Fristenmanagement nach dem HinSchG: alle Fristen sicher im Griff

Fristenmanagement nach dem Hinweisgeberschutzgesetz heißt: Ihre interne Meldestelle bestätigt jede Meldung spätestens nach sieben Tagen, gibt der hinweisgebenden Person spätestens drei Monate danach eine begründete Rückmeldung und löscht die Dokumentation drei Jahre nach Abschluss des Verfahrens. Das klingt überschaubar. In der Praxis scheitern die Fristen selten am Gesetz, sondern an Urlaub, unklaren Zuständigkeiten und Postfächern, die niemand öffnet. Hier lesen Sie, wie Sie jede Frist richtig berechnen, was bis zur Rückmeldung erledigt sein muss und wie Sie den Prozess so aufsetzen, dass keine Meldung liegen bleibt.

Kurz gesagt

• 7 Tage: So lange haben Sie nach § 17 HinSchG höchstens Zeit, um den Eingang einer Meldung zu bestätigen.
• 3 Monate: Innerhalb dieser Zeit nach der Eingangsbestätigung muss die Rückmeldung mit geplanten und ergriffenen Folgemaßnahmen erfolgen. Ohne Bestätigung gilt die Grenze von drei Monaten und sieben Tagen ab Eingang.
• 3 Jahre: Nach Abschluss des Verfahrens wird die Dokumentation gelöscht, sofern keine anderen gesetzlichen Aufbewahrungspflichten greifen.
• Zuständigkeit und Vertretung sind der häufigste Grund für verpasste Fristen. Legen Sie fest, wer Meldungen öffnet, wer vertritt und wann eskaliert wird.
• Software mit automatischer Fristenüberwachung nimmt Ihnen das Rechnen ab und dokumentiert jeden Schritt revisionssicher.

Inhaltsverzeichnis

• Die Fristen des HinSchG im Überblick
• So berechnen Sie die Fristen richtig
• Was bis zur Rückmeldung erledigt sein muss
• Dokumentation und Löschfrist
• Fristen, Zuständigkeiten und Erinnerungen organisieren
• Was passiert, wenn Fristen versäumt werden
• Unsere Sicht: Fristen sind eine Frage des Vertrauens
• Ashio: Fristenüberwachung ab dem ersten Hinweis
• Häufige Fragen
• Quellen

Die Fristen des HinSchG im Überblick

Das Gesetz kennt für die interne Meldestelle im Kern drei Fristen. Dazu kommt die Bearbeitungszeit der externen Meldestellen, die Sie kennen sollten, weil Hinweisgebende frei zwischen interner und externer Meldung wählen dürfen.

Wichtig ist der Unterschied zwischen „spätestens“ und „innerhalb“. Die sieben Tage sind eine Obergrenze, kein Zielwert. Wer am ersten oder zweiten Werktag bestätigt, gewinnt Zeit für die Rückmeldung, denn die Dreimonatsfrist beginnt erst mit der Bestätigung. Eine schnelle Bestätigung schafft außerdem Vertrauen: Die hinweisgebende Person weiß, dass ihre Meldung angekommen ist, und hat weniger Grund, sich parallel an eine Behörde zu wenden.

Die Pflicht zur Einrichtung einer internen Meldestelle trifft nach dem Gesetzestext des HinSchG Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten. Wie Sie die Meldestelle grundsätzlich aufsetzen, haben wir in unserem Überblick zum Hinweisgeberschutzgesetz für Unternehmen zusammengefasst.

So berechnen Sie die Fristen richtig

Die Fristen beginnen mit dem Eingang der Meldung bei der Meldestelle. Für die Berechnung gelten die allgemeinen Regeln des BGB: Nach §§ 187 und 188 BGB wird der Tag des Ereignisses nicht mitgezählt, und eine Monatsfrist endet mit dem Tag des Folgemonats, der dieselbe Zahl trägt wie der Starttag.

Ein Rechenbeispiel

Eine Meldung geht am Donnerstag, 5. November 2026, über Ihr Hinweisgebersystem ein.

1. Eingangsbestätigung: Der 5. November zählt nicht mit. Die Siebentagesfrist endet am Donnerstag, 12. November 2026.
2. Bestätigung versandt: Ihre Meldestelle bestätigt am Montag, 9. November 2026.
3. Rückmeldung: Die Dreimonatsfrist läuft ab der Bestätigung und endet am Dienstag, 9. Februar 2027.
4. Ohne Bestätigung: Hätte die Meldestelle den Eingang nicht bestätigt, müsste die Rückmeldung spätestens drei Monate und sieben Tage nach Eingang erfolgen, also bis Freitag, 12. Februar 2027.

