HinSchG: Interne Meldestelle einrichten 2026

1. Pflicht ab 50 Beschäftigten

Kurzantwort: § 12 Abs. 2 HinSchG verpflichtet alle Beschäftigungsgeber mit mindestens 50 Beschäftigten zur Einrichtung einer internen Meldestelle. Köpfe-Zählung — keine Vollzeit-Äquivalente.

Der Pflichtinhalt steht in § 12 Abs. 1 Satz 1 HinSchG: Beschäftigungsgeber haben dafür zu sorgen, dass mindestens eine interne Meldestelle eingerichtet und betrieben wird. Das Gesetz verlangt damit beides: die Einrichtung und den laufenden Betrieb. Die Schwelle des Absatzes 2 knüpft an „in der Regel mindestens 50 Beschäftigte“ an. Unionsrechtliche Grundlage ist Art. 8 der Richtlinie (EU) 2019/1937: Absatz 1 verpflichtet juristische Personen des privaten und des öffentlichen Sektors zu internen Meldekanälen und -verfahren, Absatz 3 zieht für den privaten Sektor die Schwelle bei 50 Arbeitnehmern.

Größenunabhängige Pflicht: § 12 Abs. 3 HinSchG

Für die in § 12 Abs. 3 HinSchG genannten Beschäftigungsgeber gilt die Pflicht unabhängig von der Zahl der Beschäftigten. Dazu zählen u. a. Wertpapierdienstleistungsunternehmen, Börsenträger, Institute nach dem Kreditwesengesetz und dem Wertpapierinstitutsgesetz, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen sowie Krypto- und Zahlungsdiensteinstitute. Viele dieser Häuser sind selbst KMU — die 50er-Schwelle hilft ihnen nicht. Prüfen Sie diese Liste zuerst, bevor Sie die Köpfe zählen.

Was passiert ohne Meldestelle

Wer die Stelle gar nicht einrichtet und betreibt, handelt ordnungswidrig: Geldbuße bis 20.000 EUR nach § 40 Abs. 2 Nr. 2 i. V. m. Abs. 6 HinSchG. Die Verzehnfachung für juristische Personen nach § 30 Abs. 2 Satz 3 OWiG greift hier gerade nicht, weil § 40 Abs. 6 Satz 2 HinSchG sie ausdrücklich nur für § 40 Abs. 2 Nr. 1 und 3 sowie Abs. 3 und 4 anordnet.

Was überhaupt gemeldet werden kann

Der Schutz greift nicht für jede Beschwerde, sondern nur für die drei Verstoßkategorien des § 2 Abs. 1 Nr. 1 bis 3 HinSchG (Einzelheiten in der FAQ). Für die Verfahrensordnung empfiehlt sich ein dokumentiertes Prüfschema für die Frage, ob eine eingehende Meldung in den sachlichen Anwendungsbereich fällt — die dokumentierte Schema-Form ist Praxisempfehlung, keine gesetzliche Vorgabe. Die Antwort entscheidet über Repressalienschutz und Folgemaßnahmen.

2. 8 Schritte zur prüffesten Meldestelle

Kurzantwort: Acht Schritte führen von der Entscheidung zur prüffesten Meldestelle — Beschluss, Benennung, Verfahrensordnung, Kanäle, Fachkunde, Datenschutz, Belegschaftsinformation, Selbstprüfung. Jeder Schritt nennt seine Fundstelle: Beschluss und Benennung sind der Praxisnachweis zu § 12 Abs. 1 Satz 1 HinSchG, die jährliche Selbstprüfung (Schritt 8) ist Praxisempfehlung ohne gesetzliche Grundlage.

