HR-Compliance, Whistleblowing und Arbeitsrecht

Compliance-Investigation-Bericht aus HinSchG-Meldung mit externer Kanzlei

anymize hält die Hinweisgeber-Identität strukturell vom KI-Drafting-Kontext fern und pseudonymisiert Beschuldigte, Zeugen und Beweismittel, bevor der Investigation-Bericht an GPT, Claude oder Gemini geht — bei höchst-sensiblen Fällen Routing auf On-Premises-LLM. So entsteht der HinSchG-§-17-konforme Investigation-Bericht mit 9 Pflicht-Sections und 3-Monats-Rückmeldungs-Drafting in Stunden statt Tagen, ohne § 8 HinSchG zu berühren (Bußgeld bis 50.000 EUR vermieden).

Schwierigkeit: Spezialist · Datenklasse: Beschäftigtendaten · Letztes Review:

Zur Orientierung gedacht. Die personalrechtliche Würdigung im Einzelfall bleibt selbstverständlich bei Ihnen — KI-Outputs sind vor jeder Verwendung zu prüfen. Mehr dazu am Ende.

Sondergruppe

Höchst-vertraulich: Investigation-Bericht mit HinSchG-§-8-Schutz

Investigation-Berichte sind juristisch heikle Dokumente — können Beweismittel in arbeitsgerichtlichen / Strafverfahren werden; können bei Aufsichtsbehörde / Staatsanwaltschaft herausgegeben werden. HinSchG § 8: Hinweisgeber-Identität streng vertraulich; bei Verstoß § 40 Bußgeld bis 50.000 EUR. Halluzinations-Risiko existenzgefährdend — jede Tatsachen-Aussage muss mit Beweismittel verknüpft sein. Bei hochrisiko-Fällen On-Premise-LLM oder keine LLM-Unterstützung.

01

Anwendungsbereich

Worum geht es hier?

KI in HR-Compliance, Whistleblowing und Arbeitsrecht

Compliance-Investigations sind die operative Folge-Phase nach erfolgreicher HinSchG-Triage (UC-V-HR-HRC-009). Schnittpunkt HinSchG (§ 8 Vertraulichkeit, § 17 3-Monats-Rückmeldung, § 40 Bußgelder), Beweisrecht, § 26 BDSG, AGG, Datenschutz-Untersuchungen, ggf. strafrechtlich (Untreue, Korruption — Cross-Cluster Lawyers).

02

Für wen passt das?

Zielgruppe und Kontext

Rolle
HinSchG-Meldestellen-Beauftragte/r (Federführung), Compliance-Officer, HR-Compliance, Interne Revision, externe Anwaltskanzlei (häufig federführend bei mittel-/hochrisiko-Fällen).
Seniorität
Senior — Investigation erfordert juristische, forensische und kommunikative Kompetenz; Hinweisgeber-Schutz hoch sensibel.
Unternehmensgröße
Mittelstand (250-999), Großunternehmen (1000+), Konzern. HinSchG-Pflicht ab 50 MA seit 17.12.2023.
Spezifische Kontexte
Korruptions-/Bestechungs-Vorwürfe, Wirtschaftsstraftaten, Arbeitsschutz-Verstöße, Diskriminierung, Mobbing/Belästigung, Datenschutz-Verletzungen, Geldwäsche-Verdacht (Cross-Cluster Banking), kartellrechtliche Verstöße.
03

Die Situation in der Personalabteilung

So bringen Sie Tempo und Sorgfalt zusammen

Nach erfolgreicher Triage (UC-V-HR-HRC-009) beginnt die eigentliche Investigation. HinSchG-Rahmen: § 8 (Vertraulichkeit; nur an unmittelbar Beteiligte), § 17 Abs. 4 (3-Monats-Rückmeldung), § 36 (Repressalien-Verbot), § 40 (Bußgelder bis 50.000 EUR). Investigation-Berichte sind juristisch heikel: können Beweismittel in arbeitsgerichtlichen/Strafverfahren werden; in Konzern-Reportings landen; bei Aufsichtsbehörde herausgegeben. Pflicht-Sections eines Investigation-Berichts: (1) Mandat, (2) Sachverhalts-Hypothese, (3) Investigations-Methode, (4) Hinweisgeber-Schutz, (5) Beweismittel-Aufbereitung, (6) Sachverhalts-Findings, (7) Rechtliche Bewertung, (8) Empfehlungen, (9) Hinweisgeber-Rückmeldung. Halluzinations-Risiko existenzgefährdend — jede Tatsachen-Aussage muss mit Beweismittel verknüpft sein.

