Hinweise von Lieferanten melden: Kanal, Pflichten, Fristen

Lieferanten und ihre Beschäftigten sollten Missstände über einen Kanal melden können, den Ihr Unternehmen dafür öffentlich bereitstellt. In der Regel ist das Ihre interne Meldestelle nach dem Hinweisgeberschutzgesetz (HinSchG). Fällt Ihr Unternehmen unter das Lieferkettensorgfaltspflichtengesetz (LkSG), kommt das Beschwerdeverfahren nach § 8 LkSG hinzu. Der Lieferant darf sich außerdem jederzeit an die externe Meldestelle des Bundes wenden. Hier lesen Sie, wer geschützt ist, welche Fristen ab Eingang laufen, was eine brauchbare Lieferantenmeldung enthält und wie Konzerne eine gemeinsame, grenzüberschreitende Meldestelle aufbauen, ohne Pflichten aus der Hand zu geben.

Kurz gesagt

• Wer als Lieferant oder Mitarbeiter eines Lieferanten beruflich von Verstößen erfährt, kann unter den Schutz des HinSchG fallen.
• Ihre interne Meldestelle muss den Eingang spätestens nach sieben Tagen bestätigen und innerhalb von drei Monaten eine Rückmeldung geben.
• Unternehmen im Anwendungsbereich des LkSG brauchen zusätzlich ein Beschwerdeverfahren mit öffentlich zugänglicher Verfahrensordnung in Textform.
• Anonyme Kanäle sind nicht vorgeschrieben, anonyme Meldungen sollen aber bearbeitet werden. Ein anonymer Kanal senkt die Hürde für externe Hinweisgeber spürbar.
• Im Konzern lassen sich Ressourcen teilen, etwa ein gemeinsamer Dienstleister. Die Verantwortung für Aufklärung und Abhilfe bleibt aber bei jeder einzelnen Gesellschaft.

Inhaltsverzeichnis

• Lieferanten als Hinweisgeber: Wer geschützt ist
• HinSchG und LkSG: zwei Pflichten, ein Eingang
• Die Meldewege, die Lieferanten offenstehen
• Was eine brauchbare Lieferantenmeldung enthält
• So bearbeiten Sie einen Lieferantenhinweis Schritt für Schritt
• Anonymität und Vertraulichkeit für externe Hinweisgeber
• Grenzüberschreitende Meldestelle im Konzern
• Den Kanal bei Lieferanten bekannt machen
• Unsere Sicht: Lieferanten melden nur, wenn sie dem Kanal trauen
• Lieferantenhinweise mit Ashio annehmen
• Häufige Fragen
• Quellen

Lieferanten als Hinweisgeber: Wer geschützt ist

Viele Unternehmen denken bei Whistleblowing zuerst an die eigene Belegschaft. Das Gesetz zieht den Kreis weiter. Nach § 1 HinSchG sind natürliche Personen geschützt, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die vorgesehenen Meldestellen melden oder offenlegen. Geschützt sind außerdem Personen, die Gegenstand einer Meldung sind, und sonstige Betroffene.

Für die Lieferkette heißt das: Die Vertriebsleiterin eines Zulieferers, der Fahrer eines Logistikpartners oder die Qualitätsprüferin eines Lohnfertigers erfahren bei ihrer Arbeit für Sie Dinge, die Ihre eigenen Leute nie sehen. Etwa Schmiergeldforderungen eines Einkäufers, manipulierte Prüfprotokolle, falsch deklarierte Ware oder Arbeitsbedingungen beim Unterlieferanten. Sie haben diese Informationen beruflich erlangt, und genau das öffnet den Schutzbereich.

Was eine Meldung ist, regelt § 3 HinSchG: die Mitteilung von Informationen über Verstöße an eine interne oder externe Meldestelle. Unter „Informationen über Verstöße“ fallen begründete Verdachtsmomente oder Wissen über tatsächliche oder mögliche Verstöße, die bereits begangen wurden oder sehr wahrscheinlich erfolgen werden, und auch Versuche, solche Verstöße zu verschleiern. Ein Lieferant muss also nicht beweisen können, was er beobachtet. Ein begründeter Verdacht genügt.

