Hinweis oder Datenschutzverletzung? Unterschied richtig einordnen
Hinweise nach dem Hinweisgeberschutzgesetz und Datenschutzvorfälle nach der DSGVO werden in der Praxis häufig vermischt. Die richtige Einordnung entscheidet darüber, welches Verfahren gilt, wer zuständig ist und welche Fristen beachtet werden müssen.
Kurzantwort
Ein Hinweis im Sinne des Hinweisgeberschutzgesetzes betrifft Informationen über einen möglichen Verstoß im sachlichen Anwendungsbereich des § 2 HinSchG, die eine Person im beruflichen Zusammenhang erlangt hat und einer vorgesehenen Meldestelle mitteilt. Nicht jede Beschwerde oder jeder allgemeine Vorwurf fällt darunter.
Eine Datenschutzverletzung liegt vor, wenn eine Sicherheitsverletzung zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt.
Ein Sachverhalt kann beides sein. Dann müssen Hinweisverfahren und Datenschutzvorfall getrennt geprüft, aber organisatorisch abgestimmt werden. Die Identität der hinweisgebenden Person darf dabei nur den gesetzlich befugten Personen bekannt werden.
Einordnung
Worum geht es?
Organisationen erhalten Meldungen auf unterschiedlichen Wegen: über ein Hinweisgebersystem, per E-Mail, telefonisch, über Vorgesetzte, den Personalrat, die Verwaltungsspitze oder unmittelbar im Fachbereich.
Der Eingangskanal allein bestimmt die rechtliche Einordnung nicht. Eine anonyme Mitteilung ist nicht automatisch eine Meldung nach dem Hinweisgeberschutzgesetz. Umgekehrt ist eine Beschwerde über Datenschutz nicht ohne Weiteres eine Datenschutzverletzung im Sinne des Art. 4 Nr. 12 DSGVO.
Entscheidend ist der Inhalt. Betrifft die Meldung einen möglichen Verstoß im Anwendungsbereich des Hinweisgeberschutzgesetzes, ist das Hinweisverfahren zu prüfen. Beschreibt sie eine mögliche Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten, muss zusätzlich der Datenschutzvorfallprozess beginnen.
In Überschneidungsfällen gelten beide Regelungsbereiche nebeneinander. Die Vertraulichkeit der hinweisgebenden Person ist zu schützen. Gleichzeitig muss der Verantwortliche unverzüglich klären, ob eine Datenschutzverletzung vorliegt und ob Melde- oder Benachrichtigungspflichten entstehen.
Rechtsgrundlagen
Gesetzliche Grundlage
Das Hinweisgeberschutzgesetz schützt natürliche Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über bestimmte Verstöße erlangt haben und diese melden oder unter den gesetzlichen Voraussetzungen offenlegen. Welche Verstöße erfasst sind, ergibt sich insbesondere aus § 2 HinSchG.
Nach § 8 HinSchG müssen Meldestellen die Vertraulichkeit der Identität der hinweisgebenden Person, der von einer Meldung betroffenen Person und weiterer genannter Personen wahren. Die Identität darf grundsätzlich nur den Personen bekannt werden, die Meldungen entgegennehmen, Folgemaßnahmen ergreifen oder sie hierbei unterstützen. § 9 HinSchG regelt die gesetzlichen Ausnahmen.
§ 10 HinSchG erlaubt Meldestellen die Verarbeitung personenbezogener Daten, soweit dies zur Erfüllung ihrer gesetzlichen Aufgaben erforderlich ist. Für besondere Kategorien personenbezogener Daten gelten die zusätzlichen Vorgaben des § 10 Satz 2 und 3 HinSchG. Die Dokumentation von Meldungen richtet sich nach § 11 HinSchG, das Verfahren interner Meldestellen insbesondere nach § 17 HinSchG.
Eine Verletzung des Schutzes personenbezogener Daten ist in Art. 4 Nr. 12 DSGVO definiert. Nicht jeder Datenschutzverstoß ist zugleich eine solche Datenschutzverletzung. Erforderlich ist eine Sicherheitsverletzung mit einem Verletzungserfolg, beispielsweise Verlust, unbefugte Offenlegung, unbefugter Zugang oder Veränderung personenbezogener Daten.
Liegt eine Datenschutzverletzung vor, muss der Verantwortliche nach Art. 33 Abs. 1 DSGVO prüfen, ob eine Meldung an die zuständige Aufsichtsbehörde erforderlich ist. Die Meldung erfolgt unverzüglich und möglichst binnen 72 Stunden, nachdem dem Verantwortlichen die Verletzung bekannt wurde. Nach Art. 33 Abs. 5 DSGVO ist jede Datenschutzverletzung zu dokumentieren, auch wenn keine Meldung erfolgt. Art. 34 DSGVO betrifft die Benachrichtigung betroffener Personen bei voraussichtlich hohem Risiko.
