Der Meldekanal, den das Hinweisgeberschutzgesetz vorschreibt #

Stand: 2026-09-24.

EthicsPortal ist Hinweisgeber-Compliance-Infrastruktur und betreibt den sicheren internen Meldekanal, den die EU-Richtlinie 2019/1937 und das deutsche Hinweisgeberschutzgesetz vorschreiben — für Organisationen ab 50 Beschäftigten und für regulierte Einrichtungen, die dieselbe Pflicht unabhängig von der Beschäftigtenzahl trifft.

Was EthicsPortal leistet #

Anonyme und vertrauliche Meldungsaufnahme #

Beschäftigte melden aus jedem Browser, ohne Konto, App oder Firmennetz. Die Angabe der Identität ist freiwillig, IP-Adressen hinweisgebender Personen werden nicht gespeichert, und Dateimetadaten (EXIF, GPS, Autor) werden vor der Speicherung entfernt. So entsteht ein Kanal, den Menschen tatsächlich nutzen — die Voraussetzung dafür, dass der interne Vorrang der Richtlinie funktioniert.

Fristenüberwachung #

Jede Meldung startet automatisch die beiden Fristen der Richtlinie: sieben Tage bis zur Eingangsbestätigung, drei Monate bis zur inhaltlichen Rückmeldung. Überfällige Fälle werden im Dashboard markiert, die Fallbearbeitung wird vor Fristablauf benachrichtigt. Die bußgeldbewehrten Termine liegen damit nicht in einer Tabellenkalkulation.

Sichere zweiseitige Kommunikation #

Hinweisgebende Personen kehren mit einer Fallreferenz und einem selbst gewählten sechsstelligen Zugangscode zurück, um Nachrichten zu lesen und zu beantworten. Die Identität der Fallbearbeitung wird nie angezeigt. Rückfragen sind so möglich, ohne dass eine der beiden Seiten ihren Schutz verliert.

Fallbearbeitung und Audit-Protokoll #

Die Fallbearbeitung priorisiert, weist zu und schließt Fälle in einer Ansicht und kann telefonisch, per E-Mail oder persönlich eingegangene Meldungen nacherfassen, sodass alle Kanäle in derselben Fallliste landen. Jede Aktion wird in ein revisionssicheres Protokoll geschrieben, das nachträglich nicht verändert werden kann.

Export und Aufbewahrung #

Jeder Fall lässt sich als PDF mit vollständigem Nachrichtenverlauf, Zeitleiste und Audit-Protokoll exportieren — für Rechtsberatung, Wirtschaftsprüfung oder eine Aufsichtsbehörde. Die Aufbewahrung ist auf 12, 24, 36, 48 oder 60 Monate nach Fallabschluss konfigurierbar, danach wird automatisch gelöscht.

Anbindung an Identitäts- und Zugriffsverwaltung #

SAML-2.0-Single-Sign-on und SCIM-2.0-Provisionierung verbinden den Meldekanal mit Okta, Microsoft Entra ID oder jedem standardkonformen Anbieter. Die Fallbearbeitung wird aus dem Verzeichnis bereitgestellt und beim Austritt sofort deprovisioniert, wodurch der Zugriff auf Meldungen ohne manuellen Schritt endet.

Was EthicsPortal unterscheidet #

Der Preis ist veröffentlicht #

EthicsPortal kostet 41,67 € pro Monat bei jährlicher Abrechnung (500 € pro Jahr) oder 60 € pro Monat bei monatlicher Zahlung — alle Funktionen inklusive, keine Gebühren je Beschäftigtem. Weder NAVEX noch EQS Integrity Line, SpeakUp, Whispli oder FaceUp veröffentlicht einen Preis; alle kalkulieren über einen Vertriebsprozess. Siehe Preise und die Vergleiche .

Die Einrichtung erfolgt selbstständig #

Eine Organisation konfiguriert ihren Meldekanal und erhält in derselben Sitzung eine aktive URL und einen QR-Code, ohne Einführungsprojekt. Die Unternehmensplattformen dieser Kategorie führen die Einrichtung zunächst über ein Vertriebsgespräch — ein Unterschied in der Beschaffungsdauer, nicht in der Produktqualität.

Meldedaten bleiben in der EU #

Die zentralen Meldedaten — Anwendung, Datenbank und Dateispeicher — laufen bei Hetzner in Nürnberg, der Transaktions-E-Mail-Versand über Mailjet in Frankreich. Der Meldekanal und die Fallbearbeitungsoberfläche laden kein Cloudflare. NAVEX ist ein US-Anbieter, dessen EU-Hosting-Position nicht öffentlich dokumentiert ist; die vollständige Kette steht in der Liste der Unterauftragsverarbeiter .

Prüfnachweise sind veröffentlicht, einschließlich der Lücken #

Die ISO/IEC-27001:2022-Selbstbewertung deckt die Kapitel 4–10 und alle 93 Annex-A-Controls ab, daneben stehen eine ISO-37002-Zuordnung , ein ausgefüllter CAIQ , eine DORA-Drittanbieterübersicht , ein AV-Vertrag , ein SLA und ein Risikoregister . Wo eine Maßnahme nicht vorliegt, sagen dieselben Seiten das und datieren es, statt es einen Prüfer erst im Fragebogen entdecken zu lassen. Die offenen Punkte stehen auf der Vertrauensseite .

Meldeinhalte werden nie durch KI verarbeitet #

Kein Meldeinhalt, keine Identität, keine Nachricht der Fallbearbeitung, kein Anhang und kein Protokolleintrag wird an ein großes Sprachmodell, einen generativen KI-Dienst oder einen KI-Klassifikator übermittelt. Das ist vertraglich zugesichert, keine Einstellung — AV-Vertrag §6.10 — und eine Einführung wäre eine wesentliche Änderung mit Anzeigepflicht nach der Unterauftragsklausel.

Für wen EthicsPortal gedacht ist #

Der Schwellenwert von 50 Beschäftigten in Art. 8(3) ist der bekannteste Auslöser, aber nicht der einzige. Art. 8(4) setzt ihn für Einrichtungen außer Kraft, die in den Anwendungsbereich der in Anhang Teil I.B und Teil II genannten Unionsrechtsakte fallen, und mehrere Mitgliedstaaten erstrecken die Pflicht auf öffentliche Stellen jeder Größe.

• Finanzdienstleister , E-Geld- und Zahlungsinstitute , Versicherer und geldwäscherechtlich Verpflichtete — auch deutlich unter 50 Beschäftigten, denn nach Art. 8(4) gilt die Pflicht unabhängig von der Beschäftigtenzahl, häufig neben DORA- und aufsichtsrechtlichen Meldepflichten
• Öffentliche Stellen und Kommunen , bei denen mehrere Umsetzungen öffentliche Einrichtungen unabhängig von ihrer Größe erfassen und Art. 8(9) nur kleinen Gemeinden die gemeinsame Nutzung eines Kanals erlaubt
• Unternehmen in der EU mit 50–249 Beschäftigten, die den Schwellenwert nach Art. 8(3) überschritten haben und noch keinen Kanal betreiben
• Unternehmen in der EU ab 250 Beschäftigten, die ein Postfach oder einen geteilten E-Mail-Account als Kanal ablösen
• Industrieunternehmen mit Belegschaften an mehreren Standorten und in mehreren Sprachen
• EU-Tochtergesellschaften von Konzernen außerhalb der EU, die einen eigenen, in der EU betriebenen Kanal benötigen
• Compliance-Beratungen und externe Datenschutzbeauftragte, die Kanäle für Mandanten betreiben

Die Organisation hinter EthicsPortal #

EthicsPortal ist eine Geschäftsbezeichnung von Yaroslav Shmarov, Einzelunternehmer (jednoosobowa działalność gospodarcza) mit Sitz in Warschau, Polen, und zeichnungsberechtigt für kommerzielle Verträge, AV-Verträge und Sicherheitsfragebögen.

Die Fortführung wird adressiert und nicht vorausgesetzt: Administratoren der Organisation können ihre Fälle jederzeit ohne Zutun des Betreibers exportieren, und der Notfall- und Fortführungsplan benennt die betrieblichen Abhängigkeiten, Auslöser, Wiederherstellungsziele und die derzeitigen Einschränkungen bei Ausfall des Betreibers.

Der Dienst existiert, weil die Pflicht lange vor einer Compliance-Abteilung einsetzt — bei den meisten Arbeitgebern ab 50 Beschäftigten, bei einem beaufsichtigten Finanzinstitut bei jeder Größe. Bisher standen dafür nur zwei Optionen zur Verfügung: eine GRC-Unternehmenssuite, bepreist und vertrieben für eine Compliance-Abteilung, oder ein geteiltes Postfach, das den Wortlaut einer Pflicht erfüllt und ihren Zweck verfehlt. EthicsPortal ist für die Organisationen dazwischen gebaut: ein Kanal, der jeden Artikel der Richtlinie erfüllt, bepreist und einsetzbar wie Software statt wie ein Beratungsprojekt.

• Gründer: Yaroslav Shmarov — LinkedIn
• Unternehmen: LinkedIn · GitHub
• Vertragspartner, Registernachweise und Beschaffungsunterlagen: Vertrauensseite

EthicsPortal betreibt einen eigenen internen Meldekanal auf dem eigenen Produkt, nach EU-Richtlinie 2019/1937: secure.ethicsportal.eu/p/R8HXGNHO .

Wie die Zusammenarbeit abläuft #

Einrichtung #

Organisationskonto anlegen, Name, Logo, Meldekategorien und Aufbewahrungsdauer festlegen — mit dem Speichern der Konfiguration erhält der Meldekanal seine URL und seinen QR-Code. Die Konfiguration dauert Minuten und die Organisation nimmt sie selbst vor: Es gibt kein Einführungsprojekt zu terminieren und keine Beratungsleistung zu beauftragen. Der vollständige Ablauf steht unter So funktioniert EthicsPortal .

Ihre Ansprechpartner #

Fragen zum AV-Vertrag, zur Haftungsposition oder zu einem Sicherheitsfragebogen erreichen die zeichnungsberechtigte Person direkt — beantwortet von jemandem, der die Antwort auch zeichnen kann, statt von einer Warteschlange, die erst dorthin eskaliert. Für die Themen, die es erfordern, bestehen eigene Adressen: privacy@ethicsportal.eu für Datenschutz und DSGVO, security@ethicsportal.eu für Sicherheitsmeldungen, legal@ethicsportal.eu für den AV-Vertrag, accessibility@ethicsportal.eu für Fragen zur Barrierefreiheit.

Reaktionszeiten #

E-Mails werden unter normalen Bedingungen innerhalb eines Werktages beantwortet. Die Meldung einer Verletzung des Schutzes personenbezogener Daten an den Verantwortlichen erfolgt unverzüglich nach Kenntniserlangung, wie Art. 33(2) DSGVO es vom Auftragsverarbeiter verlangt (AV-Vertrag §6.6 ). Messung und Ausnahmen der Verfügbarkeit stehen im SLA ; die Wiederherstellungsziele betragen RPO 24 Stunden und RTO 4 Stunden.

Transparenz im laufenden Betrieb #

Die aktuelle Verfügbarkeit wird unter secure.ethicsportal.eu/up veröffentlicht, Sicherheitsvorfälle unter Vorfälle . Wechsel bei Unterauftragsverarbeitern werden mindestens 30 Tage im Voraus angezeigt, mit Widerspruchs- und Kündigungsrecht (AV-Vertrag §6.4 ).

Eckdaten #

Häufige Fragen #

Wer betreibt EthicsPortal? #

EthicsPortal ist eine Geschäftsbezeichnung von Yaroslav Shmarov, Einzelunternehmer mit Sitz in Warschau, Polen (NIP 5272755790). Dieselbe Person ist zeichnungsberechtigt für kommerzielle Verträge, AV-Verträge und Sicherheitsfragebögen. Registernachweise sind auf der Vertrauensseite veröffentlicht und werden im Beschaffungsprozess auf Anfrage bereitgestellt.

Wo werden Meldedaten gespeichert? #

Die zentralen Meldedaten — Anwendung, Datenbank und Dateispeicher — liegen auf Hetzner-Infrastruktur in Nürnberg. Transaktions-E-Mails laufen über Mailjet in Frankreich. Die Marketing-Website wird über Cloudflare ausgeliefert; der Meldekanal und die Fallbearbeitungsoberfläche nicht.

Was kostet EthicsPortal? #

41,67 € pro Monat bei jährlicher Abrechnung (500 € pro Jahr) oder 60 € pro Monat bei monatlicher Zahlung. Alle Funktionen sind enthalten, es gibt keine Gebühren je Beschäftigtem — der Preis ändert sich also nicht mit der Belegschaftsgröße. Siehe Preise .

Welche Sicherheits- und Compliance-Nachweise veröffentlicht EthicsPortal? #

Eine vollständige ISO/IEC-27001:2022-Selbstbewertung über die Kapitel 4–10 und alle 93 Annex-A-Controls als Erklärung zur Anwendbarkeit, eine ISO-37002-Zuordnung , einen ausgefüllten CAIQ , eine DORA-Drittanbieterübersicht , benannte Richtliniendokumente und ein Risikoregister . Das sind Selbstbewertungen gegen dieselben Control-Sets, die ein externes Audit prüfen würde, keine akkreditierte Zertifizierung. Zertifizierungsstatus und offene Punkte stehen auf der Vertrauensseite .

Kann eine Organisation außerhalb der EU EthicsPortal nutzen? #

Die Einheit, die den Meldekanal betreibt, muss in der EU registriert sein. Verfügt eine Gruppe über eine EU-Einheit, kann diese einen Kanal betreiben und Beschäftigten in jedem Land öffnen; alle Meldungen laufen in dieselbe Fallliste. Ein Compliance-Nachweis bezieht sich auf das nationale Recht der betreibenden EU-Einheit.

Wie lange dauert die Einrichtung? #

Der Meldekanal ist aktiv, sobald die Konfiguration gespeichert ist — Name, Logo, Kategorien und Aufbewahrungsdauer. Die verbleibende Arbeit ist die Bekanntmachung: Der Kanal kommt mit einem teilbaren Link und einem QR-Code für Handbücher, Onboarding-Unterlagen und Aushänge.

Verarbeitet EthicsPortal Meldeinhalte mit KI? #

Nein. Meldeinhalte, Identitäten, Nachrichten der Fallbearbeitung, Anhänge und Protokolleinträge werden nie an ein großes Sprachmodell, einen generativen KI-Dienst oder einen KI-Klassifikator übermittelt, und der Dienst führt keine KI-gestützte Kategorisierung, Triage, Zusammenfassung, Übersetzung oder Antwortvorschläge auf personenbezogenen Daten aus. Die Zusage ist vertraglich nach AV-Vertrag §6.10 .

Wie erhalte ich Beschaffungsunterlagen? #

AGB, AV-Vertrag, SLA, Liste der Unterauftragsverarbeiter, Sicherheitsdokumentation und Selbstbewertungen sind offen veröffentlicht und erfordern keine Anfrage. Registernachweise, ein gegengezeichneter AV-Vertrag und weitere Beschaffungsunterlagen sind im Prüfprozess auf Anfrage erhältlich — siehe Vertrauensseite .

Meldekanal einrichten →

Zuletzt aktualisiert: 30. September 2026