Hinweisgebersystem nach HinSchG: Technik, Fristen, Löschung

Viele Unternehmen haben ihr Hinweisgebersystem nach dem Hinweisgeberschutzgesetz (HinSchG) formal eingerichtet: Eine Adresse wie hinweise@firma.de steht im Intranet, eine Person aus der Personalabteilung ist als interne Meldestelle benannt. Ob das trägt, zeigt sich erst bei der ersten echten Meldung. Dieser Beitrag richtet sich an Geschäftsführer und IT-Verantwortliche und erklärt, wer eine Meldestelle braucht und vor allem, wie man sie technisch so aufsetzt, dass Vertraulichkeit, Fristen und Löschpflichten eingehalten werden.

Was ein Hinweisgebersystem ist und wer es einrichten muss

Ein Hinweisgebersystem (auch Whistleblower-System genannt) umfasst Meldekanäle, Zuständigkeiten und Verfahren, über die Beschäftigte geschützt Hinweise auf Verstöße geben können. Oft ist damit nur die Software gemeint; das Gesetz spricht von der internen Meldestelle und meint das gesamte Verfahren.

Nach § 12 HinSchG müssen Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten eine interne Meldestelle einrichten und betreiben. Für bestimmte Unternehmen gilt die Pflicht unabhängig von der Größe, vor allem im Finanzsektor, etwa für Kreditinstitute, Wertpapierdienstleister, Kapitalverwaltungsgesellschaften und bestimmte Versicherungsunternehmen.

Die Meldestelle muss nicht im eigenen Haus sitzen. § 14 HinSchG erlaubt, einen Dritten zu beauftragen, etwa eine Kanzlei als Ombudsperson oder einen spezialisierten Anbieter. Die Verantwortung, einen gemeldeten Verstoß abzustellen, bleibt aber beim Unternehmen. Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können außerdem gemeinsam mit anderen eine Stelle betreiben; Abhilfe und Rückmeldung bleiben auch dann Sache jedes einzelnen Unternehmens.

Wer die Meldestelle gar nicht einrichtet, handelt ordnungswidrig. § 40 HinSchG sieht dafür eine Geldbuße von bis zu 20.000 Euro vor. Deutlich höher, bis zu 50.000 Euro, liegt der Rahmen unter anderem für Verstöße gegen das Vertraulichkeitsgebot. Genau hier entscheidet die Technik.

Welche Anforderungen das Gesetz an die Meldekanäle stellt

§ 16 HinSchG beschreibt die Kanäle. Meldungen müssen mündlich oder in Textform möglich sein. Mündlich heißt per Telefon oder einer anderen Form der Sprachübermittlung. Auf Wunsch der hinweisgebenden Person ist innerhalb angemessener Zeit auch ein persönliches Treffen anzubieten, mit Einwilligung auch per Videokonferenz.

Daraus ergeben sich drei Bausteine:

Online-Portal oder Formular für Meldungen in Textform, in den meisten Unternehmen der meistgenutzte Meldekanal.
Telefonnummer oder Sprachnachricht, die nicht in der normalen Telefonanlage mit Anrufliste, Weiterleitung und Sammelruf landet.
Persönlicher Termin, für den es einen festen Ablauf und einen geeigneten Raum gibt.

Anonyme Meldungen muss das Unternehmen nicht ermöglichen. Das Gesetz sagt aber, dass die interne Meldestelle auch anonym eingehende Meldungen bearbeiten sollte. Wer einen Kanal ohnehin neu aufbaut, sollte Anonymität daher gleich vorsehen: Sie senkt die Hemmschwelle, und eine gute Lösung erlaubt trotzdem Rückfragen.

Warum ein normales Postfach nicht reicht

Das klassische Funktionspostfach ist die häufigste Schwachstelle, aus technischen Gründen:

Zu viele Mitlesende. Auf geteilte Postfächer haben oft mehr Personen Zugriff als gedacht: Stellvertretungen, frühere Mitarbeitende, Administratoren mit Vollzugriff. § 16 Abs. 2 HinSchG verlangt, dass nur die zuständigen Personen und ihre Unterstützer auf Meldungen zugreifen können. Wie solche Postfächer ausufern, zeigt unser Beitrag zum geteilten Info-Postfach.
Keine echte Anonymität. Eine E-Mail trägt Absenderadresse, Kopfzeilen und häufig die IP-Adresse des Mailservers. Wer vom Firmenkonto schreibt, ist sofort identifiziert.
Spuren an vielen Stellen. Journaling, Archivierung, Backups, Spam-Quarantäne und Weiterleitungsregeln legen Kopien ab, die niemand im Blick hat. Damit wird die spätere Löschung praktisch unmöglich.
Kein Rückkanal für Anonyme. Ohne Absenderadresse kann die Meldestelle weder bestätigen noch nachfragen.
Keine Fristenüberwachung. Ein Postfach erinnert niemanden an die Sieben-Tage-Frist.