1. Geschäftsleitungs-Beschluss: formelle Einrichtung der Meldestelle. Praxis: GF-Protokoll oder Vorstandsbeschluss. Warum: Adressat der Pflicht ist der Beschäftigungsgeber, nicht eine einzelne Abteilung — § 12 Abs. 1 Satz 1 HinSchG verlangt Einrichtung und Betrieb. In der Praxis ist der Beschluss der erste belastbare Beleg dafür, dass die Stelle mit Budget, Zuständigkeit und Vertretungsregelung existiert.
2. Meldestellenbeauftragten benennen: Bestellungsurkunde + Unabhängigkeitserklärung. Auch in Personalunion möglich (Compliance-Officer, Justiziar). Warum: Die Identität der hinweisgebenden Person darf nach § 8 Abs. 1 HinSchG ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden. In der Praxis sollte dieser Personenkreis deshalb namentlich feststehen (Praxisempfehlung, keine gesetzliche Vorgabe). Alternativ dürfen die Aufgaben nach § 14 Abs. 1 Satz 1 HinSchG einem Dritten übertragen werden; die Pflicht, geeignete Maßnahmen zur Abstellung eines Verstoßes zu ergreifen, bleibt nach Satz 2 beim Beschäftigungsgeber.
3. Verfahrensordnung dokumentieren: 7-Tage-Eingang, 3-Monats-Rückmeldung, Eskalation an externe Meldestelle (BfJ). Warum: § 17 Abs. 1 Nr. 1 und Abs. 2 HinSchG legen beide Fristen und den Inhalt der Rückmeldung fest (geplante sowie bereits ergriffene Folgemaßnahmen und deren Gründe). Die Verfahrensordnung sollte außerdem das Wahlrecht der hinweisgebenden Person nach § 7 Abs. 1 HinSchG und das Behinderungsverbot nach § 7 Abs. 2 HinSchG abbilden (ausformuliert in Schritt 7).
4. 3 Meldekanäle einrichten: schriftlich (E-Mail/Web-Formular), mündlich (Telefon-Hotline), persönlich auf Verlangen (Pflicht ist nur eine Form — mündlich oder Textform, § 16 Abs. 3 S. 1 HinSchG — zuzüglich der Zusammenkunft auf Ersuchen, S. 3; drei parallele Kanäle sind Praxisstandard). Anonyme Meldungen „sollte“ die Meldestelle bearbeiten (§ 16 Abs. 1 Satz 4 HinSchG) — keine Pflicht, aber eine klare Erwartung des Gesetzgebers. Warum: Pflichtumfang und Praxisstandard erläutert Abschnitt 3.
5. Fachkunde-Schulung Meldestellenbeauftragte (MSB): notwendige Fachkunde nach § 15 Abs. 2 HinSchG, praxisüblich 5-8 Unterrichtseinheiten. Mit Zertifikat. Warum: § 15 Abs. 2 HinSchG verlangt nur „die notwendige Fachkunde“; prüffest wird der Punkt durch einen datierten Nachweis — Inhalte siehe FAQ.
6. DSFA + VVT-Eintrag: Verarbeitungstätigkeit 'Meldestelle' im VVT, DSFA nach Art. 35 DSGVO durchführen. Warum: Die DSFA ist vorab durchzuführen (Art. 35 Abs. 1 DSGVO); in Österreich ist sie nach § 8 Abs. 13 HSchG i. V. m. Art. 35 Abs. 10 DSGVO entbehrlich; der VVT-Eintrag bleibt. Details in Abschnitt 7.
7. Belegschaftsinformation: Aushang/Intranet nach § 13 HinSchG mit klarer Erklärung der Meldewege. Warum: Wer die Wege nicht kennt, meldet extern oder gar nicht. Die Information sollte ausdrücklich benennen, dass die Wahl zwischen interner und externer Meldestelle allein bei der hinweisgebenden Person liegt (§ 7 Abs. 1 HinSchG) — eine Formulierung, die intern als „Pflichtweg“ gelesen werden kann, berührt das Behinderungsverbot des § 7 Abs. 2 HinSchG.
8. Wirksamkeits-Selbstprüfung: jährlich dokumentieren (Best-Practice, KEINE gesetzliche Pflicht) — Frist-Einhaltung, Vertraulichkeit, anonyme Bearbeitung, Schulungs-Stand. Warum: Eine „HinSchG-Novelle 2026“ mit Audit-Pflicht existiert nicht; § 22 HinSchG regelt die externe Meldestelle beim Bundeskartellamt für Wettbewerbs- und DMA-Verstöße. Der Jahresturnus ist Praxisempfehlung für das Geschäftsführungs-Reporting (Vorbild ISO 37301), keine Rechtspflicht.

