Eine interne Meldestelle einrichten: was die meisten Unternehmen übersehen

Die meisten Unternehmen, die einen Meldekanal einrichten, bekommen den sichtbaren Teil hin: Es gibt ein Formular oder eine E-Mail-Adresse, und sie ist irgendwo veröffentlicht. Die Lücken liegen meist in allem, was drumherum passiert. Wer liest, was ankommt? Wer kann es sonst noch sehen? Wer darf den Kanal überhaupt nutzen? Und was muss bis Tag 7 und bis Monat 3 geschehen sein? Diese Lücken fallen niemandem auf, bis eine echte Meldung eingeht, und dann sind sie bereits Teil des Problems.

Im Folgenden die zehn häufigsten. Zu jeder: was meist passiert, warum das nicht reicht und was stattdessen zu tun ist. Die rechtlichen Verweise beziehen sich auf die EU-Whistleblowing-Richtlinie (Richtlinie (EU) 2019/1937). Unternehmen im Vereinigten Königreich sind nicht an sie gebunden, aber sie ist trotzdem die vollständigste Beschreibung eines Kanals, der funktioniert (siehe UK vs. EU: Was wo tatsächlich erforderlich ist). Am Ende finden Sie einen Check für Ihren eigenen Kanal, jeweils mit dem Hinweis, wie Sie den Punkt prüfen.

1. Niemand ist konkret zuständig

Was meist passiert: Meldungen landen in einem gemeinsamen Postfach oder allgemein „bei HR", und alle gehen davon aus, dass sich jemand anderes darum kümmert.

Warum das nicht reicht: Die Richtlinie verlangt eine benannte, unparteiische Person oder Abteilung, die Meldungen weiterverfolgt (Art. 9(1)(c)). Ein Postfach ist keine Person. Eine Meldung, die zwei Wochen ungelesen liegt, weil drei Leute jeweils dachten, ein anderer habe sie übernommen, hat die erste Frist bereits verpasst.

Was zu tun ist: Benennen Sie die Person, bevor Sie den Kanal irgendwo veröffentlichen. Besser noch: Benennen Sie eine kleine Gruppe von zwei oder drei Personen, damit Urlaub und Krankheit nicht dazu führen, dass Meldungen liegen bleiben. Siehe Festlegen, wer Meldungen bearbeitet.

2. Niemand hat geprüft, wer Meldungen sonst noch sehen kann

Was meist passiert: Die Liste der zuständigen Personen ist kurz, aber Meldungen erreichen trotzdem andere. Ein IT-Administrator kann jedes Postfach öffnen. Die Benachrichtigungs-E-Mail enthält die vollständige Meldung. Das Formular-Tool speichert Einsendungen in einem Workspace, auf den das halbe Unternehmen zugreifen kann.

Warum das nicht reicht: Art. 9(1)(a) verlangt, dass der Kanal sicher konzipiert und betrieben wird, sodass nicht befugte Mitarbeitende keinen Zugriff auf Meldungen haben. Art. 16 schützt die Identität der hinweisgebenden Person gegenüber allen, die nicht mit der Bearbeitung der Meldung befasst sind. Das muss für das System selbst gelten, nicht nur dafür, dass alle mit Zugriff vorsichtig sind.

Was zu tun ist: Verfolgen Sie eine Testmeldung von der Einreichung bis zur Speicherung und listen Sie auf, wer sie bei jedem Schritt erreichen könnte, einschließlich Administratoren, Backups und E-Mail-Benachrichtigungen. Siehe „Reicht eine E-Mail-Adresse als Meldekanal nach dem HinSchG?“ und „Google Forms als Hinweisgebersystem: Geht das?“.

3. Es werden nur schriftliche Meldungen angenommen

Was meist passiert: Ein Webformular oder eine E-Mail-Adresse ist der gesamte Kanal.

Warum das nicht reicht: Die Richtlinie selbst lässt Meldungen schriftlich, mündlich oder in beiden Formen zu (Art. 9(2)), ein rein schriftlicher Kanal ist also nicht automatisch unzulässig. Das nationale Recht verlangt aber oft mehr. Die Niederlande schreiben einen mündlichen Weg per Telefon oder Sprachnachricht vor, und die italienische Aufsichtsbehörde erwartet schriftliche und mündliche Meldungen. Deutschland lässt einen rein schriftlichen Kanal zu, verlangt aber trotzdem eine persönliche Zusammenkunft, wenn die hinweisgebende Person darum bittet. Und in der Praxis schreiben manche Menschen ein Anliegen gar nicht erst auf. Sprachmeldungen bringen außerdem ein eigenes Problem mit: Eine Aufnahme kann jemanden identifizieren, auch wenn der Name nicht in der Meldung steht.

