NEU: Laden Sie noch heute den Whistleblowing-Benchmark-Bericht 2026 herunter

Wie lauten die Richtlinien zur Datenspeicherung für Whistleblowing-Systeme?

Die EU-Whistleblowing-Richtlinie sorgt für zusätzliche Komplexität, da sie spezifische Verarbeitungsanforderungen vorschreibt, die detaillierten Aufbewahrungsvorschriften jedoch den Mitgliedstaaten überlässt. Das Verständnis dieser sich überschneidenden Anforderungen ist für Compliance-Beauftragte, die Whistleblowing-Regelungen umsetzen oder verwalten, von entscheidender Bedeutung.

Weitere Informationen zu den Verpflichtungen im Zusammenhang mit der Einhaltung der EU-Richtlinie finden Sie in unserem Compliance-Hub zur EU-Whistleblowing-Richtlinie.

Grundsatz der Speicherbegrenzung gemäß DSGVO

Artikel 5 Absatz 1 Buchstabe e der DSGVO legt den Grundsatz der Speicherbegrenzung fest: Personenbezogene Daten dürfen „in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht, und zwar nicht länger, als es für die Zwecke, für die die personenbezogenen Daten verarbeitet werden, erforderlich ist.“

Dies führt in Whistleblowing-Situationen unmittelbar zu Spannungen, da personenbezogene Daten Folgendes umfassen:

Identitätsdaten von Hinweisgebern: Name, Kontaktdaten, Angaben zum Beschäftigungsverhältnis oder jede Kombination von Datenelementen, die eine Identifizierung des Hinweisgebers ermöglichen könnten – selbst wenn der Hinweisgeber seinen Namen nicht angegeben hat, können Metadaten eine Identifizierung ermöglichen.

Betroffene Daten: Informationen über Personen, denen Fehlverhalten vorgeworfen wird oder die in Berichten erwähnt werden.

Zeugenangaben: Angaben zu Kollegen, Kunden oder Dritten, die möglicherweise über relevante Informationen verfügen.

Ermittlungsunterlagen: Aufzeichnungen von Befragungen, gesammelte Beweismittel, getroffene Entscheidungen und ergriffene Maßnahmen.

Keine vorgeschriebene Aufbewahrungsfrist

Entscheidend ist, dass die DSGVO nicht festlegt, wie lange Organisationen Daten aufbewahren dürfen. Die Aufbewahrungsfristen müssen auf der Grundlage folgender Kriterien festgelegt werden:

Verarbeitungszwecke: Warum wurden die Daten erhoben? Welche berechtigten Zwecke erfordern ihre Speicherung?

Gesetzliche Verpflichtungen: Schreiben andere Gesetze bestimmte Aufbewahrungsfristen vor?

Berechtigte Interessen: Gibt es triftige geschäftliche Gründe für die weitere Speicherung?

Erwartungen der betroffenen Personen: Was haben die Betroffenen vernünftigerweise erwartet, als ihre Daten erhoben wurden?

Bei Whistleblowing-Systemen können diese Faktoren in unterschiedliche Richtungen weisen. Ein Whistleblower, der sexuelle Belästigung meldet, erwartet möglicherweise, dass seine Identität geschützt wird, sein Anliegen jedoch untersucht und behoben wird. Die Person, gegen die der Vorwurf erhoben wird, erwartet eine faire Untersuchung, aber die Löschung unbegründeter Vorwürfe. Die Organisation muss Nachweise für eine ordnungsgemäße Untersuchung aufbewahren, um sich gegen arbeitsrechtliche Klagen oder behördliche Überprüfungen zu verteidigen.

Anforderungen der EU-Whistleblowing-Richtlinie

Die EU-Whistleblower-Richtlinie geht in Artikel 17 kurz auf die Vorratsdatenspeicherung ein, wo es heißt:

„Personenbezogene Daten, die für die Bearbeitung einer bestimmten Meldung offensichtlich nicht relevant sind, dürfen nicht erhoben werden; wurden sie versehentlich erhoben, sind sie unverzüglich zu löschen.“

Darüber hinaus stützt sich die Richtlinie weitgehend auf die DSGVO, verpflichtet die Mitgliedstaaten jedoch gleichzeitig, dafür zu sorgen, dass die Verarbeitung von Whistleblower-Meldungen den datenschutzrechtlichen Vorschriften entspricht. Dies hat zu unterschiedlichen nationalen Vorgehensweisen geführt.

