Hinweisgebersystem

Ein Hinweisgebersystem wird meist ausgewählt, bevor jemand aufgeschrieben hat, was es können muss. Das Ergebnis ist vorhersehbar: Man kauft eine Oberfläche und merkt beim ersten ernsten Fall, dass die Funktion fehlt, auf die es angekommen wäre. Diese Seite ist die Anforderungsliste, die vor die Auswahl gehört.

Was ein System leisten muss

Meldung auf mehreren Wegen. Schriftlich über ein Formular ist der Regelfall. Das Gesetz verlangt darüber hinaus die Möglichkeit einer mündlichen Meldung – telefonisch oder per Sprachnachricht – und auf Verlangen ein persönliches Treffen. Ein System, das nur ein Webformular kennt, deckt die Pflicht nicht vollständig ab.

Der anonyme Rückkanal. Der wichtigste Punkt überhaupt, und der am häufigsten fehlende. Anonymität allein genügt nicht: Ohne die Möglichkeit, einer anonymen Person eine Rückfrage zu stellen und ihre Antwort zu erhalten, sind unvollständige Meldungen nicht aufklärbar. Technisch gelöst wird das über ein Postfach, das die hinweisgebende Person mit einem selbst gewählten Kennwort erreicht – ohne Registrierung, ohne E-Mail-Adresse.

Fristenverfolgung, die nicht an einer Person hängt. Sieben Tage bis zur Eingangsbestätigung, drei Monate bis zur Rückmeldung. Das System muss beide Fristen führen, erinnern und eskalieren – und zwar unabhängig davon, wer gerade im Urlaub ist. Der Ablauf im Einzelnen steht unter Hinweismeldungen bearbeiten.

Fein abgestufte Zugriffsrechte. Nicht jeder Fallbearbeiter darf jeden Fall sehen. Nötig ist eine fallbezogene Zuweisung, damit ein Vorgang, der eine bestimmte Person betrifft, ihr auch dann verborgen bleibt, wenn sie sonst Bearbeiterin ist. Jeder Zugriff ist zu protokollieren.

Verschlüsselung und Trennung. Inhalte verschlüsselt, Identitätsdaten getrennt von der Meldung gespeichert, Protokolle unveränderbar.

Mandantentrennung. Bei mehreren Gesellschaften getrennte Bereiche mit eigenen Fristen und eigenen Bearbeitern – siehe Konzernlösung.

Löschung nach Fristablauf. Nicht manuell, sondern durch das System angestoßen. Die Dokumentation ist nach Abschluss nur so lange aufzubewahren, wie es erforderlich ist.

Vollständige Vorgangsdokumentation. Jeder Schritt, jede Entscheidung, jede Mitteilung – als Nachweis, dass das Verfahren eingehalten wurde.

Die Anforderungen, die niemand aufschreibt

Sprachen. Wenn ein Teil der Belegschaft kein Deutsch spricht, muss der Meldeweg in deren Sprache verfügbar sein. Ein Kanal, den jemand nicht versteht, existiert für ihn nicht.

Barrierefreiheit. Dieselbe Überlegung. Ein Formular, das mit einem Bildschirmleser nicht bedienbar ist, schließt Menschen aus, die geschützt sein sollen.

Erreichbarkeit ohne Anmeldung. Der geschützte Kreis umfasst Bewerber, Ehemalige, Leiharbeitnehmer und Beschäftigte von Lieferanten – siehe Wer ist Hinweisgeber. Keine dieser Gruppen hat Zugang zum Intranet. Der Kanal gehört auf die öffentliche Website.

Keine Protokollierung, die den Melder verrät. Ein System, das IP-Adressen speichert oder über die Unternehmensdomain läuft und dort Zugriffe protokolliert, hebt die Anonymität auf, ohne dass es jemand merkt.

Ausstieg. Wie kommen Sie an Ihre Daten, wenn Sie den Anbieter wechseln?

Datenschutz ist Teil der Auswahl

Ein Meldesystem verarbeitet Daten über hinweisgebende Personen, beschuldigte Personen und Dritte. Vor der Einführung stehen deshalb: Datenschutz-Folgenabschätzung, Eintrag ins Verarbeitungsverzeichnis, Auftragsverarbeitungsvertrag mit dem Anbieter und die Klärung des Verarbeitungsorts.

Der praktische Rat dazu: Erstellen Sie die Folgenabschätzung vor der Auswahl. Sie liefert genau die Anforderungsliste, gegen die Sie Angebote prüfen – statt Prospekte zu vergleichen.

Selbst bauen?

Das Postfach hinweis@ mit Weiterleitung an zwei Personen erfüllt keine der oben genannten Anforderungen: keine Anonymität, kein Rückkanal, keine Fristenverfolgung, keine abgestuften Rechte, keine Löschautomatik. Es ist der häufigste Anfang und der teuerste, weil beim ersten ernsten Fall alles fehlt.

Was ein fertiges Modul leistet, steht unter Whistleblower-Software – ab 39 € im Monat –, den Preis für Ihre Konstellation berechnet der Konfigurator. Wer System und Bearbeitung zusammen vergeben will, findet den externen Meldestellenbeauftragten ab 127 € im Monat.

Kontakt

Sie stehen vor der Auswahl und wollen die Anforderungsliste auf Ihr Haus zuschneiden? Das ist ein Termin.