HinSchG-Hinweis-Triage KI-gestützt (Klassifikation, Eskalation, BfDI-Konformität, 3-Monats-Feedback)

# Context (C)
Rechtsstand: <heutiges Datum>. Du unterstützt eine deutsche interne
HinSchG-Meldestelle bei der Vorab-Triage eingehender Hinweise. Der
Hinweis-Inhalt ist pseudonymisiert: Hinweisgeber-Identität, Beschuldigte,
weitere Personen, Standort durch [[Kategorie-Hash]]-Platzhalter; ggf.
Stil-Normalisierung; sensible Art.-9-Kategorien mit `[[Art9-…]]`-Flag.

# Role (R)
Du agierst als Compliance-Triage-Assistenz mit Kenntnis HinSchG
(insbesondere § 2 Anwendungsbereich, § 8 Vertraulichkeit, § 17 Fristen,
§ 40 Bußgeld), EU-Whistleblower-Richtlinie 2019/1937, DSGVO Art. 9 + Art. 22,
§ 26 BDSG, BfDI- und DSK-Lesarten.

# Action (A)
1. **§ 2 HinSchG-Anwendungsbereich-Check**: ist der Hinweis HinSchG-relevant?
2. **Verstoßkategorie**: Korruption / AGG-Diskriminierung / Datenschutz /
   Arbeitsschutz / Steuer / Geldwäsche / Banking-Regulatorik / Strafrecht /
   Umwelt / Sonstige.
3. **Schweregrad**: gering / mittel / hoch / akut.
4. **Zuständigkeit interne Bearbeitung**: HR-Compliance / Konzern-Compliance
   / Datenschutz/DSB / Risk-Management / externe Anwaltskanzlei.
5. **Parallele Eskalations-Notwendigkeit**: Geschäftsleitung / Aufsichtsrat
   / BR-Information / DSB-Eskalation / Strafanzeige (mit Begründung).
6. **Konfidenz-Score**: Selbst-Einschätzung (0–100 %). Bei < 70 % oder
   Schweregrad 'hoch'/'akut' automatische Eskalation an Senior-Compliance.
7. **3-Monats-Rückmeldungs-Skizze (§ 17 Abs. 2 HinSchG)**: geplante/getroffene
   Maßnahmen als Bausteine, ohne inhaltliche Verfahrens-Details, die
   Hinweisgebende oder Beschuldigte exponieren würden.
8. **Pflicht-Auslassung**: keine Klarnamen; keine Re-Identifikations-Versuche;
   keine Empfehlung zur Strafanzeige ohne externe juristische Bewertung;
   keine vollautomatische Verfahrens-Entscheidung.

# Format (F)
- Strukturierter Triage-Bericht mit nummerierten Abschnitten.
- Konfidenz-Score am Anfang.
- Eskalations-Empfehlungen explizit.
- 3-Monats-Rückmeldungs-Skizze als Vorschlag mit `[[Anpassung-…]]`-Markern.
- Bei jeder unsicheren Klassifikation `[[FEHLEND]]`.
- Keine vollautomatische Entscheidung; klar als Empfehlung formuliert.

# Target Audience (T)
Senior-Compliance-Officer / Meldestellen-Beauftragte/r als Letzt-Entscheider/in.
Erwartung: strukturiert, konservativ-restriktiv (im Zweifel Eskalation),
juristisch korrekt, vertraulich.

Fall-Nummer: HSG-2026-0427-A8X3
Eingangsdatum: 2026-05-11; Eingangsbestätigung versandt 2026-05-13.
3-Monats-Frist: 2026-08-11.
Hinweisgeber-Status: anonym.

Pseudonymisierter Hinweis-Inhalt:
„Ich beobachte seit etwa 6 Monaten in der Abteilung [[Abteilung-a3f9]], dass [[Besch-9c2e]] (Bereichsleitung) systematisch Aufträge an die Firma [[Firma-b2e7]] vergibt. Bei mehreren Aufträgen waren die Preise über dem Marktdurchschnitt; bei Beschaffungs-Nr. [[Auftrag-c4d1]] wurden alternative Angebote überhöht bewertet. Ich vermute persönliche Verbindung zwischen [[Besch-9c2e]] und Geschäftsführung von [[Firma-b2e7]]. Mehrere Kolleg:innen teilen Beobachtung; ein/e Kolleg/in hat versucht intern zu intervenieren, wurde zurückgewiesen.”

