Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Anti-Fraud & Compliance · Vorstand, ACFE Swiss Chapter
In den meisten Fällen ja. Ein Hinweisgebersystem verarbeitet sensible Daten über Hinweisgeber, die gemeldeten Personen und Zeugen. Damit erfüllt es in der Regel das DSGVO-Kriterium einer Verarbeitung mit „voraussichtlich hohem Risiko“, die eine Datenschutz-Folgenabschätzung (DSFA) erfordert. Einige Länder regeln das ausdrücklich: Das italienische Whistleblowing-Dekret schreibt eine DSFA vor, und die französische Datenschutzbehörde CNIL führt Hinweisgebersysteme unter den Verarbeitungen, die immer eine DSFA brauchen. Wo eine ausdrückliche Regel fehlt, weisen die Hochrisiko-Kriterien der Aufsichtsbehörden in dieselbe Richtung. Die DSFA ist vor dem Start des Meldekanals durchzuführen und bei Änderungen zu überprüfen.
Dieser Leitfaden erklärt, wann eine DSFA erforderlich ist, was sie für einen Meldekanal abdecken sollte und welche Lücken am häufigsten auftreten. Für den umfassenderen rechtlichen Rahmen siehe unseren Leitfaden zum Whistleblowing-Recht in der EU.
im Kanal verankert ist
Ein Meldekanal, der von Grund auf auf Vertraulichkeit ausgelegt ist. Trusty Whistleblowing bietet Ihnen einen anonymen Zwei-Wege-Posteingang, ein vollständiges Prüfprotokoll, konfigurierbare Aufbewahrungsfristen und einen Auftragsverarbeitungsvertrag für jeden Kunden.
Warum ein Hinweisgebersystem eine Datenschutzfrage ist
Ein Hinweisgebersystem dient dazu, Informationen über mögliches Fehlverhalten zu sammeln. Diese Informationen sind fast immer personenbezogene Daten: über die hinweisgebende Person, die beschuldigte Person und Kollegen oder Zeugen, die im Verlauf genannt werden.
Drei Merkmale machen diese Verarbeitung besonders sensibel:
- Besondere Kategorien personenbezogener Daten und strafrechtliche Daten. Meldungen können Hinweise auf Gesundheit, Gewerkschaftszugehörigkeit oder Sexualleben enthalten, die unter Artikel 9 DSGVO als besondere Kategorien personenbezogener Daten gelten. Viele Meldungen beschreiben mögliche Straftaten, wodurch Artikel 10 über Daten zu strafrechtlichen Verurteilungen und Straftaten zur Anwendung kommt.
- Personen, die nicht wissen, dass sie genannt wurden. Die von einer Meldung betroffene Person erfährt davon meist erst spät, wenn überhaupt, und hat kaum Kontrolle darüber, was über sie erfasst wird.
- Eine gesetzliche Vertraulichkeitspflicht. Artikel 16 der Richtlinie (EU) 2019/1937 verlangt, dass die Identität der hinweisgebenden Person nicht an andere als die befugten Mitarbeiter, die Meldungen bearbeiten, offengelegt wird, es sei denn, die betroffene Person stimmt ausdrücklich zu. Dies gilt auch für alle Informationen, aus denen sich ihre Identität ableiten ließe.
Die Richtlinie besagt außerdem, dass personenbezogene Daten, die für eine Meldung offensichtlich nicht relevant sind, nicht erhoben werden dürfen oder unverzüglich zu löschen sind, falls sie versehentlich erhoben wurden (Artikel 17). Diese Pflichten müssen in die Konzeption des Kanals einfließen. Eine DSFA ist der Ort, an dem Sie darlegen, wie dies umgesetzt wird.
Wann eine DSFA erforderlich ist
Artikel 35 Absatz 1 DSGVO verlangt eine DSFA vor jeder Verarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen mit sich bringt. Artikel 35 Absatz 3 nennt drei Fälle, in denen sie stets erforderlich ist, darunter die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder strafrechtlicher Daten.
