Schutz gilt doppelt
Was den Namen der meldenden Person schützt, macht zugleich Ihren Nachweis belastbar. Sie belegen den Ablauf – wann die Meldung ankam, wer entschieden hat –, ohne eine Meldung zu lesen.
So ist der Schutz gebaut
Schutz, den Sie nachprüfen können.
In einer Meldestelle liegen die heikelsten Angaben eines Unternehmens: wer was über wen gesagt hat. Am Anfang stand deshalb die Frage: Wie könnte jemand herausfinden, wer gemeldet hat? Zu jedem Weg, der uns einfiel, gehört eine Gegenmaßnahme. Meldungen nach dem Hinweisgeberschutzgesetz (HinSchG) bekommen Sie als Arbeitgeber nicht zu sehen. Über Beschwerden nach dem Gleichbehandlungsgesetz (AGG) entscheiden Sie selbst.
Drei Dinge können Sie selbst prüfen: die Unterlagen unten, die Prüfläufe im Gespräch, den Meldeweg im eigenen Browser. Der externe Sicherheitstest steht noch aus.
Wie wir über Sicherheit reden
Statt „Ihre Daten sind sicher“ schreiben wir auf, was passiert, wenn jemand etwas versucht – und woran er scheitert. Schutz gilt für die meldende Person und für Sie: Sie müssen belegen können, dass Ihre Meldestelle gearbeitet hat – gegenüber dem Bundesamt für Justiz, das Bußgelder verhängen kann.
Eingebaut, nicht versprochen
Jede Zusage hängt an etwas, das sie hält: an einer Regel im Programm oder an einem Prüflauf. Wer sie herausnimmt, bekommt die Änderung nicht in Betrieb. Was nur im Handbuch steht, zählen wir nicht.
Grenzen gehören dazu
Was wir nicht können, steht neben dem, was läuft. Die Technik des Arbeitgebers schreibt im Firmennetz mit. Ein Meldetext kann seine Verfasserin verraten. Eine Grenze ist bei uns kein Kleingedrucktes, sondern Teil der Auskunft.
Wogegen wir bauen
Wir haben neun Wege aufgeschrieben, wie jemand bei uns vorgehen könnte. Die fünf hier entscheiden über das Produkt; die anderen vier betreffen die Technik dahinter und besprechen wir im Prüfgespräch.
Jemand findet heraus, wer gemeldet hat.
Die Wege sind bekannt: Ein hochgeladenes Foto verrät Aufnahmeort und Gerät. Und die Uhrzeit des Eingangs, verglichen mit dem Dienstplan, genügt oft schon.
Wir vermeiden diese Daten, statt sie zu bewachen. Aus Fotos nimmt der Server Ort und Gerät heraus, den Eingang zeigen wir nur mit Datum. Der Meldeweg rät, privat zu melden.
Im Detail
Das Bedrohungsmodell führt die Vektoren einzeln: IP-Adresse und User-Agent in Logs, Referrer und Analytics, EXIF- und GPS-Metadaten in Uploads, inhaltsreiche E-Mail-Pings, Timing-Korrelation gegen den Dienstplan. Protokollfelder entstehen nur aus einer festen Liste erlaubter Angaben; alles andere verwirft der Logger vor dem Schreiben. Dazu eine eigene Auslieferungsstrecke für den Meldekanal ohne Protokollierung, datumsgenaue Eingangszeitpunkte, inhaltsleere Benachrichtigungen und serverseitiges Entfernen der Metadaten aus Uploads.
Ihr eigenes Unternehmen öffnet die Meldung über sich selbst.
Dafür braucht es keinen Einbruch: Die Meldung gehört zum Bereich des Kunden, und der Kunde ist der Arbeitgeber – also darf er sie öffnen. So stand es in unserer ersten Fassung – aufgefallen im eigenen Prüflauf, lange vor dem ersten Kunden.
Jetzt endet eine solche Anfrage sofort: Der Server antwortet, es gebe diesen Fall nicht. Der Missstand wird trotzdem abgestellt – die Kanzlei sagt Ihnen ohne Namen, was zu ändern ist.
