Hinweisgebersysteme für Schweizer Unternehmen im Vergleich

Beginnen wir mit der Tatsache, die hier jeden Schweizer Entscheid prägt: Die Schweiz hat kein allgemeines Whistleblower-Schutzgesetz. Die Revision des Obligationenrechts, die eines geschaffen hätte, ist im März 2020 nach rund siebzehn Jahren definitiv gescheitert — und sie scheiterte von beiden Seiten, wobei unter anderem der Schweizerische Gewerkschaftsbund das Scheitern begrüsste. Stattdessen existiert Rechtsprechung, abgeleitet aus der Treuepflicht nach Art. 321a OR, die eine Kaskade setzt: zuerst intern melden, dann der zuständigen Behörde, und erst danach, unter engen Voraussetzungen, öffentlich.

Schweizer Unternehmen kaufen Hinweisgebersysteme deshalb aus drei Gründen, von denen keiner ein Schweizer gesetzlicher Auftrag ist: Eine EU-Gesellschaft bringt sie in den Anwendungsbereich der Richtlinie (EU) 2019/1937, eine Konzernmutter oder eine Kundin verlangt eines, oder die Geschäftsleitung hat gerechnet, dass es günstiger ist, von Problemen intern zu erfahren als anderswo darüber zu lesen. Diese Seite vergleicht die drei Wege, diesen Kanal zu bauen — eine dedizierte Fallmanagement-Plattform, eine externe Meldestelle und ein verschlüsseltes Eingangsformular — und sagt ausdrücklich, welche Teile der Aufgabe wir nicht abdecken.

Was der Kanal tatsächlich leisten muss

Gilt für Sie die Richtlinie (EU) 2019/1937 — über eine EU-Gesellschaft mit 50 oder mehr Arbeitnehmenden oder im Finanzsektor unabhängig von der Grösse —, hat der Kanal harte Anforderungen, und genau sie trennen ein Formular von einem System:

1. Empfang innert sieben Tagen bestätigen. Das heisst: Sie brauchen einen Weg, eine meldende Person zu erreichen, die Ihnen möglicherweise keine Kontaktangabe hinterlassen hat.
2. Innert drei Monaten Rückmeldung geben. Dasselbe Problem mit längerer Frist — und die Anforderung, die am häufigsten ein dediziertes Werkzeug erzwingt.
3. Die Identität der meldenden Person vertraulich halten, auch gegenüber den Betroffenen — eine Frage der Zugriffssteuerung in Ihrer eigenen Organisation.
4. Meldungen in den Sprachen entgegennehmen, die Ihr Personal tatsächlich spricht. Für eine Schweizer Arbeitgeberin heisst das meist mindestens DE, FR, IT und EN.
5. Aufzeichnungen führen über Meldungen und darüber, was damit geschah, mit definierter statt unbestimmter Aufbewahrung.

Zwei strukturelle Details gehören ins Blickfeld. Gesellschaften mit 50–249 Arbeitnehmenden dürfen Untersuchungsressourcen teilen, aber jede lokale Gesellschaft behält ihren eigenen Meldekanal. Und die obigen Fristen sind der Grund, warum anonymer Dialog in beide Richtungen die wichtigste Fähigkeit dieser Kategorie ist: Eine Meldung, die sich nicht klären lässt, kann häufig nicht untersucht werden, und wer nicht erreichbar ist, kann keine Rückmeldung erhalten. Die vollständigen Pflichten stehen in der EU-Whistleblowing-Richtlinie, die Schweizer Rechtslage in Whistleblowing in der Schweiz.

