Mandantenfähiges Hinweisgebersystem: Trennung, Pflichten, Auswahl

Ein mandantenfähiges Hinweisgebersystem bündelt die Meldekanäle mehrerer Gesellschaften, Standorte oder Einrichtungen auf einer gemeinsamen Plattform. Dabei bleibt jede Meldung technisch dem Mandanten zugeordnet, zu dem sie gehört, und nur dessen Berechtigte sehen sie. Für Unternehmensgruppen, Verbünde und öffentliche Träger ist das der Weg, die Pflichten aus dem Hinweisgeberschutzgesetz (HinSchG) für alle Einheiten zu erfüllen, ohne dass ein Hinweis in der falschen Tochter landet. Entscheidend ist also nicht, ob es eine Meldestelle gibt. Entscheidend ist, dass Vertraulichkeit, Zugriffsrechte und Fristen pro Mandant zuverlässig funktionieren. Genau dafür ist eine spezialisierte, cloudbasierte Lösung wie Ashio gebaut: anonymer Kanal ohne IP-Tracking, Audit-Trail, Fristenüberwachung und Hosting in der Schweiz.

Kurz gesagt

• Mandantenfähig heißt: Meldungen mehrerer Einheiten liegen auf einer Infrastruktur, sind aber technisch voneinander getrennt. Eine reine Organisationsanweisung reicht nicht.
• Das HinSchG verlangt, dass nur die zuständigen und unterstützenden Personen Zugriff auf eingehende Meldungen haben. In einer Gruppe heißt das: pro Gesellschaft ein eigener, eng gefasster Kreis.
• Die Verantwortung bleibt bei jeder einzelnen verpflichteten Gesellschaft, auch wenn eine zentrale Stelle die Meldungen bearbeitet.
• Prüfen Sie vor der Auswahl vor allem: getrennte Berechtigungen, Protokollierung pro Mandant, Fristenüberwachung, Anonymität und Datenhaltung.

Inhaltsverzeichnis

• Was Mandantenfähigkeit bei einer Meldestelle bedeutet
• Für wen sich ein mandantenfähiges System lohnt
• Was das HinSchG verlangt und wo die Trennung ansetzt
• So setzen Sie die Mandantentrennung um
• Typische Fehler bei der Mandantentrennung
• Checkliste: Daran erkennen Sie ein sicheres System
• Unsere Sicht auf mandantenfähige Meldestellen
• Ashio für Ihre Gruppe
• Häufige Fragen
• Quellen

Was Mandantenfähigkeit bei einer Meldestelle bedeutet

Der Begriff stammt aus der IT und dem Datenschutz. Der Landesbeauftragte für den Datenschutz Baden-Württemberg beschreibt Mandantenfähigkeit als logische Trennung von Daten verschiedener Abteilungen einer Organisation oder verschiedener Kunden eines IT-Dienstes innerhalb einer gemeinsamen Infrastruktur. Als mandantenfähig gilt ein Verfahren danach erst, wenn es eine echte Mandantentrennung umsetzt: getrennte Speicherung und Verarbeitung, technisch erzwungen, und über Zugriffsrechte und Konfiguration für jeden Mandanten eigenständig durchsetzbar.

Übertragen auf ein Hinweisgebersystem ist ein Mandant typischerweise:

• eine Tochtergesellschaft in einer Unternehmensgruppe,
• ein Standort oder eine Landesgesellschaft mit eigener Rechtspersönlichkeit,
• eine Gemeinde, ein Eigenbetrieb oder eine Anstalt in einem kommunalen Verbund,
• eine Einrichtung eines Trägers, etwa ein Krankenhaus, eine Schule oder ein Pflegeheim.

Jeder dieser Mandanten hat seinen eigenen Meldekanal, oft mit eigenem Formular und eigenem Erscheinungsbild, und seinen eigenen Kreis von Fallbearbeitern. Die Plattform darunter ist gemeinsam. Das spart Aufwand bei Einrichtung, Pflege und Schulung, ohne dass die Meldungen vermischt werden.

