Anonyme Meldungen: muss man sie annehmen und wie geht das sicher

Vertraulichkeit ist Pflicht, Anonymität ist Wahl

Das polnische Gesetz vom 14. Juni 2024 über den Schutz von Hinweisgebern verpflichtet den Rechtsträger sicherzustellen, dass das Verfahren und die Art der Datenverarbeitung unbefugten Personen den Zugang zu den von der Meldung erfassten Informationen verwehren und den Schutz der Vertraulichkeit der Identität der hinweisgebenden Person, der Person, die die Meldung betrifft, und der in der Meldung genannten Dritten gewährleisten (Art. 8 Abs. 1). Die Identität der hinweisgebenden Person darf ohne deren ausdrückliche Zustimmung nicht offengelegt werden, es sei denn, die Offenlegung ist eine notwendige und verhältnismäßige Pflicht aus Rechtsvorschriften im Zusammenhang mit einem von Behörden geführten Verfahren (Art. 8 Abs. 2 und 3).

Das ist Vertraulichkeit: Die Organisation weiß, wer gemeldet hat, aber das weiß nur ein enger Kreis befugter Personen, und dieses Wissen darf nicht weitergegeben werden.

Anonymität ist die Situation, in der die Organisation nicht weiß, wer gemeldet hat. Das Gesetz spricht an einer Stelle davon: Das Verfahren für interne Meldungen kann den Umgang mit anonymen Meldungen regeln (Art. 25 Abs. 2 Nr. 1). Die Entscheidung liegt beim Rechtsträger und muss im Verfahren festgehalten werden.

Was die Entscheidung „wir nehmen nicht an“ bedeutet

Sieht das Verfahren keine anonymen Meldungen vor, löst eine anonyme Meldung die Pflichten aus dem Gesetz nicht aus: Sie muss weder bestätigt noch mit Folgemaßnahmen bearbeitet werden, und es ist keine Rückmeldung innerhalb von 3 Monaten nötig. Man kann sie jedoch, und in der Regel lohnt sich das, nach allgemeinen Regeln prüfen, denn eine Information über einen Verstoß wird nicht weniger wahr, nur weil unbekannt ist, wer sie übermittelt hat.

Diese Entscheidung hat allerdings einen Preis, der im Verfahren nicht sichtbar ist. Die Daten aus Untersuchungen von Meldekanälen in Europa sind eindeutig: In Organisationen, die anonyme Meldungen annehmen, gehen deutlich mehr Meldungen ein, und der Anteil der Meldungen, die Personen in Führungspositionen betreffen, ist höher. Ein Beschäftigter, der Angst vor seinem Vorgesetzten hat, meldet einen Fall nicht unter seinem Namen, egal wie solide die Vertraulichkeitsklausel ist, denn in einem kleinen Unternehmen und in einer kleinen Niederlassung bedeutet „vertraulich“ in der Praxis „einige Personen wissen es“.

Was die Entscheidung „wir nehmen an“ bedeutet

Die Annahme anonymer Meldungen erfordert drei Dinge, die ein gewöhnliches E-Mail-Postfach nicht bietet:

1. Einen Kanal, der die Identität wirklich nicht erfasst. Ein E-Mail-Postfach speichert die Absenderadresse. Ein Formular im Firmenintranet speichert den Login. Eine Seite, die Analyseskripte lädt, speichert die Browserkennung. Eine Meldung ist nur dann anonym, wenn die Meldeseite keine IP-Adresse speichert, keine Tracking-Tools verwendet und kein Konto verlangt und aus Anhängen die Metadaten entfernt (Dateiautor, Telefonmodell, GPS-Koordinaten eines Fotos), die den Urheber genauer identifizieren können als eine Unterschrift.
2. Einen Weg für die Rückkommunikation ohne Offenlegung. Das Gesetz verlangt Bestätigung und Rückmeldung, wenn die hinweisgebende Person eine Kontaktadresse angegeben hat. Eine anonyme hinweisgebende Person gibt keine Adresse an, kann aber über Meldungsnummer und Zugangscode zum Fall zurückkehren, die Antwort lesen und Fragen der fallbearbeitenden Person beantworten. Ohne einen solchen Mechanismus ist eine anonyme Meldung einmalig und in der Regel unvollständig.
3. Eine Regelung im Verfahren, wie anonyme Meldungen geprüft werden. Anonymität erhöht das Risiko böswilliger Meldungen. Das Verfahren sollte festlegen, dass anonyme Meldungen mit derselben Sorgfalt geprüft werden und Maßnahmen gegenüber der betroffenen Person erst ergriffen werden, nachdem die Fakten aus anderen Quellen bestätigt wurden.

