Gesetzliche Fristen: 7 Tage, 3 Monate und 3 Jahre Register

Drei Fristen, die ab der Meldung laufen

Hinzu kommt eine Frist, die nach Abschluss des Falls läuft: 3 Jahre Aufbewahrung der Daten im Register, gerechnet ab dem Ende des Kalenderjahres, in dem die Folgemaßnahmen oder die durch diese Maßnahmen eingeleiteten Verfahren abgeschlossen wurden (Art. 29 Abs. 5).

7 Tage für die Bestätigung

Der Rechtsträger bestätigt der hinweisgebenden Person den Eingang der Meldung innerhalb von 7 Tagen nach deren Eingang, es sei denn, die hinweisgebende Person hat keine Kontaktadresse angegeben, an die die Bestätigung zu übermitteln ist. Es sind „7 Tage“, nicht „7 Werktage“: Eine am Freitagabend vor einem langen Wochenende eingereichte Meldung muss bis zum nächsten Freitag bestätigt werden.

Die Bestätigung ist keine inhaltliche Antwort. Es genügt eine Mitteilung, dass die Meldung angekommen ist, wer sich mit ihr befasst und in welcher Frist die hinweisgebende Person eine Rückmeldung erwarten kann. Wichtig ist, dass sich das Versanddatum nachweisen lässt. Eine E-Mail aus dem persönlichen Postfach eines Geschäftsführungsmitglieds ist nur so lange ein Beweis, wie dieses Postfach existiert.

Bei anonymen Meldungen ohne Kontaktadresse gibt es niemanden, an den die Bestätigung gesendet werden könnte. Wenn der Kanal der hinweisgebenden Person jedoch eine Meldungsnummer und einen Zugangscode gibt, kann die Bestätigung im Fall hinterlegt werden, und die hinweisgebende Person ruft sie ab, indem sie auf die Seite zurückkehrt. Aus Sicht des polnischen Gesetzes vom 14. Juni 2024 über den Schutz von Hinweisgebern ist das eine „Kontaktadresse“, die nicht an eine Identität gebunden sein muss.

3 Monate für die Rückmeldung

Die Rückmeldung ist die Information an die hinweisgebende Person über geplante oder ergriffene Folgemaßnahmen und deren Gründe. Die Höchstfrist beträgt 3 Monate ab der Eingangsbestätigung, und wenn keine Bestätigung gesendet wurde, 3 Monate ab Ablauf von 7 Tagen nach der Meldung. Mit anderen Worten: Eine fehlende Bestätigung verlängert die Frist nicht, sondern ändert nur die Art ihrer Berechnung.

Zwei Fallstricke:

1. Die Frist beendet den Fall nicht. Die Untersuchung kann länger als 3 Monate dauern. Das Gesetz verlangt, dass die hinweisgebende Person in dieser Zeit erfährt, was getan wurde und warum, auch wenn es lautet: „Das Verfahren läuft, ein externes Audit wurde beauftragt, die nächste Information folgt bis Quartalsende.“ Schweigen nach 3 Monaten ist ein Verstoß, die Verlängerung des Verfahrens nicht.
2. Die Frist läuft ab der Bestätigung, eine schnelle Bestätigung verkürzt also die Zeit für die Antwort. Eine Organisation, die am Tag der Meldung bestätigt, hat 3 Monate ab diesem Tag. Eine, die bis zum siebten Tag wartet, gewinnt eine Woche. Das sollte man nicht ausnutzen, aber man sollte wissen, dass beide Fristen miteinander verknüpft sind.

14 Tage für ein Treffen

Wenn die hinweisgebende Person die Meldung mündlich in einem persönlichen Treffen abgeben möchte, organisiert der Rechtsträger dieses innerhalb von 14 Tagen nach Eingang des Antrags. Über das Treffen wird ein Protokoll erstellt oder, mit Zustimmung der hinweisgebenden Person, eine Aufzeichnung; die hinweisgebende Person hat das Recht, das Protokoll zu prüfen und zu korrigieren und es per Unterschrift zu bestätigen. Diese Frist wird in Verfahren häufig übergangen, und ihre Verletzung ist genauso messbar wie das Überschreiten der 7 Tage.

