Ashio whistleblowing software

7 Tage, 3 Monate: Statusverfolgung von Hinweisen für Compliance Teams

Die Compliance-Verantwortliche überprüft den Status der Meldung

Melder haben Anspruch auf zwei feste Termine: eine Eingangsbestätigung binnen 7 Tagen und eine substanzielle Rückmeldung binnen 3 Monaten. Statusverfolgung leistet dabei nur die technische Seite. Sie dokumentiert den Ablauf lückenlos und stellt einen sicheren Kommunikationskanal bereit. Die fachliche Bewertung des Vorfalls und die Entscheidung über Maßnahmen bleiben Aufgaben benannter, weisungsfreier Zuständiger.

Kurz gesagt:

  • Das System muss Eingangsbestätigungen innerhalb von sieben Tagen und Rückmeldungen innerhalb von drei Monaten gesetzlich zuverlässig gewährleisten.
  • Transparente Statusverfolgung reduziert das Risiko, Melder zu vertreiben oder zu verlieren, was Haftungs- und Reputationsrisiken mindert.
  • Ein professionelles System trennt technische Statusmeldungen von fachlichen Bewertungen und braucht klare Statusstufen sowie technische Schutzmaßnahmen.
  • Bei Anbieterwahl sind automatisierte Fristensteuerung, Audit-Logs und sichere Kommunikation essenziell, um rechtskonform zu bleiben.
  • Automatisierte Fristenkontrolle verbessert die Zuverlässigkeit, darf jedoch keine inhaltliche Bewertungsfunktion vorgeben, um Vertrauen und Verteidigungsfähigkeit zu sichern.

Inhaltsverzeichnis

Welche Fristen schreibt das Gesetz für die Statusverfolgung vor?

Die EU‑Hinweisgeber‑Richtlinie und das deutsche Hinweisgeberschutzgesetz setzen den rechtlichen Rahmen, an dem sich jedes System messen lassen muss. Wer diese Punkte nicht abbildet, betreibt keine rechtskonforme Meldestelle, sondern nur ein Postfach mit Statusfeld.

  • Eingangsbestätigung innerhalb einer gesetzlich vorgegebenen kurzen Frist nach Einreichung der Meldung.
  • Substanzielle Rückmeldung zu Stand und Folgemaßnahmen innerhalb von 3 Monaten, wie es die Auslegungstexte zur Richtlinie präzisieren.
  • Strikter Vertraulichkeitsschutz der Identität, zugänglich nur für befugte Personen.
  • Dokumentationspflichten mit Löschung der Falldaten in der Regel drei Jahre nach Abschluss, wie es der Leitfaden zur HinSchG‑Umsetzung beschreibt.
  • Informationspflicht: potenzielle Melder müssen vorab wissen, wie und wo sie melden können und was danach passiert.

Diese Fristen sind keine Empfehlung, sondern Mindeststandard. Ihr System muss sie technisch erzwingen können, nicht nur protokollieren.

Warum reduziert transparente Statusverfolgung Risiken für Ihr Unternehmen?

Melder, die tagelang nichts hören, ziehen zwei Schlüsse: Entweder passiert nichts, oder man will sie vergessen lassen. Beides treibt sie zur externen Meldestelle oder zur Presse, obwohl der interne Kanal genau das verhindern sollte.

Zahlen, die zählen: KPMG Law stuft Status‑Tracking als zentralen Baustein eines wirksamen Compliance‑Management‑Systems ein und als direktes Instrument der Haftungsprävention gegenüber Geschäftsleitung und Aufsichtsgremien.

Regelmäßige, dokumentierte Rückmeldung senkt also nicht nur Frustration. Sie liefert im Streitfall den Nachweis, dass Ihr Unternehmen seiner Sorgfaltspflicht nachgekommen ist. Der DICO Standard 11 empfiehlt genau deshalb strukturierte Systeme, die sich an Größe und Komplexität der Organisation anpassen lassen, statt einer starren Einheitslösung.

Wie sollte ein Statusverfolgungssystem aufgebaut sein?

Ein gutes System trennt sauber zwischen dem, was Software leisten kann, und dem, was Menschen entscheiden müssen. Drei Prinzipien entscheiden darüber, ob diese Trennung in der Praxis funktioniert.