04

Was Sie davon haben

Zeit, Wert, Vertraulichkeit

Zeit pro Bericht

5–15 h

Investigation-Berichts-Drafting (Strukturierung, Beweismittel-Aufbereitung, Rückmeldungs-Drafting). Komplexe Konzern-Investigations brauchen 20+ h.

Anwaltliche Kosten

6.000–40.000 EUR

Externe Investigation-Begleitung typisch 20–80 h zu 300–500 EUR/h pro Fall.

HinSchG § 40 Bußgeld

bis 50k EUR

Bei Vertraulichkeits-Bruch. anymize-Strukturschutz verhindert Identitäts-Leak.

Repressions-Klage-Risiko

6-stellig

Bei nachgewiesener Repression gegen Hinweisgebende Schadensersatz-Klage.

05

So gehen Sie vor

Der Workflow Schritt für Schritt

1

Mandat und Auftrag: intern (HinSchG-Meldestelle + Compliance-Officer) oder extern (Anwaltskanzlei + ggf. Forensik-Spezialisten) klar definieren.

Geschäftsleitung + Compliance

Verantwortungs-Klarheit

2

Hinweisgeber-Schutz-Maßnahmen dokumentieren: § 8 HinSchG; Identität auf Need-to-Know; Repressions-Schutz.

HinSchG-Beauftragte/r

§ 8 HinSchG

3

Datenklassifikation: Hinweisgeber-Identität = Klasse A+ (höchste Vertraulichkeit); Beschuldigte + Zeugen + Beweismittel = Klasse A; ggf. DSGVO Art. 9 = Klasse A.

DSB + HinSchG-Beauftragte/r

§ 26 BDSG; Art. 9

4

anymize-Pseudonymisierung ZWINGEND vor jedem LLM-Transfer: [[HG-…]] für Hinweisgebende (Identität bleibt im Original-System), [[Beschuldigt-…]], [[Zeuge-A]], [[Zeuge-B]], [[Beweis-…]].

anymize

§ 8 HinSchG; § 26 BDSG

5

Strenger Spot-Check 20 % gegen Restidentifikatoren (Personalnummern, seltene Rollen-Kombinationen, biometrische Indikatoren).

Mensch

NER-Restrisiko in Investigation-Akten

6

Investigations-Methode-Plan: Interview-Liste (chronologisch), IT-Forensik-Schritte, Dokument-Analyse, ggf. externe Sachverständige.

Compliance + ggf. externe Kanzlei

Investigations-Plan

7

KI-Drafting Investigation-Berichts-Skelett mit 9 Pflicht-Sections: (1) Mandat, (2) Sachverhalts-Hypothese, (3) Investigations-Methode, (4) Hinweisgeber-Schutz § 8 HinSchG, (5) Beweismittel-Aufbereitung chronologisch, (6) Sachverhalts-Findings, (7) Rechtliche Bewertung (arbeitsrechtlich/strafrechtlich/regulatorisch), (8) Empfehlungen (arbeitsrechtliche Maßnahmen, Meldepflichten, Prozess-Verbesserungen), (9) Hinweisgeber-Rückmeldung § 17 HinSchG.

GPT / Claude / Gemini in anymize (On-Premises bei hochrisiko)

9-Pflicht-Sections-Strukturierung

8

Halluzinations-Mitigation: jede Tatsachen-Aussage gegen Beweismittel verknüpfen; [[FEHLEND]]/[[UNSICHER]] bei Lücken; KEINE erfundenen Details!

KI + Mensch

Halluzinations-Risiko existenzgefährdend

9

Re-Identifikation NUR in gesicherter Compliance-Umgebung — Hinweisgeber-Klarname verlässt das LLM nie. Senior-Compliance-Letzt-Entscheidung; bei strafrechtlichen Aspekten externe Strafrechts-Kanzlei. 3-Monats-Rückmeldung § 17 Abs. 4 HinSchG drafttieren (ohne Verfahrens-Details, die Hinweisgebende exponieren).

Mensch + anymize

§ 8 HinSchG; § 17 Abs. 4 HinSchG

10

Folge-Workflows: bei Diskriminierungs-Verdacht AGG-Beschwerdestelle (→ UC-V-HR-HRC-010); bei verhaltensbedingter Konsequenz Disziplinarverfahren (→ UC-V-HR-HRC-018) ggf. Kündigung (→ UC-V-HR-HRC-002); bei Datenschutz-Verstoß Datenpanne-Workflow (→ UC-V-HR-HRC-015); Audit-Log + 3-Jahres-Aufbewahrung (§ 11 HinSchG).