Bayerische öffentliche Stellen
Was sagt der BayLfD?
Für bayerische öffentliche Stellen erläutert der BayLfD ausführlich, wann eine Verletzung des Schutzes personenbezogener Daten vorliegt und wie die Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO zu prüfen sind.
Danach ist nicht jeder Verstoß gegen Datenschutzvorschriften eine Datenschutzverletzung. Maßgeblich ist eine Beeinträchtigung der Datensicherheit im Sinne des Art. 4 Nr. 12 DSGVO. Anschließend ist das Risiko für die Rechte und Freiheiten der betroffenen Personen zu bewerten. Eine Meldung ist erforderlich, wenn ein datenschutzrechtlich relevantes Risiko nicht ausgeschlossen werden kann. Eine Benachrichtigung betroffener Personen setzt grundsätzlich ein voraussichtlich hohes Risiko voraus.
Die Risikobewertung und die Entscheidung über eine Meldung sind Aufgaben des Verantwortlichen. Der behördliche Datenschutzbeauftragte ist frühzeitig einzubinden und berät; er übernimmt jedoch nicht die Verantwortung des Verantwortlichen.
Für Kommunen bedeutet das: Beschreibt ein Hinweis möglicherweise einen unbefugten Zugriff, eine Offenlegung oder einen Verlust personenbezogener Daten, darf der Vorgang nicht ausschließlich in der Hinweisakte verbleiben. Der Verantwortliche muss parallel den Datenschutzvorfallprozess starten und die 72-Stunden-Frist im Blick behalten.
Weitere Auffassungen
Weitere Auffassungen der Aufsichtsbehörden
Die Datenschutzkonferenz hat bereits 2018 eine Orientierungshilfe zu Whistleblowing-Hotlines und Beschäftigtendatenschutz veröffentlicht. Sie stammt aus der Zeit vor Inkrafttreten des Hinweisgeberschutzgesetzes und ersetzt daher keine Prüfung des heutigen HinSchG. Ihre Hinweise zu Zugriffsbeschränkung, Vertraulichkeit, Zweckbindung und Löschung bleiben jedoch für die datenschutzgerechte Organisation von Meldesystemen relevant.
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg behandelt in seinen FAQ zum Hinweisgeberschutzgesetz unter anderem Rechtsgrundlagen, Dokumentation, Vertraulichkeit und die Rolle des Datenschutzbeauftragten. Danach muss der Datenschutzbeauftragte bei Meldesystemen frühzeitig in Datenschutzfragen eingebunden werden. Eine zusätzliche Tätigkeit als interne Meldestelle ist wegen möglicher Interessenkonflikte gesondert zu prüfen.
Für bayerische nichtöffentliche Stellen ist bei Datenschutzverletzungen regelmäßig das Bayerische Landesamt für Datenschutzaufsicht zuständig. Das BayLDA stellt hierfür einen Online-Service zur Meldung nach Art. 33 DSGVO bereit und ermöglicht bei noch unvollständiger Sachverhaltsaufklärung auch eine vorläufige Meldung.
Kommunale Praxis
Praktische Bedeutung für Kommunen
In Kommunen können Hinweisverfahren und Datenschutzvorfälle besonders schnell ineinandergreifen. Beispiele sind Meldungen über unbefugte Zugriffe auf Fachverfahren, Einsichtnahmen in Melderegisterdaten ohne dienstlichen Anlass, die Weitergabe von Bürgerdaten oder nichtöffentlichen Sitzungsunterlagen sowie fehlerhafte Berechtigungen.
Für bayerische Gemeinden enthält Art. 56 Abs. 4 der Gemeindeordnung eine besondere Regelung. Danach gelten zentrale Vorschriften des Hinweisgeberschutzgesetzes entsprechend. Ausgenommen sind Gemeinden mit weniger als 10.000 Einwohnerinnen und Einwohnern oder in der Regel weniger als 50 Beschäftigten. Ob eine Pflicht besteht und wie sie organisatorisch umgesetzt wird, ist deshalb anhand der konkreten kommunalen Struktur zu prüfen.
Ein gemeldeter Sachverhalt kann zugleich ein Hinweis auf einen Rechtsverstoß und eine Datenschutzverletzung sein. Die interne Meldestelle bearbeitet das Hinweisverfahren. Die verantwortliche Kommune organisiert daneben die datenschutzrechtliche Sachverhaltsaufklärung, Risikobewertung und gegebenenfalls die Meldung an den BayLfD.
