DSGVO bei internen Untersuchungen: Hinweisgeberdaten richtig verarbeiten

Die DSGVO (Verordnung (EU) 2016/679) verbietet es Ihnen nicht, eine Meldung zu untersuchen — sie regelt, wie Sie es tun müssen. Sie verarbeiten die personenbezogenen Daten des Hinweisgebers, des Beschuldigten und etwaiger Zeugen auf einer Rechtsgrundlage (fast immer berechtigtes Interesse oder eine rechtliche Verpflichtung), erheben nur das, was die Untersuchung tatsächlich erfordert, wahren die Vertraulichkeit der Identität des Hinweisgebers und löschen die Daten, sobald sie nicht mehr erforderlich sind. Ein Fehler hier ist keine Formsache: Er kann eine rechtmäßige Untersuchung selbst zu einer Datenschutzverletzung machen.

Das Wichtigste in Kürze

• Die DSGVO erlaubt interne Untersuchungen — die Rechtsgrundlage ist in der Regel das berechtigte Interesse (Art. 6 Abs. 1 lit. f) oder eine rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c), nicht die Einwilligung des Beschuldigten.
• Der Beschuldigte hat ein Auskunftsrecht (Art. 15), das ihm aber nicht das Recht gibt, die Identität des Hinweisgebers zu erfahren — Art. 16 der Richtlinie (EU) 2019/1937 und die Schranke der "Rechte und Freiheiten anderer Personen" schützen den Hinweisgeber.
• Sie können die Information des Beschuldigten über die Verarbeitung seiner Daten aufschieben, wenn dies die Untersuchung gefährden würde (Art. 14 Abs. 5).
• Wenden Sie die Datenminimierung (Art. 5 Abs. 1 lit. c) und die Speicherbegrenzung (Art. 5 Abs. 1 lit. e) an — erheben Sie nur relevante Daten und löschen Sie sie mit Abschluss des Falls.
• Ein Meldekanal erfordert fast immer eine Datenschutz-Folgenabschätzung (Art. 35) vor der Inbetriebnahme.

Die Rechtsgrundlage ist das berechtigte Interesse — nicht die Einwilligung

Der erste Fehler von Compliance-Teams ist der Versuch, eine Untersuchung auf die Einwilligung zu stützen. Das geht nicht: Die untersuchte Person wird nicht freiwillig in ihre Untersuchung einwilligen, und eine Einwilligung, die nicht frei verweigert werden kann, ist nach der DSGVO unwirksam. Stattdessen stützt sich die Verarbeitung auf eine von zwei Grundlagen:

• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) — das echte Interesse der Organisation an der Aufdeckung und Verhinderung von Fehlverhalten, abgewogen gegen die Rechte der Personen, deren Daten Sie verarbeiten. Diese Abwägung sollte vor der Inbetriebnahme des Kanals dokumentiert werden.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) — wenn ein Gesetz Sie zum Handeln verpflichtet, etwa die Pflicht, einen Meldekanal zu betreiben und Meldungen nach Richtlinie (EU) 2019/1937 nachzugehen, oder branchenspezifische Regeln zur Geldwäsche und Finanzkriminalität.

Berührt eine Meldung besondere Kategorien personenbezogener Daten (Gesundheit, Gewerkschaftszugehörigkeit, politische Meinungen, Daten über Straftaten), benötigen Sie eine zusätzliche Bedingung nach Art. 9 oder Art. 10 — etwa dass die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Genau bei solchen Meldungen — Belästigung, Diskriminierung — werden Meldekanäle am häufigsten genutzt.

Das Auskunftsrecht des Beschuldigten hebt die Vertraulichkeit nicht auf

Der schärfste Konflikt in jeder Untersuchung ist dieser: Auch der Beschuldigte ist eine betroffene Person und kann nach Art. 15 Auskunft über die zu ihm gespeicherten personenbezogenen Daten verlangen — einschließlich der Vorwürfe. Naiv gehandhabt, wird ein Auskunftsersuchen zu einem Weg, den Hinweisgeber zu enttarnen.

Das muss nicht sein. Die Vertraulichkeit der Identität des Hinweisgebers ist durch Art. 16 der Richtlinie (EU) 2019/1937 geschützt, und die DSGVO selbst begrenzt das Auskunftsrecht, soweit es die "Rechte und Freiheiten anderer Personen" beeinträchtigen würde. In der Praxis legen Sie dem Beschuldigten den Kern des Vorwurfs offen, soweit es die Fairness erfordert, schwärzen aber alles, was den Hinweisgeber identifizieren würde — Namen, Funktion, Daten oder Details, die nur eine bestimmte Person kennen könnte. Nationale Umsetzungen und Datenschutzbehörden bestätigen dies: Die Identität des Hinweisgebers ist nichts, worauf der Beschuldigte über ein Auskunftsersuchen Anspruch hätte.

Sie können die Information des Beschuldigten über die Verarbeitung seiner Daten nach Art. 14 Abs. 5 auch aufschieben, wenn die Benachrichtigung die Untersuchung ernsthaft beeinträchtigen würde — etwa indem der Betroffene gewarnt wird, bevor Beweise gesichert sind. Das ist ein Aufschub, keine dauerhafte Ausnahme: Die Pflicht lebt wieder auf, sobald das Risiko entfallen ist.

