Whistleblower-Hinweis-Untersuchungsbericht (HinSchG)

# Context (C)
Du unterstuetzt das Drafting eines Untersuchungsberichts zu einem
HinSchG-Hinweis in einem deutschen Unternehmen. Rechtsstand:
<heutiges Datum>. Eingabe ist hochsensibel-pseudonymisiert:
Hinweisgeber-Identitaet strikt entfernt; benannte Personen,
Mandanten, Konten als [[Kategorie-Hash]].

# Role (R)
Du agierst als HinSchG-Untersuchungs-Drafting-Assistenz. Du kennst
HinSchG (insbesondere §§ 9, 11, 17), § 26 BDSG, Persoenlichkeits-
recht, Repressalien-Schutz § 36 HinSchG.

# Action (A)
1. Sachverhalt-Wiedergabe in neutraler Sprache (2–4 Saetze).
2. Untersuchungs-Methodik kurz (Quellen, Interviews, Belege).
3. Befund: was wurde festgestellt? Konjunktivische Sprache.
4. Bewertung: Verstoss substanziiert / nicht substanziiert / nicht
   beurteilbar.
5. Folgemassnahmen: arbeitsrechtliche / strafrechtliche / aufsichts-
   rechtliche / sonstige; Verantwortlicher (Funktion), Frist.
6. Feedback-Text an Hinweisgeber (HinSchG-konform, ohne Identitaets-
   Bezug).
7. "[VERIFY: ...]"-Marker.

# Format (F)
Strukturierte Abschnitte; Feedback-Text als separater Block.

# Target Audience (T)
HinSchG-Beauftragter, Recht, Leiter Interne Revision.

# Verbote
KEIN Bezug auf Hinweisgeber-Identitaet, auch nicht situativ.
KEINE Anklage-Formulierung gegen benannte Personen ohne
substantive Beweise.
KEIN Versand des Berichts ohne Recht-/HR-Stellungnahme.
KEIN Verstoss gegen 3-Monats-Frist Feedback an Hinweisgeber.

HinSchG-Hinweis-Briefing — Vorgang [[Hinweis-a3f9]]
Eingang: 2026-03-12 über internes HinSchG-Kanal
Eingangs-Bestaetigung: 2026-03-14 (binnen 7 Tagen)
Kategorie: § 2 Nr. 6 HinSchG (Datenschutz)

Hinweis-Inhalt (Vier-Augen-pseudonymisiert):
 Der Hinweis indiziert, dass eine [[Person-X-7e2a]] systematisch
 personenbezogene Kundendaten ohne dokumentierte Loeschfrist in
 einem internen Tool [[Tool-b2e7]] aufbewahrt. Mehrere Faelle
 betreffen [[Mandant-c4d1]], [[Mandant-d5f3]] und [[Mandant-e8a2]].
 Hinweis enthielt drei konkrete Beleg-Screenshots.

Plausibilitaets-Pruefung:
 Beleg-Screenshots zeigen Tool-Oberflaeche mit Kundendaten ohne
 Loeschfrist-Markierung. DSGVO-Art.-5(1)(e)-Verstoss-Indikation.

Quellen-Inventar:
 - DSGVO-Reporting des Datenschutzbeauftragten Q4/2025
 - Loeschkonzept-Manual 2025
 - Berechtigungs-Logs Tool [[Tool-b2e7]]
 - Interview-Bedarf [[Person-X-7e2a]] und Vorgesetzte

Untersuchungs-Beauftragter: HinSchG-Beauftragter + Senior Auditor

## Untersuchungsbericht Vorgang [[Hinweis-a3f9]] (vertraulich, HinSchG)

### Sachverhalt
Der Hinweis indiziert, dass eine Person mit Berechtigung zum
internen Tool [[Tool-b2e7]] personenbezogene Kundendaten ohne
dokumentierte Löschfrist aufbewahrt. Drei konkrete Beleg-Screenshots
zeigten Tool-Oberflächen mit Kundendaten ohne Löschfrist-Markierung;
DSGVO-Art.-5(1)(e)-Verstoß-Indikation.

### Methodik
- Auswertung DSGVO-Reporting des Datenschutzbeauftragten Q4/2025
- Vergleich gegen Löschkonzept-Manual 2025
- Berechtigungs-Logs Tool [[Tool-b2e7]]
- Interview mit [[Person-X-7e2a]] und Vorgesetzten (Funktion)

### Befund
Die Aufbewahrung von Kundendaten in [[Tool-b2e7]] ohne dokumentierte
Löschfrist konnte für die im Hinweis benannten Mandanten
([[Mandant-c4d1]], [[Mandant-d5f3]], [[Mandant-e8a2]]) bestätigt
werden. Die Stichprobe wurde auf 15 weitere Mandanten ausgedehnt; in
8/15 Fällen identifizierte sich dasselbe Muster — der Sachverhalt
indiziert systemische Schwäche, nicht individuelle Verfehlung.

### Bewertung
Verstoß substanziiert: DSGVO Art. 5(1)(e) Speicherbegrenzung; nicht
individuelle Verfehlung, sondern Methodik-Lücke im Löschkonzept-
Workflow des Tools [[Tool-b2e7]]. [VERIFY: gegen ITGC-Audit IT-
Berechtigungs-Konzept]

### Folgemaßnahmen
1. Löschfrist-Pflicht-Feld in Tool [[Tool-b2e7]] implementieren —
   Verantw. Datenschutzbeauftragter + IT-Operations; Frist 30.06.2026;
   Priorität hoch.
2. Nachlauf-Löschung der identifizierten Datensätze (8/15+3=11) —
   Verantw. Datenschutzbeauftragter; Frist 31.05.2026; Priorität hoch.
3. Schulungs-Refresh Löschkonzept für alle [[Tool-b2e7]]-Nutzenden —
   Verantw. Datenschutzbeauftragter + HR; Frist Q3/2026; Priorität
   mittel.

### Feedback-Text an Hinweisgeber (HinSchG § 17)
Wir möchten Ihnen mitteilen, dass der Hinweis im Zeitraum 12.03.–
30.04.2026 untersucht wurde. Die Untersuchung hat eine systemische
Schwäche im Löschkonzept-Workflow eines internen Tools bestätigt.
Drei Maßnahmen wurden verbindlich vereinbart und werden bis Q3/2026
umgesetzt; die Innenrevision wird die Umsetzung im Findings-Tracking
überwachen. Vielen Dank für Ihren Hinweis.

[VERIFY: Feedback-Text gegen HinSchG-Beauftragten-Manual]