Hinweisgeberschutzgesetz: Meldestelle richtig aufsetzen

Das Hinweisgeberschutzgesetz ist da, die Geschäftsführung fragt nach dem Umsetzungsstand und die Mitarbeitenden wollen wissen, an wen sie sich konkret wenden können. In vielen Behörden und Unternehmen existieren bereits Compliance- oder Beschwerdekanäle, aber selten decken sie alle Anforderungen des HinSchG sauber ab. Genau hier entscheidet sich, ob du später Stress mit unklaren Zuständigkeiten und Fristversäumnissen hast oder eine funktionierende Meldestelle betreibst.

Wer vom HinSchG erfasst ist und was das praktisch bedeutet

Das HinSchG verpflichtet öffentliche Stellen und Unternehmen bestimmter Größe, interne Meldestellen einzurichten. Für dich wichtig sind vor allem:

• Öffentliche Auftraggeber und Behörden unabhängig von der Beschäftigtenzahl, mit wenigen Ausnahmen
• Unternehmen ab in der Regel 50 Beschäftigten
• Besondere Pflichten für bestimmte regulierte Bereiche, etwa Finanzdienstleistung, Verkehrssicherheit, Umweltschutz

Für die Praxis bedeuten die Pflichten nach HinSchG vor allem:

• Du brauchst eine interne Meldestelle mit klarer Zuständigkeit
• Du musst sichere Meldekanäle bereitstellen
• Du musst Hinweisgeber vor Repressalien schützen
• Du musst Fristen und Verfahrensschritte einhalten
• Du brauchst eine geordnete Dokumentation

Die rechtliche Grundlage findest du im Hinweisgeberschutzgesetz, Bundesgesetzblatt 2023 Teil I Nr. 140. Der Gesetzestext ist über gesetze-im-internet.de abrufbar.

Interne Meldestelle: Organisation, Zuständigkeit, Auslagerung

Zentrale Frage: Wer ist bei dir „zuständige interne Meldestelle“ im Sinne des HinSchG und wie organisierst du das?

Mögliche Modelle:

• Interne Meldestelle in der Compliance- oder Rechtsabteilung
• Meldestelle in der Personalabteilung bei stark HR-bezogenen Themen
• Zentrale Meldestelle in der Behörde mit klar geregelter Zusammenarbeit mit Fachabteilungen
• Ausgelagerte Meldestelle an externe Ombudspersonen oder spezialisierte Dienstleister

Ausgelagerte Meldestellen sind erlaubt, die Verantwortung bleibt aber bei deiner Organisation. Du musst intern trotzdem:

• die Zuständigkeit benennen
• die Entscheidungsbefugnisse klären
• interne Schnittstellen und Eskalationswege regeln

Wichtig ist eine schriftliche Festlegung: Wer nimmt Meldungen entgegen, wer prüft, wer entscheidet, wer informiert die Leitung? Ohne klare Rollenverteilung verlaufen Verfahren schnell im Sande oder es passieren unzulässige Informationsweitergaben.

Anforderungen an die Personen der Meldestelle

Die mit den Aufgaben der Meldestelle betrauten Personen müssen:

• unabhängig agieren können
• über Fachkunde im Hinweisgeberschutz, Datenschutz und Grundzügen des Arbeits- und Strafrechts verfügen
• geschult sein im Umgang mit sensiblen Situationen, insbesondere Kommunikation mit Hinweisgebern und Beschuldigten

Aus der Praxis: Häufig bietet sich eine kleine, klar definierte Stelle an, etwa 2 bis 3 Personen aus Compliance, Recht und Personal. So stellst du Vertretung sicher und reduzierst Abhängigkeiten von Einzelpersonen.

Passende Seminare und Termine findest du bei uns auf cmt.de.

Meldekanäle: Welche Wege musst du anbieten?

Das HinSchG schreibt nicht vor, welche Technik du nutzen musst, aber es gibt Mindestanforderungen an die Ausgestaltung:

• Mündliche Meldungen: etwa telefonisch oder per Sprachaufzeichnung, gegebenenfalls auch per Videokonferenz
• Schriftliche Meldungen: etwa per E-Mail, Webformular, Briefkasten
• Persönliche Meldungen: auf Wunsch des Hinweisgebers muss ein persönliches Gespräch innerhalb angemessener Zeit möglich sein

Wesentlich ist, dass die Vertraulichkeit gewahrt bleibt und unberechtigte Personen keinen Zugriff erhalten. Typische Praxislösungen:

• Separates, abgesichertes Hinweisgeber-Portal
• Funktionspostfach mit restriktiven Zugriffsrechten
• Separate Telefonnummer mit Dokumentation der Gespräche
• Fester Gesprächsraum für persönliche Meldungen

Nicht ausreichend sind unspezifische Kanäle wie „info@…“ oder ein allgemeiner Kummerkasten, bei dem nicht klar ist, wer Zugriff hat und wie mit Meldungen verfahren wird.

