Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Anti-Fraud & Compliance · Vorstand, ACFE Swiss Chapter
Whistleblowing-Software ist die einzige der drei Optionen, die von Grund auf so konzipiert wurde, dass sie jede Anforderung des EU-Hinweisgeberrechts ohne Zusatzaufwand erfüllt. Ein E-Mail-Postfach und eine Telefon-Hotline sind zwar legitime Wege, um Meldungen entgegenzunehmen, aber beide lassen Lücken bei der Vertraulichkeit, der Zugriffskontrolle, der Anonymität, den Fristen oder der Dokumentation offen, die Sie durch zusätzliche Prozesse und manuelle Arbeit schließen müssen.
Nach der Richtlinie (EU) 2019/1937, der EU-Hinweisgeberrichtlinie, muss jeder Arbeitgeber im privaten Sektor mit 50 oder mehr Beschäftigten einen internen Meldekanal einrichten. Für Arbeitgeber mit 50 bis 249 Beschäftigten gilt diese Pflicht bereits seit dem 17. Dezember 2023. Auch Einrichtungen des öffentlichen Sektors fallen in den Anwendungsbereich, und das nationale Recht kann die Pflicht auf kleinere Unternehmen ausweiten. Die Richtlinie schreibt keine bestimmte Technologie vor, sodass die Wahl des Kanals Ihnen überlassen bleibt, solange er die Schutzmaßnahmen gemäß Artikel 9 erfüllt. Dieser Leitfaden vergleicht E-Mail, eine Hotline und spezialisierte Software Punkt für Punkt.
eine Plattform
E-Mail und Hotlines lassen Compliance-Lücken offen. Trusty bietet Ihnen einen sicheren Meldekanal, der jede Anforderung der EU-Richtlinie erfüllt und in weniger als fünf Minuten einsatzbereit ist.
Was ist ein Whistleblowing-System?
Ein Whistleblowing-System ist die Kombination aus Kanälen, Personen und Verfahren, die eine Organisation nutzt, um Meldungen über Fehlverhalten entgegenzunehmen, zu bewerten, zu untersuchen und zu dokumentieren. Der Kanal ist dabei nur der Einstiegspunkt. Dahinter benötigen Sie benannte Fallbearbeiter, ein schriftliches Verfahren, eine Möglichkeit, mit dem Hinweisgeber in Kontakt zu bleiben, und eine sichere Dokumentation jedes Falls.
Die Richtlinie überlässt es jeder Organisation, ihre Kanäle selbst zu wählen. In den Erwägungsgründen werden Beispiele genannt: schriftliche Meldungen per Post, ein physischer Einwurfkasten oder eine Online-Plattform sowie mündliche Meldungen über eine Telefon-Hotline oder ein anderes Sprachnachrichtensystem. Auf Wunsch muss es einem Hinweisgeber zudem ermöglicht werden, innerhalb eines angemessenen Zeitrahmens eine Person persönlich zu treffen.
Wenn Sie schnell einen gesetzeskonformen Kanal benötigen, ist die Whistleblowing-Software von Trusty in wenigen Minuten live, ab 49 € pro Monat.
Was das EU-Recht von einem Whistleblowing-System verlangt
Das EU-Recht schreibt vor, dass ein Whistleblowing-System sicher und vertraulich ist, unparteiisch betrieben und dokumentiert wird und feste Antwortfristen einhält. Die Artikel 9, 16, 17 und 18 der Richtlinie legen sieben Kriterien fest, die jeder Kanal erfüllen muss:
1. Meldewege. Personen können schriftlich, mündlich oder auf beiden Wegen melden und ein persönliches Treffen beantragen (Artikel 9 Abs. 2).
2. Vertraulichkeit. Die Identität des Hinweisgebers sowie aller in der Meldung genannten Personen darf ohne die ausdrückliche Zustimmung des Hinweisgebers nicht über das befugte Personal hinaus offengelegt werden (Artikel 16).
3. Beschränkter Zugriff. Der Kanal ist so konzipiert, dass nicht befugte Beschäftigte keinen Zugriff auf die Meldungen haben (Artikel 9 Abs. 1 Buchst. a).
4. Unparteiische Bearbeitung. Eine unparteiische Person oder Abteilung ergreift Folgemaßnahmen, hält Kontakt zum Hinweisgeber und ersucht erforderlichenfalls um weitere Informationen (Artikel 9 Abs. 1 Buchst. c).