Unterschiede zwischen den Mitgliedstaaten

Verschiedene EU-Länder haben spezifische Aufbewahrungspflichten eingeführt:

Portugal: Das Gesetz 93/2021 schreibt vor, dass Aufzeichnungen zu Hinweisgebermeldungen mindestens fünf Jahre ab dem Datum des Abschlusses der Meldung aufzubewahren sind. Dies schafft zwar klare Rechtssicherheit, könnte jedoch in manchen Fällen über die Vorgabe der DSGVO hinausgehen, dass Daten „nicht länger als nötig“ gespeichert werden dürfen.

Deutschland: Das Hinweisgeberschutzgesetz legt keine Aufbewahrungsfristen fest, sodass es den Organisationen überlassen bleibt, angemessene Fristen auf der Grundlage der Grundsätze der DSGVO festzulegen.

Frankreich: Das Gesetz „Sapin II“ und die darauf folgenden Durchführungsvorschriften schreiben Aufbewahrungsfristen vor, die den Nachweis der Einhaltung der Verpflichtungen zur Korruptionsbekämpfung ermöglichen; diese werden in der Regel mit 5 bis 7 Jahren ausgelegt.

Spanien: Organisationen müssen Unterlagen für den Fall möglicher Gerichtsverfahren aufbewahren, wobei die konkreten Fristen von den Verjährungsfristen für die jeweiligen Straftaten abhängen.

Diese Fragmentierung stellt multinationale Unternehmen vor Herausforderungen, die eine einheitliche Datenaufbewahrungspolitik für ihre gesamten europäischen Niederlassungen anstreben.

Faktoren, die die angemessene Aufbewahrungsfrist bestimmen

Compliance-Beauftragte müssen bei der Festlegung von Aufbewahrungsrichtlinien verschiedene Aspekte gegeneinander abwägen:

Anforderungen an die Untersuchung

Whistleblowing-Untersuchungen können sich über Monate oder sogar Jahre hinziehen, insbesondere bei komplexen Fällen, an denen mehrere Zeugen beteiligt sind, die grenzüberschreitende Aktivitäten betreffen oder bei denen parallele behördliche Ermittlungen stattfinden. Die Daten müssen während der gesamten Dauer der laufenden Ermittlungen aufbewahrt werden.

Auch nach Abschluss der Untersuchungen müssen Organisationen Unterlagen möglicherweise aufbewahren, um:

  • Überwachen, dass die vereinbarten Abhilfemaßnahmen umgesetzt werden
  • Sicherstellen, dass die zugesagten Schutzmaßnahmen für Hinweisgeber eingehalten werden
  • Legen Sie Beweise vor, falls Whistleblower später eine unzureichende Reaktion oder Vergeltungsmaßnahmen geltend machen

Klagen vor dem Arbeitsgericht müssen im Vereinigten Königreich in der Regel innerhalb von drei Monaten nach dem beanstandeten Vorfall eingereicht werden, wobei diese Frist bei Fällen fortgesetzter Diskriminierung verlängert werden kann. Bei Whistleblowing-Klagen kann sich der Vorwurf jedoch auf ein Verhalten beziehen, das Jahre zurückliegt, sofern die Vergeltungsmaßnahmen andauern.

Zivilrechtliche Ansprüche und behördliche Ermittlungen können längere Verjährungsfristen haben. Die Aufbewahrung von Whistleblowing-Unterlagen über einen Zeitraum von 6 bis 7 Jahren deckt die meisten Rechtsverfahren ab, in denen auf die Meldungen oder Ermittlungen Bezug genommen werden könnte.

Regulatorische Erwartungen

Aufsichtsbehörden, die die Whistleblowing-Regelungen von Organisationen prüfen, erwarten Nachweise für eine angemessene Handhabung im Laufe der Zeit. Die Financial Conduct Authority kann bei der Bewertung der Whistleblowing-Verfahren von Unternehmen Daten zu folgenden Punkten anfordern:

  • Anzahl und Art der eingegangenen Meldungen
  • Ergebnisse der Untersuchung
  • Getroffene Schutzmaßnahmen
  • Wie auf die Bedenken eingegangen wurde

Um dies zu veranschaulichen, müssen die zusammengefassten Daten auch dann noch gespeichert bleiben, wenn die Einzelheiten zu den einzelnen Fällen gelöscht wurden.

