Welchen Detaillierungsgrad sollten Berichte in einer Whistleblowing-Software ermöglichen?

Der Detaillierungsgrad der Angaben, die in einem Whistleblowing-Gespräch gemacht werden, bestimmt fast alles, was danach folgt.

Der Detaillierungsgrad ermöglicht eine effektive Bewertung und Einstufung des Vorfalls, die Entscheidung, ob eine Untersuchung ohne umfangreiche Nachverfolgung fortgesetzt werden kann, ob der Bericht die gesetzlichen Anforderungen an die Aufbewahrung von Unterlagen erfüllt und ob die Organisation die strukturierten Daten sammelt, die sie für Trendanalysen auf Programmebene benötigt.

Auf die Details kommt es wirklich an.

Doch im Kern der Gestaltung von Meldesystemen besteht ein Spannungsfeld. Bei zu wenig Struktur gehen die Meldungen als vage Schilderungen ein, die erst umfassend geklärt werden müssen, bevor Maßnahmen ergriffen werden können. Bei zu viel Struktur wird der Meldeprozess zur Belastung – und schreckt genau jene Personen ab, für deren Unterstützung der Kanal eigentlich gedacht ist. Die Frage, wie detailliert eine Whistleblowing-Software die Meldungen erfassen sollte, ist letztlich eine gestalterische Entscheidung mit direkten Auswirkungen auf die Wirksamkeit des Programms, die Einhaltung der Datenschutzbestimmungen und die Erfahrung der Hinweisgeber.

Die Kosten mangelnder Detailgenauigkeit

Ein unstrukturierter Bericht – eine Freitext-Meldung ohne Leitfragen – überträgt die Entscheidung darüber, welche Informationen relevant sind, vollständig auf den Meldenden. Die meisten Meldenden sind keine ausgebildeten Ermittler. Sie beschreiben möglicherweise die emotionalen Auswirkungen dessen, was sie beobachtet haben, ohne anzugeben, wann, wo oder wer daran beteiligt war. Sie lassen möglicherweise Details weg, die sie für selbstverständlich halten, die dem Sachbearbeiter jedoch nicht bekannt sein können. Sie konzentrieren sich möglicherweise auf den jüngsten Vorfall, ohne das ihm vorausgehende Verhaltensmuster zu erwähnen.

Das Ergebnis ist ein Bericht, der ohne weitere Nachverfolgung nicht bewertet werden kann. Wenn der Hinweisgeber den Bericht anonym eingereicht hat und nicht über einen Kommunikationskanal für den gegenseitigen Austausch zurückkehrt, um nach Nachrichten zu sehen, hat der Sachbearbeiter möglicherweise keine Möglichkeit, die fehlenden Informationen zu erhalten. Der Fall bleibt entweder liegen oder wird mangels ausreichender Beweise abgeschlossen – ein Ergebnis, das den Mut des Hinweisgebers, sich zu melden, zunichte macht und der Organisation die Chance nimmt, tatsächliches Fehlverhalten aufzudecken.

Der „Report to the Nations“ 2024 der Association of Certified Fraud Examiners (ACFE) ergab, dass 43 % aller Betrugsfälle am Arbeitsplatz durch Hinweise aufgedeckt wurden – allerdings hing die Wirksamkeit dieser Hinweise von der Qualität der darin enthaltenen Informationen ab. Unternehmen mit formellen Meldemechanismen, einschließlich strukturierter digitaler Kanäle, verzeichneten um 50 % geringere Betrugsverluste als solche ohne. Die Struktur des Meldeprozesses hat direkten Einfluss darauf, ob ein Hinweis zu einem verwertbaren Anhaltspunkt oder zu einer Sackgasse wird.

