Wer eine interne Meldestelle betreibt, verarbeitet besonders heikle personenbezogene Daten: Verdachtsmomente, Namen von Beschuldigten und oft auch die Identität der hinweisgebenden Person. Beim Thema Hinweisgeberschutzgesetz und Datenschutz greifen deshalb zwei Regelwerke ineinander – das HinSchG liefert die Erlaubnis zur Verarbeitung und eigene Fristen, die DSGVO bleibt daneben vollständig anwendbar. Dieser Beitrag zeigt, welche Pflichten sich daraus für die Praxis ergeben.
Das Wichtigste in Kürze
- § 10 HinSchG erlaubt Meldestellen die Verarbeitung personenbezogener Daten, soweit sie für ihre Aufgaben erforderlich ist – auch von besonderen Kategorien nach Art. 9 DSGVO.
- Das Vertraulichkeitsgebot des § 8 HinSchG schützt nicht nur die hinweisgebende Person, sondern auch Beschuldigte und sonstige genannte Personen.
- Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht (§ 11 Abs. 5 HinSchG). Eine längere Aufbewahrung braucht einen konkreten Grund.
- Die beschuldigte Person hat Informations- und Auskunftsrechte. Diese lassen sich aufschieben und begrenzen, aber nicht dauerhaft ausschalten.
- Vor dem Start gehören eine Datenschutz-Folgenabschätzung, ein Eintrag im Verarbeitungsverzeichnis und – bei externem Betrieb – ein sauberer Vertrag dazu.
Hinweisgeberschutzgesetz und Datenschutz: zwei Regelwerke, ein Verfahren
Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, mindestens eine interne Meldestelle einzurichten und zu betreiben (§ 12 Abs. 1 und 2 HinSchG). Für bestimmte Unternehmen der Finanzbranche gilt die Pflicht unabhängig von der Beschäftigtenzahl.
Das Gesetz regelt das Verfahren, nicht aber den Datenschutz abschließend. Die DSGVO gilt daneben weiter. Praktisch heißt das: Für jede Frage prüfen Sie zuerst, ob das HinSchG eine speziellere Regel enthält. Fehlt sie, bleibt es bei den allgemeinen Vorgaben der DSGVO und des BDSG.
Das HinSchG wurde am 31. Mai 2023 ausgefertigt und zuletzt durch Artikel 2 des Gesetzes vom 22. Juli 2026 geändert. Maßgeblich ist immer die aktuelle Fassung, die Sie unter gesetze-im-internet.de einsehen können.
Die Rechtsgrundlage: § 10 HinSchG als Erlaubnisnorm
Vor dem HinSchG war die Rechtsgrundlage für Hinweisgebersysteme umstritten und musste meist über eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO begründet werden. Diese Unsicherheit ist weitgehend beseitigt.
§ 10 HinSchG befugt Meldestellen, personenbezogene Daten zu verarbeiten, soweit dies zur Erfüllung ihrer Aufgaben nach §§ 13 und 24 HinSchG erforderlich ist. Bemerkenswert ist der zweite Satz: Abweichend von Art. 9 Abs. 1 DSGVO dürfen auch besondere Kategorien personenbezogener Daten verarbeitet werden, wenn das zur Aufgabenerfüllung erforderlich ist. Das ist wichtig, weil Meldungen häufig Gesundheitsdaten, Angaben zur Gewerkschaftszugehörigkeit oder Hinweise auf Straftaten enthalten.
Diese Erlaubnis hat eine Bedingung: Die Meldestelle muss in diesem Fall spezifische und angemessene Maßnahmen zur Wahrung der Interessen der betroffenen Person vorsehen. § 10 Satz 3 HinSchG verweist dafür auf § 22 Abs. 2 Satz 2 BDSG, der einen Katalog möglicher Maßnahmen nennt – etwa Zugangs- und Zugriffsbeschränkungen, Verschlüsselung, Pseudonymisierung und die Sensibilisierung der Beteiligten.
Merken Sie sich das Wort „erforderlich“. Es begrenzt die Erlaubnis. Eine Meldestelle darf nicht vorsorglich alles speichern, was im Unternehmen zur beschuldigten Person bekannt ist, sondern nur, was sie für die Prüfung und die Folgemaßnahmen braucht.