Stolperstellen in der Praxis

• Monatsende: Fällt die Bestätigung auf den 30. November, gibt es keinen 30. Februar. Die Frist endet dann mit dem letzten Tag des Februars. Wer händisch rechnet, verschätzt sich hier leicht.
• Wochenenden und Feiertage: Ob sich das Fristende bei einem Samstag, Sonntag oder Feiertag auf den nächsten Werktag verschiebt, sollten Sie nicht zum Teil Ihrer Planung machen. Setzen Sie interne Zieltermine so, dass Sie diese Frage nie beantworten müssen.
• Eingang außerhalb der Arbeitszeit: Eine Meldung, die Freitagabend eingeht, ist am Freitag eingegangen. Die Frist läuft, auch wenn das Postfach erst am Montag geöffnet wird.
• Telefonische und persönliche Meldungen: Der Eingang ist der Zeitpunkt des Gesprächs, nicht der, an dem das Protokoll im System landet. Erfassen Sie solche Meldungen noch am selben Tag.

Was bis zur Rückmeldung erledigt sein muss

Die Rückmeldung ist kein „Wir kümmern uns“. Nach § 17 HinSchG hat die Meldestelle bis dahin eine Reihe von Aufgaben zu erledigen:

1. Prüfen, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich des Gesetzes fällt.
2. Mit der hinweisgebenden Person in Kontakt bleiben.
3. Die Stichhaltigkeit der Meldung prüfen.
4. Erforderlichenfalls um weitere Informationen bitten.
5. Angemessene Folgemaßnahmen ergreifen.

Die Rückmeldung selbst nennt geplante und bereits ergriffene Folgemaßnahmen sowie die Gründe dafür. Sie darf nur so weit gehen, wie interne Nachforschungen oder Ermittlungen nicht berührt und die Rechte der Personen, die Gegenstand der Meldung sind oder darin genannt werden, nicht beeinträchtigt werden. In der Praxis heißt das: Sie schreiben konkret genug, dass die hinweisgebende Person erkennt, dass ihr Hinweis ernst genommen wurde, und vorsichtig genug, dass Sie keine laufende Untersuchung gefährden. Formulierungen wie „Wir haben eine interne Untersuchung eingeleitet und die zuständige Fachabteilung eingebunden“ sind oft der richtige Mittelweg. Bei rechtlich heiklen Fällen, etwa wenn Strafbarkeit im Raum steht oder Führungskräfte betroffen sind, stimmen Sie den Wortlaut vorher mit Ihrer Rechtsabteilung oder einer im Arbeitsrecht tätigen Kanzlei ab.

Die Dreimonatsfrist bedeutet nicht, dass der Fall dann abgeschlossen sein muss. Eine komplexe Untersuchung darf länger dauern. Die Rückmeldung muss aber fristgerecht kommen und den Stand ehrlich beschreiben. Wenn weitere Schritte folgen, kündigen Sie eine spätere Information an und halten Sie dieses Versprechen.

Anonyme Meldungen

Bei anonymen Meldungen funktioniert das alles nur, wenn es einen Rückkanal gibt. Ein Briefkasten oder eine anonyme E-Mail ohne Antwortmöglichkeit macht Eingangsbestätigung und Rückmeldung praktisch unmöglich. Ein digitales System, in dem die hinweisgebende Person mit einem Zugangscode den Status abruft und Rückfragen beantwortet, löst das Problem, ohne die Anonymität aufzugeben. Wie das ohne IP-Adressen und Cookies funktioniert, zeigt unsere Seite zur wirklich anonymen Meldesoftware.

Dokumentation und Löschfrist

Fristenmanagement endet nicht mit der Rückmeldung. Nach § 11 HinSchG müssen alle eingehenden Meldungen in dauerhaft abrufbarer Weise und unter Beachtung des Vertraulichkeitsgebots dokumentiert werden. Drei Jahre nach Abschluss des Verfahrens wird die Dokumentation gelöscht. Sie darf länger aufbewahrt werden, wenn das erforderlich und verhältnismäßig ist, um Anforderungen aus dem HinSchG oder anderen Rechtsvorschriften zu erfüllen.

