Hinweisgebersystem: die Identität der meldenden Person beim Teilen der Fallakte schützen

Eine interne Meldestelle kann technisch einwandfrei aufgestellt sein – verschlüsseltes Portal, getrennte Zugriffsrechte, anonyme Meldemöglichkeit – und trotzdem die hinweisgebende Person verraten. Die Schwachstelle liegt selten im Meldekanal, sondern in dem, was danach passiert: Die Fallakte wird heruntergeladen, an die Personalabteilung weitergeleitet, einer Vorlage für die Geschäftsführung beigefügt oder an eine Kanzlei übergeben. In jeder Kopie stecken Namen, E-Mail-Signaturen, Metadaten und Details, aus denen sich ableiten lässt, wer gemeldet hat. Dieser Beitrag fasst zusammen, was das deutsche und europäische Recht verlangt, und zeigt eine praktikable Methode, Ermittlungsunterlagen so aufzubereiten, dass jeder Empfänger nur sieht, was er braucht.

Rechtsrahmen: Identität und alles, was auf sie schließen lässt

Die Richtlinie (EU) 2019/1937 verpflichtet in Artikel 16 dazu, die Identität der meldenden Person ohne deren ausdrückliche Zustimmung nur den Beschäftigten offenzulegen, die für die Entgegennahme und Bearbeitung von Meldungen zuständig sind. Der Schutz erstreckt sich ausdrücklich auf alle anderen Informationen, aus denen die Identität direkt oder indirekt abgeleitet werden kann. Artikel 17 verbietet das Erheben offensichtlich nicht relevanter Daten; versehentlich erhobene Daten sind unverzüglich zu löschen.

In Deutschland setzt das Hinweisgeberschutzgesetz (HinSchG) die Richtlinie seit Juli 2023 um. Für den Umgang mit Dokumenten sind drei Vorschriften zentral:

• § 8 HinSchG (Vertraulichkeitsgebot): Meldestellen müssen die Identität der hinweisgebenden Person, der Personen, die Gegenstand der Meldung sind, und der sonstigen in der Meldung genannten Personen vertraulich behandeln. Kenntnis erhalten dürfen nur die für Entgegennahme und Folgemaßnahmen zuständigen Personen und die sie unterstützenden Personen.
• § 9 HinSchG (Ausnahmen): Eine Weitergabe ist etwa an Strafverfolgungsbehörden auf deren Verlangen, aufgrund einer Anordnung in einem Verwaltungsverfahren oder einer gerichtlichen Entscheidung zulässig; die hinweisgebende Person ist grundsätzlich vorher zu informieren. Andere Weitergaben brauchen eine gesonderte Einwilligung in Textform.
• § 11 HinSchG (Dokumentation): Meldungen sind vertraulich und dauerhaft abrufbar zu dokumentieren. Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht; länger nur, solange dies erforderlich und verhältnismäßig ist.

Hinzu kommt die DSGVO: Verlangt die beschuldigte Person nach Art. 15 DSGVO eine Kopie ihrer Daten, darf diese nach Art. 15 Abs. 4 die Rechte anderer Personen nicht beeinträchtigen – also auch nicht die Identität der hinweisgebenden Person offenlegen. Externe Meldestelle des Bundes ist das Bundesamt für Justiz; die Datenschutzaufsicht liegt beim BfDI bzw. bei den Landesdatenschutzbehörden. Praktisch heißt das: Den Namen auf Seite 1 zu schwärzen reicht nicht. Die gesamte Akte muss mit der Frage gelesen werden, ob jemand, der die Organisation kennt, daraus auf die meldende Person schließen könnte.

Wo die Identität aus einer Fallakte entweicht

Eine typische Akte enthält das Meldeformular, E-Mail-Verkehr mit der hinweisgebenden Person, Screenshots, Tabellen (Zeiterfassung, Reisekosten, Zugriffsprotokolle), Gesprächsprotokolle und manchmal gescannte Seiten mit handschriftlichen Notizen. Die häufigsten Lecks:

• Direkte Identifikatoren: Name, Personalnummer, dienstliche E-Mail-Adresse, Durchwahl, Unterschrift unter einem Protokoll.
• E-Mail-Kopfzeilen und Signaturen: Eine weitergeleitete .msg- oder .eml-Datei enthält Absender, Empfänger, Funktion und Abteilung.
• Metadaten: das Feld „Autor“ in Word oder PDF, Änderungsverfolgung, ausgeblendete Kommentare. Mehr dazu in versteckte Metadaten in Word und PDF.
• Indirekte Identifikatoren: „die einzige Schichtleiterin im Nachtdienst am Standort Bremen“, ein Krankmeldungsdatum, ein bestimmtes Projekt oder ein Satz, den nur ein Teilnehmer der Besprechung schreiben konnte.
• Screenshots: angemeldeter Benutzername, Profilbild, Rechnername in der Taskleiste.
• Scheinschwärzung: schwarze Rechtecke über einem PDF, unter denen der Text markierbar bleibt.

Pro Empfänger eine eigene Fassung

Am zuverlässigsten ist es, für jede Empfängergruppe eine eigene Fassung zu erstellen und zu dokumentieren, wer welche Fassung erhalten hat. Ein Beispiel (fiktiv) für eine Meldung wegen Mobbings:

Die Pseudonymisierung ist während der Untersuchung besonders hilfreich: Wer jede Person durchgängig durch dasselbe Kürzel ersetzt, hält den Sachverhalt lesbar und kann Aussagen abgleichen, ohne jemanden offenzulegen. Pseudonymisierte Daten bleiben aber personenbezogen; den Unterschied erklärt Anonymisierung vs. Pseudonymisierung.

Arbeitsweise für die Aufbereitung der Akte

Zwei Punkte werden oft übersehen. Erstens die Schilderung selbst: „wie ich meiner Vorgesetzten im Dienstagsmeeting gesagt habe“ identifiziert sicherer als ein Name; manche Passagen müssen verallgemeinert, nicht nur geschwärzt werden. Zweitens unbeteiligte Dritte wie Angehörige, Kunden oder beiläufig erwähnte Kollegen: Sie gehören nach dem Grundsatz der Datenminimierung ganz heraus. Und nach Abschluss des Falls erlaubt eine Anonymisierung, Erkenntnisse zu behalten, ohne die Löschfrist des § 11 zu unterlaufen – sofern auch Kombinationen aus Datum, Standort und Funktion keine Re-Identifizierung mehr erlauben.

Wie Anonimatum dabei hilft

Mit Anonimatum lassen sich diese Fassungen ohne manuelles Schwärzen erstellen. Die Pseudonymisierung ersetzt jede Person im ganzen Dokument durch dasselbe Kürzel und speichert die Zuordnung verschlüsselt, sodass nur, wer sie besitzt, die Ersetzung rückgängig machen kann. Eine eigene KI erkennt Namen, Organisationen, Daten, Adressen und Beträge; Muster erfassen E-Mail-Adressen, Telefonnummern oder IBAN. Vor dem Anwenden prüft ein Mensch die Vorschau und kann Signaturen oder Stempel mit manuellen Zonen abdecken. Verarbeitet werden PDF (auch gescannt), Word, Excel, Bilder und E-Mails samt Anhängen; Metadaten werden entfernt, das Originalformat bleibt erhalten. Die Verarbeitung läuft auf Servern in der Europäischen Union, ohne den Text an externe Sprachmodell-APIs zu senden – Details auf unserer Seite zur Sicherheit. Vergleichen Sie die Tarife und starten Sie direkt online.