Aufbewahrung von Hinweisgeberdaten: Wie lange Meldungen speichern und wann löschen

Es gibt keine einheitliche gesetzliche Aufbewahrungsfrist für Hinweisgebermeldungen — wie lange eine Meldung aufbewahrt wird, hängt von ihrem Ausgang ab, nicht von einer festen Anzahl von Jahren. Eine ohne Weiterverfolgung abgeschlossene Meldung benötigt eine andere (meist kürzere) Aufbewahrungsfrist als eine, die zu einem Disziplinarverfahren oder einem noch laufenden Gerichtsverfahren geführt hat.

Die wichtigsten Erkenntnisse

• Es gibt keine Einheitslösung für die Aufbewahrungsfrist von Hinweisgeberdaten — die richtige Dauer hängt vom Fallausgang ab (keine Maßnahme, internes Disziplinarverfahren oder laufendes Gerichtsverfahren).
• Art. 18 der Richtlinie (EU) 2019/1937 verlangt, dass Aufzeichnungen von Meldungen nur "so lange wie notwendig und verhältnismäßig" aufbewahrt werden, während Art. 5 Abs. 1 lit. e DSGVO den allgemeinen Grundsatz der Speicherbegrenzung hinzufügt, der für alle über den Kanal erhobenen personenbezogenen Daten gilt.
• Ein praktischer Aufbewahrungskalender hat mindestens drei Spuren: Meldungen ohne Feststellungen abgeschlossen, Meldungen mit bestätigtem Disziplinarergebnis, und Meldungen im Zusammenhang mit aktivem oder erwartetem Rechtsstreit.
• Läuft eine Aufbewahrungsfrist ab, sollten identifizierende Details (Namen, Kontaktdaten, Freitextbeschreibungen, die die Identität preisgeben) gelöscht oder unumkehrbar anonymisiert werden — aggregierte Statistiken für Compliance-Berichte können jedoch unbegrenzt aufbewahrt werden.
• Der häufigste Aufbewahrungsfehler ist nicht das Fehlen einer Richtlinie, sondern deren mangelnde Durchsetzung: Ein schriftlicher Zeitplan, den niemand tatsächlich anwendet, ist das Erste, was ein Prüfer bemängelt.

Was die Richtlinie und die DSGVO zur Aufbewahrung tatsächlich verlangen

Art. 18 der Hinweisgeberschutzrichtlinie verlangt, dass Aufzeichnungen von Meldungen "nur so lange wie notwendig und verhältnismäßig" aufbewahrt werden, um die von der Richtlinie selbst auferlegten Anforderungen zu erfüllen — sie vermeidet bewusst die Festlegung einer festen Anzahl von Jahren und überlässt diese Einschätzung der Organisation und dem nationalen Umsetzungsrecht. Darüber hinaus verlangt Art. 5 Abs. 1 lit. e DSGVO — der Grundsatz der Speicherbegrenzung —, dass alle über den Kanal verarbeiteten personenbezogenen Daten (der Name des Hinweisgebers, falls er sich identifiziert hat, Angaben zur beschuldigten Person, Zeugenaussagen) "nicht länger als für die Zwecke, für die sie verarbeitet werden, erforderlich" gespeichert werden.

Zusammen gelesen bedeuten diese beiden Bestimmungen, dass eine Hinweisgeberplattform nicht einfach jede Meldung für immer "zur Sicherheit" aufbewahren kann, aber auch nicht alles sofort nach Fallabschluss löschen darf, wenn eine Verjährungsfrist für damit verbundene Rechtsansprüche noch läuft. Die Aufbewahrungsfrist muss an einen dokumentierten Zweck geknüpft sein — und dieser Zweck ändert sich je nachdem, was mit der Meldung geschehen ist.

Wie lange jede Art von Fall aufbewahrt werden sollte

Statt einer einzigen Zahl weist ein vertretbarer Aufbewahrungsplan jedem Ausgang eine eigene Frist zu:

1. Meldungen ohne Feststellungen oder vom Hinweisgeber zurückgezogen. Diese rechtfertigen in der Regel die kürzeste Aufbewahrung — genug Zeit, um zu belegen, dass die Meldung ordnungsgemäß geprüft wurde (üblicherweise einige Monate bis etwa zwei Jahre), danach sollten identifizierende Daten gelöscht werden, da keine fortbestehende Rechtsgrundlage für deren Aufbewahrung mehr besteht.
2. Meldungen, die zu einer bestätigten Disziplinar- oder Korrekturmaßnahme geführt haben. Diese müssen in der Regel so lange aufbewahrt werden, wie die zugrunde liegende Personal- oder Disziplinarakte nach nationalem Arbeitsrecht aufbewahrt wird, da die Meldung nun als Beweis für diese Maßnahme dient — oft mehrere Jahre, abgestimmt auf die geltende Frist zur Anfechtung der Disziplinarentscheidung.
3. Meldungen im Zusammenhang mit laufenden Ermittlungen, Rechtsstreitigkeiten oder behördlichen Verfahren. Diese müssen für die Dauer des Verfahrens zuzüglich jeder anwendbaren Rechtsmittelfrist aufbewahrt werden — eine "Aufbewahrungssperre", die den Standardplan außer Kraft setzt und in der Fallakte ausdrücklich vermerkt werden sollte, damit nichts vorzeitig gelöscht wird.

Die Dokumentation dieser drei Spuren — mit dem auslösenden Ereignis, das jede Frist startet — macht aus einer vagen Formulierung wie "wir löschen Daten, wenn sie nicht mehr benötigt werden" eine vertretbare Richtlinie, die eine Behörde oder ein Prüfer tatsächlich überprüfen kann.