Im Detail
§ 8 HinSchG schützt die Identität der meldenden Person – auch gegenüber dem eigenen Arbeitgeber. Eine Anfrage auf einen HinSchG-Fall beantwortet der Server mit „nicht gefunden“ statt „nicht erlaubt“ – die zweite Antwort wäre schon die Auskunft, dass es die Meldung gibt. Diese Rollenregel greift, bevor die Mandanten-Bedingung zum Zug kommt, und steht in der Anwendungsschicht, weil Row-Level-Security Mandanten trennt und nicht Rollen.
Ein Kunde sieht die Fälle eines anderen.
Fast nie steckt ein Angriff dahinter. Es reicht, dass eine Stelle im Programm vergisst zu fragen, zu welcher Firma die Daten gehören – und schon zeigt sie, was sie gerade findet.
Deshalb fragt nicht nur das Programm danach, sondern die Datenbank selbst: Sie gibt nichts heraus, solange niemand sagt, für welche Firma gefragt wird. Neun Ausnahmen gibt es, keine mit Fallinhalt.
Im Detail
Vergisst ein Programmteil zu sagen, für wen seine Abfrage läuft, bekommt er null Zeilen – nie fremde Daten. Elf mandantenbezogene Tabellen tragen diese Regel; die neun dokumentierten Ausnahmen – Kundenverzeichnis, Anmeldedaten, Fehlversuchszähler – stehen mit Begründung in einer Liste, die bei jedem Testlauf geprüft wird.
Ein Zugang zur Fallbearbeitung wird übernommen – oder jemand ist einfach neugierig.
Fälle bearbeiten nur die Anwältinnen und Anwälte der Partnerkanzlei und unser Team; niemand aus Ihrem Unternehmen. Angreifbar sind sie trotzdem: eine gefälschte E-Mail, ein gestohlenes Passwort. Oder jemand mit erlaubtem Zugang schaut in einen Fall, der ihn nichts angeht.
Wer einen Fall öffnet, sieht keine Namen, sondern „Person A, Vorgesetzte“. Wer einen Namen sehen will, muss aufschreiben wozu und sich neu anmelden. Grund und Person bleiben am Fall stehen.
Im Detail
Beteiligte erscheinen in der Fallakte als Pseudonyme mit Rolle. Wer einen Namen aufdecken will, muss einen Grund angeben; er liegt verschlüsselt bei der Akte, das Protokoll verweist nur darauf. Gelesen wird er beim Fallabschluss und bei jeder Prüfung von außen. Dazu Anmeldung mit zweitem Faktor, vorzugsweise per Passkey, und erneute Anmeldung vor dem Aufdecken und vor jedem Export.
Jemand ändert das Verfahrensprotokoll – oder lässt Einträge verschwinden.
Das Verfahrensprotokoll ist die Liste aller Schritte eines Falls: wer wann was getan hat. Angetastet wird sie aus einem Irrtum – oder weil jemand seine Spuren beseitigt. Wer etwas vertuschen will, streicht eher einen Eintrag, als dass er ihn umschreibt.
In diese Liste lässt sich nur schreiben; Ändern und Löschen sind gesperrt. Einmal am Tag halten wir fest, wie weit sie reicht – Lücken fallen dann spätestens am nächsten Tag auf.
Im Detail
Ändern und Löschen sind doppelt gesperrt – durch entzogene Rechte und durch eine Sperre in der Datenbank, die auch gegen den Eigentümer der Tabelle greift. Auch unter Last bleibt die Reihenfolge lückenlos: 12 gleichzeitig eingereichte Meldungen ergeben 48 Einträge ohne Sprung und ohne Dublette.
Vier Linien, nicht eine
Vier Linien liegen hintereinander, und jede beantwortet dieselbe Frage auf ihre eigene Art: Darf dieser Zugriff sein?
Die Regel im Programm
Als Erstes greift die Regel, wer was tun darf: wer einen Fall öffnen darf, wer eine Nachricht an die meldende Person hinausschickt. Diese Regeln gelten unabhängig davon, wie jemand an den Fall zu kommen versucht.
Ein Fall kennt 12 Zustände und 15 erlaubte Übergänge, jeden mit Kanal, Rolle und Vorbedingung. Ein Tabellentest fährt alle Zustandspaare gegen alle Rollen und lehnt jeden nicht gelisteten Übergang ab – so kann ein später ergänzter Übergang keine Rollenregel stillschweigend umgehen.