Zum Schutz gehört das Verbot von Repressalien. Das Hinweisgeberschutzgesetz untersagt Benachteiligungen gegen hinweisgebende Personen, und bei Lieferanten sind das sehr konkrete Risiken: gekündigte Rahmenverträge, ausbleibende Folgeaufträge, plötzlich verschärfte Audits. Wer einen Hinweis von außen erhält, muss den Einkauf deshalb genauso sauber vom Fall trennen wie die Personalabteilung bei internen Meldungen.

HinSchG und LkSG: zwei Pflichten, ein Eingang

Für Hinweise aus der Lieferkette greifen zwei Gesetze nebeneinander. Sie verfolgen unterschiedliche Zwecke, lassen sich in der Praxis aber über einen gemeinsamen Eingang bedienen.

Nach § 8 LkSG muss ein verpflichtetes Unternehmen ein angemessenes unternehmensinternes Beschwerdeverfahren einrichten. Es muss Personen den Zugang ermöglichen, auf menschenrechtliche und umweltbezogene Risiken sowie Pflichtverletzungen hinzuweisen, die durch das wirtschaftliche Handeln im eigenen Geschäftsbereich oder eines unmittelbaren Zulieferers entstanden sind. Das Unternehmen legt eine Verfahrensordnung in Textform fest und macht sie öffentlich zugänglich. Die Verantwortlichen müssen unparteiisch handeln, insbesondere unabhängig und an Weisungen nicht gebunden, und zur Verschwiegenheit verpflichtet sein. Klare Informationen zu Erreichbarkeit, Zuständigkeit und Ablauf gehören ebenfalls öffentlich zugänglich auf die Website.

Wer beide Pflichten erfüllen muss, fährt mit einem Kanal gut, der beide Meldearten aufnimmt und sie intern sauber kategorisiert. Der Lieferant muss dann nicht entscheiden, welches Gesetz für seinen Hinweis gilt. Er meldet, und Ihr Team ordnet zu.

Die Meldewege, die Lieferanten offenstehen

Ein Lieferant mit einem Hinweis hat grundsätzlich drei Wege.

Die interne Meldestelle Ihres Unternehmens. Sie ist der schnellste Weg zur Aufklärung, wenn sie für Externe erreichbar ist. Sie muss nach dem HinSchG Meldungen mündlich und in Textform ermöglichen, auf Wunsch auch ein persönliches Gespräch. Wie Sie diese Stelle aufbauen und welche Funktionen sie braucht, zeigen wir auf unserer Seite zur internen Meldestelle.

Die externe Meldestelle des Bundes. Der Bund hat beim Bundesamt für Justiz eine externe Meldestelle eingerichtet. Sie ist nach § 19 HinSchG organisatorisch vom übrigen Bundesamt getrennt und arbeitet unabhängig. Externe Meldestellen müssen Meldungen ebenfalls mündlich, etwa per Telefon, und in Textform annehmen und auf Ersuchen ein persönliches Treffen ermöglichen. Hinweisgebende Personen dürfen frei zwischen internem und externem Weg wählen.

Die Offenlegung. Das Zugänglichmachen gegenüber der Öffentlichkeit, etwa über die Presse, ist nach dem Gesetz nur unter engen Voraussetzungen geschützt. Für Unternehmen ist das der Fall, den ein gut erreichbarer interner Kanal am ehesten verhindert.

Daraus folgt eine einfache Rechnung: Je leichter ein Lieferant Sie erreicht und je mehr er Ihrem Kanal vertraut, desto eher landet der Hinweis bei Ihnen und nicht bei einer Behörde oder in den Medien.

Was eine brauchbare Lieferantenmeldung enthält

Externe Hinweisgeber kennen Ihre Organisation nicht von innen. Ein gut gebautes Meldeformular fragt deshalb gezielt nach dem, was Ihr Team später braucht. Bewährt haben sich diese Angaben:

• Was ist passiert? Eine sachliche Beschreibung des Vorgangs, ohne Wertung.
• Wer ist beteiligt? Abteilung, Funktion oder Standort auf Ihrer Seite, gegebenenfalls der betroffene Unterlieferant.
• Wann und wo? Zeitraum, Werk, Auftrag oder Bestellnummer, soweit bekannt.
• Woher stammt das Wissen? Eigene Beobachtung, Dokument, Gespräch.
• Welche Belege gibt es? Lieferscheine, E-Mails, Fotos, Prüfberichte als Anhang.
• Läuft der Vorgang noch? Wichtig für die Frage, wie dringend Sie handeln müssen.
• Wie bleiben wir in Kontakt? Bei anonymen Meldungen über einen Zugangscode statt über Name oder E-Mail.

