Google Forms als Hinweisgebersystem: Geht das?

Die kurze Antwort: Ein Google- oder Microsoft-Formular kann Hinweise entgegennehmen, aber der meldenden Person nicht antworten. Genau das ist das Problem. Das HinSchG und die EU-Whistleblower-Richtlinie erwarten, dass Sie eine Meldung binnen 7 Tagen bestätigen, bei Bedarf Rückfragen stellen und binnen 3 Monaten eine Rückmeldung geben. Ein Formular sammelt nur. Ist die meldende Person anonym geblieben, gibt es keinen Weg zurück zu ihr, und hat sie eine E-Mail-Adresse angegeben, ist sie nicht mehr anonym. Dazu kommen einige leicht übersehene Einstellungen, die die meldende Person identifizieren oder Personen ausschließen, die das Gesetz schützt.

Wenn Sie bereits ein Formular nutzen, hilft Ihnen dieser Artikel herauszufinden, wo es steht: was ein Formular gut kann, welche Lücke keine Einstellung schließt, ein Check für Ihr eigenes Formular mit einer Lösung für jedes Problem, und was sich mit einem dedizierten Kanal ändert.

Was ein Formular richtig macht

Formulare haben echte Vorteile gegenüber einem E-Mail-Postfach:

• Keine E-Mail-Adresse nötig. Die meldende Person kann ohne Konto und ohne Mailspur einreichen, wenn das Formular entsprechend eingerichtet ist. E-Mail kann das nur, wenn sie vorher ein separates Konto anlegt.
• Struktur. Fragen führen die meldende Person zu dem, was die Fallbearbeitung braucht: was passiert ist, wann, wer beteiligt war, woher sie es weiß.
• Kostenlos und schnell eingerichtet. Für ein Unternehmen, das keinen Kanal haben muss, ist ein sorgfältig eingerichtetes Formular ein vernünftiger Anfang.

Die Lücke, die keine Einstellung schließt: kein Weg zurück

Die Fristen der Richtlinie setzen ein Gespräch voraus, keine einmalige Nachricht:

• Eingangsbestätigung binnen 7 Tagen (Art. 9(1)(b); § 17(1) HinSchG).
• Ordnungsgemäße Folgemaßnahmen (Art. 9(1)(d)). In der Praxis heißt das meist, bei der meldenden Person nachzufragen. Meldungen sind selten beim ersten Mal vollständig.
• Rückmeldung binnen 3 Monaten (Art. 9(1)(f); § 17(2) HinSchG): was getan wurde und warum.

Siehe die 7-Tage/3-Monats-Frist, erklärt. Ein Formular hat keine Antwortfunktion. Der einzige Ausweg ist, nach Kontaktdaten zu fragen, und dann muss die meldende Person wählen: anonym bleiben oder eine Antwort bekommen. Viele melden dann lieber gar nicht.

Dedizierte Kanäle schließen diese Lücke mit einer Fallreferenznummer: Die meldende Person erhält beim Absenden einen Code und liest darüber die Eingangsbestätigung, beantwortet Rückfragen und sieht die Rückmeldung, ohne je einen Namen oder eine E-Mail-Adresse anzugeben. Siehe anonyme vs. identifizierte Meldung, erklärt.

Was das HinSchG und andere Länder hinzufügen

Die Richtlinie überlässt einige Entscheidungen dem nationalen Recht, und einige davon betreffen ein Formular direkt:

• Deutschland. Das HinSchG verlangt nicht, dass Sie anonyme Meldungen ermöglichen, die interne Meldestelle soll eingehende anonyme Meldungen aber bearbeiten (§ 16(1)). Ein rein schriftlicher Kanal ist zulässig, auf Wunsch muss aber eine persönliche Zusammenkunft möglich sein (§ 16(3)). Eingangsbestätigung und Rückmeldung nach § 17 brauchen auch hier einen Weg zurück.
• Spanien verlangt, dass interne Kanäle anonyme Meldungen annehmen. Ein Formular kann das leichter als E-Mail, aber wegen der Lücke oben können Sie eine anonyme Meldung dann weder bestätigen noch beantworten.
• Die Niederlande verlangen per Gesetz einen mündlichen Meldeweg, und die italienische Aufsichtsbehörde erwartet schriftliche und mündliche Meldungen. Ein Formular ist rein schriftlich und kann dort nicht der ganze Kanal sein.