Die zweite Prüfung dort, wo die Daten liegen
Die Daten liegen woanders, in der Datenbank, und die hat eigene Regeln: Sie gibt nichts heraus, ohne selbst zu fragen, für welche Firma. Ein Fehler im Programm ist damit noch kein offener Fall.
Die Anwendungsrolle hat weder Superuser-Rechte noch das Recht, diese Prüfung zu übergehen: Auch eine eigene Abfrage verschafft ihr keine weitere Sicht. Der Zugang der meldenden Person kommt ohne Mandantenkontext aus – er nennt der Datenbank nur den einen Fall, den er öffnen darf.
Der eigene Schlüssel je Fall
Die Inhalte liegen verschlüsselt, und jeder Fall hat seinen eigenen Schlüssel. Wer die Datenbank kopiert, hält Zeichenfolgen ohne Bedeutung in der Hand. Und wenn ein Fall gelöscht wird, ist genau ein Schlüssel zu vernichten.
AES-256-GCM mit einem eigenen 32-Byte-Schlüssel je Fall, verpackt unter einem übergeordneten Schlüssel. Jedes Feld ist an Mandant, Fall und Feldnamen gebunden: Ein Chiffretext, den jemand in eine andere Zeile kopiert, lässt sich dort nicht öffnen. Diese Bindung war anfangs mehrdeutig, weil sie die drei Teile nur mit einem Trennzeichen verband; heute steht eine Schema-Kennung davor und je Teil dessen Länge.
Das Verfahrensprotokoll, das jeden Schritt festhält
Zuletzt die Liste aller Schritte eines Falls. Sie verhindert keinen Zugriff – sie sorgt dafür, dass keiner spurlos bleibt. Jeder Eintrag wird aus dem vorhergehenden mitberechnet: Ändert jemand einen alten Eintrag, passen alle folgenden nicht dazu.
Jeder Eintrag wird mit seinem Vorgänger zu einem Prüfwert verkettet (SHA-256), und diesen Prüfwert bildet die Datenbank, nicht die Anwendung: Sonst könnte jeder Weg an der Anwendung vorbei eine gültige Kette erzeugen. Inhalte stehen deshalb nicht darin, nur Kennungen und kurze Angaben, technisch begrenzt auf 200 Zeichen – allein ein inhaltsfreies Protokoll darf die dreijährige Löschfrist überdauern.
Die vier Linien sind keine Wiederholung. Jede ist für den Tag gebaut, an dem die Linie vor ihr versagt.
Dieser Abschnitt ist in der Sprache geschrieben, die Ihre Beschäftigten im Meldekanal lesen – sie sollen wissen, was ihnen dort zugesagt wird.
Wer sieht was?
Diese Übersicht steht so auch im Meldeweg: Ihre Beschäftigten lesen sie vor dem ersten Satz.
| Wer | Sieht | Sieht nie |
|---|---|---|
| Die meldende Person | SiehtDen eigenen Fall: Stand des Verfahrens, freigegebene Nachrichten. Der Zugang läuft über Fallcode und Passphrase – kein Konto, keine E-Mail-Adresse. Anonym ist die Voreinstellung. | Sieht nieAndere Fälle. Und Entwürfe, die noch kein Mensch freigegeben hat. |
| Die Anwältin, der Anwalt der Partnerkanzlei | SiehtDie zugewiesenen Fälle mit dem vollständigen Sachverhalt. Die rechtliche Ersteinschätzung trifft allein die Kanzlei – nicht Ihr Unternehmen und nicht wir. | Sieht nieFälle ohne Zuweisung. Und Namen, solange niemand aufgeschrieben hat, wozu er sie braucht. |
| Unser Team in der Fallbegleitung | SiehtStand, Fristen, Kategorie und eine Zusammenfassung mit Pseudonymen statt Namen – das, was der Ablauf braucht. | Sieht nieVon sich aus nichts vom Inhalt. Die Kanzlei kann Inhalte für einen einzelnen Fall und begrenzte Zeit freischalten; jede Freigabe steht im Verfahrensprotokoll. |
| Ihr Unternehmen als Kunde | SiehtIm AGG-Verfahren die anwaltliche Entscheidungsvorlage und Ihre eigene Entscheidung. Dazu Berichte für das ganze Unternehmen; was seltener als dreimal vorkommt, steht als „< 3“. | Sieht nieDie HinSchG-Meldung selbst: ihren Text, ihren Zeitpunkt, die Person dahinter. Ihr Zugang findet dazu nichts – der Server antwortet, als gäbe es diesen Fall nicht. |
| Die Technik-Administration bei fairmelden | SiehtZugänge und Einstellungen – die Technik, die den Betrieb trägt. | Sieht nieFallinhalte, in keiner Ansicht. Für diesen Zugriff gibt es keinen Weg im Programm, auch keinen für den Notfall. |
| Das KI-Programm | SiehtNur Text, in dem Namen und Kontonummern vorher durch Platzhalter ersetzt sind. | Sieht nieDie genannten Namen. Und die Entscheidung: Jede Ausgabe ist ein Entwurf, den ein Mensch freigibt oder verwirft. |
Wo rechts „nie“ steht, gibt es diesen Weg nicht. Würde jemand ihn einbauen, meldet das der Prüflauf. Eine Ausnahme: Unser Team kann Inhalte sehen, wenn die Kanzlei sie freischaltet.