Technische und organisatorische Trennung

Die Datenschutzaufsicht stellt klare technische Anforderungen: Jede Transaktion eines Mandanten muss einen gültigen Datenbestand in einen neuen gültigen Datenbestand überführen, ohne von Daten anderer Mandanten abzuhängen oder auf sie zuzugreifen. Jede Instanz personenbezogener Daten ist genau einem Mandanten zugeordnet, und jeder Zugriff muss diese Zuordnung prüfen. Diese Abgeschlossenheit ist ganzheitlich zu prüfen, für Verarbeitung, Speicherung und Übertragung gleichermaßen.

Die organisatorische Seite kommt hinzu: Wer darf welche Fälle sehen, wer vertritt im Urlaub, wer darf exportieren? Diese Fragen beantworten Sie in Ihrem Berechtigungskonzept. Die Software muss es dann technisch durchsetzen.

Für wen sich ein mandantenfähiges System lohnt

Die Pflicht zur internen Meldestelle trifft nach § 12 HinSchG Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, bestimmte Branchen wie Finanzdienstleister unabhängig von der Größe. In einer Unternehmensgruppe kann deshalb jede einzelne Gesellschaft verpflichtet sein. Genau hier wird Mandantenfähigkeit praktisch.

Konzerne und Unternehmensgruppen

§ 14 HinSchG erlaubt, einen Dritten mit den Aufgaben der internen Meldestelle zu betrauen. Nach der Gesetzesbegründung kann das auch eine andere Gesellschaft der Gruppe sein, etwa die Konzernmutter. Eine Auswertung zum Datenschutz in Konzernkonstellationen zeigt die Folge: Die verpflichtete Gesellschaft muss Verstöße weiterhin selbst abstellen und mit der zentralen Stelle zusammenarbeiten. Die Herausforderung verschiebt sich damit von der Frage, ob eine Meldestelle existiert, zur sauberen Datentrennung und Verantwortungsabgrenzung. Ohne mandantenfähiges System mit konsequentem Need-to-know-Prinzip sind Zugriffsüberschreitungen kaum zu vermeiden.

Mittelständische Verbünde

Beschäftigungsgeber mit 50 bis 249 Beschäftigten dürfen nach § 14 Abs. 2 HinSchG eine gemeinsame Stelle für die Entgegennahme von Meldungen und weitere Verfahrensschritte einrichten. Auch dann bleibt jedes Unternehmen für die Folgemaßnahmen zuständig. Eine Plattform mit getrennten Mandanten bildet genau das ab: gemeinsame Infrastruktur, getrennte Fälle. Mehr zur Pflicht und zu den Kosten für kleinere Unternehmen lesen Sie in unserem Beitrag zum Hinweisgebersystem für KMU.

Öffentliche Stellen

Kommunen, Zweckverbände und Landesbehörden mit vielen Dienststellen stehen vor derselben Aufgabe. Hinweise aus einem Eigenbetrieb gehören nicht in die Ansicht der Kernverwaltung, und umgekehrt. Welche Besonderheiten für Behörden gelten, haben wir auf unserer Seite zur Hinweisgeber-Software für den öffentlichen Sektor zusammengefasst.

Was das HinSchG verlangt und wo die Trennung ansetzt

Das Gesetz spricht das Wort „mandantenfähig“ nicht aus. Mehrere seiner Pflichten lassen sich in einer Gruppe aber nur mit sauberer Mandantentrennung erfüllen.

Die Zugriffsregel steht ausdrücklich in § 16 HinSchG: Nur die für Entgegennahme und Bearbeitung zuständigen sowie die unterstützenden Personen dürfen Zugriff auf eingehende Meldungen haben. Die FAQ des Landesdatenschutzbeauftragten zum HinSchG ergänzt, dass die betrauten Personen unabhängig und fachkundig sein müssen und dass Vertraulichkeit der Normalfall ist. Ausnahmen brauchen eine gesetzliche Grundlage.

Die Fristen aus § 17 HinSchG laufen für jede Meldung einzeln: Eingangsbestätigung spätestens nach sieben Tagen, Rückmeldung innerhalb von drei Monaten nach der Bestätigung. Bei zehn Gesellschaften mit eigenen Bearbeitern ist eine Excel-Liste dafür kein verlässliches Werkzeug. Wer zudem gar keine interne Meldestelle einrichtet oder betreibt, riskiert nach § 40 HinSchG ein Bußgeld von bis zu 20.000 €.