Die drei Wege, den Kanal zu bauen

1. Eine dedizierte Fallmanagement-Plattform

EQS Integrity Line ist das Referenzprodukt dieses Markts und bezeichnet sich als meistgenutzte Whistleblowing-Software in Europa und der Schweiz. Sie unterstützt Meldungen in über 60 Sprachen, bietet anonyme Meldung mit Rückfragemöglichkeit, mehrstufige Untersuchungs-Workflows mit automatisiertem Routing sowie Hosting in Europa; EQS nennt unter seinen Zertifizierungen ISO 27001 und SOC 2. Bewertungsportale Dritter nennen für die Abo-Modelle einen Einstieg um EUR 100 pro Monat, was für ein mittelgrosses Unternehmen für das Gebotene durchaus vernünftig ist. Weitere Anbieter — darunter Whistleblower Software und andere EU-Anbieter — besetzen dieselbe Form zu verschiedenen Preispunkten.

Sie kaufen die Fallmanagement-Hälfte: Fristenverfolgung gegen die Sieben-Tage- und Drei-Monats-Uhr, ein anonymes Postfach, zu dem die meldende Person zurückkehren kann, rollengetrennter Zugriff für Untersuchende, dokumentierte Entscheide und Berichterstattung an Ihr Prüfgremium. Ist die Richtlinien-Compliance der Treiber, ist das die Kategorie für die engere Wahl — und das sagen wir ohne Einschränkung.

2. Eine externe Meldestelle — Anwaltskanzlei, Ombudsstelle oder Prüfgesellschaft

Die Richtlinie erlaubt ausdrücklich, dass eine dritte Partei den Kanal betreibt, und in der Schweiz ist dieser Weg verbreitet und oft unterschätzt. Eine externe Anwältin oder Ombudsstelle nimmt Meldungen entgegen, triagiert sie und übergibt der Organisation einen Fall statt eines rohen Vorwurfs. Der Vorteil ist Unabhängigkeit: Für ein Schweizer Unternehmen mit 200 Personen, in dem sich alle kennen, ist eine externe Eingangsstelle häufig die einzige Konstellation, der Mitarbeitende glauben. Der Nachteil sind die Kosten pro Fall und der Umstand, dass Sie zusätzlich eine berufsgeheimnisgebundene Beziehung zu führen haben.

3. Ein verschlüsseltes Eingangsformular

Der dritte Weg ist eine allgemeine verschlüsselte Formularplattform als Eingangsschicht, wobei die Fallbearbeitung die zuständigen Personen mit ihren bestehenden Werkzeugen erledigen. Das ist mit Abstand der günstigste Weg und der stärkste in einer bestimmten Eigenschaft: Niemand ausserhalb der benannten Empfangenden — den Plattformbetrieb eingeschlossen — kann eine Meldung lesen. Es ist zugleich der Weg, dem am offensichtlichsten Fallmanagement fehlt, und darüber sind wir unten präzis, statt es zu beschönigen.

Direkter Vergleich

Lesen Sie die ersten drei Zeilen zusammen. Sie sind der ehrliche Grund, warum es dedizierte Plattformen gibt, und keine Menge Verschlüsselung ersetzt sie.

Wo wir nicht die Antwort sind — klar gesagt

Schweizerform ist eine verschlüsselte Eingangsschicht und kein Whistleblowing-Fallmanagementsystem. Konkret: Wir bieten kein anonymes Postfach, zu dem die meldende Person zurückkehren kann, wir verfolgen weder die Sieben-Tage-Bestätigung noch die Drei-Monats-Rückmeldung, und wir haben keinen Untersuchungs-Workflow, keine Fallstatus und kein Berichtspaket für Ihr Prüfgremium. Gilt die Richtlinie (EU) 2019/1937 für Ihre Gesellschaft und haben Sie keinen anderen Weg, diese Pflichten zu erfüllen, ist eine dedizierte Plattform oder eine externe Stelle die richtige Anschaffung — und Sie sollten sie tätigen.

