Festlegen, wer Meldungen bearbeitet

Ein Kanal allein genügt nicht — das Gesetz verlangt eine Person

Es ist möglich, ein Meldeformular aufzusetzen und trotzdem keinen konformen Kanal zu haben, denn die Richtlinie verlangt nicht nur eine Stelle, an der Meldungen ankommen können — sie verlangt jemanden, der für das Folgende verantwortlich ist. Art. 9(1)(c) verlangt "die Benennung einer unparteiischen Person oder Abteilung, die für die Weiterverfolgung der Meldungen zuständig ist ... die mit der hinweisgebenden Person in Kontakt bleibt und, soweit erforderlich, weitere Informationen von dieser anfordert und dieser Rückmeldung gibt." Ein Formular, für das niemand klar zuständig ist, erfüllt formal die Aussage "wir haben einen Kanal", verfehlt aber, wofür der Kanal tatsächlich da ist.

Dieselbe Person oder Abteilung kann Meldungen sowohl entgegennehmen als auch weiterverfolgen — die Richtlinie verlangt keine zwei getrennten Rollen — aber wer immer es ist, muss benannt, unparteiisch und tatsächlich mit den nötigen Ressourcen für die Weiterverfolgung ausgestattet sein, nicht nur formal zugeteilt.

Intern oder ausgelagert — beides ist ausdrücklich erlaubt

Das ist eine echte, offene Entscheidung, nicht etwas, wozu die Richtlinie in eine Richtung drängt. Art. 8(5) ist eindeutig, dass Meldekanäle "intern von einer für diesen Zweck benannten Person oder Abteilung betrieben oder extern von einem Dritten bereitgestellt werden" können. Beides ist legitim:

• Intern. Jemand innerhalb des Unternehmens — oft HR, Recht oder eine Compliance-Leitung — bearbeitet Meldungen direkt. Diese Person versteht bereits den Kontext, die Menschen und die Geschichte der Organisation, was die Weiterverfolgung schneller und besser informiert macht. Der Kompromiss ist die Unabhängigkeit: Je kleiner das Unternehmen, desto schwieriger ist es, jemanden zu finden, der zu niemandem, der am Ende gemeldet werden könnte, überhaupt Nähe hat.
• Ausgelagert. Eine externe Ombudsperson, Kanzlei oder ein spezialisierter Anbieter bearbeitet Meldungen (oder zumindest die erste Sichtung) statt internes Personal. Das schafft echten Abstand zu internen Machtverhältnissen und Berichtslinien, um den Preis, dass jemand, der mit dem Kontext der Organisation weniger vertraut ist, sich bei jedem Fall erst einarbeiten muss.

Keine der beiden Entscheidungen hängt von der Software ab, mit der der Kanal betrieben wird — ein Unternehmen kann eine eigens gebaute Plattform nutzen und trotzdem jeden Fall intern bearbeiten, oder dieselbe Plattform nutzen und Fälle an einen externen Fallbearbeiter weiterleiten. Das Werkzeug und die Bearbeitungsentscheidung sind getrennte Dinge.

Was "unparteiisch" in der Praxis ausschließt

"Unparteiisch" ist das entscheidende Wort in Art. 9(1)(c), und es hat eine praktische Konsequenz, über die es sich lohnt nachzudenken, bevor eine echte Meldung sie auf die Probe stellt: Wer benannt wird, sollte nicht jemand sein, der am Ende das eigene Verhalten untersuchen würde, oder das der eigenen direkten Führungskraft. In einem Unternehmen, das gerade über die 50-Beschäftigten-Grenze gekommen ist, ist das oft wirklich schwierig — ein kleines Führungsteam bedeutet einen begrenzten Pool an Personen ohne plausiblen Interessenkonflikt. Das ist häufig genau der Moment, in dem sich Unternehmen entscheiden, zumindest für Fälle mit wahrscheinlichem internem Konflikt einen externen Fallbearbeiter hinzuzuziehen, auch wenn die meisten Meldungen weiterhin intern bearbeitet werden.

Wie viele Personen tatsächlich Zugang haben sollten

Es gibt eine zweite Abwägung, getrennt von der Unparteilichkeit: wie groß die benannte Gruppe ist. Kleiner ist grundsätzlich besser für die Vertraulichkeit — Art. 9(1)(a)s Anforderung, dass ein Kanal "den Zugang nicht befugter Mitarbeiter" verhindert, lässt sich umso leichter tatsächlich garantieren, je weniger Personen auf der Liste stehen. Aber ein einzelner benannter Fallbearbeiter ist ein Single Point of Failure: Krankheit, Urlaub, ein Interessenkonflikt bei einem bestimmten Fall oder schlicht Überlastung können Meldungen tatsächlich unbetreut lassen. Eine benannte Gruppe von zwei oder drei Personen, mit klarer Vertretungsregelung, ist für die meisten Unternehmen, die die Schwelle überschreiten, eine realistischere Untergrenze als eine einzelne Person.

Wie Provoxis in diese Entscheidung passt

Provoxis trifft diese Entscheidung nicht für Sie — wer Ihre Fallbearbeiter sind, ist eine organisatorische Entscheidung, die das Unternehmen unabhängig davon treffen muss, welche Plattform darunter läuft, egal ob das auf eine Person, ein kleines internes Team oder einen externen Anbieter als hinzugefügter Fallbearbeiter auf der Plattform hinausläuft. Was Provoxis tut, ist, die Grenze durchzusetzen, sobald diese Entscheidung getroffen ist: Nur das Personal, das ein Unternehmen ausdrücklich als Fallbearbeiter oder Admins hinzugefügt hat, kann die Angaben einer identifizierten meldenden Person einsehen, das Prüfprotokoll hält jedes Mal fest, wenn eine dieser Personen eine Meldung öffnet, und der Zugang kann sich nicht still über eine gemeinsame Passwort oder eine alte Weiterleitungsregel halten, wie es bei einem gemeinsamen Posteingang möglich ist.

Rechtsgrundlage

• Art. 9(1)(c), Richtlinie (EU) 2019/1937 — die Pflicht, eine unparteiische Person oder Abteilung zu benennen, die für die Weiterverfolgung von Meldungen zuständig ist.
• Art. 8(5) — interne Meldekanäle können intern von einer benannten Person oder Abteilung betrieben oder extern von einem Dritten bereitgestellt werden.
• Art. 9(1)(a) — die Anforderung, Kanäle so zu gestalten und zu betreiben, dass der Zugang nicht befugter Mitarbeiter verhindert wird — die Grundlage dafür, die benannte Gruppe bewusst klein zu halten.