Mustererkennung

Wiederholte Meldungen über dieselbe Abteilung, denselben Vorgesetzten oder dieselbe Art von Verhalten können auf systemische Probleme hinweisen, die behoben werden müssen. Die Aufbewahrung ausreichender Daten zur Erkennung von Mustern dient dem berechtigten Interesse der Organisation, Fehlverhalten zu verhindern.

Dies muss jedoch gegen den Grundsatz der Datenminimierung abgewogen werden. Organisationen können statistische Zusammenfassungen und Themen beibehalten, während detaillierte personenbezogene Daten nach Abschluss der Fälle gelöscht werden.

Praktische Strategien zur Datenaufbewahrung

Unternehmen können Aufbewahrungsrichtlinien einführen, die konkurrierende Anforderungen in Einklang bringen:

Unterschiedliche Aufbewahrungsfristen

Für verschiedene Arten von Whistleblowing-Daten gelten unterschiedliche Aufbewahrungsfristen:

Daten zu laufenden Fällen: Werden während der gesamten Dauer der Untersuchung und der anschließenden Umsetzung aufbewahrt (in der Regel 3–12 Monate).

Abgeschlossene Akten: Diese werden 6–7 Jahre lang aufbewahrt, um eventuelle Rechtsverfahren abzudecken; anschließend werden sie sicher gelöscht, sofern keine Rechtsstreitigkeiten oder Ermittlungen anhängig sind.

Unbegründete Vorwürfe: Wenn Untersuchungen keine Hinweise auf Fehlverhalten ergeben, sollte eine vorzeitige Löschung (möglicherweise nach 2–3 Jahren) in Betracht gezogen werden, um den Ruf der Beschuldigten zu schützen.

Statistische Daten: Anonymisierte zusammenfassende Statistiken (Berichtsvolumen, Arten, Ergebnisse) können länger aufbewahrt werden als detaillierte Fallakten, da sie nach ordnungsgemäßer Anonymisierung keine personenbezogenen Daten mehr enthalten.

Identitätsdaten von Hinweisgebern: Wenn eine anonyme Meldung möglich ist, sollten niemals Identitätsdaten erfasst werden. Ist die Identität bekannt, erfordern diese Daten den strengsten Schutz und müssen unter Umständen kürzer aufbewahrt werden als andere Falldaten.

Schrittweise Datenminimierung

Anstatt vollständige Akten auf unbestimmte Zeit aufzubewahren, können Organisationen personenbezogene Daten schrittweise löschen und dabei die wesentlichen Unterlagen aufbewahren:

Jahr 0–2: Die vollständige Patientenakte wird für die laufende Behandlung und mögliche Nachsorge aufbewahrt.

Jahrgangsstufen 2–7: Detaillierte personenbezogene Daten werden gelöscht; es wird eine Zusammenfassung aufbewahrt, die die Art des Vorfalls, das Ergebnis der Untersuchung und die ergriffenen Maßnahmen umfasst.

Ab dem 7. Jahr: Alle personenbezogenen Daten werden gelöscht; statistische Zusammenfassungen werden ausschließlich zur Musteranalyse und zum Nachweis der Einhaltung von Vorschriften aufbewahrt.

Die üblichen Aufbewahrungsfristen treten außer Kraft, sobald Daten für Gerichtsverfahren, behördliche Ermittlungen oder Auskunftsersuchen von betroffenen Personen relevant werden. Richtlinien zur Datenaufbewahrung müssen Verfahren zur Festlegung und Umsetzung von Aufbewahrungspflichten enthalten, sofern dies erforderlich ist.

Überlegungen zur technischen Umsetzung

Eine wirksame Datenspeicherung erfordert geeignete technische Maßnahmen:

Sichere Aufbewahrung

Daten im Zusammenhang mit Hinweisgebermeldungen müssen verschlüsselt gespeichert werden, wobei der Zugriff so zu regeln ist, dass nur befugtes Personal Einsicht nehmen kann. Artikel 32 DSGVO schreibt angemessene technische und organisatorische Maßnahmen vor, um eine dem Risiko angemessene Sicherheit zu gewährleisten.