Es gibt einen ehrlichen Behelf, und er ist kein vollwertiger Ersatz: Eine Meldung über uns kann einen von der meldenden Person selbst gewählten Rückkanal enthalten — eine Wegwerf-E-Mail-Adresse, ein pseudonymes Konto —, womit Sie bestätigen und nachfassen können, ohne die Identität in die Hände zu bekommen. Das ist ein Muster und keine Funktion, und es hängt von der operativen Sorgfalt der meldenden Person ab. Schreiben Sie es ins Formular, statt eine Dialogfähigkeit anzudeuten, die wir nicht haben.

Wo ein verschlüsseltes Formular tatsächlich stärker ist

Eine Eigenschaft — und es ist die, die Schweizer Mitarbeitende wirklich interessiert. Auf einer konventionellen Plattform, dedizierte Whistleblowing-Suiten eingeschlossen, öffnet die Fallbearbeitung lesbare Meldungen. Also hält das System lesbare Meldungen. Also kann der Betrieb sie technisch erreichen und zur Herausgabe gezwungen werden. Das ist keine Kritik: Eine Fallmanagement-Suite muss der bearbeitenden Person den Fall zeigen können, sie kann also nicht in dem Sinn Zero-Knowledge sein, wie es ein Eingangsformular kann. Die Frage an jeden Anbieter dieser Kategorie ist präzis: «Kann Ihr Personal — oder wer Ihre Infrastruktur hält — eine eingereichte Meldung technisch lesen, und wenn ja, unter welchen Kontrollen?»

Bei einem Ende-zu-Ende-verschlüsselten Eingang ist die Antwort architektonisch statt prozessual: Meldungen werden im Browser der meldenden Person verschlüsselt, der Server hält Chiffrat, und entschlüsseln kann nur, wer den Tresorschlüssel hat — eine benannte Compliance-Verantwortliche, ein Verwaltungsratsausschuss, eine externe Rechtsvertretung, wen auch immer Ihre Richtlinie bestimmt. Beim Plattformbetrieb kann es niemand, auch nicht unter einer an uns gerichteten gerichtlichen Anordnung, weil es nichts Lesbares herauszugeben gibt. Der Mechanismus steht in Zero-Knowledge-Architektur erklärt, die Zwangsfrage in Herausgabeersuchen, Durchsuchungsbeschlüsse und Ihre Formulardaten.

Zwei unterstützende Eigenschaften zählen hier mehr als in jedem anderen Anwendungsfall. Keine Tracker auf der Meldeseite: Wer von einem Arbeitsgerät aus kommt, sollte weder auf ein Consent-Banner noch auf ein Skript Dritter treffen — unsere öffentlichen Formularseiten laden weder das eine noch das andere. Und keine mit der Einreichung gespeicherte IP-Adresse, was zusammen mit den bewusst nicht aufbewahrten Metadaten in IP-Adressen und Formular-Metadaten steht. Ein Zeitstempel plus eine Büro-IP-Adresse hat mehr Anonymitätsversprechen beendet als jedes kryptografische Versagen.

Die Datenschutzebene, die alle vergessen

In der Schweiz ist das Datenschutzrecht der Teil des Whistleblowings, der tatsächlich durchsetzbar ist, und er gilt für alle drei Wege. Meldungen betreffen Verfahren und Sanktionen, womit sie besonders schützenswerte Personendaten nach Art. 5 lit. c DSG sind. Ein Hinweisgebersystem ist der Lehrbuchfall einer Datenschutz-Folgenabschätzung nach Art. 22. Und der unbequeme Punkt: Die beschuldigte Person hat ein Auskunftsrecht nach Art. 25 — einschränkbar nach Art. 26 zum Schutz der meldenden Person, eine Position kantonaler Datenschutzbehörden, aber nur als dokumentierter Einzelfallentscheid, nie als pauschale Klausel in Ihrer Richtlinie.

