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Wer Software oder Betrieb einkauft, darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO), und braucht einen Vertrag mit dem Mindestinhalt des Art. 28 Abs. 3 DSGVO: Gegenstand und Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen. Für die Schulung verlangt § 15 Abs. 2 HinSchG in Deutschland die notwendige Fachkunde der beauftragten Personen — eine juristische Ausbildung ist damit nicht gefordert; ein Umfang von fünf bis acht Unterrichtseinheiten mit Nachweis ist Praxisstandard.

5. Konsultation: nur bei verbleibendem hohem Risiko

Kurzantwort: Schritt 5 wird nur ausgelöst, wenn nach den Maßnahmen aus Schritt 4 ein hohes Restrisiko bleibt — dann ist nach Art. 36 DSGVO die zuständige Datenschutz-Aufsichtsbehörde zu konsultieren.

Die deutsche Zuständigkeitsteilung steht in zwei Normen: § 40 Abs. 1 BDSG weist den nach Landesrecht zuständigen Behörden die Aufsicht über die nichtöffentlichen Stellen zu, § 9 Abs. 1 BDSG dem oder der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit die Aufsicht über die öffentlichen Stellen des Bundes sowie über bestimmte Anbieter von Telekommunikationsdiensten. In Österreich ist die Datenschutzbehörde nach § 18 Abs. 1 DSG als nationale Aufsichtsbehörde im Sinne des Art. 51 DSGVO eingerichtet; für Meldestellen-Verarbeitungen innerhalb des § 8 Abs. 1 bis 12 HSchG stellt sich die Frage nach der Konsultation von vornherein nur eingeschränkt, weil dort schon die DSFA entfällt (§ 8 Abs. 13 HSchG).

Praxisempfehlung: Bewerten Sie das Restrisiko mit der dreistufigen Skala aus Schritt 3 (Eintrittswahrscheinlichkeit und Schwere je gering/mittel/hoch) und lösen Sie die Konsultation entlang der dort genannten Schwelle aus. Halten Sie die Entscheidung gegen eine Konsultation mit Datum, Begründung und verantwortlicher Person fest. Ohne diesen Vermerk lässt sich später nicht belegen, dass Schritt 5 überhaupt durchlaufen wurde.

6. Aufbewahrung: drei Jahre (DE) bzw. fünf Jahre (AT)

Kurzantwort: In Deutschland ist die Dokumentation drei Jahre nach Abschluss des Verfahrens zu löschen (§ 11 Abs. 5 HinSchG), in Österreich sind personenbezogene Daten fünf Jahre ab der letztmaligen Verarbeitung aufzubewahren (§ 8 Abs. 11 HSchG). Längere Aufbewahrung in Deutschland nur, soweit erforderlich und verhältnismäßig. Audit-Logs separat länger aufbewahren bei Bedarf. Österreich: Dokumentation nach § 9 HSchG; Protokolldaten drei Jahre über den Entfall der Aufbewahrungspflicht hinaus (§ 8 Abs. 12 HSchG) — nicht § 11 HinSchG.

Praxisempfehlung für Deutschland: Setzen Sie das Löschkonzept nicht kürzer als drei Jahre an. Die Verfolgungsverjährung für Ordnungswidrigkeiten richtet sich nach der angedrohten Höchstbuße — sie beträgt drei Jahre bei den mit mehr als 15.000 Euro bedrohten Tatbeständen des § 40 HinSchG (§ 31 Abs. 2 Nr. 1 OWiG) und zwei Jahre beim fahrlässigen Vertraulichkeitsverstoß mit einer Höchstbuße von 10.000 Euro (§ 31 Abs. 2 Nr. 2 OWiG). Die dreijährige Löschfrist des § 11 Abs. 5 HinSchG passt zu diesem Zeitraum — sie läuft ab Abschluss des Verfahrens und ist damit an ein anderes Ereignis geknüpft als die Verjährungsfrist.

In die DSFA gehört außerdem, wer löscht und wie die Löschung nachgewiesen wird. Verfahrensakte, Audit-Log, Backups und Exportkopien haben in der Praxis unterschiedliche Lebenszyklen; jede dieser Ablagen braucht eine eigene Zeile im Löschkonzept, sonst überlebt die Meldung ihre gesetzliche Frist im Backup.

7. Re-Evaluation jährlich

Kurzantwort: Der Jahresrhythmus dieser Überschrift ist eine Praxisempfehlung; ausgelöst wird die Neubewertung in der Sache durch Ereignisse. Update bei Software-Wechsel, Vorfall, Gesetzesänderung.

Anlässe, bei denen die DSFA nachgezogen werden sollte (Praxisempfehlung): Wechsel des Anbieters oder der Hosting-Region, neue oder abgeschaltete Meldekanäle, Änderung des zugriffsberechtigten Personenkreises, Auslagerung der Meldestellen-Aufgaben an einen Dritten und jeder Sicherheitsvorfall mit Bezug zu Meldedaten. Ist der Vorfall zugleich eine Verletzung des Schutzes personenbezogener Daten, kann er die Meldepflicht nach Art. 33 Abs. 1 DSGVO auslösen (Einschränkung siehe Schritt 4) — die Fortschreibung der DSFA gehört dann in dieselbe Nachbereitung.

Beim Auslöser „Gesetzesänderung“ zählt die tatsächliche Rechtslage: Eine „HinSchG-Novelle 2026“ mit Audit-Pflicht existiert nicht; § 22 HinSchG regelt die externe Meldestelle beim Bundeskartellamt für Wettbewerbs- und DMA-Verstöße. Eine jährliche Wirksamkeits-Selbstprüfung der internen Meldestelle ist Best Practice, aber keine gesetzliche Pflicht — sie eignet sich als fester Termin, bei dem die DSFA gleich mit geprüft wird (Praxisempfehlung). Halten Sie das Ergebnis auch dann fest, wenn sich nichts geändert hat: Ein datierter Vermerk „geprüft, unverändert“ ist der einfachste Nachweis, dass Schritt 7 gelebt wird.