Was beim Ablauf der Aufbewahrungsfrist zu löschen ist (und was bleiben kann)

Läuft eine Aufbewahrungsfrist ab, geht es darum, identifizierende Angaben zu entfernen und gleichzeitig zu bewahren, was die Organisation legitim für die Compliance-Aufsicht benötigt:

• Löschen oder unumkehrbar anonymisieren: Name und Kontaktdaten des Hinweisgebers (falls bekannt), Name der beschuldigten Person, Freitextfelder, die wahrscheinlich die Identität preisgeben, sowie alle Anhänge mit personenbezogenen Daten.
• Kann unbegrenzt in aggregierter Form aufbewahrt werden: die Anzahl der eingegangenen Meldungen pro Zeitraum, Kategorie-/Typenaufschlüsselungen, durchschnittliche Zeit bis zur Empfangsbestätigung und Ergebnisstatistiken — keines davon benötigt identifizierende Daten, um für Trendberichte oder den Nachweis der Funktionsfähigkeit des Kanals gegenüber einer Behörde nützlich zu bleiben.
• Die Anonymisierung muss echt sein, nicht nur das Entfernen eines Namensfelds, während eine eindeutige Mitarbeiter-ID oder eine sehr spezifische Erzählung die Person weiterhin identifizierbar macht — ein Prüfpunkt, den eine DSFA für einen Hinweisgeberkanal bereits bei der Einrichtung überprüfen sollte.

Häufige Aufbewahrungsfehler, die eine Prüfung gefährden

• "Fall abgeschlossen" mit "alles sofort löschen" gleichzusetzen — ohne zu prüfen, ob eine nationale Verjährungsfrist für damit verbundene arbeits- oder zivilrechtliche Ansprüche noch läuft, was die Organisation gefährden kann, falls später Beweise benötigt werden, die nicht mehr existieren.
• Kein schriftlicher Aufbewahrungsplan überhaupt, sodass die Entscheidung bei demjenigen liegt, der den Fall gerade in dieser Woche bearbeitet — uneinheitliche Aufbewahrung zwischen Fällen ist selbst ein Befund, den ein Prüfer bemängeln wird.
• Ein schriftlicher Plan, der nicht tatsächlich durchgesetzt wird — alte Fälle, die Jahre über ihre dokumentierte Aufbewahrungsfrist hinaus im System verbleiben, weil niemand für den Löschschritt verantwortlich ist.
• Löschen von Daten im Zusammenhang mit einer aktiven Aufbewahrungssperre, weil eine generische Aufbewahrungsregel automatisch ausgelöst wurde und Beweise zerstört, die ein Gericht oder eine Behörde später anfordert.

Wie Vaelo das löst

Eine Aufbewahrungsrichtlinie ist nur so gut wie ihre Durchsetzung, und genau daran scheitert ein schriftlicher Plan in der Praxis meist — niemand erinnert sich daran, zu handeln, sobald ein Fall ein Jahr alt ist. Das Fallmanagement-Dashboard von Vaelo ermöglicht es Compliance-Teams, bei Fallabschluss jedem Fall eine Aufbewahrungsspur (keine Feststellungen, Disziplinarergebnis oder Aufbewahrungssperre) zuzuweisen, und markiert dann automatisch Fälle, die sich ihrem dokumentierten Löschdatum nähern, sodass nichts versehentlich über die begründete Aufbewahrungsfrist hinaus bestehen bleibt. Aufbewahrungssperren können pro Fall angewendet werden, um die Standardfrist außer Kraft zu setzen, ohne sich merken zu müssen, welche Fälle ausgenommen sind, und wenn eine Aufbewahrungsfrist tatsächlich abläuft, können identifizierende Felder gelöscht werden, während die für Compliance-Berichte und Prüfpfade benötigten anonymisierten Statistiken vollständig erhalten bleiben.

FAQ

Gibt es eine gesetzlich vorgeschriebene Anzahl von Jahren zur Aufbewahrung von Meldungen? Es gibt keine einheitliche Zahl für die gesamte EU. Art. 18 der Richtlinie verlangt, dass Aufzeichnungen "nur so lange wie notwendig und verhältnismäßig" aufbewahrt werden, und der Grundsatz der Speicherbegrenzung der DSGVO wendet denselben Maßstab auf personenbezogene Daten in der Meldung an — die tatsächliche Dauer hängt vom Fallausgang und von geltendem nationalem Umsetzungsrecht oder Verjährungsfristen ab.

Sollten Meldungen ohne Feststellungen sofort nach Abschluss gelöscht werden? Nicht sofort, aber in der Regel früher als Fälle mit bestätigtem Ausgang — es sollte genug Zeit vergehen, um zu belegen, dass die Meldung ordnungsgemäß geprüft wurde (üblicherweise einige Monate bis etwa zwei Jahre), danach besteht für die Aufbewahrung identifizierender Daten meist keine rechtliche Grundlage mehr.

Was geschieht mit Meldungen, die mit einem Gerichtsverfahren oder einer behördlichen Untersuchung verbunden sind? Sie sollten einer Aufbewahrungssperre ("Legal Hold") unterliegen, die den Standard-Aufbewahrungsplan aussetzt, bis das Verfahren — und jede Rechtsmittelfrist — abgeschlossen ist, da das Löschen von Beweismitteln im Zusammenhang mit einem laufenden Rechtsstreit die Organisation einem eigenen rechtlichen Risiko aussetzen kann.

Dürfen wir Meldestatistiken behalten, nachdem die zugrunde liegenden Falldaten gelöscht wurden? Ja — aggregierte, nicht identifizierende Statistiken (Meldevolumen, Kategorien, durchschnittliche Reaktionszeit) können unbegrenzt für Compliance-Berichte und Trendanalysen aufbewahrt werden, sobald die identifizierenden Angaben des Einzelfalls gelöscht oder anonymisiert wurden.