Ein Postfach kann als zusätzlicher Kanal bestehen bleiben, aber nicht als einziger, und es braucht eigene, eng gefasste Berechtigungen.

Hinweisgebersystem technisch umsetzen: worauf es ankommt

Hinweisgeberportal

Spezialisierte Hinweisgebersystem-Software löst die meisten Probleme auf einmal. Die hinweisgebende Person gibt ihre Meldung über eine Weboberfläche ab und erhält einen Zugangscode oder ein selbst gewähltes Passwort für einen geschützten Briefkasten; darüber laufen Eingangsbestätigung, Rückfragen und Rückmeldung, auch anonym. Bei der Auswahl sollten Sie prüfen:

Speichert das Portal IP-Adressen oder Gerätedaten der Meldenden? Für echte Anonymität darf es das nicht.
Wo werden die Daten gespeichert, und gibt es einen Vertrag zur Auftragsverarbeitung?
Sind Inhalte und Anhänge verschlüsselt gespeichert, und wer beim Anbieter hat theoretisch Zugriff?
Lassen sich Rollen fein vergeben, etwa für Fallbearbeitung, Vertretung und Lesezugriff einer hinzugezogenen Fachabteilung?
Gibt es Fristenanzeige, Fallakte, Protokoll und eine Löschfunktion nach Ablauf der Aufbewahrung?

Das Portal sollte auch von außen und vom privaten Gerät erreichbar sein. Ein Portal nur im Firmennetz schreckt ab, weil Proxy-Protokolle und Browserverlauf auf dem Dienstgerät mitlaufen.

Telefon und persönliche Gespräche

Für den mündlichen Kanal eignet sich eine eigene Rufnummer, die direkt bei der zuständigen Person oder einer Sprachbox im Portal landet. Prüfen Sie, ob die Telefonanlage Anrufe protokolliert und wer diese Listen sieht. Eine dauerhafte Tonaufzeichnung oder ein Wortprotokoll ist nach § 11 HinSchG nur mit Zustimmung der hinweisgebenden Person zulässig. Ohne Zustimmung wird ein Inhaltsprotokoll erstellt. Die Person muss das Protokoll prüfen, korrigieren und bestätigen können; eine Tonaufnahme ist danach zu löschen.

Zugriffsrechte und Protokollierung

Legen Sie in einem kurzen Berechtigungskonzept fest, wer Fälle sieht. In der Regel sind das zwei Personen, die zuständige Stelle und eine Vertretung; Administratoren der allgemeinen IT gehören nicht dazu. Bei einer selbst betriebenen Lösung bedeutet das: eigene Konten mit Mehrfaktor-Anmeldung, keine Vererbung von Rechten aus übergeordneten Ordnern, keine Ablage auf allgemeinen Netzlaufwerken und eine Protokollierung jedes Zugriffs. Hinzugezogene Fachbereiche oder die Rechtsabteilung erhalten Zugriff nur auf das Nötige und nur für die Dauer der Prüfung.

Denken Sie auch an die Beschuldigten. Das Vertraulichkeitsgebot schützt nach dem Gesetz nicht nur die Identität der meldenden Person, sondern auch die der Personen, die Gegenstand der Meldung sind; auch deren Daten gehören nicht in allgemein zugängliche Ablagen.

Fristen, Dokumentation und Löschung

§ 17 HinSchG gibt zwei Fristen vor:

Eingangsbestätigung spätestens nach sieben Tagen.
Rückmeldung innerhalb von drei Monaten nach der Bestätigung. Wurde der Eingang nicht bestätigt, laufen drei Monate und sieben Tage ab Eingang. Die Rückmeldung nennt geplante und ergriffene Folgemaßnahmen und deren Gründe, soweit interne Ermittlungen und Rechte Betroffener dadurch nicht beeinträchtigt werden.

Ein Portal mit Fristenanzeige nimmt hier viel Arbeit ab. Wer ohne Portal arbeitet, braucht mindestens einen geschützten Kalender oder eine Fallliste mit Wiedervorlage, die nur für die Zuständigen sichtbar ist.

