Ashio whistleblowing software

Sep 5, 2026

So erfüllt Ihre Behörde das HinSchG: Meldestelle, Fristen, Lösung

Behördliche Meldestelle nimmt vertrauliche Meldungen entgegen

Eine Meldestelle ist die gesetzlich vorgeschriebene, vertrauliche Anlaufstelle innerhalb einer Behörde, die Hinweise auf Rechtsverstöße entgegennimmt und prüft. Öffentliche Verwaltungen sind nach dem Hinweisgeberschutzgesetz zur Einrichtung einer internen Meldestelle verpflichtet. Drei Dinge gelten dabei sofort: Vertraulichkeit der meldenden Person, eine Eingangsbestätigung binnen 7 Tagen und eine Rückmeldung an die hinweisgebende Person spätestens nach 3 Monaten.

Kurz gesagt:

  • Die Fristen für den Eingang und die Rückmeldung einer Meldung betragen in der Regel sieben beziehungsweise drei Monate, bei komplexen Fällen bis zu sechs Monate.
  • Meldungen dürfen von allen beruflich Tätigen innerhalb der Behörde gemacht werden, allerdings fallen private Streitigkeiten und Sicherheitsangelegenheiten nicht darunter.
  • Externe Hinweisstellen wie das Bundesamt für Justiz sind auch ohne vorherige Information der internen Meldestelle zugänglich, was die Zugänglichkeit der Meldekanäle erhöht.
  • Eine vertrauenswürdige technische Lösung ist essenziell, um Anonymität, Fristenüberwachung und revisionssichere Dokumentation gesetzlich zu gewährleisten.
  • Schulungen der Mitarbeitenden sowie eine offene Kommunikation sind entscheidend für die Akzeptanz und den Erfolg einer behördlichen Meldestelle.
Ashio
Hinweise sicher und anonym verwalten
Ashio unterstützt Behörden mit anonymen Meldungen, vollständigem Audit Trail und einem Dashboard zur Nachverfolgung von Hinweisen.
Ashio kennenlernen

Inhaltsverzeichnis

Was ist eine interne Meldestelle und wer darf sie nutzen?

Die interne Meldestelle nimmt Hinweise auf Rechtsverstöße entgegen, prüft die Stichhaltigkeit und leitet angemessene Folgemaßnahmen ein. Diese Aufgabenbeschreibung deckt in der Praxis mehr ab als reine Entgegennahme: Sie umfasst auch Beratung und Sensibilisierung innerhalb der Behörde.

Melden dürfen alle Personen, die im Rahmen ihrer beruflichen Tätigkeit von einem Verstoß erfahren haben:

  • Beamtinnen und Beamte
  • Arbeitnehmerinnen und Arbeitnehmer im öffentlichen Dienst
  • Praktikantinnen und Praktikanten
  • Bewerberinnen und Bewerber, die Kenntnis aus dem Bewerbungsprozess erlangt haben
  • Ehemalige Beschäftigte, sofern der Bezug zur früheren Tätigkeit besteht

Nicht jeder Fall gehört vor die Meldestelle. Rein private Streitigkeiten zwischen Kolleginnen und Kollegen fallen nicht darunter. Ebenso wenig Angelegenheiten, die den Schutz nationaler Sicherheitsinteressen betreffen. Wer diese Grenze nicht kennt, verschiebt Zuständigkeiten, die eigentlich anderswo liegen. Genau deshalb lohnt sich eine klare, schriftlich fixierte Zuständigkeitsregel für die eigene Behörde.

Interne oder externe Meldestelle: Wer entscheidet?

Hinweisgebende Personen haben ein Wahlrecht. Sie können sich an die interne Meldestelle ihrer Behörde wenden oder direkt eine externe Stelle einschalten, ganz ohne die interne Instanz vorher zu informieren.

Externe Zuständigkeiten sind je nach Sachverhalt unterschiedlich verteilt:

  • Das Bundeskartellamt nimmt Meldungen zu Kartellverstößen entgegen und bearbeitet sie nach eigenen Verfahrensregeln.
  • Die Bundesanstalt für Finanzdienstleistungsaufsicht ist zuständig, wenn es um Verstöße im Finanzsektor geht.
  • Die externe Meldestelle des Bundes beim Bundesamt für Justiz fungiert als allgemeine externe Anlaufstelle für Fälle, die keiner spezialisierten Behörde zugeordnet sind.