Wie eine gute Berichtsstruktur aussieht

Ein gut durchdachtes Erfassungsformular führt den Meldenden durch die Informationskategorien, die die Sachbearbeiter benötigen, ohne dabei ein starres Format vorzuschreiben, das unerwartete oder nuancierte Aspekte ausschließt. Zu den Kernelementen, die ein strukturiertes Meldeformular erfassen sollte, gehören:

• Art des Vorfalls: Um welche Art von Fehlverhalten handelt es sich? Konfigurierbare Kategorielisten – Betrug, Belästigung, Gesundheit und Sicherheit, Verstöße gegen Vorschriften, Interessenkonflikte – helfen dem Meldenden bei der Einstufung seines Vorfalls und ermöglichen eine automatisierte Weiterleitung.
• Wann und wo: Die Felder für Datum , Uhrzeit und Ort verankern den Bericht in konkreten Ereignissen. Bei wiederkehrenden Problemen sollte das Formular es dem Meldenden ermöglichen, ein Muster zu beschreiben, anstatt nur einen einzelnen Vorfall.
• Wer ist beteiligt: Felder für die Namen oder Funktionen der mutmaßlich beteiligten Personen, Zeugen und aller anderen Personen mit einschlägigen Kenntnissen. Aus dem Formular sollte hervorgehen, dass die Angabe von Namen hilfreich, für anonyme Hinweisgeber jedoch nicht verpflichtend ist.
• Was geschah: Ein Freitextfeld, in dem der Meldende sein Anliegen in eigenen Worten schildern kann. Hier liefert der Meldende den Kontext, den Ablauf der Ereignisse und konkrete Beobachtungen, die der Meldung ihren Inhalt verleihen.
• Belege: Die Möglichkeit, Dokumente, Fotos, Screenshots oder andere Dateien hochzuladen. Die Plattform muss Metadaten aus den hochgeladenen Dateien entfernen, um die Anonymität des Hinweisgebers zu wahren.
• Kontaktpräferenzen: Ob der Hinweisgeber anonym bleiben, seine Identität nur dem Sachbearbeiter mitteilen oder im Rahmen einer etwaigen Untersuchung namentlich genannt werden möchte. Wenn die Option „anonyme Meldung“ gewählt wird, sollte im Formular der sichere Mechanismus für die bidirektionale Kommunikation erläutert werden, der eine Nachverfolgung ohne Offenlegung der Identität ermöglicht.

Diese Struktur liefert den Sachbearbeitern die Informationen, die sie benötigen, um das Anliegen zu beurteilen und sofort mit der Triage zu beginnen, lässt dem Meldenden jedoch genügend Spielraum, um Details anzugeben, die in einem vordefinierten Formular möglicherweise nicht vorgesehen sind.

Ein Gleichgewicht zwischen Detailgenauigkeit und Datenminimierung

Der Grundsatz der Datenminimierung der DSGVO (Artikel 5) verlangt, dass erhobene personenbezogene Daten angemessen, relevant und auf das Notwendige beschränkt sein müssen. Im Zusammenhang mit Whistleblowing führt dies zu einem praktischen Spannungsfeld: Der Sachbearbeiter benötigt genügend Details, um den Vorfall zu bewerten und zu untersuchen, doch das System sollte nicht dazu verleiten, Informationen zu erheben, die für das gemeldete Fehlverhalten irrelevant sind.

Die Leitlinien des Europäischen Datenschutzbeauftragten zum Thema Whistleblowing gehen direkt auf diesen Punkt ein und empfehlen Organisationen, nur Informationen zu erheben, die für den gemeldeten Sachverhalt relevant sind. Wenn ein Hinweisgeber Informationen offenlegt, die eindeutig irrelevant sind – wie beispielsweise nicht zum Sachverhalt gehörende Angaben zum Gesundheitszustand eines Kollegen oder persönliche Meinungen über den Charakter einer Person –, sollten diese Daten nicht weiterverarbeitet werden.