Mensch

Folge-Workflow + § 11 HinSchG

06

Womit Sie arbeiten

So setzen Sie anymize konkret ein

Was anymize tut

  • Hält Hinweisgeber-Identität strukturell vom KI-Drafting-Kontext fern (Klasse A+).
  • Pseudonymisiert Beschuldigte, Zeugen und Beweismittel mit Drittidentitäten-Schutz.
  • Bei hochrisiko-Fällen (Geschäftsleitungs-Bezug, Art. 9-Daten, sexuelle Belästigung): On-Premises-LLM-Routing oder KI-Ausschluss.
  • Strenger Spot-Check 20 % gegen Stilometrie-Re-Identifikation.
  • Verarbeitung in deutschen Rechenzentren (Hetzner) oder On-Premises (Llama 3 / GPT-OSS).

Was Sie als HinSchG-Beauftragte/r tun

  • Mandat klären: intern oder extern (Anwaltskanzlei + Forensik-Spezialisten).
  • § 8 HinSchG-Vertraulichkeits-Maßnahmen aktiv (Need-to-Know-Prinzip).
  • Investigations-Methode-Plan: Interviews, IT-Forensik, Dokument-Analyse.
  • Bei strafrechtlichen Aspekten: externe Strafrechts-Kanzlei zwingend.
  • 3-Monats-Rückmeldung § 17 Abs. 4 HinSchG drafttieren ohne Verfahrens-Details.
  • Folge-Workflows einleiten: AGG / Disziplinarverfahren / Kündigung / Datenpanne.

Daten-Input

Triage-Bericht aus UC-V-HR-HRC-009; Mandat (intern/extern); Beweismittel (Dokumente, Interviews, IT-Logs, Forensik-Berichte); ggf. Art. 9-Daten.

Output-Kontrolle

Re-identifizierter Investigation-Bericht mit 9 Pflicht-Sections + 3-Monats-Rückmeldungs-Draft § 17 Abs. 4 HinSchG + Folge-Workflow-Empfehlungen.

Freigabeprozess

HinSchG-Beauftragte/r → Senior-Compliance → externe Anwaltskanzlei (bei strafrechtlichen Aspekten + komplexen Fällen Pflicht) → Geschäftsleitung. anymize ist der Anonymisierungs-Layer.

07

Die KI-Anweisung

Prompt zum Kopieren

So nutzen Sie diesen Prompt:

1. Triage-Bericht (UC-V-HR-HRC-009) + Beweismittel + Mandat in anymize einfügen — Pseudonymisierung läuft automatisch (Hinweisgeber bleibt im Original-System).

2. Bei hochrisiko: On-Premises-LLM aktivieren.

3. Prompt anhängen, KI-Aufruf in Thinking-Modus starten.

4. Halluzinations-Check: jede Aussage gegen Beweismittel verknüpfen; [[FEHLEND]] bei Lücken.

5. Senior-Compliance-Letztcheck; bei strafrechtlichen Aspekten externe Strafrechts-Kanzlei.

6. 3-Monats-Rückmeldung § 17 Abs. 4 HinSchG drafttieren.

Empfohlener Reasoning-Modus in anymize: Thinking-Modus. Bei hochrisiko-Fällen On-Premises-LLM oder KI-Ausschluss.
# Context (C)
Rechtsstand: <heutiges Datum>. Du entwirfst einen Compliance-Investigation-
Bericht auf Basis einer HinSchG-Meldung. Input pseudonymisiert: Hinweisgeber
[[HG-…]] (Identität bleibt im Original-System), Beschuldigte [[Beschuldigt-…]],
Zeugen [[Zeuge-A/B/…]], Beweismittel [[Beweis-…]]. Bei Art. 9-Daten Sonder-Flag.

# Role (R)
Du agierst als Compliance-/Investigations-Drafting-Assistenz mit Kenntnis
HinSchG (§ 8 Vertraulichkeit, § 17 Fristen, § 36 Repressalien, § 11
Dokumentation, § 40 Bußgelder), EU-Whistleblower-RL 2019/1937, DSGVO,
§ 26 BDSG, AGG, ggf. Strafrecht (§ 138 StGB Anzeigepflichten).

