Interne Meldestelle outsourcen: Vor- und Nachteile im Rahmen des Hinweisgeberschutzgesetzes

Der Gesetzesentwurf zum Hinweisgeberschutzgesetz ist im Kabinett beschlossen. Wird der Entwurf so verabschiedet, bleibt größeren Organisationen (ab 250 Mitarbeitende) noch bis zum Ende des Jahres, um die Vorgaben umzusetzen. Das ist nicht viel Zeit – zumal die Umsetzung komplex ist.

Daher sollten Verantwortliche schon jetzt mit der Einrichtung einer internen Meldestelle beginnen und klare Vorgaben erlassen, wie mit Meldungen von Whistleblowern umzugehen ist. Ob sie die Meldestelle selbst betreiben oder an Dritte outsourcen, ist Organisationen dabei freigestellt.

Wir haben für Sie zusammengefasst, welche Vor- und welche Nachteile das Outsourcen der internen Meldestelle für Organisationen mit sich bringt. 

Der wohl wichtigste Punkt für Organisationen: die Kosten. Bei einer outgesourcten Stelle fallen potenziell hohe Kosten an, die auf den ersten Blick höher erscheinen als bei einer internen Lösung. Hier muss allerdings bedacht werden, dass das Aufsetzen einer eigenen Meldestelle enorm viele Ressourcen bindet: Die Prozesse müssen bedacht, rechtlich geprüft und technisch angemessen umgesetzt werden. Organisationen sollten daher genau durchrechnen, welche Variante für sie kostengünstiger ist.

Hinzu kommt, dass sich Organisationen von externen Dienstleistungsunternehmen abhängig machen – beispielsweise bei der Bereitstellung von Daten im Fall der Verteidigung von Rechtsansprüchen. Hier sollten Organisationen genau darauf achten, ob es eine vertragliche Zusicherung der Datenübermittlung in einem gewissen Zeitraum gibt.

Gerade bei größeren Meldestellen, die von einer Vielzahl an Organisationen genutzt werden, steigt die Gefahr, dass diese zum Angriffsziel von gezielter Sabotage und Hackings werden oder dass sogenannte Trolls die Meldestelle missbrauchen. Achten Sie daher darauf, dass die von Ihnen gewählte Meldestelle die nötigen Sicherheitsmaßnahmen trifft. 

Ein großer Vorteil des Outsourcings ist, dass sich Organisationen nicht um die dafür benötigte Infrastruktur kümmern müssen. Die Server des Auftragsverarbeiters müssen nicht gewartet werden. Gleichzeitig verschlüsselt der Auftragsverarbeiter die Server mit einer entsprechenden Technologie. Durch Service- und Wartungsverträge kann so – ohne selbst besonderen technischen Aufwand betreiben zu müssen – ein hoher Schutz für hinweisgebende Personen gewährleistet werden.

Hinzu kommt, dass das eigene IT-Personal bei Wartungen etc. nicht zufällig Einsicht nehmen kann. Insgesamt ist das Berechtigungskonzept besser abbildbar, es entstehen keine internen Interessenskonflikte und Vertretungsregelungen stellen kein Problem dar.

Derartige Lösungen sind zudem meist flexibel und können erweitert werden durch eine Hotline oder andere Möglichkeiten der Kontaktaufnahme. Außerdem werden sie an die jeweilige Rechtsprechung angepasst – ohne, dass Sie sich gesondert informieren müssen. Auch branchenspezifische Anforderungen können einfach abgebildet werden. 

Bei einer outgesourcten Meldestelle erfolgt die Aufnahme der Hinweise rechts- und revisionssicher. In einigen Fällen findet durch das Dienstleistungsunternehmen bereits eine Vorbewertung statt und/oder die nötigen Folgemaßnahmen werden sofort eingeleitet.

Darüber hinaus erfolgen die Archivierung und Datenlagerung gemäß den Vorgaben – inklusive Löschkonzept. So werden alle Betroffenen geschützt.

Die Kosten für die Wartung und den Betrieb der Meldestelle sind dabei skalierbar und genau planbar. Außerdem können Organisationen mit einer rechtssicheren Umsetzung Bußgelder vermeiden. 

Ziel ist es, hinweisgebende Personen und von Meldungen betroffene Personen so gut wie möglich zu schützen. Das muss auch die interne Meldestelle spiegeln. Organisationen steht dabei offen, ob sie die Meldestelle selbst oder an Dritte ausgelagert betreiben wollen – solange die Meldestelle den Vorgaben entspricht. Hier müssen Organisationen selbst abwägen, ob sie ein derartiges System stemmen können und mit welcher Variante sie einen größeren Schutz gewährleisten können.