Ashio whistleblowing software

Auswahlkriterien für Hinweisgebersysteme: der rechtssichere Leitfaden

Überprüfung verschlüsselter Hinweisgeberdaten im Sicherheitsbereich

Ein konformes Hinweisgebersystem braucht fünf Dinge gleichzeitig: eine Rechtsgrundlage nach EU-Richtlinie und HinSchG, echten Schutz der Identität der Meldenden, mehrere parallele Meldekanäle, ein funktionierendes Fristenmanagement und ein Berechtigungskonzept, das die Meldestelle unabhängig hält. Fehlt eines dieser Kriterien, ist das System angreifbar, egal wie gut die Software sonst aussieht. Standards wie DICO Standard 11 und Lösungen wie Ashio zeigen, wie sich diese Anforderungen praktisch umsetzen lassen.

Kurz gesagt:

  • Ein konformes Hinweisgebersystem muss mindestens fünf Kriterien erfüllen, darunter parallele Meldekanäle, Schutz der Anonymität und ein funktionierendes Fristenmanagement.
  • Unternehmen ab 50 Mitarbeitenden sind laut HinSchG verpflichtet, eine unabhängige Meldeeinrichtung mit klaren Eskalations- und Dokumentationsprozessen zu etablieren.
  • Die DSGVO erfordert automatische, nachweisbare Löschungen und verschlüsselte Datenübertragung, um Hinweisgeberdaten rechtssicher zu speichern.
  • Technisch sichere Systeme sollten Ende-zu-Ende-Verschlüsselung, Metadaten-Entfernung und anonymisierte IP-Logfiles vorweisen können, Zertifizierungen sind von Vorteil.
  • Für Unternehmen ohne eigene IT-Ressourcen ist eine SaaS-Lösung wie Ashio oft die bessere Wahl, weil sie sofort einsatzbereit und rechtskonform ist.
Ashio
Hinweisgebermeldungen sicher verwalten
Ashio schützt die Identität der Meldenden und unterstützt Unternehmen bei transparenter, richtlinienkonformer Bearbeitung von Hinweisen.
Ashio kennenlernen

Inhaltsverzeichnis

Welche gesetzlichen Mindestanforderungen gelten für Hinweisgebersysteme?

Die EU-Richtlinie 2019/1937 bildet die Rechtsgrundlage für ganz Europa. Sie verpflichtet Unternehmen, mehrere Meldewege anzubieten und die Identität der Hinweisgeber durchgängig zu schützen. In Deutschland setzt das Hinweisgeberschutzgesetz diese Vorgaben konkret um und macht daraus greifbare Pflichten mit Zahlen und Fristen.

Betroffen sind laut HinSchG-Leitfaden von C Compliance alle Unternehmen ab 50 Beschäftigten. Sie müssen eine interne Meldestelle einrichten, die organisatorisch unabhängig arbeitet und nicht einfach der Personalabteilung angehängt wird. Das Gesetz verlangt außerdem, dass Hinweisgeber wählen können, wie sie melden.

Ein rechtskonformes System muss deshalb folgende Kanäle bereitstellen:

  • Schriftliche Meldung über ein digitales Formular oder eine Plattform
  • Mündliche Meldung, etwa per Telefon oder Sprachnachricht
  • Persönliches Gespräch auf Wunsch des Hinweisgebers, innerhalb einer angemessenen Frist

Die Fristen sind unmissverständlich. Eine Empfangsbestätigung muss zeitnah an den Hinweisgeber gehen. Innerhalb eines angemessenen Zeitraums muss die Meldestelle eine Rückmeldung zu Folgemaßnahmen liefern, auch wenn die Untersuchung noch läuft. Wer diese Fristen reißt, riskiert nicht nur Bußgelder, sondern verliert auch das Vertrauen der Belegschaft in das System. Genau da scheitern viele selbstgebaute Lösungen: Excel-Listen und geteilte Postfächer erinnern niemanden automatisch an eine Frist.

Wie muss die Datenspeicherung DSGVO-konform gestaltet sein?

Die Rechtsgrundlage für die Verarbeitung von Hinweisgeberdaten liegt in Artikel 6 der DSGVO in Verbindung mit den nationalen Löschvorschriften des HinSchG. Das Gesetz gibt konkrete Löschfristen vor, an die sich jedes System technisch halten muss, nicht nur auf dem Papier.