Vertraulichkeit ist mehr als Diskretion
Nach § 8 HinSchG müssen Meldestellen die Identität von drei Personengruppen wahren: der hinweisgebenden Person, der Personen, die Gegenstand der Meldung sind, und sonstiger in der Meldung genannter Personen. Die Identität darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen Personen und deren Unterstützungspersonal bekannt werden. Das gilt auch dann, wenn die Meldestelle für die eingegangene Meldung gar nicht zuständig ist.
Der Kreis der Beschuldigten ist hier oft die Überraschung: Auch wer zu Unrecht beschuldigt wird, ist durch das Vertraulichkeitsgebot geschützt. Die Führungskraft der beschuldigten Person erfährt also nicht automatisch von der Meldung.
Technisch flankiert wird das durch § 16 Abs. 2 HinSchG: Die Meldekanäle sind so zu gestalten, dass nur die zuständigen und die sie unterstützenden Personen Zugriff auf eingehende Meldungen haben. Ein Sammelpostfach, auf das die halbe Personalabteilung zugreifen kann, erfüllt diese Vorgabe nicht.
§ 9 HinSchG regelt die Ausnahmen, etwa die Weitergabe an Strafverfolgungsbehörden auf deren Verlangen oder aufgrund gerichtlicher Entscheidung. Die hinweisgebende Person ist darüber vorab zu informieren, sofern Ermittlungen dadurch nicht gefährdet werden. Eine Weitergabe der Identität der hinweisgebenden Person zu Zwecken von Folgemaßnahmen setzt deren schriftliche Einwilligung voraus – und zwar für jede Weitergabe einzeln.
Dokumentation und Löschfrist
§ 11 HinSchG verlangt, dass alle eingehenden Meldungen in dauerhaft abrufbarer Weise dokumentiert werden – unter Beachtung des Vertraulichkeitsgebots. Für die Form gelten klare Regeln:
| Meldeweg | Zulässige Dokumentation |
|---|---|
| Telefon oder andere Sprachübermittlung | Tonaufzeichnung oder Wortprotokoll nur mit Einwilligung; sonst Inhaltsprotokoll (Zusammenfassung) |
| Persönliche Zusammenkunft | Vollständige Aufzeichnung nur mit Zustimmung der hinweisgebenden Person |
| Textform | Dokumentation der Meldung selbst |
Der hinweisgebenden Person ist Gelegenheit zu geben, das Protokoll zu prüfen, zu korrigieren und zu bestätigen. Wird eine Tonaufzeichnung nur zur Anfertigung eines Protokolls genutzt, ist sie zu löschen, sobald das Protokoll fertig ist (§ 11 Abs. 4 HinSchG).
Für die Aufbewahrung gilt § 11 Abs. 5 HinSchG: Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht. Länger aufbewahren dürfen Sie nur, um Anforderungen aus dem HinSchG oder anderen Rechtsvorschriften zu erfüllen – und nur, solange das erforderlich und verhältnismäßig ist. Ein pauschales „wir behalten alles zehn Jahre“ trägt diese Ausnahme nicht.
Für Ihr Löschkonzept folgt daraus: Sie brauchen ein dokumentiertes Datum für den Abschluss des Verfahrens. Ohne diesen Stichtag lässt sich die Frist nicht berechnen und nicht nachweisen.
Rechte der beschuldigten Person
Hier entsteht der schwierigste Interessenkonflikt. Die beschuldigte Person erfährt von der Verarbeitung nicht selbst – die Daten stammen von jemand anderem. Damit greift Art. 14 DSGVO: Der Verantwortliche muss sie grundsätzlich innerhalb einer angemessenen Frist informieren, längstens jedoch innerhalb eines Monats (Art. 14 Abs. 3 lit. a DSGVO).
Würde diese Information die Aufklärung ernsthaft gefährden, lässt sich die Mitteilung nach Art. 14 Abs. 5 lit. b DSGVO aufschieben. Die Aufsichtsbehörden halten in ihrer Orientierungshilfe zu Whistleblowing-Hotlines fest, dass eine dauerhafte Geheimhaltung angesichts der Persönlichkeits- und Verteidigungsrechte der beschuldigten Person ausgeschlossen sein dürfte: Die Information ist nachzuholen, sobald der Grund für den Aufschub entfallen ist.