# Action (A)
1. **Pflicht-Section 1 — Mandat und Auftrag**: intern (Meldestelle + Compliance)
   oder extern (Anwaltskanzlei).
2. **Pflicht-Section 2 — Sachverhalts-Hypothese** (aus Triage): Verdachts-
   Beschreibung, Verstoßkategorie, Schweregrad.
3. **Pflicht-Section 3 — Investigations-Methode**: Interview-Liste,
   IT-Forensik-Schritte, Dokument-Analyse, externe Sachverständige.
4. **Pflicht-Section 4 — Hinweisgeber-Schutz-Maßnahmen § 8 HinSchG**:
   Identität nicht an Beschuldigte, Need-to-Know-Prinzip, Repressions-Schutz.
5. **Pflicht-Section 5 — Beweismittel-Aufbereitung** (chronologisch, mit
   Beweis-Wert): jede Tatsachen-Aussage gegen Beweismittel verknüpfen.
6. **Pflicht-Section 6 — Sachverhalts-Findings**: was ist tatsächlich
   passiert (basierend auf Beweismitteln)?
7. **Pflicht-Section 7 — Rechtliche Bewertung**: arbeitsrechtlich
   (KSchG, AGG), strafrechtlich (StGB-Tatbestände), regulatorisch
   (Aufsichtsrechtliche Konsequenzen).
8. **Pflicht-Section 8 — Empfehlungen**: arbeitsrechtliche Maßnahmen
   (Abmahnung/Versetzung/Kündigung), Meldepflichten (z.B. GwG-Anzeige),
   Prozess-Verbesserungen.
9. **Pflicht-Section 9 — Hinweisgeber-Rückmeldung § 17 Abs. 4 HinSchG**:
   spätestens 3 Monate; ohne Verfahrens-Details, die Hinweisgebende
   exponieren würden.
10. **Halluzinations-Schutz**: bei jeder Aussage ohne Beweismittel-Beleg
    `[[FEHLEND]]`/`[[UNSICHER]]`-Markierung. NIEMALS Sachverhaltsdetails
    erfinden.
11. **Pflicht-Auslassung**: keine Klarnamen Hinweisgebende; keine
    Vorverurteilung Beschuldigter ohne Beweis; keine Strafanzeige-Empfehlung
    ohne externe juristische Bewertung.

# Format (F)
- 9 Pflicht-Sections als nummerierte Blöcke.
- Beweismittel-Verweise konsistent (Beweismittel-Nr. + Beleg-Typ).
- Bei Lücken `[[FEHLEND]]`/`[[UNSICHER]]`.
- 3-Monats-Rückmeldungs-Draft als separater Block.
- Folge-Workflow-Empfehlungen als Block.

# Target Audience (T)
HinSchG-Meldestellen-Beauftragte/r + Senior-Compliance + externe
Anwaltskanzlei + ggf. Geschäftsleitung. Erwartung: juristisch korrekt,
beweis-fest, vertraulich, Strafverfahren-fest.
08

So sieht der Input aus

Pseudonymisierter Eingabetext

Beweismittel + Interviews nach anymize-Pseudonymisierung. Hinweisgeber-Identität strukturell außerhalb des KI-Kontexts.
Triage-Bericht UC-V-HR-HRC-009: Fall HSG-2026-0427-A8X3 (Konfidenz 78 %, Strafrechts-Indikation Untreue § 266 StGB, Vergabe-Manipulation Bereichsleitung).
Mandat: extern + intern (Anwaltskanzlei [[Kanzlei-…]] + interne Revision).
Investigations-Phase: 4 Wochen (2026-05-15 bis 2026-06-15).

Beweismittel (chronologisch, pseudonymisiert):
- Beweis-001: Beschaffungs-Akte [[Auftrag-c4d1]] (Bereichsleitung [[Beschuldigt-9c2e]] hat Lieferanten [[Firma-b2e7]] beauftragt; Preise 12 % über Marktdurchschnitt).
- Beweis-002: E-Mail-Verkehr 2025-Q4 zwischen [[Beschuldigt-9c2e]] und Geschäftsführung [[Firma-b2e7]] (privater Bezug erkennbar — Geburtstags-Grüße).
- Beweis-003: Handelsregister-Auszug [[Firma-b2e7]]: Geschäftsführung Bruder von [[Beschuldigt-9c2e]] (verwandtschaftliche Verbindung bestätigt).
- Beweis-004: Interview [[Zeuge-A]] (Beschaffungs-Sachbearbeiterin) bestätigt: alternative Angebote wurden 2025 mehrfach formal abgewertet ohne sachliche Begründung.
- Beweis-005: Interview [[Zeuge-B]] (Kollege) bestätigt: [[Beschuldigt-9c2e]] hat in Team-Runden 2025 mehrfach [[Firma-b2e7]] empfohlen ohne Wettbewerbs-Vergleich.
- Beweis-006: gescheiterte interne Intervention [[Zeuge-C]] 2025-Q3 (Aktennotiz in Personalakte).