  1. Klare Statusstufen: Eingegangen, in Prüfung, in Bearbeitung, abgeschlossen. Jede Stufe braucht einen standardisierten Text, der Meldenden verständlich macht, was passiert ist und was noch kommt.
  2. Technische Schutzmaßnahmen: Verschlüsselte Kanäle, kein IP‑Logging, rollenbasierte Zugriffsrechte. Die Richtlinie 2019/1937 verlangt ausdrücklich, dass Identitätsinformationen nur befugten Personen zugänglich sind.
  3. Automatische Fristensteuerung mit Audit‑Trail: Das System muss selbst erinnern, wenn eine Frist näher rückt, und jede Aktion revisionssicher protokollieren.

Profi-Tipp: Trennen Sie im Nutzerdialog technische Statusmeldungen (“Ihre Meldung wurde weitergeleitet”) strikt von fachlichen Einschätzungen (“Der Vorfall wird als begründet eingestuft”). Vermischen Sie beides, entsteht der Eindruck einer automatisierten Bewertung, die es rechtlich gar nicht geben darf.

Wer diese drei Ebenen konsequent trennt, verhindert das häufigste Missverständnis bei Statusverfolgung von Hinweisen: dass ein grüner Haken im Dashboard eine inhaltliche Aussage über den Fall trifft. Das tut er nicht, und das sollte er auch nie tun.

Welche Funktionen sollten Sie beim Software‑Briefing abfragen?

Bevor Sie sich für eine Lösung entscheiden, prüfen Sie diese Punkte konkret, nicht nur auf dem Papier des Anbieterprospekts.

  • Gibt es ein anonymes Postfach mit sicherer Zwei‑Wege‑Kommunikation, damit Rückfragen möglich sind, ohne die Identität zu gefährden?
  • Erstellt das System die Eingangsbestätigung automatisch und lässt sich die Zwischenmeldung frei konfigurieren?
  • Liefert das Tool vollständige Audit‑Logs, Exportfunktionen und eine granulare Rollenverwaltung für unterschiedliche Zuständige?
  • Liegt ein Auftragsverarbeitungsvertrag vor, und wo genau werden die Daten gehostet?
  • Sind Löschprozesse automatisiert und an die gesetzliche Frist von in der Regel drei Jahren gekoppelt?

Branchenguides wie der Beitrag von Factorial weisen zu Recht darauf hin, dass eine einfache Funktions‑E‑Mail diesen Anforderungen nicht genügt. Ohne Audit‑Trail, Fristensteuerung und Rollenmodell bleibt jede Behauptung von Rechtskonformität unbelegt. Wer tiefer in Aufbau und Pflichten einsteigen will, findet im Überblick zum Hinweisgebersystem die rechtlichen Grundlagen im Detail.

Wie gehen Sie den Rollout in der Praxis an?

Ein funktionierendes System entsteht nicht durch Software‑Kauf allein, sondern durch eine klare Reihenfolge von Entscheidungen.

  1. Policy und Prozess entwerfen: Legen Sie Rollen, Eskalationspfade und Fristen schriftlich fest, bevor Sie irgendein Tool anschalten.
  2. Technik auswählen und konfigurieren: Prüfen Sie Verschlüsselung, Audit‑Funktionen und Anonymitätsgarantien im echten Testbetrieb, nicht nur im Verkaufsgespräch.
  3. Pilotphase mit Testmeldungen: Schulen Sie die Hinweisbearbeiter anhand realistischer Fallbeispiele, damit Fristen im Alltag auch eingehalten werden.
  4. Go‑Live mit klaren Zusagen: Vereinbaren Sie interne Bearbeitungsfristen und einen Kommunikationsplan für Statusänderungen, der über die gesetzlichen Mindestfristen hinausgeht.
  5. Lessons Learned dokumentieren: Werten Sie nach den ersten Fällen aus, wo Verzögerungen entstanden sind und wer eskalieren musste.