Beim Auskunftsrecht nach Art. 15 DSGVO gilt Ähnliches. Die beschuldigte Person kann Auskunft über die zu ihr gespeicherten Daten verlangen. Die Identität der hinweisgebenden Person gehört regelmäßig nicht dazu: Nach § 29 Abs. 1 Satz 2 BDSG besteht das Auskunftsrecht nicht, soweit dadurch Informationen offenbart würden, die wegen überwiegender berechtigter Interessen eines Dritten geheim gehalten werden müssen. Für die Informationspflicht nach Art. 14 DSGVO enthält § 29 Abs. 1 Satz 1 BDSG eine entsprechende Einschränkung.
Wichtig ist die Reihenfolge: Erst prüfen, welche Angaben geschützt sind, dann die restliche Auskunft erteilen. Ein pauschales Ablehnen der gesamten Auskunft ist von diesen Vorschriften nicht gedeckt.
Vor dem Start: DSFA, Verzeichnis, Verträge
Drei Punkte sollten erledigt sein, bevor der erste Hinweis eingeht.
Datenschutz-Folgenabschätzung. Nach Art. 35 Abs. 1 DSGVO ist eine DSFA durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die Datenschutzkonferenz geht in der genannten Orientierungshilfe davon aus, dass ein Verfahren zur Meldung von Missständen wegen des besonders hohen Risikos einer DSFA unterliegt. Planen Sie sie vor dem Start ein – nachträglich verliert sie ihren Zweck.
Verzeichnis von Verarbeitungstätigkeiten. Die Meldestelle ist eine eigene Verarbeitungstätigkeit und gehört mit Zwecken, Datenkategorien, Empfängern und Löschfristen ins Verzeichnis nach Art. 30 DSGVO.
Verträge beim externen Betrieb. Nach § 14 Abs. 1 HinSchG darf ein Dritter mit den Aufgaben der internen Meldestelle betraut werden – eine Ombudsperson, eine Kanzlei oder ein Dienstleister. Die Pflicht, einen Verstoß abzustellen, bleibt beim Beschäftigungsgeber. Datenschutzrechtlich ist zu klären, ob der Dritte als Auftragsverarbeiter tätig wird und ein Vertrag nach Art. 28 DSGVO nötig ist oder ob eine eigenverantwortliche Übermittlung vorliegt. Unternehmen mit in der Regel 50 bis 249 Beschäftigten dürfen nach § 14 Abs. 2 HinSchG eine gemeinsame Meldestelle betreiben; die Rückmeldung an die hinweisgebende Person bleibt aber Sache des einzelnen Beschäftigungsgebers.
Praxis: Prüfliste für Ihre interne Meldestelle
- Zuständigkeiten festlegen. Wer nimmt Meldungen entgegen, wer unterstützt, wer hat keinen Zugriff? Schriftlich festhalten.
- Berechtigungen technisch umsetzen. Eigenes Postfach oder eigenes System, getrennt von der allgemeinen IT-Administration und nach Möglichkeit nicht in der Personalverwaltung angesiedelt.
- Fristen im Prozess verankern. Eingangsbestätigung spätestens nach sieben Tagen, Rückmeldung innerhalb von drei Monaten (§ 17 HinSchG).
- Abschluss dokumentieren. Datum des Verfahrensabschlusses festhalten, damit die Dreijahresfrist läuft und nachweisbar ist.
- Löschroutine einrichten. Automatische Wiedervorlage statt manueller Erinnerung. Tonaufzeichnungen nach Protokollerstellung sofort löschen.
- Informationstexte vorbereiten. Je ein Text für hinweisgebende Personen und für beschuldigte Personen, inklusive der Frage, wann und wie informiert wird.
- Datenschutzbeauftragte früh einbinden und – soweit ein Betriebsrat besteht – die Mitbestimmung klären.
- Beteiligte schulen. Vertraulichkeit scheitert selten an der Technik und oft am Gespräch auf dem Flur.
Zum Aufbau der Meldestelle selbst – Meldekanäle, Ombudsperson, Ablauf – haben wir die Schritte in unserem Beitrag zum Hinweisgebersystem und der Meldestelle beschrieben. Zur Rolle des Betriebsrats bei der Einführung finden Sie Hinweise im Beitrag zur Mitbestimmung bei der Datenverarbeitung nach dem HinSchG. Wer die Aufgabe im Haus übernimmt, braucht Fachkunde: Eine passende Online-Fachkundeschulung zum Meldestellenbeauftragten bietet ShapeMinds, unser Schwesterunternehmen.
