So läuft es heute in den meisten Meldestellen
Der Kanal steht. Das Meldeformular ist veröffentlicht, der QR-Code hängt am schwarzen Brett, die Zuständigkeiten sind geklärt. Damit beginnt der Teil, über den vor der Einführung selten gesprochen wird: die Bearbeitung der Meldungen, die nun tatsächlich eingehen.
Besetzt ist die interne Meldestelle in mittelständischen Unternehmen mit einer, selten mit zwei Personen. Meist ist es die Compliance-Beauftragte oder der Compliance-Beauftragte in Doppelfunktion mit Recht, Personal oder Revision. Meldungen sind dort ein Nebenprozess: Sie kommen unangekündigt, sie kommen selten, und sie kommen nicht als ausgefüllte Maske, sondern als Text. Zwei Bildschirmseiten Fließtext ohne Absätze, teils anonym, teils in gebrochenem Deutsch oder in einer Sprache, die im Haus niemand spricht. Dazu drei Anhänge: ein abfotografierter Schichtplan, ein Screenshot aus einem Chatverlauf, eine PDF ohne sprechenden Dateinamen.
Bis jemand verstanden hat, worum es überhaupt geht – welcher Zeitraum, welche Abteilung, welcher Vorwurf, welche Person ist betroffen und welche nur erwähnt –, ist ein halber Arbeitstag vergangen. Danach beginnt die Formulierungsarbeit. Die Eingangsbestätigung wird von Hand geschrieben, weil der Fall eben kein Standardfall ist. Risiken werden in Stichworten notiert, Maßnahmen in einem Absatz beschrieben, und die Rückmeldung nach drei Monaten entsteht erneut von Hand, oft aus dem Gedächtnis und dem Mailverlauf.
Gleichzeitig läuft die Uhr: sieben Tage bis zur Eingangsbestätigung, drei Monate bis zur Rückmeldung. Beide Fristen beginnen mit dem Eingang der Meldung, nicht mit dem Tag, an dem die zuständige Person aus dem Urlaub zurückkommt.
Die Abkürzung, die niemand dokumentiert
An dieser Stelle entsteht ein Verhalten, das in keiner Verfahrensbeschreibung steht. Wer Zeit sparen will, markiert den Sachverhalt, kopiert ihn in einen öffentlichen Chatbot im Browser und bittet um eine Zusammenfassung, eine Risikoeinschätzung oder einen Textentwurf. Das Ergebnis ist brauchbar. Der Vorgang ist es nicht.
Übermittelt wird dabei alles, was in der Zwischenablage lag: der vollständige Sachverhalt, die genannten Namen von Beschäftigten und Führungskräften und im schlechtesten Fall die Kontaktdaten der hinweisgebenden Person selbst. Kopieren und Einfügen kennt keine Datenminimierung. Wohin die Inhalte gegangen sind, unter welchem Konto, bei welchem Anbieter und zu welchem Zweck, weiß danach niemand. Ein Protokoll des Vorgangs existiert nicht, weil er außerhalb jedes Systems stattgefunden hat.
Der Moment, in dem es auffällt
Auffällig wird das in drei Situationen: wenn die Geschäftsführung oder eine Auditorin fragt, mit welchen Werkzeugen Meldungen bearbeitet werden und wohin Inhalte übertragen wurden; wenn eine hinweisgebende Person wissen will, wer ihren Fall gelesen hat; oder wenn eine Frist gerissen ist und rekonstruiert werden soll, woran die Bearbeitung hing. Dann lautet die Frage nicht „Nutzen Sie KI?", sondern „Wer hat wann welche Inhalte an wen übermittelt – und wo ist das dokumentiert?"
Die Analyse
Fünf Probleme, die improvisierte KI-Nutzung erzeugt
Sie entstehen unabhängig von der Sorgfalt der Meldestelle – sie sind Eigenschaften des improvisierten Vorgehens, nicht der Person.
Meldungsverwaltung in preeco ansehenUnkontrollierte Übermittlung vertraulicher Inhalte
Ein öffentlicher Chatbot ist keine Meldestelle. Sachverhalt, Anhangstexte und Namen verlassen das Unternehmen über ein Konto, das niemand freigegeben hat, zu Bedingungen, die niemand geprüft hat. Der Vorgang ist danach nicht mehr rückholbar.
Die Identität gerät mit in den Text
Kopieren und Einfügen kennt keine Datenminimierung. Wer den Fall als Ganzes überträgt, überträgt auch Name, Adresse und Funktion der hinweisgebenden Person mit. Genau diese Angabe ist die, die das HinSchG schützt.
Kein Nachweis darüber, was übermittelt wurde
Ohne Protokoll lässt sich der Vorgang nicht rekonstruieren. Es bleibt offen, wann wer welchen Inhalt an welches Modell gegeben hat. Auf die Frage einer Auditorin oder der hinweisgebenden Person gibt es dann keine belastbare Antwort.
Zeitdruck erzeugt Abkürzungen
Die Frist läuft ab Eingang, nicht ab Kenntnisnahme. Sieben Tage bis zur Eingangsbestätigung sind schnell vorbei, wenn die Meldestelle nebenbei besetzt ist. Unter Druck wird das schnellste Werkzeug genommen, nicht das zulässige.
Bewertung ohne Methode
Risiken und Maßnahmen werden je Fall anders benannt, weil sie frei formuliert entstehen. Eine Auswertung über Fälle hinweg ist damit unmöglich. Auch die Frage, ob ein Fall schwerer wog als ein früherer, lässt sich nicht beantworten.
Der Soll-Prozess in sechs Schritten
Der Unterschied zwischen zulässiger Unterstützung und einem Vorfall liegt nicht im Modell, sondern im Ablauf. Diese sechs Schritte beschreiben ihn.
1. KI bewusst einschalten statt beiläufig nutzen. Die Funktion wird je Team aktiviert, ausschließlich durch Administrator:innen, und beim Aktivieren ist das Einverständnis zur Datenübertragung an den gewählten Anbieter ausdrücklich zu bestätigen. Dazu kommt eine persönliche Freigabe je Benutzer:in. Erst wenn beides vorliegt, erscheinen in einer Meldung überhaupt KI-Elemente.
2. Den Anbieter selbst bestimmen. Der Zugang wird vom Kunden gestellt: ein eigener Zugangsschlüssel, verschlüsselt gespeichert und in der Oberfläche nur maskiert dargestellt, beim Speichern gegen das eingestellte Modell getestet. Neben den unterstützten Anbietern lässt sich ein beliebiger OpenAI-kompatibler Endpunkt hinterlegen, auch ein selbst betriebenes Modell. In diesem Fall verlassen die Inhalte die eigene Infrastruktur nicht.
3. Vor dem Lauf sehen, was übermittelt wird. Das Startpanel benennt den konkret konfigurierten Anbieter und weist auf die Übertragung hin, bevor die Analyse beginnt. Übermittelt werden die Sachverhaltsangaben und Nachrichten der Meldung sowie optionale Zusatzhinweise. Name und E-Mail-Adresse der hinweisgebenden Person werden nicht übertragen.
4. Die Bearbeitung strukturieren statt beschleunigen. Vier Funktionen setzen an: eine Zusammenfassung als eigener Abschnitt der Meldung, eine Risikoanalyse mit Eintrittswahrscheinlichkeit und Schwere der Auswirkung, Maßnahmenvorschläge samt Zuständigkeit für die Umsetzung und ein Nachrichtenentwurf für die Korrespondenz. Das Ergebnis ist keine schnellere Entscheidung, sondern eine gleichförmige Grundlage für die eigene.
5. Jeden Vorschlag einzeln prüfen. Vorschläge werden nie automatisch übernommen. Die Übernahme läuft über eine Auswahlliste, jeder einzelne Vorschlag ist abwählbar, und alle Felder bleiben vor dem Speichern bearbeitbar. Übernommene Einträge sind danach gewöhnliche Risiken und Maßnahmen und werden wie manuell erfasste protokolliert.
6. Nachweis führen. Jeder Aufruf landet im KI-Aktivitätenprotokoll, erfolgreich oder fehlgeschlagen, mit Zeitpunkt, Status, Benutzer:in, Funktion, Modell, Anbieter, Dauer, Versuchen und Tokenverbrauch. Anfrage- und Antwortinhalte werden verschlüsselt gespeichert und nach sieben Tagen automatisch geleert; die Metadaten des Aufrufs bleiben erhalten.
Was die KI in der Meldestelle nicht tut
Sie entscheidet nicht. Es gibt keinen automatischen Statuswechsel, keine automatisch gesetzte oder verschobene Frist und keine Entscheidung über eine Meldung. Es gibt auch keine rechtliche und keine hinweisgeberschutzrechtliche Bewertung: Ob ein Sachverhalt in den Anwendungsbereich des HinSchG fällt, entscheidet die Meldestelle. Voreingestellt ist nichts – ohne Aktivierung und Freigabe existiert die Funktion in der Oberfläche nicht. preeco | hinweisgeber ist dabei eine eigene Plattform und schreibt darüber hinaus keine System-Logdateien, damit aus dem Betrieb der Anwendung kein Rückschluss auf hinweisgebende Personen möglich ist.
Vorher und nachher im direkten Vergleich
| Kriterium | Vorher: improvisiert | Nachher: in der Anwendung |
|---|---|---|
| Einstieg in den Fall | Halber Arbeitstag Lesen und Sortieren | Zusammenfassung als eigener Abschnitt der Meldung |
| Übermittelte Daten | Alles, was in der Zwischenablage lag | Sachverhalt und Nachrichten, ohne Name und E-Mail-Adresse |
| Anbieterwahl | Der Browser-Tab, der zufällig offen war | Eigener Zugangsschlüssel, auf Wunsch selbst betriebener Endpunkt |
| Freigabe der Funktion | Individuelle Entscheidung am Arbeitsplatz | Teamweite Aktivierung und persönliche Freigabe, sonst nicht vorhanden |
| Übernahme von Vorschlägen | Manuell zurückkopiert, Formulierung je Fall anders | Auswahlliste, jeder Vorschlag einzeln abwählbar und bearbeitbar |
| Nachweis | Keiner | KI-Aktivitätenprotokoll mit Zeitpunkt, Person, Funktion und Modell |
| Aufbewahrung der KI-Inhalte | Unbekannt, beim Anbieter | Verschlüsselt gespeichert, nach sieben Tagen automatisch geleert |
| Fristen | Im Kopf geführt, unter Druck gerissen | Sieben Tage und drei Monate je Meldung automatisch überwacht |
In der Praxis
So sieht das in preeco | hinweisgeber aus
Die drei Bausteine, die den beschriebenen Ablauf tragen.
Zusammenfassung und Nachrichtenentwurf
Die KI-Zusammenfassung steht als eigener Abschnitt in der Detailansicht der Meldung. Ändert sich der Inhalt, wird sie als veraltet gekennzeichnet und neu erstellt. Der KI-Nachrichtenentwurf entsteht im Panel „Neue Nachricht" – wahlweise als interner Kommentar oder als Antwort an die hinweisgebende Person – und landet bearbeitbar im Nachrichtenfeld.
Risikoanalyse und Maßnahmenvorschläge
Die KI-Risikoanalyse schlägt Risiken samt Eintrittswahrscheinlichkeit und Schwere der Auswirkung vor, die Maßnahmenvorschläge zusätzlich eine Zuständigkeit für die Umsetzung. Die Übernahme läuft über eine Auswahlliste, jeder Vorschlag ist einzeln abwählbar, und alle Felder bleiben vor dem Speichern bearbeitbar.
Vertraulichkeit und Fristen im Meldekanal
Hinweisgebende entscheiden selbst, ob sie Kontaktdaten hinterlassen; anonyme Meldungen laufen über eine Melde-ID und ein selbst gewähltes Passwort. Die Sieben-Tage- und die Drei-Monats-Frist werden je Meldung automatisch überwacht, und das Dashboard warnt vor Fristen, die in den nächsten 14 Tagen fällig werden.
Was der Umstieg praktisch bedeutet
Der Aufwand liegt nicht in der Technik, sondern in zwei Entscheidungen, die vor der Aktivierung zu treffen sind. Erstens: Mit welchem Anbieter arbeiten wir, und liegt dafür ein Vertrag samt Auftragsverarbeitungsvertrag vor? Zweitens: Wer in der Meldestelle darf die Funktion nutzen, und wer nicht? Beides ist eine Führungs- und keine IT-Frage. preeco stellt weder Modell noch Zugang bereit und ist nicht Vertragspartner des KI-Anbieters; die Prüfung des Anbieters bleibt beim Unternehmen.
Wer beide Fragen nicht beantworten will, lässt die Funktion aus. Das ist ein tragfähiger Zustand: Im Auslieferungszustand ist sie deaktiviert, und die Meldungsbearbeitung funktioniert vollständig ohne sie.
Drei Fehler, die den Einsatz in der Meldestelle unvertretbar machen
Die Aktivierung als technische Kleinigkeit behandeln. Die Bestätigung des Einverständnisses zur Datenübertragung ist keine Formalie, die man wegklickt. Sie ist der Punkt, an dem festgelegt wird, dass Inhalte aus Meldungen an einen Dritten gehen – mit allem, was daran vertraglich und beim Drittlandtransfer hängt.
Den Vorschlag für das Ergebnis nehmen. Eine vorgeschlagene Eintrittswahrscheinlichkeit ist eine Hypothese, keine Bewertung. Wer Vorschläge unbesehen übernimmt, verlagert die Bewertung an eine Stelle, die den Fall nicht kennt – und dokumentiert am Ende eine Einschätzung, die niemand begründen kann.
Zusatzhinweise mit Personenbezug füllen. Das Feld für zusätzliche Hinweise dient dem Blickwinkel der Analyse, nicht der Fallakte. Wer dort Namen einträgt, hebt die Datenminimierung wieder auf, die die Funktion an anderer Stelle einhält.
Woran Sie erkennen, dass es Zeit ist
- In Ihrer Meldestelle wurden Fallinhalte schon einmal in ein öffentliches KI-Werkzeug kopiert.
- Sie können nicht belegen, mit welchen Werkzeugen eine Meldung bearbeitet wurde.
- Die Eingangsbestätigung verzögert sich regelmäßig, weil das Lesen und Sortieren Zeit kostet.
- Risiken und Maßnahmen sind je Fall anders benannt, eine Auswertung über Fälle hinweg gelingt nicht.
- Sie haben einen KI-Anbieter im Haus, aber keine Regel, wo er eingesetzt werden darf und wo nicht.
FAQ
Häufige Fragen zu KI in der Meldestelle
Das HinSchG verbietet den Einsatz technischer Hilfsmittel nicht, verlangt aber den Schutz der Identität hinweisgebender Personen und die Vertraulichkeit der Meldung. Ob ein konkreter Einsatz zulässig ist, hängt daher am gewählten Anbieter und an den Verträgen: Der Vertrag mit dem KI-Anbieter einschließlich Auftragsverarbeitungsvertrag, die Prüfung eines Drittlandtransfers und etwaige Zusicherungen zum Training mit übermittelten Daten obliegen dem Kunden. preeco stellt weder Modell noch Zugang bereit, ist nicht Vertragspartner des KI-Anbieters und erbringt keine Rechtsdienstleistung. Die rechtliche Prüfung bleibt bei Ihnen oder bei Ihrer anwaltlichen Beratung.
Nein. Übermittelt werden die Sachverhaltsangaben und die Nachrichten der Meldung sowie die optionalen Zusatzhinweise. Name und E-Mail-Adresse der hinweisgebenden Person werden nicht übertragen. Das Eingabefeld für Zusatzhinweise weist ausdrücklich darauf hin, dort keine personenbezogenen Daten zu erfassen – enthält der Sachverhalt selbst Namen, bleibt deren Prüfung Aufgabe der Meldestelle.
Sie müssen nichts ausschalten: Der Auslieferungszustand ist deaktiviert. Die Aktivierung erfolgt je Team und ausschließlich durch Administrator:innen, und zusätzlich muss jede Benutzerin und jeder Benutzer die KI-Funktionen persönlich freigeben. Ohne teamweite Aktivierung und persönliche Freigabe erscheinen in Meldungen keine KI-Elemente – die Funktion existiert dann in der Oberfläche nicht.
Nein. Es gibt keine automatisierte Entscheidung: keinen Statuswechsel, keine gesetzte oder verschobene Frist und keine Entscheidung über eine Meldung. Vorschläge werden nie automatisch übernommen. Die Übernahme läuft über eine Auswahlliste, jeder Vorschlag ist einzeln abwählbar, und alle Felder bleiben vor dem Speichern bearbeitbar. Danach sind die Einträge gewöhnliche Risiken und Maßnahmen und werden wie manuell erfasste protokolliert.
Nicht zwingend. Neben den unterstützten Anbietern lässt sich ein frei wählbarer, OpenAI-kompatibler Endpunkt hinterlegen – auch der eines selbst betriebenen Modells. In diesem Fall verlassen die Inhalte die Infrastruktur Ihres Unternehmens nicht. Unabhängig davon benennt das Startpanel den konkret konfigurierten Anbieter, bevor eine Analyse startet, und jeder Aufruf wird im KI-Aktivitätenprotokoll mit Zeitpunkt, Benutzer:in, Funktion, Modell und Anbieter festgehalten.
Den Einsatz gemeinsam abgrenzen
Bringen Sie Ihren heutigen Bearbeitungsablauf mit. In 30 Minuten zeigen wir, welche Schritte die KI stützt, was übermittelt wird und wie die Freigabe geregelt ist.