Profi-Tipp: Fragen Sie jeden Anbieter konkret, ob Löschungen automatisiert und protokolliert erfolgen. Ein manueller „Löschen“-Klick ohne Nachweis reicht bei einer Prüfung durch die Aufsichtsbehörde nicht aus.

Technische und organisatorische Maßnahmen müssen mindestens folgende Punkte abdecken:

  • Verschlüsselung der Daten während der Übertragung und im gespeicherten Zustand
  • Zugriffsbeschränkung nach dem Prinzip der geringsten Berechtigung
  • Nachweisbare Löschung mit Protokoll, nicht nur eine gefühlte Bereinigung
  • Nachvollziehbarkeit jeder Zugriffs- und Bearbeitungsaktion im Audit-Trail

Eine Datenschutz-Folgenabschätzung ist in der Regel angeraten, sobald sensible Kategorien wie Gesundheitsdaten oder strafrechtlich relevante Informationen verarbeitet werden könnten, was bei Hinweisen auf Korruption oder Diskriminierung fast immer der Fall ist. Der Betriebsrat sollte hier früh eingebunden werden, ebenso die Datenschutzbeauftragte oder der Datenschutzbeauftragte des Unternehmens. Wer diesen Schritt überspringt, riskiert später eine komplette Neuaufsetzung des Systems, wenn die Mitbestimmung nachträglich eingefordert wird.

Welche technischen Sicherheitsmerkmale sind entscheidend?

Technische Kriterien entscheiden darüber, ob ein System im Ernstfall hält, was es verspricht. Ende-zu-Ende-Verschlüsselung ist mittlerweile Standard, aber nicht jeder Anbieter setzt sie tatsächlich für sämtliche Datenkategorien um, inklusive Anhänge und Kommentare im Fallverlauf.

Ein oft übersehener Punkt: Datei-Uploads enthalten Metadaten, die Rückschlüsse auf den Absender zulassen, etwa Gerätekennungen oder Standortdaten in Fotos. Ein System, das diese Metadaten nicht automatisch entfernt, gefährdet die Anonymität, selbst wenn die eigentliche Übertragung verschlüsselt ist. Ebenso wichtig ist der Verzicht auf IP-Logging oder zumindest eine konsequente Anonymisierung der IP-Adresse beim Meldevorgang.

Diese Merkmale sollten Sie bei jedem Anbieter konkret prüfen:

  • Ende-zu-Ende-Verschlüsselung für Meldungen, Anhänge und interne Kommunikation
  • Automatische Entfernung von Metadaten aus hochgeladenen Dateien
  • Verzicht auf IP-Tracking oder vollständige Anonymisierung
  • Revisionssicherer Audit-Trail, der jede Bearbeitung dokumentiert
  • Automatisches Fristen- und Eskalationsmanagement mit Erinnerungsfunktion
  • Granulares Rollen- und Berechtigungskonzept für verschiedene Bearbeiter

Zertifizierungen wie ISO 27001 oder Einträge in Sicherheitsregistern wie der Cloud Security Alliance STAR Registry sind kein Freibrief, liefern aber ein objektives Indiz für die Sicherheitsreife eines Anbieters. Mandantenfähigkeit wird relevant, sobald mehrere Tochtergesellschaften oder Standorte ein gemeinsames System nutzen sollen, ebenso die Frage, ob sich die Plattform an bestehende HR- und Compliance-Tools anbinden lässt.

Wie muss ein System organisatorisch eingebettet sein?

Ein Hinweisgebersystem ersetzt keine Organisation, es bildet sie ab. Die beste Software bringt nichts, wenn niemand klar zuständig ist oder Eskalationswege nur mündlich existieren.

  1. Zur Struktur passen. Das System muss abbilden, wer in Ihrem Unternehmen tatsächlich Meldungen bearbeitet, nicht ein generisches Rollenmodell aus der Software-Standardkonfiguration.
  2. Unabhängigkeit sichern. Die Person oder das Team an der Meldestelle darf nicht in einem direkten Weisungsverhältnis zu den Bereichen stehen, über die typischerweise Meldungen eingehen.
  3. Eskalationswege definieren. Was passiert, wenn die Meldestelle selbst betroffen ist? Ein guter Prozess sieht eine externe Ombudsperson oder einen zweiten Kanal vor.
  4. Dokumentation verpflichtend machen. Jede Entscheidung, jede Fristverlängerung und jede Weiterleitung muss nachvollziehbar protokolliert werden.
  5. Externe Expertise einbinden. Bei komplexen Fällen, etwa Verdacht auf Korruption im Management, lohnt sich die Rücksprache mit externen Fachleuten, bevor intern eskaliert wird.

