Daten von Hinweisgebern gehören zu den sensibelsten Informationen, über die eine Organisation verfügt.
Eine einzelne Akte kann die Identität des Hinweisgebers (oder technische Daten, die diese offenlegen könnten), den Namen der Person, der ein Fehlverhalten vorgeworfen wird, Angaben zu Zeugen, Untersuchungsergebnisse, Finanzunterlagen und möglicherweise Daten besonderer Kategorien wie Gesundheitsdaten oder Hinweise auf kriminelles Verhalten enthalten. Wie diese Daten gespeichert werden – wo sie sich befinden, wer darauf zugreifen kann, wie lange sie aufbewahrt werden und was geschieht, wenn sie nicht mehr benötigt werden – ist keine technische Nebensache. Es handelt sich um eine Managemententscheidung mit direkten regulatorischen, rechtlichen und reputationsbezogenen Konsequenzen.
Für Compliance-Beauftragte ist es unerlässlich, die Speicher- und Sicherheitsarchitektur ihres Whistleblowing-Systems zu verstehen – sowohl zur Erfüllung der datenschutzrechtlichen Verpflichtungen als auch zur Aufrechterhaltung des Vertrauens der Hinweisgeber, von dem das gesamte Programm abhängt.
Wo werden Whistleblowing-Daten gespeichert?
Der physische und rechtliche Standort der Whistleblowing-Daten bestimmt, welche Datenschutzgesetze gelten, welche Aufsichtsbehörden zuständig sind und wie komplex die Compliance-Situation für multinationale Unternehmen wird.
Datenaufbewahrungsort
Der Begriff „Datenaufbewahrungsort“ bezieht sich auf den geografischen Standort, an dem personenbezogene Daten physisch gespeichert werden. Für Whistleblowing-Systeme ist dies von Bedeutung, da die DSGVO und die britische DSGVO Beschränkungen für die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR) oder des Vereinigten Königreichs vorsehen, sofern keine angemessenen Schutzmaßnahmen getroffen wurden. Das Hosting von Whistleblowing-Daten innerhalb der eigenen Gerichtsbarkeit der Organisation – zum Beispiel Datenstandort im Vereinigten Königreich für dort ansässige Organisationen – macht internationale Übertragungsmechanismen für inländische Daten überflüssig und liefert eine klare, überprüfbare Antwort auf die Frage, die Aufsichtsbehörden und betroffene Personen stellen werden: Wo befinden sich meine Daten?
Für multinationale Unternehmen werden Entscheidungen zur Datenlokalisierung immer komplexer. Einige Unternehmen entscheiden sich dafür, alle Whistleblowing-Daten in einem einzigen Rechtsraum mit strengen Datenschutzstandards zu speichern. Andere nutzen geografisch verteilte Speicherorte, um den lokalen Anforderungen an die Datenlokalisierung gerecht zu werden. Das zentrale Prinzip lautet: Unabhängig davon, wo die Daten gespeichert werden, müssen die angewandten Schutzmaßnahmen den höchsten geltenden Standards entsprechen – und das Unternehmen muss dies gegenüber jeder zuständigen Aufsichtsbehörde nachweisen können.
Hosting-Modell: Intern vs. Extern
Daten aus dem Whistleblowing-System können auf der eigenen Infrastruktur der Organisation, auf einer Cloud-Plattform eines Drittanbieters oder auf einer vom Whistleblowing-Dienstleister verwalteten Infrastruktur gehostet werden. Jedes Modell weist unterschiedliche Risikomerkmale auf.
Bei intern gehosteten Systemen hat die Organisation die direkte Kontrolle über die Daten, ist jedoch auch internen Zugriffsrisiken ausgesetzt. IT-Administratoren, Datenbankverwalter und möglicherweise andere Mitarbeiter mit weitreichenden Systemberechtigungen könnten Zugriff auf Whistleblowing-Aufzeichnungen erhalten – ein erhebliches Problem, wenn der Kanal für Meldungen über Führungskräfte vorgesehen ist. Extern gehostete Systeme, die von einem unabhängigen Anbieter verwaltet werden, schaffen eine strukturelle Trennung: Das eigene technische Personal der Organisation hat keinen administrativen Zugriff auf die Plattform, und die Sicherheitskontrollen des Anbieters funktionieren unabhängig von der internen IT-Umgebung der Organisation.