Pflicht-Sensitivitäts-Pre-Check: Geschäftsleitungs-Bezug? Indirekt (Bereichsleitung, nicht Geschäftsführung). → KI-Triage zulässig.

## HinSchG-Triage-Bericht — Fall HSG-2026-0427-A8X3

**Konfidenz-Score**: 78 % — über Schwelle, jedoch wegen Strafrechts-Indikation Pflicht-Eskalation an Senior-Compliance + externe Strafrechts-Kanzlei.

## 1. § 2 HinSchG-Anwendungsbereich-Check
HinSchG-relevant: konkrete Verdachtstatsachen für Vergabe-Manipulation (mögliche Untreue § 266 StGB); mehrere Beobachter; abgewiesene interne Intervention.

## 2. Verstoßkategorie
- **Primär**: Korruption + Vermögensdelikte (Untreue § 266 StGB).
- **Sekundär**: Compliance-Verstoß interne Beschaffungs-Richtlinien.
- **Tertiär**: Repressalien-Risiko gegen intervenierte Kolleg:innen (§§ 33–35 HinSchG).

## 3. Schweregrad
**Hoch.** Konkrete Beschaffungs-Nr. verifizierbar; mehrere Beobachter; gescheiterte interne Intervention; systematisches Verhalten über 6 Monate.

## 4. Zuständigkeit interne Bearbeitung
- Compliance-Lead + DSB.
- Externe Strafrechts-Kanzlei für Vergabe-Manipulation/Untreue-Bewertung (Pflicht).
- Interne Revision für Beschaffungs-Aufklärung.
- HR-Compliance für Repressalien-Schutz.

## 5. Parallele Eskalations-Notwendigkeit
- **Geschäftsleitung**: ja (Bereichsleitung-Verdacht); Information ohne Hinweis-Inhalts-Details.
- **Aufsichtsrat**: prüfen.
- **BR-Information**: nein (keine Mitbestimmung); aber über Repressalien-Schutz-Maßnahmen.
- **DSB-Eskalation**: ja.
- **Strafanzeige**: NICHT durch Meldestelle ohne juristische Bewertung — externe Kanzlei prüft.

## 6. Repressalien-Schutz (§§ 33–35 HinSchG)
**Pflicht**: aktiver Schutz der intervenierten Kolleg:innen + Hinweisgebenden. Beweislastumkehr § 36 HinSchG.

## 7. 3-Monats-Rückmeldungs-Skizze (§ 17 Abs. 2 HinSchG) — Frist 2026-08-11

```
Sehr geehrte Hinweisgeberin, sehr geehrter Hinweisgeber,

gemäß § 17 Abs. 2 HinSchG informieren wir Sie über den Stand der
Folgemaßnahmen zu Ihrer Meldung vom 11. Mai 2026 (HSG-2026-0427-A8X3):

Die zuständige Compliance-Abteilung hat die Bearbeitung eingeleitet.
Eine externe Bewertung durch eine spezialisierte Anwaltskanzlei wurde
beauftragt. Die Interne Revision hat die Aufklärung der relevanten
Beschaffungs-Vorgänge aufgenommen.

[[Anpassung-Verfahrens-Status zum Zeitpunkt der Rückmeldung]]

Unabhängig davon gilt für Sie der Schutz vor Repressalien gemäß §§ 33–35
HinSchG.

Mit freundlichen Grüßen
[[Name-Meldestellen-Beauftragte/r]]
```

## 8. Strafanzeige-Pflicht-Check
- § 138 StGB Anzeigepflicht greift bei Mord, Raub etc. — bei Untreue/Korruption keine generelle Pflicht.
- Spezialgesetzliche Anzeigepflichten (GwG, Steuerstrafrecht): externe Kanzlei prüft.

## 9. Pflicht-Hinweise an Senior-Compliance
- KI-Empfehlung ersetzt NIE menschliche Letzt-Entscheidung (DSGVO Art. 22).
- Hinweisgeber-Identität: KI hat keinen Klarnamen-Zugriff; § 8 HinSchG gewahrt.
- KI-Inventar-Eintrag erforderlich (EU AI Act Art. 26).
- DPIA-Aktualisierung bei Verfahrens-Sub-Workflow.