Der DICO Standard 11 betont genau diesen Punkt: Die Ausgestaltung muss sich an Größe, Struktur und Komplexität des Unternehmens orientieren, nicht an einer Vorlage von der Stange. Und der Betriebsrat gehört von Anfang an an den Tisch, nicht erst, wenn das System schon läuft.

Warum entscheidet Benutzerfreundlichkeit über die Meldequote?

Ein technisch perfektes System, das niemand nutzt, verfehlt seinen Zweck komplett. Die Meldeschwelle sinkt deutlich, wenn Mitarbeiter ohne Account, ohne lange Formulare und ohne Sprachbarriere melden können. Komplexe Eingabemasken wirken abschreckend, gerade bei einem Thema, das ohnehin Überwindung kostet.

Einfacher Ablauf für eine anonyme Meldung

Profi-Tipp: Testen Sie das Meldeformular selbst mit dem Smartphone, nicht nur am Bürorechner. Viele Hinweisgeber melden abends von zuhause, und ein Formular, das auf Mobilgeräten hakt, verhindert genau die Meldung, die Sie eigentlich wollen.

Diese Punkte sollte jedes benutzerfreundliche System erfüllen:

  • Meldung ohne Registrierung oder Accountpflicht
  • Mehrsprachige Formulare, passend zur Belegschaft
  • Voller Funktionsumfang auch auf mobilen Geräten
  • Anonymer Zwei-Wege-Dialog, damit Nachfragen möglich bleiben, ohne die Identität zu offenbaren

Der anonyme Zwei-Wege-Dialog verdient besondere Aufmerksamkeit. Ermittler brauchen oft Zusatzinformationen, aber jede direkte Rückfrage darf die Anonymität nicht gefährden. Technisch bedeutet das ein System, in dem der Hinweisgeber über eine Fallnummer und ein Postfach kommunizieren kann, völlig getrennt von seiner echten Identität.

Wie sieht eine praktische Checkliste für die Beschaffung aus?

Bei der Anbieterauswahl hilft eine klare Trennung zwischen Muss- und Kann-Kriterien mehr als jede lange Feature-Liste. Die Cortina-Consult-Checkliste fasst genau solche abhakbaren Punkte zusammen und eignet sich gut als Vorlage für ein Ausschreibungsgespräch.

  1. Rechtliche Muss-Kriterien prüfen: Erfüllt das System die Fristen aus dem HinSchG automatisch, oder müssen Mitarbeiter selbst an Empfangsbestätigung und Rückmeldung denken?
  2. Technische Sicherheit hinterfragen: Wo liegt der Serverstandort? Gibt es einen Nachweis über Verschlüsselung und Metadatenbereinigung?
  3. Onboarding-Aufwand einschätzen: Wie lange dauert die Einrichtung, und welche internen Ressourcen bindet das Setup?
  4. Service-Level-Vereinbarungen klären: Welche Reaktionszeiten garantiert der Anbieter bei technischen Störungen?
  5. DSFA-Unterstützung erfragen: Liefert der Anbieter Dokumentation, die eine Datenschutz-Folgenabschätzung erleichtert?

Für eine strukturierte Bewertung lohnt sich eine einfache Punktematrix: Vergeben Sie für Compliance-Erfüllung, Sicherheit, Bedienbarkeit und Kosten jeweils Punkte von 1 bis 5 und gewichten Sie die Kategorien nach Ihrer Risikolage. Ein Konzern mit hoher Regulatorik-Dichte wird Sicherheit stärker gewichten als ein mittelständischer Betrieb, der vor allem schnelle Umsetzung braucht.

Wie erfüllt Ashio die genannten Auswahlkriterien?

Ashio bildet die zentralen Kriterien aus diesem Leitfaden praktisch ab: einen anonymen Meldekanal ohne IP-Tracking, einen vollständigen Audit-Trail und automatisches Fristenmanagement, das Empfangsbestätigung und Rückmeldung im Blick behält. Die Datenspeicherung erfolgt DSGVO-konform in der Schweiz, was gerade für Unternehmen mit strengen Datenschutzanforderungen relevant ist.