Schutz der anonymen hinweisgebenden Person

Eine Person, die anonym gemeldet hat und deren Identität später festgestellt wurde, ist vor Repressalien nach denselben Grundsätzen geschützt wie eine offen auftretende hinweisgebende Person (Art. 6 in Verbindung mit der Definition der Meldung). Die Feststellung der Identität kann sich etwa aus dem Inhalt der Meldung ergeben, aus dem hervorgeht, dass nur eine Person sie geschrieben haben kann. Eine Organisation, die in einer solchen Situation Maßnahmen gegen den mutmaßlichen Urheber ergreift, haftet für Repressalien genauso, als hätte die hinweisgebende Person unterschrieben.

Wann die Vertraulichkeit endet: der Antrag auf Offenlegung

Auch in einem vertraulichen (nicht anonymen) Kanal sollte der Zugriff auf die Identität der hinweisgebenden Person die Ausnahme sein. Eine gute Praxis, die manche Organisationen im Verfahren festhalten, ist die Trennung des Meldungsinhalts von der Identität: Die fallbearbeitende Person sieht den Inhalt, und die Identität ist erst auf einen Antrag hin zugänglich, den eine zweite befugte Person genehmigt hat, mit Angabe von Zweck und Datum. Eine Offenlegung auf Verlangen einer Behörde ist dann dokumentiert, und ein zufälliger „Blick“ aus Neugier unmöglich.

Was Anonymität nicht ist

Anonymität befreit die hinweisgebende Person nicht von der Verantwortung für eine wissentlich falsche Meldung. Wer eine Meldung erstattet und dabei weiß, dass es zu keinem Verstoß gekommen ist, macht sich strafbar (Art. 57), und die Person, die einen Schaden erlitten hat, kann Schadensersatz oder eine Entschädigung für immaterielle Schäden verlangen (Art. 15). Anonymität erschwert die Durchsetzung dieser Verantwortung, hebt sie aber nicht auf.

Anonymität bedeutet auch nicht, dass die Meldung weniger glaubwürdig ist. Das Gesetz differenziert die Beweiskraft nicht. Differenziert wird sie allenfalls durch den Inhalt: Eine Meldung mit Dokumenten und konkreten Angaben wiegt ohne Unterschrift genauso viel wie mit Unterschrift.

So funktioniert es in sygnadesk

Die Meldeseite läuft unter der Domain des Kunden, speichert keine IP-Adresse, lädt keine externen Ressourcen und verlangt kein Konto. Die hinweisgebende Person erhält eine Meldungsnummer und eine PIN, mit denen sie zum Gespräch mit der fallbearbeitenden Person zurückkehrt; Bestätigung und Rückmeldung warten im Fall. Aus Anhängen werden Metadaten automatisch entfernt. Hat die hinweisgebende Person ihre Identität angegeben, wird diese getrennt vom Inhalt gespeichert, und ihre Aufdeckung erfordert einen von einer zweiten befugten Person genehmigten Antrag und wird im Register der Offenlegungsanträge erfasst. Im Ende-zu-Ende-Modus sind Inhalt und Identität zusätzlich mit dem Schlüssel des Kunden verschlüsselt, sodass der Betreiber des Systems auch technisch keinen Zugriff darauf hat.