Gerade Punkt eins wird oft übersprungen. Fehlende Vertretungsregelungen sind in der Praxis einer der häufigsten Gründe, warum Rückmeldefristen verstreichen, etwa weil die einzige zuständige Person im Urlaub ist und niemand die Meldung übernimmt. Automatische Erinnerungen und dokumentierte Stellvertretungen fangen dieses Risiko ab, bevor es zum Fristverstoß wird. Für kleinere Teams lohnt sich vorab ein Blick auf die praktische Umsetzung für KMU, da sich Rollenmodelle bei begrenzter Personaldecke anders gestalten lassen als in Großunternehmen.

Welche Kennzahlen zeigen, ob Ihre Statusverfolgung funktioniert?

Ein System, das niemand misst, verschlechtert sich unbemerkt. Drei Kennzahlen liefern ein ehrliches Bild, wie gut Ihre Meldungen priorisiert und bearbeitet werden.

  • Anteil der Meldungen mit Eingangsbestätigung innerhalb von 7 Tagen.
  • Anteil der Fälle mit substanzieller Rückmeldung innerhalb von 3 Monaten.
  • Durchschnittliche Zeit bis zur ersten Zwischenmeldung, unabhängig vom Fallausgang.

Zahlen, die zählen: Diese Kennzahlen sind keine Kür. Sie sind laut KPMG Law genau die Nachweise, die im Ernstfall gegenüber Aufsichtsbehörden oder Gerichten belegen, dass Ihr Compliance‑Management‑System tatsächlich funktioniert und nicht nur auf Papier existiert.

Ergänzen Sie diese harten Zahlen um qualitative Signale: anonymes Feedback der Melder zur Verständlichkeit der Rückmeldungen und regelmäßige Stichprobenprüfungen der Audit‑Logs auf DSGVO‑Konformität.

Was Automatisierung bei Hinweisen leisten kann und was nicht

Was Automatisierung bei Hinweisen leisten kann und was nicht — overview diagram

Software erledigt die Fristenkontrolle zuverlässiger als jede Excel‑Tabelle. Sie schickt Erinnerungen, protokolliert Zugriffe und verhindert, dass eine Meldung im Postfach eines abwesenden Kollegen liegen bleibt. Genau darin liegt ihr Wert, und ihn sollten Sie nicht kleinreden.

Die Gefahr entsteht dort, wo ein automatisierter Statuswechsel wie eine inhaltliche Aussage wirkt. Ein System, das nach 30 Tagen selbstständig auf “geprüft” springt, ohne dass tatsächlich jemand geprüft hat, täuscht Sorgfalt vor, die nicht stattgefunden hat. Erfahrungen aus Implementierungsprojekten zeigen: Technische Statusverfolgung liefert den Kanal und den Nachweis, die fachliche Beurteilung bleibt aber immer bei den benannten Zuständigen. Wer diese Grenze verwischt, riskiert nicht nur Vertrauen bei den Meldern, sondern auch die eigene Verteidigungsfähigkeit im Streitfall. Die beste Kombination bleibt eine sichere technische Grundlage, klar zugewiesene Verantwortung und regelmäßige, ehrliche Reviews der eigenen Fallzahlen.

— Author

Wie Ashio Meldern eine rechtssichere Statusübersicht bietet

Ashio ist die Alternative zu selbstgebauten E‑Mail‑Postfächern oder Excel‑Listen für Statusverfolgung: ein anonymer Meldekanal ohne IP‑Tracking, ein vollständiger Audit‑Trail und ein Dashboard, in dem Melder ihren Fallstatus in Echtzeit sehen, ohne dass ihre Identität irgendwo sichtbar wird. Eingangsbestätigungen und Zwischenmeldungen lassen sich so konfigurieren, dass die gesetzlichen Fristen von 7 Tagen und 3 Monaten automatisch überwacht werden, statt von Hand nachverfolgt zu werden. Die Datenspeicherung erfolgt DSGVO‑konform in der Schweiz, revisionssicher dokumentiert und mit klaren Löschprozessen hinterlegt. Für Compliance‑ und HR‑Teams, die zusätzlich Lieferkettenpflichten abdecken müssen, lässt sich das System auch für Meldungen nach dem LkSG einsetzen. Wer die passende Lösung für die eigene Organisation sucht, findet auf der Produktseite für das anonyme Hinweisgebersystem alle Funktionen im Detail und kann eine Demo anfragen.

Quellen