Die Einführung und der laufende Betrieb eines Hinweisgeberkanals nach dem belgischen Gesetz vom 28. November 2022 erschöpfen sich nicht in der bloßen Bereitstellung technischer Eingabemasken. Vielmehr begründet der Gesetzgeber eine lückenlose, bußgeldbewehrte Dokumentations- und Aufbewahrungspflicht. Jeder eingehende Hinweis, jede interne Ermittlungshandlung, die Einbindung der Sozialpartner im Betriebsrat sowie die datenschutzrechtlichen Schutzmaßnahmen müssen revisionssicher und fälschungssicher protokolliert werden. Versäumnisse bei der Dokumentation begründen nicht nur zivilrechtliche Haftungsrisiken bei Arbeitsgerichtsprozessen, sondern erfüllen eigenständige Straftatbestände nach dem belgischen Sozialstrafgesetzbuch (Code pénal social). Dieser Leitfaden bietet Rechtsberatern, Compliance-Beauftragten und Personalabteilungen eine erschöpfende juristische und technische Handlungsanleitung zur Erfüllung aller gesetzlichen Aufbewahrungs- und Nachweispflichten in Belgien.

Gesetzliche Grundlagen der Dokumentationspflicht in Belgien

Das Pflichtenheft für die Dokumentation stützt sich im belgischen Recht auf ein Zusammenspiel mehrerer nationaler und europäischer Rechtsakte:

Artikel 11 des Gesetzes vom 28. November 2022

Artikel 11 des Hinweisgebergesetzes (Loi sur la protection des personnes qui signalent des violations au droit de l’Union ou au droit national) regelt ausdrücklich die Aufbewahrung von Meldungen. Juristische Personen des privaten Sektors sind verpflichtet, über alle eingehenden Meldungen Buch zu führen. Dabei müssen folgende Grundsätze strikt beachtet werden:

• Aufbewahrungspflicht: Jede eingegangene Meldung ist unter Wahrung der Vertraulichkeitsanforderungen nach Artikel 10 zu registrieren ;
• Zweckbindung: Die Aufbewahrungsdauer darf nicht über das hinausgehen, was zur Erfüllung der gesetzlichen Verpflichtungen oder zur Durchführung von Folgemaßnahmen und Gerichtsverfahren zwingend erforderlich ist ;
• Unverzügliche Löschung irrelevanten Materials: Personenbezogene Daten, die für die Bearbeitung einer konkreten Meldung offensichtlich nicht von Belang sind, dürfen nicht erhoben werden und sind bei versehentlicher Übermittlung unverzüglich und dauerhaft zu löschen.

Das Sozialstrafgesetzbuch (Code pénal social)

Die vorsätzliche oder fahrlässige Verletzung von Aufbewahrungspflichten, das Unterlassen der vorgeschriebenen Konsultation der Arbeitnehmervertreter oder die Vernichtung von Meldeunterlagen sind unmittelbar im Sozialstrafgesetzbuch sanktioniert:

• Sanktion der Stufe 2: Formfehler bei der Führung von Registern oder der Anpassung von Arbeitsordnungen ;
• Sanktion der Stufe 4: Die Behinderung von Meldungen, Repressalien gegen Hinweisgeber oder die widerrechtliche Offenlegung vertraulicher Dokumente. Stufe 4 zieht Gefängnisstrafen von sechs Monaten bis zu drei Jahren und strafrechtliche Geldbußen von bis zu 48.000 Euro nach sich.

Wechselwirkung mit der DSGVO und dem Datenschutzgesetz vom 30. Juli 2018

Da Hinweisakten regelmäßig besonders sensible personenbezogene Daten (strafrechtliche Vorwürfe, finanzielle Transaktionen, Personalbeurteilungen) enthalten, greifen die Bestimmungen der Verordnung (EU) 2016/679 (DSGVO) sowie das belgische Rahmengesetz vom 30. Juli 2018. Gemäß Artikel 5 Absatz 2 DSGVO trifft das Unternehmen die Rechenschaftspflicht (Accountability): Die Einhaltung aller Schutzvorschriften muss jederzeit gegenüber der Datenschutzbehörde (APD / GBA) durch formelle Dokumente nachgewiesen werden können.

