Ashio whistleblowing software

Sep 24, 2026

Digitale Meldestelle HR: Pflichten, Fristen und Umsetzung

Eine Mitarbeiterin macht von der digitalen anonymen Meldestelle Gebrauch

HR trägt in den meisten Unternehmen die Verantwortung für die interne Meldestelle: Wer in der Regel mindestens 50 Beschäftigte hat, muss laut §12 HinSchG einen Meldekanal betreiben. Eingangsbestätigung binnen 7 Tagen, Rückmeldung zu Maßnahmen spätestens nach 3 Monaten. Die ersten Schritte: einen Kanal für schriftliche und mündliche Meldungen einrichten, eine zuständige Person benennen und einen dokumentierten Prozess festlegen, bevor die erste Meldung überhaupt eingeht.

Kurz gesagt:

  • Beschäftigungsunternehmen mit mindestens 50 Mitarbeitern müssen eine interne Meldestelle einrichten, die unabhängig und weisungsfrei arbeitet.
  • Fristen für Eingangsbestätigung und Rückmeldung zu Maßnahmen sind auf sieben Tage bzw. maximal drei Monate festgelegt.
  • Digitale Meldekanäle müssen Text- und Mündelmeldungen zulassen, Verschlüsselung bieten und einen nachvollziehbaren Audit-Trail aufweisen.
  • Anbieter sollten explizit prüfen, ob IP-Adressen protokolliert werden, um Anonymität technisch sicher zu gewährleisten.
  • Unternehmen können eine zertifizierte cloudbasierte Lösung wie Ashio innerhalb weniger Tage ohne eigenen IT-Aufwand nutzen.
Ashio
ashio.eu
Meldestelle sicher digital umsetzen
Ashio schützt die Identität der Meldenden, dokumentiert Vorgänge vollständig und unterstützt HR bei einer transparenten Meldeverwaltung.
Ashio kennenlernen

Inhaltsverzeichnis

Rechtliche Grundlage: Was das HinSchG von Ihrem Unternehmen verlangt

Das Hinweisgeberschutzgesetz setzt die EU-Richtlinie 2019/1937 in deutsches Recht um. Ihr Ziel ist einfach formuliert: Menschen, die Missstände melden, sollen keine Nachteile fürchten müssen. Die Richtlinie verlangt Vertraulichkeit der Identität, schriftliche und mündliche Meldewege sowie klare Dokumentationspflichten.

Wer konkret betroffen ist, regelt §12 HinSchG: Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten und betreiben. Die Stelle braucht dabei tatsächliche Befugnisse, nicht nur ein Postfach.

Drei Punkte sollte jede Personalabteilung sofort verinnerlichen:

  • Die Pflicht gilt unabhängig von Branche oder Rechtsform, sofern bestimmte Größenkriterien erreicht werden.
  • Meldeempfangende Personen müssen unabhängig und weisungsfrei handeln können.
  • Vertraulichkeit ist kein Kür-Punkt, sondern gesetzliche Pflicht gegenüber der hinweisgebenden Person.

Fristen und Dokumentation: Diese Pflichten darf HR nicht übersehen

Zwei Fristen entscheiden über Rechtskonformität. Innerhalb von 7 Tagen muss der Eingang einer Meldung bestätigt werden. Danach bleiben maximal 3 Monate, um der meldenden Person mitzuteilen, welche Folgemaßnahmen geplant sind oder ergriffen wurden.

Zur Orientierung: Erfolgt keine Eingangsbestätigung, läuft die Rückmeldefrist trotzdem: 3 Monate und 7 Tage nach Eingang der Meldung, wie es das HinSchG vorschreibt.

Wer diese Fristen reißt, riskiert nicht nur Bußgelder, sondern verliert das Vertrauen der eigenen Belegschaft. Dazu kommen Dokumentationspflichten: Jede Meldung, jede Bearbeitungsphase und jeder Zugriff müssen nachvollziehbar protokolliert werden. Nur ein eng begrenzter Personenkreis darf auf diese Daten zugreifen.

Ein weiterer Punkt wird in der Praxis oft übersehen: Hinweisgebende haben ein Wahlrecht zwischen interner und externer Meldung. Arbeitgeber dürfen intern melden attraktiv machen, aber niemals eine externe Meldung behindern oder erschweren.

Welche technischen Anforderungen muss der Meldekanal erfüllen?

Ein digitaler Meldekanal muss mehr können als E-Mails entgegennehmen. Er muss sowohl textliche als auch mündliche Meldungen zulassen, und auf Wunsch der meldenden Person ein persönliches oder virtuelles Treffen ermöglichen. Das steht so in §16 HinSchG zu den Anforderungen an Meldekanäle.

