Benutzerdefinierte Felder im Meldeformular: Aufbau und Fragebaum

Ein gutes Hinweisgeber-Meldeformular fragt genau das ab, was Ihre Meldestelle für die Prüfung braucht, und nichts, was die meldende Person verraten könnte. Benutzerdefinierte Felder machen das möglich: Sie ergänzen die Grundfragen (was, wann, wo, wer) um Kategorien, Auswahllisten und Folgefragen, die zu Ihrem Unternehmen, Ihren Standorten und Ihren Risiken passen. Wer die Felder als Fragebaum plant, bekommt vollständigere Meldungen, weniger Rückfragen und eine Dokumentation, die den Vorgaben des Hinweisgeberschutzgesetzes (HinSchG) und der DSGVO standhält. Im Folgenden zeigen wir, welche Felder sich bewährt haben, welche optional bleiben sollten und wie Sie Folgefragen je Meldungsart aufbauen.

Kurz gesagt

• Ein Meldeformular braucht wenige Grundfelder: Sachverhalt, Zeitpunkt, Ort, beteiligte Personen, Belege und eine Kategorie.
• Benutzerdefinierte Felder ergänzen das um Ihre Standorte, Geschäftsbereiche und Meldekategorien, am besten als Auswahlliste statt als Freitext.
• Halten Sie Pflichtfelder knapp: Angaben zur eigenen Person sollten immer freiwillig sein.
• Ein Fragebaum stellt je Kategorie nur die passenden Folgefragen, etwa zu Betrag und Zeitraum bei Betrug oder zu betroffenen Daten bei Datenschutzverstößen.
• Jedes Feld wird Teil der Dokumentation: Fragen Sie nur ab, was Sie für die Prüfung wirklich brauchen (Datenminimierung).

Inhaltsverzeichnis

• Was benutzerdefinierte Felder im Hinweisgebersystem leisten
• Die Grundfelder, die fast jedes Meldeformular braucht
• Pflichtfeld oder freiwillig: die richtige Balance
• Einen Fragebaum mit Folgefragen aufbauen
• Felder, die Anonymität und Vertraulichkeit schützen
• Fristen, Dokumentation und Löschung: was das Formular vorbereitet
• Unsere Sicht auf das Meldeformular
• Benutzerdefinierte Felder mit Ashio umsetzen
• Häufige Fragen
• Quellen

Was benutzerdefinierte Felder im Hinweisgebersystem leisten

In CRM- oder Newsletter-Tools sind benutzerdefinierte Felder ein Mittel, um mehr Daten über Kontakte zu sammeln. Im Hinweisgebersystem ist das Ziel fast umgekehrt: Sie wollen möglichst präzise Informationen über einen Vorfall und möglichst wenige über die Person, die ihn meldet.

Ein Standardformular mit einem einzigen Freitextfeld führt in der Praxis oft zu zwei Problemen. Die Meldung beschreibt den Vorfall, lässt aber Ort, Zeitraum oder Beteiligte offen. Oder sie enthält Details, die niemand gebraucht hätte, etwa die Abteilung und Position der meldenden Person, die sie im kleinen Team sofort erkennbar machen.

Benutzerdefinierte Felder lösen beides. Typische Feldtypen sind:

• Auswahlliste (Dropdown) für Kategorie, Standort oder Geschäftsbereich
• Mehrfachauswahl für betroffene Bereiche oder bereits informierte Stellen
• Datumsfeld oder Zeitraum für den Vorfall
• Ja/Nein-Frage für Fragen wie “Dauert der Vorfall noch an?”
• Freitext für die Schilderung des Sachverhalts
• Datei-Upload für Belege

Jeder Feldtyp lenkt die Antwort. Eine Auswahlliste mit Ihren zwölf Standorten liefert einheitliche, auswertbare Daten. Ein Freitextfeld “Wo ist es passiert?” liefert zwölf Schreibweisen desselben Werks.

Die Grundfelder, die fast jedes Meldeformular braucht

Wer ein Formular neu aufsetzt, muss das Rad nicht erfinden. Öffentliche Stellen und Unternehmen in Deutschland veröffentlichen ihre Meldebögen, und die Felder ähneln sich stark.

Die interne Revision des Universitätsklinikums Jena empfiehlt, dass eine Meldung beschreibt, was wann und wo passiert ist, ob der Vorfall andauert, wer betroffen und wer verantwortlich sein könnte, wie hoch der Schaden ist, gegen welche Regel verstoßen wurde, ob Belege vorliegen, ob andere bereits informiert sind und welche Abhilfe sich die meldende Person wünscht.