Das gesetzliche Melderegister: Struktur und Mindestinhalte

Unternehmen ab 50 Beschäftigten müssen ein zentrales, zugriffsbeschränktes Register aller internen Meldungen führen. Dieses Register dient als primäres Nachweismittel bei behördlichen Inspektionen durch die Arbeitsinspektion (Contrôle des lois sociales) oder Ermittlungen des Föderalen Ombudsmanns:

Zwingende Angaben im Register

Für jede eingehende Meldung müssen im Register folgende Metadaten lückenlos und manipulationssicher festgehalten werden:

• Eindeutiges Aktenzeichen: Ein kryptografisch generierter Referenzcode, der keine Rückschlüsse auf Personen zulässt ;
• Datum und Uhrzeit des Eingangs: Exakter Zeitstempel zur Überprüfung der 7-Tage-Frist für die Empfangsbestätigung ;
• Verwendeter Meldekanal: Digitales Portal, Sprachnachricht, Telefonat oder persönliches Treffen ;
• Meldemodalität: Namentlich-vertraulich oder vollständig anonym ;
• Gegenstand des Vorwurfs: Klassifizierung nach Rechtsgebieten (z. B. öffentliches Auftragswesen, Finanzdienstleistungen, Geldwäsche, Produktsicherheit, Umweltschutz, Betrug, Steuerhinterziehung) ;
• Verlauf der Vorprüfung: Dokumentation der Stichhaltigkeitsprüfung innerhalb der ersten Untersuchungstage ;
• Ergriffene Folgemaßnahmen: Einleitung interner Audits, Einbindung externer Sachverständiger, disziplinarische Schritte oder Weiterleitung an die Staatsanwaltschaft ;
• Datum der Zwischen- und Abschlussberichte: Nachweis der fristgerechten Information des Hinweisgebers innerhalb von 3 Monaten ;
• Abschlussvermerk und Begründung: Detaillierte Darlegung, warum ein Verfahren eingestellt oder welche Abhilfemaßnahmen umgesetzt wurden.

Unveränderbarkeit und Revisionssicherheit (Audit-Trail)

Ein simples Word-Dokument oder eine Tabellenkalkulation genügen den gesetzlichen Anforderungen an ein Melderegister nicht, da Einträge nachträglich unbemerkt manipuliert oder gelöscht werden können. Revisionssicherheit verlangt:

• Kryptografische Protokollierung: Jede Einsichtnahme, Bearbeitung, Statusänderung oder Weiterleitung muss mit Benutzerkennung und unveränderbarem Zeitstempel in einem Write-Once-Read-Many-(WORM)-Audit-Trail aufgezeichnet werden ;
• Rollenbasierte Zugriffstrennung: Nur die nach Artikel 9 des Gesetzes offiziell benannte Meldestellen-Verwaltung darf Zugriff auf das Register besitzen. IT-Administratoren und Geschäftsleitungsmitglieder ohne Meldebeauftragtenstatus müssen technisch ausgesperrt sein.

Gesetzliche Aufbewahrungsfristen und Löschkonzepte

Die Festlegung von Löschfristen erfordert eine feine juristische Abwägung zwischen dem datenschutzrechtlichen Speicherbegrenzungsgebot (Art. 5 Abs. 1 lit. e DSGVO) und der Notwendigkeit, sich in potenziellen Zivil- oder Arbeitsgerichtsprozessen gegen Repressalienvorwürfe verteidigen zu können:

Standard-Aufbewahrungsfristen im belgischen Recht

Das belgische Hinweisgebergesetz legt keine starre Jahreszahl fest, sondern orientiert sich an der Erforderlichkeit. In der belgischen Rechts- und Prüfungspraxis haben sich folgende Fristen etabliert:

• Offensichtlich unbegründete Meldungen: Meldungen, die sich nach vorläufiger Prüfung als unbegründet erweisen oder nicht in den sachlichen Anwendungsbereich fallen, sind unverzüglich, spätestens jedoch nach zwei bis sechs Monaten nach formellem Abschluss der Akte zu löschen ;
• Begründete Meldungen ohne gerichtliche Nachspiel: Führt die Untersuchung zu internen Abhilfemaßnahmen ohne Gerichtsverfahren, ist die Akte in der Regel fünf Jahre nach Abschluss der Maßnahmen aufzubewahren. Dies entspricht der allgemeinen zivilrechtlichen Verjährungsfrist nach Artikel 2262bis § 1 des belgischen Zivilgesetzbuches (Code civil) ;
• Meldungen mit gerichtlichen oder behördlichen Verfahren: Wird Strafanzeige erstattet oder klagt ein Arbeitnehmer wegen rechtswidriger Kündigung, bleibt die gesamte Akte bis zum rechtskräftigen Abschluss aller Gerichts- und Rechtsmittelverfahren sowie dem Ablauf der Vollstreckungsfristen gespeichert.

Löschprotokolle und datenschutzkonforme Vernichtung

Die Löschung darf nicht im einfachen Verschieben in einen Papierkorbordner bestehen. Das Unternehmen muss ein automatisiertes Löschkonzept implementieren:

• Sichere Datenvernichtung: Digitale Daten sind nach dem Stand der Technik (z. B. Überschreiben nach BSI- oder DoD-Standards) zu vernichten ;
• Löschzertifikat: Das System muss automatisch ein anonymisiertes Löschzertifikat erstellen, das Datum, Aktenzeichen und die Tatsache der Vernichtung dokumentiert, ohne personenbezogene Daten zu reproduzieren.

Einbindung der Sozialpartner: Betriebsrat, AGSA und Gewerkschaftsdelegation

Ein fundamentaler Pfeiler des belgischen Arbeitsrechts ist das Mitbestimmungs- und Konsultationssystem. Die Einführung eines Hinweisgebersystems unterliegt strengen kollektivarbeitsrechtlichen Verfahren:

Konsultation im Betriebsrat (Conseil d'Entreprise)

Gemäß Artikel 9 § 1 des Gesetzes vom 28. November 2022 muss das interne Meldeverfahren nach Konsultation der Sozialpartner eingerichtet werden. In Betrieben ab 100 Beschäftigten ist der Betriebsrat (Conseil d’Entreprise) zwingend einzubinden. In Betrieben zwischen 50 und 99 Beschäftigten übernimmt diese Aufgabe der Ausschuss für Gefahrenverhütung und Schutz am Arbeitsplatz (Comité pour la Prévention et la Protection au Travail, CPPT / AGSA), bzw. in Ermangelung dessen die Gewerkschaftsdelegation (Délégation syndicale).

Gegenstand der formellen Konsultation sind:

• Die Festlegung der Meldekanäle (digital, telefonisch, persönlich) ;
• Die Benennung und Unabhängigkeit der internen oder externen Meldestelle (Meldstellen-Beauftragter) ;
• Die Ausgestaltung des Schutzes vor Repressalien und die Gewährleistung absoluter Vertraulichkeit ;
• Die Bearbeitungsfristen und Eskalationsmechanismen.

Pflicht zur Anpassung der Arbeitsordnung (Règlement de travail)

Die Einführung des Meldekanals erfordert zwingend eine Änderung der betrieblichen Arbeitsordnung nach dem belgischen Gesetz vom 8. April 1965 über die Arbeitsordnungen:

• Aushangverfahren: Der Entwurf der Neufassung der Arbeitsordnung muss für mindestens 15 Tage an einem für alle Mitarbeiter frei zugänglichen Ort ausgehängt werden ;
• Register für Anmerkungen: Während dieser Frist können Beschäftigte Bemerkungen in ein spezielles Register eintragen ;
• Hinterlegung bei der Arbeitsinspektion: Nach Verabschiedung muss die geänderte Arbeitsordnung innerhalb von 8 Tagen digital bei der Direktion für die Kontrolle der Sozialgesetze (Direction générale Contrôle des lois sociales) hinterlegt werden. Erst mit Bestätigung dieser Hinterlegung erlangt die Meldeordnung rechtsverbindliche Wirkung für alle Mitarbeiter.