Was bei Verstößen droht
Das HinSchG kennt eigene Bußgeldvorschriften. Nach § 40 HinSchG handelt ordnungswidrig, wer vorsätzlich oder leichtfertig die Vertraulichkeit nach § 8 Abs. 1 Satz 1 nicht wahrt; das kann mit einer Geldbuße bis zu 50.000 Euro geahndet werden. Wer keine interne Meldestelle einrichtet und betreibt, riskiert bis zu 20.000 Euro. Ein fahrlässiger Verstoß gegen die Vertraulichkeit fällt unter die übrigen Fälle mit bis zu 10.000 Euro.
Daneben bleiben die Sanktionen der DSGVO anwendbar, etwa bei einer fehlenden Datenschutz-Folgenabschätzung oder einer unzulässig langen Speicherung. Beide Regime greifen unabhängig voneinander.
Häufige Fragen
Müssen wir anonyme Meldungen ermöglichen?
Eine Pflicht dazu besteht nicht. § 16 Abs. 1 HinSchG formuliert, dass die interne Meldestelle auch anonym eingehende Meldungen bearbeiten sollte, stellt aber ausdrücklich klar, dass keine Verpflichtung besteht, die Meldekanäle für anonyme Meldungen auszulegen. Datenschutzrechtlich ist die anonyme Meldung die schonendste Variante, weil über die hinweisgebende Person keine personenbezogenen Daten anfallen.
Dürfen wir Meldungen an die Konzernmutter weitergeben?
Nicht ohne Weiteres. Das Vertraulichkeitsgebot des § 8 HinSchG begrenzt den Kreis der Personen, die Identitäten erfahren dürfen, auf die Zuständigen und ihr Unterstützungspersonal. Eine Weitergabe braucht eine Grundlage nach § 9 HinSchG, bei der Identität der hinweisgebenden Person regelmäßig deren schriftliche Einwilligung. Konzernzugehörigkeit allein genügt nicht.
Gilt die Dreijahresfrist auch für unbegründete Meldungen?
§ 11 Abs. 5 HinSchG knüpft an den Abschluss des Verfahrens an und unterscheidet nicht nach dem Ergebnis. Die Aufsichtsbehörden haben in ihrer Orientierungshilfe von 2018 – also vor Inkrafttreten des HinSchG – empfohlen, als grundlos erachtete Meldungen unverzüglich zu löschen. Wie beides zusammenspielt, sollten Sie für Ihr Löschkonzept im Einzelfall festlegen und begründen.
Brauchen wir eine eigene Software?
Das Gesetz schreibt kein bestimmtes System vor. § 16 Abs. 3 HinSchG verlangt Meldungen in mündlicher oder in Textform sowie auf Ersuchen eine persönliche Zusammenkunft. Entscheidend ist, dass die Zugriffsbeschränkung nach § 16 Abs. 2 HinSchG, die Dokumentation und die Löschfristen zuverlässig funktionieren.
Wohin können sich Beschäftigte wenden, wenn sie intern nicht melden wollen?
An die externe Meldestelle des Bundes beim Bundesamt für Justiz. Nach § 13 Abs. 2 HinSchG müssen interne Meldestellen klare und leicht zugängliche Informationen über externe Meldeverfahren bereithalten.
Quellen
- Hinweisgeberschutzgesetz (HinSchG), gesetze-im-internet.de – insbesondere §§ 8, 9, 10, 11, 12, 13, 14, 16, 17 und 40
- Verordnung (EU) 2016/679 (DSGVO), EUR-Lex – Art. 14, 15, 28, 30 und 35
- § 22 BDSG und § 29 BDSG, gesetze-im-internet.de
- Orientierungshilfe der Datenschutzaufsichtsbehörden zu Whistleblowing-Hotlines, Datenschutzkonferenz, 14. November 2018 (PDF)
- Externe Meldestelle des Bundes, Bundesamt für Justiz
Stand: September 2026. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.
Sie möchten prüfen lassen, ob Ihre interne Meldestelle die Vorgaben von HinSchG und DSGVO erfüllt – von der Rechtsgrundlage bis zum Löschkonzept? Vereinbaren Sie einen Termin – im Rahmen unserer Compliance-Beratung gehen wir Ihr Meldeverfahren gemeinsam durch.