Wichtig ist, was das Formular nicht verlangt: keinen Klarnamen als Pflichtfeld, keine Firmenzugehörigkeit als Pflichtangabe. Ein Lieferant, der um seinen Auftrag fürchtet, bricht sonst an dieser Stelle ab. Manche Hinweisgeber sprechen lieber, als zu schreiben, besonders wenn Deutsch nicht ihre Erstsprache ist. Dafür eignet sich eine Spracherfassung für Hinweise, die gleichzeitig die gesetzlich geforderte mündliche Meldemöglichkeit abdeckt.

So bearbeiten Sie einen Lieferantenhinweis Schritt für Schritt

Ab Eingang laufen gesetzliche Fristen. § 17 HinSchG gibt den Ablauf vor:

1. Eingang bestätigen. Spätestens nach sieben Tagen bestätigt die interne Meldestelle der hinweisgebenden Person den Eingang.
2. Anwendungsbereich prüfen. Fällt der Hinweis unter das HinSchG, unter das LkSG oder unter beide? Betrifft er Ihr Unternehmen oder eine Konzerngesellschaft?
3. Stichhaltigkeit prüfen. Die Meldestelle prüft den Fall inhaltlich und ersucht bei Bedarf um weitere Informationen. Bei anonymen Meldungen läuft das über den gesicherten Rückkanal.
4. Kontakt halten. Die hinweisgebende Person bleibt während der Prüfung ansprechbar. Gerade Lieferanten wollen wissen, dass etwas passiert.
5. Folgemaßnahmen ergreifen. Interne Untersuchung, Abgabe an die zuständige Stelle, Gespräche mit dem Lieferanten oder Abschluss mangels Substanz.
6. Rückmeldung geben. Innerhalb von drei Monaten nach der Bestätigung, oder spätestens drei Monate und sieben Tage nach Eingang, wenn keine Bestätigung erfolgt ist, teilt die Meldestelle geplante und ergriffene Folgemaßnahmen samt Gründen mit, soweit Ermittlungen und Rechte Betroffener nicht beeinträchtigt werden.
7. Dokumentieren. Jeder Schritt wird nachvollziehbar festgehalten, damit Sie gegenüber Prüfern, Behörden oder Gerichten belegen können, wie Sie gehandelt haben.

Ein Punkt verdient bei Lieferantenmeldungen besondere Aufmerksamkeit: die Trennung vom Einkauf. Wenn der Hinweis einen Ihrer Einkäufer betrifft, darf dieser weder vom Inhalt erfahren noch über die Lieferbeziehung des Hinweisgebers entscheiden, solange der Fall läuft. Halten Sie in Ihrer Verfahrensordnung fest, wer in solchen Fällen Vertragsentscheidungen trifft.

Wer die Meldestelle besetzt, ob eine beauftragte Person, ein Team oder ein Dritter wie eine Kanzlei, lässt § 14 HinSchG offen. Auch wenn Sie einen Dritten betrauen, bleibt die Pflicht, einen Verstoß abzustellen, bei Ihnen. Die Optionen vergleichen wir ausführlich in unserem Beitrag Wer kann interne Meldestelle sein.

Anonymität und Vertraulichkeit für externe Hinweisgeber

Müssen Sie anonyme Meldungen ermöglichen? Nach der FAQ des Landesbeauftragten für Datenschutz Baden-Württemberg sollte eine interne Meldestelle anonym eingehende Meldungen bearbeiten, muss die Kanäle aber nicht so gestalten, dass anonyme Meldungen möglich sind. Verbindlich ist dagegen: Die Identität der hinweisgebenden Person ist vertraulich zu behandeln.

Für Lieferanten macht dieser Unterschied viel aus. Ein eigener Mitarbeiter kennt vielleicht die Compliance-Beauftragte persönlich und vertraut ihr. Ein Zulieferer kennt niemanden außer seinem Ansprechpartner im Einkauf, und der ist womöglich Teil des Problems. Vertraulichkeit allein heißt für ihn: Jemand bei Ihnen kennt meinen Namen. Anonymität heißt: Niemand kennt ihn.

Echte Anonymität ist eine technische Frage. Ein Formular ohne Namensfeld nützt wenig, wenn im Hintergrund IP-Adressen protokolliert oder Cookies gesetzt werden. Worauf es dabei ankommt, erklären wir auf unserer Seite zur wirklich anonymen Meldesoftware.