Erforderliche Compliance-Dokumentation für das Hinweisgebersystem

Um bei Kontrollen durch die Aufsichtsbehörden oder vor den Arbeitsgerichten die Gesetzmäßigkeit des Betriebs nachzuweisen, müssen Unternehmen ein vollständiges Compliance-Dossier vorhalten:

Die interne Melderichtlinie (Whistleblowing-Policy)

Die Richtlinie muss in klarer, verständlicher Sprache abgefasst sein und folgende Mindestelemente enthalten:

• Genaue Definition der meldefähigen Verstöße gegen Unions- und belgisches Recht ;
• Detaillierte Darstellung der internen Kanäle und Bedienungshinweise für das digitale System ;
• Information über das Recht, alternativ oder anschließend externe Meldestellen (Föderaler Ombudsmann, Fachaufsichtsbehörden) anzurufen ;
• Ausdrückliche Garantie des Schutzes vor Repressalien und Erläuterung der gesetzlichen Beweislastumkehr nach Artikel 17 ;
• Kontakt- und Beratungsangebote des Föderalen Instituts für Menschenrechte (IFDH / FIRM) als zuständige Unterstützungsstelle.

Die Datenschutz-Folgenabschätzung (DSFA / DPIA)

Nach Artikel 35 DSGVO ist vor Inbetriebnahme eine schriftliche Risikobewertung zu erstellen. Diese muss enthalten:

• Systematische Beschreibung der Verarbeitungsvorgänge und Datenflüsse ;
• Bewertung der Notwendigkeit und Verhältnismäßigkeit der Datenverarbeitung ;
• Risikoanalyse für die Rechte und Freiheiten betroffener Personen (Verwechslung, falsche Anschuldigungen, Hackerangriffe) ;
• Geplante Abhilfemaßnahmen: Ende-zu-Ende-Verschlüsselung, Löschfristen, Zugriffsbeschränkungen und Notfallpläne.

Der Auftragsverarbeitungsvertrag (AVV / DPA) nach Artikel 28 DSGVO

Wird eine SaaS-Plattform wie UNOVOX eingesetzt, muss ein formeller Vertrag zur Auftragsverarbeitung geschlossen werden. Dieser muss garantieren:

• Verarbeitung der Daten ausschließlich auf Weisung des Verantwortlichen ;
• Hosting aller Daten auf Servern innerhalb der Europäischen Union (kein US-Cloud-Act-Transfer) ;
• Verpflichtung des Anbieters zu strenger Vertraulichkeit ;
• Regelmäßige Vorlage von Sicherheitsaudits (ISO 27001, SOC 2).

Verzeichnis von Verarbeitungstätigkeiten (VVT / Registre de traitement)

Die Verarbeitungstätigkeit "Hinweisgebersystem" muss als eigenständige Position in das Verzeichnis nach Artikel 30 DSGVO aufgenommen werden. Anzugeben sind Verarbeitungszwecke, Kategorien betroffener Personen, Empfänger, Garantien bei Drittlandstransfers sowie die Regellöschfristen.

Besonderheiten in der Deutschsprachigen Gemeinschaft Belgiens

Im deutschen Sprachgebiet der Deutschsprachigen Gemeinschaft Belgiens (neun Gemeinden des Bezirks Eupen) gelten spezifische sprach- und arbeitsrechtliche Vorgaben:

Sprachengesetzgebung in Arbeitsbeziehungen (Lois sur l'emploi des langues)

Gemäß den koordinierten Gesetzen vom 18. Juli 1966 über den Sprachengebrauch in Verwaltungsangelegenheiten und den arbeitsrechtlichen Spracherlassen müssen alle arbeitsrechtlichen Dokumente, die sich an Arbeitnehmer im deutschen Sprachgebiet richten, zwingend in deutscher Sprache abgefasst sein:

• Arbeitsordnung (Règlement de travail): Die Arbeitsordnung muss auf Deutsch verfasst und ausgehängt werden. Eine rein französische Version ist im deutschen Sprachgebiet von Rechts wegen absolut nichtig (nullité absolue) ;
• Melderichtlinie und Betriebsvereinbarungen: Sämtliche Verfahrensanweisungen, Benutzerleitfäden und Formulare müssen den Mitarbeitern auf Deutsch zur Verfügung stehen ;
• Benutzeroberfläche der Meldesoftware: Die digitale Eingabemaske der Plattform muss für ostbelgische Betriebe standardmäßig eine deutsche Menüführung aufweisen.

