Wenn eine Meldung im Rahmen der Whistleblowing-Regelung eingeht, hat die Diskussion über die Vertraulichkeit gerade erst begonnen. Der Kanal, über den die Meldung eingeht – eine Telefon-Hotline, ein Webportal, eine schriftliche Eingabe –, bestimmt, wie die Meldung in das System gelangt.
Was als Nächstes geschieht, hängt von der Infrastruktur der Fallbearbeitung ab, an die die Daten weitergeleitet werden. Wie diese Infrastruktur gestaltet ist, wer auf welche Daten zugreifen darf und wie die Daten während der gesamten Bearbeitungsdauer des Falles behandelt werden, sind die betrieblichen Gegebenheiten, die darüber entscheiden, ob die Vertraulichkeit tatsächlich gewahrt wird oder lediglich versprochen wird.
Im Zentrum dieser Infrastruktur steht eine Software zur Fallverfolgung. Zu verstehen, welche Funktionen sie erfüllen sollte – und worauf bei ihrer Bewertung zu achten ist –, ist eine praktische Herausforderung für jeden Compliance-Beauftragten, der für ein Whistleblowing-Programm verantwortlich ist.
Die Herausforderung der Vertraulichkeit im Fallmanagement
Ein Whistleblowing-Fall hinterlässt ab dem Zeitpunkt seines Eingangs eine Spur von Informationen: die ursprüngliche Meldung, etwaige Folgekommunikation mit dem Hinweisgeber, die internen Notizen der Bearbeiter, im Rahmen der Prüfung gesammelte Dokumente, getroffene Entscheidungen und deren Begründung. Jeder einzelne Teil dieser Spur muss geschützt werden – nicht nur vor Zugriff von außen, sondern auch vor internem Zugriff durch Personen, die keine berechtigte Rolle in dem Fall spielen.
An dieser Stelle stehen viele Organisationen vor einer praktischen Schwierigkeit. Allzwecksysteme – gemeinsam genutzte Laufwerke, E-Mail-Verläufe, HR-Plattformen, die nicht für die Bearbeitung sensibler Fälle ausgelegt sind – bieten nicht die Zugriffskontrollen, Prüfpfade oder Datentrennung, die Whistleblowing-Fälle erfordern. Ihre Nutzung birgt in jeder Phase ein Vertraulichkeitsrisiko: ein Dokument im falschen Ordner, eine Fallaktualisierung, die an eine Verteilerliste gesendet wird, zu der auch der Betroffene gehört, eine Notiz, die für einen Vorgesetzten sichtbar ist, der ein Interesse am Ausgang des Falls hat.
Eine speziell entwickelte Software zur Fallverfolgung begegnet diesen Risiken bereits durch ihre Konzeption und nicht erst durch Notlösungen.
Zugriffskontrollen und rollenbasierte Berechtigungen
Die erste und grundlegendste Funktion zur Gewährleistung der Vertraulichkeit bei Fallverwaltungssoftware ist die detaillierte Zugriffskontrolle. Nicht jeder, der an der Bearbeitung eines Falles beteiligt ist, benötigt Zugriff auf alle Elemente dieses Falles. Ein robustes System ermöglicht es, Berechtigungen auf Fallebene festzulegen, sodass nur diejenigen, die in diesem konkreten Fall eine definierte Rolle innehaben, dessen Inhalte einsehen können.
Der rollenbasierte Zugriff erfolgt in der Regel auf mehreren Ebenen:
- Zugriff für Fallbearbeiter – beschränkt auf diejenigen, die aktiv an dem Fall arbeiten
- Zugriff für Vorgesetzte oder Prüfer – zu Kontrollzwecken, ohne Zugriff auf die Identität des Meldenden, sofern dies nicht unbedingt erforderlich ist
- Schreibgeschützter Zugriff – zu Prüfungs- oder Compliance-Zwecken
- Systemadministratorzugriff – für Konfiguration und Wartung, in der Regel getrennt vom Fallinhalt
Gut konzipierte Systeme führen zudem ein Zugriffsprotokoll – eine Aufzeichnung darüber, wer den jeweiligen Fall wann und von welchem Konto aus eingesehen oder geändert hat. Dieser Prüfpfad erfüllt zwei Zwecke: Er schreckt vor unzulässigen Zugriffen ab und liefert eine dokumentierte Aufzeichnung, falls die Bearbeitung des Falls jemals in Frage gestellt werden sollte.