Für österreichische Standorte: Die acht Schritte lassen sich übernehmen, die Fundstellen nicht — maßgeblich ist das HSchG mit den Eckwerten aus dem Österreich-Kasten in Abschnitt 1. Abweichend: In Schritt 6 entfällt die DSFA (Begründung dort), der VVT-Eintrag bleibt; Eskalationsadresse ist das BAK (§ 15 Abs. 1 HSchG).

3. 3 Meldekanäle + anonyme Bearbeitung

Kurzantwort: Pflicht ist nur eine Meldeform — mündlich oder Textform (§ 16 Abs. 3 Satz 1 HinSchG) — zuzüglich der persönlichen Zusammenkunft auf Ersuchen innerhalb angemessener Zeit (Satz 3); eine feste 14-Tage-Frist kennt das Gesetz nicht. Anonyme Meldungen sollte die Meldestelle bearbeiten (§ 16 Abs. 1 Satz 4), die Kanäle für die anonyme Abgabe zu öffnen ist dagegen keine Pflicht (Satz 5). Welche Ausgestaltung je Kanal Pflicht und welche Praxisstandard ist, zeigt die Tabelle.

Der Beschäftigungsgeber hat insoweit ein Wahlrecht: Textform und mündliche Form sind nicht zwingend parallel vorzuhalten. Die persönliche Zusammenkunft kann mit Einwilligung der hinweisgebenden Person auch per Bild- und Tonübertragung stattfinden (§ 16 Abs. 3 Satz 4 HinSchG). Wer einen Kanal faktisch unbrauchbar macht (Voicemail ohne Rückruf, Formular hinter dem Mitarbeiter-Login), riskiert den Vorwurf, eine Meldung behindert zu haben — verboten nach § 7 Abs. 2 HinSchG.

Klarstellung zum Stichtag: Einen gesetzlichen Stichtag für eine „anonyme Pflicht“ gibt es nicht. Die Übergangsregelung des § 42 HinSchG betrifft ausschließlich die Einrichtungsfrist für Beschäftigungsgeber mit 50 bis 249 Beschäftigten (17. Dezember 2023) sowie die Anwendbarkeit von § 40 Abs. 2 Nr. 2 (1. Dezember 2023). Der vielfach zitierte Termin 01.01.2025 stammt aus einem früheren Gesetzentwurf, der nicht Gesetz geworden ist.

Praxisempfehlung (keine gesetzliche Pflicht): Legen Sie je Kanal fest, wer den Eingang wann prüft — ein Postfach ohne benannte Vertretung reißt die 7-Tage-Frist des § 17 Abs. 1 Nr. 1 HinSchG in der ersten Urlaubswoche. Bewährt hat sich eine werktägliche Sichtung mit dokumentierter Vertretungsregelung.

4. Verfahren: 7-Tage / 3-Monate

Kurzantwort: Das HinSchG-Verfahren kennt zwei harte Fristen: Innerhalb von 7 Tagen muss der Eingang einer Meldung bestätigt werden (mit Vertraulichkeitshinweis), innerhalb von 3 Monaten die inhaltliche Rückmeldung über Folgemaßnahmen oder Verfahrenseinstellung. Bei Bedarf erfolgt Eskalation an Geschäftsleitung oder externe Meldestelle (BfJ).

Entscheidend ist der Fristanker: Die Drei-Monats-Frist läuft nach § 17 Abs. 2 HinSchG ab der Bestätigung des Eingangs — wer die Bestätigung vergisst, gewinnt keine Zeit, sondern schuldet die Rückmeldung spätestens drei Monate und sieben Tage nach Eingang. Inhaltlich umfasst sie geplante sowie bereits ergriffene Folgemaßnahmen und deren Gründe; unionsrechtlich entspricht das Art. 9 Abs. 1 Buchst. b und f der Richtlinie (EU) 2019/1937.

Vor der 7-Tage-Frist steht die Eingangsdokumentation: Eingangsdatum, Kanal, Vertraulichkeitsstufe und zuständiger Meldestellenbeauftragter gehören in den Meldebogen — das dokumentierte Eingangsdatum ist der Anker für die 7-Tage-Frist und, solange keine Eingangsbestätigung erfolgt ist, auch für die Rückmeldefrist (§ 17 Abs. 1 Nr. 1, Abs. 2 HinSchG).

