SLA für die Hinweisplattform: Was im Vertrag stehen muss

Ein SLA (Service Level Agreement) für eine Hinweisgeberplattform legt fest, was der Softwareanbieter Ihnen verbindlich zusagt: wie oft das Meldeportal erreichbar ist, wie schnell der Support reagiert, wo die Daten liegen und was bei einem Sicherheitsvorfall passiert. Bei Whistleblowing-Software reicht das aber nicht. Das Hinweisgeberschutzgesetz (HinSchG) gibt Ihrer internen Meldestelle eigene, gesetzliche Service Levels vor, vor allem die Frist von sieben Tagen für die Eingangsbestätigung und von drei Monaten für die Rückmeldung. Ein gutes SLA verbindet beide Ebenen. Hier lesen Sie, welche Kennzahlen hineingehören, welche Werte realistisch sind und woran Sie ein schwaches Vertragswerk erkennen.

Kurz gesagt

• Ein SLA für eine Hinweisplattform hat zwei Ebenen: die technischen Zusagen des Anbieters und die gesetzlichen Fristen, die Ihre Meldestelle einhalten muss.
• Gesetzlich fix sind sieben Tage bis zur Eingangsbestätigung und drei Monate bis zur Rückmeldung an die hinweisgebende Person.
• Ins Anbieter-SLA gehören mindestens Verfügbarkeit, Support-Reaktionszeiten, Meldung von Sicherheitsvorfällen, Datensicherung, Datenstandort und ein geregelter Datenexport beim Anbieterwechsel.
• Anonymität und Vertraulichkeit sollten technisch beschrieben sein, nicht nur versprochen: kein IP-Logging, Verschlüsselung, klar begrenzte Zugriffsrechte.
• Die beste Plattform nützt nichts ohne interne Regeln: Vertretung, Eskalation und Fristenüberwachung entscheiden, ob Sie die gesetzlichen Vorgaben tatsächlich halten.

Inhaltsverzeichnis

• Was ein SLA bei einer Hinweisgeberplattform regelt
• Zwei Ebenen: Anbieterzusagen und gesetzliche Fristen
• Die gesetzlichen Fristen als Ihr internes SLA
• Kennzahlen, die ins Anbieter-SLA gehören
• Anonymität und Vertraulichkeit vertraglich absichern
• Interne Service-Levels für Ihre Meldestelle
• Wenn Service Levels reißen: Folgen und Vorsorge
• Checkliste vor der Unterschrift
• Unsere Sicht: Das wichtigste Service Level ist Vertrauen
• Ashio ausprobieren
• Häufige Fragen
• Quellen

Was ein SLA bei einer Hinweisgeberplattform regelt

Im klassischen IT-Vertrag beschreibt ein Service Level Agreement messbare Leistungen: Verfügbarkeit in Prozent, Reaktionszeiten nach Priorität, Wiederherstellungszeiten nach einem Ausfall. Dazu kommt, was passiert, wenn der Anbieter diese Werte verfehlt, meist Gutschriften oder ein Sonderkündigungsrecht.

Bei einer Hinweisgeberplattform verschiebt sich der Schwerpunkt. Ein Onlineshop verliert bei einem Ausfall Umsatz. Ein Meldeportal verliert Vertrauen: Wer sich nach langem Zögern entschließt, einen Missstand zu melden, und dann eine Fehlerseite sieht, versucht es oft kein zweites Mal oder wendet sich direkt an eine externe Stelle. Außerdem enthält jede Meldung hochsensible Daten über die meldende Person, die beschuldigte Person und Dritte. Deshalb wiegen Vertraulichkeit, Datenstandort und Zugriffskontrolle im SLA einer Hinweisplattform schwerer als in fast jedem anderen Softwarevertrag.

SLA, KPI und SLA-Verstoß auseinanderhalten

Drei Begriffe tauchen in jedem Gespräch über Service Levels auf:

• SLA: die vertragliche Zusage, etwa „Das Meldeportal ist zu 99,9 % pro Monat verfügbar“.
• KPI: die Kennzahl, mit der Sie die Leistung messen, zum Beispiel die tatsächliche Verfügbarkeit oder die durchschnittliche Zeit bis zur Eingangsbestätigung.
• SLA-Verstoß: der Fall, dass der gemessene Wert die Zusage unterschreitet. Ein gutes SLA sagt, wie der Verstoß festgestellt wird und welche Folgen er hat.

