Ein Hinweisgebersystem enthält regelmäßig besonders sensible Informationen: Beschäftigte oder andere Personen melden mögliche Rechtsverstöße, Compliance-Verstöße oder sonstige Missstände und nennen dabei möglicherweise Namen, konkrete Vorgänge und weitere personenbezogene Daten. Damit stellt sich für Unternehmen nicht nur die Frage, wer Hinweise bearbeiten darf, sondern vor allem, wer welche Informationen sehen, verändern oder löschen darf.
Ein unklar geregelter Zugriff kann erhebliche Risiken verursachen. Erhält beispielsweise ein technischer Administrator Zugriff auf die Inhalte einer Meldung, obwohl er lediglich Benutzerkonten verwalten soll, werden sensible Informationen einem größeren Personenkreis zugänglich als für den jeweiligen Zweck erforderlich. Umgekehrt müssen die mit der Bearbeitung eines Hinweises beauftragten Personen über ausreichende Zugriffsrechte verfügen, damit sie ihre Aufgaben tatsächlich erfüllen können.
Genau hier setzt die Anlage zum Hinweisgebersystem an. Sie strukturiert unterschiedliche Benutzerrollen und ordnet ihnen konkrete Berechtigungen zu. Damit unterstützt das Dokument Unternehmen dabei, Verantwortlichkeiten innerhalb des Hinweisgebersystems nachvollziehbar festzulegen und Zugriffe nach Aufgaben und Zuständigkeiten zu begrenzen.
Der rechtliche Hintergrund ist insbesondere im Hinweisgeberschutzgesetz (HinSchG) zu finden. Nach § 8 HinSchG muss die Vertraulichkeit der Identität hinweisgebender Personen, der von einer Meldung betroffenen Personen sowie weiterer genannter Personen gewahrt werden. § 16 Abs. 2 HinSchG verlangt zudem, interne Meldekanäle so zu gestalten, dass grundsätzlich nur die für Entgegennahme und Bearbeitung zuständigen sowie unterstützenden Personen auf eingehende Meldungen zugreifen können.
Wofür ist die Anlage Hinweisgebersystem gedacht?
Das Dokument dient dazu, die Benutzerrollen und Zugriffsrechte innerhalb eines Hinweisgebersystems strukturiert festzulegen. Statt einzelnen Nutzern pauschal umfangreiche Berechtigungen zu erteilen, wird definiert, welche Funktion eine Person innerhalb des Meldeprozesses übernimmt und welche Rechte sie dafür benötigt.
Das Konzept folgt damit praktisch dem Grundsatz: So viele Rechte wie für die jeweilige Aufgabe erforderlich, aber nicht mehr als notwendig.
Eine Benutzerrolle kann beispielsweise ausschließlich für die technische Administration vorgesehen sein. Eine andere Rolle darf eingehende Hinweise einsehen und einem zuständigen Bearbeiter zuordnen. Wieder andere Personen erhalten nur vorübergehend Zugriff auf einen bestimmten Vorgang, etwa weil die Rechtsabteilung oder ein externer Rechtsanwalt für die Untersuchung benötigt wird.
Ein solches Rollen- und Rechtekonzept erfüllt deshalb mehrere Funktionen. Es legt Verantwortlichkeiten fest, begrenzt Zugriffsrechte, trennt technische Administration und inhaltliche Fallbearbeitung und schafft eine nachvollziehbare Grundlage für die Einrichtung der Benutzerkonten im Hinweisgebersystem.
Das ist auch datenschutzrechtlich relevant. Art. 5 DSGVO verlangt unter anderem Datenminimierung sowie Integrität und Vertraulichkeit personenbezogener Daten. Art. 32 DSGVO verpflichtet Verantwortliche außerdem zu einem dem jeweiligen Risiko angemessenen Schutzniveau durch geeignete technische und organisatorische Maßnahmen. Ein bedarfsgerecht ausgestaltetes Berechtigungskonzept kann ein organisatorischer Baustein zur Umsetzung dieser Anforderungen sein.
Wann wird dieses Dokument benötigt?
Die Anlage Hinweisgebersystem ist insbesondere dann sinnvoll, wenn mehrere Personen oder Stellen mit unterschiedlichen Aufgaben an der Entgegennahme, Prüfung oder Bearbeitung von Meldungen beteiligt sind.