Der Meldebogen der NBank fragt zusätzlich die Beziehung zur Bank ab (Mitarbeitende, Geschäftspartner, Sonstige), unterscheidet Erst- und Folgemeldung und bietet feste Kategorien von Straftat über Geldwäsche bis ethisches Fehlverhalten an. Das HinSchG-Formular der Finow Automotive GmbH (Stand Oktober 2024) ordnet jeden Hinweis einem Bereich nach § 2 HinSchG zu und enthält bereits Felder für die Arbeit der Meldestelle, etwa Eingangsbestätigung und Folgemaßnahmen nach § 17 HinSchG.

Daraus ergibt sich ein solides Grundgerüst:

Die Kategorien selbst sollten Sie an den sachlichen Anwendungsbereich nach § 2 HinSchG anlehnen, also an straf- und bestimmte bußgeldbewehrte Verstöße sowie die dort genannten Rechtsbereiche, und um Ihre internen Themen ergänzen, etwa Verstöße gegen den Verhaltenskodex.

Pflichtfeld oder freiwillig: die richtige Balance

Die Versuchung ist groß, möglichst viele Felder als Pflicht zu markieren. Dann fehlt nichts, so die Hoffnung. In der Praxis bricht eine verunsicherte Person das Formular eher ab, wenn sie gezwungen wird, etwas anzugeben, das sie nicht weiß oder nicht preisgeben will.

Die NBank geht den konsequenten Weg: In ihrem Meldebogen sind alle Felder optional, verbunden mit der Zusage, die Identität der hinweisgebenden Person und genannter Dritter zu schützen. Für ein digitales Formular hat sich ein Mittelweg bewährt:

1. Pflicht: nur die Kategorie und die Beschreibung des Sachverhalts. Ohne beides kann die Meldestelle nichts prüfen.
2. Empfohlen, aber freiwillig: Zeitpunkt, Ort, Beteiligte, Belege. Kennzeichnen Sie diese Felder mit einem kurzen Hinweis, warum die Angabe hilft.
3. Immer freiwillig: Name, Kontaktdaten, Abteilung, Position und alles, was Rückschlüsse auf die meldende Person zulässt.

Für “Ich weiß es nicht” sollte es bei Auswahlfeldern eine eigene Option geben. So bleibt das Feld auswertbar, ohne dass jemand raten muss.

Lücken lassen sich später schließen. Das Gesetz sieht ausdrücklich vor, dass die interne Meldestelle die Stichhaltigkeit prüft und erforderlichenfalls um weitere Informationen bittet. Ein schlankes Formular plus gezielte Rückfragen liefert meist bessere Fälle als ein langes Formular, das niemand zu Ende ausfüllt.

Einen Fragebaum mit Folgefragen aufbauen

Ein Fragebaum sorgt dafür, dass jede meldende Person nur die Fragen sieht, die zu ihrem Fall passen. Wer einen Datenschutzverstoß meldet, muss nicht nach Rechnungsbeträgen gefragt werden. Wer Korruption meldet, sollte gezielt nach Geldflüssen gefragt werden.

Schritt für Schritt zum Fragebaum

1. Wurzelfrage festlegen. Die erste Frage ist fast immer die Kategorie. Halten Sie die Liste kurz, sechs bis zehn Einträge, plus “Sonstiges”.
2. Gemeinsamen Stamm definieren. Sachverhalt, Zeitpunkt, Ort und Belege fragen Sie in jedem Zweig ab. Diese Felder bilden den Stamm, der für alle Kategorien gleich ist.
3. Je Kategorie zwei bis vier Folgefragen ergänzen. Mehr braucht es selten. Jede Folgefrage muss eine Prüfentscheidung der Meldestelle unterstützen.
4. Formulierungen neutral halten. Fragen Sie “Welche Personen waren beteiligt?” statt “Wer ist schuld?”. Neutrale Fragen schützen auch die Rechte der beschuldigten Personen.
5. Identifizierende Folgefragen streichen. Prüfen Sie jeden Zweig: Könnte die Antwort in einem kleinen Team die meldende Person verraten? Dann wird die Frage optional oder entfällt.
6. Mit echten Szenarien testen. Spielen Sie drei bis fünf typische Fälle aus Ihrem Haus durch, am besten gemeinsam mit Compliance, Datenschutz und Betriebsrat.
7. Regelmäßig nachschärfen. Wenn die Meldestelle bei einer Kategorie immer dieselbe Rückfrage stellt, gehört diese Frage ins Formular.

Beispiel: Folgefragen je Kategorie

Bei der Kategorie Arbeitssicherheit gehört an die Stelle “Besteht akute Gefahr?” ein klarer Hinweis: Bei unmittelbarer Gefahr für Leib und Leben gilt der Notruf, nicht das Meldeformular. Ein Hinweisgebersystem ersetzt keine Notfallkette.

