Zum Hauptinhalt springen Gesetzlich vorgeschrieben (HinSchG) für Unternehmen ab 50 Beschäftigten

Häufig gestellte Fragen #

Für Compliance-Verantwortliche und Entscheider #

Ist EthicsPortal konform zum HinSchG und zur EU-Richtlinie 2019/1937? #

Ja. EthicsPortal ist gezielt für die Anforderungen des Hinweisgeberschutzgesetzes und der EU-Richtlinie 2019/1937 gebaut. Dazu gehören sichere Meldekanäle, anonyme zweiseitige Kommunikation, Fristenüberwachung (7-Tage-Eingangsbestätigung, 3-Monats-Rückmeldung), Zugriffskontrollen, Aufbewahrungsregeln und ein lückenloses Audit-Protokoll. Siehe die Compliance-Seite für eine Artikel-für-Artikel-Darstellung.

In welchen Ländern ist EthicsPortal konform? #

EthicsPortal deckt die Anforderungen der EU-Richtlinie 2019/1937 ab, die in allen EU-Mitgliedstaaten in nationales Recht umgesetzt wurde. Die Plattform erfüllt den Mindeststandard der Richtlinie, der EU-weit gilt. Ergänzende nationale Anforderungen (z. B. das deutsche HinSchG oder das österreichische HSchG) finden Sie in den Länderleitfäden oder auf Anfrage.

Kann ein Unternehmen außerhalb der EU EthicsPortal nutzen? #

Die Gesellschaft, die den Meldekanal betreibt, muss in der EU, der Schweiz, Moldau oder Montenegro registriert sein. Hat die Gruppe eine Gesellschaft in einem dieser Länder, kann diese einen einzigen Meldekanal betreiben und ihn Beschäftigten in jedem Land öffnen — jede Meldung läuft in derselben Fallliste auf, unabhängig davon, wo die meldende Person arbeitet.

Beschäftigte außerhalb der EU erhalten anonyme Meldeaufnahme, verschlüsselte zweiseitige Kommunikation sowie die Fristen der Richtlinie: 7 Tage bis zur Eingangsbestätigung, 3 Monate bis zur Rückmeldung. Weder US-amerikanisches noch kanadisches Recht verlangt diese Fristen; gruppenweit angewandt setzen sie damit einen strengeren Maßstab als beide.

Ein Compliance-Bericht verweist auf das nationale Recht der betreibenden Gesellschaft. Er belegt deren Pflichten, nicht die von Betrieben in anderen Rechtsordnungen. Die Schweiz kennt kein allgemeines Hinweisgeberschutzgesetz; die Dokumente einer Schweizer Gesellschaft wenden daher die Richtlinie als freiwilligen Standard an, folgen der Schweizer Meldekaskade und verweisen statt auf die DSGVO auf das Schweizer Datenschutzgesetz (DSG).

Können wir den Meldekanal intern betreiben? #

Ja — Art. 8 Abs. 5 der Richtlinie 2019/1937 erlaubt dies ausdrücklich. Die Voraussetzungen der Richtlinie sind intern jedoch struktureller schwieriger einzuhalten.

Art. 9 Abs. 1 verlangt die Vertraulichkeit der Identität, eine unparteiische Folgenbearbeitung und restriktiven Zugriff auf Meldungen. Ein interner Meldekanal läuft über dieselben IT-Administratoren, Backups und Legal-Hold-Werkzeuge, die jedes andere System im Unternehmen berühren. Eine eigene Subdomain oder ein eigener Posteingang ändern nicht, wer Zugriff hat.

Die DSGVO fügt ein zweites Problem hinzu. Hinweisgebung steht auf der Muss-DSFA-Liste des EDSA. Eine interne Datenschutz-Folgenabschätzung muss dokumentieren, wie die verantwortliche Stelle sich selbst daran hindert, auf Daten über sich selbst zuzugreifen — was auf den ersten Blick zirkulär ist.

Der externe Betrieb ist in Art. 8 Abs. 5 sowie in den nationalen Umsetzungen ausdrücklich vorgesehen: § 14 HinSchG (DE), HSchG (AT), Loi Sapin II / Waserman (FR), D.Lgs. 24/2023 (IT), Ley 2/2023 (ES).

