EU-Richtlinie 2019/1937 konform

Whistleblowing-Software für die Richtlinie (EU) 2019/1937

Ashio ist der Meldekanal, auf dem ein EU-Hinweisgebersystem tatsächlich läuft: anonymer Eingang ohne IP-Adressen und ohne Cookies, eine zuständige Person und ein Status für jede Meldung, die 7-Tage-Bestätigung und die 3-Monats-Rückmeldung überwacht, und ein Audit-Trail, den Sie einer Prüfung vorlegen können. Ein Festpreis für die ganze Organisation, in etwa zehn Minuten live.

Zuletzt geprüft: 2. November 2026

14-tägige Testphase starten Preis ansehen

So funktioniert der Kanal, von Anfang bis Ende

Vier Schritte, von dem Moment, in dem sich jemand zur Meldung entscheidet, bis zur Akte, die eine Prüferin liest. Nichts zu installieren, kein IT-Projekt.

1
Eine Meldung geht ein
Die meldende Person öffnet den Firmenlink und schreibt oder spricht eine Sprachnachricht ein. Kein Konto, keine E-Mail-Adresse, keine IP-Adresse, kein Cookie, es führt also nichts von der Meldung zur Person.
2
Sie wird bestätigt
Ist die automatische Bestätigung eingeschaltet, bestätigt die Plattform beim Eingang, sonst bestätigt eine Bearbeitung in der Akte. In beiden Fällen steht das Datum fest und die Siebentagesfrist läuft.
3
Beide tauschen Nachrichten aus
Die meldende Person kommt mit der Referenz vom Absende-Bildschirm zurück, liest die Rückfragen und antwortet. Der Verlauf bleibt an der Akte, statt in einem Postfach zu liegen.
4
Die Akte schließt mit Belegen
Zuständigkeit, Status, Schritte und Entscheidungen bekommen in der Akte einen Zeitstempel. Die Dreimonatsfrist für die Rückmeldung wird überwacht, und der Prüfpfad lässt sich als Nachweis exportieren, den eine Prüfung oder die Arbeitnehmervertretung verlangt.

Kernpflichten

Was die Software leisten muss

Diese sechs Punkte sind Pflichten aus der Richtlinie selbst, keine Wunschliste. Fehlt einer, wird aus einer Rechtspflicht eine Richtlinie ohne Nachweis.

Interne Meldekanäle

Unternehmen mit 50+ Mitarbeitern müssen sichere, vertrauliche interne Meldekanäle einrichten, über die Whistleblower Verstöße gegen EU-Recht melden können.

Eingangsbestätigung innerhalb von 7 Tagen

Meldungen müssen dem Whistleblower innerhalb von 7 Tagen nach Eingang bestätigt werden – ohne Ausnahmen. Ashio überwacht diese Frist und kann die Bestätigung automatisch senden.

Rückmeldung innerhalb von 3 Monaten

Unternehmen müssen dem Whistleblower innerhalb von drei Monaten nach der Eingangsbestätigung eine Rückmeldung zum Stand der Folgemaßnahmen geben.

Schutz vor Vergeltungsmaßnahmen

Whistleblower sind vor Kündigung, Degradierung und anderen Formen der Vergeltung geschützt. Die Beweislast liegt in Vergeltungsfällen beim Arbeitgeber.

Datenschutz und DSGVO-Konformität

Personenbezogene Daten müssen gemäß der DSGVO verarbeitet werden. Die Identität des Whistleblowers ist während des gesamten Verfahrens vertraulich zu behandeln.

Aufzeichnungspflichten

Unternehmen müssen umfassende Aufzeichnungen über alle eingegangenen Meldungen und ergriffenen Maßnahmen führen, mit strengen Zugriffskontrollen.

Was Sie vor dem Kauf von Whistleblowing-Software prüfen sollten

Sechs Fragen trennen einen echten Meldekanal von einem Formular, das nur so aussieht.

