Ein Hinweisgebersystem auszuwählen ist keine reine IT-Entscheidung. Es ist eine Entscheidung über Arbeitsabläufe, Vertraulichkeit, Verantwortlichkeiten und darüber, wie Ihre Organisation mit sensiblen Meldungen umgeht.
Viele Anbieter sprechen von „EU-Compliance“ oder „HinSchG-ready“. Für Einkäufer und Compliance-Teams ist das oft zu unscharf. Entscheidend ist nicht das Label, sondern ob die Hinweisgeber-Software den Betrieb eines internen Meldekanals im Alltag wirklich trägt — von der Entgegennahme bis zur dokumentierten Fallbearbeitung.
Dieser Leitfaden richtet sich an Software-Käufer in Deutschland. Er ersetzt keine Rechtsberatung. Disclosurely ist Software zur Unterstützung eines internen Meldekanals — kein Rechtsprodukt und kein behördlicher Meldeweg.
Zuerst den Bedarf klären — nicht den Anbieterkatalog
Bevor Sie Demos buchen, sollten intern drei Fragen klar sein:
- Welche Organisationen und Standorte sollen den Meldekanal nutzen?
- Wer bearbeitet Fälle — Compliance, Legal, HR, externe Ombudsperson, oder eine Kombination?
- Welche Mindestanforderungen gelten für Anonymität, Fristen, Dokumentation und Zugriff?
Ohne diese Antworten vergleichen Sie Feature-Listen, nicht Betriebsmodelle. Die EU-Hinweisgeberrichtlinie und das Hinweisgeberschutzgesetz (HinSchG) schaffen den regulatorischen Kontext. Die konkrete Ausgestaltung bleibt bei der Organisation — und ggf. bei Ihrer Rechtsberatung.
Was Käufer unter „Hinweisgebersystem“ oft meinen
Im Einkauf vermischen sich schnell drei Begriffe:
| Begriff | Bedeutung für den Kauf |
|---|---|
| Interner Meldekanal | Der Weg bzw. das Tool, über das Hinweise eingehen |
| Interne Meldestelle | Die organisatorische Funktion, die Meldungen entgegennimmt und steuert |
| Hinweisgeber-Software | Die Produktkategorie, die Kanal, Kommunikation und Fallbearbeitung unterstützt |
Software kann den Meldekanal bereitstellen und die Meldestelle entlasten. Sie ist nicht die Meldestelle. Wer das vermengt, kauft oft das falsche Versprechen. Mehr dazu: Interner Meldekanal vs. interne Meldestelle.
Die fünf Prüfkriterien, die wirklich zählen
1. Aufnahme der Meldung (Intake)
Kann die Software Meldungen so entgegennehmen, dass Vertraulichkeit und — wo gewünscht — Anonymität glaubwürdig bleiben? Prüfen Sie:
- schriftliche Meldung über einen geschützten Kanal
- klare Trennung zwischen Meldeweg und allgemeinem Posteingang
- optionale anonyme Meldung ohne erzwungenes Login mit Firmenkonto
- strukturierte Angaben, die die Triage erleichtern, ohne unnötig abzuschrecken
Ein öffentliches E-Mail-Postfach oder ein generisches Intranet-Formular erfüllt diese Erwartung selten.
2. Anonyme Zwei-Wege-Kommunikation
Eine Meldung ohne Rückfragen ist oft unvollständig. Gute Systeme erlauben Follow-up, ohne die Anonymität der meldenden Person zu zerstören. Das ist ein zentrales Kaufkriterium — nicht ein „Nice-to-have“.
Fragen an den Anbieter:
- Bleibt die Kommunikation innerhalb des Systems?
- Können Fallbearbeiter Nachfragen stellen, ohne die Identität preiszugeben?
- Werden Statusänderungen und Nachrichten nachvollziehbar protokolliert?
3. Fallmanagement statt nur Inbox
Nach dem Eingang beginnt die eigentliche Arbeit: Zuweisung, Prüfung, Dokumentation, Abschluss. Ohne Fallmanagement bleibt oft nur eine ungeordnete Sammlung von Tickets. Achten Sie auf:
- klare Fallstatus (z. B. Offen, In Prüfung, Geschlossen)
- Zuweisung an Fallbearbeiterinnen und Fallbearbeiter
- Umgang mit Anhängen und Nachweisen
- Fristenbewusstsein und Erinnerungen
- nachvollziehbaren Prüfpfad
Mehr dazu im Artikel Was Fallmanagement in Hinweisgeber-Software bedeutet und auf der Seite Fallmanagement.
4. Sicherheit und Zugriffssteuerung
Hinweisgeber-Software verarbeitet hochsensible Inhalte. Sicherheit ist deshalb kein Add-on, sondern Teil des Produktkerns. Prüfen Sie Verschlüsselung, Rollen, Hosting und Auditierbarkeit — konkret, nicht als Schlagwort. Orientierung bietet Sicherheit bei Disclosurely sowie der Artikel Sicherheitskriterien beim Kauf.