Der behördliche Datenschutzbeauftragte berät und überwacht die datenschutzrechtliche Behandlung. Er sollte nur die Informationen erhalten, die für seine Aufgabe erforderlich sind. Die Identität der hinweisgebenden Person ist nicht automatisch offenzulegen; häufig genügt zunächst eine anonymisierte oder pseudonymisierte Sachverhaltsdarstellung.
Unternehmenspraxis
Praktische Bedeutung für Unternehmen
Auch Unternehmen müssen Hinweise und Datenschutzverletzungen voneinander trennen können. Typische Überschneidungen sind Meldungen über unberechtigte Einsichtnahmen in Personalakten, die Weitergabe von Kundendaten, missbräuchliche Nutzung von CRM-Systemen, offene Gehaltslisten, unzulässige Videoauswertungen oder den Umgang mit Bewerberdaten.
Der Hinweisprozess darf nicht dazu führen, dass personenbezogene Daten unkontrolliert im Unternehmen verteilt werden. Zugriff auf Meldungen dürfen grundsätzlich nur die gesetzlich befugten und mit der Bearbeitung betrauten Personen erhalten.
Gleichzeitig darf eine mögliche Datenschutzverletzung nicht im Hinweisgebersystem „stecken bleiben“. Der Verantwortliche muss unverzüglich die Tatsachen sichern, Risiken bewerten, Abhilfemaßnahmen einleiten und prüfen, ob eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 DSGVO erforderlich ist.
Bei ausgelagerten Meldestellen oder technischen Hinweisgebersystemen sind außerdem die datenschutzrechtlichen Rollen, Verträge, Zugriffsrechte, Speicherfristen und Schutzmaßnahmen nachvollziehbar festzulegen.
Praxisfehler
Typische Fehler
Ein häufiger Fehler ist die Gleichsetzung von Hinweis, Datenschutzverstoß und Datenschutzverletzung. Nicht jeder gemeldete Rechtsverstoß betrifft personenbezogene Daten. Umgekehrt kann eine versehentliche Datenpanne ohne bewusstes Fehlverhalten eine Datenschutzverletzung sein.
Ebenso problematisch ist es, nur auf den Eingangskanal zu schauen. Eine Meldung über das Hinweisgebersystem kann einen Datenschutzvorfall beschreiben. Eine E-Mail an den Datenschutzbeauftragten kann wiederum Informationen über einen Verstoß im Anwendungsbereich des Hinweisgeberschutzgesetzes enthalten.
Ein weiterer Fehler ist die unkontrollierte Weiterleitung vollständiger Meldungen. Wer einen Datenschutzvorfall prüft, muss nicht automatisch die Identität der hinweisgebenden Person kennen. Vertraulichkeit und Datenminimierung sind getrennt zu beachten.
Schließlich werden Verantwortlichkeiten verwechselt. Die interne Meldestelle führt das Hinweisverfahren. Die datenschutzrechtliche Entscheidung nach Art. 33 und 34 DSGVO trifft der Verantwortliche. Der Datenschutzbeauftragte berät, kontrolliert und wird frühzeitig beteiligt, entscheidet aber nicht anstelle des Verantwortlichen.
Vorgehen
Praxistipps
Am Anfang steht eine inhaltliche Ersteinschätzung: Wird ein möglicher Verstoß im Sinne des Hinweisgeberschutzgesetzes gemeldet, eine Verletzung des Schutzes personenbezogener Daten beschrieben oder liegt möglicherweise beides vor?
Danach sollten die Verfahren getrennt eröffnet werden. Das Hinweisverfahren bleibt bei der internen Meldestelle. Der Datenschutzvorfall wird durch die hierfür festgelegte verantwortliche Stelle bearbeitet. Beide Bereiche stimmen nur die Informationen ab, die für die jeweilige Aufgabe tatsächlich benötigt werden.
Für Überschneidungsfälle empfiehlt sich ein dokumentierter Ablauf mit Vertretungsregelungen, gesicherten Kommunikationswegen und einer klaren Fristenkontrolle. Der Zeitpunkt, zu dem der Verantwortliche Kenntnis von der möglichen Datenschutzverletzung erlangt, sollte nachvollziehbar festgehalten werden.
Unabhängig von einer Meldung an die Aufsichtsbehörde sind Sofortmaßnahmen zur Begrenzung des Schadens einzuleiten. Außerdem ist die Datenschutzverletzung nach Art. 33 Abs. 5 DSGVO zu dokumentieren. Die Hinweisakte und die Datenschutzvorfalldokumentation sollten organisatorisch getrennt und nur bedarfsgerecht miteinander verknüpft werden.
Prüfpunkte
Checkliste zur richtigen Einordnung
Welcher konkrete Sachverhalt wird gemeldet?