Fristen im Vergleich: Deutschland und Österreich

Die Fristlängen für Eingangsbestätigung und Rückmeldung sind in Deutschland und Österreich gleich, die Anknüpfungspunkte nicht; die Aufbewahrungsdauer unterscheidet sich dagegen (DE 3 Jahre, AT 5 Jahre): In Deutschland läuft die interne Rückmeldefrist ab der Eingangsbestätigung, in Österreich ab der Entgegennahme des Hinweises. Alle Zeilen der folgenden Tabelle nennen gesetzliche Fristen, keine Praxisempfehlungen.

Praxis-Rhythmus (keine gesetzliche Frist): Zwischen Tag 7 und Monat 3 lässt das Gesetz den Takt offen. Bewährt hat sich eine Wiedervorlage sechs Wochen nach Eingang: früh genug, um vor Fristablauf noch Zeugen zu hören, und sie dokumentiert die Bearbeitung auch dann, wenn der Fall am Ende eingestellt wird. Halten Sie solche Zwischenschritte getrennt von den gesetzlichen Fristen fest, damit im Audit erkennbar bleibt, was Pflicht und was Selbstbindung ist.

Externe Meldestelle — Zuständigkeit: Welche Behörde eine externe Meldung entgegennimmt, richtet sich nach dem gemeldeten Sachverhalt.

5. § 8 Vertraulichkeit

Kurzantwort: Identitätsschutz für Hinweisgeber UND Beschuldigten UND Dritte. Vorsätzlicher oder leichtfertiger Verstoß bußgeldbewehrt bis 50.000 EUR (jur. Person bis 500.000 EUR), fahrlässiger bis 10.000 EUR (§ 40 Abs. 3, 4 und 6 HinSchG).

§ 8 Abs. 1 HinSchG verpflichtet die Meldestellen, die Vertraulichkeit der Identität der hinweisgebenden Person, der von einer Meldung betroffenen Personen und der sonstigen in der Meldung genannten Personen zu wahren. Die Identität darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden. Unionsrechtlich entspricht das Art. 16 Abs. 1 der Richtlinie (EU) 2019/1937, der auch alle Informationen erfasst, aus denen sich die Identität ableiten lässt. In Österreich schützt § 7 Abs. 1 HSchG die Identität ebenso einschließlich mittelbar ableitbarer Informationen; § 7 Abs. 2 HSchG untersagt es Personen, denen der Inhalt eines Hinweises außerhalb des Kreises der zuständigen Mitarbeiter bekannt wird, die Bekanntgabe des Inhalts oder der Identität.

Zugriffsbeschränkung, Verschlüsselung und Protokollierung sind im TOM-Konzept beschrieben (Abschnitt 7, Punkt 5).

• Auskunftsersuchen der beschuldigten Person (Art. 15 DSGVO): geschwärzte Antwort, Aufschiebung nach § 29 BDSG prüfen
• Sachverhaltsaufklärung so führen, dass sich die hinweisgebende Person nicht mittelbar aus Zeugenauswahl oder Aktenlage erschließen lässt

Grenze des Schutzes: Der Identitätsschutz entfällt, wenn die hinweisgebende Person vorsätzlich oder grob fahrlässig unrichtige Informationen meldet (§ 9 Abs. 1 HinSchG). In diesen Fällen greift zusätzlich § 38 HinSchG: „Die hinweisgebende Person ist zum Ersatz des Schadens verpflichtet, der aus einer vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen entstanden ist.“ Die Beweisschwelle für Vorsatz oder grobe Fahrlässigkeit bleibt in der Praxis dennoch hoch.

Sanktionsseite: Der vorsätzliche oder leichtfertige Vertraulichkeitsverstoß nach § 8 Abs. 1 HinSchG ist mit bis zu 50.000 EUR bedroht (§ 40 Abs. 3 i. V. m. Abs. 6 Satz 1 HinSchG), der fahrlässige mit bis zu 10.000 EUR (§ 40 Abs. 4 i. V. m. Abs. 6 Satz 1 HinSchG). Zuständig für Verfolgung und Ahndung von Ordnungswidrigkeiten nach § 40 HinSchG ist seit dem 15.04.2025 das Bundesamt für Justiz — allerdings nur, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt (§ 1 HinSchGOWiZustV, BGBl. 2025 I Nr. 111, verkündet am 14.04.2025). Außerhalb dieses Geschäftsbereichs bleibt es bei den allgemeinen Zuständigkeitsregeln. Zur Verfolgungsverjährung siehe FAQ.

