
Die Fakten zur neuen Verordnung
Die Whistleblower-Richtlinie (2019/1937) sieht vor, dass bestimmte Organisationen und Kommunen interne Meldekanäle für potentielle Whistleblower, die Missstände im Arbeitsumfeld melden, bereitstellen. Unternehmen ab 50 Mitarbeitern oder einem Jahresumsatz von 10 Mio. € sowie Kommunen ab 10.000 Einwohnern sind verpflichtet interne Meldekanäle einzurichten.
Hinweisgeber sind für den Erhalt einer offenen und transparenten Gesellschaft besonders wichtig, da sie den Mut aufbringen, mit ihren Meldungen Missstände aufzudecken. Damit sie zukünftig besser vor negativen Konsequenzen und Repressalien, wie beispielsweise einer Kündigung, Versetzung, Degradierung oder Einschüchterung, geschützt sind, ist am 16. Dezember 2019 die EU-Direktive 2019/1937 zum Schutz von Hinweisgebern des EU-Parlaments in Kraft getreten.
Wer ist von der Richtlinie betroffen?
Kleine und große Unternehmen ab 50 Mitarbeitern, Einrichtungen des öffentlichen Sektors, Behörden sowie Gemeinden ab 10.000 Einwohnern müssen EU-weit künftig sichere interne Meldekanäle für Hinweisgeber bereitstellen. Für die Unternehmen ab 250 Mitarbeitern gilt diese Pflicht bereits Ende 2021, für Unternehmen zwischen 50 und 250 Mitarbeitern gibt es eine Übergangsfrist von weiteren zwei Jahren.
Personen sollen Meldungen entweder online über eine Whistleblower Software, schriftlich über einen Briefkasten oder über den Postweg abgeben können und/oder mündlich per Whistleblower-Hotline oder ein Anrufbeantwortersystem. Geschützt werden nicht nur Mitarbeiter, die Missstände melden, sondern auch Bewerber, ehemalige Mitarbeiter, Unterstützer des Hinweisgebers oder Journalisten.
Der Hinweisgeberschutz bezieht sich auf das Melden von Missständen mit Bezug auf EU-Recht, wie etwa Steuerbetrug, Geldwäsche oder Delikte im Zusammenhang mit öffentlichen Aufträgen, Produkt- und Verkehrssicherheit, Umweltschutz, öffentlicher Gesundheit sowie Verbraucher- und Datenschutz.
Die EU ermuntert die nationalen Gesetzgeber jedoch, diesen Anwendungsbereich im nationalen Gesetz zu erweitern.
Was muss ich bei der Umsetzung beachten?
Vertraulichkeit garantieren
Bei allen Meldekanälen muss die Vertraulichkeit der Identität des Whistleblowers gewahrt sein, damit dieser keinerlei Repressalien zu befürchten hat.
Meldekanäle einrichten
Falls keine internen Meldekanäle implementiert werden, haben Hinweisgeber laut EU-Richtlinie die Möglichkeit, eine externe Meldung an die zuständigen Behörden weiterzugeben – mit unkalkulierbaren Risiken für die betroffenen Organisationen.
Hinweise dokumentieren
Da alle Meldungen von Verstößen dokumentiert und Folgemaßnahmen ergriffen werden müssen, sollte jede Meldung abrufbar und für Compliance-Beauftragte leicht zu bearbeiten sein.
Sicherheit gewährleisten
Bei der Auswahl des passenden Hinweisgebersystems sollten Sie darauf achten, dass es sicher konzipiert und eingerichtet ist, damit die Anonymität des Whistleblowers auch innerhalb einer kleineren Beschäftigtenzahl gewahrt bleibt. Auch ein unbefugter Zugriff auf Hinweisgebersystem sollte technisch nicht möglich sein.
Corporate Identity sicherstellen
Idealerweise ist das Meldesystem auf die Unternehmensstrukturen zugeschnitten.
Auf Flexibilität achten
Um interne Ressourcen einsparen zu können, sollte ein Hinweisgebersystem gewählt werden, das sich bei Bedarf auch mit einer Ombudsperson oder einer sprachbasierten Lösung ergänzen lässt.
Einfachheit einfordern
Die Einrichtung und Nutzung des Systems sollte unkompliziert sein, demzufolge leicht zu nutzen, verständlich formuliert, sodass Hinweisgeber keine zusätzlichen Hürden bei der Abgabe von Meldungen auf sich nehmen müssen.
Regelkonformität wahren
Das System muss alle gesetzlichen Vorgaben der Richtlinie erfüllen, wie etwa die Möglichkeit bieten, den Whistleblower nach Eingang einer Meldung fristgerecht (3 Monate) über Maßnahmen zu informieren, oder Fälle zu dokumentieren.
Frühzeitig umsetzen
Die Implementierung kann je nach Größe und Komplexität der Organisationsstruktur einige Wochen bis Monate in Anspruch nehmen, auch in kleinen Unternehmen.
Nächste Schritte
Setzen Sie ein internes Hinweisgebersystem mit entsprechenden Prozessen auf
Von höchster Bedeutung für Unternehmen ist die Wahlfreiheit für Hinweisgeber. Findet der Whistleblower intern keine geeigneten Meldekanäle vor, wird er sich direkt an die zuständige Aufsicht oder gar die Öffentlichkeit wenden – für Unternehmen immer die schlechtere Option. Geeignete interne Hinweisgebersysteme sind deshalb unabdingbar.
Diese sollten ständig verfügbar sein, eine Option auf Anonymität bieten, in den relevanten Sprachen angeboten werden, mit verständlichen Erklärtexten ausgestattet sein und von einer guten internen Kommunikations-strategie begleitet werden.
Alles was Sie wissen müssen in diesem PDF
Vorteile eines Hinweisgebersystems für KMU's