Gut gestaltete Meldeformulare tragen zur Datenminimierung bei, indem sie den Hinweisgeber zu den relevanten Informationskategorien leiten, ohne unnötige persönliche Angaben zu erfragen. Das Formular sollte den Hinweisgeber beispielsweise nicht dazu verpflichten, seine eigene Abteilung, seine Berufsbezeichnung oder seine Betriebszugehörigkeit anzugeben, es sei denn, diese Informationen sind für den gemeldeten Sachverhalt unmittelbar relevant. Bei anonymen Hinweisgebern stellt die Erhebung von identifizierenden Informationen, die über das für die Bearbeitung der Meldung erforderliche Maß hinausgehen, sowohl ein Datenschutzrisiko als auch ein Vertrauensrisiko dar.

Der entscheidende Unterschied zwischen telefonischen und digitalen Meldungen

Der Detaillierungsgrad der bei der Erfassung gewonnenen Daten variiert je nach Kanal erheblich – und dies hat wichtige Auswirkungen auf die Programmgestaltung.

Digitale Meldungen über strukturierte Formulare liefern einheitliche, kategorisierte Daten, die sich unmittelbar für die Triage und Trendanalysen nutzen lassen. Der Detaillierungsgrad beschränkt sich jedoch auf die Angaben, die der Meldende macht. Ein Meldender, der sich nicht sicher ist, ob eine bestimmte Beobachtung relevant ist, lässt diese oft in seiner schriftlichen Meldung unerwähnt.

Telefonische Meldungen profitieren hingegen davon, dass der Call-Handler in der Lage ist, in Echtzeit Folgefragen zu stellen. Ein geschulter Fachmann – insbesondere einer mit Erfahrung in der Ermittlungsbefragung – kann Details in Erfahrung bringen, an die der Meldende gar nicht gedacht hatte, mehrdeutige Aussagen klären und dem Meldenden dabei helfen, den Ablauf der Ereignisse so zu schildern, dass ein vollständigerer und aussagekräftigerer Bericht entsteht. Der Whistleblowing-Benchmark-Bericht 2024 von Safecall ergab, dass sich 22,7 % mehr Hinweisgeber bei einem Gespräch mit einem Call-Handler zu erkennen gaben als bei der Nutzung schriftlicher Kanäle, was darauf hindeutet, dass die Tiefe der telefonischen Interaktion sowohl reichhaltigere Details als auch größeres Vertrauen erzeugt.

In der Praxis bedeutet dies, dass der Detaillierungsgrad eines Whistleblowing-Programms nicht allein vom Software-Design abhängt, sondern auch davon, wer für die Entgegennahme der Meldung zur Verfügung steht. Ein Programm, das ausschließlich auf digitale Meldungen setzt, wird im Durchschnitt weniger detaillierte Meldungen hervorbringen als eines, das den Meldenden die Möglichkeit bietet, mit einer geschulten Fachkraft zu sprechen. Die Software sollte so konzipiert sein, dass sie die über digitale Kanäle erfassten Details maximiert, doch das Programm sollte nicht davon ausgehen, dass die digitale Struktur allein ausreicht.

Was das Ermittlungsteam tatsächlich benötigt

Der Zweck der Erfassungsdaten besteht darin, die Ermittlungen zu unterstützen. Sachbearbeiter und Ermittler bezeichnen in der Triage-Phase durchweg dieselben Informationskategorien als besonders wertvoll: eine klare Beschreibung des Geschehens, wann es sich ereignet hat, wer daran beteiligt war, ob es Zeugen gab und ob Beweismittel vorliegen. Meldungen, die diese Elemente enthalten, können sofort triagiert und zugewiesen werden. Bei Meldungen, bei denen diese Angaben fehlen, sind zunächst Nachforschungen erforderlich, bevor konkrete Maßnahmen eingeleitet werden können.

Die Software sollte so konfiguriert sein, dass sie zur Eingabe dieser Kernelemente auffordert, ohne das Formular dabei so lang oder komplex zu gestalten, dass die Meldenden es während der Eingabe abbrechen. Untersuchungen zur Benutzerfreundlichkeit von Online-Formularen zeigen immer wieder, dass die Abschlussquote mit zunehmender Formularlänge sinkt. Es muss ein Gleichgewicht gefunden werden: Es sollten genügend Felder vorhanden sein, um die Meldenden zu den relevanten Informationen zu führen, aber nicht so viele, dass der Vorgang bürokratisch oder aufdringlich wirkt.