Datenschutz kommt hinzu

Neben dem HinSchG gilt die DSGVO. Art. 25 Abs. 2 DSGVO verlangt, dass durch Voreinstellung nur die für den Zweck erforderlichen Daten verarbeitet werden und personenbezogene Daten nicht ohne Zutun der Person einer unbestimmten Zahl von Menschen zugänglich werden. Die GDD-Praxishilfe zum HinSchG nennt für Hinweisgebersysteme konkret: Datenminimierung, Zugang zu Meldungen nur für eine kleine notwendige Gruppe, Verschlüsselung oder Pseudonymisierung und datenschutzfreundliche Voreinstellungen, etwa die anonyme Meldung als Option für den Hinweisgeber.

So setzen Sie die Mandantentrennung um

Die folgenden Schritte führen von der Gesellschaftsstruktur zum laufenden Betrieb. An jeder Stelle zeigt sich, wo eine spezialisierte Plattform die Arbeit erleichtert.

1. Verpflichtete Einheiten erfassen. Listen Sie alle Gesellschaften und Einrichtungen mit ihrer Beschäftigtenzahl auf und prüfen Sie, welche nach § 12 HinSchG eine eigene Meldestelle brauchen. Häufiger Fehler: Gesellschaften mit knapp unter 50 Beschäftigten werden vergessen, obwohl sie wachsen oder einer Branche mit Sonderregel angehören.

2. Modell festlegen. Entscheiden Sie, ob jede Gesellschaft selbst bearbeitet, ob eine zentrale Stelle als Dritter tätig wird oder ob Sie beides mischen. Halten Sie in einer Vereinbarung fest, wer Folgemaßnahmen ergreift. Wer hier unklar bleibt, hat später zwei Stellen, die sich für einen Fall nicht zuständig fühlen. Welche Personen und Funktionen als Meldestelle in Frage kommen, erklären wir im Beitrag Wer kann interne Meldestelle sein.

3. Berechtigungskonzept schreiben. Legen Sie pro Mandant fest, wer Meldungen empfängt, wer unterstützt und wer vertritt. Globale Administratorrechte mit Lesezugriff auf alle Fälle widersprechen dem Grundgedanken von § 16 HinSchG. In Ashio arbeiten Sie mit strukturierter Fallbearbeitung und Team-Kollaboration, sodass nur die eingebundenen Personen am Fall mitwirken.

4. Meldekanäle einrichten. Jeder Mandant braucht einen Kanal, den seine Beschäftigten finden und verstehen. Mit dem individuell gestaltbaren Meldeformular von Ashio passen Sie Felder und Texte an. Der Kanal ist vollständig anonym nutzbar, ohne IP-Tracking, und Hinweisgeber verfolgen den Status ihrer Meldung selbst. Wie das aus Sicht der meldenden Person aussieht, zeigt unsere Seite zu sicheren anonymen Meldungen.

5. Fristen und Dokumentation absichern. Jeder Fall braucht Eingangsbestätigung, Prüfung, Folgemaßnahmen und Rückmeldung, belegbar für spätere Prüfungen. Ashio überwacht die Fristen automatisch und führt einen vollständigen, exportierbaren und unveränderlichen Audit-Trail. So sehen Sie bei jedem Fall, wer wann was getan hat.

6. Datenschutz dokumentieren. Ergänzen Sie Ihr Verzeichnis der Verarbeitungstätigkeiten, prüfen Sie die Notwendigkeit einer Datenschutz-Folgenabschätzung mit Ihrem Datenschutzbeauftragten und schließen Sie einen Auftragsverarbeitungsvertrag. Ashio speichert die Daten DSGVO-konform in der Schweiz, das Hosting ist nach ISO 27001 zertifiziert. Details finden Sie auf unserer Seite zu Sicherheit und DSGVO-Konformität.

