Das Wichtigste im Überblick
- Vereinbaren Sie, was beschränkt ist, wer zugreifen darf und welche Details der Kunde tatsächlich benötigt.
- Das Ersetzen eines Quellennamens durch einen Code garantiert keine Unmöglichkeit der Identifizierung.
- Eine NDA, Vertraulichkeitskennzeichnung oder anwaltliche Beteiligung macht einen Bericht nicht automatisch rechtlich privilegiert.
Was umfasst HUMINT-Vertraulichkeit tatsächlich?
Der Gegenstand einer HUMINT-Recherche kann schon vor dem ersten Interview sensibel sein. Ein Kunde könnte allein durch einen zu detailliert verbreiteten Auftrag eine unangekündigte Transaktion, einen strittigen Vorwurf oder einen geplanten Führungswechsel offenlegen. Quellenidentitäten, Interviewunterlagen und Bewertungsentwürfe schaffen im weiteren Verlauf zusätzliche Risiken.
Trennen Sie diese Informationsarten im Auftragsgespräch. Eine Quelle kann der Nutzung ihrer Aussage für eine Bewertung zustimmen, aber Bedenken gegen ihren Namen in einem unternehmensweit verteilten Bericht haben. Ein Kunde benötigt möglicherweise eine Belegzusammenfassung ohne sämtliche Identitätsangaben. Vereinbaren Sie, wie der Anbieter solche Unterschiede berücksichtigt und welche Grenzen er ehrlich kommunizieren kann.
Fragen Sie bei der Auswahl kommerzieller HUMINT-Dienste, wie Zugang, Offenlegung und Berichtsverwendung im vorgeschlagenen Auftrag geregelt werden. Die allgemeine Aussage, alle Arbeiten seien vertraulich, erklärt weder, wer einen sensiblen Bericht lesen wird, noch, was bei veränderten Umständen geschieht. Der Leitfaden zur Auswahl eines HUMINT-Anbieters ergänzt Fragen zur Aufgabenverteilung im Team.
Wie unterscheiden sich Vertraulichkeit und Datenschutz?
Vertraulichkeit beschränkt Offenlegung oder Nutzung innerhalb einer vereinbarten Beziehung. Datenschutz betrifft den Umgang mit personenbezogenen Informationen umfassender. Eine unterzeichnete NDA erklärt nicht selbst die Rechtsgrundlage für die Verarbeitung von Angaben über Quelle, Untersuchungsgegenstand oder andere im Gespräch erwähnte Personen.
Die im April 2026 aktualisierten ICO-Leitlinien zur Rechtsgrundlage verlangen eine dokumentierte Grundlage, bevor personenbezogene Informationen verwendet werden. Welche Grundlage angemessen ist, hängt von Zweck und Umständen ab; für besondere Datenkategorien oder Angaben zu Straftaten können zusätzliche Voraussetzungen gelten. Klären Sie diese Fragen für den konkreten Auftrag, statt anzunehmen, der Begriff Intelligence decke sie bereits ab.
Bitten Sie den Anbieter, seine Rolle und die des Kunden, geltende Datenschutzinformationen, die Eskalation unerwartet sensibler Inhalte und Beschränkungen weiterer Nutzung zu erklären. Wird eine Ausnahme vorgeschlagen, muss sie nachvollziehbar anwendbar sein. Gehen Sie nicht davon aus, dass geschäftliche Vertraulichkeit eine allgemeine Ausnahme von den Rechten betroffener Personen schafft.
Welche Schutzmaßnahmen sollten festgelegt werden?
Eine Vertraulichkeitsregelung kann allgemeine Zusicherungen in überprüfbare Zusagen verwandeln. Der folgende Rahmen dient dem praktischen Gespräch, nicht als universelle Vertragsvorlage. Jede Kontrolle sollte Sensibilität und tatsächlichen Arbeitsablauf widerspiegeln.
| Information | Zu dokumentierende Entscheidung | Frage an den Anbieter |
|---|---|---|
| Kundenauftrag | Genehmigte Empfänger und zulässige Inhalte für Partner | Kann der Auftrag abgegrenzt werden, ohne sämtliche sensiblen Hintergründe zu verbreiten? |
| Quellenidentität | Wer Zugang benötigt und wie Aussagen zugeordnet werden | Was könnte eine Person indirekt identifizieren? |
| Interviewunterlagen | Speicherung, Zugang und Verwendung im Bericht | Wer prüft Rohmaterial? |
| Kundenbericht | Verteilung, Versionen und zulässige Weiterverwendung | Was eignet sich für einen größeren Leserkreis? |
| Arbeitsunterlagen | Verantwortung für Aufbewahrungsprüfung und sichere Entsorgung | Was bleibt nach Abschluss erhalten und warum? |
Benennen Sie außerdem den Kontakt für Ausnahmegenehmigungen und die bei Liefer- oder Zugangsfehlern zu informierende Person. Eine Kontrolle ohne klare Verantwortung lässt sich schwer anwenden, wenn eine dringende Geschäftsentscheidung Druck zur Berichtsverteilung erzeugt.