6. § 36 Repressalienschutz

Kurzantwort: Verbotene Repressalien: Kündigung, Versetzung, Abmahnung, Gehaltsreduzierung, Mobbing. Beweislastumkehr nach § 36 Abs. 2: bei Benachteiligung wird Repressalie vermutet — Arbeitgeber muss Gegenbeweis erbringen.

§ 36 Abs. 1 HinSchG verbietet gegen hinweisgebende Personen gerichtete Repressalien einschließlich ihrer Androhung und des Versuchs. Die Vermutung des Absatzes 2 greift, wenn die Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit erleidet und geltend macht, diese infolge einer Meldung oder Offenlegung erlitten zu haben; der Benachteiligende muss dann beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte. Eine 6-Monats-Frist als Auslöser der Vermutung kennt das Gesetz nicht.

LAG Niedersachsen, Urteil vom 11.11.2024 (7 SLa 306/24), hat das zweistufige Prüfschema bestätigt. Praxisempfehlung (keine gesetzliche Pflicht): Halten Sie zu jeder HR-Maßnahme nach einer Meldung Entscheidungsdatum, Entscheidungsgrundlage und den Kenntnisstand der beteiligten Führungskräfte schriftlich fest — am belastbarsten sind Unterlagen, die bereits vor dem Eingang der Meldung datieren.

Rechtsfolgen: Nach § 37 HinSchG ersetzt der Verursacher den aus dem Verstoß entstehenden Schaden; Umfang und Nachweis richten sich nach allgemeinem Schadensrecht — eine gesetzliche Pauschale etwa in Höhe aller entgangenen Bezüge bis zur Rente enthält das Gesetz nicht. § 37 Abs. 2 HinSchG stellt klar, dass ein Verstoß keinen Anspruch auf Begründung eines Beschäftigungs- oder Ausbildungsverhältnisses und keinen Anspruch auf beruflichen Aufstieg begründet. Flankierend schützt § 35 HinSchG die hinweisgebende Person vor Haftung für die Beschaffung der gemeldeten Informationen, sofern diese nicht selbst eine eigenständige Straftat darstellt. Vereinbarungen, die diese Rechte einschränken, sind nach § 39 HinSchG unwirksam — Klauseln in Aufhebungsverträgen laufen insoweit leer.

Österreich getrennt betrachten: Nach § 20 Abs. 1 HSchG sind Vergeltungsmaßnahmen rechtsunwirksam — genannt sind u. a. Suspendierung, Kündigung, Herabstufung, Versagung einer Beförderung, Aufgabenverlagerung, Entgeltminderung, Disziplinarmaßnahmen und der Entzug einer Lizenz. Die verantwortliche Person schuldet Wiederherstellung des rechtmäßigen Zustandes, Ersatz des Vermögensschadens und eine Entschädigung für die erlittene persönliche Beeinträchtigung (§ 20 Abs. 1 letzter Satz und Abs. 2 HSchG); einen solchen ausdrücklichen immateriellen Anspruch kennt § 37 HinSchG nicht. Prozessual gilt § 23 HSchG mit Glaubhaftmachung statt Beweislastumkehr. Die Haftungsbefreiung folgt aus § 22 Abs. 1 und 2 HSchG.

7. DSGVO-Pflichten der Meldestelle

Kurzantwort: Eine HinSchG-Meldestelle muss sechs DSGVO-Pflichten erfüllen: VVT-Eintrag, DSFA nach Art. 35 DSGVO (in DE Pflicht; in AT durch § 8 Abs. 13 HSchG entbehrlich), Datenschutzhinweise für Hinweisgeber und Beschuldigten, AVV bei IT-Outsourcing, ein meldestellen-spezifisches TOM-Konzept und 3-jährige Aufbewahrung nach Verfahrensabschluss (§ 11 Abs. 5 HinSchG; AT 5 Jahre).

