HinSchG-Vertraulichkeitskonzept (§ 8): wie Sie es audit-fähig machen

1. § 8 HinSchG-Pflichten

§ 8 Abs. 1 HinSchG verpflichtet die Meldestellen, die Identität von drei Personengruppen vertraulich zu wahren: der hinweisgebenden Person, der von einer Meldung betroffenen Personen und der sonstigen in der Meldung genannten Personen. Ein Konzept, das nur den Hinweisgeber adressiert, bildet den gesetzlichen Auftrag unvollständig ab — Beschuldigte und genannte Dritte brauchen dieselbe Schutzstufe in Berechtigungs-Matrix, Aktenführung und Audit-Trail.

"Die Meldestellen haben die Vertraulichkeit der Identität der folgenden Personen zu wahren: 1. der hinweisgebenden Person, sofern die gemeldeten Informationen Verstöße betreffen, die in den Anwendungsbereich dieses Gesetzes fallen, oder die hinweisgebende Person zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass dies der Fall sei, 2. der Personen, die Gegenstand einer Meldung sind, und 3. der sonstigen in der Meldung genannten Personen. Die Identität der in Satz 1 genannten Personen darf ausschließlich den Personen, die für die Entgegennahme von Meldungen oder für das Ergreifen von Folgemaßnahmen zuständig sind, sowie den sie bei der Erfüllung dieser Aufgaben unterstützenden Personen bekannt werden." — § 8 Abs. 1 HinSchG

Praxisfolge: Der zulässige Kenntniskreis nach § 8 Abs. 1 Satz 2 HinSchG endet nicht bei der Meldestelle — die unterstützenden Personen (z. B. IT-Administration, externe Ermittlungsunterstützung) gehören namentlich in Berechtigungs-Konzept und Audit-Trail. Jede darüber hinausgehende Weitergabe der Identität ist nur nach § 9 HinSchG zulässig; das Vertraulichkeitsgebot gilt zudem unabhängig von der Zuständigkeit der Meldestelle für die eingehende Meldung (§ 8 Abs. 2 HinSchG).

Wen die Pflicht trifft: Eine interne Meldestelle ist ab in der Regel 50 Beschäftigten einzurichten und zu betreiben (§ 12 Abs. 1 Satz 1 i. V. m. Abs. 2 HinSchG); für die in § 12 Abs. 3 HinSchG genannten Beschäftigungsgeber — u. a. Wertpapierdienstleistungsunternehmen, Institute nach KWG, Kapitalverwaltungsgesellschaften und Versicherungsunternehmen — gilt sie größenunabhängig. Unionsrechtlicher Maßstab ist Art. 16 Abs. 1 der Richtlinie (EU) 2019/1937: Ohne ausdrückliche Zustimmung der hinweisgebenden Person darf deren Identität keinen anderen Personen als den befugten, für die Entgegennahme von Meldungen oder für Folgemaßnahmen zuständigen Mitarbeitern offengelegt werden, einschließlich aller Informationen, aus denen sie abgeleitet werden kann.

Wer wohin melden darf: Das Wahlrecht zwischen interner und externer Meldung steht der hinweisgebenden Person zu; das Gesetz legt ihr nahe, intern zu melden, wenn intern wirksam abgeholfen werden kann und keine Repressalien zu befürchten sind (§ 7 Abs. 1 HinSchG). Meldungen oder die anschließende Kommunikation zu behindern oder dies zu versuchen, ist verboten (§ 7 Abs. 2 HinSchG).

Wo der Schutz endet: Der Identitätsschutz der hinweisgebenden Person entfällt bei vorsätzlich oder grob fahrlässig unrichtigen Meldungen (§ 9 Abs. 1 HinSchG). Was ein Verstoß kostet und wer ihn ahndet, steht in Abschnitt 8.

Kurzhinweis Österreich: HSchG statt HinSchG

Dieser Artikel folgt dem deutschen HinSchG. Für österreichische Rechtsträger gilt stattdessen das HinweisgeberInnenschutzgesetz (HSchG, BGBl. I Nr. 6/2023) — die Kernpflichten sind vergleichbar, Fundstellen und Fristen weichen jedoch ab:

• Identitätsschutz: § 7 Abs. 1 HSchG — Schutz der Identität durch interne, externe und beauftragte Stellen, einschließlich aller Informationen, aus denen die Identität direkt oder indirekt abgeleitet werden kann; erfährt unzuständiges Personal den Inhalt, ist ihm die Bekanntgabe untersagt (§ 7 Abs. 2 HSchG).
• Offenlegung: § 7 Abs. 3 und 4 HSchG — nur wenn eine Verwaltungsbehörde, ein Gericht oder die Staatsanwaltschaft dies im Verfahren für unerlässlich und verhältnismäßig hält; die hinweisgebende Person ist vorab zu unterrichten, die Gründe sind schriftlich darzulegen.
• Aufbewahrung: § 8 Abs. 11 HSchG — personenbezogene Daten sind 5 Jahre ab der letzten Verarbeitung oder Übermittlung aufzubewahren; die abweichende deutsche Frist und ihre Begründung stehen in Abschnitt 5.
• Sanktion: § 24 Z 3 HSchG — die Verletzung der Vertraulichkeit ist Verwaltungsübertretung; Geldstrafe bis 20.000 EUR, im Wiederholungsfall bis 40.000 EUR, zuständig ist die Bezirksverwaltungsbehörde (nicht das Bundesamt für Justiz).
• Eingangsbestätigung: § 9 Abs. 1 HSchG — der Eingang schriftlicher Hinweise ist unverzüglich, spätestens nach sieben Kalendertagen schriftlich zu bestätigen; die Bestätigung unterbleibt, wenn die hinweisgebende Person ausdrücklich widersprochen hat oder sie den Schutz ihrer Identität beeinträchtigen würde.
• Datenschutz: § 8 Abs. 13 HSchG i. V. m. Art. 35 Abs. 10 DSGVO — eine Datenschutz-Folgenabschätzung ist in Österreich entbehrlich; in Deutschland ist sie für die Meldestelle nach Art. 35 DSGVO durchzuführen.
• Externe Stelle: § 15 Abs. 1 HSchG — das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (BAK); sektorale Sonderzuständigkeiten gehen vor, u. a. Finanzmarktaufsicht, Bundeswettbewerbsbehörde und Abschlussprüferaufsichtsbehörde (§ 15 Abs. 2 HSchG).

2. Technische Maßnahmen

Technisch ruht ein audit-fähiges Vertraulichkeitskonzept auf sechs Bausteinen: verschlüsselter Eingangskanal, verschlüsselte Speicherung, anonymer Meldeweg, dokumentiertes Berechtigungs-Konzept, lückenloser Audit-Log und Trennung von der HR-IT. Jeder Baustein braucht einen Nachweis, den Sie im Audit aus der eigenen Ablage vorlegen können — auch dort, wo der Beleg vom Anbieter stammt (SOC-2-Bericht, Testprotokoll).

Die Spalte „Rechtlicher Anker" nennt die Norm, deren Zweck die Maßnahme dient. Die Festlegungen der Spalte „Umsetzung" — TLS 1.3, AES-256, SOC 2 — schreibt keine dieser Normen wörtlich vor; sie sind Praxisstandard.

Warum Verschlüsselung doppelt zählt: Nach Art. 34 Abs. 3 DSGVO ist die Benachrichtigung der betroffenen Person entbehrlich, wenn geeignete Schutzmaßnahmen — ausdrücklich genannt: Verschlüsselung — angewandt wurden. Der Nachweis der Verschlüsselung at rest gehört deshalb in die Vorfallsakte, nicht nur in die Systemdokumentation.

Anonymer Kanal und Aufbewahrung: Nach § 16 Abs. 1 Satz 4 HinSchG sollte die interne Meldestelle anonym eingehende Meldungen bearbeiten; Satz 5 stellt klar, dass keine Verpflichtung besteht, die Meldekanäle für die anonyme Abgabe zu öffnen — das anonyme Web-Formular mit Rückkanal ist damit Praxisempfehlung. Aufbewahrungsfristen und ihre Begründung stehen in Abschnitt 5; wer beide Rechtsräume in einem System betreibt, braucht getrennte Aufbewahrungsprofile.

3. Organisatorische Maßnahmen

Organisatorisch besteht das Konzept aus fünf Bausteinen, die jeweils ein eigenes Dokument erzeugen. Ohne diese Papiere lässt sich im Audit nicht belegen, dass der Personenkreis des § 8 Abs. 1 Satz 2 HinSchG tatsächlich begrenzt war.