Diese strukturelle Unabhängigkeit ist eines der stärksten Argumente für externes Hosting. Die Organisation muss sich nicht darauf verlassen, dass ihre eigenen IT-Richtlinien unbefugten Zugriff verhindern – der Zugriffsweg wird gänzlich unterbunden.
Wie Whistleblowing-Daten geschützt werden
Verschlüsselung
Die Verschlüsselung ist der grundlegende Schutz für Whistleblowing-Daten. Daten müssen sowohl während der Übertragung (zwischen dem Gerät des Hinweisgebers und der Plattform) als auch im Ruhezustand (während der Speicherung auf Servern) verschlüsselt sein. Transport Layer Security (TLS) schützt Daten während der Übertragung, während die AES-256-Verschlüsselung der allgemein anerkannte Standard für Daten im Ruhezustand ist. Zusammen stellen diese sicher, dass selbst im Falle einer Sicherheitsverletzung oder eines Abfangens der Inhalt von Whistleblowing-Meldungen ohne die entsprechenden Entschlüsselungsschlüssel unlesbar bleibt.
Die von der italienischen Datenschutzbehörde gegen den Flughafen Bologna verhängte Geldstrafe in Höhe von 40.000 Euro wegen des Betriebs eines Whistleblowing-Systems ohne angemessene Verschlüsselung ist ein anschauliches Beispiel für die Erwartungen der Aufsichtsbehörden. Verschlüsselung ist keine Zusatzfunktion – sie ist eine Grundvoraussetzung, die die Aufsichtsbehörden bei der Prüfung der Einhaltung der Vorschriften berücksichtigen.
Zugriffskontrollen
Rollenbasierte Zugriffskontrollen regeln, wer Whistleblowing-Daten einsehen, bearbeiten und darauf reagieren darf. In einem ordnungsgemäß konfigurierten System ist der Zugriff auf speziell befugtes Personal beschränkt: den benannten Compliance-Beauftragten, die zugewiesenen Ermittler und, falls erforderlich, Rechtsberater. Mitglieder der Geschäftsleitung, Mitarbeiter der Personalabteilung, IT-Administratoren und andere Mitarbeiter sollten keinen Zugriff haben, es sei denn, dieser wurde ausdrücklich für einen definierten, dokumentierten Zweck gewährt.
Die Multi-Faktor-Authentifizierung bietet allen Benutzern mit Zugriff auf das Fallmanagement eine zusätzliche Sicherheitsstufe und stellt sicher, dass ein kompromittiertes Passwort allein nicht ausreicht, um auf das System zuzugreifen. Dank detaillierter Berechtigungseinstellungen lassen sich unterschiedliche Zugriffsebenen zuweisen: Ein Fallbearbeiter hat beispielsweise uneingeschränkten Zugriff auf die ihm zugewiesenen Fälle, während der Compliance-Leiter die Daten auf Programmebene überwacht, ohne notwendigerweise die Details einzelner Fälle einsehen zu können.
Prüfpfade
Jede Interaktion mit Whistleblowing-Daten sollte in einem umfassenden Prüfpfad protokolliert werden: wer wann auf welchen Fall zugegriffen hat, welche Maßnahmen ergriffen wurden und welche Daten eingesehen wurden. Diese Protokollierung dient einem doppelten Zweck. Im Hinblick auf die Compliance liefert sie den Nachweis, dass die Vertraulichkeitspflichten der EU-Whistleblowing-Richtlinie und der DSGVO eingehalten wurden. Im Hinblick auf die Sicherheit ermöglicht sie die Erkennung ungewöhnlicher Zugriffsmuster – wie beispielsweise ein Benutzer, der Fälle einsieht, die ihm nicht zugewiesen sind, oder zu ungewöhnlichen Zeiten auf das System zugreift –, die auf eine Kompromittierung oder eine Insider-Bedrohung hindeuten könnten.
Maßnahmen zum Schutz der Anonymität
Der Schutz der Identität anonymer Hinweisgeber erfordert spezifische technische Maßnahmen, die über die üblichen Zugriffskontrollen hinausgehen. Die Plattform muss darauf achten, bei anonymen Meldungen keine IP-Adressen zu protokollieren, Metadaten aus hochgeladenen Dokumenten zu entfernen (wie Autorennamen, Gerätekennungen und GPS-Koordinaten) und sicherzustellen, dass keine Daten zum Browser- oder Geräte-Fingerprinting erfasst werden. Ohne diese Schutzmaßnahmen könnte ein Hinweisgeber, der sich für anonym hält, versehentlich anhand der vom System erfassten technischen Daten identifiziert werden.
