Es sollte der hinweisgebenden Person durch vertragliche Garantien und zudem durch technisch-organisatorische Maßnahmen die Möglichkeit gegeben werden, ihre Identität verbindlich gegenüber ihrer Organisation und hierbei insbesondere gegenüber der internen Meldestelle geheim zu halten.
Ausgangspunkt ist die Kollision der Auskunfts-/Offenbarungspflicht aus Art. 15 DSGVO einerseits und der Schutzziele des Hinweisgeberschutzgesetzes zur Wahrung der Geheimhaltung andererseits. Es bedarf insoweit laut Rechtsprechung des Bundesgerichtshofs einer Interessenabwägung Interessenabwägung im Einzelfall zwischen dem Anspruch aus Art. 15 DSGVO der von den Hinweisen betroffenen Personen und dem Geheimhaltungsanspruch der hinweisgebenden Person.
Dieser Interessenabwägung ist auch die Ombudsperson unterworfen. Denn grundsätzlich besteht für sie kein Zeugnis- oder Aussageverweigerungsrecht in Bezug auf die Preisgabe der Identität der hinweisgebenden Person. Dies erhöht die Hemmschwelle für Meldungen beträchtlich (siehe unten). Denn es bedeutet, dass eine Abwägung im Einzelfall durch die Ombudsperson vorzunehmen ist, bei der die berechtigten Interessen beider Seiten schlussendlich in einen Ausgleich gebracht werden müssen, der zum Ergebnis haben kann, dass das Interesse betroffener Personen an einer Offenbarung der Identität überwiegt. Die Ombudsperson kann aus diesem Grunde ihre originären Kompetenzen und Aufgaben, nämlich die verbindliche Wahrung der Anonymität der hinweisgebenden Person bei gleichzeitig offener Kommunikation zwischen dieser Person und der Ombudsperson, nicht garantieren.
Technisch-organisatorische Maßnahmen zur Meldung Verschlüsselung sind demnach erforderlich, um die Anonymität im tatsächlichen Sinne sicherzustellen. Demgemäß bedarf es eines Meldestellensystems, das diese Anonymität in der Kommunikation auf jeder Stufe des Verfahrens, von der Erstmeldung bis zur Löschung aller vorgangsbezogenen Daten, uneingeschränkt gewährleistet. Denn wie Erhebungen aus 4 europäischen Ländern zeigen, erfolgt rund die Hälfte der Erstmeldungen in anonymer Form, wenn die Organisation eine anonyme Meldung zulässt. Dies deutet stark darauf hin, dass offene Meldekanäle, die die Anonymität nicht garantieren, eine deutliche Hürde für die Schutzziele des Hinweisgeberschutzgesetzes darstellen. Die hinweisgebende Person wird sich in nicht wenigen Fällen gut überlegen, ob sie auf eine Meldung verzichtet oder – alternativ – unmittelbar an externe Meldestellen richtet. Damit würde die Sollvorschrift aus § 7 Hinweisgeberschutzgesetz, wonach hinweisgebende Personen die interne Meldestelle als 1. Anlaufstelle bevorzugen sollen, leerliefe aus Furcht vor Repressalien infolge mangelhaften Vertrauensschutzes.
Zusätzlich zu den technischen Möglichkeiten ist zur auch vertraglichen Gewährleistung der Anonymität zwischen Organisation und Ombudsperson zu vereinbaren, dass die Identität der hinweisgebenden Person in Fällen der Geltendmachung von Auskunftsansprüchen nicht offengelegt werden muss. Eine solche Regelung ergänzt die Bestimmungen im Mandatsvertrag zur anonymen Entgegennahme und Bearbeitung von Hinweisen. In bestimmten Konstellationen, bei denen die Erstmeldung den Verdacht für Rechtsverletzungen hinreichend plausibel macht, besteht ohnehin von Gesetzes wegen eine Verpflichtung der Organisation, über Compliance oder Innenrevision den Vorgängen trotz der Anonymität der Quelle nachzugehen, um weiteren Rechtsverletzungen vorzubeugen oder begangene Rechtsverletzungen aufzudecken.
Aus Sicht der Ombudsperson respektive deren Kanzlei gilt es ferner im Mandatsvertrag zu klären, wie weit die Zuständigkeit zur Entgegennahme und Bearbeitung im Rahmen des Meldemanagements reicht, wenn es sich bei der Meldestelle um eine zentrale Einrichtung innerhalb einer Konzernstruktur handelt. Denn innerhalb einer solchen Struktur muss nicht jede juristische Person, die die Eintrittsschwelle von mehr als 50 Beschäftigten erreicht, eine eigene interne Meldestelle mit verschiedenen Meldekanälen einrichten. Vielmehr kann ein Dritter, beispielsweise ein entsprechend qualifizierter Dienstleister wie insbesondere eine Anwaltskanzlei, von allen Konzerngesellschaften mit den Aufgaben einer internen (Konzern-) Meldestelle beauftragt werden und entsprechende Meldekanäle einrichten.
Bei der Entgegennahme und Bearbeitung von Auslandssachverhalten bedarf es jeweils zunächst der Abklärung des rechtlichen Rahmens für Meldestelle und Ombudsperson und entsprechender mandatsvertraglicher Regelungen bei der Ermittlung und Anwendung ausländischen Rechts und etwaiger Korrespondenz mit ausländischen Stellen.