Beschuldigt: [[Beschuldigt-9c2e]] (Bereichsleitung Beschaffung, BZ 12 J., 48 J., 2 Unterhalt).
Hinweisgeber: anonym (Identität bleibt im Original-System; nicht ans LLM).
3-Monats-Frist: 2026-08-11.
09

So liefert anymize zurück

Der KI-Entwurf

KI-Output. Senior-Compliance + externe Anwaltskanzlei Letztcheck; Strafrechts-Bewertung extern.
# Compliance-Investigation-Bericht — Fall HSG-2026-0427-A8X3

## 1. Mandat und Auftrag
**Beauftragt**: 2026-05-15
**Auftraggeber**: Geschäftsleitung + Compliance-Lead
**Externe Kanzlei**: [[Kanzlei-…]] (Federführung Strafrechts-/Untreue-Bewertung)
**Interne Beteiligte**: Interne Revision, HinSchG-Meldestellen-Beauftragte/r, DSB.
**Investigations-Zeitraum**: 4 Wochen (2026-05-15 bis 2026-06-15).

## 2. Sachverhalts-Hypothese
Aus Triage (UC-V-HR-HRC-009): Vergabe-Manipulation durch Bereichsleitung
[[Beschuldigt-9c2e]] zugunsten Lieferanten [[Firma-b2e7]] mit Verdacht auf
verwandtschaftliche Verbindung. Schweregrad hoch. Strafrechts-Indikation
Untreue § 266 StGB.

## 3. Investigations-Methode
- **Dokument-Analyse**: Beschaffungs-Akten 2024–2025, E-Mail-Verkehr, Handelsregister.
- **Interviews**: [[Zeuge-A]] (Beschaffungs-Sachbearbeiterin), [[Zeuge-B]] (Kollege), [[Zeuge-C]] (interveniert habende/r Kolleg/in).
- **IT-Forensik**: E-Mail-Archive 2024–2025 [[Beschuldigt-9c2e]].
- **Externe Sachverständige**: Handelsregister-Auswertung; Markt-Preis-Vergleich Beschaffungs-Branche.

## 4. Hinweisgeber-Schutz-Maßnahmen § 8 HinSchG
- Hinweisgeber-Identität ausschließlich der HinSchG-Beauftragte/r bekannt; **NICHT** an Beschuldigte, Zeugen, externe Kanzlei weitergegeben.
- Need-to-Know-Prinzip strikt: alle Beteiligten haben nur den pseudonymisierten Hinweis (Standard-Praxis).
- Repressions-Schutz § 36 HinSchG: [[Zeuge-C]] (interveniert habende/r Kolleg/in) wird aktiv vor möglichen Repressalien geschützt.

## 5. Beweismittel-Aufbereitung (chronologisch)
| Nr. | Datum | Beweis-Art | Inhalt | Beweis-Wert |
|---|---|---|---|---|
| 001 | 2025-Q1–Q4 | Beschaffungs-Akte [[Auftrag-c4d1]] | Vergabe an [[Firma-b2e7]] bei 12 % über Marktdurchschnitt | Indiz für überteuerte Vergabe |
| 002 | 2025-Q4 | E-Mail-Verkehr | Privater Bezug [[Beschuldigt-9c2e]] ↔ Geschäftsführung [[Firma-b2e7]] | Indiz für persönliche Verbindung |
| 003 | 2025-Q4 | Handelsregister-Auszug | Geschäftsführung [[Firma-b2e7]] = Bruder von [[Beschuldigt-9c2e]] | **Belegt verwandtschaftliche Verbindung** |
| 004 | 2026-05-20 | Interview [[Zeuge-A]] | Bestätigung formaler Abwertung alternativer Angebote | starkes Indiz |
| 005 | 2026-05-22 | Interview [[Zeuge-B]] | Bestätigung wettbewerbs-freier Empfehlung in Team-Runden | starkes Indiz |
| 006 | 2025-Q3 | Aktennotiz [[Zeuge-C]] | Gescheiterte interne Intervention | belegt Tat-Wille |

## 6. Sachverhalts-Findings
Basierend auf Beweismitteln 001-006:
- **Belegt**: verwandtschaftliche Verbindung [[Beschuldigt-9c2e]] ↔ Geschäftsführung [[Firma-b2e7]] (Beweis-003).
- **Belegt**: systematische Vergabe an [[Firma-b2e7]] mit überteuerter Preisgestaltung (Beweis-001, 004, 005).
- **Belegt**: gescheiterte interne Intervention durch [[Zeuge-C]] (Beweis-006).
- **Wahrscheinlich**: vorsätzliche Vermeidung wettbewerblicher Vergabe-Verfahren zugunsten Bruder-Firma.