Bei der Anonymität wird oft ein Missverständnis kolportiert: Es gibt keine gesetzliche Pflicht, anonyme Meldungen zu ermöglichen. Empfohlen wird es trotzdem, weil anonyme Kanäle die Meldebereitschaft nachweislich erhöhen. Wer sich dafür entscheidet, sollte technische Vorkehrungen treffen, die Rückschlüsse auf die Identität verhindern, etwa den Verzicht auf IP-Protokollierung.

Für die technische Ausgestaltung braucht HR eine klare Liste an Anforderungen, die sich an die IT-Abteilung weitergeben lässt:

  • Zugangskontrolle, die den Kreis der Zugriffsberechtigten strikt begrenzt.
  • Ende-zu-Ende-Verschlüsselung für alle übermittelten Inhalte und Anhänge.
  • Ein revisionssicherer Audit-Trail, der jeder Bearbeitungsschritt lückenlos festhält.
  • Protokollierung, die im Fall einer behördlichen Prüfung sofort verlegbar ist.

Sicherheitsstandards wie das CSA-STAR-Register liefern der IT-Abteilung eine brauchbare Referenz, wenn Cloud-Anbieter für die Meldestelle geprüft werden.

Profi-Tipp: Fragen Sie jeden Anbieter explizit, ob IP-Adressen protokolliert werden. Viele Systeme werben mit „anonym“, speichern aber im Hintergrund Metadaten, die eine Identifizierung technisch doch ermöglichen.

Interne, externe oder gemeinsame Meldestelle: Welche Organisationsform passt?

Drei Modelle stehen zur Wahl, und jedes hat einen klaren Preis.

  1. Interne Meldestelle: Sie kennt die betrieblichen Abläufe, reagiert schnell und bleibt nah am Tagesgeschäft. Der Nachteil liegt in der Wahrnehmung: Beschäftigte zweifeln manchmal, ob eine intern besetzte Stelle wirklich unabhängig urteilt. Wer diesen Weg wählt, kann festlegen, wer die interne Meldestelle konkret übernimmt, etwa ein Compliance-Beauftragter oder eine benannte HR-Fachkraft.
  2. Externe Dienstleister: Anwaltskanzleien oder spezialisierte Ombudsstellen bringen Unabhängigkeit und Routine mit. Dafür braucht es einen sauberen Vertrag mit klaren Sorgfaltspflichten, damit Verantwortung nicht im rechtlichen Graubereich verschwindet.
  3. Gemeinsame Meldestelle: Mehrere Arbeitgeber, meist innerhalb einer Unternehmensgruppe oder Branche, teilen sich eine Stelle. Das senkt Kosten, verlangt aber eine klare vertragliche Regelung, wer im Ernstfall entscheidet.

Das Gesetz lässt hinweisgebenden Personen ohnehin die Wahl zwischen intern und extern, §7 HinSchG verlangt lediglich, dass Arbeitgeber Anreize für den internen Weg schaffen, ohne den externen zu blockieren.

Wie richtet HR eine digitale Meldestelle in 90 Tagen ein?

Die ersten 30 Tage entscheiden, ob Ihr Unternehmen überhaupt handlungsfähig ist. Danach geht es um Feinschliff und Kultur.

Sofortmaßnahmen (Tag 1 bis 30):

  • Meldeformular und digitalen Kanal live schalten, inklusive mündlicher Meldeoption.
  • Zuständige Person oder Team offiziell benennen und intern kommunizieren.
  • Eingangsbestätigung automatisieren, damit die 7-Tage-Frist nie reißt.

Mittelfrist (Tag 30 bis 90):

  • Einen klaren Prozess für Fallbewertung und Bearbeitung definieren, inklusive Schnittstellen zu Legal und Compliance.
  • Fristenüberwachung technisch absichern, nicht per Kalendereintrag.
  • Dokumentationsstruktur festlegen: Wer speichert was, wie lange, mit welchem Zugriffsschutz.

Kommunikation und Schulung: Standardtexte für Rückmeldungen vorbereiten, damit niemand improvisiert antworten muss. Awareness-Maßnahmen für die Belegschaft einplanen, dazu wenige, aber aussagekräftige Kennzahlen wie Bearbeitungsdauer und Rückmeldezufriedenheit.

Profi-Tipp: Testen Sie Ihre Rückmeldetexte an echten Kollegen, bevor die erste reale Meldung eingeht. Ein bürokratisch klingender Standardsatz kann eine hinweisgebende Person dazu bringen, doch lieber extern zu melden.

