Durch die Auslagerung von Whistleblowing-Lösungen wird die operative Bearbeitung sensibler Mitarbeiteranliegen an einen Dritten übertragen. Diese Übertragung begründet eine Sorgfaltspflicht, die von vielen Organisationen unterschätzt wird.
Die über einen Whistleblowing-Kanal verarbeiteten Daten – Identitäten, Vorwürfe, Untersuchungsnotizen, personenbezogene Daten der betroffenen Personen – gehören zu den sensibelsten Daten, über die eine Organisation verfügt. Die Sicherheits- und Governance-Standards des Anbieters, dem diese Daten anvertraut werden, sind ebenso wichtig wie die Standards, die die Organisation intern anwendet.
Für Compliance-Beauftragte, die mit der Auswahl oder Überprüfung einer ausgelagerten Whistleblowing-Lösung betraut sind, ist es aus praktischer Sicht unerlässlich zu verstehen, welche Sicherheitsstandards relevant sind, welche Anforderungen diese stellen und wie die Einhaltung dieser Standards überprüft werden kann. Dabei geht es nicht um das bloße Abhaken von Punkten in einem Vertrag, sondern um eine wesentliche Frage des Risikomanagements.
Warum Sicherheitsstandards beim Whistleblowing eine größere Rolle spielen als bei vielen anderen Dienstleistungen
Daten aus Whistleblowing-Fällen sind in besonderer und rechtlich bedeutsamer Weise sensibel. Sie enthalten in der Regel die Identität oder Teilidentität von Hinweisgebern, denen Anonymität zugesichert wurde, die Identität von Personen, gegen die Vorwürfe erhoben wurden, Einzelheiten zu mutmaßlichem Fehlverhalten, die möglicherweise dem Anwaltsgeheimnis unterliegen oder behördlichen Offenlegungspflichten unterliegen, sowie Korrespondenz, die Teil einer formellen Fallakte ist.
Eine Datenpanne, bei der Daten aus Whistleblowing-Fällen betroffen sind, führt nicht nur zu einem regulatorischen Risiko gemäß der britischen DSGVO – sie kann die Hinweisgeber genau den Vergeltungsmaßnahmen aussetzen, die sie eigentlich vermeiden wollten, laufende Ermittlungen gefährden und erhebliche rechtliche Haftungsrisiken nach sich ziehen. Der „IBM Cost of a Data Breach Report 2024“ beziffert die durchschnittlichen Kosten einer Datenpanne in den USA auf 9,36 Millionen US-Dollar. Für Unternehmen in regulierten Branchen dürften die reputationsbezogenen und behördlichen Folgen einer speziell auf Whistleblowing bezogenen Datenpanne diesen Betrag noch übersteigen.
Dieser Kontext legt fest, welche Mindestanforderungen ein ausgelagerter Dienstleister in Bezug auf Sicherheitsstandards erfüllen muss.
ISO 27001: Der Maßstab für Informationssicherheit
ISO/IEC 27001:2022 ist die internationale Norm für Managementsysteme zur Informationssicherheit. Sie verlangt von Organisationen die Umsetzung eines systematischen, risikobasierten Ansatzes zur Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen – unter Einbeziehung von Menschen, Prozessen und Technologie.
Für einen externen Whistleblowing-Anbieter ist die Zertifizierung nach ISO 27001 die grundlegende Gewähr dafür, dass die Organisation über Folgendes verfügt:
- Die für den Geschäftsbetrieb relevanten Informationssicherheitsrisiken wurden ermittelt und bewertet
- Kontrollmaßnahmen, die diesen Risiken angemessen sind
- Einführung von kontinuierlichen Überwachungs-, Überprüfungs- und Verbesserungsprozessen
- hat sein Sicherheitsmanagementsystem einer unabhängigen Prüfung durch eine dritte Partei unterzogen
Eine Zertifizierung erfolgt nicht durch Selbsterklärung. Es muss eine akkreditierte externe Prüfstelle bestätigen, dass das Informationssicherheits-Managementsystem der Organisation den Standard erfüllt. Bei der Beschaffung sollte die ISO 27001-Zertifizierung eher als Mindestanforderung denn als Unterscheidungsmerkmal betrachtet werden – ein Anbieter, der diese nicht nachweisen kann, stellt ein inakzeptables Grundrisiko dar.