14 Tage für die Löschung überschüssiger Daten

Personenbezogene Daten, die für die Bearbeitung der Meldung ohne Bedeutung sind, werden nicht erhoben und sind bei versehentlicher Erhebung unverzüglich, spätestens innerhalb von 14 Tagen ab dem Zeitpunkt zu löschen, an dem festgestellt wurde, dass sie für den Fall ohne Bedeutung sind (Art. 8 Abs. 4). Eine Meldung, in der die hinweisgebende Person fünf unbeteiligte Personen namentlich nennt, erfordert also innerhalb von zwei Wochen eine Entscheidung und einen Eintrag im Register. Ohne ein System, das einen solchen Eintrag erzwingt, achtet niemand auf diese Frist.

3 Jahre im Register

Das Register interner Meldungen bewahrt die Daten 3 Jahre nach Ablauf des Kalenderjahres auf, in dem die Folgemaßnahmen oder die durch diese Maßnahmen eingeleiteten Verfahren abgeschlossen wurden. Ein im März 2026 abgeschlossener Fall verschwindet nach dem 31. Dezember 2029 aus dem Register. Ein Fall, der in einem 2028 beendeten Gerichtsverfahren mündete, bleibt bis Ende 2031.

Zwei praktische Schlussfolgerungen: Die Aufbewahrungsfrist wird pro Fall berechnet, nicht global, und sie darf kein blinder Automatismus sein. Eine zu frühe Löschung nimmt der Organisation den Beweis in einem Streit mit der hinweisgebenden Person oder mit der Person, die die Meldung betraf; eine zu späte verstößt gegen den Grundsatz der Speicherbegrenzung der DSGVO. Ein vernünftiger Mechanismus ist die Löschung nach Fristablauf mit der Möglichkeit, dass die Organisation sie bei laufendem Verfahren bewusst aussetzt, mit einem Protokolleintrag, wer sie wann ausgesetzt hat.

Was bei Überschreitung passiert

Die Überschreitung der Fristen wird nicht ausdrücklich durch eine eigene Strafvorschrift sanktioniert, hat aber drei reale Folgen:

• ein „unter Verstoß gegen das Gesetz festgelegtes“ Verfahren: Fehlende festgehaltene Fristen oder deren systematische Nichteinhaltung können als Nichterfüllung der Pflicht zur Einrichtung eines Verfahrens gewertet werden, wofür das Gesetz eine Geldstrafe vorsieht (Art. 58);
• Öffnung des externen Weges: Eine hinweisgebende Person, die keine fristgerechte Rückmeldung erhalten hat, hat das volle Recht, den Fall dem Bürgerrechtsbeauftragten oder einer öffentlichen Behörde zu melden und ihn in bestimmten Fällen unter Wahrung des Schutzes offenzulegen (Art. 51);
• Beweis im Streit: In einem Verfahren um Schadensersatz wegen Repressalien muss der Arbeitgeber nachweisen, dass sein Handeln keine Repressalie war. Ein Register, aus dem hervorgeht, dass die Meldung einen Monat lang ohne Bestätigung liegen blieb, hilft dabei nicht.

So rechnet sygnadesk

Das System speichert Datum und Uhrzeit des Eingangs der Meldung und rechnet ab diesem Zeitpunkt 7 Tage für die Bestätigung. Die Bestätigung kann aus einer Vorlage gesendet oder, bei einer anonymen Meldung, im über Nummer und PIN zugänglichen Fall hinterlegt werden. Ab dem Datum der Bestätigung werden 3 Monate gerechnet, mit Erinnerungen für die fallbearbeitenden Personen und Eskalation an die aufsichtführende Person, wenn die Frist näher rückt. Ein Fall lässt sich nicht ohne dokumentierte Rückmeldung abschließen, und jeder Eintrag mit Datum steht in einem unveränderbaren Audit-Protokoll. Die Aufbewahrungsfrist berechnet das System pro Fall ab dem Ende des Jahres, in dem er abgeschlossen wurde, und löscht den Fall nach Ablauf von 3 Jahren selbst; offene Fälle werden nie gelöscht, und die Löschung kann im Panel um 30 Tage ausgesetzt werden, mit Eintrag im unveränderbaren Protokoll.