Was zu tun ist: Bieten Sie eine Sprachoption an, legen Sie fest, wie Aufnahmen geschützt werden, und beschreiben Sie in Ihrer Hinweisgeberrichtlinie, wie man ein Treffen beantragt und wer es führt. Siehe Sprachmeldungen und Anonymisierung, einfach erklärt.

4. Nur Beschäftigte wissen, dass es den Kanal gibt

Was meist passiert: Der Link steht im Intranet oder im Mitarbeiterhandbuch.

Warum das nicht reicht: Der Schutz der Richtlinie reicht weit über die eigene Belegschaft hinaus: Selbstständige, Beschäftigte von Lieferanten, Freiwillige und Praktikanten, Anteilseigner und Aufsichtsratsmitglieder, Bewerber und ehemalige Beschäftigte (Art. 4). Ob jede dieser Gruppen Ihren internen Kanal nutzen kann, hängt teilweise vom nationalen Recht ab (Art. 8(2)), aber alle können sich direkt an eine Behörde wenden. Wenn sie Ihren Kanal nicht finden, melden sie außerhalb des Unternehmens.

Was zu tun ist: Veröffentlichen Sie den Kanal an einer Stelle, die auch Externe erreichen, etwa auf Ihrer Website, und legen Sie ausdrücklich fest, welchen Gruppen er offensteht. Siehe Wer nach der Richtlinie geschützt ist.

5. Die Fristen hängen davon ab, dass jemand an sie denkt

Was meist passiert: Termine für Eingangsbestätigung und Rückmeldung stehen in jemandes Kalender, oder nirgends.

Warum das nicht reicht: Die Richtlinie setzt zwei Fristen. Der Eingang muss innerhalb von 7 Tagen bestätigt werden (Art. 9(1)(b)). Die Rückmeldung muss innerhalb eines angemessenen Zeitrahmens folgen, spätestens 3 Monate nach der Eingangsbestätigung (Art. 9(1)(f)). Rückmeldung hat dabei eine bestimmte Bedeutung: Die hinweisgebende Person erfährt, welche Maßnahmen ergriffen wurden oder geplant sind, und warum (Art. 5(13)). „Wir kümmern uns darum" zählt nicht.

Was zu tun ist: Lassen Sie die Eingangsbestätigung automatisch versenden, lassen Sie das System die 3-Monats-Frist verfolgen und Sie rechtzeitig warnen, und planen Sie eine Rückmeldung, die sagt, was tatsächlich passiert. Siehe Die 7-Tage/3-Monats-Frist, erklärt.

6. Anonyme Hinweisgebende sind nicht wieder erreichbar

Was meist passiert: Der Kanal nimmt eine anonyme Meldung an, aber in die andere Richtung geht nichts. Ein Webformular hat keine Antwortfunktion, und ein anonymes E-Mail-Konto wird nach einer Nachricht oft aufgegeben.

Warum das nicht reicht: Die Fristen der Richtlinie setzen ein Gespräch voraus. Der Eingang wird binnen 7 Tagen bestätigt (Art. 9(1)(b)), die Folgemaßnahmen sind ordnungsgemäß (Art. 9(1)(d)), was meist heißt, der hinweisgebenden Person Fragen zu stellen, und die Rückmeldung folgt binnen 3 Monaten (Art. 9(1)(f)). Diese Pflichten gelten für anonyme Meldungen, die Sie annehmen, genauso wie für identifizierte. Ein Kanal, der Hinweisgebende nur über ihre Kontaktdaten erreicht, zwingt sie zur Wahl zwischen Anonymität und Rückmeldung, und viele entscheiden sich dann gegen die Meldung.

Was zu tun ist: Geben Sie jeder hinweisgebenden Person einen Weg zurück in ihren Fall, der nicht von Kontaktdaten abhängt, etwa eine Fallreferenz, mit der sie Nachrichten liest und beantwortet. Kann Ihr Kanal das nicht, sagen Sie das klar dort, wo gemeldet wird, und bieten Sie eine freiwillige Kontaktmöglichkeit an. Siehe anonyme vs. identifizierte Meldung, erklärt.

7. Hinweisgebende erfahren nicht, wie sie sich an Behörden wenden können

Was meist passiert: Die Hinweisgeberrichtlinie erklärt, wie man intern meldet, und hört dort auf.

Warum das nicht reicht: Art. 9(1)(g) verlangt klare und leicht zugängliche Informationen über externe Meldungen an die zuständigen Behörden. Unternehmen lassen das oft weg, weil es sich anfühlt, als schicke man Leute woandershin. Es ist aber ein vorgeschriebener Teil des Verfahrens, und wer Ihrem Kanal vertraut, nutzt ihn in der Regel ohnehin zuerst.

