--- title: "DSFA für das Hinweisgebersystem: wann sie nötig ist" description: "Braucht ein Hinweisgebersystem eine Datenschutz-Folgenabschätzung? Warum die Antwort meist ja lautet und was hineingehört." canonical: "https://www.dsb-datenschutz.de/hinweisgeberschutz/wissen-datenschutz-folgenabschaetzung/" --- # DSFA für das Hinweisgebersystem Die Frage nach einer **DSFA** für das **Hinweisgebersystem** wird häufig erst gestellt, wenn das System bereits läuft. Das ist die falsche Reihenfolge: [Art. 35 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-35/) verlangt die Datenschutz-Folgenabschätzung **vor** der Verarbeitung. Und für ein Meldesystem lautet die Antwort in den meisten Fällen: ja. ## Warum die Antwort meist ja lautet Erforderlich ist sie, wenn von einer Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen ausgeht. Vier Merkmale eines Meldesystems sprechen dafür: **Es werden Daten über Straftaten und Ordnungswidrigkeiten verarbeitet.** Genau das ist der Gegenstand vieler Meldungen. [Art. 10 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-10/) behandelt solche Daten gesondert. **Betroffen sind Personen in einem Abhängigkeitsverhältnis.** Beschäftigte können der Verarbeitung nicht ausweichen. **Es geht um Verdachtsfälle.** Über beschuldigte Personen werden Daten verarbeitet, die sich als unzutreffend erweisen können – und die für sie erhebliche Folgen haben, solange der Verdacht im Raum steht. **Die Betroffenen erfahren zunächst nichts.** Die Information der beschuldigten Person muss zurückgestellt werden, solange sie die Aufklärung gefährden würde. Eine Verarbeitung, von der der Betroffene nichts weiß, ist per se eingriffsintensiv. Hinzu kommt: Die Aufsichtsbehörden führen Listen von Verarbeitungen, für die eine Folgenabschätzung stets durchzuführen ist. Whistleblowing-Systeme sind dort regelmäßig genannt. Prüfen Sie die Liste Ihrer zuständigen [Aufsichtsbehörde](https://www.dsb-datenschutz.de/externer-datenschutzbeauftragter/wissen-aufsichtsbehoerden/) – sie ist der einfachste Weg zur Antwort. ## Die drei Personengruppen Der häufigste Fehler in vorgelegten Folgenabschätzungen ist, dass nur die hinweisgebende Person betrachtet wird. Tatsächlich sind drei Gruppen betroffen, mit unterschiedlichen Risiken: **Die hinweisgebende Person.** Risiko: Offenlegung der Identität und daraus folgende Benachteiligung. Das Repressalienverbot des Gesetzes ist die rechtliche Antwort; die technische ist die Trennung der Identität von der Meldung. **Die beschuldigte Person.** Risiko: Verarbeitung eines unbewiesenen Verdachts, verzögerte Information, unzutreffende Angaben, die dauerhaft gespeichert bleiben. Diese Gruppe wird am häufigsten vergessen und ist rechtlich am exponiertesten. **Dritte.** Zeugen, genannte Kollegen, Geschäftspartner – Personen, die weder gemeldet haben noch beschuldigt sind, aber in der Meldung vorkommen. ## Was in die Folgenabschätzung gehört **Die systematische Beschreibung.** Welche Meldekanäle, welche Software, wer hat Zugriff, welche Daten fallen an, wie lange werden sie gespeichert, wohin fließen sie. **Die Prüfung von Notwendigkeit und Verhältnismäßigkeit.** Die Rechtsgrundlage folgt hier aus der gesetzlichen Pflicht; die Verhältnismäßigkeit ist gleichwohl zu begründen – insbesondere die Reichweite der erhobenen Daten. **Die Risikobewertung** für alle drei Gruppen. **Die Abhilfemaßnahmen.** Hier entscheidet sich, ob das Dokument etwas taugt. Wirksam sind: strenge Zugriffsbeschränkung auf die benannten Fallbearbeiter, Verschlüsselung, Protokollierung jedes Zugriffs, ein anonymer Rückkanal statt vollständiger Anonymisierung, klare Löschfristen und die Regelung, wann die beschuldigte Person informiert wird. **Die Löschfristen** verdienen besondere Aufmerksamkeit. Meldungen und Vorgangsakten dürfen nicht unbegrenzt aufbewahrt werden. „Bis auf Weiteres" ist keine zulässige Angabe; die Fristen gehören in Ihr [Löschkonzept](https://www.dsb-datenschutz.de/datenschutz/beratung-loeschkonzept/). ## Die anderen Datenschutzpflichten Die Folgenabschätzung ist nicht die einzige. Ebenfalls zu erledigen: - **Eintrag ins [Verzeichnis von Verarbeitungstätigkeiten](https://www.dsb-datenschutz.de/datenschutz/beratung-verarbeitungsverzeichnis/)** – das Meldesystem ist eine eigene Verarbeitungstätigkeit. - **[Auftragsverarbeitungsvertrag](https://www.dsb-datenschutz.de/datenschutz/beratung-auftragsverarbeitungsvertrag/)** mit dem Softwareanbieter und, falls extern besetzt, mit dem [Meldestellenbeauftragten](https://www.dsb-datenschutz.de/hinweisgeberschutz/meldestellenbeauftragter/). - **Informationspflichten** gegenüber allen drei Gruppen, mit begründeter Zurückstellung, wo nötig. - **Drittlandprüfung**, wenn die Software außerhalb der EU betrieben wird oder Gesellschaften außerhalb beteiligt sind – siehe [Konzernlösung](https://www.dsb-datenschutz.de/hinweisgeberschutz/wissen-konzernloesung/). ## Der praktische Rat Erstellen Sie die Folgenabschätzung, bevor Sie die Software auswählen – nicht danach. Sie liefert die Anforderungsliste: Wenn Sie wissen, welche Zugriffsbeschränkungen und welche Protokollierung Sie brauchen, prüfen Sie Angebote gegen Kriterien statt gegen Prospekte. Wie das Verfahren im Einzelnen abläuft, steht unter [Datenschutz-Folgenabschätzung](https://www.dsb-datenschutz.de/datenschutz/beratung-datenschutz-folgenabschaetzung/). ## Kontakt Sie führen ein Meldesystem ein und wissen nicht, ob eine Folgenabschätzung nötig ist? Diese Frage beantworten wir in einem Gespräch. - Telefon: [+49 6188 99 04 36](tel:+496188990436) - E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de) - Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns) - [Zum Hinweisgeberschutz](https://www.dsb-datenschutz.de/hinweisgeberschutz/)