Wie das gebaut ist
Acht Entscheidungen tragen den Schutz. Oben steht, was sie im Alltag bedeuten; hinter „Im Detail“ steht, was sie hält.
Fallcode + Passphrase
Zugang ohne Konto – und ohne Ersatz bei Verlust
Wer meldet, bekommt einen Fallcode und eine Passphrase aus sechs Wörtern, einmalig gezeigt. Auch wir können sie nicht zurückholen; sonst gäbe es eine Stelle, die fremde Zugänge neu vergibt. Wer sie verliert, meldet neu und weist auf die alte hin.
Im Detail
Der Fallcode hat 12 Zeichen und trägt rund 60 Bit Zufall; sechs Wörter aus einer Liste von 1.511 ergeben 63,4 Bit. Ein Test erzwingt 60 Bit je Faktor, damit ein Kürzen der Wortliste die Testsuite scheitern lässt. In der Datenbank steht keiner der Werte lesbar: der Fallcode als HMAC-Prüfwert, die Passphrase als Argon2id-Hash mit 64 MiB, drei Durchläufen und zwei Spuren – über dem OWASP-Mindestwert, weil sie sich nie ersetzen lässt.
Ohne Programme im Browser
Der Meldeweg lädt nichts von fremden Servern
Melden, absenden, antworten: Der ganze Weg funktioniert auch ohne mitgelieferte Programme im Browser (JavaScript). Solche Programme lesen viel über Gerät und Browser aus. Nachgeladen wird nichts von fremden Servern – jede fremde Datei verriete, dass jemand diese Seite geöffnet hat.
Im Detail
Ein Test fährt den Pfad als reine Formular-Übermittlung durch und lehnt jede Seite ab, die ein Skript, einen eingebetteten Handler oder eine fremde Ressource enthält. Bedienbar bleibt er bis hinauf zur strengsten Stufe des Tor-Browsers („Safest“, JavaScript abgeschaltet). Der Server verbietet in jeder Antwort jedes Nachladen und schickt keine Herkunftsangabe – strikte CSP mit „default-src 'self'“ und „Referrer-Policy: no-referrer“. Die Zugangsdaten-Datei gibt es nur auf eine Formularsendung hin, damit die Passphrase nie in einer Adresszeile steht.
Keine Spur des Anschlusses
Warum im Meldeweg nichts mitgeschrieben wird
Webseiten schreiben normalerweise mit, wer wann von welchem Anschluss kommt. Im Meldeweg entsteht diese Mitschrift nicht; dafür gibt es keinen Schalter. Firmenrechner und Firmennetz gehören dagegen dem Arbeitgeber, und dort entstehen Spuren – deshalb rät der Meldeweg, privat zu melden.