Wurde die Information im beruflichen Zusammenhang erlangt?
Kann ein Verstoß im sachlichen Anwendungsbereich des § 2 HinSchG vorliegen?
Sind personenbezogene Daten betroffen?
Liegt möglicherweise eine Sicherheitsverletzung mit Verlust, Veränderung, Offenlegung oder unbefugtem Zugang vor?
Welche Stelle führt das Hinweisverfahren und welche Stelle bearbeitet den Datenschutzvorfall?
Welche Informationen dürfen unter Beachtung von § 8 und § 9 HinSchG weitergegeben werden?
Kann die Prüfung zunächst ohne Offenlegung der Identität der hinweisgebenden Person erfolgen?
Wann hat der Verantwortliche von der möglichen Datenschutzverletzung Kenntnis erlangt?
Ist eine Meldung nach Art. 33 DSGVO erforderlich oder vorsorglich als vorläufige Meldung abzugeben?
Müssen betroffene Personen nach Art. 34 DSGVO benachrichtigt werden?
Sind Hinweisverfahren, Datenschutzverletzung, Maßnahmen und Entscheidungen vollständig dokumentiert?
Häufige Fragen
FAQ
Ist jeder Hinweis auch eine Datenschutzverletzung?
Nein. Ein Hinweis kann viele unterschiedliche Verstöße betreffen. Eine Datenschutzverletzung liegt nur vor, wenn eine Sicherheitsverletzung den Schutz personenbezogener Daten beeinträchtigt.
Ist jede Datenschutzverletzung automatisch ein Hinweis nach dem HinSchG?
Nein. Eine Datenschutzverletzung kann etwa durch ein Versehen oder einen technischen Fehler entstehen und intern festgestellt werden. Das Hinweisgeberschutzgesetz ist nur einschlägig, wenn seine persönlichen und sachlichen Voraussetzungen erfüllt sind.
Kann ein Sachverhalt beides sein?
Ja. Meldet eine Person beispielsweise einen unbefugten Zugriff auf personenbezogene Daten, kann der Vorgang zugleich ein Hinweis nach dem Hinweisgeberschutzgesetz und eine Datenschutzverletzung nach der DSGVO sein.
Darf die Identität der hinweisgebenden Person an den Datenschutzbeauftragten weitergegeben werden?
Nicht automatisch. Die Weitergabe muss nach den Vertraulichkeitsregeln der §§ 8 und 9 HinSchG zulässig und für die konkrete Aufgabe erforderlich sein. Häufig kann der Datenschutzbeauftragte zunächst anhand einer anonymisierten oder pseudonymisierten Sachverhaltsdarstellung beraten.
Muss bei einem Hinweis immer die Datenschutzaufsicht informiert werden?
Nein. Eine Meldung an die Datenschutzaufsichtsbehörde kommt nur in Betracht, wenn zusätzlich eine Datenschutzverletzung vorliegt und diese voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Wer entscheidet über die Meldung einer Datenschutzverletzung?
Die Entscheidung trifft der Verantwortliche, also beispielsweise die Kommune oder das Unternehmen. Der Datenschutzbeauftragte ist frühzeitig einzubinden und berät bei Einordnung und Risikobewertung, übernimmt aber nicht die Entscheidung des Verantwortlichen.
Ergebnis
Fazit
Hinweis und Datenschutzverletzung sind unterschiedliche rechtliche Kategorien. Ein Hinweis nach dem Hinweisgeberschutzgesetz betrifft bestimmte Informationen über Verstöße im beruflichen Zusammenhang. Eine Datenschutzverletzung setzt eine Sicherheitsverletzung voraus, die den Schutz personenbezogener Daten beeinträchtigt.
In der Praxis können sich beide Bereiche überschneiden. Dann müssen Hinweisverfahren und Datenschutzvorfall parallel, aber mit klar getrennten Zuständigkeiten bearbeitet werden. Vertraulichkeit, Datenminimierung, Fristen und Dokumentation sind dabei gleichzeitig zu beachten.
Ob ein konkreter Sachverhalt als Hinweis, Datenschutzverletzung oder beides einzuordnen ist, hängt von Inhalt, Datenbezug, Verletzungserfolg, Risiko und organisatorischer Zuständigkeit ab.
Weiterlesen
Weiterführende Beiträge und Leistungen
Nachweise
Quellen
Hinweis oder Datenschutzvorfall sauber einordnen?
Gerade bei Überschneidungen zwischen Hinweisgeberschutz und Datenschutz kommt es auf getrennte Zuständigkeiten und eine abgestimmte Bearbeitung an. So lassen sich Vertraulichkeit, Fristen, Dokumentation und Meldepflichten zuverlässig zusammenführen.
Einzelfall prüfen lassen