Wenn die Identität eines Hinweisgebers nicht angemessen geschützt wird, entstehen mehrere Risiken gleichzeitig. Andere Mitarbeiter trauen sich dann nicht mehr, Missstände zu melden, der Hinweisgeber kann sich am Arbeitsplatz unsicher fühlen, und die Organisation kann Fragen der Datenschutzbehörde bekommen, weil die Identität eines Hinweisgebers ein personenbezogenes Datum ist, das besonders sorgfältig behandelt werden muss.
Der Kern ist einfach: ein Meldesystem funktioniert nur, wenn Mitarbeiter darauf vertrauen, dass ihr Name nicht versehentlich oder auf Umwegen Kollegen oder Vorgesetzten bekannt wird. Verschwindet dieses Vertrauen, verschwindet auch die Bereitschaft zu melden — und damit das Ziel des gesamten Systems.
Warum dies mehr ist als eine Frage der Anständigkeit
Der Schutz der Identität eines Hinweisgebers ist kein zusätzlicher Service, den Sie hinzufügen können, wenn Zeit dafür ist. Die Richtlinie (EU) 2019/1937 und die daraus resultierende Gesetzgebung gehen davon aus, dass Vertraulichkeit eine Voraussetzung ist, nicht eine Nebensache. Wer diesen Schutz vernachlässigt, untergräbt damit die Grundlage des Meldesystems selbst.
Darüber hinaus geht es um personenbezogene Daten im Sinne der DSGVO. Ein Name, eine Funktion, eine E-Mail-Adresse oder sogar eine Kombination von Details, die auf eine Person zurückführbar ist, fällt darunter. Nachlässiger Umgang mit diesen Daten kann Grund für die Datenschutzbehörde sein, Fragen zu stellen. Was das in einem konkreten Fall bedeutet, ist Sache der Aufsichtsbehörde zu beurteilen; wir äußern uns dazu nicht.
Was in der Praxis schiefgeht
Es geht selten um Absicht. Meist passiert es, weil der Bearbeiter eine Meldung per E-Mail zur Beratung an einen Kollegen weiterleitete, weil ein Name in einer Notiz stehen bleibt, die breiter geteilt wird, oder weil zu viele Menschen Zugang zur Akte haben, ohne dass dafür ein Grund besteht. Auch eine mündliche Meldung, die in den Fluren besprochen wird, ohne dass jemand das als Verletzung sieht, fällt in diese Kategorie.
Die Folge ist, dass sich der Hinweisgeber unsicher fühlt, möglicherweise die Zusammenarbeit mit der Untersuchung einstellt, oder sich an eine externe Stelle wendet, weil der interne Kanal nicht zuverlässig wirkt. Letzteres ist genau das, was ein gut funktionierendes internes System verhindern sollte.
Der Zusammenhang mit dem übrigen Meldesystem
Der Schutz der Identität steht nicht für sich allein. Er hängt damit zusammen, wer Zugriff auf die Bearbeitungsumgebung hat, wie eine Meldung dokumentiert wird, und ob der Bearbeiter unparteiisch arbeiten kann, ohne dass seine Umgebung mitschaut. Eine Organisation, die diese Dinge isoliert regelt, läuft Gefahr, dass das schwächste Glied den Rest untergräbt.
Es hilft, im Voraus festzulegen, wer während der Bearbeitung einer Meldung welche Informationen sehen darf, und dies losgelöst von der jeweiligen Situation festzulegen. die Wissensdatenbank konsultieren, um die Hintergründe pro Thema zu erfahren gibt einen guten Startpunkt, um zu sehen, welche Schritte dazu gehören.
Was Sie dokumentieren können, ohne die Identität preiszugeben
Eine Meldung kann und sollte oft dokumentiert werden, auch wenn die Identität des Hinweisgebers geschützt bleibt. Dabei geht es um den Inhalt der Meldung, die ergriffenen Schritte und die eingehaltenen Fristen. Der Name des Hinweisgebers muss nicht breit geteilt werden; er bleibt zugänglich für diejenigen, die die Meldung tatsächlich bearbeiten.
Wie Daten technisch geschützt werden — wer Zugriff hat, wie lange Daten aufbewahrt werden, und wo sie gespeichert sind — ist etwas, über das eine Plattform Rechenschaft ablegen kann. Auf der Seite zu Sicherheit und Datenschutz wird erklärt, wie das in der Praxis funktioniert.
Wie Sie dies vermeiden
Es beginnt mit einer klaren Absprache: Wer darf eine Meldung einsehen, und wann wird dieser Kreis erweitert? Darüber hinaus hilft es, die Bearbeitung von der alltäglichen Linie zu trennen, damit ein Vorgesetzter nicht zufällig in einem Fall mitwirkt, an dem er selbst beteiligt ist. Auch ein festes Verfahren zur Dokumentation von Schritten, unabhängig von losen E-Mails und Gesprächen, macht einen großen Unterschied.
Ob Ihre Organisation dies bereits gut geregelt hat und welche Schritte noch fehlen, ist oft in wenigen Minuten zu sehen. in wenigen Fragen sehen, wo Sie stehen gibt dafür eine erste Orientierung, und lesen, woher die Informationen auf dieser Plattform stammen zeigt, wie diese Orientierung zustande kommt.
Für die genaue Erklärung Ihrer Situation, zum Beispiel wenn bereits etwas schiefgelaufen ist, sind ein Jurist oder die Behörde für den Datenschutz die richtige Anlaufstelle. Wenn Sie sich zunächst selbst ein Bild von der Situation in Ihrer Organisation machen möchten, führen Sie die kostenlose Schnellprüfung durch oder blättern Sie durch die Themen in der Wissensdatenbank.