Für alle übrigen Fälle legen die DSFA-Leitlinien der Artikel-29-Datenschutzgruppe (WP248 rev.01) neun Kriterien fest. Als Faustregel gilt: Erfüllt eine Verarbeitung zwei dieser Kriterien, ist in den meisten Fällen eine DSFA erforderlich. Ein Hinweisgebersystem erfüllt in der Regel mindestens zwei davon: sensible oder höchstpersönliche Daten und schutzbedürftige betroffene Personen, eine Kategorie, zu der die Leitlinien ausdrücklich auch Beschäftigte zählen.
In einigen Ländern ist die Frage durch nationale Vorschriften geklärt. Jede Datenschutzbehörde muss eine Liste der Verarbeitungen veröffentlichen, die eine DSFA erfordern (Artikel 35 Absatz 4 DSGVO). Unsere Prüfung dieser Listen und der zugehörigen Leitfäden ergab:
Land | Einordnung von Hinweisgebersystemen | Quelle |
|---|---|---|
Frankreich | Die CNIL-Liste umfasst Verarbeitungen zur Verwaltung von beruflichen Meldungen und Hinweisen | CNIL Délibération n° 2018-327 |
Polen | Die UODO-Liste nennt Systeme zur Meldung von Unregelmäßigkeiten (Whistleblowing) als Beispiel | UODO-DSFA-Liste |
Italien | Nicht auf der Garante-Liste, aber das Whistleblowing-Dekret verlangt, dass das Meldemodell auf einer DSFA beruht | Decreto legislativo 24/2023, Artikel 13 Absatz 6 |
Deutschland | Nicht auf der nationalen Liste, aber die DSK-Orientierungshilfe zu Whistleblowing-Hotlines sieht wegen des besonders hohen Risikos eine DSFA als erforderlich an | DSK-Orientierungshilfe (2018) |
Spanien, Belgien, Niederlande, Irland | Nicht auf den nationalen Listen genannt, sodass die allgemeinen Kriterien gelten | Nationale DSFA-Listen |
Wenn Sie zu dem Schluss kommen, dass keine DSFA erforderlich ist, dokumentieren Sie Ihre Begründung. Gruppen, die einen Kanal in mehreren Ländern betreiben, sollten jede nationale Vorschrift prüfen: Unser Leitfaden zu Whistleblowing für länderübergreifend tätige Arbeitgeber erklärt, wie das geht.
klare Zugriffsrechte
Halten Sie Meldungen von Personen fern, die sie nicht sehen sollten. Trusty bietet SSO in jedem Tarif, Zwei-Faktor-Authentifizierung ab Standard und rollenbasierte Berechtigungen ab Advanced, mit einem vollständigen Prüfprotokoll, wer was getan hat.
Was die DSFA für ein Hinweisgebersystem abdecken sollte
Artikel 35 Absatz 7 DSGVO legt den Mindestinhalt fest: eine systematische Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die betroffenen Personen sowie die Maßnahmen zur Bewältigung dieser Risiken. Für einen Meldekanal sollten Sie folgende Punkte durcharbeiten:
- Zweck und Rechtsgrundlage. Entgegennahme und Bearbeitung von Meldungen nach Ihrem nationalen Whistleblowing-Recht. Für Arbeitgeber, die einen Kanal einrichten müssen, handelt es sich dabei in der Regel um die Erfüllung einer rechtlichen Verpflichtung.
- Datenkategorien. Identitäts- und Kontaktdaten, sofern die hinweisgebende Person diese angibt, der Inhalt der Meldung, Beweismittel, Gesprächsnotizen sowie etwaige besondere Kategorien personenbezogener Daten oder strafrechtliche Daten.
- Zugriffsrechte und Rollen. Benennen Sie die Rollen: die meldungsbearbeitende Person, eine Vertretung bei Interessenkonflikten, Ermittler. Alle anderen, einschließlich IT und Geschäftsleitung, sollten keinen routinemäßigen Zugriff haben.
