DSFA für einen Hinweisgeberkanal: die Schritt-für-Schritt-Checkliste

Eine Datenschutz-Folgenabschätzung (DSFA) ist für einen Hinweisgeberkanal immer dann erforderlich, wenn die Verarbeitung „voraussichtlich ein hohes Risiko" für die betroffenen Personen mit sich bringt, wie in Artikel 35 der DSGVO festgelegt — und praktisch jedes Hinweisgebersystem erreicht diese Schwelle, weil es identifizierbare Personen in großem Umfang bewertet, häufig mit besonderen Kategorien personenbezogener Daten, mit eingeschränktem Zugriff und ohne realistische Opt-out-Möglichkeit für Beschäftigte.

Die wichtigsten Erkenntnisse

• Eine DSFA ist nach Artikel 35 DSGVO immer dann erforderlich, wenn die Verarbeitung voraussichtlich mit einem hohen Risiko verbunden ist – die meisten Hinweisgeberkanäle erreichen diese Schwelle standardmäßig, nicht als Ausnahme.
• Sie muss vor dem Livegang abgeschlossen sein und darf nicht erst nachträglich nach einem Vorfall oder auf Nachfrage einer Aufsichtsbehörde erstellt werden.
• Es gibt sieben konkrete Schritte: die Verarbeitung beschreiben, Erforderlichkeit und Verhältnismäßigkeit prüfen, Risiken identifizieren, Maßnahmen festlegen, die/den Datenschutzbeauftragte(n) konsultieren, freigeben und dokumentieren sowie einen Überprüfungsauslöser festlegen.
• Der häufigste Grund, warum eine DSFA nicht mehr haltbar ist, ist das Auslassen der Konsultation der/des Datenschutzbeauftragten oder deren Behandlung als informelles Gespräch statt als dokumentierter Schritt.
• Wiederholen Sie die DSFA, sobald sich etwas Wesentliches ändert: neuer Anbieter, neues Land, neue Datenkategorien oder eine neue Partei, die Zugriff auf Meldungen erhält.

Die 7 Schritte einer DSFA für einen Hinweisgeberkanal

1. Beschreiben Sie die Verarbeitung systematisch. Dokumentieren Sie, welche Daten erhoben werden (Angaben zur hinweisgebenden Person, sofern nicht anonym; Daten der beschuldigten Person; Zeugenaussagen; Anhänge), wer darauf zugreifen kann, wo sie gehostet werden, wie lange sie aufbewahrt werden und ob Daten die EU/den EWR verlassen. Diese Beschreibung ist das Rückgrat, auf das sich der Rest der DSFA bezieht.

2. Prüfen Sie Erforderlichkeit und Verhältnismäßigkeit. Begründen Sie für jede erhobene Datenkategorie, warum sie für den Zweck – die Untersuchung und Bearbeitung von Meldungen nach der Richtlinie (EU) 2019/1937 – erforderlich ist, und stellen Sie sicher, dass Sie nicht mehr erheben, als dieser Zweck verlangt.

3. Identifizieren Sie Risiken für betroffene Personen. Die zentralen Risiken bei einem Hinweisgeberkanal sind die Reidentifizierung einer anonymen hinweisgebenden Person, unbefugter Zugriff auf Vorgänge, durch eine Vertraulichkeitsverletzung ermöglichte Repressalien und ungenaue Vorwürfe, die der beschuldigten Person unverhältnismäßigen Schaden zufügen. Benennen Sie jedes Risiko konkret, statt es nur abstrakt zu beschreiben.

4. Legen Sie Maßnahmen zur Minderung jedes Risikos fest. Ordnen Sie jedem Risiko aus Schritt 3 eine konkrete Maßnahme zu: Verschlüsselung bei der Speicherung und Übertragung, rollenbasierter Zugriff, der auf namentlich benannte Fallbearbeiter beschränkt ist, anonyme Zwei-Wege-Kommunikation, die niemals IP-Adresse oder Metadaten preisgibt, sowie ein festgelegter Aufbewahrungsplan mit automatischer Löschung.

5. Konsultieren Sie Ihre/n Datenschutzbeauftragte/n – und dokumentieren Sie es. Eine DSFA, die nie von der/dem Datenschutzbeauftragten geprüft wurde, oder bei der deren/dessen Beitrag mündlich und undokumentiert erfolgte, ist einer der schwächsten Punkte, den eine Aufsichtsbehörde oder ein Prüfer untersuchen wird. Halten Sie die Empfehlung der/des Datenschutzbeauftragten fest und ob ihr gefolgt wurde; falls nicht, dokumentieren Sie den Grund.

6. Geben Sie das Ergebnis frei und dokumentieren Sie es. Die DSFA ist ein lebendes Dokument und kein bloßes Häkchen – sie benötigt eine/n benannte/n Verantwortliche/n, ein Freigabedatum und eine klare Aussage zum Restrisiko nach den Maßnahmen. Bleibt das Restrisiko nach der Minderung hoch, verlangt Artikel 36 der DSGVO eine vorherige Konsultation der Aufsichtsbehörde, bevor die Verarbeitung beginnt.

7. Legen Sie einen Überprüfungsauslöser fest, nicht nur ein Überprüfungsdatum. Eine jährliche Kalendererinnerung ist ein guter Ausgangspunkt, aber die DSFA sollte auch dann erneut geöffnet werden, sobald sich etwas Wesentliches ändert – siehe die Auslöser weiter unten.

