Meldekanal für eine Watchdog-Organisation: Schutz der Identität der Quelle

Was das Gesetz in dieser Situation sagt

Das polnische Hinweisgeberschutzgesetz (Gesetz vom 14. Juni 2024 über den Schutz von Hinweisgebern) schützt Personen, die Verstöße im beruflichen Kontext melden, auch durch öffentliche Offenlegung, wenn die Voraussetzungen des Art. 51 erfüllt sind: eine vorherige Meldung ohne fristgerechte Reaktion oder hinreichende Gründe für die Annahme, dass der Verstoß eine unmittelbare Gefährdung des öffentlichen Interesses darstellt oder dass eine Meldung an eine Behörde wirkungslos wäre. Eine Watchdog-Organisation, die solche Informationen annimmt, ist selbst kein „Rechtsträger“ mit einer Verfahrenspflicht gegenüber diesen Personen, aber sie ist Verantwortlicher für deren Daten und für deren Sicherheit verantwortlich.

Beschäftigt die Stiftung 50 oder mehr Personen, hat sie zusätzlich die gewöhnliche Verfahrenspflicht gegenüber ihren eigenen Mitarbeitern und Freiwilligen. Beide Kanäle können in einem System als getrennte Formulare mit getrennten Berechtigungen laufen.

Worauf bei der Einführung zu achten ist

1. Keine technischen Spuren. Die Meldeseite darf keine IP-Adresse speichern, keine Schriftarten oder Skripte von externen Servern laden und keine Analysewerkzeuge nutzen. Jedes dieser Elemente ist ein Eintrag bei einem Dritten, der per Herausgabeverlangen beschafft werden kann.
2. Metadaten der Anhänge. Ein mit dem Telefon aufgenommenes Foto eines Dokuments enthält das Gerätemodell, die Uhrzeit und oft den Standort; ein Scan aus dem Büro trägt den Gerätenamen. Die Bereinigung muss automatisch erfolgen, bevor irgendjemand die Datei sieht.
3. Rückkehr zum Gespräch ohne Konto und ohne E-Mail. Die Quelle kommt über Meldungsnummer und PIN zurück, von jedem Gerät, und kann Fragen nach Wochen beantworten.
4. Der Schlüssel auf Seiten der Organisation. Inhalt und Identität sind mit einem Schlüssel verschlüsselt, den der Anbieter nicht hat. Ein Herausgabeverlangen an den Anbieter kann nicht mit der Herausgabe dessen enden, was sich nicht lesen lässt.
5. Internes Verfahren, wer in der Organisation Zugriff auf Fälle hat und nach welchen Regeln, mit schriftlichen Befugnisse, obwohl das Gesetz das gegenüber externen Quellen nicht ausdrücklich verlangt. Die DSGVO verlangt es.

Funktionen, die den Unterschied machen

• Meldeseite ohne IP-Speicherung, ohne externe Ressourcen, ohne Tracking (Vertraulichkeit und Identitätsschutz).
• Entfernen von Metadaten aus Anhängen vor dem Speichern.
• Meldungsnummer und PIN: Gespräch ohne Konto und ohne E-Mail-Adresse.
• Ende-zu-Ende-Verschlüsselung mit dem Schlüssel der Organisation; der Betreiber hat keinen Schlüssel und keinen Wiederherstellungsmechanismus, und jede berechtigte Person hat einen persönlichen Notfallcode.
• Eigene Domain und Marke: Die Quelle sieht die Adresse der Organisation, der sie vertraut (Einführung und Kanäle).
• Mehrere Formulare: ein eigenes für externe Quellen und ein eigenes für die Mitarbeiter der Stiftung, mit getrennten Berechtigungen.

Häufige Fragen

Ist eine Person von außerhalb der Organisation, die der Stiftung etwas meldet, eine hinweisgebende Person?

Gegenüber der Stiftung nicht im Sinne des Gesetzes, weil sie mit ihr keinen beruflichen Kontext hat. Sie kann hinweisgebende Person gegenüber ihrem eigenen Arbeitgeber sein und den Schutz bei öffentlicher Offenlegung in Anspruch nehmen, wenn sie die Voraussetzungen des Art. 51 erfüllt. Die Stiftung ist für ihre Daten als Verantwortlicher zuständig.

Kann der Anbieter des Systems gezwungen werden, den Inhalt von Meldungen herauszugeben?

Er kann ein Herausgabeverlangen erhalten, gibt aber heraus, was er hat. Im Ende-zu-Ende-Modus hat er das Chiffrat und Metadaten ohne Inhalt und Identität, und die Entscheidung über die Entschlüsselung liegt allein bei der Organisation, die den Schlüssel hat.

Mehr zu den Kanälen im Artikel Meldekanäle: schriftlich, mündlich, im Treffen.