Datenminimierung und Speicherbegrenzung: nur erheben und aufbewahren, was nötig ist

Zwei Grundsätze bestimmen den Lebenszyklus von Untersuchungsdaten:

• Datenminimierung (Art. 5 Abs. 1 lit. c) — erheben Sie nur Daten, die dem Zweck angemessen, erheblich und auf das für die Untersuchung Notwendige beschränkt sind. Das komplette Postfach eines Mitarbeiters "vorsorglich" zu kopieren, ist das Gegenteil von Minimierung.
• Speicherbegrenzung (Art. 5 Abs. 1 lit. e) — bewahren Sie die Daten nur so lange auf wie nötig. Art. 18 der Richtlinie (EU) 2019/1937 bekräftigt, dass Aufzeichnungen über Meldungen nicht länger als notwendig und verhältnismäßig aufbewahrt werden.

Die praktische Regel: Meldungen, die sich als unbegründet oder offensichtlich irrelevant erweisen, sind unverzüglich zu löschen, während bestätigte Fälle für den Zeitraum aufbewahrt werden, der zur Abwehr von Rechtsansprüchen oder zur Erfüllung einer gesetzlichen Aufbewahrungspflicht erforderlich ist — und danach gelöscht werden. Ein festgelegter, automatisch angewandter Löschplan ist weitaus sicherer als eine willkürliche Löschung.

Wann Sie eine Datenschutz-Folgenabschätzung (DSFA) brauchen

Ein Meldekanal verarbeitet sensible Informationen über identifizierbare Personen, systematisch und oft über die gesamte Belegschaft hinweg. Dieses Profil erreicht in der Regel die Schwelle des Art. 35 für eine Datenschutz-Folgenabschätzung — eine dokumentierte Analyse der Risiken für Personen und der Maßnahmen, die sie mindern. Die meisten Datenschutzbehörden sehen eine DSFA für ein Hinweisgebersystem als erwartet und nicht als optional an; erstellen Sie sie daher vor dem Start, nicht nach einem Vorfall.

Das ist dieselbe Grundlagenarbeit, die Sie für den Meldekanal selbst benötigen. Wenn Sie noch klären, wer betroffen ist und welche gesetzlichen Fristen gelten, behandelt unser Leitfaden zur EU-Hinweisgeberschutzrichtlinie die Pflichten, die neben diesen DSGVO-Pflichten stehen.

Wie Vaelo die DSGVO-Konformität in jede Untersuchung einbaut

Vaelo ist eine gehostete Hinweisgeberplattform, die rund um die Richtlinie und die DSGVO konzipiert ist. Die Identität des Hinweisgebers ist durchgängig geschützt — mit anonymer Zwei-Wege-Kommunikation, sodass Ermittler Rückfragen stellen können, ohne die Quelle je zu enttarnen. Der Zugriff auf jeden Fall ist rollenbasiert und protokolliert, Beweise sind verschlüsselt, und konfigurierbare Aufbewahrungsregeln löschen Daten fristgerecht, sodass die Speicherbegrenzung automatisch durchgesetzt und nicht dem Gedächtnis überlassen wird. Das Ergebnis ist ein Untersuchungsablauf, der nach beiden Gesetzen zugleich verteidigungsfähig ist — verfügbar in allen 24 Amtssprachen der EU.

Häufig gestellte Fragen

Was ist die Rechtsgrundlage für die Verarbeitung personenbezogener Daten in einer internen Untersuchung? Fast immer das berechtigte Interesse der Organisation (Art. 6 Abs. 1 lit. f DSGVO) oder eine rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) — etwa die Pflicht zum Betrieb eines Meldekanals nach Richtlinie (EU) 2019/1937. Eine Whistleblowing-Untersuchung sollte sich nicht auf die Einwilligung des Beschuldigten stützen.

Kann der Beschuldigte die Meldung nach DSGVO einsehen? Er hat ein Auskunftsrecht nach Art. 15 DSGVO, das sich aber nicht auf die Offenlegung der Identität des Hinweisgebers erstreckt. Art. 16 der Richtlinie (EU) 2019/1937 und die Schranke der "Rechte und Freiheiten anderer Personen" erlauben es, identifizierende Informationen zu schwärzen.

Brauchen wir eine DSFA für einen Meldekanal? In den meisten Fällen ja. Ein Hinweisgebersystem verarbeitet sensible Daten identifizierbarer Personen, oft in großem Umfang, was in der Regel die Schwelle des Art. 35 DSGVO erreicht — eine Datenschutz-Folgenabschätzung ist daher vor dem Start zu erwarten.

Wie lange dürfen wir Daten aus einer internen Untersuchung nach DSGVO aufbewahren? Nur so lange wie nötig und verhältnismäßig (Art. 5 Abs. 1 lit. e DSGVO und Art. 18 der Richtlinie (EU) 2019/1937). Daten aus Meldungen, die sich als unbegründet oder offensichtlich irrelevant erweisen, sind unverzüglich zu löschen und nicht standardmäßig aufzubewahren.