Häufige Fehler, die eine DSFA angreifbar machen

• Behandlung als Papierkram, der erst nach dem Start ausgefüllt wird, wenn der Kanal bereits live ist und eine Aufsichtsbehörde oder ein Betriebsrat bereits Fragen stellt.
• Kein dokumentierter Abwägungstest zwischen dem berechtigten Interesse der Organisation an der Aufdeckung von Fehlverhalten und den Rechten der betroffenen Personen – eine DSFA, die eine Schlussfolgerung behauptet, ohne die Begründung darzulegen, hält einer Prüfung nicht stand.
• Datenschutzbeauftragte/r nicht formell konsultiert, oder erst konsultiert, nachdem die DSFA bereits fertiggestellt war, statt während der Erstellung.
• Kein Hinweis auf internationale Übermittlungen – befindet sich ein Anbieter, Subunternehmer oder Backup-Standort außerhalb der EU/des EWR, muss die DSFA den verwendeten Übermittlungsmechanismus behandeln.
• Aufbewahrungsfristen, die nicht mit der tatsächlichen Systemkonfiguration übereinstimmen – eine DSFA, die eine Löschung nach 90 Tagen verspricht, während die Plattform Daten unbegrenzt aufbewahrt, ist im Falle einer Prüfung schlimmer als gar keine DSFA.

Wann die DSFA zu wiederholen ist

Eine DSFA ist kein einmaliges Dokument. Öffnen Sie sie erneut und bewerten Sie sie neu, sobald:

• Sie den Anbieter oder Hosting-Provider für den Meldekanal wechseln.
• Sie in ein neues Land expandieren mit abweichenden Anforderungen an Anonymität, Aufbewahrung oder Betriebsratsbeteiligung.
• Sie beginnen, neue Datenkategorien zu erheben – zum Beispiel, wenn Gesundheitsdaten bei Belästigungs- oder Sicherheitsmeldungen relevant werden.
• Eine neue dritte Partei Zugriff auf Falldaten erhält, etwa ein externer Ermittler oder eine externe Anwaltskanzlei.
• Das Volumen oder der Umfang der Meldungen wesentlich zunimmt und sich damit der Umfang der Verarbeitung ändert, auf dem die ursprüngliche Risikobewertung beruhte.

Wie Vaelo Ihnen hilft, eine DSFA verteidigungsfähig zu halten

Vaelo wurde so konzipiert, dass die DSFA, die Sie bereits haben, leichter zu verteidigen ist – nicht schwerer. Hosting- und Subunternehmerdetails sind dokumentiert und auf Anfrage verfügbar, der Zugriff auf jeden Fall ist rollenbasiert und protokolliert, anonyme Zwei-Wege-Kommunikation gibt niemals identifizierende Metadaten preis, und Aufbewahrungsregeln sind konfigurierbar und werden automatisch durchgesetzt – sodass das, was Ihre DSFA auf dem Papier festhält, tatsächlich dem entspricht, was die Plattform tut, statt einer Richtlinie, die von der Praxis abweicht. Wenn Sie noch dabei sind, die zugrunde liegenden DSGVO-Pflichten zu erfassen, die eine Untersuchung auslöst, behandelt unser Leitfaden zu DSGVO bei internen Untersuchungen die Pflichten, die neben der DSFA selbst bestehen.

Häufig gestellte Fragen

Was ist eine DSFA und warum braucht ein Hinweisgeberkanal eine solche? Eine Datenschutz-Folgenabschätzung ist eine dokumentierte Analyse der Risiken, die eine Verarbeitungstätigkeit für betroffene Personen mit sich bringt, sowie der Maßnahmen zu deren Minderung; sie ist nach Artikel 35 DSGVO immer dann erforderlich, wenn die Verarbeitung voraussichtlich mit einem hohen Risiko verbunden ist. Ein Hinweisgeberkanal verarbeitet sensible Daten identifizierbarer Personen in großem Umfang, was diese Schwelle in der Regel erreicht.

Wer ist dafür verantwortlich, die DSFA freizugeben? Es sollte eine/n benannte/n fachlich Verantwortliche/n geben (häufig die/der Datenschutzbeauftragte oder eine leitende Compliance-Funktion), die/der das endgültige Dokument freigibt, die Empfehlung der/des Datenschutzbeauftragten festhält und die Verantwortung für das Restrisiko übernimmt. Es sollte nie eine informelle, nicht unterzeichnete Übung sein.

Müssen wir für eine DSFA im Hinweisgeberkontext die Aufsichtsbehörde konsultieren? Nur, wenn das Restrisiko nach Anwendung der Minderungsmaßnahmen weiterhin hoch bleibt. Artikel 36 DSGVO verlangt in diesem konkreten Fall eine vorherige Konsultation der Aufsichtsbehörde – die meisten gut abgesicherten Hinweisgeberkanäle erreichen diese Schwelle nicht, aber die Bewertung muss die Begründung so oder so darlegen.

Wie oft sollten wir die DSFA eines Hinweisgeberkanals überprüfen? Mindestens jährlich, sowie unverzüglich, sobald sich eine wesentliche Änderung ergibt: ein neuer Anbieter, ein neues Einsatzland, neue erhobene Datenkategorien oder eine neue Partei, die Zugriff auf Falldaten erhält.