Bei der Kategorie Belästigung lohnt sich die Frage nach einem persönlichen Gespräch. Das HinSchG verlangt, dass auf Wunsch der meldenden Person eine persönliche Zusammenkunft ermöglicht wird, und die Arbeitshilfe von GdW und AGV betont, wie wichtig dieses Angebot gerade dann ist, wenn ein Dritter die Meldestelle betreibt.

Felder, die Anonymität und Vertraulichkeit schützen

Das HinSchG schreibt nicht vor, dass Meldekanäle anonyme Meldungen ermöglichen müssen. Es sieht aber vor, dass die Meldestelle auch anonym eingehende Meldungen bearbeiten soll, und verlangt, dass nur die zuständigen Personen und ihre Unterstützung Zugriff auf eingehende Meldungen haben. Die Formulargestaltung entscheidet mit darüber, ob das in der Praxis funktioniert.

Worauf Sie bei den Feldern achten sollten:

• Keine Pflichtangaben zur Person. Name, E-Mail und Telefonnummer gehören in einen klar als freiwillig markierten Abschnitt.
• Grobe statt feine Auswahl. “Verwaltung” statt “Lohnbuchhaltung, 2. OG” als Bereich, wenn die feine Angabe für die Prüfung nicht nötig ist.
• Hinweis zu Dateien. Dokumente und Fotos können Metadaten wie Autor oder Aufnahmeort enthalten. Ein kurzer Hinweistext neben dem Upload-Feld hilft der meldenden Person, das zu bedenken.
• Freitext mit Leitfragen. Eine kurze Anleitung im Beschreibungsfeld (“Schildern Sie, was passiert ist, nicht, woher Sie es wissen”) senkt das Risiko, dass jemand sich unbeabsichtigt selbst beschreibt.
• Getrennte Zuständigkeit. Der Landesdatenschutzbeauftragte Baden-Württemberg empfiehlt, Hinweisgeber-Kanäle außerhalb der Personalverwaltung zu betreiben und gegebenenfalls Ende-zu-Ende-Verschlüsselung anzubieten.

Welche Personen die Meldungen sehen dürfen, regelt Ihre Organisation, nicht das Formular. Wer dafür infrage kommt, haben wir in unserem Beitrag zur Frage wer interne Meldestelle sein kann zusammengefasst. Wie wir Verschlüsselung und Hosting umsetzen, beschreibt unsere Seite zu Sicherheit und DSGVO-Konformität.

Fristen, Dokumentation und Löschung: was das Formular vorbereitet

Jedes Feld, das Sie anlegen, landet in der Dokumentation der Meldung. Deshalb lohnt es sich, die gesetzlichen Abläufe schon beim Formularentwurf mitzudenken.

• Eingangsbestätigung: Die interne Meldestelle muss den Eingang spätestens nach sieben Tagen bestätigen.
• Rückmeldung: Innerhalb von drei Monaten nach der Eingangsbestätigung erhält die meldende Person eine Rückmeldung zu geplanten und ergriffenen Folgemaßnahmen und deren Gründen.
• Löschung: Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht, länger nur, wenn es erforderlich und verhältnismäßig ist (§ 11 Abs. 5 HinSchG).
• Mündliche Meldungen: Neben der Textform müssen interne Meldekanäle auch mündliche Meldungen per Telefon oder andere Sprachübermittlung ermöglichen (§ 16 Abs. 3 HinSchG). Eine vollständige Niederschrift oder dauerhafte Tonaufnahme ist nur mit Einwilligung zulässig, sonst wird ein Inhaltsprotokoll angelegt, wie die GdW/AGV-Arbeitshilfe erläutert.

Für die Felder selbst gelten die Grundsätze aus Art. 5 DSGVO, auf die der Landesdatenschutzbeauftragte Baden-Württemberg hinweist: Datenminimierung, Richtigkeit sowie Integrität und Vertraulichkeit. Ein Feld, das Sie nicht für die Prüfung brauchen, ist nicht nur überflüssig, es ist ein Datensatz mehr, den Sie schützen, begründen und später löschen müssen.

Ein praktischer Nebeneffekt strukturierter Felder: Wenn Kategorie, Standort und Zeitraum als Auswahl vorliegen, können Sie Meldungen über die Zeit auswerten, ohne Freitexte lesen zu müssen. Das hilft bei Berichten an Geschäftsleitung oder Aufsichtsgremium. Mehr zum Gesamtrahmen finden Sie in unserem Überblick zum Hinweisgeberschutzgesetz.

