Hinweisgeberkanal und DSGVO: Vertraulichkeit, Zugriff und Löschfristen

Ein Hinweisgeberkanal verarbeitet regelmäßig Identitätsdaten, Vorwürfe, Beweismittel und Angaben zu weiteren Personen. Der Hinweisgeberkanal muss deshalb nicht nur erreichbar sein, sondern Vertraulichkeit, Zweckbindung und begrenzte Zugriffe praktisch gewährleisten. Für Unternehmen in Österreich treffen dabei die DSGVO und das HinweisgeberInnenschutzgesetz zusammen.

Dieser Beitrag zeigt, wer auf eine Meldung zugreifen darf, wie die Identität der hinweisgebenden und der betroffenen Person geschützt wird und welche Löschfristen gelten. Im Mittelpunkt steht der Datenschutzprozess rund um eine interne Meldung, nicht die arbeitsrechtliche Beurteilung des zugrunde liegenden Vorwurfs.

Das HinweisgeberInnenschutzgesetz schützt Personen, die aufgrund einer laufenden oder früheren beruflichen Verbindung Informationen über Rechtsverletzungen erlangt haben. Nach § 3 Abs 1 HSchG gilt der allgemeine sachliche Rahmen für Unternehmen mit 50 oder mehr Arbeitnehmerinnen und Arbeitnehmern. Für bestimmte unionsrechtlich erfasste Bereiche kann das Gesetz unabhängig von dieser Zahl greifen. Der Schutzbereich des Gesetzes und die konkrete organisatorische Pflicht sind daher gesondert zu prüfen.

Für den Datenschutz ist § 8 HSchG besonders wichtig. Die Verarbeitung der in Hinweisen enthaltenen personenbezogenen Daten ist für die Zwecke des Gesetzes zulässig, muss aber auf die Daten beschränkt werden, die zur Feststellung und Ahndung einer Rechtsverletzung benötigt werden. Das entspricht dem Grundgedanken der Zweckbindung und Datenminimierung aus Art. 5 Abs 1 lit b und c DSGVO.

Der Rechtsträger, dem die interne Stelle angehört, ist nach § 8 Abs 4 HSchG grundsätzlich Verantwortlicher für die Einrichtung des Hinweisgebersystems. Betreiben mehrere Verantwortliche ein System gemeinsam, kann gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegen. Ein technischer Anbieter wird dadurch nicht automatisch zum Verantwortlichen. Seine Rolle ist anhand der Zwecke und Mittel der konkreten Verarbeitung zu prüfen.

§ 7 Abs 1 HSchG verpflichtet interne und externe Stellen, die Identität der hinweisgebenden Person zu schützen. Das gilt auch für Informationen, aus denen sich die Identität direkt oder indirekt ableiten lässt. Ein Name im Benutzerkonto ist daher nicht das einzige Schutzgut. Auch Abteilung, Zeitstempel, Dateieigenschaften, konkrete Formulierungen oder eine kleine Personengruppe können eine Identifizierung ermöglichen.

Nach § 7 Abs 2 HSchG dürfen Personen, die den Inhalt einer Meldung außerhalb der zuständigen Stelle erhalten, den Inhalt und die Identität nicht bekanntgeben. Die bloße Weiterleitung an die zuständige Stelle bleibt zulässig. Praktisch bedeutet das: Der allgemeine Posteingang, die Assistenz oder die IT-Administration sollten den vollständigen Meldungstext nicht automatisch sehen, wenn sie ihn für ihre Aufgabe nicht benötigen.

Der Schutz gilt auch für die von der Meldung betroffene Person. § 7 Abs 5 HSchG erstreckt die Schutzregeln auf deren Identität und auf Informationen, aus denen sie abgeleitet werden kann. Die interne Untersuchung darf deshalb nicht mit einem offenen Verteiler geführt werden. Erforderliche Offenlegungen an Behörden, Gerichte oder die Staatsanwaltschaft sind an die gesetzlichen Voraussetzungen und Verhältnismäßigkeit gebunden.

§ 9 Abs 6 HSchG verlangt ein vertrauliches und sicheres System. Der Zugang muss so beschränkt und protokolliert werden, dass nur Mitarbeiterinnen und Mitarbeiter zugreifen können, die den Zugriff zur Bearbeitung der Meldung benötigen. Diese Vorgabe betrifft nicht nur die Anmeldemaske. Sie erfasst auch Exporte, Backups, Supportzugriffe, Benachrichtigungen und Administrationskonten.