Die Plattform eignet sich besonders für kleine und mittelständische Unternehmen, die keine eigene IT-Abteilung für den Betrieb eines Hinweisgebersystems abstellen können. Onboarding-Optionen reichen von der Selbsteinrichtung bis zur begleiteten Implementierung für größere Organisationen mit mehreren Standorten oder Tochtergesellschaften. Die Statusverfolgung für Melder und das Dashboard für Compliance-Teams schließen die Lücke zwischen gesetzlicher Pflicht und tatsächlicher Nutzbarkeit im Alltag.

Wie erfüllt Ashio die genannten Auswahlkriterien? — overview diagram

Externe SaaS-Lösung oder interne Meldestelle: Was ist besser?

Eine selbst gebaute Lösung mit eigenen Servern gibt volle Kontrolle, kostet aber laufend Wartung, Sicherheitsupdates und internes Fachwissen, das viele Compliance-Teams schlicht nicht haben. Eine SaaS-Lösung bündelt diesen Aufwand beim Anbieter und reduziert damit das eigene Risiko, technisch den Anschluss zu verlieren.

Meine Einschätzung: Wer keine großen internen IT-Ressourcen hat, sollte SaaS priorisieren, ganz ohne Wenn und Aber. Nur bei sehr spezifischen Regulatorik-Anforderungen, etwa in stark regulierten Branchen mit eigenen Datenresidenz-Vorgaben, lohnt sich der Blick auf hybride Modelle. Für die meisten Mittelständler ist das aber ein theoretisches Szenario, kein praktisches Problem.

Ashio: der nächste Schritt für Ihr Hinweisgebersystem

Sie haben jetzt die Kriterien, aber die eigentliche Arbeit ist die Umsetzung, und genau da unterscheidet sich Ashio von einer selbstgebauten Lösung mit Excel-Tabellen und geteilten Postfächern: Sie müssen nichts programmieren, nichts warten und keine Verschlüsselung selbst konfigurieren. Ashio liefert den anonymen Meldekanal, den Audit-Trail und das Fristenmanagement bereits fertig eingerichtet, DSGVO-konform gespeichert in der Schweiz.

Für Unternehmen ab 50 Beschäftigten, die eine interne Meldestelle nach HinSchG einrichten müssen, lohnt sich ein Blick auf die Produktseite von Ashio. Wer eine sofort einsatzbereite, konforme Meldestelle sucht, findet unter anonymes Hinweisgebersystem eine konkrete Einstiegsoption samt Kontaktmöglichkeit für eine Demo. Fordern Sie eine Vorführung an und prüfen Sie selbst, wie schnell sich das System an Ihre Struktur anpassen lässt.

Quellen

Die EU-Richtlinie 2019/1937 bleibt die rechtliche Grundlage für alle Auswahlkriterien in diesem Leitfaden. Der DICO Standard 11 übersetzt diese Vorgaben in praxisnahe Empfehlungen, angepasst an Unternehmensgröße und Struktur.

Wer tiefer in die technische Bewertung einsteigen will, findet im Vergleich verschiedener Anbieter zusätzliche Anhaltspunkte für die eigene Bewertungsmatrix.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

FAQ

Wer kann als Hinweisgeber melden?

Grundsätzlich jede Person, die im beruflichen Kontext von einem Verstoß erfährt, etwa Mitarbeiter, Bewerber, Praktikanten oder auch externe Dienstleister und Lieferanten mit Einblick in das Unternehmen.

Was ist ein Hinweisgebersystem genau?

Ein Hinweisgebersystem ist ein Meldekanal, über den Personen Rechtsverstöße oder Missstände melden können, meist anonym, mit dem Ziel, diese intern aufzuklären, bevor sie größeren Schaden anrichten.

Was regelt die EU-Richtlinie zum Hinweisgeberschutz genau?

Die Richtlinie 2019/1937 schreibt vor, dass Unternehmen mehrere Meldekanäle anbieten und die Identität der Hinweisgeber konsequent schützen müssen.

Ist ein Hinweisgebersystem gesetzlich verpflichtend?

Ja, für Unternehmen ab 50 Beschäftigten ist die Einrichtung einer internen Meldestelle nach dem HinSchG verpflichtend, Lösungen wie Ashio helfen dabei, diese Pflicht rechtssicher zu erfüllen.

Empfehlungen

Auswahlkriterien für Hinweisgebersysteme: der rechtssichere Leitfaden | Ashio