Die Entscheidung, Telefonate nicht aufzuzeichnen, hängt mit Überlegungen zur Datenspeicherung zusammen. Sprachaufzeichnungen stellen personenbezogene Daten dar und können unter bestimmten Verarbeitungsbedingungen als biometrische Daten gelten. Anbieter, die keine Anrufe aufzeichnen, vermeiden die Speicherung dieser Kategorie sensibler Daten gänzlich – wodurch sich sowohl der Aufwand für den Datenschutz als auch das Risiko einer möglichen Datenschutzverletzung verringert.
Wie lange werden Whistleblowing-Daten aufbewahrt?
Der Grundsatz der Speicherbegrenzung gemäß der DSGVO schreibt vor, dass personenbezogene Daten nicht länger aufbewahrt werden dürfen, als es für den Zweck, für den sie erhoben wurden, erforderlich ist. Für Daten aus Whistleblowing-Fällen bedeutet dies, dass je nach Ausgang des jeweiligen Falls unterschiedliche Aufbewahrungsfristen anzuwenden sind.
Gemäß den Leitlinien des Europäischen Datenschutzbeauftragten zum Thema Whistleblowing empfiehlt es sich, Meldungen, die nicht zu einer Untersuchung führen, für einen kürzeren Zeitraum – in der Regel zwei bis drei Monate – aufzubewahren, während Daten aus begründeten Untersuchungen länger aufbewahrt werden sollten, sofern dies zur Unterstützung von Disziplinarverfahren, behördlichen Maßnahmen oder Rechtsstreitigkeiten erforderlich ist. Mehrere nationale Umsetzungsvorschriften in der EU sehen spezifische Anforderungen vor: In Österreich beispielsweise müssen Aufzeichnungen über alle Verarbeitungsvorgänge im Zusammenhang mit internen Meldekanälen über die geltende Aufbewahrungsfrist hinaus drei Jahre lang aufbewahrt werden.
Dank moderner Technologie lassen sich diese differenzierten Zeitpläne einheitlich und automatisch anwenden. Konfigurierbare Aufbewahrungsrichtlinien innerhalb der Fallmanagement-Plattform können Fälle je nach Ergebnis und geltender Aufbewahrungsfrist zur Überprüfung, Archivierung oder Löschung kennzeichnen – wodurch die Abhängigkeit von manuellen Überprüfungszyklen entfällt, bei denen es leicht zu Übersehen und Unstimmigkeiten kommen kann.
Was passiert, wenn Daten gelöscht werden?
Die Löschung von Whistleblowing-Daten muss sicher und nachweisbar erfolgen. Das bloße Löschen einer Fallakte aus der Fallverwaltungsschnittstelle reicht möglicherweise nicht aus, um sie aus der zugrunde liegenden Datenbank, den Sicherungssystemen oder dem Archivspeicher zu entfernen. Eine sichere Löschung setzt voraus, dass die Daten so überschrieben oder kryptografisch gelöscht werden, dass eine Wiederherstellung unmöglich ist, und dass die Löschung auf alle Speicherorte – einschließlich Sicherungen und replizierten Umgebungen – angewendet wird.
Die Organisation sollte in der Lage sein, auf Verlangen einer Aufsichtsbehörde oder einer betroffenen Person nachzuweisen, dass Daten gemäß dem geltenden Aufbewahrungsplan gelöscht wurden. Das bedeutet, dass der Löschvorgang selbst protokolliert und nachprüfbar sein muss – ein weiterer Bereich, in dem Technologie eine Disziplin gewährleistet, die bei manuellen Prozessen nur schwer aufrechtzuerhalten ist.
Fragen, die Compliance-Beauftragte stellen sollten
Bei der Bewertung, wie Whistleblowing-Daten gespeichert und geschützt werden – sei es bei der Überprüfung eines bestehenden Systems oder bei der Auswahl eines neuen Anbieters –, sollten Compliance-Beauftragte klare Antworten auf folgende Fragen einholen:
- In welcher Gerichtsbarkeit werden die Daten physisch gespeichert, und werden dadurch alle geltenden Anforderungen an den Datenaufbewahrungsort erfüllt?
- Werden die Daten nach den aktuellen Standards verschlüsselt (TLS bei der Übertragung, AES-256 im Ruhezustand)?