Für Ihre Meldestelle gilt dieselbe Logik intern: Die gesetzliche Frist ist die Zusage, die Bearbeitungszeit pro Fall ist der KPI, eine verpasste Rückmeldung ist der Verstoß.

Zwei Ebenen: Anbieterzusagen und gesetzliche Fristen

Viele Unternehmen prüfen beim Kauf einer Hinweisgebersoftware nur das technische SLA. Das greift zu kurz, denn die gesetzlichen Pflichten liegen nicht beim Softwareanbieter, sondern bei Ihnen. Nach § 12 HinSchG müssen Beschäftigungsgeber in der Regel ab 50 Beschäftigten eine interne Meldestelle einrichten und ihr die nötigen Befugnisse geben, insbesondere zur Prüfung von Meldungen und zum Ergreifen von Folgemaßnahmen. Kreditinstitute, Wertpapierdienstleister und Versicherungsunternehmen sind nach derselben Vorschrift unabhängig von der Beschäftigtenzahl verpflichtet.

Die Software ist das Werkzeug, mit dem Sie diese Pflichten erfüllen. Das Anbieter-SLA muss deshalb so gebaut sein, dass es Ihre gesetzlichen Fristen trägt: Wenn das Portal tagelang ausfällt oder Benachrichtigungen über neue Meldungen nicht ankommen, läuft Ihre Sieben-Tage-Frist trotzdem weiter. Wer die Meldestelle betreibt, ob eigene Beschäftigte, eine Ombudsperson oder eine Kanzlei, beeinflusst ebenfalls, welche Service Levels Sie intern zusagen können. Eine Übersicht dazu finden Sie in unserem Beitrag, wer interne Meldestelle sein kann.

Die gesetzlichen Fristen als Ihr internes SLA

Das HinSchG gibt einen klaren Ablauf vor. Laut Gesetzestext des HinSchG prüft die Meldestelle die Stichhaltigkeit einer Meldung, hält Kontakt zur hinweisgebenden Person, holt bei Bedarf weitere Informationen ein und ergreift angemessene Folgemaßnahmen. Daraus ergeben sich diese Service Levels:

Die Anforderungen an die Meldewege stehen in § 16 HinSchG: Mündliche Meldungen müssen per Telefon oder einer anderen Art der Sprachübermittlung möglich sein, und auf Ersuchen ist innerhalb angemessener Zeit eine persönliche Zusammenkunft zu ermöglichen. Die Pflicht zur Dokumentation und die Löschfrist von drei Jahren nach Abschluss des Verfahrens regelt § 11 im vollständigen Hinweisgeberschutzgesetz.

Auch die EU-Richtlinie 2019/1937, auf der das HinSchG beruht, sieht in Artikel 9 die Eingangsbestätigung binnen sieben Tagen und eine Rückmeldung in angemessenem Zeitrahmen vor. Den aktuellen Wortlaut finden Sie in der konsolidierten Fassung der Richtlinie. Wenn Sie Standorte in mehreren EU-Ländern haben, lohnt der Blick auf die nationalen Umsetzungen, die wir unter EU-Whistleblowing-Compliance zusammengefasst haben.

Kennzahlen, die ins Anbieter-SLA gehören

Die folgende Tabelle zeigt, welche Punkte ein belastbares SLA für eine Hinweisplattform abdeckt und worauf Sie beim Lesen achten sollten.

Neben dem SLA brauchen Sie mit dem Anbieter einen Vertrag zur Auftragsverarbeitung nach DSGVO. Er regelt, wie der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, welche technischen Schutzmaßnahmen er trifft und welche Unterauftragnehmer er einsetzt. SLA und Auftragsverarbeitungsvertrag sollten sich nicht widersprechen, etwa bei der Frage, wie schnell Sie über einen Sicherheitsvorfall informiert werden.

Verfügbarkeit realistisch bewerten

Prozentwerte klingen ähnlich, unterscheiden sich in der Praxis aber deutlich. Bei einem Monat mit rund 730 Stunden bedeutet:

• 99,5 %: bis zu etwa 3 Stunden 40 Minuten Ausfall pro Monat
• 99,9 %: bis zu etwa 44 Minuten pro Monat
• 99,95 %: bis zu etwa 22 Minuten pro Monat

Für ein Meldeportal ist eine Verfügbarkeit im Bereich von 99,9 % ein sinnvoller Maßstab. Wichtiger als die letzte Nachkommastelle ist allerdings, wie gemessen wird. Fragen Sie, ob geplante Wartung herausgerechnet wird, ob das öffentliche Meldeformular und das Fallbearbeitungs-Dashboard getrennt betrachtet werden und ob es eine öffentliche Statusseite gibt. Ein Ausfall des Dashboards für zwei Stunden ist ärgerlich. Ein Ausfall des Meldeformulars am Freitagabend, wenn ein Beschäftigter endlich den Mut gefasst hat, ist ein echtes Problem.

