Hinweisgeber Meldestelle
Compliance · HinSchG
Hinweisgebersystem einrichten: Was ein HinSchG-konformer Meldekanal technisch leisten muss
Seit Dezember 2023 sind Unternehmen ab 50 Beschäftigten verpflichtet, eine interne Meldestelle zu betreiben. Das Thema startet in der Rechtsabteilung – und landet spätestens bei der Umsetzung in der IT.
Ein Hinweisgebersystem ist kein Kontaktformular. Es muss Meldungen entgegennehmen, ohne den Absender identifizierbar zu machen, eine Rückkommunikation ohne Identitätspreisgabe ermöglichen, gesetzliche Fristen dokumentierbar einhalten und den Zugriff strikt auf die Meldestelle begrenzen.
An diesen vier Punkten scheitern selbstgebaute Lösungen – meist unbemerkt, bis der erste ernste Fall eintritt.
Wer betroffen ist – und was tatsächlich droht
Die Pflicht zur internen Meldestelle ergibt sich aus § 12 HinSchG. Betroffen sind:
- Unternehmen mit in der Regel mindestens 50 Beschäftigten
- Unternehmen im Finanzsektor – unabhängig von der Mitarbeiterzahl
- Viele Behörden und Kommunen, in der Regel ab 10.000 Einwohnern
Beim Thema Bußgeld kursiert eine verbreitete Ungenauigkeit. § 40 HinSchG staffelt nämlich nach Schwere des Verstoßes:
| Verstoß | Rahmen |
|---|---|
| Keine interne Meldestelle eingerichtet oder betrieben | bis 20.000 € |
| Behinderung einer Meldung, Repressalien, vorsätzlicher Vertraulichkeitsbruch | bis 50.000 € |
| Fahrlässige Verletzung der Vertraulichkeit | bis 10.000 € |
Der oft zitierte Betrag von 50.000 € gilt also nicht für das bloße Fehlen der Meldestelle. Praktisch relevanter ist ohnehin ein anderer Punkt: Über die Verbandsgeldbuße nach § 30 OWiG kann sich der Rahmen gegenüber der juristischen Person deutlich erhöhen. Und der Vertraulichkeitsbruch – der Fall, der technisch am ehesten passiert – liegt im oberen Rahmen.
Die acht technischen Kernanforderungen
-
Anonymität, die auch technisch hält
Ein Meldeformular ohne Pflichtfeld „Name“ ist noch kein anonymer Kanal. Entscheidend ist, was im Hintergrund passiert: Werden IP-Adressen im Webserver-Log gespeichert? Läuft Google Analytics mit? Verrät der Zeitstempel in Kombination mit einer kleinen Abteilung bereits, wer gemeldet hat? Ein sauberer Meldekanal verzichtet auf Tracking-Cookies, protokolliert keine Absender-IPs zur Meldung und trennt Metadaten von Inhalten.
-
Rückkommunikation ohne Identität
Die anspruchsvollste Anforderung. Die Meldestelle muss Rückfragen stellen können, der Hinweisgeber muss antworten können – ohne dass eine E-Mail-Adresse ins Spiel kommt. Üblicher Lösungsweg: ein zufällig generierter Fall-Link, über den ein anonymer Chat läuft. Wer das selbst baut, braucht Brute-Force-Schutz, sauberes Session-Handling und die bewusste Entscheidung, verlorene Codes nicht wiederherstellbar zu machen.
-
Fristen nachweisbar einhalten
Das Gesetz verlangt eine Eingangsbestätigung innerhalb von sieben Tagen und eine Rückmeldung zu ergriffenen Maßnahmen innerhalb von drei Monaten. Beides muss nicht nur passieren, sondern belegbar sein. Ein System braucht also Fristen-Tracking, Erinnerungen und ein revisionssicheres Protokoll – kein Postfach, in dem eine Mail untergehen kann.