1
Kann eine Meldung ohne Konto abgegeben werden, ohne IP-Adresse, Cookies oder Geräte-Fingerprint zu hinterlassen?
2
Verfolgt die Software die 7-Tage-Bestätigung und die 3-Monats-Rückmeldung mit einer Frist pro Fall, oder steht das nur in einer Richtlinie?
3
Landet jede Aktion in einem Audit-Trail, den Sie exportieren können, oder ist die Historie ein Postfach?
4
Können auch Lieferanten und Auftragnehmer melden, in ihrer eigenen Sprache und ohne Login?
5
Ist der Preis pauschal pro Organisation, oder wächst die Rechnung mit der Mitarbeiterzahl und pro Meldung?
6
Wer darf eine Meldung lesen: ein benanntes Fallteam mit Rollen, oder jeder mit dem Passwort des Sammelpostfachs?

Preise

Was kostet konforme Whistleblowing-Software üblicherweise?

Schlanke Self-Service-Tools für konformes Whistleblowing starten bei rund 20–30 € pro Monat und sind oft auf eine begrenzte Mitarbeiterzahl ausgelegt. Auf Unternehmensebene liegt die Preisspanne für Hinweisgebersysteme und Enterprise-Suiten bei mehreren hundert Euro monatlich. Ashio kostet 23–29 €/Monat pauschal für die gesamte Organisation, unabhängig von der Mitarbeiterzahl.

Preise

Enthaltene Leistungen

Anonyme Melde-Workflows
Sichere 2-Wege-Kommunikation mit Whistleblowern
Mündliche Erfassung per Spracherkennung
Strukturiertes Fallmanagement
Fristenüberwachung
Unbegrenzte Teammitglieder
Benachrichtigungsmanagement
Prüfungssichere Protokollierung
Anpassbares Branding
Mehrsprachig (18 Sprachen)
Anhänge, verschlüsselt und bereinigt
Zwei-Faktor-Authentifizierung und Single Sign-on

Was der Markt verlangt

In diesem Markt werden vier Abrechnungsmodelle verkauft. Nur das erste bleibt planbar, wenn die Kopfzahl wächst, deshalb können zwei ähnliche Angebote um den Faktor fünf auseinanderliegen.

Pauschal pro Organisation

Eine Rechnung für das ganze Unternehmen, ab dem ersten Monat planbar, unabhängig von der Kopfzahl.

Pro Sitz

Wächst mit der Kopfzahl, und die Zahl der Personen, die melden dürfen, ist genau die, die Sie nicht begrenzen können.

Pro Fall

Wächst mit dem Meldevolumen, der Preis steigt also, wenn der Kanal tatsächlich arbeitet.

Nur auf Angebot

Eine Zahl nach einem Discovery-Call, was das Budget zu einer Verhandlung macht.

Welche ISO-Norm gilt für Whistleblowing-Software?

In jeder Software-Bewertung tauchen drei Normen auf, und jede beantwortet eine andere Frage. Keine davon zertifiziert die Software selbst.

ISO 37002: Leitfaden für ein Hinweisgebersystem: wie eine Meldung eingeht, bewertet, untersucht und abgeschlossen wird. Es ist ein Leitfaden und keine zertifizierbare Norm, ein Zertifikat nach ISO 37002 gibt es deshalb nicht. Sinnvoller ist die Frage, ob das Tool jeden dieser Schritte mit einem Zeitstempel belegt.
ISO 27001: Informationssicherheits-Management, und es betrifft den, der die Daten hält. Entscheidend ist nicht das Logo des Anbieters, sondern wo die Meldungen liegen: Ashio läuft in ISO 27001-zertifizierten Rechenzentren in Österreich.
ISO 9001: Qualitätsmanagement. Es sagt nichts über Datenschutz, Anonymität oder Meldepflichten aus und taucht in Vergleichen auf, weil es leicht zu bekommen ist, nicht weil die Richtlinie es verlangt.

Was ISO 37002 tatsächlich verlangt, und wo die Grenzen liegen

Wo die Meldungen liegen

Server in Österreich, mit ISO-27001-Zertifizierung, innerhalb der EU, daher ohne zusätzliche Transfergarantien. Meldungen sind bei Übertragung und Speicherung verschlüsselt, das Formular speichert keine IP-Adresse und setzt keine Cookies, und die Oberfläche ist in 18 Sprachen verfügbar.

Passt es zu Ihrer Größe?

