DSFA für HinSchG-Meldestelle: 7-Schritt-Vorlage
Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.
TL;DR
- DSFA-Pflicht für HinSchG-Meldestelle (Art. 35 DSGVO + DSK-Liste)
- 7-Schritte-Methodik: Beschreibung, Notwendigkeit, Risiko, Maßnahmen, Restrisiko, Konsultation, Re-Eval
- Sondersensibel: Identität Hinweisgeber + Beschuldigter + Inhalt der Meldung (§ 8 HinSchG)
- TOM: Verschlüsselung, Rollenkonzept, Audit-Trail, Trennung Meldestelle/HR
- Bei DSFA-Lücken: bis 20 Mio. EUR / 4 % Bußgeld (Art. 83 DSGVO)
Hauptartikel: Hauptartikel: HinSchG-Vertraulichkeitskonzept — der vollständige Pillar-Artikel zum Thema.
1. Beschreibung
Meldestellen-Software, Anbieter, Eingangskanäle, Datenfluss.
2. Notwendigkeit + Verhältnismäßigkeit
Keine Alternative zur Software. Datenminimierung: nur notwendige Felder.
3. Risiko-Identifikation
Identitäts-Bruch (§ 8 HinSchG), Repressalien-Folgen, Sondersensible Daten (Art. 9), Drittland-Risiko.
4. Schutzmaßnahmen
E2E-Verschlüsselung, RBAC, Audit-Log, EU-Hosting, Schulung, Verschwiegenheits-Erklärungen.
5. Konsultation
Bei verbleibendem hohem Risiko: Art. 36 DSGVO Konsultation BfDI/Landes-DSB.
6. Aufbewahrung 3 Jahre (§ 11 HinSchG)
Pflichtlöschung danach. Audit-Logs separat länger aufbewahren bei Bedarf.
7. Re-Evaluation jährlich
Update bei Software-Wechsel, Vorfall, Gesetzesänderung.
Häufig gestellte Fragen
DSFA-Pflicht?
Ja, Art. 35 Abs. 3 lit. a + b. Sondersensible Daten + systematische Bewertung.
Wer macht?
Verantwortlicher mit DSB-Beratung. Externe Beratung empfohlen.
Quellen
- Hinweisgeberschutzgesetz (HinSchG), §§ 8, 11, 17, gesetze-im-internet.de/hinschg (Stand: 02.05.2026)
- Verordnung (EU) 2016/679 (DSGVO) Art. 35 (DSFA), Art. 36 (Konsultation), Art. 9 (sondersensible Daten), eur-lex.europa.eu
- EDPB Leitlinien 04/2022 zur Berechnung von Geldbußen, edpb.europa.eu (Stand: 02.05.2026)
- Richtlinie (EU) 2019/1937 (Whistleblower-Richtlinie), eur-lex.europa.eu