Wie richtet HR eine digitale Meldestelle in 90 Tagen ein? — overview diagram

HR als Kulturtreiber, nicht nur als Prozessverwalter

Ein Hinweisgebersystem ist zuerst ein Kulturprojekt und erst danach ein Technikprojekt. Die beste Software nützt wenig, wenn niemand ihr vertraut. Entscheidend sind Kennzahlen wie Meldequote, Bearbeitungsdauer und Rückmeldezufriedenheit, nicht nur die technische Verfügbarkeit des Kanals.

HR muss neutral kommunizieren, hinweisgebende Personen konsequent schützen und jede Meldung nachvollziehbar weiterverfolgen. Wer das schafft, gewinnt Vertrauen. Wer es nicht schafft, wird sehen, dass Meldungen an externe Stellen wandern, weit unbequemer für das Unternehmen als jeder interne Prozess.

Schnell einsatzbereite Meldestelle ohne IT-Aufwand

Für Unternehmen ohne eigene IT-Ressourcen oder mit knappem Zeitfenster bis zur Pflichteinführung bietet Ashio eine cloudbasierte Meldestelle, die alle zentralen HinSchG-Anforderungen abdeckt: ein vollständig anonymer Meldekanal ohne IP-Protokollierung, ein revisionssicherer Audit-Trail, automatische Fristenüberwachung sowie ein Team-Dashboard für die strukturierte Fallbearbeitung. Die Daten liegen DSGVO-konform in der Schweiz.

Das Modell passt besonders für KMU, die schnell rechtskonform werden müssen, ohne monatelang mit der eigenen IT über Server und Verschlüsselung zu verhandeln. Auch größere Organisationen mit mehreren Standorten nutzen die Plattform, um Fristen und Dokumentation zentral im Blick zu behalten, statt sich auf Excel-Tabellen und E-Mail-Postfächer zu verlassen. Wer die konkrete Umsetzung für ein Hinweisgebersystem im eigenen KMU durchdenken will, findet dort die praktischen Details zu Kosten und Einrichtung. Der nächste Schritt liegt nah: Ashio auf Ashio ausprobieren und den eigenen Meldekanal innerhalb weniger Tage live schalten, statt weiter mit provisorischen Lösungen zu arbeiten.

Schnell einsatzbereite Meldestelle ohne IT-Aufwand — overview diagram

Für die vertiefte Lektüre lohnt sich der direkte Blick in den Gesetzestext des HinSchG sowie in ergänzende Veröffentlichungen zum Hinweisgeberschutz. Die konsolidierte Fassung der EU-Richtlinie 2019/1937 ist über EUR-Lex frei zugänglich.

Quellen

FAQ

Welche neuen Meldestellen gibt es in Deutschland?

Neben unternehmensinternen Meldestellen betreibt der Bund eine externe Meldestelle beim Bundesamt für Justiz, zusätzlich existieren branchenspezifische externe Stellen etwa bei der BaFin für den Finanzsektor. Hinweisgebende Personen können frei wählen, ob sie intern oder extern melden, wie §7 HinSchG festlegt.

Ist es möglich, ein Unternehmen anonym zu melden?

Ja, anonyme Meldungen sind zulässig und werden empfohlen, auch wenn Unternehmen gesetzlich nicht verpflichtet sind, einen anonymen Kanal anzubieten. Digitale Lösungen wie Ashio verzichten technisch auf jede Identitätsspeicherung, damit Rückschlüsse auf die meldende Person gar nicht erst möglich sind.

Welche Verstöße gegen das Hinweisgeberschutzgesetz können gemeldet werden?

Meldbar sind Verstöße gegen Strafvorschriften sowie gegen bestimmte bußgeldbewehrte Regelungen, etwa im Bereich Arbeitsschutz, Datenschutz, Geldwäsche oder Vergaberecht. Das Gesetz zielt gezielt auf Fehlverhalten, das öffentliche oder betriebliche Interessen verletzt, nicht auf allgemeine persönliche Konflikte im Unternehmen.

Welche Rolle spielt eine externe Meldestelle für Hinweisgeber?

Externe Meldestellen, etwa beim Bundesamt für Justiz, nehmen Meldungen unabhängig von der internen Unternehmensstruktur entgegen und unterliegen denselben Fristen wie interne Stellen. Sie bieten sich an, wenn Vertrauen in die interne Bearbeitung fehlt oder die Meldung die Unternehmensspitze selbst betrifft.

Wie viele Mitarbeiter müssen zur Einrichtung einer internen Meldestelle verpflichtet sein?

Die Pflicht greift für Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, wie §12 HinSchG festlegt. Kleinere Unternehmen können freiwillig eine Meldestelle einrichten, profitieren dabei aber ebenfalls von strukturierten Lösungen wie einem digitalen Meldekanal.

Empfehlungen