## 7. Rechtliche Bewertung
- **§ 266 StGB Untreue**: Vermögens-Betreuungspflicht durch Bereichsleitung verletzt; Vermögensschaden für [[AG-Name]] (Mehrkosten 12 % über Marktdurchschnitt × geschätzt 850.000 EUR Volumen 2025). **Strafrechtliche Bewertung**: externe Strafrechts-Kanzlei.
- **Arbeitsrechtlich**: außerordentliche Kündigung gem. § 626 BGB (verhaltensbedingt, Vertrauens-Bruch). Sonderkündigungsschutz: keiner bekannt. § 102 BetrVG-Anhörung erforderlich.
- **Compliance-rechtlich**: Verstoß gegen interne Beschaffungs-Richtlinien; Vergabe-Manipulation; Repressions-Versuch gegen Intervention.
- **Datenschutz**: keine direkte Verletzung.

## 8. Empfehlungen
- **Arbeitsrechtlich**: außerordentliche Kündigung [[Beschuldigt-9c2e]] gem. § 626 BGB; § 626 Abs. 2 BGB 2-Wochen-Frist ab Bestätigung Sachverhalts-Findings (→ UC-V-HR-HRC-018 → UC-V-HR-HRC-002).
- **Strafrechtlich**: externe Kanzlei prüft Strafanzeige Untreue § 266 StGB (NICHT § 138 StGB Pflicht; AG-Optional).
- **Civilrechtlich**: Schadensersatz-Klage gegen [[Beschuldigt-9c2e]] (Vermögensschaden 12 % × 850.000 EUR = ca. 102.000 EUR).
- **Compliance-Prozess**: Vier-Augen-Prinzip in Beschaffung verstärken; Lieferanten-Beziehungen jährlich auf Conflict-of-Interest prüfen; Whistleblower-Schulung (→ UC-V-HR-HRC-017).
- **Repressions-Schutz [[Zeuge-C]]**: aktive Schutz-Maßnahmen + Maßregelungsverbots-Hinweis (→ UC-V-HR-HRC-010 AGG-Schutz analog).

## 9. Hinweisgeber-Rückmeldung § 17 Abs. 4 HinSchG (Frist 2026-08-11)

```
Sehr geehrte Hinweisgeberin, sehr geehrter Hinweisgeber,

gemäß § 17 Abs. 4 HinSchG informieren wir Sie über die Folgemaßnahmen zu
Ihrer Meldung vom 11. Mai 2026 (HSG-2026-0427-A8X3):

Die Compliance-Untersuchung wurde abgeschlossen. Die zuständige
Anwaltskanzlei und die interne Revision haben den Sachverhalt umfassend
geprüft. Die Hinweise auf interne Pflichtverletzungen haben sich
substantiell bestätigt. Es wurden arbeitsrechtliche und ggf. strafrechtliche
Maßnahmen eingeleitet.

[[Anpassung-konkrete Maßnahme bei Übermittlung — z.B. 'arbeitsrechtliche
Konsequenzen wurden gezogen' oder 'externe Bewertung läuft']]

Unabhängig davon gilt für Sie der Schutz vor Repressalien gemäß §§ 33–35
HinSchG. Sollten Sie Anzeichen von Vergeltungsmaßnahmen wahrnehmen,
kontaktieren Sie uns umgehend.

Mit freundlichen Grüßen
[[Name-Meldestellen-Beauftragte/r]]
```

## Folge-Workflows
- UC-V-HR-HRC-018: Disziplinarverfahren mit Anhörung [[Beschuldigt-9c2e]] (BAG-Linie Verdachts-Kündigung).
- UC-V-HR-HRC-002: außerordentliche verhaltensbedingte Kündigung (§ 626 BGB-Frist 2 Wochen).
- UC-V-HR-HRC-005: § 102-BetrVG-Anhörung (3 Tage außerordentlich).
- UC-V-HR-HRC-010 (analog): Maßregelungs-Schutz [[Zeuge-C]].