Mehr dazu im Leitfaden Das deutsche HinSchG, erklärt.

Prüfen Sie Ihr eigenes Formular

Zehn Prüfpunkte. Zu jedem steht, wie Sie ihn prüfen und wie Sie das Problem mit dem vorhandenen Werkzeug lösen. Fangen Sie mit dem ersten an: Er zeigt Ihnen genau, was Ihr Formular speichert.

1. Eine Testmeldung speichert nichts über die meldende Person.

   Prüfen: Schicken Sie von einem privaten Gerät, bei allen dienstlichen Konten abgemeldet, eine Testantwort. Öffnen Sie dann die Antworten und sehen Sie nach, was dazu gespeichert wurde.

   Lösung: Wenn irgendetwas Sie identifiziert (ein Name, eine E-Mail-Adresse, eine Anmeldeaufforderung, an der Sie nicht vorbeikamen), arbeiten Sie die Punkte 2 bis 4 durch.

2. Jeder kann antworten, ohne sich anzumelden.

   Prüfen: In Google Workspace nimmt ein neues Formular nur Antworten von Personen aus Ihrer Organisation an, die sich anmelden müssen. In Microsoft Forms verlangen beide Einstellungen, die das Formular auf die eigene Organisation oder bestimmte Personen darin beschränken, eine Anmeldung, und die Eigentümerin kann die Namen der Antwortenden aufzeichnen lassen.

   Lösung: Schalten Sie in Google Forms die Beschränkung auf die Organisation ab, oder wählen Sie in Microsoft Forms, dass jeder antworten kann. Das schützt nicht nur die Anonymität, es lässt auch Personen zu, die die Richtlinie schützt und die kein Arbeitskonto haben: Selbstständige, Beschäftigte von Lieferanten, Bewerber, ehemalige Beschäftigte (Art. 4; siehe Wer nach der Richtlinie geschützt ist).

3. E-Mail-Adressen werden nicht erfasst.

   Prüfen: Die Google-Einstellung zum Erfassen von E-Mail-Adressen speichert die Adresse jeder antwortenden Person, entweder aus ihrem Google-Konto bestätigt oder von ihr eingetippt.

   Lösung: Schalten Sie sie aus. Wenn Sie meldende Personen erreichen wollen, siehe Punkt 7.

4. Es gibt keine Frage zum Hochladen von Dateien.

   Prüfen: Laut Google-Hilfe müssen sich Antwortende bei einem Google-Konto anmelden, um eine Frage zum Hochladen von Dateien zu beantworten, und die Dateien landen im Drive der Eigentümerin. Laut Microsoft funktioniert das Hochladen nur bei organisationsinternen Formularen, mit Ablage im OneDrive der Eigentümerin.

   Lösung: Entfernen Sie die Frage. Sagen Sie meldenden Personen, wie sie Unterlagen auf anderem Weg teilen können und dass sie das identifizieren kann.

5. Nur die benannten Fallbearbeiter sehen die Antworten.

   Prüfen: Listen Sie alle auf, die als Mitbearbeitende oder Miteigentümer hinzugefügt wurden. Leute werden hinzugefügt, um beim Gestalten zu helfen, und selten wieder entfernt. In Microsoft Forms kann ein Formular, das in einer Gruppe erstellt wurde, von jedem Gruppenmitglied gelesen werden. Prüfen Sie, ob je ein Link zu einer Zusammenfassung der Antworten geteilt wurde und ob Antwortende in Google Forms eine Zusammenfassung aller Antworten sehen können.

