Whistleblowing EU

Open-Source-Hinweisgebersystem & interne Meldestelle (Deutschland)

Suchen Sie ein sicheres, ethisches Hinweisgebersystem, das der EU-Hinweisgeberrichtlinie entspricht?

Probieren Sie GlobaLeaks aus, die kostenlose, freie Open-Source-Hinweisgebersoftware, die entwickelt wurde, um:

Erfahren Sie mehr in der offiziellen Dokumentation.

Dokumentation Demo

Die EU-Hinweisgeberrichtlinie

Die EU-Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, verpflichtet Organisationen, sichere und vertrauliche Meldekanäle einzurichten und hinweisgebende Personen vor Repressalien zu schützen.

In Deutschland setzt das Hinweisgeberschutzgesetz (HinSchG) vom 31. Mai 2023 die Richtlinie um. Es verpflichtet öffentliche Stellen und private Unternehmen ab 50 Beschäftigten zur Einrichtung interner Meldestellen. Externe Meldestelle ist das Bundesamt für Justiz.

Gesetzliche Verpflichtungen und Compliance

Fundstelle Verpflichtung Wie GlobaLeaks sie erfüllt
§ 16 Abs. 1-2 HinSchG Die internen Meldestellen betreiben Meldekanäle, über die sich hinweisgebende Personen wenden können; diese sind so zu gestalten, dass nur die für die Bearbeitung zuständigen Personen sowie unterstützende Personen Zugriff auf die eingehenden Meldungen haben. GlobaLeaks ist ein dediziertes, selbst gehostetes internes Hinweisgebersystem für Whistleblowing nach HinSchG auf Basis freier und quelloffener Software, dessen Umsetzung unabhängig überprüfbar ist. Eine granulare Zugriffskontrolle nach dem Need-to-know-Prinzip stellt sicher, dass ausschließlich die zuständigen Bearbeiter und unterstützenden Personen Zugriff erhalten. Vollständige Anonymität ist dank der Integration der Tor-Technologie möglich.
§ 16 Abs. 3 HinSchG Die Meldekanäle müssen Meldungen in mündlicher oder in Textform ermöglichen; auf Ersuchen der hinweisgebenden Person ist für eine persönliche Zusammenkunft zu sorgen. GlobaLeaks ermöglicht Meldungen in Textform mit Anhängen sowie als Sprachnachricht; über den bidirektionalen Kanal kann die hinweisgebende Person zudem eine persönliche Zusammenkunft anfragen.
§ 16 Abs. 1 S. 4-5 HinSchG Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten; eine Verpflichtung, den Meldekanal für anonyme Meldungen zu gestalten, besteht nicht. GlobaLeaks unterstützt anonyme und vertrauliche Meldungen (konfigurierbar); der asynchrone bidirektionale Kanal ermöglicht den Austausch mit der hinweisgebenden Person unter durchgängiger Wahrung der Anonymität.
§ 8 Abs. 1 HinSchG Die Vertraulichkeit der Identität der hinweisgebenden Person, der von einer Meldung betroffenen Personen sowie sonstiger in der Meldung genannter Personen ist zu wahren. Die Identität der hinweisgebenden Person ist in jeder Phase geschützt; die granulare Zugriffskontrolle nach dem Need-to-know-Prinzip verhindert eine Kenntnisnahme durch unbefugte Personen und wahrt so die Vertraulichkeit.
§ 17 Abs. 1 Nr. 1 HinSchG Die interne Meldestelle bestätigt der hinweisgebenden Person den Eingang der Meldung spätestens nach sieben Tagen. Unmittelbar nach Abgabe stellt GlobaLeaks eine Eingangsbestätigung aus, die als fristgerechte Eingangsbestätigung dient.
§ 17 Abs. 1 Nr. 3, 5 HinSchG Die interne Meldestelle hält mit der hinweisgebenden Person den Kontakt und ersucht sie erforderlichenfalls um weitere Informationen. Der asynchrone bidirektionale Kanal ermöglicht einen fortlaufenden Austausch und Rückfragen unter Wahrung der Anonymität; das strukturierte Fallmanagement mit Fristen, Timern, Erinnerungen und Dashboard unterstützt die laufende Kontaktpflege.
§ 17 Abs. 2 HinSchG Die interne Meldestelle gibt der hinweisgebenden Person innerhalb von drei Monaten nach der Bestätigung des Eingangs der Meldung eine Rückmeldung über ergriffene oder geplante Folgemaßnahmen sowie die Gründe hierfür. Das strukturierte Fallmanagement steuert die Einhaltung der Drei-Monats-Frist über Fristen, Timer und Erinnerungen; die Rückmeldung wird der hinweisgebenden Person über den anonymitätswahrenden bidirektionalen Kanal erteilt.
§ 10 HinSchG Verarbeitung personenbezogener Daten im Einklang mit der DSGVO nach dem Grundsatz der Datenminimierung. Self-Hosting, keine Komponenten oder Dienste von Drittanbietern, keine Protokollierung von IP-Adressen, Minimierung der Metadaten.
§ 11 Abs. 5 HinSchG Die Dokumentation einer Meldung ist drei Jahre nach Abschluss des Verfahrens zu löschen; sie darf länger aufbewahrt werden, soweit dies erforderlich und verhältnismäßig ist. Ein datenschutzfreundliches Protokoll dokumentiert die Bearbeitungsvorgänge nachvollziehbar; das strukturierte Fallmanagement mit Fristen und Erinnerungen unterstützt die fristgerechte Löschung drei Jahre nach Verfahrensabschluss.

Über die gesetzlichen Pflichten hinaus: Standards und Anerkennungen

GlobaLeaks ist zudem darauf ausgelegt, innerhalb eines an der Leitlinie ISO 37002:2021 ausgerichteten Hinweisgeber-Managementsystems zu arbeiten und die Anforderungen zertifizierbarer Standards wie ISO 37001 (Anti-Korruption) und ISO 37301 (Compliance-Management) an Meldekanäle zu unterstützen.

In puncto Informationssicherheit ist die Plattform für den Betrieb innerhalb eines an ISO/IEC 27001:2022 ausgerichteten Managementsystems ausgelegt: Meldungen und ihre Anhänge werden durch Verschlüsselung geschützt, und der Zugriff bleibt ausschließlich ausdrücklich befugten Personen vorbehalten. Zugleich setzt sie die Grundsätze der DSGVO (Verordnung (EU) 2016/679) von Datenschutz durch Technikgestaltung und durch Voreinstellungen um: Datenminimierung, keine Speicherung von IP-Adressen und auf das Nötigste beschränkte Metadaten.

Auch die Barrierefreiheit ist ein Entwurfsziel: Die Plattform ist auf Kompatibilität mit den Web Content Accessibility Guidelines (WCAG 2.1 AA) und der europäischen Norm EN 301 549 ausgelegt - der technischen Grundlage des European Accessibility Act (Richtlinie (EU) 2019/882) und der Richtlinie (EU) 2016/2102 über den barrierefreien Zugang zu den Websites öffentlicher Stellen -, damit jede hinweisgebende Person den Meldekanal sicher und selbstständig nutzen kann. In Deutschland sind die Bezugspunkte die BITV 2.0 (barrierefreie Informationstechnik öffentlicher Stellen) und das Barrierefreiheitsstärkungsgesetz (BFSG), das den European Accessibility Act umsetzt.

Von der Digital Public Goods Alliance als Digital Public Good anerkannt, ist GlobaLeaks freie und quelloffene Software im Dienst des öffentlichen Interesses.