Fristen: Was du unbedingt im Blick haben musst

Das HinSchG enthält klare Fristen, die du organisatorisch absichern musst. Ein Verstoß kann als Pflichtverletzung gewertet werden und birgt erhebliche Risiken.

Die wichtigsten Zeitvorgaben:

Schritt	Frist nach Eingang der Meldung
Eingangsbestätigung an Hinweisgeber	Spätestens innerhalb von 7 Tagen
Erste Rückmeldung zu ergriffenen oder geplanten Folgemaßnahmen	Spätestens innerhalb von 3 Monaten
Dokumentationspflicht	Für die Dauer des Verfahrens, Löschung mit Frist

Du brauchst also:

• ein System zur Erfassung des Eingangsdatums
• eine Wiedervorlage bzw. Fristenkontrolle
• standardisierte Eingangsbestätigungen und Zwischenmitteilungen

Praxis-Tipp: Lege für jede Meldung eine Vorgangsnummer an, führe eine vertrauliche Fristenliste und dokumentiere, wann welche Kommunikation stattgefunden hat.

Vertraulichkeit und Datenschutz: Kernanforderung der Meldestelle

Vertraulichkeit ist die zentrale Schutzvorgabe des HinSchG. Du musst sicherstellen, dass die Identität folgender Personen nur befugten Stellen bekannt wird:

• Hinweisgeber
• von der Meldung betroffene Personen
• sonstige in der Meldung genannte Personen

Praktische Maßnahmen:

• Zugriffsbeschränkungen im IT-System, Rollenkonzepte, keine Speicherung im allgemeinen DMS
• Verschlüsselte Kommunikation, insbesondere bei E-Mail
• Getrennte Ablage der Identitätsdaten und der inhaltlichen Beschreibung, soweit möglich
• Schulung der Beteiligten zu Verschwiegenheitspflichten

Gleichzeitig gelten DSGVO und BDSG. Du solltest insbesondere:

• ein Verarbeitungsverzeichnis für die Meldestelle führen
• eine Rechtsgrundlage für die Datenverarbeitung prüfen und dokumentieren
• Aufbewahrungs- und Löschfristen festlegen
• Informationspflichten gegenüber Betroffenen beachten, soweit dies das Verfahren nicht gefährdet

Die Abwägung zwischen Transparenz und Schutz des Verfahrens ist heikel. Hier ist eine enge Abstimmung mit dem Datenschutzbeauftragten sinnvoll.

Umgang mit Meldungen: Struktur statt Ad-hoc-Reaktion

Eingehende Meldungen sollten nach einem klaren, standardisierten Verfahren bearbeitet werden. Ein mögliches Stufenschema:

1. Eingang und Registrierung

• Erfassung der Meldung mit Datum, Kanal, Vorgangsnummer
• Prüfung, ob der Sachverhalt vom HinSchG erfasst ist
• Sicherung der Unterlagen und Beweismittel

2. Eingangsbestätigung

• Spätestens nach 7 Tagen
• Hinweis auf Vertraulichkeit, groben Ablauf des Verfahrens, mögliche Nachfragen

3. Vorprüfung

• Plausibilitätsprüfung der Meldung
• Erste Risikoeinschätzung: Dringlichkeit, mögliche Rechtsverstöße, Gefährdungen
• Entscheidung, ob ein förmliches Untersuchungsverfahren eingeleitet wird

4. Folgemaßnahmen

• Einleitung interner Untersuchungen
• Weitergabe an zuständige Stellen, etwa interne Revision, Compliance, Fachabteilung
• Ggf. Einschaltung externer Stellen, wenn gesetzlich geboten

5. Rückmeldung an den Hinweisgeber

• Spätestens nach 3 Monaten
• Information über geplante oder ergriffene Maßnahmen in groben Zügen
• Keine Detailinformationen, die den Untersuchungszweck oder Rechte Betroffener gefährden

Entscheidend: Jede Meldung braucht eine dokumentierte Entscheidung, warum und wie du weiter vorgehst. Auch die Entscheidung, ein Verfahren nicht weiter zu verfolgen, muss begründet und festgehalten werden.