Nach § 11 HinSchG sind alle eingehenden Meldungen dauerhaft abrufbar und unter Beachtung der Vertraulichkeit zu dokumentieren. Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht. Länger aufbewahren darf man sie nur, wenn das nach dem HinSchG oder anderen Vorschriften erforderlich und verhältnismäßig ist. Diese Frist gehört in Ihr Löschkonzept. Technisch bedeutet das: Die Löschung muss auch Kopien in Exporten, Mail-Anhängen und Ablagen der Bearbeitenden erfassen. Bei Backups reicht es in der Regel, wenn sie nach ihrem normalen Zyklus auslaufen und nicht gezielt zurückgespielt werden; das sollte dokumentiert sein.

Checkliste: Erste Schritte

Beschäftigtenzahl prüfen und klären, ob Ihr Unternehmen unabhängig von der Größe verpflichtet ist.
Entscheiden, ob die Meldestelle intern besetzt oder an einen Dritten vergeben wird.
Mindestens einen Kanal in Textform und einen mündlichen Kanal einrichten, persönliches Gespräch als Ablauf festlegen.
Anonyme Meldungen mit Rückkanal ermöglichen, idealerweise über ein Hinweisgeberportal.
Zugriffsrechte auf zwei bis drei benannte Personen begrenzen, Mehrfaktor-Anmeldung und Zugriffsprotokoll aktivieren.
Fristen für Eingangsbestätigung und Rückmeldung technisch überwachen.
Löschung drei Jahre nach Abschluss im Löschkonzept verankern und Kopien außerhalb des Systems vermeiden.
Beschäftigte verständlich informieren, wo und wie sie melden können, inklusive der externen Meldestellen.

Wie DAVINCI unterstützt

Wir helfen dabei, Meldekanäle technisch sauber aufzusetzen: von Zugriffsrechten und Mehrfaktor-Anmeldung über die Trennung von der allgemeinen Administration bis zur Abstimmung mit Löschkonzept und Datensicherung. Passende Bausteine finden Sie unter Zugangssicherheit. Sprechen Sie uns über die Kontaktseite an, wenn Sie Ihre bestehende Lösung prüfen lassen möchten.

Häufige Fragen

Wie funktioniert ein Hinweisgebersystem im Alltag?

Die meldende Person wählt einen Kanal, schildert den Sachverhalt und erhält eine Eingangsbestätigung. Die Meldestelle prüft die Meldung, stellt bei Bedarf Rückfragen über den geschützten Briefkasten, leitet Folgemaßnahmen ein und gibt fristgerecht Rückmeldung. Jeder Schritt landet in der Fallakte, die nach Ablauf der Aufbewahrung gelöscht wird.

Was kostet ein Hinweisgebersystem?

Das hängt vom Modell ab: Portal-Software wird meist als Abonnement nach Unternehmensgröße abgerechnet, eine externe Ombudsperson nach Aufwand oder Pauschale; hinzu kommen interne Stunden für Einrichtung, Schulung und Fallbearbeitung. Vergleichen Sie bei Angeboten vor allem, ob Anonymität, Rollen, Fristenanzeige und Löschung enthalten sind.

Reicht eine E-Mail-Adresse als Meldekanal?

Als alleiniger Kanal in der Regel nicht. Das Gesetz verlangt auch einen mündlichen Weg, und ein normales Postfach erschwert Vertraulichkeit, Anonymität und Löschung erheblich. Als ergänzender Kanal mit streng begrenzten Rechten ist eine Adresse möglich.

Müssen wir anonyme Meldungen annehmen?

Eine Pflicht, anonyme Meldungen technisch zu ermöglichen, besteht nicht. Das HinSchG sieht aber vor, dass anonym eingehende Meldungen bearbeitet werden sollten. In der Praxis lohnt sich ein Kanal, der Anonymität und Rückfragen zugleich erlaubt.

Darf die IT-Abteilung Administrator des Hinweisgebersystems sein?

Technische Betreuung ist möglich, Einsicht in Meldungen sollte die IT aber nicht haben. Bei Portallösungen lässt sich das über Rollen trennen. Bei Eigenlösungen sollten Inhalte verschlüsselt abgelegt werden, sodass Administratorrechte allein keinen Lesezugriff ergeben. Ob Ihre konkrete Umsetzung den Anforderungen genügt, sollten Sie im Einzelfall mit Ihrem Datenschutzbeauftragten oder einem Anwalt klären.

Verwandte Themen: Wer hier weiterdenkt, liest bei Löschkonzept, NIS2-Umsetzung und DIN 66399 weiter.

Im Text erwähnt

Quellen

TeilenLinkedIn Xing X Facebook WhatsApp E-Mail