Trennung der Identität des Berichterstatters vom Inhalt des Falles
Eine der technisch besonders wichtigen Datenschutzfunktionen in Fallverfolgungssoftware ist die Möglichkeit, die Identität des Meldenden vom Inhalt der Meldung zu trennen. Hat ein Meldender Kontaktdaten oder identifizierende Informationen angegeben – selbst wenn er sich gegen die Anonymität entschieden hat –, sollten diese Informationen getrennt von der Fallakte gespeichert werden und nur denjenigen zugänglich sein, die einen ausdrücklichen Grund haben, Kontakt mit ihm aufzunehmen.
Diese Trennung bedeutet, dass ein Sachbearbeiter, der die Einzelheiten einer Meldung prüft, nicht automatisch sieht, wer sie eingereicht hat, und umgekehrt. Es bedeutet auch, dass bei einer Eskalation oder Weiterleitung eines Falls der empfangende Sachbearbeiter den Inhalt der Meldung erhält, ohne zwangsläufig die Identität des Meldenden zu erfahren. In der Praxis erfordert dies eine bewusst gestaltete Systemarchitektur – und nicht lediglich eine Anweisung an die Mitarbeiter, worauf sie achten sollen.
Standort der Daten und Sicherheitsstandards
Wo Falldaten gespeichert werden und wie sie gesichert werden, sind Fragen der Unternehmensführung, die mit den Zugriffskontrollen einhergehen. Organisationen mit Geschäftstätigkeit im Vereinigten Königreich haben ein berechtigtes Interesse daran, sicherzustellen, dass sensible Whistleblowing-Daten innerhalb der britischen Gerichtsbarkeit aufbewahrt werden, dem britischen Datenschutzrecht unterliegen und nur über Systeme zugänglich sind, die anerkannte Sicherheitsstandards erfüllen.
Die Zertifizierung nach ISO 27001 – der internationalen Norm für Managementsysteme zur Informationssicherheit – bietet einen unabhängig geprüften Maßstab für die Sicherheit einer Fallmanagement-Plattform. Die Einhaltung der DSGVO, einschließlich dokumentierter Richtlinien zur Datenaufbewahrung und Verfahren zur Bearbeitung von Auskunftsersuchen betroffener Personen, ist eine gesetzliche Anforderung für jedes System, das personenbezogene Daten im Zusammenhang mit betroffenen Personen aus der EU oder dem Vereinigten Königreich verarbeitet. Zusammen bilden diese Standards die Mindestanforderungen, die eine glaubwürdige Fallmanagement-Plattform erfüllen sollte.
Die Datenlokalisierung im Vereinigten Königreich ist eine eigenständige Anforderung, die sich von der Einhaltung der Norm ISO 27001 oder der DSGVO unterscheidet – ein System kann DSGVO-konform sein, auch wenn Daten außerhalb des Vereinigten Königreichs gespeichert werden. Für Organisationen mit spezifischen Anforderungen an die Datenlokalisierung sollte dies ausdrücklich bestätigt und nicht einfach vorausgesetzt werden.
Wechselseitige Kommunikation ohne Beeinträchtigung der Anonymität
Eine Funktion zum Schutz der Vertraulichkeit, die manchmal übersehen wird, ist die Möglichkeit, nach Eingang der ersten Meldung den Kontakt zu einem anonymen Hinweisgeber aufrechtzuerhalten. Hat sich ein Hinweisgeber dafür entschieden, seine Identität nicht preiszugeben, muss das Fallmanagementsystem einen Mechanismus bereitstellen, über den das Bearbeitungsteam Folgefragen stellen und der Hinweisgeber darauf antworten kann – ohne dass eine der beiden Parteien wissen muss, wer die andere ist.