Für die Praxis ist eine Trennung der Datenbereiche sinnvoll. Die Identität der hinweisgebenden Person, die Meldung selbst, Beweisdokumente und Untersuchungsnotizen müssen nicht für jede Rolle gemeinsam sichtbar sein. Die zuständige Stelle braucht möglicherweise den vollständigen Inhalt. Ein technischer Administrator benötigt hingegen nur die Informationen, die für Betrieb und Sicherheit zwingend erforderlich sind. Die Rechte sollten zeitlich und sachlich begrenzt sein.

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Dazu können unter anderem starke Authentisierung, Verschlüsselung, getrennte Rollen, sichere Wiederherstellung und die regelmäßige Überprüfung der Wirksamkeit gehören. Entscheidend ist nicht eine lange Liste von Sicherheitsbegriffen, sondern der Nachweis, dass die tatsächlichen Zugriffe, Änderungen und Übermittlungen kontrolliert werden.

Eine Meldung darf sensible Informationen enthalten, die für die Prüfung des Vorwurfs nicht erforderlich sind. Nach § 8 Abs 2 Z 2 und Abs 10 HSchG ist die Verarbeitung auf benötigte Daten zu beschränken. Nicht benötigte Daten dürfen nicht erhoben werden und müssen unverzüglich gelöscht werden, wenn sie unbeabsichtigt in die Akte gelangen. Das spricht für klare Eingabehinweise, eine strukturierte Bearbeitung und eine Kontrolle von Anhängen.

Die Rechtsgrundlage folgt nicht automatisch aus einer Einwilligung der hinweisgebenden Person. Der österreichische Gesetzgeber ordnet die Verarbeitung für die Zwecke des HSchG ein. Zusätzlich müssen die Grundsätze der DSGVO, die Rollenverteilung und die erforderlichen technischen und organisatorischen Maßnahmen eingehalten werden. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO dürfen nach § 8 Abs 5 HSchG nur unter den dort genannten strengen Voraussetzungen verarbeitet werden.

Die Information muss verständlich erklären, wie der Kanal funktioniert, wer Meldungen bearbeitet, welche Daten verarbeitet werden und wie lange sie gespeichert bleiben. Dabei ist die besondere Schutzregel des § 8 Abs 9 HSchG zu beachten: Rechte betroffener Personen können eingeschränkt sein, solange und soweit dies zum Schutz der Identität und zur wirksamen Bearbeitung erforderlich ist. Eine pauschale Verweigerung jeder Information ersetzt diese konkrete Prüfung nicht.

§ 8 Abs 11 HSchG enthält eine konkrete Aufbewahrungsregel. Personenbezogene Daten sind ab ihrer letztmaligen Verarbeitung oder Übermittlung fünf Jahre aufzubewahren. Darüber hinaus dürfen sie so lange aufbewahrt werden, wie es für bereits eingeleitete verwaltungsbehördliche oder gerichtliche Verfahren oder ein Ermittlungsverfahren nach der StPO erforderlich ist. Nach dem Ende der Aufbewahrungspflicht sind die personenbezogenen Daten zu löschen.

Die Frist beginnt daher nicht zwingend mit dem Eingang der Meldung. Für die Akte muss nachvollziehbar sein, wann die letzte relevante Verarbeitung oder Übermittlung stattgefunden hat. Eine Untersuchung, eine Übermittlung an eine zuständige Behörde oder eine spätere Folgemaßnahme kann den maßgeblichen Zeitpunkt beeinflussen. Das System sollte diesen Zeitpunkt nicht nur in einer freien Notiz, sondern strukturiert erfassen.

Protokolldaten haben eine eigene Regel. Nach § 8 Abs 12 HSchG sind tatsächlich durchgeführte Verarbeitungsvorgänge wie Änderungen, Abfragen und Übermittlungen zu protokollieren. Diese Protokolldaten sind ab ihrer letztmaligen Verarbeitung oder Übermittlung bis drei Jahre nach dem Entfall der Aufbewahrungspflicht nach Abs 11 aufzubewahren. Meldungsakte und Zugriffsprotokolle dürfen deshalb nicht mit einem einzigen Löschdatum behandelt werden.

Wird ein digitales Hinweisgebersystem von einem Anbieter betrieben, ist die Rolle des Anbieters je Verarbeitungsvorgang zu prüfen. Verarbeitet er Meldungsdaten ausschließlich für die Zwecke und nach den dokumentierten Weisungen des Rechtsträgers, liegt eine Auftragsverarbeitung nahe. Die Vereinbarung nach Art. 28 DSGVO muss dann unter anderem Gegenstand, Dauer, Datenarten, Betroffenengruppen, Weisungen, Vertraulichkeit, Sicherheit, Unterstützung und Löschung abbilden.

