Eine Meldung ist eingegangen, enthält Namen und verlangt eine Untersuchung. Die interne Meldestelle muss jetzt mehr leisten als eine Eingangsbestätigung versenden: Sie muss die Zuständigkeit prüfen, belastbare von unbestätigten Angaben unterscheiden und für jede Weitergabe festlegen, welche Identität tatsächlich offengelegt werden darf. Dafür braucht sie eine begrenzte Fallakte mit dokumentierten Entscheidungen.
Der folgende Ablauf behandelt die Bearbeitung einer konkreten internen Meldung nach dem deutschen Hinweisgeberschutzgesetz. Er setzt eine eingerichtete Meldestelle voraus. Die Auswahl und Organisation eines Hinweisgebersystems ist ein vorgelagerter Arbeitsschritt. Ein Produktname oder eine technische Zertifizierung beantwortet die Fragen des einzelnen Falls noch nicht.
Eingang sichern, ohne die Meldung im Unternehmen zu verteilen
Im fiktiven Fall H-09 berichtet eine Beschäftigte eines Handelsunternehmens über möglicherweise veränderte Prüfprotokolle für ein Produkt. Sie nennt zwei Kollegen, übersendet eine Tabelle und bietet Rückfragen an. Die Meldestelle speichert den Eingang im geschützten Bereich und prüft zunächst, ob ein benannter Bearbeiter persönlich betroffen ist. Ein Interessenkonflikt muss vor der fachlichen Untersuchung gelöst werden, nicht erst vor deren Abschluss.
Nach § 8 HinSchG betrifft das Vertraulichkeitsgebot die Identität der hinweisgebenden Person unter den gesetzlichen Voraussetzungen, der Personen, die Gegenstand der Meldung sind, sowie sonstiger darin genannter Personen. Auch die zunächst möglicherweise unzuständige Meldestelle muss die Vertraulichkeit beachten. Eine Weiterleitung an den allgemeinen Einkauf mit dem Kommentar „Bitte prüfen“ wäre deshalb keine neutrale Verwaltungsmaßnahme.
Der Zugriff ist auf die für Entgegennahme oder Folgemaßnahmen zuständigen und die sie dabei unterstützenden Personen zu begrenzen. Unterstützende Personen sind nicht dasselbe wie sämtliche Beschäftigte mit administrativen Rechten. Prüfen Sie die tatsächlichen Rollen, Vertretungen, Wartungszugänge und Exporte. Ein technischer Fehlerbericht sollte keine Originalmeldung als frei lesbaren Anhang enthalten.
Einen Fallkopf mit überprüfbaren Angaben anlegen
Die Dokumentation muss dauerhaft abrufbar sein und gleichzeitig den Vertraulichkeitsschutz wahren. Die Meldestelle trennt deshalb im Beispiel eine besonders geschützte Identitätszuordnung von der Arbeitsfassung für die fachliche Prüfung. Die Fallnummer ist eine organisatorische Hilfe; sie macht den Vorgang nicht anonym, solange die Beteiligten zugeordnet oder aus dem Inhalt erkannt werden können.
| Feld | Eintrag für H-09 |
|---|---|
| Eingang | 8. September 2026, geschützter Textkanal |
| Gegenstand | Verdacht nachträglich geänderter Produktprüfprotokolle |
| Tatsachenstand | Behauptung und beigefügte Tabelle; noch keine Feststellung eines Verstoßes |
| Rückkanal | Geschütztes Dialogpostfach der meldenden Person |
| Zuständigkeit | Prüfung des sachlichen Anwendungsbereichs und möglicher Sonderregeln zugeordnet |
| Bearbeitung | Zwei benannte, nicht betroffene Personen; Vertretung dokumentiert |
| Nächster Schritt | Herkunft und Bedeutung der Tabelle klären, Originalversionen begrenzt sichern |
Der Fallkopf enthält keinen voreiligen Eintrag „Kollege hat gefälscht“. Die Meldestelle hält fest, was die hinweisgebende Person selbst wahrgenommen hat und welche Schlussfolgerung sie daraus zieht. Bei einer späteren Korrektur bleibt erkennbar, welche Angabe ersetzt wurde und weshalb. Eine ungeprüfte Anschuldigung darf nicht als erwiesene Personalinformation in andere Systeme wandern.
Rechtsgrundlage und Erforderlichkeit je Bearbeitungsschritt prüfen
§ 10 HinSchG erlaubt Meldestellen die zur Erfüllung ihrer gesetzlichen Aufgaben erforderliche Verarbeitung personenbezogener Daten. Für erforderliche besondere Kategorien sieht die Vorschrift zusätzliche Schutzmaßnahmen vor. Daraus folgt kein Auftrag, alle verfügbaren Informationen über sämtliche genannten Personen zu sammeln. Begrenzen Sie die Untersuchung auf den gemeldeten Sachverhalt und dokumentieren Sie eine begründete Erweiterung gesondert.