Dies wird in der Regel über eine sichere, anonymisierte Nachrichtenfunktion erreicht, die mit der Fallnummer verknüpft ist. Der Meldende erhält bei der Meldung eine Fallnummer und kann sich allein mit dieser Nummer wieder in das System einloggen. Das Bearbeitungsteam kommuniziert über denselben Kanal. Die Identität keiner der beiden Parteien wird bei diesem Austausch preisgegeben.
Diese Fähigkeit ist sowohl für die Qualität der Fälle als auch für die Vertraulichkeit von Bedeutung: Anonyme Hinweisgeber, die für Folgemaßnahmen erreichbar sind, liefern deutlich mehr verwertbare Informationen als solche, die nicht erreichbar sind. Der Safecall-Benchmark-Bericht 2024 hält fest, dass telefonische Kanäle 22,7 % mehr identifizierte Hinweisgeber hervorbringen als schriftliche Kanäle – was die Vertrauensdynamik widerspiegelt, die entsteht, wenn ein Hinweisgeber mit einem professionellen, reaktionsschnellen Dienst interagieren kann, anstatt ein Formular in einen unbekannten Prozess einzureichen.
Worauf man bei der Bewertung einer Plattform achten sollte
Organisationen, die ihre Fallmanagement-Fähigkeiten überprüfen, sollten Plattformen anhand einheitlicher Vertraulichkeitskriterien bewerten:
- Detaillierte, rollenbasierte Zugriffskontrollen auf Einzelfallebene
- Vollständiger Prüfpfad zu Zugriffen und Änderungen
- Trennung der Identität des Berichterstatters vom Inhalt des Falles
- Sichere, anonyme bidirektionale Kommunikation
- Schriftliche Bestätigung der Datenspeicherung im Vereinigten Königreich
- ISO 27001-Zertifizierung und Dokumentation zur Einhaltung der DSGVO
- Richtlinien zur Datenaufbewahrung, die den gesetzlichen Anforderungen entsprechen und regelmäßig überprüft werden
Plattformen, die nicht alle diese Funktionen nachweisen können, bergen ein Vertraulichkeitsrisiko, das durch politische Verpflichtungen allein nicht beseitigt werden kann.
Weiterführende Ressourcen
Sicherheit und Anonymität bei der Meldung von Missständen – safecall.co.uk/resources/whistleblowing-security-anonymity/
Whistleblowing, Datenschutz und DSGVO – safecall.co.uk/resources/whistleblowing-data-privacy-gdpr/
Wie werden Daten von Hinweisgebern gespeichert und geschützt? – safecall.co.uk/resources/how-is-whistleblower-data-stored-and-protected/
Fallmanagement bei Ermittlungen – safecall.co.uk/resources/investigation-case-management/
Wenden Sie sich an Safecall
Safecall bietet unabhängige Whistleblowing-Dienstleistungen mit ISO 27001-zertifiziertem, DSGVO-konformem Fallmanagement und standardmäßiger Datenspeicherung im Vereinigten Königreich. Wenn Sie die Vertraulichkeit Ihrer Infrastruktur zur Fallbearbeitung überprüfen, können wir Ihnen dabei helfen, zu beurteilen, inwieweit Ihr derzeitiger Ansatz den Standard erfüllt und wo noch Lücken bestehen.
Kontakt: safecall.co.uk/en/contact-us/ | +44 (0) 191 516 7720
Quellen und weiterführende Literatur
Safecall-Benchmark-Bericht 2024 – safecall.co.uk
ISO/IEC 27001:2022 Informationssicherheits-Management – iso.org
Britische DSGVO und Datenschutzgesetz von 2018 – ico.org.uk
ISO 37002:2021 Whistleblowing-Managementsysteme – iso.org