Support-Reaktionszeiten nach Priorität

Ein sauberes SLA unterscheidet mindestens drei Stufen: kritisch (Meldeportal nicht erreichbar, Verdacht auf Sicherheitsvorfall), hoch (Benachrichtigungen kommen nicht an, Fristenanzeige fehlerhaft) und normal (Fragen zur Bedienung, Formularanpassungen). Für kritische Fälle sollten Reaktionszeiten in Stunden genannt sein, nicht in Werktagen. Prüfen Sie auch, ob der Support Deutsch spricht, denn Ihre Meldestelle muss im Ernstfall schnell und präzise kommunizieren können.

Anonymität und Vertraulichkeit vertraglich absichern

Der Kern einer Hinweisplattform ist der Schutz von Identitäten. Nach § 8 HinSchG wahren Meldestellen die Vertraulichkeit der hinweisgebenden Person, der Personen, die Gegenstand der Meldung sind, und sonstiger genannter Personen. Die Identität darf nur den Personen bekannt werden, die für die Entgegennahme oder Folgemaßnahmen zuständig sind, und denen, die sie dabei unterstützen. So steht es im Hinweisgeberschutzgesetz.

Zur Anonymität ist das Gesetz differenziert: Laut § 16 HinSchG sollte die interne Meldestelle auch anonym eingehende Meldungen bearbeiten. Eine Pflicht, die Meldekanäle technisch für anonyme Meldungen auszulegen, besteht dagegen nicht. In der Praxis erwarten Beschäftigte diese Möglichkeit aber, und ohne sie bleiben viele Hinweise schlicht aus.

Verstöße haben Gewicht. Nach § 40 HinSchG drohen für Verstöße gegen das Vertraulichkeitsgebot Geldbußen von bis zu 50.000 Euro, für eine fehlende Meldestelle bis zu 20.000 Euro, wie die englische Fassung des HinSchG ausweist.

Für das SLA heißt das: Lassen Sie sich Vertraulichkeit technisch beschreiben. Konkrete Fragen an jeden Anbieter:

1. Werden IP-Adressen, Browserdaten oder Cookies der meldenden Person gespeichert, auch nur in Server-Logs?
2. Sind Meldungen verschlüsselt, und wer verfügt über die Schlüssel?
3. Kann Personal des Anbieters Fallinhalte einsehen, etwa im Rahmen des Supports?
4. Lassen sich Zugriffsrechte pro Fall vergeben, sodass beschuldigte Führungskräfte nichts sehen?
5. Wird jeder Zugriff auf einen Fall im Audit-Trail protokolliert?

Wie wir diese Punkte technisch umsetzen, beschreiben wir auf unserer Seite zur wirklich anonymen Meldesoftware und unter Sicherheit und DSGVO-Konformität.

Interne Service-Levels für Ihre Meldestelle

Das Anbieter-SLA endet an der Schnittstelle zur Meldestelle. Ab dort sind Sie selbst verantwortlich, und genau hier scheitern Fristen am häufigsten: Die zuständige Person ist im Urlaub, die Benachrichtigung landet in einem Sammelpostfach, niemand fühlt sich für die Rückmeldung zuständig. Bewährt haben sich diese internen Regeln:

• Zielwert unter der gesetzlichen Frist: Legen Sie intern zum Beispiel drei Werktage für die Eingangsbestätigung fest. So bleibt Puffer für Feiertage und Krankheit.
• Vertretung: Mindestens zwei Personen haben Zugriff auf neue Meldungen, ohne dass dadurch der Kreis der Eingeweihten unnötig wächst.
• Eskalation: Ist ein Fall nach acht bis zehn Wochen nicht abgeschlossen, prüft die Leitung der Meldestelle, ob eine Zwischenrückmeldung nötig ist.
• Interessenkonflikte: Betrifft eine Meldung jemanden aus der Meldestelle, gibt es einen festgelegten Ersatzweg.
• Regelmäßige Auswertung: Quartalsweise Kennzahlen wie Anzahl der Meldungen, durchschnittliche Zeit bis zur Bestätigung und Anteil fristgerechter Rückmeldungen, ohne Rückschlüsse auf Personen.