[[FEHLEND: konkrete Schadens-Berechnung Mehrkosten 2025 durch externe Sachverständige verifizieren — derzeit Schätzung]]
10

Was das HR-Recht verlangt

Pflichten — und wie anymize sie abdeckt

HinSchG § 8 — Vertraulichkeitspflicht

Hinweisgeber-Identität streng vertraulich; nur an unmittelbar Beteiligte. § 40 HinSchG Bußgeld bis 50.000 EUR. anymize hält Identität strukturell aus KI-Kontext.

HinSchG § 17 Abs. 4 — 3-Monats-Rückmeldung

Spätestens 3 Monate nach Eingangsbestätigung; ohne Verfahrens-Details, die Hinweisgebende oder Beschuldigte exponieren.

HinSchG §§ 33–36 — Repressions-Verbot + Beweislastumkehr

Aktiver Schutz Hinweisgebende UND interveniert habende Kolleg:innen. Bei nachteiliger Maßnahme: AG muss Nicht-Zusammenhang beweisen.

Halluzinations-Risiko bei Investigation-Berichten

Tatsachen-Aussage MUSS mit Beweismittel verknüpft sein. KI-erfundene Sachverhaltsdetails können zu Repressions-Vorwürfen, falschen Verdächtigungen und Schadensersatz-Klagen führen.

§ 138 StGB — Anzeigepflichten

Greift nur bei bestimmten Delikten (Mord, Raub, Geldfälschung). Bei Untreue/Korruption keine generelle Pflicht — externe Strafrechts-Bewertung.

§ 626 BGB — 2-Wochen-Frist

Bei außerordentlicher Kündigung Beschuldigte ab Bestätigung Sachverhalts-Findings. Frist-Tracker zwingend (→ UC-V-HR-HRC-018).

§ 11 HinSchG + EU AI Act Art. 26 — Aufbewahrung

3-Jahres-Aufbewahrung HinSchG; 6-Monats-Minimum EU AI Act für KI-Audit-Logs. Investigation-Bericht als beweis-festes Dokument.

11

Datenschutz und Vertraulichkeit

So funktioniert das mit anymize

Bei Compliance-Investigation werden hochsensible Daten verarbeitet: Hinweisgeber-Identität (Klasse A+; nie an KI), Beschuldigte (Klasse A), Zeugen (Klasse A), Beweismittel mit ggf. Art.-9-Bezug. anymize hält Hinweisgeber strukturell aus KI-Kontext; pseudonymisiert Beschuldigte + Zeugen + Beweismittel; bei Art.-9-Bezügen On-Premises-LLM. Verarbeitung in deutschen Rechenzentren (Hetzner) oder On-Premises (Llama 3 / GPT-OSS). Halluzinations-Mitigation: jede Tatsachen-Aussage gegen Beweismittel verknüpft; [[FEHLEND]] bei Lücken. Rechtsgrundlage: § 26 BDSG + ggf. § 22 BDSG; HinSchG als bereichsspezifisches Spezialgesetz; AVV + DPIA-Update für Investigation-Workflow.

Was anymize konkret leistet

  • Hält Hinweisgeber-Identität strukturell aus KI-Kontext (Sonder-Schutz-Flag § 8 HinSchG).
  • Pseudonymisiert Beschuldigte + Zeugen + Beweismittel.
  • Bei hochrisiko-Fällen (Geschäftsleitungs-Bezug, Art. 9, sexuelle Belästigung): On-Premises-LLM-Routing oder KI-Ausschluss.
  • Strenger Spot-Check 20 % gegen Stilometrie-Re-Identifikation.
  • Integriert mit Folge-Workflows: UC-V-HR-HRC-018 / UC-V-HR-HRC-002 / UC-V-HR-HRC-005 / UC-V-HR-HRC-010 / UC-V-HR-HRC-015.
  • Verarbeitung in deutschen Rechenzentren (Hetzner) oder On-Premises (Llama 3 / GPT-OSS).
12

Sicherheitscheck vor der Veröffentlichung

Was anymize liefert — was Sie souverän entscheiden

Vor dem KI-Aufruf

  • Mandat klar (intern/extern + externe Strafrechts-Kanzlei bei strafrechtlichen Aspekten)?
  • Hinweisgeber-Schutz-Maßnahmen § 8 HinSchG dokumentiert?
  • Pseudonymisierungs-Spot-Check 20 % (Stilometrie-Risiko bewertet)?
  • Bei hochrisiko-Fällen: On-Premises-LLM aktiviert?

