Ja, in den Tarifen STANDARD und GROUP können Sie mehrere Ansprechpartner für unterschiedliche Hinweiskategorien festlegen.

Ja, dies ist grundsätzlich möglich. Unsere Ersteinschätzung eines Hinweises enthält eine Empfehlung über geeignete Folgemaßnahmen. Wir stimmen dann mit Ihnen ab, ob sie den Sachverhalt selbst aufklären oder dies durch neutrale externe Personen wie z.B. durch hgp durchführen lassen möchten.

Bitte sprechen Sie uns hierzu jederzeit an.

Im Gegensatz zu reinen Softwareanbietern stellt HGP nicht nur einen externen Kanal für eine interne Meldestelle in Form einer Plattform zur Übermittlung von Informationen durch Hinweisgebende gem. Hinweisgeberschutzgesetz (HinSchG) an den Beschäftigungsgeber zur Verfügung. Zusätzlich übernimmt HGP weitere Tätigkeiten der internen Meldestelle, die sich aus den Anforderungen des HinSchG ergeben.

HGP ist nach § 15 Abs. 1 HinSchG bei der Ausübung der vereinbarten Tätigkeiten unabhängig und hat das Vertraulichkeitsgebot (§ 8 HinSchG) zu beachten. HGP ist im Hinblick auf das Treffen von Folgemaßnahmen i. S. d. § 18 HinSchG weisungsfrei und unabhängig.

Diese Rahmenbedingungen widersprechen regelmäßig einer weisungsgebundenen Auftragsverarbeitung. Zur Sicherstellung der notwendigen Vertraulichkeit agiert HGP daher als Dritter in eigener Verantwortung.

So werden, neben der Kommunikation mit Hinweisgebenden unabhängig Prüfungen zur Stichhaltigkeit von Hinweisen vorgenommen und Folgemaßnahmen abgeleitet. Weiterhin können interne weisungsfreie Untersuchungen im Unternehmen des jeweiligen Beschäftigungsgebers von HGP durchgeführt werden. Zu den Aufgaben einer internen Meldestelle zählt nicht zuletzt auch eine entsprechende Dokumentation, die ebenfalls durch HGP vorgenommen wird.

Die weisungsfreie, eigene Verantwortlichkeit für die Tätigkeiten von HGP ist ein Garant für die gesetzlich gebotene Wahrung der Vertraulichkeit, welche durch die Beschäftigungsgeber gewährleistet werden muss.

Vertraulichkeit / Informations- und Datensicherheit:

Die Wahrung der Vertraulichkeit ist ein wichtiger Grundsatz bei der Umsetzung einer internen Meldestelle, um Bußgelder gegen Unternehmen aufgrund einer Verletzung der Wahrung der Vertraulichkeit (bis zu 20.000 € - § 40 Abs. 6 HinSchG) wirkungsvoll zu vermeiden.

Hierzu gewährleistet HGP Maßnahmen, wie z. B. getrennte Kommunikationswege zwischen HGP und den Hinweisgebenden einerseits und zwischen HGP und den Beauftragten (Case Manager) der Auftraggeber andererseits.

HGP nutzt zwei streng voneinander getrennte Systeme für die Kommunikation mit Hinweisgebenden einerseits und den Beauftragten in den Unternehmen andererseits.

Über das Hinweisgeberportal können Hinweisgebende (auf Wunsch der Auftraggeber auch anonym) vertraulich mit HGP kommunizieren. Hinweisgebende erhalten bei einer Meldung eine zugeordnete Vorgangsnummer. Mit dieser und einem selbst gewählten Passwort können Hinweisgebende ihre Hinweise ergänzen und weitere Informationen mit HGP austauschen. Über diesen Kanal erreichen Hinweisgebende wiederum Informationen von HGP.

Hinweisgebende müssen keine eigenen Ressourcen nutzen, welche weitere Hinweise zur Person der Hinweisgebenden offenbaren würden - die Vertraulichkeit kann sicher gewahrt bleiben.

Die auftraggebenden Unternehmen erhalten keinen Zugriff auf die interne Meldestelle.