Im Beispiel sind Versionen der betroffenen Prüfprotokolle und die dazugehörigen Freigaben relevant. Private Urlaubsfotos, Krankheitsangaben oder das vollständige E-Mail-Archiv einer Abteilung sind es nicht allein deshalb, weil sie technisch erreichbar wären. Für Strafdaten oder andere besonders geschützte Informationen muss die einschlägige Rechtslage zusätzlich geprüft werden. Die Fallakte sollte solche Inhalte nicht durch ein unkontrolliertes Freitextfeld vervielfältigen.
Die Tätigkeit gehört in das Verzeichnis der Verarbeitungstätigkeiten, mit tatsächlichen Empfängern und Aufbewahrungsregeln. Bei externen Beteiligten wird deren Rolle anhand der übernommenen Aufgaben bestimmt. Ein technischer Betreiber und eine eigenverantwortlich beratende Stelle müssen nicht dieselbe datenschutzrechtliche Rolle haben. Die Prüfung der Auftragsverarbeitung beginnt daher beim tatsächlichen Leistungsumfang.
Eingangsbestätigung und Rückmeldung richtig berechnen
Für interne Meldungen verlangt § 17 HinSchG die Eingangsbestätigung spätestens nach sieben Tagen. Die Rückmeldung erfolgt innerhalb von drei Monaten nach der Bestätigung. Wurde nicht bestätigt, gilt spätestens die Grenze von drei Monaten und sieben Tagen nach Eingang. Ein fehlgeschlagener Versand setzt den Eingang nicht zurück und schafft keinen neuen Fristbeginn nach Belieben.
H-09 wird am 10. September bestätigt. Die Meldestelle trägt die Rückmeldefrist ausgehend von dieser tatsächlichen Bestätigung ein und setzt einen früheren internen Entwurfstermin. Die Bestätigung lautet beispielsweise: „Ihre Meldung ist unter H-09 eingegangen. Wir prüfen den geschilderten Sachverhalt und können über diesen geschützten Kanal Rückfragen stellen. Bitte übermitteln Sie weitere Unterlagen nur, soweit sie den beschriebenen Vorgang betreffen.“ Sie verspricht weder ein bestimmtes Untersuchungsergebnis noch eine vollständige Offenlegung aller Ermittlungsschritte.
Die Fristen verlangen eine verlässliche Organisation, nicht zwingend eine bestimmte Automatisierung. Ein Vertretungsplan muss auch bei Urlaub funktionieren. Ein automatisch erzeugter Status „in Bearbeitung“ ersetzt keine inhaltliche Rückmeldung über geplante oder ergriffene Folgemaßnahmen und deren Gründe. Umgekehrt ist die Drei-Monats-Frist keine pauschale Pflicht, jede komplexe Untersuchung bis dahin vollständig abzuschließen.
Identität und Untersuchungspaket getrennt weitergeben
Für H-09 benötigt eine technische Fachperson die betroffenen Dateiversionen. Die Meldestelle erstellt eine Arbeitsfassung mit Fallnummer, relevanten Zeitpunkten und konkreten Prüffragen. Sie entfernt den Namen der meldenden Person, persönliche Kommentare und versteckte Dokumenteigenschaften, soweit diese für den Auftrag nicht benötigt werden. Anschließend prüft sie, ob der verbleibende Inhalt die Person dennoch unmittelbar erkennbar macht.
§ 9 HinSchG unterscheidet verschiedene Identitäten und Weitergabegründe. Für eine über die dort genannten behördlichen beziehungsweise gerichtlichen Fälle hinausgehende Weitergabe der Identität der hinweisgebenden Person müssen die Folgemaßnahme und die konkrete Offenlegung erforderlich sein; zusätzlich ist deren vorherige gesonderte Einwilligung für jede einzelne Weitergabe in Textform erforderlich. Ein allgemeiner Satz „Ich stimme allen Ermittlungen zu“ erfüllt diese konkrete Entscheidung nicht.
Ein bearbeitbarer Vermerk lautet: „Weitergabe an die benannte externe Prüferin zur Klärung der am 3. September beobachteten Änderung erforderlich; ohne Kenntnis der Wahrnehmungsperson kann die konkrete Rückfrage nicht beantwortet werden. Empfängerin, Zweck und Umfang wurden erläutert; gesonderte Zustimmung in Textform liegt vor. Andere Anhänge bleiben ausgeschlossen.“ Ist die Identität für den Auftrag nicht erforderlich, wird sie trotz angebotener Zustimmung nicht vorsorglich mitgesendet.
Für die Identität beschuldigter oder sonst genannter Personen enthält § 9 Absatz 4 eigene Voraussetzungen, etwa erforderliche interne Untersuchungen oder Folgemaßnahmen. Die Meldestelle darf diese Regel nicht unbesehen auf die hinweisgebende Person übertragen. Bei behördlichem Verlangen prüft sie die konkrete Grundlage und Zuständigkeit. Die gesetzliche Vorabinformation an die hinweisgebende Person und die Ausnahme bei mitgeteilter Gefährdung von Ermittlungen werden im Übergabevermerk getrennt dokumentiert.