Im Detail
Protokollfelder lassen sich nur aus einer festen Liste von 14 erlaubten Angaben bilden. Fehlertexte werden von IP- und E-Mail-Mustern befreit und bei 200 Byte gekappt – sonst zitiert ein Datenbanktreiber die Zeile, an der er sich verschluckt hat. Der Meldekanal hat eine eigene Auslieferungsstrecke, denn die Protokollierung lässt sich nur je Verteilung abschalten. Die Angriffserkennung läuft dort ohne Protokoll: Aus ihren Protokollen ließe sich die IP-Adresse nicht entfernen, und die Ratenbegrenzung braucht sie nicht.
Sperre am Fallcode
Missbrauchsschutz, der selbst keine Spur legt
Wer Zugangsdaten durchprobiert, wird ausgebremst. Gezählt werden Fehlversuche am eingegebenen Fallcode, nicht am Gerät der meldenden Person. Wer sich vertippt, erfährt nicht, welche der beiden Angaben falsch war – sonst ließe sich herausfinden, ob es zu einem Fallcode einen Fall gibt.
Im Detail
Beide Antworten sind wortgleich und durchlaufen dieselbe vollständige Prüfung – ein unbekannter Fall gegen einen Platzhalter-Wert, damit die Antwortzeit nichts verrät. Ab dem fünften Fehlversuch sperrt der Zähler exponentiell, beginnend bei 30 Sekunden und gedeckelt bei 3.600 Sekunden. Eine erfolgreiche Anmeldung löscht ihn, spätestens nach 24 Stunden räumt ihn der tägliche Job ab: Eine stehen gebliebene Zeile wäre ein dauerhafter Vermerk, dass jemand einen bestimmten Fallcode probiert hat.
Löschen nach drei Jahren
Löschen heißt hier: den Schlüssel dieses Falls vernichten
Drei Jahre nach Abschluss wird gelöscht: Vernichtet wird der Schlüssel dieses Falls, danach ist sein Inhalt nicht mehr lesbar – auch nicht in Sicherungskopien, die nach 14 Tagen auslaufen. Aufhalten kann das nur eine Verlängerung mit Grund und verantwortlicher Person.
Im Detail
Die Frist steht in § 11 Abs. 5 HinSchG. Das ist die unbequeme Stelle jeder Löschzusage: In Sicherungskopien liegt Gelöschtes weiter, und eine Backup-Chirurgie ist für einen kleinen Betrieb nicht leistbar. Ein eigener Schlüssel je Fall löst das, ohne die Sicherungen anzufassen; ergänzend werden Sicherungspunkte nur 14 Tage vorgehalten. Der Löschbefehl liest das Datum einer dokumentierten Verlängerung, verweigert bis dahin und nennt den Tag – weil eine frühere Fassung das nicht tat.
Täglich festgeschrieben
Warum das Verfahrensprotokoll allein nicht genügt
Einmal am Tag schreiben wir die Nummer des letzten Eintrags in einen zweiten Speicher; leeren lässt der sich nicht, auch von uns nicht. Fehlen später Einträge, passt die Liste nicht mehr zu dieser Nummer, und die Nachrechnung sagt genau das.
Im Detail
Eine Hash-Kette beweist, dass kein Eintrag geändert wurde. Sie beweist nicht, dass keiner fehlt: Löscht jemand die letzten zwanzig Einträge, passt die kürzere Kette weiterhin in sich. Die Prüfung nennt deshalb das Ausmaß, etwa „die Kette endet bei 16, der Anker reicht bis 20“. Der Anker liegt sechs Jahre in einem Speicher, aus dem auch wir ihn nicht löschen können. Fachlich heißt das manipulationsevident: Eine Änderung lässt sich nicht verhindern, aber nicht verbergen.
Vier Augen
Geprüft wird bei der Entscheidung, nicht beim Entwurf
Kein Text geht hinaus, den nicht ein Mensch freigegeben hat. Bei schwerwiegenden Fällen entscheidet außerdem nicht eine Person allein; welche das sind, legt die Verfahrensordnung fest. Geprüft wird bei der Entscheidung, gegen den Stand, den der Fall dann hat.
Im Detail
Die frühere Fassung merkte sich beim Anlegen des Entwurfs, ob der Fall eskaliert war. Damit ließ sich die Regel in drei Schritten umgehen: Entwurf schreiben, solange der Fall unauffällig aussah, dann eskalieren, dann allein freigeben. Jetzt wird gegen den aktuellen Fallzustand geprüft, und eine Eskalation zieht wartende Freigaben nach. Das Freigabe-Ereignis trägt zusätzlich einen Prüfwert des Textes – sonst belegt das Protokoll, dass jemand etwas freigegeben hat, aber nicht was.
