Ashio whistleblowing software

Hinweisgebersystem für Konzerne: Rechtliche Grenzen und Umsetzungsplan

Der Compliance-Beauftragte überprüft einen anonymen Hinweisfall

Ja, eine zentrale Meldestelle für mehrere Standorte ist möglich, aber nur unter klaren Voraussetzungen. Entscheidend sind die Beschäftigtenzahlen je Rechtseinheit, die Vorgaben aus § 12 und § 14 HinSchG sowie Datenschutz- und Mitbestimmungsfragen. Bevor Sie eine gemeinsame Lösung planen, brauchen Sie eine saubere Strukturanalyse Ihrer Gesellschaften und eine frühzeitige rechtliche Prüfung.

Kurz gesagt:

  • Eine gemeinsame Meldestelle ist nur bei klarer rechtlicher Struktur und Beschäftigtenzahl pro Rechtseinheit möglich, nicht nur anhand der Standorte.
  • Bei Konzernen mit maximal 249 Mitarbeitenden pro Einheit kann eine zentrale, mandantenfähige Plattform rechtssicher eingerichtet werden.
  • Für Gesellschaften mit 250 oder mehr Mitarbeitenden ist in der Regel eine eigene Meldestelle erforderlich, da das Gesetz die sogenannte Konzernregelung nur bei kleineren Einheiten vorsieht.
  • Bei der Planung einer konzernweiten Meldestelle sollten Verantwortlichkeiten, Datenschutz und Betriebsratsbeteiligung frühzeitig geklärt werden.
  • Eine geeignete Plattform benötigt Funktionen wie anonymen Meldekanal, rollenbasierte Zugriffe, vollständigen Audit-Trail und Fristenüberwachung, um rechtssicher und effizient zu sein.
Ashio
Meldestellen für Konzerne sicher umsetzen
Ashio verbindet anonyme Meldungen, Identitätsschutz und vollständige Audit-Trails für eine transparente Verwaltung von Hinweisfällen.
Ashio kennenlernen

Inhaltsverzeichnis

Standorte vs. eigenständige Gesellschaften: Wer zählt wie?

Die Pflicht zur Meldestelle hängt nicht von der Zahl der Bürostandorte ab, sondern von der rechtlichen Struktur dahinter. Ein Unternehmen mit fünf Filialen, aber nur einer GmbH als Rechtsträger, zählt seine Beschäftigten insgesamt. Anders sieht es bei einem Konzern mit mehreren eigenständigen Tochtergesellschaften aus: Hier wird grundsätzlich pro Rechtseinheit gezählt, nicht konzernweit.

Diese Unterscheidung entscheidet darüber, ob überhaupt eine Pflicht nach § 12 HinSchG entsteht und wie viele Meldestellen am Ende nötig sind.

Typische Konstellationen in der Praxis:

  • Eine GmbH mit Niederlassungen in mehreren Städten: eine Meldestelle reicht aus, da es sich um dieselbe Rechtsperson handelt.
  • Ein Konzern mit drei Tochtergesellschaften à 80 Mitarbeitenden: jede Gesellschaft ist für sich meldepflichtig, kann sich aber möglicherweise zusammenschließen.
  • Eine Holding mit einer kleinen Tochter unter 50 Beschäftigten: Hier lohnt sich die Prüfung einer gemeinsamen Lösung besonders.
  • Internationale Gruppen mit Standorten außerhalb der EU: Für diese gilt das HinSchG nicht automatisch, nationale Umsetzungsgesetze am jeweiligen Standort sind separat zu prüfen.

Die Konzernfrage: Gemeinsame Meldestelle nach § 14 HinSchG, was gilt rechtlich?

§ 14 HinSchG erlaubt es Beschäftigungsgebern mit in der Regel bis zu 249 Mitarbeitenden, für den Betrieb der internen Meldestelle einen Dritten zu beauftragen oder eine gemeinsame Stelle einzurichten. Das kann eine zentrale Konzerneinheit sein, ein externer Ombudsdienst oder eine geteilte technische Plattform. Wichtig ist dabei eine Einschränkung, die in der Praxis oft übersehen wird.

Die Zuständigkeit für die eigentliche Bearbeitung eines Hinweises, also Rückmeldung, Folgemaßnahmen und Abhilfe, verbleibt beim ursprünglich betroffenen Beschäftigungsgeber. Eine gemeinsame Meldestelle darf zentral entgegennehmen, doch die inhaltliche Verantwortung lässt sich nicht einfach outsourcen.