Das Portal selbst wird von einem durch HGP beauftragten deutschen Dienstleister als Auftragsverarbeiter i. S. d. Art. 28 DSGVO gehostet. HGP hat diesbezügliche Verträge zur Auftragsverarbeitung abgeschlossen, die auf Anforderung eingesehen werden können.

Die Datenverarbeitung erfolgt ausschließlich in deutschen Rechenzentren mit der erforderlichen Verfügbarkeit. Die Rechenzentren verfügen über Zertifizierungen gem. ISO 9001 und ISO 27001. Es sind georedundante DNS-Server mit SSL/TLS-Verschlüsselung nach dem Stand der Technik im Einsatz. Personenbezogene Daten werden AES-256-CBC verschlüsselt gespeichert. Hinzu kommen ein Verbot unsicherer Kennwörter, Zwei-Faktor Authentifizierung, Cross-Site Request Forgery Tokens, Revisionssichere Protokolle und strenge Content Security Policy Richtlinie.

Die Kommunikation mit den auftraggebenden Unternehmen zu entsprechenden Hinweisen erfolgt über eine separate Business-Cloud-Lösung.

Hierbei erhalten nur namentlich Beauftragte des Auftraggebers (Case Manager) persönliche Zugangsdaten zur Business-Cloud, die erst nach einer weiteren Bestätigungsroutine aktiviert werden. Durch die Trennung der internen Meldestelle von der Business-Cloud können Verletzungen der Vertraulichkeit wirkungsvoll verhindert werden.

Über die Business-Cloud werden notwendige Informationen, wie z. B. zusammengefasste Berichte zu den eingegangenen Hinweisen, mit den auftraggebenden Unternehmen zur Bearbeitung der Hinweise ausgetauscht. Das umfasst auch die notwendigen Dokumentationsanforderungen aus dem HinSchG im Zusammenhang mit der Aufgabenerfüllung einer internen Meldestelle.

Hinweise werden entsprechend der gesetzlichen Vorschriften zu Aufbewahrungs- und Löschfristen und den datenschutzrechtlichen Anforderungen revisionssicher aufbewahrt und automatisch nach Fristablauf gelöscht. Dies ist ein wichtiger Bestandteil zur Einhaltung von Compliance-Regelungen und Grundsatz „Privacy by Design“.

Spezielle auf die besonderen Anforderungen an die Vertraulichkeit abgestimmte technische und organisatorische Maßnahmen, wie z. B. die Verschlüsselung, stellen ein angemessenes Sicherheitsniveau der Business-Cloud her.

Die Verarbeitung der Daten erfolgt ausschließlich auf Servern in Deutschland.

Mit dem vertraglich gebundenen Dienstleister für die Bereitstellung der Business-Cloud wurde eine Vereinbarung zur Auftragsverarbeitung abgeschlossen, die auf Anforderung eingesehen werden kann. Eine komplette Verschlüsselung der Daten, sowohl auf dem Transportweg als auch bei der Speicherung, sowie vorliegende Testate gem. BSI C5 und einer GoBD-Konformität gem. IDW PS 880 garantieren ein Höchstmaß an Sicherheit und Vertraulichkeit.

Die bbcom secure Deutschland GmbH ist für eine fachlich sichere und hoch verfügbare Lösung zum Betrieb von HGP eine Kooperation mit der Jhcon Datenschutzberatung eingegangen.

Die bbcom secure Deutschland GmbH ist der direkte Vertragspartner des Auftraggebers. Auch ist die bbcom secure Deutschland GmbH Betreiber der beiden Plattformen. Die Kooperation der beiden Unternehmen besteht im Wesentlichen in der fachlichen Bearbeitung der eingehenden Meldungen und der Kommunikation sowohl mit den Hinweisgebern als auch den Auftraggebern.

Durch den Zusammenschluss kann die notwendige Expertise eines vertrauenswürdigen Fachgremiums zur fachlichen Bearbeitung von Hinweisen zuverlässig gewährleistet werden.

Die beiden Unternehmen sind dabei im Sinne der DSGVO gemeinsam Verantwortliche und haben dazu eine Vereinbarung zur gemeinsamen Verantwortlichkeit gem. Art. 26 DSGVO abgeschlossen.