Whistleblowing EU

Open-Source-Hinweisgebersystem & interner Meldekanal (Österreich)

Sie suchen für Ihre Organisation in Österreich ein sicheres, ethisches Hinweisgebersystem im Einklang mit HSchG und EU-Richtlinie?

GlobaLeaks ist die kostenlose, freie Open-Source-Hinweisgebersoftware, die dafür entwickelt wurde:

Alle Details finden Sie in der offiziellen Dokumentation.

Dokumentation Demo

Die EU-Hinweisgeberrichtlinie

Die EU-Richtlinie über den Schutz von Personen, die Verstöße gegen das Unionsrecht melden, verlangt von Organisationen sichere und vertrauliche Hinweisgeberkanäle und schützt hinweisgebende Personen vor Vergeltungsmaßnahmen.

In Österreich setzt das HinweisgeberInnenschutzgesetz (HSchG) aus dem Jahr 2023 die Richtlinie um. Es verpflichtet öffentliche Stellen und private Unternehmen ab 50 Beschäftigten zur Einrichtung interner Stellen für die Entgegennahme und Behandlung von Hinweisen.

Gesetzliche Verpflichtungen und Compliance

Fundstelle Verpflichtung Wie GlobaLeaks sie erfüllt
§ 11 Abs. 1, 3 HSchG Rechtsträger mit 50 oder mehr Arbeitnehmern haben einen internen Hinweisgeberkanal einzurichten und zu betreiben, der den Anforderungen des § 13 sowie den Grundsätzen des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO) entspricht. GlobaLeaks ist ein dediziertes, selbst gehostetes internes Hinweisgebersystem für Whistleblowing, das die Anforderungen des HSchG an interne Stellen erfüllt und als freie, quelloffene Software unabhängig überprüfbar ist. Als datenschutzfreundliche Voreinstellung werden keine IP-Adressen protokolliert und Metadaten auf das erforderliche Mindestmaß beschränkt (DSGVO), womit Datenschutz durch Technikgestaltung nach Art. 25 DSGVO gewährleistet ist.
§ 13 Abs. 1 HSchG Die internen Stellen haben Meldekanäle so zu gestalten und zu betreiben, dass die Vertraulichkeit der Identität des Hinweisgebers sowie Dritter, die in der Meldung genannt werden, gewahrt bleibt und nicht befugten Personen der Zugriff verwehrt wird. Meldungen und Anhänge werden mittels Verschlüsselung gesichert, und die Identität des Hinweisgebers ist in jeder Phase geschützt. Ein granulares Zugriffskontrollsystem nach dem Need-to-know-Prinzip stellt sicher, dass ausschließlich befugte Personen Zugriff erhalten; Meldungen können anonym oder vertraulich abgegeben werden (konfigurierbar). Vollständige Anonymität ist dank der Integration der Tor-Technologie möglich.
§ 13 Abs. 5 HSchG Hinweise müssen schriftlich oder mündlich gegeben werden können; auf Ersuchen des Hinweisgebers, dem spätestens innerhalb von 14 Kalendertagen zu entsprechen ist, hat eine persönliche Zusammenkunft zur Besprechung des Hinweises stattzufinden. GlobaLeaks ermöglicht schriftliche Meldungen mit Anhängen sowie Sprachnachrichten; auf Wunsch kann über den bidirektionalen Kanal ein persönliches Treffen angefragt und die 14-Tage-Frist mittels Fristen, Timern und Erinnerungen des strukturierten Fallmanagements überwacht werden.
§ 9 Abs. 1 HSchG Dem Hinweisgeber ist innerhalb von sieben Tagen ab Einlangen der Meldung deren Eingang zu bestätigen. Unmittelbar nach Abgabe wird eine Eingangsbestätigung ausgestellt, die dem Hinweisgeber den fristgerechten Zugang seiner Meldung nachweist.
§ 13 Abs. 8 HSchG Ergänzungen oder Berichtigungen einer bereits erstatteten Meldung sind zu ermöglichen; deren Eingang ist dem Hinweisgeber innerhalb von sieben Tagen zu bestätigen. Über den asynchronen bidirektionalen Kanal kann der Hinweisgeber unter Wahrung der Anonymität jederzeit Ergänzungen und weitere Anhänge nachreichen; deren Eingang wird über dieselbe eindeutige Empfangsbestätigung fristgerecht bestätigt.
§ 13 Abs. 9 HSchG Spätestens drei Monate nach Entgegennahme des Hinweises hat die interne Stelle dem Hinweisgeber bekanntzugeben, welche Folgemaßnahmen sie ergriffen hat oder zu ergreifen beabsichtigt oder aus welchen Gründen sie den Hinweis nicht weiterverfolgt. Das strukturierte Fallmanagement mit Fristen, Timern, Erinnerungen und einem Dashboard steuert die Einhaltung der Drei-Monats-Frist, und die Rückmeldung wird dem Hinweisgeber über den anonymitätswahrenden bidirektionalen Kanal übermittelt.
§ 7 HSchG Die Identität des Hinweisgebers sowie sonstige Rückschlüsse zulassende Informationen dürfen ohne dessen ausdrückliche Zustimmung keinen anderen Personen als den für die Entgegennahme und Bearbeitung befugten Personen offengelegt werden. Die Identität des Hinweisgebers ist in jeder Phase geschützt; Meldungen können anonym oder vertraulich erfolgen. Die granulare Zugriffskontrolle nach dem Need-to-know-Prinzip beschränkt den Zugang ausschließlich auf die zur Bearbeitung befugten Personen.
§ 8 Abs. 10 bis 12 HSchG Verarbeitung personenbezogener Daten im Einklang mit der DSGVO nach dem Grundsatz der Datenminimierung. Self-Hosting, keine Komponenten oder Dienste von Drittanbietern, keine Protokollierung von IP-Adressen, Minimierung der Metadaten.
§ 9 Abs. 6 HSchG Eingegangene Meldungen sind sicher aufzubewahren und nur den zur Bearbeitung befugten Personen zugänglich zu machen. Meldungen und Anhänge werden sicher verwahrt und ausschließlich über die granulare Zugriffskontrolle nach dem Need-to-know-Prinzip den zur Bearbeitung befugten Personen zugänglich gemacht.