Grenzüberschreitende Meldestelle im Konzern

Sobald Lieferanten an mehrere Gesellschaften eines Konzerns liefern, oft in mehreren Ländern, stellt sich die Frage nach einer zentralen Meldestelle. Sie ist praktisch: ein Eingang, ein Team, einheitliche Standards. Rechtlich gelten aber Grenzen.

Die IHK Köln beschreibt für Konzernstrukturen, dass Unternehmen interne Meldekanäle selbst einrichten oder durch Dritte bereitstellen lassen müssen und dass innerhalb eines Konzerns Ressourcen geteilt werden können, etwa durch die gemeinsame Beauftragung eines Dienstleisters. Verantwortlich für Behebung und Verfolgung eines Verstoßes bleibt aber das jeweilige selbständige Unternehmen.

Für mittelgroße Unternehmen sieht § 14 Abs. 2 HinSchG ausdrücklich eine gemeinsame Stelle vor: Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können für die Entgegennahme von Meldungen und weitere Maßnahmen eine gemeinsame Stelle einrichten. Die Pflicht, den Verstoß abzustellen, und die Pflicht zur Rückmeldung bleiben beim einzelnen Beschäftigungsgeber.

In der Praxis bewährt sich für Konzerne mit Lieferanten in mehreren Ländern dieses Modell:

• Eine gemeinsame Plattform, getrennte Zuständigkeiten. Der technische Kanal wird zentral betrieben, jede Gesellschaft hat aber eigene, benannte Verantwortliche für ihre Fälle.
• Klare Zuordnung beim Eingang. Das Formular fragt, welche Gesellschaft oder welcher Standort betroffen ist, damit der Fall sofort beim richtigen Team landet.
• Fristen pro Gesellschaft. Sieben Tage und drei Monate laufen für jeden Fall, unabhängig davon, wer ihn zentral sichtet.
• Landesrecht beachten. Die EU-Richtlinie 2019/1937 wurde in jedem Mitgliedstaat eigens umgesetzt. Ausländische Tochtergesellschaften prüfen die Vorgaben ihres Landes.
• Die Konzernzentrale unterstützt, ersetzt aber nicht. Sie kann bei großen Fällen Ermittlungsressourcen stellen, die Entscheidung über Abhilfe trifft die betroffene Gesellschaft.

So erhalten Lieferanten einen einzigen, leicht auffindbaren Einstieg, und jede Gesellschaft erfüllt ihre eigenen Pflichten nachweisbar.

Den Kanal bei Lieferanten bekannt machen

Ein Meldekanal, von dem Lieferanten nichts wissen, erfüllt seinen Zweck nicht. Das LkSG verlangt ohnehin, dass Informationen zur Erreichbarkeit und zum Ablauf öffentlich zugänglich sind. Bewährte Stellen dafür:

• ein gut sichtbarer Link im Footer Ihrer Website und auf der Lieferantenseite,
• ein Hinweis im Verhaltenskodex für Lieferanten und in Rahmenverträgen,
• ein QR-Code auf Bestellungen, im Lieferantenportal oder an der Warenannahme,
• ein kurzer Absatz im Onboarding neuer Lieferanten,
• die Verfahrensordnung als verständliches Dokument zum Herunterladen.

Formulieren Sie dabei konkret: was gemeldet werden kann, dass Meldungen auch anonym möglich sind, welche Fristen gelten und dass Hinweisgeber vor Nachteilen in der Geschäftsbeziehung geschützt sind. Für die Hinweisgeber selbst haben wir eine eigene Seite, auf die Sie verlinken können: sicher und anonym melden.

Unsere Sicht: Lieferanten melden nur, wenn sie dem Kanal trauen

Wir erleben immer wieder, dass Unternehmen ihren Meldekanal für die eigene Belegschaft gebaut haben und Lieferanten erst nachträglich mitdenken. Dabei sind externe Hinweisgeber diejenigen, die am meisten zu verlieren haben: einen Auftrag, oft eine ganze Geschäftsbeziehung. Sie melden nur, wenn sie sicher sind, dass niemand bei Ihnen herausfinden kann, wer sie sind.

Deshalb setzen wir bei Ashio auf echte Anonymität: keine Identitätsdaten, kein IP-Tracking, keine Cookies, End-to-End-Verschlüsselung. Der Lieferant meldet, erhält einen Zugang und verfolgt den Status seiner Meldung in Echtzeit, ohne sich jemals zu erkennen zu geben. Ihr Team kann über denselben Weg Rückfragen stellen.