Wo werden meine Daten gespeichert? #

Die zentralen Meldedaten werden auf Hetzner-Servern in Nürnberg gespeichert, mit einer Sicherungskopie der Dateianhänge in Falkenstein. Die Marketing-Website wird über Cloudflare (USA) ausgeliefert; der Meldekanal und das Bearbeiter-Portal nicht. Hetzner ist ein deutscher Hosting-Anbieter und unterliegt dem EU-Datenschutzrecht. Cloudflares gesonderte Verarbeitung der öffentlichen Website und die Übermittlungsgarantien sind in der Datenschutzerklärung beschrieben, nicht in der AVV-Kette.

Sind Meldungen wirklich anonym? #

Ja, wenn die hinweisgebende Person dies wählt. Die Angabe von Namen oder Kontaktdaten ist freiwillig. EthicsPortal speichert IP-Adressen hinweisgebender Personen weder bei Meldungen noch in Anwendungsprotokollen, entfernt Dateimetadaten (EXIF, GPS, Autor) aus Uploads, mit zwei Einschränkungen bei PDFs, und der sichere Nachrichtenverlauf gibt die Identität der bearbeitenden Person nie preis. Es gibt keine technische Möglichkeit, eine anonyme Meldung auf eine Person zurückzuführen.

Wie funktioniert die 7-Tage- und 3-Monats-Fristüberwachung? #

Bei Abgabe einer Meldung startet EthicsPortal automatisch zwei Fristen nach den Anforderungen der Richtlinie:

Überfällige Meldungen werden im Dashboard hervorgehoben, und bearbeitende Personen erhalten Benachrichtigungen, wenn Fristen näher rücken.

Bieten Sie einen Auftragsverarbeitungsvertrag (AVV) an? #

Ja. Der aktuelle AVV ist auf der Seite AVV veröffentlicht, und eine gegengezeichnete Fassung ist auf Anfrage erhältlich.

Welche Zertifizierungen haben Sie? #

EthicsPortal veröffentlicht eine vollständige ISO/IEC-27001:2022-Selbstbewertung über die Kapitel 4–10 und alle 93 Annex-A-Controls als Erklärung zur Anwendbarkeit, eine ISO-37002-Zuordnung, einen ausgefüllten CAIQ und benannte Richtliniendokumente, daneben die Seiten Sicherheit, Unterauftragsverarbeiter, Störungsregister und SLA. Das sind Selbstbewertungen gegen dieselben Control-Sets, die ein externes Audit prüfen würde, keine akkreditierte Zertifizierung: EthicsPortal beansprucht keine akkreditierte ISO-27001-Zertifizierung, und der aktuelle Stand steht auf der Vertrauensseite.

Wer ist Vertragspartner? #

EthicsPortal ist eine Geschäftsbezeichnung von Yaroslav Shmarov, einem Einzelunternehmer mit Sitz in Polen (NIP: 5272755790). Basisangaben zu Vertragspartner und Beschaffung sind auf der Seite Vertrauen veröffentlicht.

Unterstützen Sie Beschaffungsreviews? #

Ja. Öffentliche Due-Diligence-Unterlagen sind auf der Website veröffentlicht, und zusätzliche Beschaffungsunterlagen sind auf Anfrage im Review verfügbar. Siehe Vertrauen.

Kann ich Fallakten für die Aufsicht exportieren? #

Ja. Jede Meldung kann als PDF exportiert werden, einschließlich des vollständigen Nachrichtenverlaufs, der Zeitachse und des Audit-Protokolls. Das Format ist für die Weitergabe an Rechtsabteilung, Auditoren oder Aufsichtsbehörden ausgelegt. Administratoren können außerdem sämtliche Daten der Organisation in der Anwendung exportieren, als ZIP-Datei mit JSON-Dateien und Anhängen, für eine Migration oder Archivierung. Wenn Sie ein anderes Format benötigen, sprechen Sie uns im Rahmen des Beschaffungs- oder Offboarding-Reviews an.

Für Beschäftigte und hinweisgebende Personen #

Muss ich ein Konto anlegen, um eine Meldung abzugeben? #

Nein. Sie brauchen kein Konto, keine E-Mail-Adresse und keine persönlichen Angaben. Sie rufen den Meldekanal-Link auf, füllen die Meldung aus und erhalten eine Vorgangs-ID und ein Passwort. Mehr nicht.