Ein typischer Anwendungsfall besteht bei der Einführung eines digitalen Hinweisgebersystems. Das Unternehmen muss dann nicht nur entscheiden, welche Mitarbeiter die interne Meldestelle übernehmen, sondern auch festlegen, welche Benutzerrolle im System mit welchen Berechtigungen ausgestattet wird.
In der Praxis können beispielsweise folgende Situationen auftreten:
- Ein technischer Administrator soll neue Benutzer anlegen können, darf aber keine Meldungsinhalte einsehen.
- Der Chief Compliance Officer (CCO) und dessen Vertreter sollen eingehende Hinweise einsehen und deren weitere Bearbeitung koordinieren.
- Mitarbeiter der Compliance-Abteilung bearbeiten ihnen zugewiesene Fälle.
- Die Rechtsabteilung oder Revision soll für eine konkrete Untersuchung vorübergehend Zugriff erhalten.
- Externe Rechtsanwälte oder Wirtschaftsprüfer werden in einen bestimmten Fall einbezogen.
- Bestimmte Personen sollen Informationen lediglich lesen können, ohne den Fall selbst bearbeiten oder verändern zu dürfen.
- Das Löschen abgeschlossener Fälle soll einer gesonderten Berechtigung und gegebenenfalls einem Vier-Augen-Prinzip unterliegen.
Das Dokument eignet sich daher sowohl für die erstmalige Einführung eines Hinweisgebersystems als auch für die Überprüfung einer bereits vorhandenen Berechtigungsstruktur. Besonders sinnvoll ist eine Überarbeitung, wenn Zuständigkeiten wechseln, neue Mitarbeiter hinzukommen, externe Stellen eingebunden werden oder die technische Konfiguration des Systems verändert wird.
§ 16 Abs. 2 HinSchG macht die Zugriffsbeschränkung unmittelbar relevant: Interne Meldekanäle müssen so gestaltet sein, dass nur die für Entgegennahme und Bearbeitung zuständigen und unterstützenden Personen auf eingehende Meldungen zugreifen können.
Was ist im Dokument Anlage Hinweisgebersystem enthalten?
Das Dokument enthält eine strukturierte Zuordnung verschiedener Benutzerrollen zu den jeweils vorgesehenen Zugriffsrechten. Dadurch lässt sich nachvollziehbar festhalten, welche Personengruppe innerhalb des Hinweisgebersystems welche Handlungen durchführen darf.
Vorgesehen sind insbesondere Rollen für die technische Administration, die Entgegennahme von Hinweisen, die eigentliche Fallbearbeitung, die Löschung abgeschlossener Vorgänge sowie für interne und externe Personen, die zeitweise in eine Untersuchung eingebunden werden.
Technischer Administrator
Für die technische Administration sieht das Konzept eine klar abgegrenzte Rolle vor. Der technische Administrator kann Benutzer anlegen oder löschen, wobei entsprechende Aktionen nach dem Konzept erst nach Bestätigung durch den CCO aktiviert werden. Gleichzeitig ist ausdrücklich vorgesehen, dass der Administrator keinen Zugriff auf die Inhaltsdaten der Meldungen erhält.
Dadurch werden technische Systemverwaltung und inhaltliche Compliance-Arbeit voneinander getrennt.
Hinweisempfänger und Hinweisbearbeiter
Die Rolle des Hinweisempfängers ermöglicht die Einsicht in eingehende Hinweise und gegebenenfalls deren Zuordnung zu einem Hinweisbearbeiter. Als mögliche Rolleninhaber sieht das Konzept insbesondere den CCO und dessen Vertreter vor.
Der Hinweisbearbeiter ist dagegen für die konkrete Bearbeitung zugewiesener Fälle vorgesehen. Hierbei handelt es sich typischerweise um Mitarbeiter der Compliance-Abteilung.
Diese Differenzierung ermöglicht es, den Eingang und die Koordination von Meldungen organisatorisch von der eigentlichen Untersuchung eines Sachverhalts zu unterscheiden.