1. VVT-Eintrag für die Verarbeitungstätigkeit 'Meldestelle' — mit Zweck, Empfängerkreis (der nach § 8 Abs. 1 HinSchG eng begrenzte Personenkreis) und Löschfrist
2. DSFA nach Art. 35 DSGVO. Art. 35 Abs. 1 DSGVO verlangt sie vorab; Art. 35 Abs. 3 DSGVO nennt als Regelbeispiele u. a. die umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO — Meldungen können Gesundheits-, Gewerkschafts- oder Weltanschauungsbezüge enthalten, deren Verarbeitung nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt ist und einer Ausnahme bedarf
3. Datenschutzhinweise für Hinweisgeber + Beschuldigten. Rechnen Sie mit Auskunftsersuchen: Nach Art. 12 Abs. 3 DSGVO ist unverzüglich, spätestens binnen eines Monats zu reagieren; die Frist ist bei Komplexität um zwei Monate verlängerbar, worüber innerhalb des ersten Monats unter Angabe der Gründe zu unterrichten ist
4. AVV mit IT-Dienstleister bei outsourcing. Art. 28 Abs. 1 DSGVO erlaubt die Auswahl nur solcher Auftragsverarbeiter, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; Art. 28 Abs. 3 DSGVO gibt den Mindestinhalt des Vertrags vor (Gegenstand, Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen, Rechte und Pflichten des Verantwortlichen)
5. TOM-Konzept speziell für die Meldestelle — Zugriffsbeschränkung auf den Kreis des § 8 Abs. 1 HinSchG, Verschlüsselung, Protokollierung; bei ausgelagertem Betrieb kann es zugleich als Beleg der „hinreichenden Garantien“ nach Art. 28 Abs. 1 DSGVO dienen
6. Aufbewahrung 3 Jahre nach Verfahrensabschluss (§ 11 Abs. 5 HinSchG); AT 5 Jahre. Die deutsche Drei-Jahres-Frist passt zur Verfolgungsverjährung von 3 Jahren bei den mit mehr als 15.000 EUR bedrohten Bußgeldtatbeständen (§ 31 Abs. 2 Nr. 1 OWiG) — wer früher löscht, kann die Fristeinhaltung im Bußgeldverfahren nicht mehr belegen

Datenschutzbeauftragter und Datenpannen

Soweit die Verarbeitung der Meldestelle einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegt, ist in Deutschland nach § 38 Abs. 1 BDSG unabhängig von der 20-Personen-Schwelle ein Datenschutzbeauftragter zu benennen; eine Datenpanne ist unverzüglich und möglichst binnen 72 Stunden zu melden (Art. 33 Abs. 1 DSGVO), sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen nicht unwahrscheinlich ist. In Österreich besteht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Schwelle; die Benennungspflicht folgt unmittelbar aus Art. 37 DSGVO, ergänzt um die Geheimhaltungspflicht nach § 5 DSG.

Im Ernstfall: Fließen Meldedaten ab, ist an die zuständige Aufsichtsbehörde zu melden — es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen; erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 DSGVO). Bei voraussichtlich hohem Risiko kommt die Benachrichtigung der betroffenen Personen nach Art. 34 Abs. 1 DSGVO hinzu; sie kann entfallen, wenn geeignete Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden (Art. 34 Abs. 3 DSGVO). Genau deshalb ist Verschlüsselung im TOM-Konzept mehr als Kosmetik.

8. 30-Punkte-Audit-Checkliste

Kurzantwort: Die folgenden 30 Punkte sind die Prüfliste, mit der sich eine bestehende Meldestelle in einem Durchgang prüfen lässt. Die Spalte „Grundlage“ nennt je Zeile die gesetzliche Fundstelle, einen Praxisnachweis zu einer gesetzlichen Pflicht oder eine Praxisempfehlung ohne gesetzliche Pflicht — bei gemischten Punkten beides.

Für Österreich zusätzlich prüfen: Punkt 11 entfällt (§ 8 Abs. 13 HSchG), Punkt 21 verlängert sich auf 5 Jahre (§ 8 Abs. 11 HSchG), Punkt 20 verweist auf das BAK (§ 15 Abs. 1 HSchG), und die Sanktionsseite richtet sich nach § 24 HSchG mit Zuständigkeit der Bezirksverwaltungsbehörde — nicht nach § 40 HinSchG.