Bei Safecall werden alle Falldaten gespeichert unter:

  • End-to-End-Verschlüsselung während der Übertragung und im Ruhezustand
  • Rollenbasierte Zugriffskontrollen
  • Umfassende Protokollierung darüber, wer wann auf welche Daten zugegriffen hat
  • Regelmäßige Sicherheitsprüfungen und Zertifizierung nach ISO 27001

Automatisches Löschen

Manuelle Verfahren zur Datenlöschung sind fehleranfällig und führen häufig zu Inkonsistenzen. Automatisierte Systeme, die Daten anhand vordefinierter Kriterien zur Löschung markieren, gewährleisten eine einheitliche Anwendung der Aufbewahrungsrichtlinien.

Die automatische Löschung muss jedoch mit Sicherheitsvorkehrungen einhergehen:

  • Manuelle Überprüfung vor der Löschung, wenn Fälle möglicherweise noch Auswirkungen haben
  • Funktion zur Aufbewahrungspflicht, die das Löschen von verfahrensrelevanten Daten verhindert
  • Methoden zur sicheren Löschung, die gewährleisten, dass Daten nicht wiederhergestellt werden können

Anonymisierung vs. Löschung

In bestimmten Fällen stellt die Anonymisierung eine Alternative zur Löschung dar. Echte anonymisierte Daten (bei denen Einzelpersonen nicht mehr identifiziert werden können) gelten gemäß der DSGVO nicht mehr als personenbezogene Daten und können für statistische Analysen und Mustererkennung auf unbestimmte Zeit aufbewahrt werden.

Eine echte Anonymisierung ist jedoch schwierig. Das bloße Entfernen von Namen bei gleichzeitiger Beibehaltung von Berufsbezeichnungen, Abteilungen, Daten und konkreten Vorwürfen kann eine Identifizierung weiterhin ermöglichen, insbesondere in kleineren Organisationen oder bei ungewöhnlichen Arten von Meldungen.

Grenzüberschreitende Datenübermittlungen

Unternehmen, die in mehreren Ländern tätig sind, müssen die Anforderungen hinsichtlich des Datenstandorts berücksichtigen. Die DSGVO schränkt die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums ein, sofern keine angemessenen Schutzmaßnahmen getroffen werden.

Britische Organisationen, die Whistleblowing-Systeme für EU-Einrichtungen betreiben, müssen sicherstellen, dass:

  • Daten von EU-Whistleblowern werden unter Einhaltung der DSGVO verarbeitet und gespeichert
  • Es sind geeignete Übermittlungsmechanismen vorhanden, falls auf Daten aus dem Vereinigten Königreich zugegriffen wird
  • In jedem Mitgliedstaat werden die Leitlinien der lokalen Datenschutzbehörden befolgt

Aufbewahrungspflichten

Neben der Aufbewahrung von Fallakten müssen Organisationen Unterlagen führen, die die Einhaltung der Vorschriften belegen:

Verarbeitung von Daten (Artikel 30 DSGVO)

Organisationen müssen Folgendes dokumentieren:

  • Kategorien personenbezogener Daten, die in Whistleblowing-Systemen verarbeitet werden
  • Zwecke der Verarbeitung
  • Empfänger der Daten
  • Aufbewahrungsfristen
  • Umgesetzte Sicherheitsmaßnahmen

Diese Aufzeichnungen müssen den Datenschutzbehörden auf Anfrage zur Verfügung gestellt werden.

Datenschutz-Folgenabschätzungen

Whistleblowing-Systeme erfordern in der Regel Datenschutz-Folgenabschätzungen (DPIA), da sie Folgendes beinhalten:

  • Systematische Verarbeitung von Daten besonderer Kategorien (Vorwürfe strafbaren Verhaltens, Gesundheitsdaten usw.)
  • Verarbeitung personenbezogener Daten in großem Umfang
  • Verarbeitungen, die ein hohes Risiko für die Rechte und Freiheiten von Personen mit sich bringen könnten

Datenschutz-Folgenabschätzungen müssen überprüft und aktualisiert werden, wenn sich die Verarbeitungsvorgänge wesentlich ändern.