Nach der KI-Antwort

  • 9 Pflicht-Sections vollständig?
  • Jede Tatsachen-Aussage gegen Beweismittel verknüpft — KEINE Halluzinationen?
  • Rechtliche Bewertung (arbeitsrechtlich/strafrechtlich/regulatorisch) vollständig?
  • 3-Monats-Rückmeldungs-Draft § 17 Abs. 4 HinSchG ohne Verfahrens-Details?
  • Repressions-Schutz-Maßnahmen für interveniert habende Kolleg:innen?

Vor Übermittlung an Geschäftsleitung

  • Senior-Compliance-Letztcheck dokumentiert?
  • Bei strafrechtlichen Aspekten: externe Strafrechts-Kanzlei eingebunden?
  • Folge-Workflows eingeleitet (UC-V-HR-HRC-018 / UC-V-HR-HRC-002 / UC-V-HR-HRC-005)?
  • 3-Monats-Tracker an Hinweisgebende aktiviert?
  • Audit-Log + 3-Jahres-Aufbewahrung (§ 11 HinSchG)?

Typische Fehlermuster — und wie anymize gegensteuert

  • Hinweisgeber-Identität durch Stilometrie re-identifizierbar — strenger Spot-Check verhindert das.
  • KI-Halluzination Sachverhaltsdetails — [[FEHLEND]]/[[UNSICHER]]-Markierungen zwingend.
  • 3-Monats-Rückmeldung mit Verfahrens-Details — Hinweisgebende/Beschuldigte exponiert.
  • Strafanzeige-Empfehlung ohne externe Kanzlei — § 138 StGB-Check + Strafrechts-Bewertung.
  • Repressions-Schutz für interveniert habende Kolleg:innen vergessen — § 36 HinSchG.
13

Rechtsgrundlagen

Normen, Urteile, Belege

Primärnormen — HinSchG

  • Vertraulichkeit Hinweisgeber-Identität
  • 3-Monats-Rückmeldung über Folgemaßnahmen
  • Repressions-Verbot + Beweislastumkehr
  • Dokumentation; 3-Jahres-Aufbewahrung
  • Bußgeld bis 50.000 EUR
  • Hinweisgeber-Schutz EU-Rahmen

Primärnormen — Datenschutz, Strafrecht, Arbeitsrecht

  • Beschäftigtendaten + Art.-9-Kontext
  • Keine vollautomatische Compliance-Entscheidung
  • AVV + DPIA Pflicht
  • Außerordentliche Kündigung Beschuldigte 2-Wochen-Frist
  • Anzeigepflichten-Check
  • Untreue (typischer Investigation-Tatbestand)
  • Beschäftigten-PII-Schutz; restriktiv

Plattformen und Studien

  • HinSchG-Plattformen mit Investigation-Modulen
  • Praxis-Hinweise Investigation
  • Risiko-Ampel HinSchG-KI rot
  • Verstärkt KI-Transparenz

Stand: · Nächste Überprüfung:

Hinweis zur Nutzung

Zur Orientierung — nicht als Ersatz für die HR-Letztverantwortung

Diese Anleitung beschreibt einen Arbeitsablauf, den Sie mit anymize umsetzen können. Sie ist zur Orientierung gedacht und ersetzt weder die personalrechtliche Würdigung im Einzelfall noch eine arbeits- oder mitbestimmungsrechtliche Prüfung. Welche Rechtsprechung einschlägig ist, wie der Sachverhalt arbeitsrechtlich zu bewerten ist, welche Entscheidungen in Ihrem konkreten Fall richtig sind — das bleibt selbstverständlich bei Ihnen und Ihrer HR-Letztverantwortung.

KI-Outputs müssen vor jeder Verwendung HR-fachlich geprüft werden. Insbesondere personenbezogene Entscheidungen (Einstellung, Beförderung, Kündigung) dürfen nicht allein auf KI-Empfehlungen gestützt werden (DSGVO Art. 22, EU AI Act Art. 26). anymize gewährleistet die Vertraulichkeit der Beschäftigtendaten gegenüber dem KI-Anbieter; die fachliche Richtigkeit und die rechtliche Verantwortung liegen in Ihrer Hand.

Jetzt starten.
14 Tage kostenlos testen.

Alle Modelle. Alle Features. Keine Kreditkarte.

Wir sind überzeugt von anymize. Und wir wissen: Bei einem KI-Werkzeug, das Mandanten-, Patienten- oder Mitarbeiter-Daten berührt, reicht ein Demo-Video nicht. Deshalb 14 Tage voller Zugang – alle Modelle, alle Features, keine Kreditkarte. Genug Zeit, um sicher zu sein, bevor du uns vertraust.

Dein KI-Arbeitsplatz wartet.