Für Ihr Fristenmanagement folgt daraus eine zweite, oft vergessene Frist: Jeder Fall braucht ein dokumentiertes Abschlussdatum, an dem die Löschfrist zu laufen beginnt. Ohne dieses Datum weiß nach drei Jahren niemand, wann gelöscht werden muss, und die Daten bleiben im Zweifel zu lange liegen.

Der Landesbeauftragte für den Datenschutz Baden-Württemberg erinnert daran, dass bei der Dokumentation die Grundsätze der DSGVO gelten, insbesondere Datenminimierung und angemessene technische und organisatorische Sicherheitsmaßnahmen. Außerdem darf die Identität der hinweisgebenden Person nur den Personen bekannt werden, die für die Entgegennahme von Meldungen oder für Folgemaßnahmen zuständig sind, sowie denen, die sie dabei unterstützen. Eine Excel-Liste auf einem geteilten Laufwerk erfüllt das kaum.

Gute Dokumentation ist auch Selbstschutz. Die Arbeitshilfe von GdW und AGV weist darauf hin, dass die Dokumentation Arbeitgebern im Streitfall helfen kann, ihre Compliance nachzuweisen, zum Beispiel wenn Schadensersatz wegen angeblicher Repressalien gefordert wird. Ein lückenloser Verlauf mit Zeitstempeln zeigt, wann bestätigt, geprüft und zurückgemeldet wurde.

Fristen, Zuständigkeiten und Erinnerungen organisieren

Das Gesetz sagt, was bis wann passieren muss. Wie Sie das sicherstellen, entscheiden Sie. Diese Schritte haben sich bewährt:

1. Verantwortliche benennen: Legen Sie eine hauptverantwortliche Person für die Meldestelle fest und mindestens eine Vertretung. Wer dafür in Frage kommt, von internen Beauftragten bis zu externen Dienstleistern, erklären wir im Beitrag wer interne Meldestelle sein kann.
2. Vertretung schriftlich regeln: Urlaub, Krankheit und Elternzeit sind planbar. Halten Sie fest, ab wann die Vertretung übernimmt, zum Beispiel automatisch bei Abwesenheit von mehr als zwei Arbeitstagen.
3. Interne Zieltermine vor die gesetzlichen Fristen legen: Bestätigung binnen zwei Werktagen, erste Sachprüfung binnen zwei Wochen, Entwurf der Rückmeldung zwei Wochen vor Fristende. So bleibt Puffer für Rückfragen und Abstimmungen.
4. Erinnerungen stufen: Eine Erinnerung an die Bearbeitenden, eine zweite an die Vertretung, eine Eskalation an die Leitung der Meldestelle. Jede Stufe hat einen festen Abstand zum Fristende.
5. Interessenkonflikte früh prüfen: Betrifft eine Meldung die eigentlich zuständige Person oder deren Vorgesetzte, muss der Fall sofort umgeleitet werden. Diese Prüfung gehört in den ersten Arbeitsschritt, nicht in Woche sechs.
6. Statusmodell festlegen: Eingegangen, bestätigt, in Prüfung, Folgemaßnahmen, rückgemeldet, abgeschlossen. Jeder Statuswechsel bekommt Datum und Bearbeiter.
7. Regelmäßig auswerten: Schauen Sie quartalsweise auf die durchschnittliche Zeit bis zur Bestätigung und bis zur Rückmeldung. Werte, die nah an die gesetzlichen Grenzen rücken, sind ein Warnsignal für fehlende Kapazität.

Wenn Sie einen Betriebsrat haben, binden Sie ihn bei der Einführung des Hinweisgebersystems ein. Fragen der Mitbestimmung klären Sie am besten mit Ihrer Rechts- oder Personalabteilung, bevor das System live geht.

Kalender, Ticketsystem oder Hinweisgebersoftware?

Was passiert, wenn Fristen versäumt werden

Das HinSchG belegt das Verpassen der Siebentages- oder Dreimonatsfrist nicht ausdrücklich mit einem eigenen Bußgeld. Entspannt zurücklehnen sollten Sie sich trotzdem nicht. Nach § 40 HinSchG handelt ordnungswidrig, wer keine interne Meldestelle einrichtet oder betreibt, eine Meldung behindert oder Repressalien ergreift. Verstöße gegen das Vertraulichkeitsgebot können mit bis zu 50.000 Euro geahndet werden. Eine Meldestelle, die Meldungen dauerhaft unbearbeitet lässt, gerät schnell in die Nähe dieser Tatbestände.

