Glossar

Whistleblowing- und Compliance-Begriffe, verständlich erklärt.

Das Vokabular, das Ihnen in der EU-Whistleblowing-Richtlinie, in Einkaufsfragebögen und in Gesprächen mit der Datenschutzaufsicht begegnet. Kurze Definitionen, kein Fachjargon.

Sehen Sie die Definitionen in einem laufenden Kanal.Begriffe

Warum diese Liste

Ein Wort, eine Bedeutung.

Die Whistleblowing-Terminologie driftet zwischen Richtlinie, nationalem Recht, Prüfern und Anbietern auseinander. Das sind die Definitionen, die wir verwenden – und an denen wir uns in unserem eigenen Produkt und unserer Dokumentation messen lassen.

Begriffe

Definitionen.

Hinweisgeber: Eine Person, die einen Rechtsverstoß oder schweres Fehlverhalten meldet, von dem sie in einem beruflichen Kontext erfahren hat. Nach der Richtlinie (EU) 2019/1937 umfasst das Beschäftigte, Auftragnehmer, Lieferanten, Anteilseigner und Freiwillige.
Whistleblowing: Die Meldung dieses Verstoßes über einen internen Kanal, einen externen Kanal oder beide.
Interner Meldekanal: Der vertrauliche Weg innerhalb einer Organisation, um Meldungen entgegenzunehmen. In der EU verpflichtend für Organisationen mit 50 oder mehr Beschäftigten.
Externer Meldekanal: Ein Weg außerhalb der Organisation, etwa eine Aufsichtsbehörde oder ein Ombudsmann. Hinweisgeber können ihn statt des internen Kanals oder danach nutzen.
Richtlinie (EU) 2019/1937: Die EU-Whistleblowing-Richtlinie. Sie verpflichtet die Mitgliedstaaten, Hinweisgeber zu schützen, und Organisationen, interne Kanäle zu betreiben. Umsetzungsfrist: 17. Dezember 2021.
Bestätigung: Die schriftliche Bestätigung an den Hinweisgeber, dass seine Meldung eingegangen ist. Nach der Richtlinie innerhalb von 7 Tagen fällig.
Rückmeldung: Die Information an den Hinweisgeber über den Stand der Nachverfolgung seiner Meldung. Fällig innerhalb von 3 Monaten nach der Bestätigung.
Nachverfolgung: Jeder Schritt nach Eingang einer Meldung: Bewertung, Untersuchung, Entscheidung und die Antwort an den Hinweisgeber.
Repressalien: Jeder Nachteil, der jemandem entsteht, weil er gemeldet hat, etwa Kündigung, Herabstufung oder Belästigung. Von der Richtlinie verboten.
Anonyme Meldung: Eine Meldung ohne Angaben zur Identität. Die Meldeformulare von Ashio setzen keine Cookies und speichern keine IP-Adressen.
Vertrauliche Meldung: Eine Meldung, bei der die Organisation weiß, wer gemeldet hat, die Identität aber vor weiterer Offenlegung geschützt ist.
Ende-zu-Ende-Verschlüsselung: Verschlüsselung im Browser des Hinweisgebers, sodass der Server nur Chiffretext speichert und die Meldung nicht lesen kann.
Zero-Access-Architektur: Ein Design, bei dem der Betreiber Kundeninhalte überhaupt nicht entschlüsseln kann – auch nicht mit direktem Datenbankzugriff.
Audit-Trail: Der unveränderliche, mit Zeitstempeln versehene Datensatz jedes Ereignisses in einem Fall: erstellt, zugewiesen, bestätigt, beantwortet, geschlossen.
Pseudonymisierung: Das Ersetzen identifizierender Daten durch eine Referenz, sodass sie ohne zusätzliche Informationen keiner Person mehr zugeordnet werden können.
Aufbewahrungsfrist: Wie lange personenbezogene Daten gespeichert werden, bevor sie gelöscht werden. Von Ihrer Organisation festgelegt, im Rahmen des rechtlich Zulässigen.
ISO 37002: Die internationale Norm für Hinweisgeberschutz-Managementsysteme. Sie beschreibt, wie ein Kanal gesteuert, betrieben und überprüft werden sollte.
ISO 27001: Die Norm für Informationssicherheit. Die Server, auf denen Ashio läuft, sind in der Schweiz nach ISO 27001 zertifiziert.
ESRS G1-1: Die CSRD-Angabepflicht zu Unternehmensführungspraktiken und Unternehmenskultur; sie umfasst, wie Bedenken zur Geschäftspraxis im Unternehmen gemeldet werden können.
CSRD: Corporate Sustainability Reporting Directive: EU-Vorgaben, nach denen große Unternehmen über Nachhaltigkeit berichten müssen – einschließlich der Frage, wer das Meldesystem nutzen darf und wie diese Personen geschützt sind (ESRS G1-1).
Anonymisierung: Identifizierende Daten werden endgültig entfernt, sodass eine Meldung nicht mehr auf eine Person zurückgeführt werden kann. Bei der Pseudonymisierung werden Kennungen durch einen Schlüssel ersetzt, den der Inhaber wieder auflösen kann. Das Meldeformular von Ashio speichert selbst keine IP-Adresse, keine Cookies und kein Fingerprinting.

Sehen Sie die Definitionen in einem laufenden Kanal.

Die Fristen von 7 Tagen und 3 Monaten, der Audit-Trail und die Ende-zu-Ende-Verschlüsselung stecken alle im Produkt. 14 Tage kostenlos testen, ohne Karte.

14-tägige Testphase starten