Interne Untersuchungen: Sorgfältig, aber verhältnismäßig

Interne Untersuchungen nach einer Meldung sind rechtlich sensibel. Du bewegst dich im Spannungsfeld von:

• Aufklärungspflicht
• Persönlichkeitsrechten der Betroffenen
• Datenschutzrecht
• arbeitsrechtlichen Vorgaben
• teilweise auch strafprozessualen Bezügen

Ein strukturiertes Vorgehen kann so aussehen:

1. Untersuchungsauftrag

• Schriftliche Definition von Ziel, Umfang, Zuständigkeiten
• Festlegung, wer informiert wird und wer nicht

2. Beweissicherung

• Sicherung relevanter E-Mails, Dokumente, Logfiles
• Wahrung der Verhältnismäßigkeit, keine anlasslose Massenüberwachung
• Abstimmung mit IT und Datenschutz

3. Befragungen

• Vorbereitung eines Fragenkatalogs
• Dokumentation der Gespräche, ggf. Protokoll mit Gegenzeichnung
• Information der Befragten über Zweck und Verwendung der Angaben

4. Bewertung und Maßnahmen

• Juristische Einordnung der Feststellungen
• Entscheidung über arbeitsrechtliche, organisatorische oder technische Maßnahmen
• Dokumentation der Entscheidungsgrundlagen

5. Abschlussdokumentation

• Zusammenfassung des Sachverhalts
• Darstellung der wesentlichen Feststellungen
• Auflistung der ergriffenen Maßnahmen
• Festlegung einer Löschfrist

Wichtig ist, dass die Meldestelle nicht automatisch alles selbst ermittelt, sondern koordiniert und überwacht. Die Fachabteilungen und ggf. externe Experten werden gezielt eingebunden.

Kommunikation im Unternehmen: Transparenz, ohne Vertraulichkeit zu brechen

Eine Meldestelle funktioniert nur, wenn Beschäftigte wissen:

• dass es sie gibt
• wie sie erreichbar ist
• welche Themen gemeldet werden können
• wie der Schutz des Hinweisgebers aussieht

Das HinSchG verlangt eine klare Information an die Beschäftigten. Praktisch kannst du das über:

• Intranet-Seiten mit Informationen und Kontaktdaten
• Dienstvereinbarungen oder Richtlinien zum Hinweisgebersystem
• Schulungen und Unterweisungen, etwa im Rahmen von Compliance-Trainings

Achte darauf, keine falschen Erwartungen zu wecken. Beispiel: Wenn du „anonyme Meldungen“ zulässt, musst du technisch und organisatorisch sicherstellen, dass Anonymität tatsächlich gewahrt werden kann.

Checkliste: Was du für eine funktionierende Meldestelle brauchst

Zum Abschluss eine kompakte Übersicht, was du in deiner Organisation überprüfen solltest:

• Zuständigkeit

• Gibt es eine namentlich benannte interne Meldestelle?

• Sind Vertretungsregelungen definiert?

• Organisation

• Existiert eine schriftliche Verfahrensanweisung zum Umgang mit Meldungen?

• Sind Rollen und Eskalationswege festgelegt?

• Meldekanäle

• Gibt es mindestens einen schriftlichen und einen mündlichen Kanal?

• Ist ein persönliches Gespräch auf Wunsch möglich?

• Sind die Kanäle technisch gegen unbefugten Zugriff geschützt?

• Fristenmanagement

• Wird das Eingangsdatum jeder Meldung erfasst?

• Gibt es ein System zur Überwachung der 7-Tage- und 3-Monats-Fristen?

• Vertraulichkeit und Datenschutz

• Sind Zugriffsrechte auf Meldungen strikt beschränkt?

• Gibt es ein Löschkonzept und dokumentierte Aufbewahrungsfristen?

• Ist der Datenschutzbeauftragte eingebunden?

• Schulung und Kommunikation

• Sind die Mitarbeitenden der Meldestelle geschult?

• Sind Beschäftigte und ggf. externe Dritte über das System informiert?

Wenn du diese Punkte strukturiert abarbeitest, bist du beim Hinweisgeberschutzgesetz nicht nur formal, sondern auch praktisch gut aufgestellt. Die Meldestelle wird damit zu einem sinnvollen Baustein deines Compliance-Systems und nicht zu einem zusätzlichen Risiko.