5. Betriebsmodell und Skalierung
Ein System, das nur für eine kleine Zentrale gedacht ist, scheitert oft an Tochtergesellschaften, Sprachen oder getrennten Bearbeiterkreisen. Fragen Sie:
- Mehrere Workspaces oder Einheiten?
- Mehrsprachige Meldeoberflächen?
- Klare Rechte zwischen Zentral-Compliance und lokaler Meldestelle?
Für Gruppen mit mehreren EU-Standorten: Hinweisgebersysteme für mehrere EU-Länder.
Was Software leisten kann — und was nicht
Software kann helfen:
- einen sicheren Meldekanal zu betreiben
- Fristen und Nachverfolgung zu unterstützen
- Zugriffe zu begrenzen
- einen dokumentierten Fallverlauf zu führen
Software kann nicht:
- rechtliche Bewertung ersetzen
- „garantierte Compliance“ liefern
- die organisatorische Verantwortung der Meldestelle übernehmen
- behördliche Zulassung oder staatliche Zertifizierung vortäuschen
Meiden Sie Anbieter, die mit „staatlich zertifiziert“, „behördlich genehmigt“, „garantiert compliant“ oder „offiziell zugelassen“ werben. Solche Formulierungen sind für ernsthafte Beschaffung selten hilfreich.
Praxis-Checkliste für die Shortlist
Nutzen Sie diese Fragen in Demos und RFP-Antworten:
- Wie funktioniert anonyme Meldung und anonyme Zwei-Wege-Kommunikation konkret?
- Welche Rollen und Rechte gibt es — und wie werden Konflikte (z. B. betroffene Führungskraft) technisch gelöst?
- Wie sieht der Prüfpfad aus — exportierbar, nachvollziehbar, manipulationsresistent genug für interne Revision?
- Wo werden Daten gehostet, wer sind Subprozessoren, wie greifen DSGVO-Themen?
- Wie lange dauert die Einführung — und was muss die Organisation selbst liefern (Policy, Schulung, Benennung der Meldestelle)?
- Was kostet der laufende Betrieb wirklich — inklusive Nutzer, Einheiten, Support?
Zu Preisen: Was kostet Whistleblowing-Software? und die Seite Preise. Disclosurely Professional liegt bei £39.99 pro Monat bzw. £399.90 pro Jahr.
Typische Kauf-Fehler
- Nur rechtliche Checklisten kaufen: Ein Tool-Feature ersetzt keine Policy und keine klare Zuständigkeit.
- Enterprise-Bloat: Module für Risk, ESG und HR-Ticketing, die niemand bedient — aber die Rechnung erhöhen.
- Anonymität als Marketing: „Anonym“ ohne glaubwürdige Zwei-Wege-Kommunikation und ohne klare Datenflüsse.
- Ein Meldeweg für alles: Whistleblowing, HR-Beschwerden und IT-Tickets in einem ungeordneten Posteingang vermengen.
Wie Disclosurely in diese Auswahl passt
Disclosurely ist Hinweisgeber-Software für Organisationen, die einen internen Meldekanal betreiben möchten: anonyme Aufnahme, sichere Kommunikation, Fallmanagement und Prüfpfad — ohne den Anspruch, Rechtsberatung oder behördliche Freigabe zu ersetzen.
Wenn Sie den nächsten Schritt prüfen wollen: Whistleblowing-Software, Preise und Sicherheit.
Rollen im Auswahlprojekt
Ein sauberes Auswahlprojekt braucht klare Rollen:
- Sponsor: entscheidet Budget und Zielbild
- Compliance/Meldestelle: definiert Betriebsbedarf
- Legal/Privacy: setzt Grenzen und Prüffragen
- Security/IT: bewertet Architektur und Betrieb
- Procurement: macht Angebote vergleichbar
Wenn nur IT oder nur Legal bewertet, entsteht ein blindes Feld. Die Shortlist sollte gegen denselben Kriterienkatalog laufen — inklusive Ausschlusskriterien (z. B. fehlende anonyme Zwei-Wege-Kommunikation).
Proof of Concept mit realistischen Fällen
Nutzen Sie im PoC keine Marketing-Demos mit Idealdaten. Spielen Sie:
- anonyme Meldung mit unvollständigen Angaben
- Interessenkonflikt einer Führungskraft
- Anhang mit sensiblen Nachweisen
- Mehrsprachigkeit, falls relevant
- Export für Revision
- Benutzer, der keinen Zugriff haben darf
Nur so sehen Sie, ob das System Ihren Meldekanal wirklich trägt.
Kurzfazit für die Entscheidung
Wählen Sie ein Hinweisgebersystem danach aus, ob es Ihren Meldekanal und Ihre Fallbearbeitung im Alltag trägt. Prüfen Sie Intake, anonyme Kommunikation, Fallmanagement, Sicherheit und Betriebsmodell. Lassen Sie sich nicht von Compliance-Labels blenden — und behandeln Sie Software als Werkzeug der Organisation, nicht als Ersatz für Governance und rechtliche Verantwortung.