Kann ich per E-Mail melden? #

Ja, wenn die Organisation es anbietet. Jeder Meldekanal hat eine eigene E-Mail-Adresse, die auf der Seite des Meldekanals angezeigt wird. Ihre E-Mail wird zu einer Meldung, und Sie erhalten eine Antwort mit einer Vorgangs-ID und einem Passwort, mit denen Sie die Fragen der Fallbearbeitung im sicheren Postfach lesen und beantworten. Die Fallbearbeitung sieht Ihre E-Mail-Adresse nicht. E-Mail ist jedoch nicht anonym: Ihr E-Mail-Anbieter bewahrt eine Kopie auf, ebenso das E-Mail-System Ihres Arbeitgebers, wenn Sie von einem dienstlichen Konto schreiben. Wenn Sie anonym bleiben möchten, nutzen Sie das Online-Meldeformular.

Kann mein Arbeitgeber herausfinden, wer ich bin? #

Nicht über EthicsPortal. Wenn Sie anonym melden (ohne Name und Kontaktdaten), gibt es über die Plattform keine Möglichkeit, Sie zu identifizieren. EthicsPortal speichert Ihre IP-Adresse weder bei Ihrer Meldung noch in seinen Anwendungsprotokollen und entfernt identifizierende Metadaten aus hochgeladenen Dateien, mit zwei Einschränkungen bei PDFs.

Achten Sie trotzdem auf den Inhalt — enthält Ihre Meldung Details, die nur Sie kennen können, liegt das außerhalb der Kontrolle der Plattform.

Wie kann ich den Stand meiner Meldung prüfen? #

Sie brauchen zwei Dinge, die Ihnen beide nach der Abgabe angezeigt werden: die Vorgangs-ID (Format WB-XXXX-XXXX) und das Passwort. Kehren Sie jederzeit zum Meldekanal zurück, geben Sie beides ein und sehen Sie den aktuellen Status oder tauschen Sie Nachrichten mit der Fallbearbeitung aus. Notieren Sie beides und bewahren Sie es sicher auf. Niemand kann das Passwort wiederherstellen, und EthicsPortal bietet keine Möglichkeit, es zurückzusetzen, weder für die Fallbearbeitung noch für uns. Wenn Sie es verlieren, reichen Sie eine neue Meldung ein und nennen Sie Ihre Vorgangs-ID.

Kann ich Dateien an meine Meldung anhängen? #

Ja. Sie können Bilder, PDF-Dokumente, Video- und Audio-Dateien bis zu 100 MB je Datei hochladen. Identifizierende Metadaten (Standortdaten, Autor, Kameradetails) werden vor der Speicherung entfernt, um Ihre Identität zu schützen. In einem PDF bleiben die Namen bei Kommentaren und die Metadaten eingebetteter Fotos erhalten; laden Sie Fotos daher als separate Bilddateien hoch.

Kann ich anonym mit der Fallbearbeitung kommunizieren? #

Ja. Der integrierte Nachrichtenverlauf ist vollständig anonym. Sie sehen „Fallbearbeitung" — nie einen echten Namen. Die bearbeitende Person sieht Ihre Nachrichten, hat aber keine Möglichkeit, Sie zu identifizieren, sofern Sie diese Informationen nicht selbst teilen.

Was passiert, nachdem ich eine Meldung abgegeben habe? #

Ihre Meldung geht bei der benannten Fallbearbeitung der Organisation ein. Nach EU-Recht muss der Eingang innerhalb von 7 Tagen bestätigt und innerhalb von 3 Monaten eine inhaltliche Rückmeldung gegeben werden. Mit Vorgangs-ID und Passwort können Sie den Status jederzeit einsehen.

Für IT und technische Teams #

Welche Verschlüsselung setzen Sie ein? #

Meldungstexte, Identitätsfelder der hinweisgebenden Person und Fallnachrichten werden in der Datenbank verschlüsselt gespeichert. Alle Verbindungen laufen über TLS (HTTPS). Datei-Uploads, Sprachaufnahmen und Datenexporte werden auf EU-gehosteter Infrastruktur (Hetzner, Deutschland) abgelegt und im Ruhezustand mit AES-256 verschlüsselt, mit einem eigenen Schlüssel für jede Datei; siehe Sicherheit.

