Was anonym bedeuten muss, um wirklich anonym zu sein

Anonymes Melden ist leicht anzubieten und schwer ernst zu meinen. In der Lücke dazwischen werden Menschen identifiziert.

Der Name, überall — nicht nur auf der Meldung

Persohap nutzt ein Modell der verborgenen Identität. Ihr Konto bleibt mit der Meldung verknüpft — nur so können Sie den Fall verfolgen und auf Rückfragen antworten. Aber bei einer anonymen Meldung wird Ihr Name in keine Antwort serialisiert.

Nicht für die Bearbeitung. Nicht ins Prüfprotokoll. Und nicht zurück an Sie: Ihr eigener Fall liest sich als „anonym abgesendet“, und das ist Absicht. Stünde dort Ihr Name, würde jeder Blick über Ihre Schulter etwas verraten, das die Bearbeitung nicht wissen darf.

Die Funktion ist ein Deanonymisierungskanal

Das übersieht man leicht. Den Namen zu verbergen und die Funktion zu zeigen wirkt harmlos, bis man an eine Abteilung mit genau einer Führungskraft denkt. „Die Führungskraft hat gemeldet“ benennt exakt eine Person.

Auf den eigenen Protokollzeilen einer anonym meldenden Person wird die Funktion deshalb zusammen mit dem Namen entfernt.

Auch Fehlermeldungen verraten etwas

Wenn die Anfrage nach einem Fall, den Sie nicht sehen dürfen, „verboten“ zurückgibt, wissen Sie, dass der Fall existiert. Mit ein paar plausiblen Kennungen lässt sich abbilden, was untersucht wird, ohne ein einziges Wort davon zu lesen.

Verweigerter Zugriff antwortet „nicht gefunden“ — dieselbe Antwort wie für einen Fall, den es nicht gibt. Für Plattformbetreiber existiert in dieser Prüfung überhaupt kein Zweig.

Einwilligung muss das Organigramm überdauern

Über die Admins hinaus wählt die meldende Person, wer den Fall noch lesen darf: die direkte Führungskraft, die Abteilungsleitung — jeweils namentlich gezeigt, damit die Entscheidung informiert ist.

Diese Freigabe wird beim Absenden eingefroren. Gespeichert wird die konkrete Person, der zugestimmt wurde, nicht die Rolle. Eine Umstrukturierung, eine Beförderung oder eine neue Führungskraft eröffnet nie Zugriff auf einen alten Fall — insbesondere dann nicht, wenn die neue Führungskraft die Person ist, um die es geht.

Nur die meldende Person zieht zurück

Kein Admin, keine Bearbeitung und nicht die betroffene Person. Und das Zugriffsprotokoll wird getrennt und ohne Verknüpfung zum Fall geführt, sodass seine Zeilen die Löschung des Falls überdauern, den sie beschreiben.

Was wir nicht behaupten

Das ist eine Beschreibung von Mechanik, keine Zertifizierung. Wir behaupten keine Konformität mit der EU-Hinweisgeberrichtlinie, es gibt keine Aufbewahrungsrichtlinie und keine geplante Löschung, und benannte Compliance-Beauftragte als Bearbeitende sind eine geplante, keine ausgelieferte Option.