-
Mehrere Meldewege
Meldungen müssen in Textform und mündlich möglich sein, auf Wunsch auch im persönlichen Treffen. In der Praxis: Textformular, Sprachaufnahme im Browser, Datei-Upload für Belege. Der Upload ist der unterschätzte Teil – er braucht Virenprüfung, Größenbegrenzung und eine Ablage, die vom Webserver aus nicht direkt erreichbar ist.
-
Mehrsprachigkeit
Sobald Beschäftigte mit unterschiedlichen Muttersprachen im Unternehmen arbeiten, ist ein rein deutschsprachiger Kanal faktisch eine Zugangshürde – und damit angreifbar. Meldeformular und Oberfläche sollten in den relevanten EU-Amtssprachen verfügbar sein.
-
Strikte Rollentrennung
Nur die für die Meldestelle zuständigen Personen dürfen Zugriff haben – Administratoren ausdrücklich eingeschlossen. Wer Datenbankzugriff hat, hat faktisch Zugriff auf Meldungen. Genau deshalb ist die Auslagerung an einen externen Dienstleister oft die sauberere Lösung: Der eigene IT-Administrator ist dann schlicht kein Teil des Kreises.
-
Löschkonzept
Die Dokumentation einer Meldung ist drei Jahre nach Abschluss des Verfahrens zu löschen (§ 11 Abs. 5 HinSchG). Das betrifft nicht nur die Datenbank, sondern auch Backups, Logfiles und hochgeladene Dateien. Ein Löschkonzept, das Backups vergisst, ist keines.
-
Hosting und Verschlüsselung
Transportverschlüsselung ist das Minimum. Außerdem stellt sich die Frage nach Serverstandort und Auftragsverarbeitung. Hosting in Deutschland vereinfacht die Argumentation gegenüber Betriebsrat und Datenschutzbeauftragtem erheblich.
Warum ein E-Mail-Postfach nicht ausreicht
Die naheliegende Sparlösung – ein Postfach wie hinweise@unternehmen.de – scheitert an mehreren Stellen gleichzeitig:
- Keine Anonymität. Jede E-Mail trägt eine Absenderadresse. Selbst über einen Freemail-Account bleiben Header-Daten übrig.
- Kein Zugriffsschutz. Postfächer landen im Backup, in der Archivierungslösung und bei jedem, der Vollzugriff auf den Mailserver hat.
- Kein Fristennachweis. Eine gelesene Mail ist keine dokumentierte Eingangsbestätigung.
- Keine Struktur. Priorität, Risikoeinschätzung und Bearbeitungsstand lassen sich in einem Postfach nicht sauber führen.
Dasselbe gilt für den physischen Briefkasten und für ein normales Kontaktformular auf der Website.
Eigenentwicklung oder fertiges System?
Als Entwicklungsagentur bauen wir vieles selbst – bei Meldekanälen raten wir in den meisten Fällen davon ab. Der Grund ist nicht die Technik, sondern der Betrieb:
| Kriterium | Eigenentwicklung | Fertiges System |
|---|---|---|
| Einmalaufwand | hoch – Konzept, Sicherheitsprüfung, Abnahme | keiner |
| Laufender Betrieb | Updates, Monitoring, Pentests dauerhaft nötig | im Preis enthalten |
| Juristische Fallbearbeitung | intern aufzubauen oder zuzukaufen | oft als Ombudsmann enthalten |
| Haftungsrisiko | bleibt vollständig im Haus | teilweise ausgelagert |
| Sinnvoll bei | Sonderanforderungen, Konzernstrukturen, tiefer ERP-Integration | Standardfall ab 50 Beschäftigten |
Für den Standardfall haben wir deshalb ein fertiges Hinweisgebersystem mit Meldestelle und Ombudsmann im Angebot, das die oben beschriebenen Anforderungen abdeckt: anonymer Meldekanal im eigenen Branding, Sprachaufnahme und Datei-Upload, Fristenverwaltung, 24 EU-Sprachen und juristische Fallbearbeitung durch unsere Rechtsabteilung. Das Paket kostet 150 € im Monat zzgl. USt. und ist monatlich kündbar – deutlich unter dem, was allein die Konzeptphase einer Eigenentwicklung kostet.