- Wer hat Zugriff auf das System, und werden rollenbasierte Zugriffskontrollen in Verbindung mit einer Multi-Faktor-Authentifizierung durchgesetzt?
- Verfügt das interne IT-Team der Organisation über Administratorrechte für die Plattform?
- Sind die Prüfpfade umfassend und erfassen sie alle Zugriffsvorgänge und Aktionen?
- Sind Maßnahmen zum Schutz der Anonymität vorhanden, einschließlich der Unterdrückung von IP-Adressen und der Entfernung von Metadaten?
- Werden Telefongespräche aufgezeichnet, und wenn ja, wie werden die Aufzeichnungen gespeichert, geschützt und gelöscht?
- Sind Aufbewahrungsfristen je nach Ausgang des Falles konfigurierbar, und erfolgt die Löschung sicher und nachvollziehbar?
- Ist der Anbieter nach ISO 27001 zertifiziert, und ist die Zertifizierung noch gültig?
Ein Anbieter, der jede dieser Fragen eindeutig beantworten kann – und Unterlagen zur Untermauerung einer Datenschutz-Folgenabschätzung vorlegen kann –, vermittelt dem Compliance-Beauftragten die Gewissheit, dass die Speicherung und der Schutz von Whistleblowing-Daten den Standards entsprechen, die Aufsichtsbehörden, Hinweisgeber und der Vorstand erwarten.
Weiterführende Ressourcen
- Whistleblowing-Datenschutz & DSGVO-Hub – Überblick über den Datenschutz in Whistleblowing-Systemen.
- Wie ermöglichen sichere digitale Portale eine sichere Meldung von Missständen? – Sicherheitsarchitektur von Online-Meldeplattformen.
- Wie tragen digitale Whistleblowing-Kanäle zur Bewältigung von Cyberrisiken bei? – Schutz des Kanals vor Cyberbedrohungen.
- Wie lauten die Richtlinien zur Datenaufbewahrung für Whistleblowing-Systeme? – Ausführliche Leitlinien zu Aufbewahrungsfristen und Speicherbeschränkungen.
Wie Safecall helfen kann
Safecall speichert und schützt Whistleblowing-Daten nach höchsten Standards. Unsere Plattform wird auf Servern mit Standort im Vereinigten Königreich gehostet, ist nach ISO 27001 zertifiziert und DSGVO-konform und verfügt über End-to-End-Verschlüsselung, rollenbasierte Zugriffskontrollen, umfassende Protokollierung sowie die Entfernung von Metadaten bei anonymen Meldungen. Wir zeichnen keine Telefongespräche auf – wodurch eine ganze Kategorie sensibler Daten von der Speicherung ausgeschlossen wird. Da Safecall unabhängig von der IT-Infrastruktur unserer Kunden betrieben wird, hat deren internes technisches Personal keinen administrativen Zugriff auf das System. Mit über 25 Jahren Betriebserfahrung und einer Kundenbindungsrate von 95 % bietet Safecall eine Speicher- und Schutzarchitektur, die Compliance-Beauftragte in ihrer Datenschutz-Folgenabschätzung dokumentieren und ihrem Vorstand mit Zuversicht präsentieren können.
Wenn Sie erfahren möchten, wie Safecall die Whistleblowing-Daten Ihres Unternehmens schützt, wenden Sie sich an unser Team oder rufen Sie uns an unter +44 (0) 191 516 7720.
Quellen und weiterführende Literatur
- Datenschutz-Grundverordnung (DSGVO) der EU, Artikel 5, 25, 32, Kapitel V – gdpr-info.eu
- Europäischer Datenschutzbeauftragter (EDSB), Leitlinien zur Verarbeitung personenbezogener Daten im Rahmen eines Whistleblowing-Verfahrens (2019) – edps.europa.eu
- EU-Richtlinie 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden – eur-lex.europa.eu
- ISO/IEC 27001:2022, Managementsysteme für die Informationssicherheit – iso.org
- Morgan Lewis, Auswirkungen von Whistleblowing-Verfahren auf den Datenschutz in der EU und im Vereinigten Königreich (2024) – Durchsetzung am Flughafen Bologna, Aufbewahrungspraktiken – lexology.com
- Morrison Foerster, Whistleblowing-Gesetze im Überblick – Aufbewahrungspflichten in Österreich – mofo.com