5. Bestätigung innerhalb von 7 Tagen. Der Hinweisgeber erhält innerhalb von sieben Tagen eine Bestätigung über den Eingang der Meldung (Artikel 9 Abs. 1 Buchst. b).
6. Rückmeldung innerhalb von 3 Monaten. Dem Hinweisgeber wird innerhalb eines angemessenen Zeitraums, spätestens jedoch drei Monate nach der Eingangsbestätigung, mitgeteilt, welche Maßnahmen geplant sind oder ergriffen wurden (Artikel 9 Abs. 1 Buchst. f).
7. Dokumentation. Jede Meldung wird dokumentiert, vertraulich behandelt und nicht länger als erforderlich aufbewahrt; personenbezogene Daten, die offensichtlich nicht relevant sind, werden unverzüglich gelöscht (Artikel 17 und 18).
Unabhängig vom gewählten Kanal gelten zwei weitere Pflichten: Sie müssen klare und leicht zugängliche Informationen darüber bereitstellen, wie Meldungen extern an die zuständigen Behörden gerichtet werden können (Artikel 9 Abs. 1 Buchst. g). Und falls ein Dritter den Kanal für Sie betreibt, was die Richtlinie zulässt, gelten für diesen Anbieter dieselben Schutzmaßnahmen (Artikel 8 Abs. 5).
Nationale Gesetze bauen auf dieser Grundlage auf. Spanien verlangt, dass interne Kanäle auch anonyme Meldungen akzeptieren und bearbeiten; das Fehlen eines rechtskonformen internen Systems kann eine juristische Person bis zu 1 Mio. € kosten. Deutschland schreibt nicht zwingend vor, dass Kanäle anonyme Meldungen akzeptieren müssen, doch das Versäumnis, einen internen Kanal einzurichten, kann mit einer Geldbuße von bis zu 20.000 € geahndet werden. Wenn Sie Mitarbeiter in mehr als einem Land beschäftigen, ist ein anonymer Meldeweg mit Zwei-Wege-Kommunikation der sicherste Standard.
Warum eine E-Mail-Adresse für das Whistleblowing selten ausreicht
Eine E-Mail-Adresse kann als schriftlicher Meldekanal dienen, erfüllt aber für sich genommen selten die Anforderungen an Vertraulichkeit und Zugriffsschutz. Die Richtlinie erwähnt E-Mail nicht ausdrücklich. Entscheidend ist, dass der Kanal sicher ist und dass nicht befugte Mitarbeiter keinen Zugriff auf die Meldungen erhalten können.
Ein Standard-Postfach stößt dabei aus fünf Gründen an seine Grenzen:
• IT-Administratoren können mitlesen. Mailserver, Backups und Admin-Konten ermöglichen Personen Zugriff, die keine Fallbearbeiter sind.
• Der Absender ist identifizierbar. Eine geschäftliche E-Mail-Adresse gibt den Hinweisgeber preis, und auch eine private Adresse lässt sich oft zurückverfolgen.
• Nachrichten gelangen an die falschen Personen. Autovervollständigung, Weiterleitungsregeln und gemeinsame Postfächer können dazu führen, dass eine Meldung bei Kollegen oder sogar bei der betroffenen Person landet.
• Fristen werden nicht überwacht. Die Einhaltung der Sieben-Tage- und Drei-Monats-Fristen hängt davon ab, dass jemand manuell daran denkt.
• Aufzeichnungen sind verstreut. Antworten, Weiterleitungen und Anhänge verteilen sich über verschiedene Postfächer, was eine saubere Fallakte und eine DSGVO-konforme Löschung erschwert.
Die Einrichtung einer E-Mail-Adresse kostet nichts, weshalb viele kleine Arbeitgeber damit beginnen. Wenn Sie dabei bleiben, beschränken Sie das Postfach auf namentlich benannte Fallbearbeiter, halten Sie es so weit wie möglich vom allgemeinen Admin-Zugriff fern, protokollieren Sie jede Meldung und Frist in einem separaten Fallregister und legen Sie schriftlich fest, wie Sie anonyme Hinweisgeber erneut kontaktieren.
Eine Whistleblowing-Hotline deckt nur einen Teil des EU-Rechts ab
Eine Whistleblowing-Hotline erfüllt die Anforderung an mündliche Meldungen, da die Richtlinie Meldungen per Telefon oder über andere Sprachnachrichtensysteme zulässt. Für sich genommen deckt eine Telefonleitung jedoch weder die Dokumentation noch die Nachverfolgung oder die Fristenüberwachung ab.
Eine Hotline hat echte Stärken. Manchen Menschen fällt es leichter, ein Anliegen mündlich zu erläutern als schriftlich; ein Anruf erfordert weder Konto noch Login, und eine geschulte Person kann sofort klärende Fragen stellen.
Artikel 18 legt zudem spezifische Regeln für die Dokumentation mündlicher Meldungen fest:
• Zustimmung zur Aufzeichnung. Ein Anruf darf nur mit Zustimmung des Hinweisgebers in einer dauerhaften und abrufbaren Form aufgezeichnet werden.
• Transkript oder Protokoll. Bei einer aufgezeichneten Leitung bewahren Sie die Aufzeichnung oder ein vollständiges und genaues Transkript auf. Bei einer nicht aufgezeichneten Leitung erstellt das Personal ein genaues Protokoll des Gesprächs.
• Recht auf Überprüfung. Dem Hinweisgeber muss die Möglichkeit geboten werden, das Transkript oder Protokoll zu überprüfen, zu korrigieren und durch Unterzeichnung zu bestätigen.
• Persönliche Treffen. Dieselben Zustimmungs- und Dokumentationsregeln gelten, wenn jemand um eine persönliche Meldung bittet.
Die praktischen Lücken liegen in der Nachverfolgung und der Anonymität. Ein anonymer Anrufer kann nicht erneut kontaktiert werden, es sei denn, Sie bieten ihm einen Rückkanal an, und eine erkennbare Stimme kann in einem kleinen Team jemanden identifizieren. Personell besetzte Hotlines werden zudem teurer, je mehr Sprachen und Servicezeiten sie abdecken, und außerhalb dieser Zeiten landen Meldungen auf einer Mailbox, die wiederum gesichert und protokolliert werden muss.
Was ist Whistleblowing-Software?
Whistleblowing-Software ist eine sichere Online-Plattform, auf der Personen Meldungen einreichen und benannte Fallbearbeiter diese vom Eingang bis zum Abschluss verwalten. Sie vereint das Meldeformular, die Zwei-Wege-Kommunikation mit dem Hinweisgeber, die Fallakte, die Fristenüberwachung und das Revisionsprotokoll an einem Ort. Da die Plattform außerhalb der E-Mail- und Dateisysteme des Unternehmens angesiedelt ist, können nur die von Ihnen benannten Fallbearbeiter die Meldungen öffnen.
Wie Whistleblowing-Software die rechtlichen Anforderungen erfüllt
Whistleblowing-Software erfüllt die rechtlichen Anforderungen, indem sie diese direkt in die Arbeitsabläufe einbaut, sodass die Compliance nicht von der Disziplin Einzelner abhängt. Eine gute Plattform deckt jedes Kriterium wie folgt ab:
• Meldewege. Ein Webformular nimmt schriftliche Meldungen auf, Sprachnachrichten die mündlichen.
• Vertraulichkeit und Zugriff. Meldungen liegen außerhalb des E-Mail-Systems des Unternehmens, und nur benannte Fallbearbeiter können sie öffnen.
• Anonymität mit Nachverfolgung. Der Hinweisgeber erhält einen Zugangscode und meldet sich damit erneut in einem privaten Postfach an, um Fragen zu beantworten, ohne Namen oder E-Mail-Adresse anzugeben.
• Fristen. Jeder Fall zeigt seinen Status und die relevanten Daten an, sodass die Sieben-Tage- und Drei-Monats-Fristen stets sichtbar sind.
• Aufzeichnungen. Jede Aktion wird im Fall protokolliert, was Ihnen eine einheitliche Akte zur Vorlage bei Behörden oder Gerichten liefert.
• Sprachen und Gesellschaften. Eine Plattform kann mehrere Länder bedienen, mit einem separaten Fallteam für jede juristische Person.
Dem stehen die Abonnementkosten und ein kurzer Einrichtungsaufwand gegenüber. Für die meisten Arbeitgeber ab der Schwelle von 50 Beschäftigten ist dies mit weniger Aufwand verbunden als der Aufbau und die Pflege derselben Schutzmaßnahmen rund um ein Postfach oder eine Telefonleitung, und der Fallverlauf dient als Compliance-Nachweis gegenüber Behörden.
Whistleblowing-Software vs. E-Mail vs. Hotline: der Vergleich
Software erfüllt alle sieben rechtlichen Kriterien ohne zusätzliche Prozesse, während E-Mail und Hotline jeweils nur einige erfüllen und für den Rest Behelfslösungen brauchen.
Anforderung | E-Mail-Postfach | Telefon-Hotline | Whistleblowing-Software |
|---|---|---|---|
Schriftliche Meldungen | Ja | Nein | Ja |
Mündliche Meldungen | Nein | Ja | Ja, mit Sprachnachrichten |
Vertraulichkeit der Identität | Schwach: Absenderadresse ist sichtbar | Teilweise: Stimme kann die Person verraten | Ja |
Zugriff auf Fallbearbeiter beschränkt | Schwierig: IT-Admins können auf Postfächer zugreifen | Hängt davon ab, wer antwortet | Ja, rollenbasiert |
Anonyme Meldung mit Rückfragen | Nein | Keine Rückrufmöglichkeit | Ja, über ein privates Postfach |
Fristen von 7 Tagen und 3 Monaten | Manuell nachverfolgt | Manuell nachverfolgt | In jedem Fall sichtbar |
Dokumentation der Meldungen | Über Postfächer verstreut | Erfordert Zustimmung, Transkript und Unterzeichnung | Eine einheitliche, protokollierte Fallakte |
Mehrere Sprachen und Gesellschaften | Ein Postfach pro Fallteam | Höhere Personalkosten | Eine Plattform |
Einrichtungsaufwand | Minuten, plus schriftliche Verfahren | Tage bis Wochen | Minuten |
Diese drei Optionen schließen sich nicht gegenseitig aus. Viele Arbeitgeber nutzen Software als Hauptkanal und ergänzen sie um eine Telefonoption für Personen, die lieber sprechen möchten. Wenn Sie Kanäle kombinieren, leiten Sie jede Meldung in dieselbe Fallakte, damit Fristen und Aufzeichnungen an einem zentralen Ort bleiben.
Nachweise sichern
Ersetzen Sie Behelfslösungen per E-Mail und Hotline durch ein einziges sicheres System. Trusty bündelt schriftliche und mündliche Meldungen, anonyme Rückfragen, Fristen und Revisionsprotokolle an einem Ort. Oder buchen Sie eine Demo.
So wählen Sie ein Whistleblowing-System aus
Wählen Sie das Whistleblowing-System, das die rechtlichen Anforderungen in jedem Land erfüllt, in dem Sie 50 oder mehr Beschäftigte haben, und vergleichen Sie dann Aufwand und Kosten. Acht Fragen klären die meisten Entscheidungen:
1. Können Personen sowohl schriftlich als auch mündlich melden?
2. Kann jemand anonym melden und dennoch Rückfragen beantworten?
3. Wer, einschließlich des IT-Personals, kann technisch auf eine Meldung zugreifen?
4. Zeigt das System die Sieben-Tage- und Drei-Monats-Fristen für jeden Fall an?
5. Erstellt es eine vollständige, zeitgestempelte Aufzeichnung jedes Falls?
6. Werden die Daten in der EU oder im EWR gehostet, und können Sie diese fristgerecht löschen?
7. Deckt es jede Sprache ab, die Ihre Belegschaft spricht?
8. Kann jede juristische Person eigene Fallbearbeiter und Zugriffsrechte haben?
Ein „Nein“ zu Frage 3 oder 5 stellt überall in der EU eine Compliance-Lücke dar, da Zugriffskontrolle und Protokollierung direkt aus der Richtlinie hervorgehen. Ein „Nein“ zu Frage 2 ist eine Lücke in Ländern, die anonyme Meldungen vorschreiben, wie etwa Spanien. Die Fragen 6 bis 8 sind vor allem für Konzerne mit Personal in mehreren Ländern von Bedeutung.
Empfohlene Whistleblowing-Software
Trusty ist eine Whistleblowing-Software, die speziell auf die EU-Hinweisgeberrichtlinie zugeschnitten ist und in weniger als fünf Minuten einen internen Meldekanal einrichtet. Sie beantwortet alle acht oben genannten Fragen mit Ja:
• Schriftliche und mündliche Meldungen. Ein Online-Formular und Sprachnachrichten im Browser mit Stimmverzerrung, damit die meldende Person nicht an der Stimme erkannt wird.
• Anonymer Zwei-Wege-Kontakt. Hinweisgeber melden sich mit einem Zugangscode in einem privaten Postfach an, sodass Fallbearbeiter Fragen stellen können, ohne deren Identität zu erfahren.
• Kontrollierter Zugriff. Rollenbasierte Berechtigungen mit separater Fallbearbeitung für jede juristische Person.
• Fristen und Aufzeichnungen. Ein Fall-Dashboard, ein qualifizierter eIDAS-Zeitstempel für jede Meldung und ein manipulationssicheres Revisionsprotokoll.
• EU-Hosting. Die Daten werden in ISO/IEC 27001-zertifizierten Rechenzentren in Deutschland gehostet.
• Sofort einsatzbereit. Vorlagen für Compliance-Richtlinien und Mitarbeiterschulungen sind enthalten.
• Telefon-Option. Für Teams, die dies wünschen, kann eine Hotline hinzugefügt werden.
Testen Sie Trusty 7 Tage lang kostenlos unter trusty.report oder buchen Sie eine kurze Demo, um zu sehen, wie eine Meldung von der Einreichung bis zum abgeschlossenen Fall verläuft.
Häufig gestellte Fragen zu Whistleblowing-Systemen
Nein. Das EU-Recht schreibt einen internen Meldekanal für Arbeitgeber mit 50 oder mehr Beschäftigten vor, schreibt aber keine Software vor. Software ist lediglich der einfachste Weg, um die Regeln zur Vertraulichkeit, zu Fristen und zur Dokumentationspflicht gemeinsam zu erfüllen.
Eine E-Mail-Adresse kann als schriftlicher Kanal gelten, aber nur, wenn unbefugte Personen, einschließlich IT-Administratoren, nicht auf die Meldungen zugreifen können. Ein Standard-Unternehmenspostfach besteht diesen Test ohne zusätzliche Kontrollen in der Regel nicht.
Nein. Die Richtlinie stellt es Arbeitgebern frei, schriftliche Meldungen, mündliche Meldungen oder beides anzubieten. Eine Hotline ist eine Möglichkeit, mündliche Meldungen anzubieten, Sprachnachrichten sind eine andere.
Dies hängt vom jeweiligen Land ab. Die Richtlinie überlässt die Entscheidung den Mitgliedstaaten; Spanien beispielsweise verpflichtet Arbeitgeber zur Annahme anonymer Meldungen. Anonyme Hinweisgeber, die später identifiziert werden, sind überall in der EU geschützt.
Ja. Die Richtlinie erlaubt es, dass ein Kanal von einem externen Dritten betrieben wird. Der Arbeitgeber bleibt jedoch für die Vertraulichkeit, die Folgemaßnahmen und die Einhaltung der Fristen verantwortlich.
Ein Whistleblowing-System umfasst den gesamten Prozess für den Empfang, die Bearbeitung und die Dokumentation von Meldungen. Eine Hotline ist lediglich ein Eingangsweg innerhalb dieses Systems, der auf Telefonanrufe beschränkt ist.
Die Einrichtung der Plattform selbst dauert nur wenige Minuten. Mit Trusty ist ein interner Meldekanal in weniger als fünf Minuten bereit; anschließend fügen Sie Ihre Fallbearbeiter, Sprachen und Richtlinien hinzu.
Die Kosten hängen vom Kanal ab: Für E-Mail fallen keine Lizenzgebühren an, dafür sind manuelle Prozesse nötig. Die Kosten einer personell besetzten Hotline steigen mit Sprachen und Servicezeiten, und Software wird als Abonnement angeboten. Trusty bietet eine 7-tägige kostenlose Testphase an.
Quellen
• Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, EUR-Lex
• Trusty, Produktinformationen
• Ley 2/2023 zum Schutz von Personen, die Verstöße gegen Rechtsvorschriften melden, Spanien, BOE
• Hinweisgeberschutzgesetz (HinSchG), Deutschland
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar.
mit EU-Richtlinie & DSGVO
Whistleblowing-Software einfach gemacht, entwickelt von Compliance-Experten.