Auf Ihrer Seite geht es um Nachweisbarkeit. Unsere Plattform überwacht die Fristen automatisch, führt einen unveränderlichen, exportierbaren Audit-Trail und dokumentiert jeden Schritt revisionssicher. Die Daten liegen DSGVO-konform in der Schweiz, in einem nach ISO 27001 zertifizierten Hosting. Weil die Plattform unabhängig vom Arbeitgeber betrieben wird, muss ein Lieferant nicht Ihrer IT vertrauen, sondern einer Struktur, die Identitäten gar nicht erst erfasst.

Author

Lieferantenhinweise mit Ashio annehmen

Mit Ashio richten Sie einen Meldekanal ein, den Sie Lieferanten, Dienstleistern und Ihrer Belegschaft gleichermaßen öffnen können. Das Meldeformular gestalten Sie individuell, die Fallbearbeitung läuft strukturiert im Team, und alle Funktionen für die gesetzliche Compliance sind im Preis enthalten. Die standardisierten Workflows lassen sich ohne IT-Aufwand einführen. Der Tarif Basic kostet 29 € pro Monat, und Sie starten mit einer kostenfreien Testphase. Ashio jetzt testen oder mehr darüber lesen, wie wir das Hinweisgeberschutzgesetz in Deutschland abdecken.

Häufige Fragen

Darf ein Lieferant sich direkt an eine Behörde wenden?

Ja. Hinweisgebende Personen können zwischen der internen Meldestelle Ihres Unternehmens und der externen Meldestelle des Bundes beim Bundesamt für Justiz wählen. Eine Pflicht, zuerst intern zu melden, besteht nicht. Umso wichtiger ist ein interner Kanal, dem Lieferanten vertrauen.

Muss unser Kanal für Lieferanten anonym sein?

Gesetzlich vorgeschrieben ist ein anonymer Kanal nicht, anonyme Meldungen sollen aber bearbeitet werden. Die Identität der hinweisgebenden Person ist in jedem Fall vertraulich zu behandeln. Für externe Hinweisgeber senkt ein technisch anonymer Kanal die Hemmschwelle erheblich.

Reicht ein Kanal für HinSchG und LkSG?

In der Praxis ja, wenn er die Anforderungen beider Gesetze erfüllt: mündliche und schriftliche Meldung, Fristen nach § 17 HinSchG, eine öffentlich zugängliche Verfahrensordnung, unparteiische und weisungsfreie Bearbeitung nach § 8 LkSG. Intern ordnen Sie jede Meldung dem passenden Verfahren zu.

Kann die Konzernmutter die Meldestelle für alle Töchter betreiben?

Innerhalb eines Konzerns lassen sich Ressourcen teilen, etwa eine gemeinsame Plattform oder ein gemeinsamer Dienstleister. Die Verantwortung für Aufklärung, Abhilfe und Rückmeldung bleibt aber bei der jeweiligen Gesellschaft. Legen Sie deshalb pro Gesellschaft feste Zuständigkeiten an.

Welche Fristen gelten nach einer Lieferantenmeldung?

Die Eingangsbestätigung muss spätestens nach sieben Tagen erfolgen. Innerhalb von drei Monaten nach der Bestätigung erhält die hinweisgebende Person eine Rückmeldung zu geplanten und ergriffenen Folgemaßnahmen. Die Fristen gelten für externe Hinweisgeber genauso wie für eigene Beschäftigte.

Quellen

Hinweisgeberschutzgesetz (HinSchG), Gesamttext § 1 HinSchG: Zielsetzung und persönlicher Anwendungsbereich § 3 HinSchG: Begriffsbestimmungen § 14 HinSchG: Organisationsformen interner Meldestellen § 17 HinSchG: Verfahren bei internen Meldungen § 8 LkSG: Beschwerdeverfahren FAQ Hinweisgeberschutzgesetz, Landesbeauftragter für Datenschutz Baden-Württemberg IHK Köln: Whistleblowing und Hinweisgeberschutz

Empfehlungen

• Hinweisgeber-Software für Energie & Versorger
• Fristen und Berichtskalender für EU-Compliance
• Lieferkettensorgfaltspflichtengesetz (LkSG) — Whistleblowing-System für Lieferketten