Der DICO-Standard für Hinweisgebersysteme empfiehlt, solche Regeln an Größe, Struktur und Komplexität des Unternehmens anzupassen. Ein Betrieb mit 60 Beschäftigten braucht kein Gremium, aber eine klare Vertretung. Mittelständler mit 50 bis 249 Beschäftigten können nach § 14 HinSchG auch eine gemeinsame Meldestelle betreiben, die Pflicht zur Abhilfe und Rückmeldung bleibt aber beim einzelnen Unternehmen. Mehr zu diesem Fall lesen Sie in unserem Leitfaden zum Hinweisgebersystem für KMU.

Wenn Service Levels reißen: Folgen und Vorsorge

Ein SLA-Verstoß beim Anbieter führt meist zu Gutschriften auf die Monatsgebühr. Das ist ein schwacher Ausgleich, wenn deswegen eine Meldung verloren geht oder eine Frist verstreicht. Wichtiger als hohe Vertragsstrafen ist deshalb, dass Verstöße gar nicht erst unbemerkt bleiben: Fristen sollten pro Fall sichtbar sein, Erinnerungen automatisch kommen und jeder Schritt im Audit-Trail nachvollziehbar dokumentiert werden.

Auf Ihrer Seite gilt: Eine verpasste Rückmeldung untergräbt das Vertrauen in den internen Kanal. Das HinSchG kennt keinen Vorrang des internen Meldewegs, Beschäftigte können sich also auch direkt an eine externe Meldestelle wenden. Der Deutsche AnwaltSpiegel betont, dass ein niedrigschwelliger, transparenter Zugang interne Meldungen fördern kann. Zuverlässig eingehaltene Fristen sind ein Teil davon.

Zur Sorge vor Missbrauch: Gutgläubige Meldungen bleiben geschützt, auch wenn sie sich als ungenau erweisen. Wissentlich oder leichtfertig falsche Meldungen sind dagegen nicht geschützt, wie der ZDH-Leitfaden zum Hinweisgeberschutzgesetz erläutert. Eine saubere Dokumentation hilft, beide Fälle fair zu bewerten. Wenn Sie im Einzelfall unsicher sind, ob eine Maßnahme gegenüber einer meldenden Person zulässig ist, sprechen Sie vorher mit einer Fachanwältin oder einem Fachanwalt für Arbeitsrecht.

Checkliste vor der Unterschrift

Gehen Sie diese Punkte durch, bevor Sie einen Vertrag für eine Hinweisplattform abschließen:

1. Ist die Verfügbarkeit als Prozentwert mit Messmethode genannt, getrennt für Meldeformular und Dashboard?
2. Gibt es Reaktionszeiten nach Priorität, für kritische Fälle in Stunden?
3. Ist geregelt, wie und wie schnell Sie über Sicherheitsvorfälle informiert werden?
4. Sind Rechenzentrum, Land und Zertifizierung konkret benannt, auch für Backups?
5. Ist schriftlich bestätigt, dass keine IP-Adressen oder Tracking-Daten der Meldenden gespeichert werden?
6. Kann der Anbieter Fallinhalte einsehen, und wenn ja, unter welchen Bedingungen?
7. Überwacht die Software die Fristen von sieben Tagen und drei Monaten automatisch?
8. Ist der Audit-Trail unveränderlich und exportierbar?
9. Bekommen Sie bei Vertragsende alle Daten vollständig und ohne Aufpreis?
10. Liegt ein Auftragsverarbeitungsvertrag vor, der zum SLA passt?

Für regulierte Branchen kommen oft aufsichtsrechtliche Anforderungen an Auslagerungen hinzu. Hinweise dazu finden Sie auf unseren Seiten für Finanzdienstleister und Versicherer.

Unsere Sicht: Das wichtigste Service Level ist Vertrauen

Wir sehen in Gesprächen mit Compliance- und HR-Teams immer wieder dasselbe Muster: Verhandelt wird über Nachkommastellen bei der Verfügbarkeit, während die Frage, ob die Meldenden wirklich anonym bleiben, mit einem Satz im Datenblatt abgehakt wird. Wir halten das für die falsche Reihenfolge. Ein Beschäftigter liest kein SLA. Er entscheidet in wenigen Sekunden, ob er dem Formular traut.