7. Beschäftigte informieren und Bearbeiter schulen. Ein Kanal, den niemand kennt, erfüllt seinen Zweck nicht. Informieren Sie jede Gesellschaft über ihren Zugang und stellen Sie sicher, dass die Bearbeiter das Vertraulichkeitsgebot kennen. Für größere Organisationen bieten wir optional eine individuelle Einrichtung oder ein Onboarding an.

Typische Fehler bei der Mandantentrennung

Die Datenschutzaufsicht formuliert es deutlich: Fehlt die technische Abgeschlossenheit, sind mandantenübergreifende Zugriffe möglich, und eine nur organisatorische Sperre genügt nicht. In der Praxis zeigen sich vor allem diese Muster:

• Ein gemeinsames Postfach für alle Gesellschaften. Jeder mit Zugang sieht jede Meldung. Das widerspricht § 16 HinSchG unmittelbar.
• Konzern-Compliance mit Vollzugriff. Die zentrale Abteilung liest alle Fälle mit, obwohl sie für einen Teil gar nicht zuständig ist.
• Exporte ohne Protokoll. Fallberichte werden per E-Mail verschickt, ohne dass nachvollziehbar ist, wer sie erhalten hat.
• Technisch anonym, prozessual lückenhaft. Der BvD weist darauf hin, dass die Meldestelle alle Informationen dokumentieren, vertraulich halten und die Meldungen nach den Vorgaben des Gesetzes bearbeiten muss. Ein anonymer Kanal allein erfüllt das HinSchG noch nicht. Es braucht den ganzen Prozess.
• Verantwortung verschwimmt. Die zentrale Stelle bearbeitet, die Tochter handelt nicht, weil sie den Fall nie gesehen hat. Klären Sie Übergaben schriftlich.

Vermeiden lassen sich diese Fehler mit drei Dingen: einer Software, die Zuordnung und Berechtigungen technisch erzwingt, einem schriftlichen Berechtigungskonzept und einer lückenlosen Protokollierung jeder Aktion.

Checkliste: Daran erkennen Sie ein sicheres System

Nutzen Sie diese Fragen bei der Auswahl, ob Sie eine Gruppe mit drei oder mit dreißig Gesellschaften betreuen:

• Zuordnung: Ist jede Meldung eindeutig einer Einheit zugeordnet und nur für deren Berechtigte sichtbar?
• Berechtigungen: Lassen sich Rollen pro Einheit und pro Fall vergeben, ohne globalen Lesezugriff?
• Protokollierung: Werden Nutzung und Verwaltung nachvollziehbar protokolliert, idealerweise unveränderlich und exportierbar?
• Anonymität: Können Hinweisgeber ohne Identitätsdaten melden, ohne IP-Tracking, und trotzdem mit der Meldestelle kommunizieren?
• Fristen: Überwacht das System die sieben Tage und drei Monate aus § 17 HinSchG automatisch?
• Verschlüsselung und Hosting: Wo liegen die Daten, wie sind sie verschlüsselt, welche Zertifizierung hat das Rechenzentrum?
• Einrichtung: Kommen Sie ohne eigenes IT-Projekt zum laufenden Kanal?

Die Datenschutzaufsicht nennt als Mindestanforderungen technisch abgeschlossene Transaktionen, eindeutige Zuordnung jeder Dateninstanz, mandantenspezifische Benutzerkennungen, ein getrenntes Berechtigungssystem sowie eine mandantenspezifische Protokollierung. Wer diese Punkte abfragt, trennt belastbare Lösungen schnell von improvisierten.

Unsere Sicht auf mandantenfähige Meldestellen

Wenn Unternehmensgruppen über Hinweisgebersysteme sprechen, geht es oft zuerst um die Frage, wer die Meldestelle besetzt. Aus unserer Sicht ist das der zweite Schritt. Der erste ist die Infrastruktur: Ein Hinweis darf nur die Menschen erreichen, die für ihn zuständig sind. Alles andere zerstört das Vertrauen, das ein Hinweisgebersystem erst wirksam macht.