100.000 Zeichen
Zu lang wird abgelehnt, nicht gekürzt
Eine Meldung darf bis zu 100.000 Zeichen lang sein – etwa 40 beschriebene Seiten. Wird sie länger, sagt das System das und lässt den Text stehen. Gekürzt wird nichts: Sonst hielte jemand seinen Sachverhalt für gemeldet, und die Hälfte fehlte.
Im Detail
Die erste Fassung zählte Bytes, und byteweise zählt jedes ä, ö, ü und ß doppelt: Ein Text aus lauter Umlauten wäre schon bei 50.000 statt 100.000 Zeichen abgeschnitten worden – ohne jede Rückmeldung. Jetzt zählt das System Zeichen; ein Test reicht 80.000 Umlaute ein – 160.000 Byte – und prüft, dass genau 80.000 Zeichen gespeichert wurden. Eine stillschweigend gekürzte Meldung wäre der schlimmste Fehler dieser Software: Niemand würde es je bemerken.
Unterlagen für Ihre Prüfung
Ihre Datenschutzbeauftragte und Ihr Betriebsrat brauchen Unterlagen, keine Zusagen. Sechs der sieben liegen fertig vor; die siebte, der Bericht des externen Sicherheitstests, kommt vor dem Pilotstart.
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO – der Vertrag, der uns an Ihre Weisungen bindet: Zweck und Umfang der Verarbeitung, welche Dienstleister wir einsetzen, was bei Vertragsende gelöscht wird.
- TOM-Anlage nach Art. 32 DSGVO – die technischen und organisatorischen Maßnahmen in zehn Bereichen, vom Ersetzen der Namen durch Platzhalter bis zur Wiederherstellung nach einem Ausfall.
- Vorlage für Ihre Datenschutz-Folgenabschätzung – die Risikoprüfung, die das Gesetz Ihnen bei heiklen Verarbeitungen abverlangt. Für das Meldeverfahren vorausgefüllt, samt der Risiken, die bleiben; Sie übernehmen und ergänzen.
- Löschkonzept – Fristen, Auslöser, die Reihenfolge der Löschschritte, die Vernichtung des Schlüssels je Fall und die eingetragene Verlängerung als einziger Weg, eine Löschung aufzuhalten.
- Muster-Verfahrensordnung für Meldestelle und Beschwerdestelle, dazu eine Muster-Betriebsvereinbarung für den Betriebsrat. Darin Zuständigkeiten, Hochstufung, Vier-Augen-Prinzip und die Fristen nach § 17 HinSchG.
- Exit-Export für den Fall, dass Sie wechseln: alle Daten Ihres Kundenbereichs, die Sie auch sonst sehen dürfen. HinSchG-Meldungen sind nicht dabei; sie gehen an die künftige Meldestelle. Vertraglich zugesichert.
- Bericht des externen Sicherheitstests – der einzige Punkt, den es noch nicht gibt. Bis dahin nennen wir Ihnen Zeitpunkt und Prüfauftrag; sobald er vorliegt, den Bericht mit den behobenen Befunden.
Fragen aus Prüfgesprächen
Kann jemand bei Ihnen die Meldung lesen?
Ja. Wer den Fall bearbeitet, liest den Sachverhalt – sonst lässt er sich nicht prüfen. Das sind die Anwältin oder der Anwalt der Partnerkanzlei und, wenn die Kanzlei es für einen einzelnen Fall freischaltet, unser Team in der Fallbegleitung. Die Verschlüsselung schützt gegen etwas anderes: gegen Zugriffe auf Datenbank und Sicherungskopien und gegen Leute bei uns, die nicht an diesem Fall arbeiten. Geschützt sind dort die Identitäten: Beteiligte stehen als Pseudonyme in der Akte, und jedes Aufdecken eines Namens verlangt einen aufgeschriebenen Grund.
Wo werden die Daten verarbeitet – und verlassen sie Deutschland?