Deshalb haben wir Ashio so gebaut, dass Vertrauen nicht vom Vertrag abhängt, sondern von der Technik: keine IP-Adressen, keine Cookies, kein Tracking, Ende-zu-Ende-Verschlüsselung und Hosting vollständig in der Schweiz in ISO-27001-zertifizierten Rechenzentren. Die Plattform ist unabhängig vom Arbeitgeber. Was nicht gespeichert wird, kann auch nicht offengelegt werden.

Die gesetzlichen Fristen behandeln wir als festen Teil des Produkts, nicht als Zusatzmodul: Fristen werden automatisch überwacht, jeder Schritt landet in einem unveränderlichen, exportierbaren Audit-Trail, und Meldende können den Status ihrer Meldung in Echtzeit verfolgen. Unser Rat an Sie: Prüfen Sie bei jedem Anbieter zuerst, wie Anonymität technisch umgesetzt ist, dann, wie Fristen überwacht werden, und erst danach die Zahlen zur Verfügbarkeit.

Ashio ausprobieren

Wenn Sie eine Hinweisplattform suchen, bei der Fristenüberwachung, Audit-Trail und anonymer Meldekanal von Anfang an enthalten sind: Ashio startet im Tarif Basic mit 29 € pro Monat, nach einer kostenfreien Testphase. Standardisierte Workflows sorgen dafür, dass Sie ohne IT-Aufwand loslegen können. Alle Details und den Testzugang finden Sie auf ashio.eu. Einen Überblick über die gesetzlichen Anforderungen gibt unsere Seite zum Hinweisgeberschutzgesetz.

Häufige Fragen

Was bedeutet SLA auf Deutsch?

SLA steht für Service Level Agreement, auf Deutsch etwa Dienstgütevereinbarung. Es ist der Teil eines Vertrags, der messbare Leistungen wie Verfügbarkeit, Reaktionszeiten und Wiederherstellungszeiten festlegt. Bei einer Hinweisplattform gehören zusätzlich Zusagen zu Vertraulichkeit, Datenstandort und Datenexport hinein.

Ist der Softwareanbieter für die Fristen des HinSchG verantwortlich?

Nein. Die Pflichten aus dem HinSchG liegen beim Beschäftigungsgeber und seiner internen Meldestelle. Der Anbieter kann Sie mit automatischer Fristenüberwachung und Erinnerungen unterstützen, die Eingangsbestätigung und die Rückmeldung müssen aber Ihre zuständigen Personen geben.

Welche Verfügbarkeit sollte eine Hinweisplattform haben?

Ein Wert um 99,9 % pro Monat ist ein sinnvoller Maßstab, das entspricht höchstens etwa 44 Minuten Ausfall. Achten Sie darauf, wie gemessen wird und ob Wartungszeiten herausgerechnet werden. Für das öffentliche Meldeformular ist hohe Verfügbarkeit wichtiger als für das interne Dashboard.

Was ist ein SLA-Verstoß bei einer Hinweisplattform?

Ein SLA-Verstoß liegt vor, wenn der Anbieter eine vertragliche Zusage verfehlt, etwa die zugesagte Verfügbarkeit oder Reaktionszeit. Die Folgen stehen im Vertrag, meist Gutschriften oder ein Sonderkündigungsrecht. Intern ist eine verpasste gesetzliche Frist das Gegenstück, und dagegen hilft vor allem eine lückenlose Fristenüberwachung.

Quellen

• § 12 HinSchG: Pflicht zur Einrichtung interner Meldestellen
• § 14 HinSchG: Gemeinsame Meldestellen
• § 16 HinSchG: Meldekanäle für interne Meldestellen
• Hinweisgeberschutzgesetz, vollständiger Text
• Hinweisgeberschutzgesetz als PDF
• Whistleblower Protection Act, englische Fassung
• EU-Richtlinie 2019/1937, konsolidierte Fassung
• DICO-Standard S11: Hinweisgebersysteme
• ZDH-Leitfaden zum Hinweisgeberschutzgesetz
• Deutscher AnwaltSpiegel: Ein Jahr Hinweisgeberschutzgesetz

Empfehlungen

• Hinweisgeber-Spracherfassung
• Hinweisgeber-Software für den öffentlichen Sektor