Diese Regel ist im § 14 HinSchG verankert und bildet die Grundlage für alle mandantenfähigen Modelle im Konzern. Für Gesellschaften mit 250 oder mehr Beschäftigten sieht das Gesetz in der Regel eine eigene interne Meldestelle vor, das Konzernprivileg greift dort nicht ohne Weiteres. Wer eine gemeinsame Lösung plant, sollte also zuerst prüfen, welche Einheiten überhaupt unter die Ausnahme fallen und welche eine eigenständige Stelle brauchen. Die übergeordnete Rechtsgrundlage bildet dabei die EU-Richtlinie 2019/1937, die den Mitgliedstaaten diesen Spielraum für nationale Ausgestaltung lässt.

Vorteile einer zentralen, mandantenfähigen Meldestelle für Unternehmensgruppen

Eine gemeinsame Meldestelle bringt handfeste operative Vorteile, wenn die rechtlichen Fragen geklärt sind. Ein Fachbeitrag zur gemeinsamen Meldestelle im Konzern beschreibt drei Effekte, die sich in der Praxis regelmäßig zeigen:

  1. Effizienz beim Roll-out: Statt jede Tochtergesellschaft einzeln zu schulen und technisch anzubinden, läuft die Einführung über eine Plattform und ein Regelwerk.
  2. Konsistente Fristenüberwachung: Bearbeitungsfristen, Rückmeldepflichten und Eskalationsstufen werden nach einem einheitlichen Standard verfolgt, statt an jedem Standort neu erfunden zu werden.
  3. Besserer Identitätsschutz in kleinen Einheiten: Meldet jemand in einer 30-Personen-Niederlassung intern, lässt sich die Identität kaum wahren. Läuft die Meldung über eine zentrale, externe Struktur, sinkt dieses Risiko spürbar.

Profi-Tipp: Prüfen Sie vor der Einführung, ob Ihre kleineren Standorte tatsächlich unter das Konzernprivileg fallen. Eine gemeinsame Stelle bringt nur dann echte Vorteile, wenn sie rechtlich sauber für die betroffene Einheit greift, nicht als pauschale Lösung für die ganze Gruppe.

Worauf Sie bei Datenschutz, Betriebsrat und Zugriffskonzepten achten müssen

Eine zentrale Meldestelle wirft automatisch Datenschutzfragen auf. Sobald mehrere Rechtsträger auf dieselbe Plattform zugreifen, entsteht häufig eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, die vertraglich geregelt werden muss. Wer welche Daten sieht, wer sie löschen darf und wo sie liegen, gehört in eine schriftliche Vereinbarung, nicht in eine mündliche Absprache zwischen Compliance-Abteilungen.

Zugriffsregelung für die zentrale Meldestelle

Amtliche Hinweise der Datenschutzaufsicht Baden-Württemberg betonen ausdrücklich, dass bei gemeinsamen Meldestellen sowohl die datenschutzrechtliche Verantwortlichkeit als auch die Mitbestimmung frühzeitig geklärt werden müssen. Ein Hinweisgebersystem gilt in aller Regel als technische Einrichtung, die das Verhalten oder die Leistung von Mitarbeitenden überwachen kann, und unterliegt damit dem Mitbestimmungsrecht nach § 87 BetrVG. Ohne Betriebsvereinbarung drohen spätere arbeitsrechtliche Konflikte, wie Fachbeiträge zur Betriebsvereinbarung zeigen.

Folgende Punkte sollten Sie vor dem Start klären:

  • Hosting-Standort und Auftragsverarbeitungsvertrag mit dem Plattformanbieter.
  • Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, etwa Verschlüsselung und Zugriffsprotokolle.
  • Rollen- und Zugriffskonzept: Wer aus welcher Gesellschaft sieht welche Fälle?
  • Aufbewahrungsfristen für Meldungen und Dokumentation nach Abschluss eines Falls.
  • Zeitpunkt und Umfang der Betriebsratsbeteiligung vor der technischen Einführung.

Eine praxisnahe Checkliste zum Datenschutz-Hosting in Deutschland liefert zusätzliche Anhaltspunkte, worauf bei der technischen Umsetzung zu achten ist.

So richten Sie eine gemeinsame Meldestelle für mehrere Standorte ein

Der Aufbau einer funktionierenden Struktur folgt in der Praxis einem wiederkehrenden Muster, das sich in fünf Schritte gliedern lässt.

  1. Strukturanalyse durchführen. Erfassen Sie alle Rechtseinheiten, deren Beschäftigtenzahlen und bestehende Zuständigkeiten für Compliance-Fragen.
  2. Betreibermodell entscheiden. Wählen Sie zwischen einer internen Konzerngesellschaft als Betreiber und einem externen Dritten, der die Meldestelle für mehrere Einheiten führt.
  3. Verträge aufsetzen. Regeln Sie gemeinsame Verantwortlichkeit, Auftragsverarbeitung und die Zuständigkeit für die inhaltliche Fallbearbeitung schriftlich.
  4. Technische Kriterien prüfen. Achten Sie auf Mandantenfähigkeit, lückenlosen Audit-Trail, DSGVO-konformes Hosting und eine Statusverfolgung für Hinweisgebende.
  5. Betrieb aufnehmen. Schließen Sie die Betriebsvereinbarung ab, schulen Sie die Belegschaft an allen Standorten und starten Sie mit einem Testlauf, bevor die Meldestelle produktiv geht.