Für die eigene Verwaltung bedeutet das: Eine Meldung kann jederzeit extern landen, ohne dass die interne Stelle je davon erfährt. Das ist kein Grund zur Sorge, aber ein Argument dafür, die interne Meldestelle so zugänglich und vertrauenswürdig zu gestalten, dass Beschäftigte sie tatsächlich als ersten Weg wählen. Wird eine Meldung bei der falschen internen Stelle eingereicht, muss sie zügig an die richtige Zuständigkeit weitergeleitet werden, ohne die Identität der meldenden Person offenzulegen.

Wie läuft eine Meldung von der Eingangsbestätigung bis zur Rückmeldung?

Der Ablauf folgt einem festen Muster, das sich in der Praxis kaum abkürzen lässt, wenn man es rechtssicher machen will.

  1. Eingangsbestätigung: Die Meldestelle bestätigt den Eingang der Meldung binnen 7 Tagen. Externe Stellen wie das Bundeskartellamt bestätigen ebenfalls in der Regel innerhalb dieser Frist. Nur wenn die Bestätigung die Anonymität der meldenden Person gefährden würde, kann darauf verzichtet werden.
  2. Prüfung: Es wird geklärt, ob der Fall überhaupt in den Anwendungsbereich fällt, und bei Bedarf werden weitere Angaben von der meldenden Person angefordert.
  3. Folgemaßnahme: Je nach Ergebnis folgt eine interne Untersuchung, eine Weiterleitung an eine andere Stelle oder die Einstellung des Verfahrens.
  4. Rückmeldung: Die meldende Person erhält spätestens nach 3 Monaten eine Rückmeldung zum Stand oder Ergebnis. In komplexen Fällen ist eine Verlängerung auf bis zu 6 Monate möglich.

Jeder Schritt muss dokumentiert werden, revisionssicher und so, dass sich der gesamte Vorgang später nachvollziehen lässt, auch bei einem Wechsel der zuständigen Bearbeiterin oder des Bearbeiters.

Profi-Tipp: Legen Sie für jede Meldung von Anfang an ein Fristendatum im Kalender an, nicht erst nach der Prüfung. Wer die 3-Monats-Frist erst bei der Eingangsprüfung notiert, verliert im Alltag leicht ein paar Tage, die am Ende fehlen.

Welche Paragraphen des HinSchG sind für Behörden relevant?

Das Hinweisgeberschutzgesetz setzt die EU-Richtlinie 2019/1937 in nationales Recht um und verpflichtet Behörden ab einer bestimmten Beschäftigtenzahl zur Einrichtung einer internen Meldestelle. Der vollständige Wortlaut steht im HinSchG bei Gesetze im Internet, die zentralen Pflichten daraus lassen sich so zusammenfassen:

  • Einrichtung eines vertraulichen Meldekanals, der Textform, mündliche Meldung oder auf Wunsch ein persönliches Treffen ermöglicht
  • Schutz der hinweisgebenden Person vor Repressalien wie Kündigung, Versetzung oder Mobbing
  • Sanktionen für Behörden oder Personen, die gegen die Vertraulichkeitspflicht verstoßen oder Repressalien ausüben
  • Ausnahmen für Fälle, in denen nationale Sicherheitsinteressen oder Verschlusssachen betroffen sind

Externe Meldestellen bestätigen den Eingang einer Meldung üblicherweise binnen 7 Tagen und geben spätestens nach 3 Monaten Rückmeldung, in komplexen Fällen verlängert auf 6 Monate. Diese Fristen gelten sinngemäß auch für interne Meldestellen und sind der organisatorische Kern des ganzen Systems.

Wer diese Fristen nicht ernst nimmt, riskiert nicht nur Bußgelder, sondern verliert das Vertrauen der eigenen Beschäftigten in die Meldestelle als funktionierenden Kanal.

Welche Meldekanäle und Schutzmaßnahmen sind Pflicht?

Eine Meldestelle braucht mehr als ein Postfach. Sie braucht Kanäle, die Vertraulichkeit technisch garantieren, und ein Zugriffskonzept, das genau festlegt, wer welche Meldung sehen darf.

Typische Meldewege in der Praxis:

  • Sichere Online-Formulare: schnell zugänglich, aber nur dann wirklich vertraulich, wenn keine IP-Adressen oder Metadaten mitgespeichert werden.
  • Verschlüsselte E-Mail-Kommunikation: praktikabel, verlangt aber Disziplin bei der internen Weiterleitung.
  • Telefon: persönlich und niederschwellig, erfordert jedoch geschultes Personal, das Gesprächsinhalte korrekt und vertraulich dokumentiert.
  • Postweg: langsamer, aber für Personen wichtig, die digitalen Kanälen misstrauen.