Deshalb haben wir Ashio so gebaut, dass Anonymität nicht von gutem Willen abhängt. Wir verzichten auf jegliche Identitätsdaten, setzen auf vollständige End-to-End-Verschlüsselung und auf keinerlei Tracking. Die Plattform ist unabhängig vom Arbeitgeber und vollständig in der Schweiz gehostet, nach ISO 27001.

Ebenso wichtig ist uns, dass Compliance nicht an Zusatzmodulen scheitert. Fristen, strukturierte Fallbearbeitung und ein exportierbarer, unveränderlicher Audit-Trail sind bei uns im Preis enthalten. Mit standardisierten Workflows kommen Sie ohne IT-Aufwand zu einem Kanal, der den Anforderungen der EU-Richtlinie 2019/1937 entspricht. Für eine Gruppe mit vielen Einheiten heißt das: weniger Abstimmung, mehr Nachweisbarkeit.

Author

Ashio für Ihre Gruppe

Mit dem Tarif Basic für 29 € pro Monat erhalten Sie einen vollständig anonymen Meldekanal, Statusverfolgung für Hinweisgeber, automatische Fristenüberwachung, Audit-Trail und DSGVO-konforme Speicherung in der Schweiz. Sie starten mit einer kostenfreien Testphase und zahlen danach monatlich oder jährlich. Größere Organisationen begleiten wir auf Wunsch mit individueller Einrichtung und Onboarding. Ashio jetzt kostenlos testen und den ersten Kanal einrichten. Wie Compliance-Teams mit der Plattform arbeiten, zeigt unsere Seite für Compliance-Beauftragte.

Häufige Fragen

Muss jede Tochtergesellschaft eine eigene Meldestelle haben?

Jede Gesellschaft mit in der Regel mindestens 50 Beschäftigten ist selbst verpflichtet. Sie kann aber nach § 14 HinSchG einen Dritten mit den Aufgaben betrauen, nach der Gesetzesbegründung auch eine andere Konzerngesellschaft. Die Pflicht, Verstöße abzustellen, bleibt in jedem Fall bei der einzelnen Gesellschaft.

Reicht eine zentrale Konzern-Meldestelle ohne technische Trennung?

Nein. § 16 HinSchG beschränkt den Zugriff auf die zuständigen und unterstützenden Personen. Nach Auffassung der Datenschutzaufsicht genügt eine rein organisatorische Sperre nicht, die Trennung muss technisch durchgesetzt sein.

Können Hinweisgeber in einem mandantenfähigen System anonym bleiben?

Ja, sofern das System die anonyme Meldung technisch ermöglicht. Bei Ashio melden Beschäftigte ohne Identitätsdaten und ohne IP-Tracking und verfolgen den Status ihrer Meldung trotzdem in Echtzeit. So bleibt auch eine Rückfrage der Meldestelle möglich.

Welche Fristen gelten pro Meldung?

Die interne Meldestelle bestätigt den Eingang spätestens nach sieben Tagen und gibt innerhalb von drei Monaten nach der Bestätigung eine Rückmeldung zu den Folgemaßnahmen. Die Fristen laufen für jeden Fall einzeln, deshalb lohnt sich eine automatische Überwachung wie in Ashio.

Dürfen kleinere Unternehmen eine Meldestelle teilen?

Beschäftigungsgeber mit 50 bis 249 Beschäftigten dürfen nach § 14 Abs. 2 HinSchG eine gemeinsame Stelle einrichten. Jedes Unternehmen bleibt aber für die Folgemaßnahmen verantwortlich, und die Meldungen müssen getrennt bleiben.

Quellen

• Mandantenfähigkeit, Landesbeauftragter für den Datenschutz Baden-Württemberg
• FAQ Hinweisgeberschutzgesetz, Landesbeauftragter für den Datenschutz Baden-Württemberg
• Datenschutz-Grundverordnung, Berliner Beauftragte für Datenschutz
• GDD-Praxishilfe HinSchG
• Datenschutzkonforme Hinweisgebersysteme in Konzernkonstellationen, Stiftung Datenschutz
• Das Hinweisgeberschutzgesetz, BvD

Empfehlungen

• Was ist ein Hinweisgebersystem? Aufbau, Pflicht & Software
• Hinweisgeber-Software für den öffentlichen Sektor