   Lösung: Entfernen Sie alle außer den benannten Fallbearbeitern, nehmen Sie das Formular aus jeder Gruppe und schalten Sie jede Freigabe von Zusammenfassungen ab. § 16(2) HinSchG lässt Zugriff nur für die Zuständigen und die sie Unterstützenden zu.

6. Verknüpfte Tabellen sind ebenso abgesichert.

   Prüfen: Werden Antworten in einer Google-Tabelle gespeichert, erhalten Mitbearbeitende des Formulars automatisch Zugriff darauf, und jeder, für den die Tabelle freigegeben ist, kann jede Meldung lesen. Microsoft Forms kann Antworten an eine Excel-Arbeitsmappe in OneDrive oder SharePoint senden.

   Lösung: Prüfen Sie, für wen die Tabelle freigegeben ist, beschränken Sie sie auf die benannten Fallbearbeiter und prüfen Sie das jedes Quartal erneut.

7. Meldende Personen kennen die Abwägung zwischen Anonymität und Rückmeldung.

   Prüfen: Erklärt das Formular, dass Sie ohne Kontaktdaten weder bestätigen noch nachfragen noch Rückmeldung geben können?

   Lösung: Fügen Sie ein freiwilliges Kontaktfeld hinzu und erklären Sie die Abwägung direkt daneben in einfachen Worten. Wer eine private Adresse angibt, kann von den Fallbearbeitern weiterhin getrennt von seinem Namen behandelt werden, ist aber nicht mehr anonym.

8. Fristen und Fallakte liegen an einem verlässlichen Ort.

   Prüfen: Eine Antwort ist eine Zeile in einer Tabelle. Wo werden Status, Datum der Eingangsbestätigung, Fälligkeit der Rückmeldung und Ergebnis jeder Meldung festgehalten, und wer kann das sehen? § 11 HinSchG verlangt eine Dokumentation jeder Meldung.

   Lösung: Führen Sie ein Register mit auf die Fallbearbeiter beschränktem Zugriff und einer benannten Person, die es wöchentlich durchsieht. Siehe Prüfprotokoll: eine belastbare Aufzeichnung führen.

9. Das Formular hängt nicht am Konto einer einzelnen Person.

   Prüfen: Liegt das Formular in einem privaten Gmail-Konto oder im Arbeitskonto einer bestimmten Person? Ein privates Konto liegt ganz außerhalb der Verträge Ihres Unternehmens. Bei einem Arbeitskonto erbt beim Austritt jemand anderes die Dateien, einschließlich jeder Meldung.

   Lösung: Verschieben Sie das Formular in ein Unternehmenskonto der zuständigen Stelle. Legen Sie fest, wie lange Antworten aufbewahrt werden, und löschen Sie sie danach aus Formular, Tabelle und Ablageordner. § 11(5) HinSchG sieht die Löschung drei Jahre nach Abschluss des Verfahrens vor. Siehe Eine Aufbewahrungsrichtlinie wählen.

10. Es gibt einen zweiten Weg und ein Treffen auf Wunsch.

    Prüfen: Wohin geht eine Meldung über eine der Personen mit Zugriff auf das Formular? Wie beantragt jemand eine persönliche Zusammenkunft?

    Lösung: Nennen Sie in Ihrer Hinweisgeberrichtlinie eine alternative Kontaktperson, etwa ein Mitglied der Geschäftsführung oder eine externe Ombudsperson, und beschreiben Sie, wie man ein Treffen beantragt. Sind Sie auch in den Niederlanden oder Italien tätig, veröffentlichen Sie dort zusätzlich einen mündlichen Weg. Siehe Sprachmeldungen und Anonymisierung, einfach erklärt.