Der DICO-Standard S11 zu Hinweisgebersystemen erinnert zudem daran, dass die Ausgestaltung von Größe, Struktur und Regulierungsrahmen des Unternehmens abhängt. Ein Versicherer braucht andere Kategorien als ein Handwerksbetrieb mit 60 Beschäftigten.

Unsere Sicht auf das Meldeformular

Wir sehen das Meldeformular als den wichtigsten Moment im ganzen Hinweisgebersystem. Hier entscheidet sich, ob jemand den Mut fasst, einen Missstand zu melden, oder das Browserfenster wieder schließt.

Deshalb setzen wir auf zwei Dinge gleichzeitig. Erstens echte Anonymität: Unser Meldekanal verzichtet auf Identitätsdaten und IP-Tracking, die Daten werden Ende-zu-Ende-verschlüsselt und in der Schweiz gehostet. Zweitens ein Formular, das Sie selbst gestalten: Ihre Kategorien, Ihre Standorte, Ihre Fragen, ohne IT-Projekt.

Aus unserer Sicht ist ein gutes Formular kurz an der Oberfläche und präzise in der Tiefe. Wenige Pflichtfelder, klare Kategorien, gezielte Folgefragen. Den Rest erledigt eine strukturierte Fallbearbeitung mit Fristenüberwachung und einem unveränderlichen Audit-Trail, damit Ihre Meldestelle jede Entscheidung nachweisen kann.

Das Ashio-Team

Benutzerdefinierte Felder mit Ashio umsetzen

Mit Ashio gestalten Sie Ihr Meldeformular mit anpassbaren Fragen selbst und passen es an Ihre Kategorien und Standorte an. Meldende verfolgen den Status ihrer Meldung, Ihre Meldestelle arbeitet im Dashboard mit automatischer Fristenüberwachung, Team-Kollaboration und revisionssicherer Dokumentation. Der Tarif Basic kostet 29 € pro Monat, alle Compliance-Funktionen sind enthalten. Sie können Ashio kostenfrei testen und Ihr Formular danach im laufenden Abo weiterentwickeln.

Häufige Fragen

Wie viele Felder sollte ein Meldeformular haben?

So wenige wie möglich als Pflicht, meist nur Kategorie und Sachverhalt. Dazu kommen eine Handvoll freiwilliger Grundfelder wie Zeitpunkt, Ort, Beteiligte und Belege sowie zwei bis vier Folgefragen je Kategorie. Alles darüber hinaus erfragt die Meldestelle bei Bedarf gezielt nach.

Darf ich im Meldeformular den Namen verpflichtend abfragen?

Das HinSchG verpflichtet Sie zwar nicht, anonyme Meldungen technisch zu ermöglichen, die Meldestelle soll aber auch anonyme Meldungen bearbeiten. Ein Pflichtfeld für den Namen schreckt viele Menschen ab und widerspricht dem Grundsatz der Datenminimierung. Bieten Sie Kontaktangaben daher immer freiwillig an.

Was ist der Unterschied zwischen benutzerdefinierten Feldern und einem Fragebaum?

Benutzerdefinierte Felder sind die einzelnen Fragen, die Sie selbst anlegen, etwa eine Auswahlliste mit Ihren Standorten. Ein Fragebaum ist die Planung, welche dieser Fragen bei welcher Kategorie gestellt werden. Das eine sind die Bausteine, das andere der Bauplan.

Müssen die Kategorien dem HinSchG entsprechen?

Es ist sinnvoll, die Kategorien am sachlichen Anwendungsbereich nach § 2 HinSchG auszurichten, damit die Meldestelle schnell einordnen kann, ob der Schutz des Gesetzes greift. Ergänzen Sie interne Themen wie Verstöße gegen den Verhaltenskodex. Bei Zweifeln zur Abgrenzung im Einzelfall hilft eine Fachanwältin oder ein Fachanwalt für Arbeitsrecht.

Quellen

• Universitätsklinikum Jena: Welche Informationen sollte eine Meldung enthalten?
• NBank: Meldebogen Hinweisgeber-System
• Finow Automotive GmbH: Hinweis gemäß HinSchG (Rev 02)
• LfDI Baden-Württemberg: FAQ Hinweisgeberschutzgesetz
• GDD-Praxishilfe HinSchG (02/2025)
• GdW/AGV: Gemeinsame Arbeitshilfe zum Hinweisgeberschutzgesetz (2023)
• DICO Standard S11: Hinweisgebersysteme

Empfehlungen

• Hinweisgeber-Software mit anpassbaren Fragen
• Barrierefreie Hinweisgeber-Software: WCAG 2.2 AA