• Meldestellenbeauftragte verschwiegenheitsverpflichtet (separate Erklärung) — sie hält fest, wer zum zulässigen Kreis nach § 8 Abs. 1 Satz 2 HinSchG gehört, unterstützende Personen eingeschlossen. Für Österreich flankiert § 7 Abs. 2 HSchG diesen Punkt (Abschnitt 1).
• Schulung jährlich + Re-Auffrischung nach Vorfällen — der Jahres-Rhythmus ist eine Praxisempfehlung. Gesetzlich verlangt § 15 Abs. 2 HinSchG die notwendige Fachkunde; eine juristische Ausbildung ist dafür nicht erforderlich. Praxisüblich sind 5 bis 8 Unterrichtseinheiten zu Verfahren, Vertraulichkeit, DSGVO-Schnittstelle, Repressalienschutz und Sachverhaltsaufklärung.
• Dokumentationsführung auf separatem Speicher (nicht regulärem File-Server) — damit keine Rechte aus der allgemeinen IT-Administration auf Fallakten durchschlagen; Nachweis ist das Architektur-Dokument aus Abschnitt 2.
• Übergabe-Prozesse bei Personalwechsel im Meldestellenteam — Rechteentzug zum Austrittsdatum, protokollierte Übergabe laufender Fälle, Aktualisierung der Berechtigungs-Matrix. Ein nicht entzogener Zugang hält den Kreis nach § 8 Abs. 1 Satz 2 HinSchG dauerhaft offen.
• Notfall-Verfahren bei Datenpanne — mit benannter Meldekette, Fristenlauf und Entscheidungsvorlage; Fristen und Sanktionsseite stehen in Abschnitt 8.

Auslagerung ändert die Organisation, nicht die Verantwortung: Die Aufgaben der internen Meldestelle dürfen einem Dritten übertragen werden (§ 14 Abs. 1 Satz 1 HinSchG); der Beschäftigungsgeber bleibt jedoch selbst verpflichtet, geeignete Maßnahmen zur Abstellung eines Verstoßes zu ergreifen (§ 14 Abs. 1 Satz 2 HinSchG). Zur Konzernlösung nach § 14 HinSchG ist kein EU-Vertragsverletzungsverfahren gegen Deutschland anhängig; das Verfahren INFR(2022)0052 zur Richtlinie (EU) 2019/1937 endete mit dem EuGH-Urteil C-149/23 vom 6. März 2025 und wurde am 4. Juni 2026 eingestellt (Stand 17. August 2026).

4. Rollentrennung Meldestelle/HR

Kern-Prinzip: Meldestelle ist NIE direkt mit HR-Disziplinarmaßnahmen verknüpft. Die Trennung schützt zwei Rechtsgüter gleichzeitig — die Vertraulichkeit nach § 8 Abs. 1 HinSchG und die Beweisposition des Arbeitgebers im Repressalienstreit.

Deutschland — warum das über die Vertraulichkeit hinaus zählt: § 36 Abs. 1 HinSchG verbietet Repressalien gegen hinweisgebende Personen einschließlich Androhung und Versuch. § 36 Abs. 2 HinSchG kehrt die Beweislast um: Erleidet die hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit und macht sie geltend, diese infolge der Meldung erlitten zu haben, wird vermutet, dass es sich um eine Repressalie handelt — dann muss der Benachteiligende beweisen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte. Das LAG Niedersachsen hat mit Urteil vom 11.11.2024 (7 SLa 306/24) das zweistufige Prüfschema bestätigt. Praxisempfehlung: für jede HR-Maßnahme nach einer Meldung einen Unabhängigkeitsnachweis dokumentieren — Anlass, Entscheidungsgrundlage und Zeitpunkt getrennt vom Meldevorgang.

Österreich — anderer Maßstab: Vergeltungsmaßnahmen sind rechtsunwirksam; geschuldet sind Wiederherstellung des rechtmäßigen Zustandes, Ersatz des Vermögensschadens und eine Entschädigung für die persönliche Beeinträchtigung (§ 20 Abs. 1 und 2 HSchG). Die hinweisgebende Person muss die Vergeltung nur glaubhaft machen; eine Vergeltung ist nicht anzunehmen, wenn eine höhere Wahrscheinlichkeit für ein anderes Motiv spricht, das die handelnde Person ihrerseits glaubhaft zu machen hat (§ 23 HSchG). Das ist nicht die deutsche Beweislastumkehr — die Dokumentation der HR-Entscheidung bleibt in beiden Rechtsräumen der entscheidende Nachweis, die Rechtsgrundlage ist jedoch getrennt zu zitieren.

Anschluss an das Behinderungsverbot: Das Verbot, Meldungen oder die anschließende Kommunikation zu behindern (§ 7 Abs. 2 HinSchG, Abschnitt 1), ist bei internen Eskalationsregeln mitzudenken.