Was zu tun ist: Nennen Sie die zuständigen Behörden für jedes Land, in dem Sie tätig sind, und stellen Sie diese Informationen in Ihre Hinweisgeberrichtlinie und direkt neben den Kanal. Siehe Interne, externe und öffentliche Meldewege, erklärt.

8. Es gibt keinen Plan für eine Meldung über die zuständige Person

Was meist passiert: Jede Meldung geht an dieselbe Person, auch eine Meldung über diese Person, ihre Vorgesetzten oder ihr eigenes Team.

Warum das nicht reicht: Art. 9(1)(c) verlangt, dass die Person, die eine Meldung weiterverfolgt, unparteiisch ist. Niemand ist bei einer Meldung über sich selbst unparteiisch, so gut die Absichten auch sein mögen.

Was zu tun ist: Nennen Sie in Ihrer Hinweisgeberrichtlinie eine alternative Kontaktperson, etwa ein Mitglied der Geschäftsführung, den Vorsitz des Aufsichtsrats oder eine externe Beraterin bzw. einen externen Berater, und fordern Sie Hinweisgebende auf, sich direkt dorthin zu wenden, wenn ihr Anliegen die zuständige Person betrifft. Entscheiden Sie das jetzt. Wenn Sie es erst klären, sobald eine solche Meldung eingeht, hat die zuständige Person sie bereits gesehen.

9. Die Arbeitnehmervertretung wurde nicht beteiligt (EU)

Was meist passiert: Die Geschäftsleitung wählt den Kanal aus und führt ihn ein, ohne andere einzubeziehen.

Warum das nicht reicht: Art. 8(1) sieht vor, dass interne Meldekanäle nach Konsultation der Sozialpartner eingerichtet werden, und im Einvernehmen mit ihnen, wo das nationale Recht dies vorsieht. In Deutschland hat der Betriebsrat ein Mitbestimmungsrecht bei der Ausgestaltung des Kanals. In Frankreich muss der CSE konsultiert werden, bevor das Verfahren festgelegt wird. Andere Mitgliedstaaten haben eigene Varianten. Wer diesen Schritt auslässt, macht den Kanal angreifbar, selbst wenn alles andere stimmt.

Was zu tun ist: Prüfen Sie vor dem Start, was das Recht Ihres Landes verlangt, und planen Sie Zeit dafür ein. Siehe Das deutsche HinSchG, erklärt und Frankreichs Sapin II als zwei Beispiele.

10. Es gibt keine Regel, wie lange Unterlagen aufbewahrt werden

Was meist passiert: Meldungen und Fallakten werden unbegrenzt aufbewahrt oder gelöscht, wann immer jemand aufräumt.

Warum das nicht reicht: Art. 18 verlangt eine Dokumentation jeder Meldung, die nicht länger aufbewahrt wird, als es erforderlich und verhältnismäßig ist. Art. 17 stellt zusätzlich den Datenschutz sicher: Personenbezogene Daten, die nicht benötigt werden, sollten nicht gespeichert bleiben. Alles für immer aufzubewahren und zu früh zu löschen sind beides Fehler. Außerdem brauchen Sie eine Möglichkeit, die Löschung zu stoppen, wenn ein Fall vor Gericht gehen könnte.

Was zu tun ist: Legen Sie Aufbewahrungsfristen danach fest, wie ein Fall endet, löschen Sie automatisch nach Ablauf, und schaffen Sie eine Möglichkeit, einen Fall zu sperren. Siehe Eine Aufbewahrungsrichtlinie wählen.

Prüfen Sie Ihren eigenen Kanal

Zu jeder Frage steht in der zweiten Zeile, wie Sie es herausfinden. Können Sie eine nicht beantworten, werten Sie sie als „Nein".

1. Können Sie die Person benennen, die die nächste Meldung liest, und wer sie vertritt?

   Fragen Sie, wer die letzte Meldung geöffnet hat und wer es im Urlaub getan hätte.

2. Haben Sie aufgelistet, wer eine Meldung technisch sehen kann?

   Schicken Sie eine Testmeldung und verfolgen Sie sie: Postfach oder Formular, Benachrichtigungen, Tabellen, Administratoren, die Passwörter zurücksetzen oder E-Mails durchsuchen können, Backups.

3. Kann jemand per Sprache melden und um ein persönliches Treffen bitten?

   Lesen Sie Ihre Hinweisgeberrichtlinie mit den Augen von jemandem, der nichts aufschreiben will. Gibt es eine Nummer zum Anrufen und eine benannte Person, die Treffen führt?