Praktische Folgen für die Beschaffung: Ihr Bearbeitungsverzeichnis braucht die Plattform und ihre Unterauftragsverarbeiter namentlich, Ihre Aufbewahrungsregel muss abgeschlossene wie offene Fälle abdecken, und Ihre Folgenabschätzung sollte vor dem Start des Kanals geschrieben sein und nicht nach der ersten Meldung. Unsere Erläuterung zu Auftragsverarbeitungsverträgen steht in Brauchen Sie einen AVV für Ihr Formular-Tool, der Aufbewahrungsrahmen in Aufbewahrungsfristen für Formulardaten.

Das Gegenbeispiel aus dem öffentlichen Sektor

Bundesangestellte sind die eine Schweizer Gruppe mit gesetzlichem Rahmen, und den sollte man kennen, weil er die Erwartung setzt, an der sich andere messen. Art. 22a des Bundespersonalgesetzes verpflichtet Bundesangestellte, von Amtes wegen zu verfolgende Verbrechen und Vergehen zu melden, gibt ihnen das Recht, andere Unregelmässigkeiten der Eidgenössischen Finanzkontrolle zu melden — anonym, über deren Plattform — und schützt sie in Abs. 5 davor, wegen einer in gutem Glauben erstatteten Meldung beruflich benachteiligt zu werden. Das ist reines Bundespersonalrecht: Kantonales Personalrecht variiert, und für kantonale oder kommunale Angestellte gibt es keine nationale Antwort. Ein kantonales Organ, das einen Kanal baut, gestaltet unter kantonalem Datenschutzrecht — weshalb die Hostingfrage dort meist anders entschieden wird.

Welcher Weg zu welchem Unternehmen passt

Dedizierte Plattform kaufen, wenn

• die Richtlinie (EU) 2019/1937 über eine EU-Gesellschaft gilt oder eine Konzernmutter ein gemeinsames System vorschreibt
• Sie Fristenverfolgung, Fallstatus und Berichterstattung ans Prüfgremium als Produkt und nicht als Tabelle brauchen
• Meldungen in vielen Sprachen und aus vielen Ländern eintreffen
• Compliance Budget und Mandat hat und das Programm wie ein Programm aussehen muss

Externe Meldestelle nutzen, wenn

• das Unternehmen so klein ist, dass interne Unabhängigkeit für Mitarbeitende nicht glaubwürdig ist
• Triage und Untersuchung von Personen erledigt werden sollen, die das beruflich tun
• der zu erwartende Gegenstand vom ersten Satz an juristisch heikel ist

Verschlüsseltes Eingangsformular nutzen, wenn

• keine Richtlinienpflicht besteht und Sie den Kanal bauen, weil es richtig ist
• die entscheidende Anforderung lautet, dass kein Plattformbetrieb eine Meldung lesen kann
• Sie denselben Kanal in DE, FR, IT und EN brauchen, ohne ein Beschaffungsprojekt
• die Organisation klein ist, die Empfangenden wenige und benannt sind und die Fallbearbeitung direkt durch diese Personen erfolgen kann
• Sie ein bestehendes Programm um einen maximal vertraulichen Weg für die schwierigsten Meldungen ergänzen

Die Kombination, die die meisten Schweizer Unternehmen prüfen sollten

Für ein Schweizer Unternehmen im Anwendungsbereich der Richtlinie: eine dedizierte Plattform für das Programm und ein verschlüsselter Eingang als benannter Alternativweg für Meldungen, bei denen die Angst der meldenden Person gerade den Systemen gilt. Für ein Schweizer Unternehmen ausserhalb des Anwendungsbereichs — und das sind die meisten — beginnen Sie mit dem verschlüsselten Formular und einer erreichbaren externen Rechtsvertretung, denn ein Kanal, der existiert und dem vertraut wird, schlägt ein Beschaffungsprojekt, das noch im Scoping steckt. Was auch immer Sie wählen: Publizieren Sie, wer Meldungen liest, in welcher Frist und was danach geschieht; die Technik zählt weniger, als dass dieser Satz stimmt.