Dazu kommen die praktischen Folgen. Hinweisgebende Personen dürfen ohnehin zwischen interner und externer Meldung wählen. Wer intern keine Antwort bekommt, geht zur externen Meldestelle, etwa beim Bundesamt für Justiz, und Sie verlieren die Chance, das Problem selbst zu klären, bevor eine Behörde ermittelt. Und im Streit um eine angebliche Repressalie fehlt Ihnen ohne saubere Fristdokumentation der Nachweis, dass Sie korrekt gehandelt haben.

Unsere Sicht: Fristen sind eine Frage des Vertrauens

Wir sehen Fristenmanagement nicht als bürokratische Pflichtübung. Die sieben Tage und die drei Monate sind der Moment, in dem Beschäftigte entscheiden, ob sie Ihrem internen Kanal trauen. Eine schnelle Bestätigung und eine ehrliche Rückmeldung sagen mehr über Ihre Unternehmenskultur als jede Compliance-Richtlinie.

Deshalb haben wir die Fristenüberwachung in Ashio nicht als Zusatz gebaut, sondern als Grundlage. Sobald eine Meldung eingeht, laufen die gesetzlichen Fristen im Dashboard mit. Jeder Schritt landet in einem unveränderlichen Audit-Trail, den Sie exportieren können, und die hinweisgebende Person verfolgt den Status ihrer Meldung in Echtzeit, ohne dass wir Identitätsdaten, IP-Adressen oder Tracking erfassen. Wir halten es für falsch, dass Unternehmen für Fristen, Dokumentation oder Anonymität extra zahlen sollen: Was das Gesetz verlangt, gehört in jede Lizenz.

Ashio: Fristenüberwachung ab dem ersten Hinweis

Wenn Sie Ihr Fristenmanagement nicht länger mit Kalendereinträgen absichern wollen: Ashio berechnet Bestätigungs- und Rückmeldefristen automatisch, erinnert Ihr Team rechtzeitig und dokumentiert jeden Schritt revisionssicher. Die Daten liegen DSGVO-konform in der Schweiz, gehostet nach ISO 27001, Details dazu auf unserer Seite zu Sicherheit und Schweizer Hosting. Der Basic-Tarif kostet 29 € pro Monat, und Sie können Ashio vorab kostenlos testen. Jetzt Ashio kostenlos testen oder mehr über die interne Meldestelle mit Ashio erfahren.

Häufige Fragen

Gilt die Siebentagesfrist auch für anonyme Meldungen?

Ja, sofern eine Kontaktmöglichkeit besteht. Ohne Rückkanal kann die Meldestelle den Eingang schlicht nicht bestätigen. Ein digitales System mit Zugangscode macht Bestätigung und Rückmeldung auch bei anonymen Meldungen möglich.

Muss der Fall nach drei Monaten abgeschlossen sein?

Nein. Nach drei Monaten muss die hinweisgebende Person eine Rückmeldung zu geplanten und ergriffenen Folgemaßnahmen erhalten. Die Untersuchung selbst darf länger dauern, solange Sie den aktuellen Stand mitteilen.

Zählen Wochenenden bei der Siebentagesfrist mit?

Die Frist wird in Kalendertagen gerechnet, der Eingangstag zählt nach den BGB-Regeln nicht mit. Verlassen Sie sich nicht darauf, dass ein Fristende am Wochenende auf Montag rutscht. Bestätigen Sie am besten innerhalb von ein bis zwei Werktagen.

Wann muss die Dokumentation gelöscht werden?

Drei Jahre nach Abschluss des Verfahrens. Eine längere Aufbewahrung ist nur zulässig, wenn sie erforderlich und verhältnismäßig ist, um Pflichten aus dem HinSchG oder anderen Gesetzen zu erfüllen. Halten Sie deshalb für jeden Fall das Abschlussdatum fest.

Quellen

• Haufe: Fristen und Termine, Berechnung
• Landesbeauftragter für den Datenschutz Baden-Württemberg: FAQ Hinweisgeberschutzgesetz
• GdW und AGV: Gemeinsame Arbeitshilfe zum Hinweisgeberschutzgesetz

Empfehlungen

• Hinweisgeberschutzgesetz (HinSchG) 2023