Internationale Datentransfers und Drittlandskonformität (Schrems II)

Bei der Wahl des technischen Meldesystems müssen Unternehmen zwingend Kapitel V der DSGVO beachten. Die belgische Datenschutzbehörde (APD / GBA) legt die Vorgaben des EuGH-Urteils in Sachen Schrems II besonders streng aus. Werden Daten auf US-amerikanischen Cloud-Servern oder bei Anbietern verarbeitet, die dem US CLOUD Act oder Section 702 des Foreign Intelligence Surveillance Act (FISA) unterliegen, besteht die akute Gefahr behördlicher Zugriffe durch US-Sicherheitsbehörden. Für das Hinweisgebersystem bedeutet dies:

• Ausschließliches EU-Hosting: Sämtliche Datenbanken, Backup-Instanzen und Server müssen sich physisch und rechtlich im Europäischen Wirtschaftsraum befinden ;
• Kein US-Mutterkonzernzugriff: Liegt der Sitz des Plattformbetreibers in den USA, können Behörden trotz Serverstandort in Europa Datenherausgaben erzwingen. Revisionssichere Dokumentation verlangt daher den Einsatz von Anbietern mit ausschließlichem EU-Hauptsitz ;
• Standardvertragsklauseln und Transfer Impact Assessment (TIA): Sollten im Ausnahmefall Datenübermittlungen in Drittländer unvermeidbar sein, muss ein umfassendes TIA erstellt und in der Compliance-Akte hinterlegt werden.

Die Rolle der Paritätischen Kommissionen (Commissions paritaires)

Im belgischen Arbeitsrecht spielen die branchenspezifischen Paritätischen Kommissionen (Commissions paritaires) eine zentrale Rolle. Viele Tarifverträge (Conventions collectives de travail, CCT), die im Rahmen des Nationalen Arbeitsrats (Conseil National du Travail, CNT) oder der sektorbezogenen Kommissionen geschlossen werden, enthalten zusätzliche Schutzklauseln für Hinweisgeber und erweiterte Unterrichtungsrechte für die Gewerkschaftsdelegation. Unternehmen im deutschen Sprachgebiet müssen prüfen, ob die für ihre Branche zuständige Paritätische Kommission sektorale Muster-Meldeordnungen herausgegeben hat, die Vorrang vor betrieblichen Einzelregelungen haben.

Audit-Checkliste: Dokumentationsanforderungen im Überblick

Die nachstehende Tabelle bietet einen systematischen Überblick über die zwingend vorzuhaltenden Dokumente, ihre Rechtsgrundlage, zuständige Organe und Aufbewahrungsfristen:

Praxisfälle: Dokumentationsfehler und ihre rechtlichen Folgen

Drei reale Szenarien verdeutlichen die gravierenden Auswirkungen lückenhafter Dokumentationsprozesse in belgischen Unternehmen:

Fall 1: Kündigungsschutzklage und fehlende Revisionssicherheit

Ein Metallverarbeitungsbetrieb in Verviers kündigt einem Abteilungsleiter wegen angeblicher Leistungsmängel. Der Mitarbeiter macht geltend, die Kündigung sei eine Repressalie für einen vor vier Monaten mündlich geäußerten Korruptionsverdacht. Da das Unternehmen das interne Meldegespräch nicht protokolliert, keine Empfangsbestätigung ausgestellt und kein formelles Melderegister geführt hat, kann der Arbeitgeber den Kausalitätszusammenhang vor dem Arbeitsgericht Lüttich nicht widerlegen. Das Gericht wendet die Beweislastumkehr nach Artikel 17 an und verurteilt das Unternehmen zur Zahlung einer pauschalen Schutzentschädigung von sechs Monatsgehältern.

