22. Juli 2026·5 Min. Lesezeit

Hinweisgebersystem-Software: Worauf Sie bei DSGVO-Konformität und EU-Hosting achten müssen

Auf einer Feature-Liste sehen Hinweisgebersysteme fast identisch aus. Entscheidend für die Compliance sind aber drei Dinge: wo Ihre Daten liegen, wie die Anonymität technisch durchgesetzt wird und ob das Produkt die Pflichten des Hinweisgeberschutzgesetzes (HinSchG) tatsächlich abdeckt. Dieser Kriterienkatalog hilft bei der Auswahl.

Der Kriterienkatalog

EU-Datenhaltung — Hosting innerhalb der EU, ohne US-Subunternehmer
DSGVO-konform — idealerweise ohne Standardvertragsklauseln, weil die Daten die EU nie verlassen
HinSchG-Abdeckung — vertraulicher Kanal, 7-Tage-Bestätigung, 3-Monats-Rückmeldung, Schutz vor Repressalien
Technische Anonymität — keine IP-Protokollierung, starke Verschlüsselung, pseudonymer Zwei-Wege-Dialog
Sprachen — die Sprachen, die Ihre Belegschaft tatsächlich spricht
Transparente Preise — veröffentlicht, ohne Einrichtungsgebühr und ohne Mindestlaufzeit
Schnelle Selbstbedienung — in Minuten einsatzbereit, nicht in Wochen

Warum der Datenstandort über alles entscheidet

Nach dem Schrems-II-Urteil des EuGH sind EU-Daten bei US-Anbietern dem CLOUD Act und FISA 702 ausgesetzt — selbst dann, wenn sie in einem EU-Rechenzentrum gespeichert werden. Nur echtes EU-Hosting ohne US-Subunternehmer schließt dieses Risiko aus. Fragen Sie deshalb nicht nur nach dem Serverstandort, sondern ausdrücklich auch nach allen Subunternehmern.

Software kaufen oder Meldestelle auslagern?

Manche Anbieter verkaufen nur Software; eine schlüsselfertige, ausgelagerte Meldestelle nimmt Ihnen zusätzlich die laufende Bearbeitung ab. § 14 HinSchG erlaubt die Auslagerung ausdrücklich — die Verantwortung für Folgemaßnahmen bleibt aber beim Unternehmen. Welche Variante passt, hängt von Ihren internen Ressourcen ab.

Whistlechannel im Kriterien-Check

Whistlechannel erfüllt den Katalog: EU-Hosting ausschließlich in Stockholm ohne US-Subunternehmer, keine IP-Protokollierung, AES-256-Verschlüsselung, volle HinSchG-Abdeckung, 24 EU-Sprachen und transparente Preise ab 99 SEK/Monat — im Self-Service in Minuten eingerichtet.

Häufige Fragen

Woran erkenne ich ein DSGVO-konformes Hinweisgebersystem?

An EU-Hosting ohne US-Subunternehmer, dem Verzicht auf IP-Protokollierung, starker Verschlüsselung und einer vollständigen Abdeckung der HinSchG-Pflichten (7-Tage-Bestätigung, 3-Monats-Rückmeldung, Vertraulichkeit). Werden die Daten nie außerhalb der EU verarbeitet, sind auch keine Standardvertragsklauseln nötig.

Warum ist EU-Hosting ohne US-Subunternehmer so wichtig?

Weil EU-Daten bei US-Anbietern nach dem Schrems-II-Urteil dem CLOUD Act und FISA 702 ausgesetzt bleiben — auch in einem EU-Rechenzentrum. Nur ein Anbieter ohne US-Subunternehmer schließt dieses Risiko aus.

Sollten wir Software kaufen oder die Meldestelle auslagern?

§ 14 HinSchG erlaubt beides. Software passt, wenn Sie eine unabhängige, geschulte interne Stelle haben; die Auslagerung an einen Dienstleister nimmt Ihnen die laufende Bearbeitung ab. Die Verantwortung für Folgemaßnahmen bleibt in beiden Fällen beim Unternehmen.

Was sollte ein Hinweisgebersystem kosten?

Achten Sie auf transparente, veröffentlichte Preise ohne Einrichtungsgebühr und ohne Mindestlaufzeit. Whistlechannel startet bei 99 SEK/Monat im Self-Service.

Wie schnell lässt sich ein Hinweisgebersystem einrichten?

Eine self-service-fähige Lösung ist in Minuten einsatzbereit. Whistlechannel richten Sie ohne Vertriebsgespräch selbst ein.

EU-Hinweisgebersysteme vergleichen →