Was keine Einstellung beheben kann

• Kein Weg zurück zu einer anonymen meldenden Person. Siehe oben. Jeder Umweg kostet die meldende Person ihre Anonymität.
• Anonymität und Beweismittel schließen sich aus. Wer ein Dokument anhängen will, muss sich dafür anmelden, in Google Forms wie in Microsoft Forms.
• Die Fallakte liegt außerhalb des Formulars. Register, Fristen und die Aufzeichnung, wer was getan hat, sind eine separate Tabelle, die von Hand mitgeführt wird.
• Zugriffe werden in einem Allzweckwerkzeug verwaltet. Mitbearbeitende, verknüpfte Tabellen, Gruppenmitgliedschaften und geteilte Links ändern sich unabhängig voneinander. Nichts sagt Ihnen Bescheid, wenn sich eines davon ändert.

Was der laufende Betrieb eines Formulars verlangt

Wenn jeder Prüfpunkt oben erfüllt ist, kann das Formular ein brauchbarer schriftlicher Kanal für identifizierte Meldungen sein und ein Einbahnweg für anonyme. Damit das so bleibt, braucht es:

• eine Prüfung von Mitbearbeitenden, verknüpften Tabellen und Freigaben jedes Quartal und nach jedem Austritt
• ein Register, das für jede Meldung von Hand gepflegt und wöchentlich mit den Fristen abgeglichen wird
• einen separaten Weg für Rückfragen und Rückmeldungen an jede Person, die Kontaktdaten hinterlässt
• einen Weg für persönliche Treffen auf Wunsch
• planmäßiges Löschen aus Formular, Tabelle und verknüpfter Ablage

Warum Unternehmen zu Provoxis wechseln

Provoxis behält, was an einem Formular gut ist (eine strukturierte, öffentliche Seite ohne Anmeldung), und schließt die Lücken, die ein Formular nicht schließen kann:

Die Einrichtung erfolgt selbstständig mit einer geführten Checkliste, der Preis ist eine feste Monatsgebühr (siehe Preise), und es gibt eine 30-tägige kostenlose Testphase.

Umstieg vom Formular

1. Veröffentlichen Sie den neuen Kanal überall, wo der Link zum Formular stand.
2. Schließen Sie das Formular für neue Antworten und ersetzen Sie seine Beschreibung durch einen Link zur neuen Meldeseite. Google Forms und Microsoft Forms können allen, die ein geschlossenes Formular öffnen, eine Nachricht anzeigen.
3. Schließen Sie offene Fälle ab mit den meldenden Personen, die Sie erreichen können. Wo das nicht geht, halten Sie es in der Fallakte fest.
4. Löschen Sie die Antworten aus Formular, Tabelle und Ablageordner nach Ablauf ihrer Aufbewahrungsfrist, und löschen Sie dann das Formular.

Rechtsgrundlage

• § 16 HinSchG — Zugriff nur für die Zuständigen; mündliche oder schriftliche Meldungen; persönliche Zusammenkunft auf Wunsch.
• § 11 HinSchG — Dokumentation jeder Meldung; Löschung drei Jahre nach Abschluss des Verfahrens (Abs. 5).
• § 17 HinSchG — Eingangsbestätigung binnen 7 Tagen, Rückmeldung binnen 3 Monaten.
• Art. 4, Richtlinie (EU) 2019/1937 — geschützte Personen, auch außerhalb der eigenen Belegschaft.
• Art. 6(2) — ob anonyme Meldungen angenommen werden müssen, entscheidet jeder Mitgliedstaat.
• Art. 9(1)(a) — sicher konzipierte und betriebene Kanäle, kein Zugriff für nicht befugte Mitarbeiter.
• Art. 9(1)(b), (d) und (f) — Eingangsbestätigung binnen 7 Tagen, ordnungsgemäße Folgemaßnahmen, Rückmeldung binnen 3 Monaten.
• Art. 9(2) — Meldungen schriftlich, mündlich oder in beiden Formen, sowie ein persönliches Treffen auf Wunsch.
• Art. 18 — Dokumentation jeder eingehenden Meldung.
• Google-Forms-Hilfe, Frage zum Hochladen von Dateien und Freigabeeinstellungen für Formulare in Google Workspace; Microsoft-Support, festlegen, wer ein Formular ausfüllen kann und Fragen zum Hochladen von Dateien.