Ein Praxisleitfaden zum Aufbau eines Hinweisgebersystems empfiehlt für Gruppen mit Einheiten zwischen 50 und 249 Beschäftigten genau diese Struktur, während ab 250 Beschäftigten häufig eine eigene Meldestelle sinnvoller ist. Nach dem Start braucht es laufendes Fristenmanagement, klare Eskalationswege bei kritischen Fällen und eine regelmäßige Revision der Prozesse, damit die Lösung nicht nach einem Jahr wieder in Einzelteile zerfällt.

Welche Funktionen eine konforme Plattform für mehrere Standorte braucht

Nicht jede Software, die sich Hinweisgebersystem nennt, eignet sich für Konzernstrukturen. Ein Fachartikel zu Pflicht und Chance von Hinweisgebersystemen macht deutlich: Nicht die größte Plattform gewinnt, sondern die mit der passenden Funktionalität für die eigene Struktur.

Für den Betrieb einer gemeinsamen Meldestelle über mehrere Rechtseinheiten hinweg braucht es mindestens:

  • Einen anonymen Meldekanal ohne Nachverfolgung der Absenderadresse.
  • Eine Mandantenstruktur mit getrennten Rollen und Zugriffsrechten pro Gesellschaft.
  • Einen vollständigen Audit-Trail für jede Bearbeitungsschrift.
  • Automatische Fristenüberwachung und eine Statusverfolgung, die Hinweisgebende in Echtzeit einsehen können.

Es gibt Plattformen, die diese Anforderungen mit individuell gestaltbaren Meldeformularen, revisionssicherer Dokumentation und DSGVO-konformer Datenspeicherung in der Schweiz abdecken. Für Unternehmensgruppen, die verschiedene Standorte technisch abbilden müssen, ohne für jede Gesellschaft ein eigenes System aufzubauen, ist ein Onboarding mit klar getrennten Zugängen pro Einheit meist der praktikabelste Einstieg, bevor die Feinheiten der Fallbearbeitung im Detail festgelegt werden.

Was bei der Konzernlösung oft übersehen wird

Die größte Fehlannahme bei diesem Thema ist, dass eine zentrale Meldestelle automatisch weniger Aufwand bedeutet. Das stimmt operativ, rechtlich aber nur zur Hälfte. Wer eine gemeinsame Stelle einrichtet, verlagert die technische Entgegennahme, nicht die Verantwortung für das, was danach passiert. Genau diesen Unterschied übersehen viele Compliance-Verantwortliche, wenn sie ein zentrales System als vollständige Lösung verkaufen.

Der zweite blinde Fleck betrifft den Betriebsrat. Viele Unternehmen behandeln die Mitbestimmung als Formalie am Ende des Projekts, dabei entscheidet gerade eine frühe Einbindung darüber, ob die Einführung reibungslos läuft oder Monate dauert. Eine Betriebsvereinbarung, die erst nach dem technischen Rollout verhandelt wird, kommt fast immer zu spät.

Wer eine Konzernlösung plant, sollte zuerst die Rechtsstruktur klären, dann die Datenschutzverantwortung vertraglich fixieren und erst danach über die Software entscheiden. Diese Reihenfolge dreht die Praxis oft um, mit entsprechenden Nacharbeiten.

Ashio als zentrale Meldestelle für mehrere Standorte einrichten

Für Unternehmensgruppen, die eine gemeinsame Meldestelle nach § 14 HinSchG umsetzen wollen, existieren mandantenfähige Plattformen, die genau diese Struktur abbilden, ohne dass jede Tochtergesellschaft ein eigenes System aufsetzen muss. Solche Plattformen verfügen oft über einen vollständig anonymen Meldekanal ohne IP-Tracking, einen lückenlosen Audit-Trail pro Fall und Dashboards, über die Compliance-Teams den Status jeder Meldung an verschiedenen Standorten nachvollziehen können. Die Datenspeicherung kann DSGVO-konform in der Schweiz erfolgen, was die vertragliche Klärung der gemeinsamen Verantwortlichkeit erleichtern kann.

Ashio als zentrale Meldestelle für mehrere Standorte einrichten — overview diagram

Wenn Sie bereits eine Strukturanalyse Ihrer Gesellschaften durchgeführt haben und wissen, welche Einheiten unter das Konzernprivileg fallen, lohnt sich ein Blick auf die Produktseite von Ashio, um die konkreten Funktionen für Ihre Struktur zu prüfen und eine Testphase zu starten.

Quellen

Empfehlungen

Hinweisgebersystem für Konzerne: Rechtliche Grenzen und Umsetzungsplan | Ashio