5. Audit-Trail-Anforderungen

Der Audit-Trail muss jede Aktion so protokollieren, dass sich rekonstruieren lässt, wer wann auf welchen Fall zugegriffen hat — genau das ist der Nachweis, dass der Personenkreis des § 8 Abs. 1 Satz 2 HinSchG eingehalten wurde. Jede Aktion in der Meldestellen-Software loggen:

• Zeitstempel (UTC) — macht Zugriffe über Zeitzonen und Systeme hinweg vergleichbar
• User-ID — ordnet den Zugriff einer Person aus der Berechtigungs-Matrix zu
• Aktion (Zugriff, Änderung, Export) — der Export ist der kritische Vorgang, weil er Daten aus dem geschützten System herausführt
• Betroffener Datensatz (Hash, nicht Klartext) — hält den Log selbst frei von Identitätsdaten, im Sinne der Datenminimierung nach Art. 5 DSGVO
• IP-Adresse — belegt, aus welcher Umgebung zugegriffen wurde

Warum 3 Jahre die Untergrenze sind (Deutschland): Die Dokumentation ist 3 Jahre nach Abschluss des Verfahrens zu löschen (§ 11 Abs. 5 HinSchG); parallel läuft die 3-jährige Verfolgungsverjährung für die mit mehr als 15.000 Euro bedrohten Tatbestände (§ 31 Abs. 2 Nr. 1 OWiG). Ein kürzeres Aufbewahrungskonzept nimmt sich die Entlastungsmöglichkeit im laufenden Verjährungszeitraum; eine längere Aufbewahrung ist nur zulässig, soweit sie rechtlich erforderlich ist. Für Österreich gilt die 5-Jahres-Frist des § 8 Abs. 11 HSchG.

Was Unveränderbarkeit praktisch bedeutet: Der Log muss auch für Administratoren der Meldestellen-Software schreibgeschützt sein — sonst belegt er im Streitfall nichts. Prüfbar wird das über getrennte Rechte für Systemadministration und Log-Auswertung sowie über einen dokumentierten Abgleich des Log-Auszugs gegen die Berechtigungs-Matrix. Praxisempfehlung: halbjährlich, zusätzlich nach jedem Personalwechsel im Meldestellenteam.

6. 18-Punkte-Audit-Checkliste

Die folgenden 18 Punkte sind die Prüfliste, mit der sich ein Vertraulichkeitskonzept abnehmen lässt: die Frage, der Nachweis und — soweit vorhanden — die Fundstelle. Punkte ohne Fundstelle sind als Praxisempfehlung gekennzeichnet.