Kann eine Quelle im Kundenbericht anonym bleiben?
Ein Bericht kann eine Quelle statt namentlich über eine allgemein beschriebene relevante Rolle darstellen und zugleich ihre Wissensgrundlage erklären. Kombinationen von Angaben können eine Person dennoch erkennbar machen: eine einzigartige Funktion, ein markantes Ereignis oder ein enger Beschäftigungszeitraum können für organisationskundige Lesende identifizierend wirken.
Die ICO erklärt, dass pseudonymisierte Informationen personenbezogene Daten bleiben, wenn jemand über zusätzliche Informationen zur Rückverknüpfung mit einer Person verfügt. Quellencodes sind deshalb eine Kontrolle, keine pauschale Anonymitätserklärung. Berücksichtigen Sie bei Quellenbeschreibungen das vorhandene Wissen des Empfängers.
Fiktives Beispiel: Ein Bericht beschreibt „den einzigen regionalen Projektleiter, der nach der Prüfung im Mai ausschied“. Das Entfernen des Namens verringert die Erkennbarkeit für Kollegen kaum. Eine allgemeinere Beschreibung kann die Offenlegung reduzieren, aber auch die Sicherheit begrenzen, mit der Lesende die Aussage bewerten. Erklären Sie diese Abwägung. Der HUMINT-Quellenleitfaden behandelt relevanten Zugang und unmittelbares Wissen.
Wie sollten Berichte und Arbeitsmaterial behandelt werden?
Fordern Sie eine angemessene Erklärung der Systeme für Auftragsaustausch, Notizenspeicherung und Berichtslieferung. Relevante Fragen betreffen Zugriffsrechte, Empfängerprüfung, Partnerzugriff und Vorfallseskalation. Verlangen Sie genug Details zur Angebotsbewertung, ohne sensible Sicherheitskonfigurationen abzufragen.
Die ICO-Leitlinien zur Datensicherheit erwarten technische und organisatorische Maßnahmen entsprechend den Risiken der Verarbeitung personenbezogener Informationen. Entscheidend ist für Auftraggeber der Zusammenhang zwischen Risiken und Kontrollen, nicht das Vorhandensein einer einzelnen modischen Sicherheitsfunktion.
Legen Sie klare Erwartungen an Unterauftragnehmer, externe Prüfung sowie eine vorgesehene Nutzung von Übersetzungs- oder KI-Werkzeugen fest. Fragen Sie, ob Material die vereinbarte Umgebung verlässt und wer diese Änderung genehmigt. Kunden sollten auch ihre eigenen Kopien kontrollieren: Weiterleitung, Übernahme von Passagen in Vorstandsunterlagen oder Hochladen bei einem anderen Dienst verändern Leserkreis und Verarbeitungskontext. Planen Sie die Nutzungsdauer des Berichts, statt die Übergabe als Ende der Verantwortung zu betrachten.
Was lässt sich nicht versprechen und was sollten Auftraggeber prüfen?
Akzeptieren Sie automatische rechtliche Privilegierung nicht als Verkaufsargument. Vertraulichkeit und anwaltliche Vertraulichkeitsprivilegien sind unterschiedliche Fragen. Die SRA-Leitlinien zum Privileg für Unternehmensjuristen behandeln Vertraulichkeit als Voraussetzung, die allein nicht genügt; die Seite enthält zudem einen Hinweis auf eine laufende Überprüfung nach einer Entscheidung vom September 2026. Holen Sie bei Bedarf fallbezogenen Rechtsrat ein, statt sich auf eine Berichtsbezeichnung zu verlassen.
- Vereinbaren Sie zugelassene Empfänger für Auftrag, Rohmaterial und Abschlussbericht.
- Dokumentieren Sie die Prüfung unmittelbarer und mittelbarer Quellenidentifizierung.
- Klären Sie Zugang von Unterauftragnehmern und externe Verarbeitungswerkzeuge.
- Fragen Sie, wie verpflichtende Offenlegungsersuchen und Vorfälle eskaliert werden.
- Vereinbaren Sie eine Überprüfung der Aufbewahrung und den Zweck jedes gespeicherten Materials.
- Holen Sie Rechtsrat ein, wenn gerichtliche Nutzung oder Privilegierung die Beauftragung beeinflussen.
Absolute Anonymität und unbegrenzte Geheimhaltung sind keine glaubwürdigen allgemeinen Garantien. Ein sorgfältiger Auftrag erklärt praktische Schutzmaßnahmen und Umstände, unter denen Offenlegung rechtlich geprüft werden muss. Unser HUMINT-Berichtsleitfaden erläutert, wie nützlicher Belegkontext bei klarem Leserkreis und Zweck erhalten bleibt.