Einhaltung der DSGVO und der britischen Datenschutzbestimmungen
Jeder Whistleblowing-Dienst, der im Vereinigten Königreich tätig ist oder Daten von Personen mit Wohnsitz im Vereinigten Königreich verarbeitet, muss die britische DSGVO und das Datenschutzgesetz von 2018 einhalten. Für einen externen Dienstleister sind mit der Einhaltung dieser Vorschriften mehrere spezifische Verpflichtungen verbunden.
Als im Auftrag der Organisation handelnder Auftragsverarbeiter darf der Dienstleister personenbezogene Daten nur auf der Grundlage dokumentierter Anweisungen verarbeiten, muss angemessene technische und organisatorische Sicherheitsmaßnahmen umsetzen, die Organisation bei der Erfüllung ihrer Verpflichtungen gegenüber den betroffenen Personen unterstützen und die Organisation unverzüglich über jede Verletzung des Schutzes personenbezogener Daten informieren.
Die Datenverarbeitungsvereinbarung zwischen der Organisation und dem Dienstleister ist der vertragliche Mechanismus, durch den diese Verpflichtungen formalisiert werden. Darin sollte festgelegt werden, welche Daten zu welchem Zweck, unter welchen Sicherheitsvorkehrungen und für welchen Zeitraum verarbeitet werden. Die Aufbewahrungsfristen für Daten aus Whistleblowing-Fällen sind eine besonders wichtige Klausel – Daten, die über den für den Zweck erforderlichen Zeitraum hinaus aufbewahrt werden, bergen unnötige Risiken und können selbst einen Verstoß gegen die Compliance-Vorschriften darstellen.
Datenspeicherung im Vereinigten Königreich
Die Datenlokalisierung im Vereinigten Königreich ist ein von der Einhaltung der DSGVO zu unterscheidender Aspekt. Ein Anbieter kann die DSGVO vollständig einhalten, auch wenn er Daten in Rechenzentren außerhalb des Vereinigten Königreichs speichert und verarbeitet – vorausgesetzt, es sind geeignete Übermittlungsmechanismen vorhanden. Für einige Organisationen, insbesondere solche in regulierten Branchen oder solche, die spezifischen Anforderungen an die Datenhoheit unterliegen, ist die Datenlokalisierung ausschließlich im Vereinigten Königreich eher eine Voraussetzung als eine Präferenz.
Dies sollte im Rahmen der Sorgfaltsprüfung ausdrücklich bestätigt und in der Datenverarbeitungsvereinbarung dokumentiert werden. Ein Anbieter, der die Speicherung der Daten im Vereinigten Königreich nicht bestätigen kann oder der Daten ohne angemessene Sicherheitsvorkehrungen über internationale Infrastruktur weiterleitet, ist für Organisationen mit dieser Anforderung möglicherweise nicht geeignet.
ISO 37002: Die Norm speziell für Whistleblowing
ISO 37002:2021 ist die internationale Norm speziell für Whistleblowing-Managementsysteme. Während sich ISO 27001 allgemein mit Informationssicherheit befasst, regelt ISO 37002 die für Whistleblowing-Programme spezifischen Anforderungen hinsichtlich Governance, Vertraulichkeit und Unparteilichkeit.
Die Norm legt die Grundsätze von Vertrauen, Unparteilichkeit und Schutz als Grundlage für ein glaubwürdiges Whistleblowing-System fest und definiert Anforderungen hinsichtlich der Entgegennahme, Bewertung, Bearbeitung und Erledigung von Meldungen. Für einen externen Dienstleister bietet die Einhaltung der ISO 37002 die Gewissheit, dass sein Betriebsmodell speziell auf die spezifischen Anforderungen des Whistleblowing-Fallmanagements zugeschnitten ist – und nicht lediglich aus einem generischen Rahmenwerk für die Fallbearbeitung abgeleitet wurde.
Nicht alle Anbieter verfügen über eine formelle Zertifizierung nach ISO 37002, doch die Übereinstimmung mit den Grundsätzen dieser Norm ist ein aussagekräftiger Indikator für den Reifegrad eines Programms. Beschaffungsteams sollten Anbieter danach fragen, inwiefern ihre Dienstleistungen den Anforderungen der ISO 37002 entsprechen, auch wenn keine formelle Zertifizierung angestrebt wurde.