1. Verschlüsselte Eingangskanal-URL? Nachweis: Zertifikats- und Protokollkonfiguration des Meldeportals. TLS 1.3 ist Praxisstandard, Einordnung in Abschnitt 2. Art. 32 DSGVO
2. Anonyme Meldung mit Rückkanal möglich? Nachweis: dokumentierte Test-Meldung. Praxisempfehlung, Begründung in Abschnitt 2. § 16 Abs. 1 Satz 4 und 5 HinSchG
3. Speicherung mit AES-256? Nachweis: Anbieter-Beleg zur Verschlüsselung at rest. Praxisstandard, Einordnung in Abschnitt 2. Art. 32 DSGVO Art. 34 Abs. 3 DSGVO
4. Berechtigungs-Konzept dokumentiert? Nachweis: namentliche Berechtigungs-Matrix inklusive unterstützender Personen. § 8 Abs. 1 Satz 2 HinSchG
5. RBAC mit Need-to-Know aktiv? Nachweis: Rollenexport aus dem System, abgeglichen mit der Matrix aus Punkt 4. § 8 Abs. 1 Satz 2 HinSchG
6. Audit-Log lückenlos? Nachweis: Log-Auszug mit den fünf Feldern aus Abschnitt 5, ohne Zeitlücken. Nachweis der Kreisbegrenzung. § 8 Abs. 1 Satz 2 HinSchG
7. Audit-Log immutable? Nachweis: Schreibschutz-Konfiguration. Praxisanforderung an den Beweiswert, Begründung in Abschnitt 5.
8. Trennung Meldestelle / HR / IT? Nachweis: Rollenbeschreibung plus Hosting-Architektur; stützt zusätzlich die Beweisposition im Repressalienstreit (§ 36 HinSchG · AT § 20 HSchG). § 8 Abs. 1 Satz 2 HinSchG · AT § 7 Abs. 1 HSchG
9. Verschwiegenheitserklärungen unterzeichnet? Nachweis: unterschriebene Erklärungen aller Personen aus der Berechtigungs-Matrix. § 8 Abs. 1 Satz 2 HinSchG · AT § 7 Abs. 2 HSchG
10. Schulungen aktuell <12 Monate? Nachweis: Teilnahmedokumentation. Rhythmus ist Praxisempfehlung, Einordnung in Abschnitt 3. § 15 Abs. 2 HinSchG
11. Anbieter-DPA mit Vertraulichkeitsklauseln? Nachweis: Auftragsverarbeitungsvertrag mit dem Mindestinhalt des Art. 28 Abs. 3 DSGVO. Art. 28 Abs. 1 und 3 DSGVO
12. SOC-2-Bericht des Anbieters <12 Monate? Nachweis: aktueller Prüfbericht. Praxisempfehlung — als Beleg der „hinreichenden Garantien" des Auftragsverarbeiters. Art. 28 Abs. 1 DSGVO
13. Notfall-Verfahren bei Vertraulichkeits-Bruch? Nachweis: Ablaufplan mit Meldekette und Fristenlauf. Art. 33 Abs. 1 DSGVO Art. 34 Abs. 1 DSGVO
14. Übergabe-Prozesse bei Personalwechsel? Nachweis: Übergabeprotokoll und dokumentierter Rechteentzug zum Austrittsdatum. § 8 Abs. 1 Satz 2 HinSchG
15. 3-Jahres-Aufbewahrung + Pflichtlöschung? Nachweis: Löschkonzept mit Auslöser „Abschluss des Verfahrens"; für Österreich getrennt 5 Jahre. § 11 Abs. 5 HinSchG · AT § 8 Abs. 11 HSchG
16. Datenschutz-Dokumentation vollständig? Nachweis: Eintrag „Meldestelle" im Verarbeitungsverzeichnis, je ein Datenschutzhinweis für hinweisgebende und für beschuldigte Personen sowie die DSFA für die Verarbeitungstätigkeit — in Deutschland durchzuführen, in Österreich entbehrlich; ergänzt wird zusätzlich die Datenschutzerklärung um den Meldekanal. Art. 35 DSGVO · AT § 8 Abs. 13 HSchG
17. Externe Meldestelle als Backup? Nachweis: dokumentierte Schnittstelle. Abgrenzung von Auslagerung und staatlicher Meldestelle in der FAQ. § 14 Abs. 1 HinSchG § 19 Abs. 1 HinSchG · AT § 15 Abs. 1 HSchG
18. Audit-Bericht intern verfügbar? Nachweis: dokumentierte Wirksamkeits-Selbstprüfung zu Frist-Einhaltung, Vertraulichkeit, anonymer Bearbeitung und Schulungsstand. Best-Practice für das Geschäftsleitungs-Reporting, keine gesetzliche Pflicht.

7. DSGVO-Schnittstelle des Vertraulichkeitskonzepts

Das Vertraulichkeitskonzept greift an sechs Stellen in die Datenschutz-Dokumentation: Eintrag im Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung, Datenschutzhinweise für beide Seiten, Auftragsverarbeitungsvertrag bei IT-Outsourcing, ein eigenes TOM-Konzept für die Meldestelle und die Löschregelung. Wer diese Punkte nicht als Paket führt, hat im Audit zwei Konzepte, die sich widersprechen können. Vier davon sind mit je einem Nachweis erledigt:

Aufwendiger sind Datenschutz-Folgenabschätzung und Auftragsverarbeitung. Über dieselbe Fallakte entscheidet zusätzlich die Auskunftsanfrage der beschuldigten Person.

Auskunftsanfrage der beschuldigten Person: Verlangt eine von der Meldung betroffene Person Auskunft nach Art. 15 DSGVO, steht dieses Recht der Vertraulichkeitspflicht aus § 8 Abs. 1 HinSchG gegenüber. Die Praxis arbeitet mit einer geschwärzten Antwort; die Aufschiebung richtet sich nach § 29 BDSG. Der Zeitrahmen folgt Art. 12 Abs. 3 DSGVO: Reaktion unverzüglich, spätestens innerhalb eines Monats nach Eingang, verlängerbar um zwei Monate mit Unterrichtung binnen eines Monats unter Angabe der Gründe. Praxisempfehlung: Entscheidungspfad und Schwärzungsregeln vorab im Konzept festlegen.