Fall 2: Nichtigkeitserklärung wegen Missachtung der Sprachengesetzgebung

Ein multinationaler Chemiekonzern führt an seinem Produktionsstandort in Eupen eine weltweite Compliance-Hotline ein. Die Verfahrensanweisung und die Arbeitsordnungsänderung werden den Mitarbeitern ausschließlich in englischer und französischer Sprache vorgelegt. Der Betriebsrat verweigert die Zustimmung und reicht Klage ein. Das Arbeitsgericht Eupen erklärt die Einführung des Meldekanals wegen Verletzung des Sprachengesetzes vom 18. Juli 1966 für absolut nichtig. Die Arbeitsinspektion verhängt eine Geldbuße der Stufe 2 des Sozialstrafgesetzbuches.

Fall 3: Datenleck durch ungesicherte E-Mail-Meldung

Ein belgisches Dienstleistungsunternehmen richtet als "Meldekanal" ein Funktionspostfach (compliance@firma.be) ein. Ein Hinweisgeber meldet einen schweren Fall von Subventionsbetrug. Aufgrund fehlerhafter Postfachberechtigungen haben fünf Mitarbeiter der IT-Administration vollen Lesezugriff auf das Postfach. Die Identität des Hinweisgebers sickert durch, woraufhin dieser gemobbt wird. Die Datenschutzbehörde (APD/GBA) verhängt gegen das Unternehmen wegen Verstoßes gegen Artikel 32 DSGVO ein Bußgeld von 50.000 Euro; zudem leitet die Arbeitsauditoratur (Auditorat du travail) ein Strafverfahren nach Stufe 4 des Sozialstrafgesetzbuches ein.

Fall 4: Vorzeitige Vernichtung von Meldeakten während eines Rechtsstreits

Ein Logistikunternehmen in Malmedy sieht sich mit der Klage eines ehemaligen Disponenten konfrontiert, der behauptet, nach einer Meldung über gravierende Lenkzeitverstöße rechtswidrig entlassen worden zu sein. Der Personalleiter löscht die gesamte Meldeakte mit dem Verweis auf das "Recht auf Vergessenwerden" nach Artikel 17 DSGVO. Das Arbeitsgericht Lüttich wertet diese gezielte Beweisvernichtung als Prozessbetrug und vorsätzliche Beweisvereitelung. Das Gericht verurteilt das Unternehmen nicht nur zur Höchstentschädigung, sondern übermittelt die Akten an die Staatsanwaltschaft zur Einleitung strafrechtlicher Ermittlungen wegen Urkundenunterdrückung.

Technischer Nachweis mit UNOVOX: Revisionssichere Archivierung

Die Whistleblower-Lösung von UNOVOX wurde speziell für die strengen Anforderungen des belgischen und europäischen Hinweisgeberrechts konzipiert. Sie entlastet Organisationen von manuellen Dokumentationsrisiken durch ein Höchstmaß an technologischer Sicherheit:

• Ende-zu-Ende-Verschlüsselung (E2EE): Alle Meldungen und Dokumentenanhänge werden serverseitig mit modernen asymmetrischen Verfahren (RSA-4096 und AES-256-GCM) verschlüsselt, sodass selbst Systemadministratoren keinen Klartextzugriff haben ;
• Automatisches WORM-Fallprotokoll: Jede Systeminteraktion generiert automatisch einen kryptografisch signierten Protokolleintrag (Audit-Log), der in einer unveränderlichen Blockchain- oder Hash-Chain-Struktur abgelegt wird ;
• Integrierter Fristen-Timer: Das System erinnert die Verantwortlichen automatisch an das Verstreichen der 7-Tage- und 3-Monats-Fristen und protokolliert jede Statusmeldung revisionssicher ;
• Zwei-Wege-Archivierung: Sämtliche Kommunikationsverläufe mit anonymen und namentlichen Meldern werden Ende-zu-Ende verschlüsselt gespeichert, ohne dass IP-Adressen oder Metadaten in den Logdateien verbleiben ;
• Konfigurierbare Lösch-Workflows: Aufbewahrungsfristen lassen sich nach Gesetzeskategorien definieren, sodass Altfälle nach Ablauf der Fünfjahresfrist automatisch zur datenschutzkonformen Vernichtung vorgeschlagen werden ;
• Exportfähige Audit-Reports: Für behördliche Kontrollen durch Arbeitsinspektionen, Wirtschaftsprüfer oder die APD/GBA generiert die Plattform auf Knopfdruck vollständige, anonymisierte Compliance-Zertifikate.