Verarbeitet wird in Frankfurt am Main, in den Rechenzentren von AWS (Region eu-central-1). AWS arbeitet als von uns beauftragter Dienstleister nach dem Auftragsverarbeitungsvertrag. Zwei Einschränkungen nennen wir selbst. Der Nachweis, an dem Ihr Browser erkennt, dass er wirklich mit uns spricht – das TLS-Zertifikat –, wird technisch bedingt in einer US-Region verwaltet; darin stehen keine Daten über Personen, nur der Name der Internetadresse. Und die KI-Verarbeitung läuft in einem EU-Verbund, zu dem neben Frankfurt auch Irland und Paris gehören. Deshalb schreiben wir dort „EU“ und nicht „Deutschland“.
Wie weisen wir fristgerechte Bearbeitung nach, ohne die Meldung zu sehen?
Über das Verfahrensprotokoll und die Berichte; beide kommen ohne Fallinhalte aus. Zwei Fristen zählen (§ 17 HinSchG): sieben Tage bis zur Eingangsbestätigung, drei Monate bis zur Rückmeldung. Die Sieben-Tage-Frist berechnet das System beim Eingang und schreibt sie fest. Die Drei-Monats-Frist läuft ab der Eingangsbestätigung; solange die aussteht, rechnet das System mit einem früheren Termin. Erinnert wird 14, 7 und 2 Tage vor der Drei-Monats-Frist, 3 und 1 Tag vor der Sieben-Tage-Frist. Verschieben lässt sich eine Frist nur mit Grund, neuem Datum und verantwortlicher Person.
Kann der Meldeweg zur Überwachung von Beschäftigten werden?
Überwachen ließe sich nur, was aufgezeichnet wird – und im Meldeweg wird nicht aufgezeichnet, wer von welchem Anschluss und mit welchem Gerät kommt. Der Zugang hängt an keinem Konto und an keiner E-Mail-Adresse. Vor dem Absenden steht kein Bilderrätsel zum Abtippen: Es sperrt Menschen mit Behinderung aus, und seine unsichtbare Form bräuchte wieder ein mitgeliefertes Programm im Browser. Eingangszeiten sehen Sie nur mit Datum, weil sich aus einer Uhrzeit auf eine Person schließen ließe. Berichte nennen Zahlen für das ganze Unternehmen; was seltener als dreimal vorkommt, steht als „< 3“.
Verarbeitet KI die Meldungen – und was heißt das rechtlich?
Ja, an drei Stellen und nie entscheidend: Zusammenfassung, Vorschlag für die Kategorie, Textentwurf. Namen, Adressen, Kontonummern und Personalnummern werden durch Platzhalter ersetzt, die Verarbeitung findet ausschließlich in EU-Regionen statt, und Ein- und Ausgaben sind vertraglich vom Training ausgeschlossen. Das ist Datenminimierung nach Art. 25 und Art. 32 DSGVO und ausdrücklich keine Anonymisierung – eine Umschreibung wie „die einzige Frau im Nachtschicht-Team“ erkennt keine Automatik. Sätze im Meldetext, die wie ein Auftrag klingen, wirken nicht: Der Text wird als Inhalt übergeben, nie als Auftrag.
Gilt das alles auch für diese Website?
Nein. Diese Seiten sind fertige Dateien, die nur ausgeliefert werden: keine Cookies, keine Messung, und wer sie aufruft, wird nicht mitgeschrieben. Die Schriften liegen auf unserem eigenen Server, weil schon der Abruf bei Google abmahnfähig ist (LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20). Die Verbindung ist verschlüsselt (HSTS, ein Jahr, einschließlich aller Subdomains, mindestens TLS 1.2). Ein Unterschied bleibt: Diese Website liefert ein kleines Programm mit in den Browser (ein JavaScript-Bundle). Es misst nichts, aber es ist da. Der Meldeweg liefert keines aus.
Reden wir über die Stellen, die Sie prüfen müssen
In der Pilotphase nehmen wir eine überschaubare Zahl von Unternehmen auf. Wenn es bei Ihnen einen Betriebsrat gibt, gehört er von Anfang an dazu, weil er mitbestimmt – dasselbe gilt für Ihre Datenschutzbeauftragte. Wir gehen den Aufbau mit Ihnen durch und führen die Prüfläufe vor.