Die technische Plattform darf die Vertraulichkeit des HSchG nicht durch Standardzugriffe unterlaufen. Prüfen Sie Hosting, Support, Unterauftragnehmer, Backups, Administrationsrechte und mögliche Übermittlungen in Drittländer. Für die Rollenabgrenzung bei digitalen Diensten ist der Beitrag SaaS-Vertrag: Verantwortlicher oder Auftragsverarbeiter? hilfreich.

Eine Weitergabe innerhalb des Unternehmens ist nicht schon deshalb zulässig, weil die Empfängerin oder der Empfänger zur Geschäftsführung gehört. Maßgeblich bleiben Erforderlichkeit, Vertraulichkeit und die konkrete Aufgabe. Werden Meldungsdaten versehentlich an einen unzuständigen Empfänger übermittelt, muss der Vorfall als mögliches Sicherheitsereignis geprüft werden. Der Beitrag E-Mail an einen falschen Empfänger: Wann liegt eine Datenpanne vor? ordnet die erste Prüfung einer solchen Fehlübermittlung ein.

Zweck: Beschreiben Sie, welche Hinweise erfasst werden, welche Folgemaßnahmen möglich sind und welche Daten dafür erforderlich sind.

Rollen: Ordnen Sie Rechtsträger, interne Stelle, Untersuchende, IT-Administration und externe Dienstleister jeweils einer konkreten Aufgabe zu.

Vertraulichkeit: Trennen Sie Identität, Meldung, Beweismittel und Untersuchungsnotizen. Prüfen Sie auch indirekte Identifikationsmerkmale.

Zugriff: Legen Sie Berechtigungen, zeitliche Begrenzungen, starke Authentisierung und die Protokollierung von Abfragen und Änderungen fest.

Aufbewahrung: Erfassen Sie letzte Verarbeitung, laufende Verfahren, die fünfjährige Frist nach § 8 Abs 11 HSchG und die eigene Protokollfrist nach Abs 12.

Information: Halten Sie Kanal, Zuständigkeit, Datenverarbeitung, Schutzregeln und mögliche Einschränkungen von Betroffenenrechten verständlich fest.

Der gesamte Betrieb sieht die Meldung: Ein gemeinsames Funktionspostfach oder ein offener Teams-Kanal kann Identität und Vorwurf unnötig verbreiten.

Die Identität gilt als einziges Geheimnis: Auch Zeitpunkte, Abteilung, Dateinamen und konkrete Formulierungen können eine Person indirekt erkennbar machen.

Die Frist beginnt immer am Eingangstag: Für § 8 Abs 11 HSchG kommt es auf die letztmalige Verarbeitung oder Übermittlung an. Laufende Verfahren können die Aufbewahrung verlängern.

Protokolldaten werden gemeinsam gelöscht: Zugriffs- und Änderungsprotokolle haben nach § 8 Abs 12 HSchG eine eigene Aufbewahrungsregel.

Der Anbieter darf alles administrieren: Technische Administratoren brauchen nicht automatisch den Inhalt oder die Identität. Support- und Backuproutinen müssen eingeschränkt werden.

Meldung an den allgemeinen Posteingang: Eine Beschäftigte sendet den Hinweis an eine öffentlich bekannte E-Mail-Adresse. Der Empfänger darf den Inhalt nicht im Unternehmen verteilen, sondern muss ihn geschützt an die zuständige interne Stelle weiterleiten. Die Fehlleitung sollte dokumentiert und der Zugriff auf die Nachricht begrenzt werden.

Externe Untersuchung: Eine externe Stelle erhält die vollständige Akte, obwohl sie nur eine technische Prüfung durchführen soll. Vor der Übermittlung muss geklärt werden, welche Daten für diesen Zweck erforderlich sind, welche Rolle die Stelle hat und wie Rückgabe, Löschung und Zugriffe geregelt werden.

Abschluss ohne Löschlauf: Die Untersuchung ist beendet, die Meldung bleibt aber gemeinsam mit allen Exporten und Protokollen dauerhaft im System. Erforderlich sind ein dokumentierter Fristbeginn, die Prüfung laufender Verfahren und getrennte Löschläufe für Akte und Protokolldaten.

Ein Hinweisgeberkanal ist nur dann belastbar, wenn Gesetz, Prozess und technische Konfiguration zusammenpassen. Wir prüfen die Rollen, die Schutzmaßnahmen, die Informationswege, die Dienstleister und die Löschlogik anhand des tatsächlichen Meldeablaufs. Kontaktieren Sie uns mit der Beschreibung des Kanals, den Rollen- und Berechtigungskonzepten sowie den vorgesehenen Aufbewahrungsregeln, damit die offenen Punkte konkret geordnet werden können. Neue Beiträge und rechtliche Hinweise der Kanzlei erhalten Sie mit BRANDaktuellen Rechtsnews.