Besonderheiten für die Deutschsprachige Gemeinschaft und das Arbeitsgericht Eupen

Im Zuständigkeitsbereich des Arbeitsgerichts Eupen (Tribunal du travail de Liège - Division Eupen) unterliegen Dokumentations- und Archivierungsvorgänge der belgischen Sprachgesetzgebung vom 18. Juli 1966. Unternehmen mit Sitz im deutschen Sprachgebiet müssen alle offiziellen Dokumente, Registerauszüge und Bestätigungen in deutscher Sprache bereithalten. Dokumente in französischer oder niederländischer Sprache sind zwar zulässig, entfalten gegenüber deutschsprachigen Mitarbeitern jedoch nur dann verbindliche Wirkung, wenn eine beglaubigte oder zertifizierte deutsche Fassung vorliegt.

Revisionssicherheit bei Kontrollen durch die Arbeitsinspektion

Die Arbeitsinspektion (Contrôle des lois sociales) überprüft bei Vor-Ort-Kontrollen im deutschen Sprachgebiet nicht nur das Vorhandensein eines Meldekanals, sondern fordert Einsicht in das anonymisierte Register und die Protokolle der sozialen Konzertierung mit dem Betriebsrat. Liegen die Unterlagen nicht fristgerecht oder unvollständig vor, drohen Verwaltungsgeldstrafen oder Strafverfahren nach Stufe 2 bzw. Stufe 4 des Sozialstrafgesetzbuchs.

Häufig gestellte Fragen zur Dokumentation und Aufbewahrung (FAQ)

Müssen auch mündlich eingegangene Meldungen protokolliert werden?

Ja, ausnahmslos. Gemäß Artikel 11 des Gesetzes muss bei telefonischen Meldungen oder persönlichen Treffen mit Zustimmung des Melders entweder eine Tonaufnahme angefertigt oder ein detailliertes Gesprächsprotokoll erstellt werden, das der Melder überprüfen und unterzeichnen kann.

Wer darf Einsicht in das gesetzliche Melderegister nehmen?

Ausschließlich die formell ernannte Meldestelle (Meldebeauftragte). Weder die Geschäftsführung noch der Betriebsrat noch die Personalabteilung haben ein generelles Einsichtsrecht in Einzelfallakten.

Reicht eine Speicherung der Meldungen in Microsoft Excel oder Outlook aus?

Nein. Herkömmliche Office-Programme bieten keinen manipulationssicheren Audit-Trail und gewährleisten keine strikte Zugriffskontrolle nach den Vorgaben des belgischen Gesetzes und der DSGVO.

Welche Sprache muss für die Dokumentation im Bezirk Eupen gewählt werden?

Im deutschen Sprachgebiet müssen die Arbeitsordnung, die interne Richtlinie und die Sitzungsprotokolle des Betriebsrats zwingend auf Deutsch geführt werden.

Wie lange müssen Dokumente nach Abschluss einer Untersuchung aufbewahrt werden?

In der belgischen Praxis beträgt die Regeldauer fünf Jahre ab Abschluss aller Abhilfemaßnahmen, entsprechend der allgemeinen zivilrechtlichen Verjährungsfrist nach Artikel 2262bis § 1 des Zivilgesetzbuches.

Was passiert, wenn eine Akte vor Ablauf der Fünfjahresfrist gelöscht wird?

Wird die Akte vorzeitig vernichtet und erhebt ein Arbeitnehmer Repressalienklage, verliert das Unternehmen sein primäres Entlastungsmaterial und unterliegt der gesetzlichen Beweislastumkehr nach Artikel 17.

Muss der Betriebsrat über den Inhalt jeder einzelnen Meldung informiert werden?

Nein. Der Betriebsrat erhält lediglich jährliche oder halbjährliche aggregierte Statistiken über die Anzahl, Kategorien und Ergebnisse der Meldungen, ohne dass Einzelheiten oder Namen genannt werden.