4. Können Selbstständige, Lieferanten oder ehemalige Beschäftigte den Kanal finden?

   Suchen Sie ihn abgemeldet auf Ihrer öffentlichen Website.

5. Werden die 7-Tage- und die 3-Monats-Frist verfolgt, mit einer Warnung, bevor eine davon verpasst wird?

   Suchen Sie für Ihre letzte Meldung das Datum der Eingangsbestätigung und das Fälligkeitsdatum der Rückmeldung heraus.

6. Können Sie eine anonyme hinweisgebende Person wieder erreichen?

   Schicken Sie eine Testmeldung ohne Kontaktdaten und versuchen Sie dann, eine Rückfrage zu stellen.

7. Sagt Ihre Hinweisgeberrichtlinie, wie man sich an Behörden wendet?

   Prüfen Sie, ob sie die zuständige Behörde für jedes Land nennt, in dem Sie tätig sind.

8. Sagt Ihre Hinweisgeberrichtlinie, wohin eine Meldung über die zuständige Person gehen soll?

   Prüfen Sie, ob die alternative Kontaktperson benannt ist und ohne Umweg über die zuständige Person erreichbar ist.

9. Wurde die Arbeitnehmervertretung beteiligt, wo Ihr Land dies verlangt?

   Suchen Sie das Protokoll oder die Betriebsvereinbarung heraus.

10. Haben Sie Aufbewahrungsfristen für abgeschlossene Fälle und eine Möglichkeit, einen Fall zu sperren?

    Suchen Sie die älteste abgeschlossene Meldung, die Sie noch haben, und die Regel, nach der sie noch da ist.

Jedes „Nein" ist eine Lücke, die Sie vor der nächsten Meldung schließen sollten, nicht danach.

Sie nutzen eine E-Mail-Adresse oder ein Formular? Dort beginnen die meisten dieser Lücken. Gehen Sie die kanalspezifischen Prüfpunkte in „Reicht eine E-Mail-Adresse als Meldekanal nach dem HinSchG?“ oder „Google Forms als Hinweisgebersystem: Geht das?“ durch, jeweils mit einer Lösung für jede gefundene Lücke.

Wann Sie das angehen sollten

Wenn Sie in der EU 50 oder mehr Beschäftigte haben, ist ein Meldekanal bereits gesetzlich vorgeschrieben (siehe Die 50-Mitarbeiter-Schwelle, erklärt). Darunter, oder im Vereinigten Königreich, gibt es kein festes Datum. Der richtige Zeitpunkt ist vor der ersten ernsthaften Meldung, denn ein Kanal, der erst zusammengestellt wird, nachdem ein Anliegen bereits informell aufgekommen ist, hat meist die meisten der oben genannten Lücken.

Wie Provoxis diese Lücken schließt

Drei dieser Punkte können nur Sie entscheiden: wer Meldungen bearbeitet (1), wohin eine Meldung über die zuständige Person geht (8) und wen Sie beteiligen (9). Den Rest schließt Provoxis:

Jede Handlung in einem Fall wird im Prüfprotokoll festgehalten, und Meldungen werden in der EU gespeichert (oder im Vereinigten Königreich für Kunden dort), verschlüsselt im Ruhezustand und bei der Übertragung. Die Einrichtung erfolgt selbstständig mit einer geführten Checkliste, der Preis ist eine feste Monatsgebühr (siehe Preise), und es gibt eine 30-tägige kostenlose Testphase.

Rechtsgrundlage

Alle Verweise beziehen sich auf die Richtlinie (EU) 2019/1937.

• Art. 4: wen die Richtlinie schützt, einschließlich Personen außerhalb der eigenen Belegschaft.
• Art. 5(13): was „Rückmeldung" bedeutet.
• Art. 6(2): ob anonyme Meldungen angenommen werden müssen, entscheidet jeder Mitgliedstaat.
• Art. 8(1): Einrichtung interner Meldekanäle nach Konsultation der Sozialpartner, soweit das nationale Recht dies vorsieht.
• Art. 8(2): wem interne Meldekanäle offenstehen müssen und wem sie offenstehen können.
• Art. 9(1)(a)–(g): sichere Gestaltung, Eingangsbestätigung binnen 7 Tagen, eine unparteiische benannte Person oder Abteilung, ordnungsgemäße Folgemaßnahmen, Rückmeldung binnen 3 Monaten und Informationen über externe Meldungen.
• Art. 9(2): Meldungen schriftlich, mündlich oder in beiden Formen; mündlich per Telefon oder Sprachnachricht, sowie ein persönliches Treffen auf Wunsch.
• Art. 16: Vertraulichkeit der Identität der hinweisgebenden Person.
• Art. 17 und 18: Verarbeitung personenbezogener Daten und Dokumentation der Meldungen.