Mündliche Hinweise nachvollziehbar dokumentieren
Nicht jedes Gespräch darf automatisch aufgezeichnet werden. Nach § 11 HinSchG setzt eine dauerhaft abrufbare Tonaufzeichnung oder ein Wortprotokoll einer telefonischen Meldung die Einwilligung der hinweisgebenden Person voraus. Ohne diese Einwilligung fertigt die verantwortliche Person ein Inhaltsprotokoll an. Die meldende Person erhält Gelegenheit zur Prüfung, Korrektur und Bestätigung. Eine zur Protokollerstellung verwendete Tonaufnahme ist nach Fertigstellung des Protokolls zu löschen.
Für eine Rückfrage zu H-09 wird im Beispiel lediglich ein Inhaltsprotokoll erstellt. Es trennt die Frage, die Antwort und die daraus noch offene Prüfung. Eine Zusammenfassung wie „Die Person bestätigt den Betrug“ wäre falsch, wenn sie nur bestätigt hat, dass zwei Dateiversionen unterschiedlich aussahen. Die prüfende Person stellt diese Unterscheidung vor der Bestätigung klar.
Anonyme Meldungen sollten nach § 16 ebenfalls bearbeitet werden; die Vorschrift verpflichtet jedoch nicht allgemein dazu, den Kanal für die Abgabe anonymer Meldungen auszugestalten. Wenn ein anonymer Rückkanal angeboten wird, sollte er ohne Identitätszwang nutzbar bleiben. Fehlt eine erreichbare Kontaktmöglichkeit, dokumentiert die Meldestelle dieses tatsächliche Hindernis, statt eine versandte Bestätigung zu erfinden.
Rückmeldung und Betroffenenrechte begrenzen, ohne sie zu ignorieren
Die Rückmeldung für H-09 kann erklären, dass die betroffenen Versionen gesichert, die Freigabeabläufe geprüft und eine zusätzliche Kontrolle vorgesehen wurden. Sie darf keine personenbezogenen Untersuchungsergebnisse offenlegen, die hierfür nicht erforderlich sind. § 17 begrenzt die Rückmeldung insbesondere zum Schutz interner Nachforschungen und der Rechte genannter Personen. Halten Sie fest, welche Information aus welchem konkreten Grund vorläufig nicht mitgeteilt werden kann.
Auch Auskunfts- und Informationspflichten nach der DSGVO werden fallbezogen bearbeitet. Der Vertraulichkeitsschutz ist kein pauschaler Verzicht auf sämtliche Rechte der beschuldigten Person. Umgekehrt darf eine Auskunft nicht einfach die ungeschwärzte Meldung und die Identität der Quelle ausgeben. Die zuständige Stelle prüft einschlägige Einschränkungen, schützt Rechte anderer und dokumentiert eine erforderliche Teilantwort. Der Leitfaden zur DSGVO-Auskunft hilft bei Frist, Identitätsprüfung und sicherer Zustellung.
Wird der Hinweis nicht bestätigt, bleibt dies im Abschlussvermerk erkennbar. Eine unbelegte Meldung ist nicht automatisch eine vorsätzlich oder grob fahrlässig unrichtige Meldung im Sinne des § 9 Absatz 1. Die bloße fehlende Bestätigung rechtfertigt deshalb keine öffentliche Benennung der meldenden Person.
Abschluss und Löschung tatsächlich ausführen
Die Dokumentation wird nach § 11 Absatz 5 grundsätzlich drei Jahre nach Abschluss des Verfahrens gelöscht. Eine längere Aufbewahrung ist möglich, soweit sie zur Erfüllung der Anforderungen dieses Gesetzes oder anderer Rechtsvorschriften erforderlich und verhältnismäßig bleibt. Tragen Sie deshalb ein tatsächliches Abschlussdatum ein. Eine organisatorische Schließung ohne erledigte Folgemaßnahmen oder ein künstliches Offenhalten zur unbegrenzten Speicherung wäre nicht aussagekräftig.
Für H-09 enthält der Abschlussvermerk das Ergebnis, die erledigten Maßnahmen, offene getrennte Verfahren und den daraus berechneten Löschtermin. Eine begründete längere Aufbewahrung erhält einen eigenen Prüfzeitpunkt und einen eingeschränkten Zugriff. Das Löschkonzept umfasst auch Untersuchungsexporte, gesonderte Identitätszuordnungen und lokale Arbeitskopien.
Vor dem endgültigen Abschluss kontrolliert eine zweite zuständige Person die Empfängerhistorie und die Rückmeldung. Sie prüft außerdem, ob Anhänge versehentlich im allgemeinen Ticketsystem liegen. Eine solche Offenlegung wird als eigener Datenschutzvorfall bewertet; erforderlichenfalls greift der Ablauf zur Benachrichtigung betroffener Personen. Der Fall ist organisatorisch abgeschlossen, wenn Untersuchung, Information, Berechtigungen und Aufbewahrung zusammenpassen.