Optionale Felder für zusätzliche Hintergrundinformationen – wie lange das Problem bereits besteht, ob es bereits gemeldet wurde, ob der Meldende über Belege verfügt – bieten einen Mehrwert, ohne Hindernisse zu schaffen. Indem diese Felder eindeutig als optional gekennzeichnet sind, signalisiert die Organisation dem Meldenden, dass sie sein Anliegen ernst nimmt, auch wenn er nicht alle Details angeben kann, und ermutigt gleichzeitig diejenigen, die dazu in der Lage sind, so viele nützliche Informationen wie möglich bereitzustellen.

Weiterführende Ressourcen

• Hub für Whistleblowing-Technologie und -Kanäle – Überblick über Meldekanäle und die Auswahl der Technologie.
• Wie funktioniert eine Software zur Verwaltung von Whistleblower-Fällen? – Praktische Anleitung zu den Funktionen für die Erfassung, Triage und Untersuchung.
• Wie ermöglichen sichere digitale Portale eine sichere Meldung von Missständen? – Sicherheitsarchitektur einschließlich Anonymität und Schutz von Metadaten.
• Whistleblowing- und DSGVO-Hub – Grundsätze der Datenminimierung und der Zweckbindung.

Wie Safecall helfen kann

Die Meldeinfrastruktur von Safecall ist darauf ausgelegt, über jeden Kanal die erforderliche Detailgenauigkeit zu erfassen. Unser sicheres Online-Portal nutzt strukturierte Erfassungsformulare, die die Meldenden zu den Informationen führen, die die Fallbearbeiter benötigen, wobei die Grundsätze der Datenminimierung gewahrt und die Anonymität geschützt werden. Unsere rund um die Uhr erreichbare Telefon-Hotline – besetzt von ehemaligen britischen Polizeibeamten mit jeweils über 25 Jahren Erfahrung in der Befragung – erfasst die Detailtiefe, die nur ein kompetentes Gespräch in Echtzeit bieten kann. Beide Kanäle speisen Daten in eine einzige Fallmanagement-Plattform ein und liefern Compliance-Beauftragten konsistente, strukturierte Daten für die Triage, Untersuchung und Trendanalyse. Safecall ist nach ISO 27001 zertifiziert, DSGVO-konform und unterliegt der britischen Datenhoheit. Das Unternehmen liefert die Details, die Organisationen benötigen, ohne die Schutzmaßnahmen zu beeinträchtigen, die Hinweisgeber erwarten.

Wenn Sie erfahren möchten, wie das Aufnahmeverfahren von Safecall die Qualität der Meldungen in Ihrem Programm verbessern kann, wenden Sie sich bitte an unser Team oder rufen Sie uns unter +44 (0) 191 516 7720 an.

Quellen und weiterführende Literatur

• Association of Certified Fraud Examiners (ACFE), „Occupational Fraud 2024: A Report to the Nations“ – Wirksamkeit von Hinweisen, Auswirkungen von Meldemechanismen auf Betrugsverluste –acfe.com
• Europäischer Datenschutzbeauftragter (EDSB), Leitlinien zur Verarbeitung personenbezogener Daten im Rahmen eines Whistleblowing-Verfahrens (2019) – Datenminimierung bei Whistleblowing – edps.europa.eu
• EU-Datenschutz-Grundverordnung (DSGVO), Artikel 5 (Datenminimierung) – gdpr-info.eu
• Safecall, Whistleblowing-Benchmark-Bericht 2024 – Vergleich der Meldewege, Identifizierungsraten der Hinweisgeber – safecall.co.uk
• EU-Richtlinie 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden – eur-lex.europa.eu