Über die gesetzlichen Pflichten hinaus: Standards und Anerkennungen

Darüber hinaus ist GlobaLeaks für den Einsatz in einem Hinweisgeber-Managementsystem konzipiert, das sich an der Leitlinie ISO 37002:2021 orientiert, und unterstützt die Anforderungen zertifizierbarer Normen wie ISO 37001 (Korruptionsbekämpfung) und ISO 37301 (Compliance-Management) an interne Meldekanäle.

Konzipiert für den Betrieb innerhalb eines Informationssicherheits-Managementsystems nach ISO/IEC 27001:2022, schützt GlobaLeaks Hinweise samt Anhängen durch Verschlüsselung und beschränkt den Zugriff auf ausdrücklich befugte Bearbeiterinnen und Bearbeiter. Zugleich folgt die Plattform den DSGVO-Grundsätzen (Verordnung (EU) 2016/679) des Datenschutzes durch Technikgestaltung und datenschutzfreundliche Voreinstellungen: möglichst wenige Daten, keine Protokollierung von IP-Adressen und Metadaten nur im unbedingt nötigen Umfang.

Bei der Entwicklung von GlobaLeaks wurde auf Kompatibilität mit den Web Content Accessibility Guidelines (WCAG 2.1 AA) und der europäischen Norm EN 301 549 geachtet - jener technischen Grundlage, auf der sowohl der European Accessibility Act (Richtlinie (EU) 2019/882) als auch die Richtlinie (EU) 2016/2102 zur Barrierefreiheit öffentlicher Websites aufbauen. So können alle Hinweisgeberinnen und Hinweisgeber den Kanal sicher und ohne fremde Hilfe nutzen. In Österreich sind die Bezugspunkte das Web-Zugänglichkeits-Gesetz (WZG) für Websites und mobile Anwendungen des Bundes und das Barrierefreiheitsgesetz (BaFG), das den European Accessibility Act umsetzt.

Die Digital Public Goods Alliance führt GlobaLeaks überdies als Digital Public Good - ein Beleg dafür, dass es sich um freie, quelloffene Software im Dienst des öffentlichen Interesses handelt.