Welche Sanktionen drohen bei unterlassener Anpassung der Arbeitsordnung?

Wird das Meldeverfahren nicht ordnungsgemäß in die Arbeitsordnung aufgenommen, drohen verwaltungs- oder strafrechtliche Sanktionen der Stufe 2 des Sozialstrafgesetzbuches.

Benötigt das Unternehmen eine Datenschutz-Folgenabschätzung (DSFA)?

Ja. Da Meldesysteme hochsensible Verhaltensdaten verarbeiten, stuft die belgische Datenschutzbehörde (APD/GBA) interne Hinweisgebersysteme als risikoreich ein, was eine DSFA nach Artikel 35 DSGVO zwingend macht.

Können anonyme Meldungen gelöscht werden, wenn der Hinweisgeber nicht mehr antwortet?

Enthält eine anonyme Meldung unzureichende Anhaltspunkte und reagiert der Melder nicht auf Rückfragen, kann das Verfahren eingestellt und die Akte nach angemessener Prüffrist (in der Regel zwei bis sechs Monate) gelöscht werden.

Wo müssen die Server für das digitale Meldesystem stehen?

Um Rechtskonformität mit der DSGVO zu wahren und Zugriffen durch Drittstaaten vorzubeugen, müssen die Rechenzentren innerhalb der Europäischen Union betrieben werden.

Welche Dokumente muss das Unternehmen bei einer Kontrolle der Arbeitsinspektion vorlegen?

Das Unternehmen muss die geänderte Arbeitsordnung mit Hinterlegungsbestätigung, die Dokumentation der Konsultation des Betriebsrats, die DSFA und anonymisierte Auszüge aus dem Meldebetrieb vorlegen können.

Dürfen externe Rechtsanwälte mit der Aktenführung betraut werden?

Ja. Artikel 9 des Gesetzes gestattet die Auslagerung der Meldestelle an externe Dritte (Ombudsleute, Kanzleien), sofern ein ordnungsgemäßer Auftragsverarbeitungsvertrag vorliegt.

Gilt die Dokumentationspflicht auch für Unternehmen mit 50 bis 249 Mitarbeitern?

Ja. Die Dokumentations- und Aufbewahrungspflichten gelten für alle juristischen Personen ab 50 Beschäftigten gleichermaßen ab dem 17. Dezember 2023.

Was geschieht mit Daten Dritter, die in der Meldung unberechtigt genannt werden?

Daten unbeteiligter Dritter sind nach Artikel 11 Absatz 2 des Gesetzes unverzüglich und irreversibel aus den Akten zu entfernen und zu löschen.

Wie wird die Vertraulichkeit bei physischen Akten gewährleistet?

Sofern Dokumente in Papierform vorliegen, müssen sie in versiegelten Safes in gesicherten Räumen aufbewahrt werden, zu denen ausschließlich autorisierte Meldebeauftragte Zutritt haben.

Welche Nachweise schützt das Whistleblower-Gesetz bei internen Reorganisationen?

Kommt es nach einer Meldung zu Versetzungen oder Gehaltseinbußen, dient das lückenlose Meldejournal dem Arbeitnehmer als Beweis für den zeitlichen Zusammenhang mit seiner Meldung.

Muss ein Auftragsverarbeitungsvertrag (AVV) mit dem Softwareanbieter abgeschlossen werden?

Ja, zwingend nach Artikel 28 DSGVO. Der Vertrag regelt die technischen und organisatorischen Sicherheitsmaßnahmen des Providers.

Dürfen Aufzeichnungen für statistische Zwecke unbegrenzt aufbewahrt werden?

Ja, sofern alle personenbezogenen Daten vollständig und unwiderruflich anonymisiert wurden, sodass keinerlei Personenbezug mehr hergestellt werden kann.

Welche Vorteile bietet UNOVOX bei der rechtssicheren Protokollierung?

UNOVOX automatisiert den gesamten Dokumentationszyklus: von der fristgerechten Empfangsbestätigung über manipulationssichere Audit-Logs bis hin zu gesetzeskonformen Löschvorschlägen nach belgischem Recht.