Die Pflicht beginnt bei 50 Beschäftigten, die Arbeit nicht. Mit der Größe ändert sich, wer eine Meldung erhält und wie viele Personen Zugriff brauchen.

Unter 50 Beschäftigte

Private Unternehmen fallen in dieser Größe nicht unter die Pflicht, außer im Finanz- und Versicherungsbereich und bei der Geldwäscheprävention; öffentliche Stellen sind unabhängig von der Größe erfasst. Ein freiwilliger Kanal läuft mit einer bearbeitenden Person und einem festen Preis.

50 bis 249 Beschäftigte

Hier greift die Pflicht: interner Kanal, Bestätigung binnen sieben Tagen und Rückmeldung binnen drei Monaten. Meist zwei oder drei Bearbeitungen mit getrenntem Zugriff und eine benannte Vertretung.

250 Beschäftigte und mehr

Mehrere Teams, Zugriff getrennt nach Gesellschaft, Einbindung der Arbeitnehmervertretung und Bericht an die Geschäftsleitung. Dieselbe Plattform und mehr Rollen, und der Prüfpfad wird zur Quelle für das monatliche Reporting.

FAQ

Was Einkäufer fragen

Wie lange dauert es, bis der Kanal live ist?+

Etwa zehn Minuten: Organisation benennen, die Personen hinzufügen, die Meldungen lesen dürfen, Meldelink teilen. Kein Onboarding-Projekt, kein Termin: Der Testkanal ist live, bevor Sie mit jemandem sprechen.

Bestätigt die Plattform eine Meldung automatisch innerhalb der Siebentagesfrist?+

Ja, wenn die Organisation es einschaltet. Ashio bestätigt eine Meldung mit dem Eingang, schreibt das Datum in die Akte und startet damit die Siebentagesfrist, die die Richtlinie für die Eingangsbestätigung vorgibt. Die automatische Bestätigung ist pro Unternehmen optional, eine Fallbearbeitung kann also auch von Hand bestätigen. Beide Wege werden mit Datum protokolliert und lassen sich nachträglich nicht ändern.

Passt die Plattform zu einem Unternehmen mit 20 bis 50 Beschäftigten?+

Genau für diese Größe ist sie gebaut. In diesem Bereich fallen meist null bis zwei Meldungen pro Jahr an, deshalb muss die Plattform ohne Betreuung bereitstehen: keine Installation, eine Akte für jede Meldung und Fristen, die verfolgt werden, auch wenn niemand daran denkt. Größere Organisationen nutzen dieselbe Plattform mit mehreren Bearbeitern und getrennten Teams, und ein fester Preis deckt das ganze Unternehmen ab.

Welche Whistleblowing-Systeme sind für die Einhaltung der EU-Richtlinie zertifiziert?+

Keines davon — für die Richtlinie (EU) 2019/1937 gibt es kein Zertifizierungsschema, und kein Anbieter kann dafür als „konform zertifiziert“ gelten. Was Sie stattdessen überprüfen können: (1) anonyme Meldungen ohne IP- oder Cookie-Tracking, (2) eine instrumentierte 7-Tage-Bestätigung, (3) Rückmeldung und Dialog in beide Richtungen innerhalb von 3 Monaten, (4) ein unveränderliches Protokoll jeder Statusänderung, (5) garantierte Vertraulichkeit der Identität des Hinweisgebers, (6) Schutz vor Vergeltungsmaßnahmen. Die Zertifikate, die Sie tatsächlich sehen werden — ISO 27001 für Hosting und Informationssicherheit, ISO 37301 für Compliance-Management — decken diese Bereiche ab, nicht die Richtlinie selbst. Fragen Sie außerdem, wo die Daten gehostet werden und wer der Auftragsverarbeiter ist: Das sind überprüfbare Fakten, anders als ein Compliance-Label.

Aus dem Blog

Längere Beiträge zur Auswahl, zum Wechsel und zur Prüfung eines Kanals.

Beste Whistleblowing-Software für Deutschland: HinSchG-konformer Vergleich

Abgedeckte EU-Richtlinien

Bereit, Ihre Pflichten zu erfüllen?

Richten Sie mit Ashio in wenigen Minuten sichere, richtlinienkonforme Meldekanäle ein.

14-tägige Testphase starten