- Aufbewahrungsfristen. Legen Sie für jede Phase eine Frist fest. Italien erlaubt die Aufbewahrung von Aufzeichnungen für höchstens fünf Jahre ab dem endgültigen Ergebnis. Spanien verlangt die Löschung der Daten aus dem System nach drei Monaten, wenn keine Untersuchung eingeleitet wurde, es sei denn, sie werden aufbewahrt, um die Funktionsweise des Systems nachzuweisen, und setzt eine absolute Höchstgrenze von zehn Jahren. Ihre Whistleblowing-Richtlinie sollte die von Ihnen gewählte Frist angeben.
- Rechte der hinweisgebenden Person und der betroffenen Person. Wie Sie Personen gemäß Artikel 13 und 14 DSGVO informieren, wann die Information der betroffenen Person aufgeschoben werden kann und wie Auskunftsersuchen bearbeitet werden, ohne die hinweisgebende Person preiszugeben.
- Sicherheit. Verschlüsselung, Authentifizierung, Protokollierung, Hosting-Standort und wie anonyme Hinweisgeber anonym bleiben.
- Auftragsverarbeiter. Hostet ein Softwareanbieter den Kanal, handelt er als Ihr Auftragsverarbeiter, und Sie benötigen einen Vertrag gemäß Artikel 28 DSGVO. Italiens Dekret schreibt dies ausdrücklich vor.
So führen Sie die DSFA in der Praxis durch
- Den Prozess abbilden. Verfolgen Sie eine Meldung von der Einreichung bis zur Löschung, einschließlich mündlicher Meldungen und Besprechungen.
- Den Datenschutzbeauftragten frühzeitig einbeziehen. Artikel 35 Absatz 2 DSGVO verlangt, dass der Verantwortliche den Rat des Datenschutzbeauftragten (DSB) einholt, sofern einer benannt wurde.
- Die Risiken identifizieren. Zum Beispiel: Die hinweisgebende Person wird anhand von Metadaten identifiziert, ein in einer Meldung beschuldigter Vorgesetzter kann diese lesen, oder Daten werden unbegrenzt aufbewahrt.
- Maßnahmen auswählen. Ordnen Sie jedem Risiko eine Kontrollmaßnahme zu und halten Sie fest, wer dafür verantwortlich ist.
- Freigeben und überprüfen. Die Geschäftsleitung akzeptiert das verbleibende Risiko auf Empfehlung des Datenschutzbeauftragten. Überprüfen Sie die DSFA, wenn Sie den Anbieter wechseln, ein Land hinzufügen oder einen neuen Kanal eröffnen.
In Italien fügen die Leitlinien der ANAC, der nationalen Antikorruptionsbehörde, aus dem Jahr 2025 zwei nützliche Punkte hinzu. Der Verantwortliche kann sich auf die Unterstützung des Softwareanbieters für die DSFA stützen. Und gewöhnliche E-Mail und zertifizierte E-Mail (PEC) gelten für sich genommen als nicht ausreichend, um die Vertraulichkeit zu schützen, es sei denn, in der DSFA werden spezifische, begründete Gegenmaßnahmen festgelegt. Für das größere Bild siehe Datenschutz und Compliance.
Häufige Lücken
- Aufbewahrung nicht definiert. „So lange wie nötig“ ist keine Aufbewahrungsfrist. Legen Sie für jede Phase eine Frist fest und stellen Sie sicher, dass das System sie durchsetzt.
- Zu viele Personen mit Zugriff. Gemeinsam genutzte Postfächer, HR-Posteingänge und Administratorkonten gewähren oft mehr Personen Einblick in Meldungen, als die Regel zu den befugten Mitarbeitern zulässt.
- Kein Auftragsverarbeitungsvertrag. Die Nutzung eines Anbieters ohne Vertrag nach Artikel 28 ist bereits selbst eine Lücke.