NIS2 und neue Anforderungen an die Cybersicherheit
Die NIS2-Richtlinie, die ab Oktober 2024 EU-weit in Kraft tritt, weitet die verbindlichen Anforderungen an die Cybersicherheit auf ein breiteres Spektrum von Organisationen und Branchen aus als ihre Vorgängerin. Auch wenn ihre direkte Anwendung im Vereinigten Königreich nach dem Brexit nicht über die Richtlinie selbst, sondern über nationale Entsprechungen erfolgt, stellen die darin festgelegten Sicherheitsanforderungen – Meldung von Vorfällen, Sicherheit der Lieferkette, Zugriffskontrollen – eine Entwicklung dar, die für jede Organisation relevant ist, die ihre Sicherheitsverpflichtungen gegenüber Dritten überprüft.
Unternehmen in Branchen, die unter NIS2 oder dessen britische Entsprechungen fallen, sollten sicherstellen, dass ausgelagerte Whistleblowing-Anbieter in ihre Sicherheitsbewertungen von Drittanbietern einbezogen werden und dass die Sicherheitspraktiken dieser Anbieter regelmäßig überprüft werden und nicht nur zum Zeitpunkt der erstmaligen Beauftragung.
Was Sie prüfen sollten, bevor Sie sich für einen Anbieter entscheiden
Ein strukturierter Sicherheits-Due-Diligence-Prozess für eine ausgelagerte Whistleblowing-Lösung sollte folgende Punkte umfassen:
- Aktuelle ISO 27001-Zertifizierung – Zertifikatsnummer, ausstellende Stelle und Ablaufdatum
- Dokumentation zur Einhaltung der DSGVO, einschließlich eines Entwurfs für eine Datenverarbeitungsvereinbarung
- Schriftliche Bestätigung des Datenstandorts im Vereinigten Königreich
- Richtlinien zur Datenaufbewahrung und Löschverfahren
- Verfahren zur Reaktion auf Vorfälle und zur Meldung von Datenschutzverletzungen
- Offenlegung von Unterauftragsverarbeitern – eine Liste aller Dritten, an die der Anbieter selbst Daten weitergibt
- Maßnahmen zur Gewährleistung der Geschäftskontinuität und zur Notfallwiederherstellung
Safecall ist nach ISO 27001 zertifiziert, erfüllt alle Anforderungen der DSGVO und speichert alle Falldaten in Großbritannien. Die Sicherheitsdokumentation ist auf Anfrage im Rahmen des Beschaffungsprozesses erhältlich.
Weiterführende Ressourcen
Sicherheit und Anonymität bei der Meldung von Missständen – safecall.co.uk/resources/whistleblowing-security-anonymity/
Wie gewährleistet eine Software zur Nachverfolgung von Whistleblower-Fällen die Vertraulichkeit? – safecall.co.uk/resources/how-does-whistleblower-case-tracking-software-ensure-confidentiality/
Whistleblowing, Datenschutz und DSGVO – safecall.co.uk/resources/whistleblowing-data-privacy-gdpr/
Auswahl eines Whistleblowing-Dienstes – safecall.co.uk/resources/whistleblowing-service-selection/
Wenden Sie sich an Safecall
Safecall ist nach ISO 27001 zertifiziert, erfüllt die Anforderungen der DSGVO und speichert alle Falldaten in Großbritannien. Wenn Sie die Sicherheitsstandards Ihres aktuellen oder potenziellen Whistleblowing-Anbieters prüfen, stellen wir Ihnen im Rahmen Ihres Beschaffungsprozesses gerne entsprechende Unterlagen zur Verfügung und beantworten Ihre Fragen zur Sorgfaltsprüfung.
Kontakt: safecall.co.uk/en/contact-us/ | +44 (0) 191 516 7720
Quellen und weiterführende Literatur
ISO/IEC 27001:2022 Managementsysteme für die Informationssicherheit – iso.org
ISO 37002:2021 Whistleblowing-Managementsysteme – iso.org
Britische DSGVO und Datenschutzgesetz von 2018 – ico.org.uk
IBM-Bericht zu den Kosten von Datenschutzverletzungen 2024 – ibm.com/security
NIS2-Richtlinie (EU) 2022/2555 – eur-lex.europa.eu