Löschung und Vier-Augen-Prinzip
Für den Abschluss und die Löschung bearbeiteter Fälle enthält das Dokument eine eigenständige Berechtigung. Diese kann beispielsweise einem anderen Mitarbeiter der Compliance-Abteilung übertragen werden als demjenigen, der den konkreten Hinweis bearbeitet hat.
Alternativ kann durch eine zusätzliche Bestätigung des CCO ein Vier-Augen-Prinzip umgesetzt werden. Damit soll verhindert werden, dass ein einzelner Hinweisbearbeiter einen von ihm selbst bearbeiteten Vorgang ohne weitere Kontrolle abschließt oder löscht.
Die Löschung ist auch rechtlich relevant: § 11 Abs. 5 HinSchG sieht grundsätzlich vor, dass die Dokumentation drei Jahre nach Abschluss des Verfahrens gelöscht wird. Eine längere Aufbewahrung kann zulässig sein, soweit dies zur Erfüllung gesetzlicher Anforderungen erforderlich und verhältnismäßig ist.
Interne und externe Beteiligte
Nicht jede Untersuchung lässt sich ausschließlich innerhalb der Compliance-Abteilung durchführen. Deshalb berücksichtigt die Anlage zum Hinweisgebersystem auch die zeitweise Beteiligung anderer Personen.
Mitarbeiter der Rechtsabteilung, Revision, Geschäftsführung oder bestimmter Fachbereiche können für einen konkreten Fall entweder Bearbeitungsrechte oder lediglich Lesezugriff erhalten. Entsprechendes gilt für externe Beteiligte wie Rechtsanwälte oder Wirtschaftsprüfer.
Durch diese Unterscheidung lässt sich der Zugriff an den tatsächlichen Bedarf anpassen. Wer Informationen lediglich zur rechtlichen oder fachlichen Bewertung benötigt, muss nicht automatisch dieselben Rechte erhalten wie der zuständige Fallbearbeiter.
Für wen ist die Anlage Hinweisgebersystem geeignet?
Die Anlage Hinweisgebersystem richtet sich insbesondere an Unternehmen und Organisationen, die ein internes Hinweisgebersystem betreiben und die darin bestehenden Zuständigkeiten und Zugriffsrechte nachvollziehbar strukturieren möchten.
Besonders relevant ist die Vorlage für Compliance-Abteilungen, interne Meldestellen, Rechtsabteilungen, Datenschutzverantwortliche, IT-Verantwortliche und Geschäftsleitungen. Sie können anhand des Konzepts bestimmen, welche Benutzerrolle für welche Aufgabe vorgesehen ist und welche Berechtigungen hierfür technisch eingerichtet werden sollen.
Für die Compliance-Abteilung schafft das Dokument eine klare Aufgabenteilung zwischen Entgegennahme, Bearbeitung und Löschung von Hinweisen. IT-Verantwortliche erhalten dagegen eine Grundlage dafür, Benutzerkonten und Berechtigungen entsprechend den organisatorischen Vorgaben einzurichten, ohne selbst Zugriff auf sensible Inhaltsdaten erhalten zu müssen.
Diese Struktur unterstützt zugleich die Umsetzung der Anforderungen des HinSchG. § 8 HinSchG begrenzt den Kreis der Personen, denen die Identität der vom Vertraulichkeitsgebot erfassten Personen bekannt werden darf. § 16 Abs. 2 HinSchG verlangt eine entsprechende Zugriffsbeschränkung für interne Meldekanäle.
Auch die DSGVO ist zu berücksichtigen, da Hinweise regelmäßig personenbezogene Daten enthalten. Insbesondere die Grundsätze der Datenminimierung sowie der Integrität und Vertraulichkeit nach Art. 5 DSGVO und die Anforderungen an die Sicherheit der Verarbeitung nach Art. 32 DSGVO sprechen dafür, Berechtigungen nicht pauschal, sondern entsprechend den jeweiligen Aufgaben zu vergeben.
Abgrenzung zu ähnlichen Dokumenten
Die Anlage Hinweisgebersystem konzentriert sich darauf, welche Benutzerrolle innerhalb des Hinweisgebersystems welche Zugriffsrechte erhält. Sie ist daher die richtige Vorlage, wenn Unternehmen festlegen möchten, wer Hinweise einsehen, bearbeiten oder löschen darf und wie die Berechtigungen beispielsweise von technischen Administratoren, Hinweisempfängern, Mitarbeitern der Compliance-Abteilung und externen Beteiligten voneinander abgegrenzt werden.