- Die betroffene Person wird vergessen. Viele DSFAs konzentrieren sich auf die hinweisgebende Person. Auch die in einer Meldung genannte Person hat Rechte, und die Bewertung sollte erläutern, wie diese gewahrt werden.
- Einmal erstellt, nie überprüft. Eine DSFA aus der Einführungsphase des Kanals spiegelt neue Länder, neue Bearbeiter oder einen neuen Anbieter nicht wider.
Wie Trusty Whistleblowing unterstützt
Trusty Whistleblowing gibt den Kontrollen, nach denen eine DSFA fragt, einen konkreten Rahmen. Die Daten werden in einem ISO-27001-zertifizierten Rechenzentrum in Deutschland gehostet, Verbindungen und Kommunikation sind verschlüsselt, und es werden keine IP-Adressen gespeichert. Hinweisgeber können anonym bleiben und den Dialog über einen sicheren Posteingang fortsetzen.
Jeder Tarif umfasst SSO, ein vollständiges Prüfprotokoll und manipulationssichere Fallaufzeichnungen, mit Zwei-Faktor-Authentifizierung ab dem Tarif Standard und rollenbasierten Berechtigungen ab Advanced. Die Aufbewahrungsfristen sind konfigurierbar, mit Löscherinnerungen, und ein Auftragsverarbeitungsvertrag steht jedem Kunden zur Verfügung.
Sie suchen Whistleblowing-Software? Trusty richtet einen internen Meldekanal ab 49 € pro Monat ein.
Dieser Artikel dient allgemeinen Informationszwecken und stellt keine Rechtsberatung dar. Quellen: Verordnung (EU) 2016/679 (DSGVO); Richtlinie (EU) 2019/1937; Artikel-29-Datenschutzgruppe, WP248 rev.01; CNIL, Liste der Verarbeitungen, die eine DSFA erfordern; UODO-DSFA-Liste; Garante-DSFA-Liste; Decreto legislativo 24/2023; DSK, Orientierungshilfe Whistleblowing-Hotlines; AEPD-DSFA-Liste; Ley 2/2023; ANAC, Linee Guida n. 1/2025.
Häufig gestellte Fragen
In einigen Ländern ist sie ausdrücklich vorgeschrieben, zum Beispiel in Italien durch das Decreto legislativo 24/2023 und in Frankreich durch die Liste der CNIL. In anderen Fällen erfüllt ein Meldekanal in der Regel mindestens zwei der Hochrisiko-Kriterien der Aufsichtsbehörden, was in den meisten Fällen bedeutet, dass eine DSFA erforderlich ist.
Zuständig ist der Verantwortliche, also die Organisation, die den Kanal betreibt. Sie muss den Rat ihres Datenschutzbeauftragten einholen, sofern einer benannt wurde, und kann den Softwareanbieter um die technischen Details bitten.
Die DSGVO legt keine feste Frist fest, sodass das nationale Recht und Ihre DSFA darüber entscheiden. Italien erlaubt eine Aufbewahrung von bis zu fünf Jahren ab dem endgültigen Ergebnis. Spanien setzt eine absolute Höchstgrenze von zehn Jahren und verlangt die Löschung nach drei Monaten, wenn keine Untersuchung eingeleitet wurde.
Ja, grundsätzlich schon, dies kann jedoch eingeschränkt werden, um die Identität der hinweisgebenden Person zu schützen. Sowohl Frankreichs CNIL als auch Deutschlands DSK bestätigen dieses Recht, erlauben aber, die Identität der hinweisgebenden Person zurückzuhalten, und das italienische Recht schränkt es ein, wenn es die Vertraulichkeit der hinweisgebenden Person beeinträchtigen würde.
Nein. Die Organisation bleibt Verantwortlicher und muss die DSFA weiterhin durchführen. Der Anbieter handelt als Auftragsverarbeiter im Rahmen eines Vertrags nach Artikel 28 und kann die technischen Informationen liefern, die Sie benötigen.
mit EU-Richtlinie & DSGVO
Hinweisgeber-Software einfach gemacht, entwickelt von Compliance-Experten.