DSFA und Auftragsverarbeitung: In Deutschland ist die DSFA für die Verarbeitungstätigkeit „Meldestelle" nach Art. 35 DSGVO durchzuführen, in Österreich ist sie nach § 8 Abs. 13 HSchG entbehrlich — Konzerne mit Standorten in beiden Ländern müssen die DSFA-Pflicht daher je Rechtsraum getrennt dokumentieren. Wird die Software als Dienst bezogen, darf der Verantwortliche nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO); der Vertrag muss den Mindestinhalt des Art. 28 Abs. 3 DSGVO abbilden.

Sensible Daten: Soweit eine Meldung Angaben enthält, aus denen Merkmale nach Art. 9 Abs. 1 DSGVO hervorgehen, gilt für diese das Verarbeitungsverbot mit den engen Ausnahmen des Art. 9 Abs. 2 DSGVO. Praxisempfehlung: solche Angaben in der Fallakte von den übrigen Sachverhaltsdaten trennen, damit der Zugriffskreis nicht wächst.

8. Vertraulichkeitsbruch: Meldewege und Sanktionen

Bei einem Vertraulichkeitsbruch sind zwei Stränge parallel zu prüfen: die datenschutzrechtliche Meldekette nach Art. 33 und 34 DSGVO und die Sanktionsseite nach § 40 HinSchG beziehungsweise § 24 HSchG. Der erste Strang läuft in Stunden, der zweite in Jahren — beide stützen sich auf dieselbe Vorfallsakte.

Die interne Kette vor beiden Strängen — die Zuordnung der Schritte zu konkreten Rollen ist Praxisempfehlung: 1. Feststellung durch die Meldestelle, Zeitstempel im Audit-Log (Abschnitt 5). 2. Risikobewertung durch Meldestelle und Datenschutzbeauftragte gemeinsam, Ergebnis schriftlich — davon hängt ab, ob die Meldepflicht aus Strang 1 überhaupt greift. 3. Entscheidung über die Meldung innerhalb der 72-Stunden-Frist aus Strang 1. 4. Ablage von Feststellung, Bewertung, Entscheidung und Verschlüsselungsnachweis (Abschnitt 2) in der Vorfallsakte.

Strang 1 — Datenschutz: Die Verletzung des Schutzes personenbezogener Daten ist der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden, es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist unwahrscheinlich; erfolgt die Meldung später, ist eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 DSGVO). Bei voraussichtlich hohem Risiko ist zusätzlich die betroffene Person unverzüglich zu benachrichtigen (Art. 34 Abs. 1 DSGVO), soweit keine Ausnahme des Art. 34 Abs. 3 DSGVO greift. Zuständig sind in Deutschland für nichtöffentliche Stellen die nach Landesrecht zuständigen Aufsichtsbehörden (§ 40 Abs. 1 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG).

Strang 2 — Sanktionen: Die Übersicht nennt Höchstbeträge, Verjährungsfristen und Ersatzansprüche; welcher Tatbestand greift, hängt vom Verstoßtyp ab. Die Zeilen sind nach Rechtsraum getrennt und nicht übertragbar.

Wer ahndet: § 1 HinSchGOWiZustV überträgt die Verfolgung und Ahndung von Ordnungswidrigkeiten nach § 40 HinSchG auf das Bundesamt für Justiz — allerdings nur, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt; außerhalb dieses Bereichs bleibt es bei den allgemeinen Zuständigkeitsregeln (§ 36 OWiG, gegebenenfalls Landesbehörden). In Österreich verhängt die Bezirksverwaltungsbehörde die Verwaltungsstrafe nach § 24 HSchG; über die Verwaltungsübertretung nach § 62 Abs. 1 DSG entscheidet die Datenschutzbehörde, und sie greift nur, sofern die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen strenger bedroht ist.

Datenschutzrechtlicher Rahmen daneben: Verstöße gegen die in Art. 83 Abs. 4 DSGVO genannten Pflichten — darunter Art. 25 bis 39 DSGVO und damit Art. 32 DSGVO — werden mit bis zu 10.000.000 EUR oder 2 % des weltweiten Jahresumsatzes geahndet, je nachdem, welcher Betrag höher ist; Verstöße gegen Art. 5, 6, 7, 9 DSGVO oder die Betroffenenrechte (Art. 12 bis 22 DSGVO) mit bis zu 20.000.000 EUR oder 4 % (Art. 83 Abs. 5 DSGVO).