Wenn Ihre Anforderungen darüber hinausgehen – etwa Anbindung an ein bestehendes Compliance-Management-System oder Mandantentrennung über mehrere Konzerngesellschaften – ist der Individualweg der richtige. Auch das setzen wir um.
Umsetzung in drei Schritten
- Zuständigkeit klären. Wer betreibt die Meldestelle – intern, extern oder gemischt? Der Betriebsrat ist über die Einführung zu unterrichten; je nach Ausgestaltung besteht ein Mitbestimmungsrecht.
- Kanal bereitstellen. Eigene Kurz-URL, im Corporate Design, verlinkt aus Intranet und per Aushang. Wichtig: Der Kanal muss auch ohne Firmennetzwerk und ohne Anmeldung erreichbar sein – sonst ist er faktisch nicht anonym.
- Prozess dokumentieren. Fristen, Eskalationswege, Löschkonzept und Vertretungsregelung schriftlich festhalten. Diese Dokumentation ist das, was im Ernstfall vorgelegt wird.
Fazit
Ein Hinweisgebersystem ist ein Sicherheitssystem, kein Formular. Der kritische Punkt ist nicht die Meldung selbst, sondern alles, was drumherum passiert: Logs, Backups, Zugriffsrechte, Fristen. Wer das unterschätzt, hat formal eine Meldestelle – und riskiert trotzdem den Vertraulichkeitsbruch, der teurer wird als das Fehlen der Stelle.
Meldestelle einrichten oder bestehenden Kanal prüfen lassen.
Wir richten Ihre HinSchG-konforme Meldestelle unter eigener Kurz-URL ein – ohne IT-Aufwand auf Ihrer Seite. Oder wir sehen uns an, ob Ihr bestehender Meldekanal den acht Anforderungen oben standhält. Sprechen Sie uns an, das Erstgespräch ist unverbindlich.
Häufige Fragen
Ab wie vielen Mitarbeitenden brauche ich ein Hinweisgebersystem?
Ab in der Regel 50 Beschäftigten. Im Finanzsektor gilt die Pflicht unabhängig von der Mitarbeiterzahl. Auszubildende und wirtschaftlich Unselbständige zählen mit.
Muss der Meldekanal anonyme Meldungen zulassen?
Das Gesetz verpflichtet nicht ausdrücklich dazu, anonyme Meldungen zu ermöglichen – es verpflichtet aber dazu, sie zu bearbeiten, wenn sie eingehen. In der Praxis führt ein Kanal ohne Anonymitätsoption dazu, dass Hinweise gar nicht erst intern ankommen, sondern direkt beim Bundesamt für Justiz oder in der Presse landen.
Darf die Meldestelle an einen externen Dienstleister ausgelagert werden?
Ja. § 14 HinSchG erlaubt ausdrücklich die Beauftragung eines Dritten. Die Verantwortung für Einrichtung und Betrieb bleibt beim Unternehmen, die operative Bearbeitung kann jedoch vollständig extern erfolgen.
Wie lange müssen Meldungen aufbewahrt werden?
Die Dokumentation ist drei Jahre nach Abschluss des Verfahrens zu löschen. Eine längere Aufbewahrung ist nur zulässig, solange sie erforderlich und verhältnismäßig ist – etwa bei einem laufenden Gerichtsverfahren.
Was kostet ein Hinweisgebersystem?
Fertige Systeme für KMU liegen typischerweise zwischen 50 € und 300 € pro Monat. Unser Komplettpaket inklusive juristischer Fallbearbeitung liegt bei 150 € monatlich zzgl. USt. Eine Eigenentwicklung mit vergleichbarem Funktionsumfang bewegt sich im mittleren fünfstelligen Bereich – zuzüglich laufender Wartung.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall.
Neueste Kommentare