Meldung an die zuständigen Behörden

In einigen Mitgliedstaaten sind Organisationen verpflichtet, den zuständigen Behörden statistische Daten zum Thema Whistleblowing zu melden. Diese Meldepflichten erfordern die Aufbewahrung von zusammenfassenden Daten, die die Einhaltung der Anforderungen der Richtlinie belegen, darunter:

  • Anzahl der eingegangenen Meldungen
  • Arten der vorgebrachten Bedenken
  • Zeitpläne für die Ermittlungen
  • Ergebnisse und ergriffene Maßnahmen

Wie Safecall die Datenaufbewahrung handhabt

Der Ansatz von Safecall zur Datenaufbewahrung bringt gesetzliche Anforderungen und Datenschutzgrundsätze in Einklang:

Klare Aufbewahrungsrichtlinien

Unsere Fallmanagement-Software verfügt über konfigurierbare Aufbewahrungsrichtlinien, die:

  • Daten basierend auf dem Abschlussdatum eines Falles automatisch zur Überprüfung und Löschung markieren
  • Richtlinien zur Aufbewahrungspflicht aktivieren, um die Löschung von verfahrensrelevanten Daten zu verhindern
  • Führen Sie umfassende Prüfpfade für die gesamte Datenverarbeitung
  • Unterstützen Sie eine schrittweise Datenminimierung im Laufe der Zeit

Datenspeicherung im Vereinigten Königreich und im EWR

Alle Whistleblower-Daten von Safecall werden im Vereinigten Königreich gespeichert und entsprechen vollständig der DSGVO. Für Organisationen, die eine Datenspeicherung im EWR benötigen, gewährleisten wir angemessene Sicherheitsvorkehrungen hinsichtlich des Speicherorts und der Datenübertragung.

Sicherheit und Zugriffskontrollen

Strenge Zugriffskontrollen beschränken den Zugriff auf die Daten ausschließlich auf befugtes Personal, wobei alle Datenzugriffe umfassend protokolliert werden. Dies verringert das Risiko einer unbefugten Offenlegung und gewährleistet gleichzeitig, dass Aufzeichnungen über den ordnungsgemäßen Umgang mit den Daten vorliegen.

Unabhängige Überprüfung

Als externer Anbieter gewährleistet Safecall eine unabhängige Überwachung von Entscheidungen zur Datenaufbewahrung und verringert so das Risiko, dass Daten aufgrund von internem Druck oder Interessenkonflikten unangemessen aufbewahrt werden.

Choosing an external whistleblowing provider simplifies data retention considerably, because responsibility for implementing and enforcing compliant policies sits with a specialist rather than being absorbed by internal compliance teams. Safecall has managed whistleblowing data under UK and EU data protection frameworks since 1999, and its case management software includes configurable retention schedules, automated deletion flagging, legal hold functionality, and full audit trails as standard. Data is held on UK-resident servers with ISO 27001-certified security controls, and — because Safecall operates as a structurally independent third party — there is no internal pressure to retain data beyond its legitimate purpose. For organisations managing programmes across 150 countries, that combination of technical rigour and genuine independence is difficult to replicate in-house.

Nächste Schritte

Festlegung von DSGVO-konformen Richtlinien zur Datenaufbewahrung für Whistleblowing-Systeme:

  1. Aufbewahrungsfristen für verschiedene Arten von Whistleblowing-Daten, basierend auf den Verarbeitungszwecken und den gesetzlichen Anforderungen
  2. Technische Maßnahmen umsetzen, die eine sichere Speicherung und automatische Löschung ermöglichen
  3. Verfahren zur Aufbewahrungspflicht für verfahrensrelevante Daten festlegen
  4. Überprüfung der Anforderungen der Mitgliedstaaten an Organisationen, die in mehreren EU-Ländern tätig sind
  5. Führen Sie Datenschutz-Folgenabschätzungen durch und aktualisieren Sie diese bei Änderungen der Datenverarbeitung

Wenn Sie fachkundige Beratung zur Implementierung datenschutzkonformer Whistleblowing-Systeme benötigen, wenden Sie sich bitte an Safecall unter +44 (0) 191 516 7720 oder besuchen Sie unsere Seite zu Whistleblowing-Lösungen.

Weitere Informationen zum Thema Compliance finden Sie in unserem Compliance-Hub zur EU-Whistleblowing-Richtlinie sowie in unseren Leitlinien dazu, wie Whistleblowing-Dienste dazu beitragen können, das Haftungsrisiko am Arbeitsplatz zu verringern.