Entfernen Sie Dateimetadaten? #

Ja. EXIF-Daten, GPS-Koordinaten, Autoreninformationen und sonstige Metadaten werden vor der Speicherung automatisch aus hochgeladenen Dateien entfernt. Zwei Dinge in einem PDF werden nicht entfernt: die Namen bei Kommentaren und die Metadaten darin eingebetteter Fotos. Laden Sie Fotos als separate Bilddateien hoch, damit diese bereinigt werden. Das verringert das Risiko einer unbeabsichtigten Preisgabe der Identität über Dateieigenschaften.

Prüfen Sie hochgeladene Dateien auf Viren? #

Ja. Alle Uploads werden mit ClamAV, einer Open-Source-Antivirenlösung, auf Schadsoftware geprüft. Die Prüfung erfolgt serverseitig — es werden keine Dateidaten an externe Dienste gesendet. Infizierte Dateien werden automatisch entfernt, bevor die Fallbearbeitung darauf zugreifen kann.

Protokollieren Sie IP-Adressen? #

Nicht von hinweisgebenden Personen. Die Anwendung speichert die IP-Adresse einer hinweisgebenden Person weder bei Meldungen noch bei Nachrichten oder Audit-Einträgen, und ihre Protokolle für den Meldekanal enthalten keine IP-Adressen. Das Rate-Limiting nutzt einen schlüsselbasierten Hash, der nur für die Dauer des Rate-Limit-Fensters vorgehalten wird. Der TLS-Proxy vor der Anwendung führt eigene Verbindungsprotokolle, die IP-Adressen und Anfragepfade enthalten. Der Pfad der Seite, auf der eine hinweisgebende Person ihre Meldung aufruft, enthält die Vorgangs-ID. Die genaue Formulierung finden Sie unter Sicherheit.

Welche externen Dienste nutzen Sie? #

Keine Analyse-Tracker, keine Werbe-Netzwerke, keine Drittanbieter-Cookies im Meldekanal.

Gibt es eine API? #

Die Metadaten-API und ausgehende Webhooks stehen jeder Organisation zur Verfügung. Sie stellen Meldungsstatus und Fristen bereit, niemals Meldungsinhalte, Nachrichten, Notizen oder Anhänge. Optionaler Einrichtungszugriff erlaubt autorisierten Token, Organisationen zu erstellen, und Administratoren, Meldekanäle zu konfigurieren. Details finden Sie in der Entwicklerdokumentation.

Unterstützen Sie eigene Domains? #

Derzeit nicht verfügbar. Alle Meldekanäle werden unter der EthicsPortal-Domain ausgeliefert.

Unterstützen Sie SSO? #

Ja. EthicsPortal unterstützt Single Sign-on mit SAML 2.0, konfiguriert pro Organisation. Verbinden Sie Ihren Identitätsanbieter — Okta, Microsoft Entra ID oder einen beliebigen SAML-2.0-Anbieter —, und Ihr Team meldet sich darüber an. Sie können SSO für Ihre E-Mail-Domains verpflichtend machen und Mitglieder bei der ersten Anmeldung automatisch bereitstellen. Die Anmeldung per Magic-Link (passwortlose E-Mail-Authentifizierung) bleibt verfügbar, solange SSO nicht erzwungen wird. Kombinieren Sie SSO mit SCIM-2.0-Bereitstellung, um Konten mit Ihrem Verzeichnis synchron zu halten.

Abrechnung #

Was kostet EthicsPortal? #

41,67 €/Monat, jährlich abgerechnet (500 €/Jahr), pauschal. Ein Tarif, alles enthalten. Keine Pro-Kopf-Gebühren, keine Pro-Meldung-Gebühren, keine Feature-Stufen.

Wie funktioniert das Abonnement? #

EthicsPortal ist ein kostenpflichtiger Compliance-Dienst: 41,67 €/Monat, jährlich abgerechnet (500 €/Jahr), ohne kostenlose Testphase. Aktivieren Sie den Meldekanal aus der Anwendung, konfigurieren Sie ihn und nehmen Sie den Betrieb auf, sobald das Abonnement besteht.

Können wir das Abonnement kündigen? #

Ja. Abonnements können in den Kontoeinstellungen gekündigt werden. Keine Kündigungsgebühren.

Welche Zahlungsarten akzeptieren Sie? #

Kredit- und Debitkarten über Stripe. Falls Sie per Rechnung oder Überweisung zahlen müssen, schreiben Sie an support@ethicsportal.eu.

Weitere Fragen? #

Schreiben Sie an support@ethicsportal.eu. Sie hören innerhalb eines Werktages von uns.

Zuletzt aktualisiert: