Whistleblower-Politik und Personalschutz

1) Einführung und Ziele

Whistleblowing ist die Grundlage für Unternehmensethik und Risikomanagement. Es schafft einen sicheren Weg für Mitarbeiter, Auftragnehmer, Partner und Partner, Verstöße zu melden: Korruption, Betrug, AML/Sanktionen, verantwortungsvolle Spielverstöße, Datensicherheit, Belästigung, Interessenkonflikte, Berichtsmanipulation usw. Die Ziele der Politik sind: (1) Früherkennung von Verstößen, (2) Schutz der Meldenden, (3) transparente und faire Untersuchung, (4) Verhinderung von Repressalien.

2) Grundprinzipien

Null Toleranz für Repression. Jede Form von Druck, Herabstufung, Entlassung, „Einfrieren“ von Boni, Drohungen - ist verboten.
Vertraulichkeit und möglichst Anonymität. Die Identität des Hinweisgebers wird nur aus rechtlicher Notwendigkeit und mit einem Zugangsprotokoll offengelegt.
Unabhängigkeit der Untersuchung. Konfliktparteien und ihre Manager sind ausgeschlossen.
Aktualität und Verhältnismäßigkeit. Die Fristen werden vom SLA festgelegt, die Maßnahmen sind dem Risiko angemessen.
Schutz der Integrität. Die gutgläubige Botschaft ist geschützt, auch wenn sich die Tatsache nicht bestätigt hat.
Keine immunisierende Wirkung für Missbrauch. Wissentlich falsche Denunziationen sind disziplinarische Verantwortung.

3) Geltungsbereich

Interne Mitarbeiter (Personal/Vertrag).
Auftragnehmer, Berater, Affiliates, Support-Agenten, Spiele/Zahlungsanbieter.
Stellenbewerber (Berichte über Rekrutierungsverstöße).
Ehemalige Mitarbeiter (begrenzte Zeit nach der Entlassung, empfohlen ≥ 12 Monate).

4) Was und wo zu berichten (Kategorien)

Finanzen/Betrug: Scheinrechnungen, Pullbacks, „Zeichnen“ von Metriken, Bonus-Missbrauch durch das Personal.
Compliance: AML/KYC Verstöße, Sanktionen, Urkundenfälschung, illegales Glücksspiel in verbotenen Geos.
Info/Daten: Lecks, Backdoors, KMS-Bypass, Log-Manipulation.
Ethik/HR: Belästigung, Diskriminierung, Mobbing, Interessenkonflikte.
Gaming Ehrlichkeit: RTP/RNG Manipulation, skrupellose Promo.

Arbeitsschutz: Gesundheitsgefahren, H & S-Verstöße

5) Nachrichtenkanäle (Mindestsatz)

1. Externe brennende Linie (24/7, unabhängiger Betreiber): Webformular, Telefon, E-Mail; Förderung der Anonymität und Mehrsprachigkeit.
2. Internes Portal/Bot (SSO, aber anonyme Fensteroption).
3. Der DPO/SRO/Compliance Officer ist ein persönlicher Briefkasten.
4. Physische Vertrauensbox (für Offline-Standorte).
5. Recht auf externe Kommunikation an Regulierungsbehörden/Ombudspersonen, wenn interne Kanäle nicht funktionieren oder Repressalien drohen.

Kanalanforderungen: Verschlüsselung, Prüfprotokoll, Statusverfolgung, SLA-Timer, Deanonymization-Schutz.

6) Timing und SLA (empfohlener Standard)

T + 7 Tage: Bestätigung des Eingangs der Nachricht an den Informanten (wenn nicht anonym).
T + 30 Tage: Untersuchungshaft (Scope, Untersuchungsplan).
T + 90 Tage: abschließende Antwort/Zwischenbericht in komplexen Fällen (mit Begründung der Verlängerung).
P0-Vorfälle (Gefahr für Leben/Sicherheit, kritische Leckage): sofortige Reaktion, Eskalation innerhalb von 2 Stunden.

7) Prozess (Durchfluss)

1. Die Einreichung einer Nachricht → die Zuweisung einer eindeutigen ID, eine Sicherheits-PIN für anonyme.
2. Triage und Klassifizierung (HR/Legal/GRC): Risiko, Interessenkonflikt, Notwendigkeit der Beweissicherung.
3. Zuweisung eines unabhängigen Teams (siehe RACI).
4. Sammlung/Aufbewahrung von Beweismitteln: Protokolle, Korrespondenz, IDS/EDR-Artefakte, Finanzdokumente (mit Aufbewahrungskette).
5. Interviews und Analysen (Minimierung der Offenlegung der Identität des Informanten).
6. Schlussfolgerungen und Empfehlungen: Disziplinarmaßnahmen, Kontrollverbesserungen, Benachrichtigung der Regulierungsbehörden (falls erforderlich).
7. Fidbeck an Whistleblower: Status und Gesamtergebnisse ohne Beeinträchtigung der Ermittlungen/Geheimhaltung.
8. Überwachung der Repression: Nachkontrolle 6-12 Monate.

8) RACI (Rollen und Verantwortlichkeiten)

9) Schutz von Whistleblowern

Verbot der Repression: in Arbeitsdokumenten/Kodex festgelegt.
Vertraulichkeit: Persönliche Daten und Kontext werden nach dem Prinzip „unbedingt notwendig zu wissen“ offengelegt.
Übersetzung/Änderung des Zeitplans auf Anfrage des Informanten, um den Druck zu reduzieren.
Bezahlter Urlaub/Unterstützung (bei hoher Situationstoxizität).
Rechtshilfe (in schweren Fällen - Ausgleich der Grundkosten).
Überwachung der KPI-Symptome: plötzliche Verschlechterung der Bewertungen, Block von Boni, Übertragung auf „Penalty“ -Schichten.

10) Anonymität: Grenzen und Erwartungen

Anonyme Nachrichten werden akzeptiert, aber man muss die Einschränkungen ehrlich erklären: die Kommunikation ist komplizierter, das Risiko von Missverständnissen. Unterstützen Sie den bidirektionalen Kanal (ID + PIN) für Klarstellungen. Versuchen Sie nicht zu deanonymisieren - es untergräbt das Vertrauen und kann gegen das Gesetz verstoßen.

11) Verhältnis zu anderen Politikbereichen

Ethik- und Verhaltenskodex

Antikorruptions- und Geschenkpolitik

AML/KYC/Sanktionen

Informationssicherheit und Datenschutz (DSGVO/PDPA/LGPD)

Arbeitssicherheit und H&S

Politik zu Belästigung und Antidiskriminierung

12) Daten und Privatsphäre

Bewahren Sie nur das notwendige Minimum auf, trennen Sie die Identität des Informanten von den Fallmaterialien.
Rechtsgrundlage der Verarbeitung: berechtigtes Interesse/gesetzliche Verpflichtung.
Aufbewahrungsfrist: je nach lokalen Anforderungen (in der Regel 3-6 Jahre) oder bis zum Abschluss von Streitigkeiten.
Sicherheit: separater Safe/Schlüssel, eingeschränkter Zugang, Prüfung von Anfragen.

13) Externe Kommunikation und Regulierungsbehörden

Die Politik sollte das Recht des Hinweisgebers anerkennen, sich direkt an die zuständigen Behörden (Aufsichtsbehörden, Ombudsleute, Strafverfolgungsbehörden) zu wenden, insbesondere wenn interne Kanäle unzuverlässig sind oder Interessen kollidieren. Das Unternehmen verpflichtet sich, dies nicht zu behindern oder zu verfolgen.

14) Kategorie- und Prioritätenmatrix

15) Leistungskennzahlen (Dashboard)

Trichter: → in Betrieb genommen → bestätigt → geschlossen.
Durchschnittliche Triage/Schließzeit nach Priorität.
Anteil der Fälle, die zu Korrekturmaßnahmen geführt haben.
NPS/Channel Trust (anonyme Umfrage).
Sicherheitsindex: Keine Beschwerden über Repression, keine „seltsamen“ Personalentscheidungen nach Berichten.
Abdeckung mit Trainings und deren Häufigkeit.

16) Ausbildung und Kommunikation

Jährliche Pflichtschulung (Fallstudien, Simulationen).
Plakate/Landings mit QR-Codes der Kanäle.
Durchgehende Beispiele „wie richtig“: Briefe, Korrespondenz, Berichterstattung.
Mitarbeiterbericht: Aggregierte Statistiken und Fälle ohne Personalien.

17) Interaktion mit Lieferanten/Affiliates

In den Verträgen: die Verpflichtung, einen Kanal von Informanten zu haben/zu unterhalten, das Recht anzuerkennen, sich direkt an uns zu wenden, das Verbot der Repression.
„Right to audit“ und die Pflicht, wesentliche Vorfälle innerhalb von X Stunden zu melden.
Ein gemeinsames Repository für ethische Standards und Anlaufstellen.

18) Musterbestimmungen (Formulierungsskizzen)

• "Das Unternehmen erlaubt keine Form der Repression gegen Personen, die mutmaßliche Verstöße in gutem Glauben gemeldet haben. Jede Handlung, die den Charakter von Druck hat, wird Disziplinarmaßnahmen bis hin zur Entlassung nach sich ziehen".

• „Informationen über die Identität des Whistleblowers und die Einzelheiten der Kommunikation werden vertraulich behandelt und nur dann offengelegt, wenn dies unbedingt erforderlich oder gesetzlich vorgeschrieben ist“.

• "Die Untersuchung wird von einem beauftragten unabhängigen Gremium durchgeführt; Personen mit einem potenziellen Interessenkonflikt ist der Zutritt nicht gestattet".

• "Bestätigung - 7 Tage; vorläufige Antwort - 30 Tage; unterm Strich 90 Tage (oder Zwischenbericht mit Begründung der Verlängerung) ".

(Vor der Anwendung auf lokales Recht/Schlagworte anpassen.)

19) Integration mit iGaming-Risiken

Verknüpfung mit Responsible Gaming (Missbrauch von VIP-Programmen, Selbstausschlussumgehungen).
Kontrolle der Spieleanbieter (Eingriff in RTP, schnelle Fixes außerhalb der Regularien).
Marketing/Affiliates: falsche Versprechungen, „schwarze“ Lead-Generierung Praktiken.
Zahlungen: Umgehung von Sanktionen/AML, „graue“ PSPs, riskante On/Off-Ramp.

20) Checkliste Umsetzung

1. Weisen Sie dem Whistleblowing Officer und der Reserveleitung die Unterordnung unter das Board zu.
2. Sichere Kanäle auswählen und starten (externer Operator empfohlen).
3. Genehmigen Sie Politik, RACI, SLA, Nachrichtenformular.
4. Richten Sie rechtliche Halte- und Beweissicherungsverfahren ein.
5. Durchführung eines Kick-off-Trainings + jährliche Auffrischungs-Module.
6. Das Verbot der Repression in Arbeitsverträge und den Kodex aufnehmen.
7. Führen Sie das Dashboard der Metriken und die vierteljährlichen Bewertungen des Boards aus.
8. Durchführung von Risikobewertungen bei wichtigen Lieferanten und Aufnahme von Verpflichtungen in Verträge.
9. Organisieren Sie alle 6-12 Monate eine Umfrage zum Kanalvertrauen.
10. Führen Sie einen Testvorfall (Table-Top) mit dem Board und den Schlüsselfunktionen durch.

Schlussfolgerung

Die Arbeitspolitik von Whistleblowern ist nicht nur ein Kanal, um „eine Beschwerde zu hinterlassen“. Es ist ein Ökosystem des Vertrauens: sichere Kanäle, klare Rollen, unabhängige Untersuchung, null Toleranz gegenüber Repression und regelmäßige Berichterstattung an das Board. Formalisierte SLAs, Schulungen und die Integration in das Risikomanagement machen es zu einem wirksamen Instrument zur Prävention von Verstößen und stärken die ethische Kultur des Unternehmens.