DSFA für das Hinweisgebersystem

Die Frage nach einer DSFA für das Hinweisgebersystem wird häufig erst gestellt, wenn das System bereits läuft. Das ist die falsche Reihenfolge: Art. 35 DSGVO verlangt die Datenschutz-Folgenabschätzung vor der Verarbeitung. Und für ein Meldesystem lautet die Antwort in den meisten Fällen: ja.

Warum die Antwort meist ja lautet

Erforderlich ist sie, wenn von einer Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen ausgeht. Vier Merkmale eines Meldesystems sprechen dafür:

Es werden Daten über Straftaten und Ordnungswidrigkeiten verarbeitet. Genau das ist der Gegenstand vieler Meldungen. Art. 10 DSGVO behandelt solche Daten gesondert.

Betroffen sind Personen in einem Abhängigkeitsverhältnis. Beschäftigte können der Verarbeitung nicht ausweichen.

Es geht um Verdachtsfälle. Über beschuldigte Personen werden Daten verarbeitet, die sich als unzutreffend erweisen können – und die für sie erhebliche Folgen haben, solange der Verdacht im Raum steht.

Die Betroffenen erfahren zunächst nichts. Die Information der beschuldigten Person muss zurückgestellt werden, solange sie die Aufklärung gefährden würde. Eine Verarbeitung, von der der Betroffene nichts weiß, ist per se eingriffsintensiv.

Hinzu kommt: Die Aufsichtsbehörden führen Listen von Verarbeitungen, für die eine Folgenabschätzung stets durchzuführen ist. Whistleblowing-Systeme sind dort regelmäßig genannt. Prüfen Sie die Liste Ihrer zuständigen Aufsichtsbehörde – sie ist der einfachste Weg zur Antwort.

Die drei Personengruppen

Der häufigste Fehler in vorgelegten Folgenabschätzungen ist, dass nur die hinweisgebende Person betrachtet wird. Tatsächlich sind drei Gruppen betroffen, mit unterschiedlichen Risiken:

Die hinweisgebende Person. Risiko: Offenlegung der Identität und daraus folgende Benachteiligung. Das Repressalienverbot des Gesetzes ist die rechtliche Antwort; die technische ist die Trennung der Identität von der Meldung.

Die beschuldigte Person. Risiko: Verarbeitung eines unbewiesenen Verdachts, verzögerte Information, unzutreffende Angaben, die dauerhaft gespeichert bleiben. Diese Gruppe wird am häufigsten vergessen und ist rechtlich am exponiertesten.

Dritte. Zeugen, genannte Kollegen, Geschäftspartner – Personen, die weder gemeldet haben noch beschuldigt sind, aber in der Meldung vorkommen.

Was in die Folgenabschätzung gehört

Die systematische Beschreibung. Welche Meldekanäle, welche Software, wer hat Zugriff, welche Daten fallen an, wie lange werden sie gespeichert, wohin fließen sie.

Die Prüfung von Notwendigkeit und Verhältnismäßigkeit. Die Rechtsgrundlage folgt hier aus der gesetzlichen Pflicht; die Verhältnismäßigkeit ist gleichwohl zu begründen – insbesondere die Reichweite der erhobenen Daten.

Die Risikobewertung für alle drei Gruppen.

Die Abhilfemaßnahmen. Hier entscheidet sich, ob das Dokument etwas taugt. Wirksam sind: strenge Zugriffsbeschränkung auf die benannten Fallbearbeiter, Verschlüsselung, Protokollierung jedes Zugriffs, ein anonymer Rückkanal statt vollständiger Anonymisierung, klare Löschfristen und die Regelung, wann die beschuldigte Person informiert wird.

Die Löschfristen verdienen besondere Aufmerksamkeit. Meldungen und Vorgangsakten dürfen nicht unbegrenzt aufbewahrt werden. „Bis auf Weiteres” ist keine zulässige Angabe; die Fristen gehören in Ihr Löschkonzept.

Die anderen Datenschutzpflichten

Die Folgenabschätzung ist nicht die einzige. Ebenfalls zu erledigen:

Der praktische Rat

Erstellen Sie die Folgenabschätzung, bevor Sie die Software auswählen – nicht danach. Sie liefert die Anforderungsliste: Wenn Sie wissen, welche Zugriffsbeschränkungen und welche Protokollierung Sie brauchen, prüfen Sie Angebote gegen Kriterien statt gegen Prospekte.

Wie das Verfahren im Einzelnen abläuft, steht unter Datenschutz-Folgenabschätzung.

Kontakt

Sie führen ein Meldesystem ein und wissen nicht, ob eine Folgenabschätzung nötig ist? Diese Frage beantworten wir in einem Gespräch.