Sie schützen nicht nur Ihre Beschäftigten, sondern auch Ihr Unternehmen, da Sie frühzeitig Probleme identifizieren und deeskalieren können.

Sie bauen eine Vertrauens- und Integritätskultur im Unternehmen auf, wovon das Hinweisgebersystem ein Teil sein kann.

Sie minimieren Reputationsschäden und hohe Kosten.

Die Nutzung von Meldesystemen in Unternehmen begünstigen im Ernstfall eine Strafmilderung.

Hinweisgebersysteme weisen eine präventive Wirkung durch einen Abschreckungseffekt auf.

Sie bieten Ihren Beschäftigten eine Möglichkeit, sich aktiv gegen Missstände auszusprechen, ohne Furcht vor negativen Konsequenzen.
Whistleblowing kann sicher und einfach sein
Die Software, die bk:protect als Hinweisgebersystem einsetzt, ist benutzerfreundlich, an Ihre Bedürfnisse anpassbar und schützt standardmäßig die Privatsphäre und die Einreichungen des Whistleblowers.
Die Plattform entspricht der Norm ISO 37002, der EU-Richtlinie 2019/1937 und der Datenschutz-Grundverordnung (DSGVO).
Das System ist vollständig in über 60 Sprachen übersetzt, darunter Chinesisch, Spanisch, Arabisch, Französisch, Deutsch und mehr, so dass faktisch jeder Hinweisgeber ein Sprachmodul finden kann.
Benutzerfunktionen
-
Anpassbares Erscheinungsbild (Logo, Farbe, Stile, Schriftart, Text)
-
Verwalten Sie mehrere Whistleblowing-Sites von einem einzigen Dashboard aus
-
Lassen Sie Whistleblower entscheiden, ob und wann sie ihre Identität vertraulich angeben
-
Multimedia-Dateien mit Whistleblower austauschen
-
Chatten Sie mit dem Whistleblower, um den Bericht zu besprechen
-
Erweiterter Fragebogen-Builder
-
Whistleblowing-Systemstatistik
-
Einfache Empfängerschnittstelle zum Empfangen und Analysieren von Berichten
-
Unterstützung bei der Kategorisierung der Berichte mit Labels
-
Unterstützung für die Benutzersuche von Berichten
Technische Merkmale
-
Integrierte Backup-Unterstützung
-
Einfache Integration der Plattform in bestehende Websites und Intranets
-
Unterstützung für Self-Service-Anmeldung für die Einrichtung des Whistleblowing-SAAS-Dienstes
-
HTTP/2-Unterstützung
-
REST-API
Rechtliche Hinweise
-
Vorgefertigte Fragebögen zum Compliance-Recht
-
Workflow für die bedingte Meldung von Hinweisgeberidentitäten
-
Verwalten von Interessenkonflikten im Berichtsworkflow
-
Depotfunktionalität zur Autorisierung des Zugriffs auf die Identität des Hinweisgebers
-
Konform mit ISO 37002 und EU-Richtlinie 2019/1937
-
Konfigurierbare DSGVO-Richtlinien zur Datenaufbewahrung
-
DSGVO-konformes Abonnentenmodul für neue Nutzer von SaaS-Diensten
-
Keine Protokolle von IP-Adressen
-
Integrierbar in bestehende Enterprise Case Management-Plattform
-
Freie Software OSI Approved AGPL 3.0 Lizenz
Sicherheitsfunktionen
-
Automatische registrierung kostenloser digitaler Zertifikate (Let's Encrypt)
-
Mehrere Penetrationstests mit vollständigen öffentlichen Berichten
-
Einhaltung von Industriestandards und Best Practices für die Anwendungssicherheit durch Befolgen der OWASP-Sicherheitsrichtlinien
-
Unterstützung der Zwei-Faktor-Authentifizierung (2FA) gemäß dem Standard TOTP RFC 6238
-
Integriertes Netzwerk-Sandboxing mit iptables
-
Integriertes Anwendungs-Sandboxing mit AppArmor
-
Hinterlässt keine Spuren im Browser-Cache
-
Umfassender Schutz vor automatisierten Übermittlungen (Spam-Prävention)
-
Unterliegt einem kontinuierlichen Peer-Review und regelmäßigen Sicherheitsaudits
-
PGP-Unterstützung für verschlüsselte E-Mail-Benachrichtigungen