Kommunale Beispiele wie die interne Meldestelle der Stadt Hamburg bieten bewusst mehrere Wege parallel an, weil nicht jede meldende Person den gleichen Kanal als sicher empfindet.

Beim Zugriff gilt ein einfaches Prinzip: Nur die Personen, die für die Bearbeitung eines konkreten Falls zuständig sind, dürfen die Meldung einsehen. Rollen und Berechtigungen sollten technisch erzwungen werden, nicht nur per Dienstanweisung. Für anonyme Meldungen empfiehlt sich ein Rückkanal, über den die Meldestelle standardisierte Nachfragen stellen kann, ohne Rückschlüsse auf die Identität der meldenden Person zuzulassen, ein Verfahren, das die Münchner Meldestelle ZIMS bereits praktiziert.

Profi-Tipp: Speichern Sie personenbezogene Daten nur so lange, wie es für die Fallbearbeitung nötig ist, und definieren Sie das Löschdatum bereits bei Fallanlage, nicht erst am Ende.

Warum Akzeptanz wichtiger ist als die perfekte Software

Die beste Meldestelle nützt wenig, wenn niemand ihr traut. In der Praxis entscheidet weniger die Technik als die Kommunikation darüber, ob Beschäftigte tatsächlich melden. Wer die Existenz der Meldestelle nur einmal im Intranet erwähnt, darf sich nicht wundern, wenn sie ungenutzt bleibt.

Warum Akzeptanz wichtiger ist als die perfekte Software — overview diagram

Schulungen für das Personal der Meldestelle sind kein Nebenaspekt, sondern der Kern der Umsetzung. Wer Fälle prüfen soll, muss die Abgrenzung des Anwendungsbereichs kennen und wissen, wann eine Meldung an die Datenschutzbeauftragte oder den Datenschutzbeauftragten weitergegeben werden muss. Die Zusammenarbeit mit der Fachabteilung entscheidet oft darüber, ob eine Untersuchung überhaupt zu einem belastbaren Ergebnis kommt.

Messbar wird der Erfolg über zwei Zahlen: die durchschnittliche Bearbeitungszeit pro Fall und die Quote fristgerechter Rückmeldungen. Beide sollten regelmäßig ausgewertet werden, nicht nur im Nachhinein bei einer Prüfung.

Eine technische Lösung für die behördliche Meldestelle

Viele Verwaltungen scheitern nicht an der Rechtslage, sondern an der Umsetzung: ein Formular, das Metadaten mitspeichert, ein Postfach ohne Fristenüberwachung, eine Excel-Tabelle als Aktenführung. Genau hier setzt eine spezialisierte Plattform wie Ashio an.

Es gibt spezialisierte Plattformen, die einen anonymen Meldekanal ohne IP-Tracking, eine automatische Fristenüberwachung für die 7-Tage- und 3-Monats-Frist sowie eine revisionssichere Dokumentation jedes Bearbeitungsschritts bieten. Ein Dashboard ermöglicht es, Fälle nach Status zu filtern, und meldende Personen können den Fortschritt ihrer Meldung verfolgen, ohne dass ihre Identität offengelegt wird. Die Datenspeicherung erfolgt DSGVO-konform.

HinSchG-Meldeverfahren mit gesetzlich vorgeschriebenen Fristen

Welche Lösung im Detail passt, muss jede Behörde selbst gegen ihre eigenen Anforderungen abwägen, etwa Größe, IT-Struktur und bestehende Compliance-Prozesse. Wer prüfen möchte, wie ein Hinweisgebersystem aufgebaut sein sollte und welche Funktionen gesetzlich erwartet werden, findet dort eine konkrete Übersicht. Für Verwaltungen, die die Anforderungen des HinSchG direkt mit einer technischen Umsetzung verbinden wollen, lohnt sich ein Blick auf die Testphase von Ashio, unverbindlich und ohne langfristige Bindung.

Quellen

Der Gesetzestext des HinSchG liefert die verbindlichen Formulierungen, die EU-Richtlinie 2019/1937 den europäischen Rahmen dahinter. Für die externe Meldung eignet sich das Bundesamt für Justiz als Anlaufstelle des Bundes. Kommunale Praxisbeispiele liefern die Meldestellen von München und Stuttgart.

Empfehlungen