Hinweisgebersystem beim MSP-Partner: Kanäle vieler Kunden aus einem Panel
Für einen IT-Dienstleister ist ein Meldekanal für hinweisgebende Personen eine Leistung, die seine Kunden ohnehin bestellen werden, die Frage ist nur, bei wem. Die Bedingung: Der Partner darf nicht zu der Person werden, die den Inhalt der Meldungen seiner Kunden kennt, denn dann tritt er selbst in die Kette von Vertraulichkeit und Verantwortung ein.
Situation
Ein IT-Dienstleister betreut mehrere Dutzend Unternehmen, von denen die meisten gerade die Schwelle von 50 Beschäftigten überschritten haben. Jedes braucht einen Meldekanal, keines will ihn selbst einführen, und der Dienstleister will keine Verantwortung für den Inhalt fremder Meldungen übernehmen.
So funktioniert es
Der Partner legt die Kundenkonten in einem Panel an, unter eigener Marke und Domain; jeder neue Kunde testet 7 Tage ohne Karte, und der Partner entscheidet über die Aktivierung. Der Rabatt wächst mit der Zahl der Kunden. Der Partner sieht ausschließlich Metadaten, und das erst, wenn der Kunde es selbst freischaltet; Inhalte von Meldungen oder Identitäten hinweisgebender Personen sieht er nie.
- White-Label
- E2E-Verschlüsselung
- Gesetzeskonformität
In diesem Szenario 4
Was das Gesetz in dieser Situation sagt
Ein Rechtsträger kann die Entgegennahme von Meldungen einem externen Dienstleister übertragen (Art. 28 des polnischen Hinweisgeberschutzgesetzes, Gesetz vom 14. Juni 2024 über den Schutz von Hinweisgebern), die Verantwortung für das Verfahren, die Fristen und die Vertraulichkeit bleibt jedoch beim Rechtsträger. Ein IT-Dienstleister, der seinen Kunden einen Meldekanal verkauft, nimmt keine Meldungen in ihrem Namen entgegen, sofern der Vertrag nichts anderes bestimmt. Seine Rolle ist die Bereitstellung und der Betrieb des Werkzeugs, also Auftragsverarbeiter im Sinne der DSGVO gegenüber jedem Kunden einzeln.
Jeder Kunde zählt die Schwelle von 50 Personen selbst und legt sein Verfahren selbst fest: Er konsultiert es, macht es bekannt und benennt die fallbearbeitenden Personen. Der Partner kann Vorlagen liefern und den Kanal konfigurieren, aber er kann nicht „das Verfahren für den Kunden haben“.
Worauf bei der Einführung zu achten ist
- Der Partner sieht den Inhalt nicht. Wenn er die Meldungen der Kunden technisch lesen kann, ist er eine Person, die der Kunde schriftlich ermächtigen und zur Verschwiegenheit verpflichten muss (Art. 8), und eine Verletzung der Vertraulichkeit durch einen Mitarbeiter des Partners belastet beide Seiten. Ein Modell, in dem der Partner ausschließlich Fallzahlen und Fristen sieht und der Inhalt mit dem Schlüssel des Kunden verschlüsselt ist, beseitigt dieses Problem an der Wurzel.
- Ein eigenes Konto und ein eigenes Register für jeden Kunden. Eine gemeinsame Datenbank „der Einfachheit halber“ ist ein gemeinsamer Datenbestand verschiedener Verantwortlicher, also eine Konstruktion, die sich vor einem Prüfer nicht verteidigen lässt.
- Eigene Marke und Domain von Partner und Kunde. Die hinweisgebende Person, ein Mitarbeiter des Kunden, soll die Marke ihres Arbeitgebers sehen, nicht die des IT-Dienstleisters.
- Auftragsverarbeitungsvertrag (AVV) entlang der Kette: vom Kunden über den Partner bis zum Betreiber der Plattform, mit einer Liste der Unterauftragsverarbeiter, die der Kunde seinem eigenen Datenschutzbeauftragten (DSB) vorlegen kann.
Funktionen, die den Unterschied machen
- Partner-Panel: Anlegen von Kundenkonten, Abrechnung, mit der Zahl der Kunden steigender Rabatt, ohne Zugriff auf Fälle (Partnermodell).
- Ende-zu-Ende-Verschlüsselung mit dem Schlüssel des Kunden: Partner und Betreiber können weder Inhalt noch Identität lesen, auch nicht mit vollem Zugriff auf die Datenbank (Vertraulichkeit).
- White-Label und eigene Domain für jeden Kunden (Einführung und Kanäle).
- Einführungsassistent und Dokumentvorlagen: Der Partner richtet den Kanal des Kunden in einer Stunde ein, der Kunde passt das Verfahren an.
- Mandantenexport: Ein Kunde, der geht, nimmt sein gesamtes Register mit (JSON/CSV mit Anhängen).
Häufige Fragen
Kann der Partner Meldungen im Namen des Kunden entgegennehmen?
Ja, wenn der Kunde ihm dies im Vertrag ausdrücklich überträgt, mit Vertraulichkeitsregeln und Fristen (Art. 28). Dann benötigen die Mitarbeiter des Partners, die Meldungen entgegennehmen, schriftliche Befugnisse des Kunden. Die meisten IT-Partner verzichten bewusst darauf und bleiben bei der Bereitstellung des Werkzeugs.
Wer ist für die Fristen von 7 Tagen und 3 Monaten verantwortlich?
Immer der Kunde als Rechtsträger. Der Partner ist dafür verantwortlich, dass das Werkzeug die Fristen berechnet und daran erinnert, der Betreiber der Plattform für deren Verfügbarkeit, nach den Regeln der Nutzungsbedingungen und des Auftragsverarbeitungsvertrags.
Mehr zu den Rollen im Artikel DSGVO bei Hinweisgebermeldungen.
Vom Verfahren zum funktionierenden Meldekanal
sygnadesk berechnet die Fristen, führt das Register und schützt die Identität der hinweisgebenden Person so, wie wir es in der Wissensdatenbank beschreiben. Sehen Sie, wie das in Ihrer Organisation aussieht.