Davon zu unterscheiden ist der Ablaufplan Hinweisgebersystem – Vorlage zur Umsetzung im Unternehmen. Dieser stellt nicht die einzelnen Zugriffsrechte, sondern den organisatorischen Ablauf des Hinweisgebersystems in den Mittelpunkt. Er eignet sich daher, wenn Unternehmen die einzelnen Schritte und Zuständigkeiten bei der Entgegennahme und Bearbeitung von Hinweisen strukturiert abbilden möchten.
Die Compliance Richtlinie Einsatz Hinweisgebersystem – DSGVO und HinSchG konform verfolgt einen umfassenderen Regelungsansatz. Sie dient dazu, den Einsatz des Hinweisgebersystems und die hierfür geltenden internen Vorgaben in einer Compliance-Richtlinie festzuhalten. Die Anlage Hinweisgebersystem kann diese Richtlinie ergänzen, indem sie die organisatorischen Zuständigkeiten auf konkrete Benutzerrollen und Berechtigungen innerhalb des Systems herunterbricht.
Die Vorlage Hinweise zu Compliance Verstößen – Vorlage für anonyme Meldung an Ombudsmann setzt dagegen an einer anderen Stelle des Hinweisgeberprozesses an. Sie ist für die strukturierte Abgabe beziehungsweise Erfassung eines konkreten Hinweises bestimmt. Soll hingegen geregelt werden, welche Personen nach Eingang einer Meldung auf diese zugreifen und welche Handlungen sie im Hinweisgebersystem durchführen dürfen, ist die Anlage mit dem Rollen- und Rechtekonzept das passendere Dokument.
Häufig gestellte Fragen (FAQ) zur Anlage Hinweisgebersystem
Warum müssen die Zugriffsrechte im Hinweisgebersystem begrenzt werden?
§ 16 Abs. 2 HinSchG verlangt, interne Meldekanäle so zu gestalten, dass nur die zuständigen und unterstützenden Personen Zugriff auf eingehende Meldungen haben. Hinzu kommt das Vertraulichkeitsgebot des § 8 HinSchG. Ein differenziertes Berechtigungskonzept unterstützt dabei, diese Anforderungen organisatorisch und technisch abzubilden.
Darf ein technischer Administrator die Inhalte von Hinweisen einsehen?
Die technische Administration eines Systems erfordert nicht automatisch Zugriff auf die Inhalte der Meldungen. Das vorliegende Konzept sieht deshalb ausdrücklich eine Trennung vor: Der technische Administrator kann administrative Aufgaben übernehmen, erhält jedoch keinen Zugriff auf Inhaltsdaten.
Können Mitarbeiter anderer Abteilungen in die Bearbeitung eingebunden werden?
Ja. Das Konzept berücksichtigt eine temporäre Mitwirkung beispielsweise von Mitarbeitern der Rechtsabteilung, Revision, Geschäftsführung oder anderer Fachbereiche. Dabei kann zwischen Bearbeitungsrechten und einem bloßen Lesezugriff unterschieden werden.
Ersetzt das Rollen- und Rechtekonzept eine Hinweisgeberrichtlinie?
Nein. Das Dokument konzentriert sich auf Rollen, Berechtigungen und Zugriffsrechte innerhalb des Hinweisgebersystems. Eine Hinweisgeberrichtlinie oder Verfahrensbeschreibung behandelt dagegen insbesondere die organisatorischen Abläufe des Meldeverfahrens. Beide Dokumenttypen können sich daher sinnvoll ergänzen.
Muss das Rollen- und Rechtekonzept an das Unternehmen angepasst werden?
Ja. Welche Personen beispielsweise als CCO, Hinweisempfänger, Hinweisbearbeiter oder technische Administratoren eingesetzt werden und welche Zugriffsrechte tatsächlich erforderlich sind, hängt von der Organisationsstruktur und dem eingesetzten Hinweisgebersystem ab. Das Konzept sollte deshalb mit den tatsächlichen Zuständigkeiten und den technisch eingerichteten Berechtigungen abgestimmt werden.
Rezensionen
Es gibt noch keine Rezensionen.