Die Kanzlei als Stelle für die Meldungen ihrer Kunden: Zugriff, den der Kunde selbst kontrolliert

Was das Gesetz in dieser Situation sagt

Ein Rechtsträger kann einen externen Dritten, etwa eine Kanzlei, zur Entgegennahme von Meldungen, zur Eingangsbestätigung und zur Übermittlung der Rückmeldung ermächtigen (Art. 25 Abs. 1 Nr. 1 und Art. 28 Abs. 1 des polnischen Hinweisgeberschutzgesetzes, Gesetz vom 14. Juni 2024 über den Schutz von Hinweisgebern), auf Grundlage eines Vertrags, der auch die Auftragsverarbeitung der Daten umfasst (Art. 28 Abs. 2). Folgemaßnahmen und Entscheidung bleiben jedoch bei der unparteiischen internen Stelle des Rechtsträgers (Art. 25 Abs. 1 Nr. 3), das Meldungsregister führt der Rechtsträger (Art. 29), und die Verantwortung geht nicht nach außen über (Art. 28 Abs. 4).

Jede Person, die Meldungen sieht, auch der Anwalt der Kanzlei, braucht eine schriftliche Befugnis von diesem konkreten Rechtsträger (Art. 27 Abs. 2), und die vorschriftswidrige Offenlegung der Identität der hinweisgebenden Person ist eine Straftat (Art. 56). Daher das Modell „ein Konto in jeder Gesellschaft“: Die Befugnis gilt pro Rechtsträger und pro Person, also bildet ein Konto bei jedem Kunden die Vorschrift genau ab.

Dies beschreibt, wie das System die Vorschriften abbildet, und ist keine Rechtsberatung; die Details des Verfahrens legt die Organisation mit ihrer eigenen Rechtsberatung fest.

Worauf bei der Einführung zu achten ist

1. Der Kunde lädt ein, nicht die Kanzlei. Der Administrator des Kunden fügt den Anwalt wie jeden Mitarbeitenden hinzu, indem er seine E-Mail-Adresse einträgt. Der Anwalt nimmt die Einladung in seinem eigenen Konto an und sieht diesen Kunden von da an neben den übrigen. Eine nicht angenommene Einladung verfällt nach 14 Tagen.
2. Rolle höchstens Direktor. Eine externe Person wird nicht Administrator des Kunden: Sie ändert keine Einstellungen, lädt niemanden ein und schaltet keine Sicherheitsfunktionen ab. Im Team des Kunden erscheint sie als „externe Person: Name der Kanzlei“.
3. Befugnis bei jedem Kunden. Die schriftliche Befugnis liegt im Befugnisregister dieses Kunden, mit Ausstellungsdatum und Empfangsbestätigung. Eine Kontrolle beim Kunden sieht ein Dokument, keine Zusicherung.
4. Ein Login, getrennte Register. Der Anwalt hat ein Passwort und eine 2FA-App, und jeder Kunde ist ein eigenes, isoliertes Konto. Der Bildschirm „Meine Organisationen“ zeigt, bei welchem Kunden gerade die 7 Tage für die Eingangsbestätigung oder die Rückmeldefrist ablaufen.
5. Ende der Zusammenarbeit mit einem Klick des Kunden. Die Abkopplung beendet den Zugriff sofort, mit einem Eintrag im Audit-Protokoll auf beiden Seiten. Der Kunde muss weder Passwörter ändern noch die Kanzlei bitten, das Konto „zurückzugeben“.
6. Die Kanzlei als abrechnender Partner. Wenn die Kanzlei für ihre Kunden Konten anlegt und abrechnet, tut sie das im Partnermodell: Der Kunde testet 7 Tage ohne Karte, der Rabatt wächst mit der Zahl der Kunden, und den Einblick in die Metadaten der Fälle schaltet der Kunde selbst frei. Die Inhalte der Meldungen sieht der Partner nie.

Funktionen, die den Unterschied machen

• Die Kontrolle bleibt in der Gesellschaft und Spur jedes externen Zugriffs (Unternehmensgruppen, Kanzleien und DSB).
• Ein Login, viele Gesellschaften mit dem Bildschirm „Meine Organisationen“.
• Befugnisregister bei jedem Kunden (Compliance und Berechtigungen).
• Anträge auf Offenlegung der Identität: Der Anwalt kann die Identität der hinweisgebenden Person nicht allein aufdecken; den Antrag genehmigt eine zweite ermächtigte Person des Kunden (Vertraulichkeit).
• Partnermodell mit Testzeitraum für den Kunden und Abrechnung pro Kunde (für Partner).

Häufige Fragen

Kann die Kanzlei die Untersuchung für den Kunden führen?

Sie kann unterstützen: Meldungen entgegennehmen, den Eingang bestätigen, den Entwurf der Rückmeldung vorbereiten, die Kommission beraten. Entscheidung und Unterschrift unter der Rückmeldung bleiben bei der unparteiischen internen Stelle des Kunden, und das Meldungsregister führt der Kunde. So ordnet es das Gesetz an, und so ist die Rollenverteilung im System eingestellt.

Sieht der Kunde, in welchen anderen Organisationen der Anwalt arbeitet?

Nein. Der Administrator des Kunden sieht nur, dass die Person sich über eine andere Organisation anmeldet und dass sie eine externe Person der betreffenden Kanzlei ist. Die Liste der übrigen Kunden der Kanzlei wird niemandem angezeigt.

Mehr zu den Rollen im Artikel DSGVO bei Hinweisgebermeldungen.