Ashio whistleblowing software

Oct 6, 2026

Richtlinie Hinweisgebersystem Muster: Diese Vorlage erfüllt die Mindestanforderungen

Die Compliance-Verantwortliche überprüft die Richtlinienvorlage

Dieses Muster erfüllt die Mindestanforderungen nach dem HinSchG und der EU-Richtlinie 2019/1937 und lässt sich sofort an Ihre Organisation anpassen. Die wichtigsten Eckwerte: Eingangsbestätigung innerhalb von sieben Tagen, Rückmeldung binnen drei Monaten, dazu eine Struktur, die sich an DICO Standard 11 orientiert. Wer diese Bausteine übernimmt, braucht nur noch die organisationsspezifischen Platzhalter zu füllen.

Kurz gesagt:

  • Das System muss Eingangsbestätigung innerhalb von sieben Tagen und eine Rückmeldung binnen drei Monaten nach Meldung leisten.
  • Für Organisationen mit weniger als 50 Beschäftigten besteht keine gesetzliche Pflicht, ein Hinweisgebersystem einzuführen, dennoch ist ein freiwilliges System sinnvoll.
  • Der Meldeprozess sollte klar geregelt sein, inklusive Dokumentation, vertraulicher Handhabung und technischer Maßnahmen wie Verschlüsselung.
  • Es ist wichtig, die Zuständigkeiten organisatorisch getrennt und den Betriebsrat in die Auswahl der Kanäle einzubeziehen.
  • Dokumente sollten drei Jahre nach Abschluss eines Falls aufbewahrt und bei Bedarf mit Begründung gelöscht werden.
Ashio
ashio.eu
Hinweise sicher und anonym erfassen
Ashio unterstützt Unternehmen mit einem anonymen Meldekanal, Audit-Trail und Dashboard zur transparenten Verwaltung von Hinweisen.
Ashio kennenlernen

Inhaltsverzeichnis

Wer ist betroffen und welche Pflichten bestehen?

Die Pflicht zur internen Meldestelle trifft in der Regel Arbeitgeber mit mindestens 50 Beschäftigten, wobei Gemeinden teils landesrechtliche Ausnahmen genießen. Für kleinere Organisationen unterhalb dieser Schwelle besteht keine gesetzliche Pflicht, ein freiwilliges System schadet aber selten. Geschützt sind dabei nicht nur Arbeitnehmer: Der Personenkreis reicht von Bewerbern über Selbstständige bis zu Praktikanten, sofern sie im beruflichen Kontext von einem Verstoß erfahren haben.

Vor der ersten Zeile im Muster stehen also ein paar Weichenstellungen an:

  • Zuständigkeit für die interne Meldestelle festlegen, personell und organisatorisch getrennt von der Personalabteilung.
  • Prüfen, ob der Betriebsrat ein Mitbestimmungsrecht hat, insbesondere bei der Auswahl des Meldekanals.
  • Meldekanäle auswählen: schriftlich, mündlich, digital oder über eine externe Hotline.
  • Zeitrahmen für die Einführung festlegen, orientiert an den gesetzlichen Fristen.

Was ein praktikables Muster mindestens regeln muss

Ein Dokument, das nur die gesetzlichen Begriffe wiederholt, hilft niemandem im Ernstfall. Es braucht einen klaren Ablauf, den jede Meldestelle ohne Nachfragen anwenden kann.

  1. Eingang der Meldung erfassen und dokumentieren.
  2. Eingangsbestätigung innerhalb von sieben Tagen versenden.
  3. Stichhaltigkeit prüfen und, falls nötig, Rückfragen an die hinweisgebende Person stellen.
  4. Folgemaßnahmen einleiten, etwa interne Untersuchungen oder Abgabe an zuständige Behörden.
  5. Rückmeldung zu den Folgemaßnahmen binnen drei Monaten nach der Bestätigung geben, beziehungsweise drei Monate und sieben Tage nach Eingang, falls keine Bestätigung erfolgte.

Daneben muss das Muster den sachlichen Geltungsbereich klar abgrenzen: Welche Verstöße sind meldefähig, welche nicht? Ein Hinweis auf rein private Konflikte oder allgemeine Unzufriedenheit gehört nicht in dieses Verfahren, und das Dokument sollte das auch so benennen. Die Meldekanäle selbst, ob schriftlich, mündlich oder über eine Hotline, müssen anonyme Meldungen ermöglichen und den Zugriff auf einen engen, namentlich benannten Personenkreis beschränken.

Rollenbeschreibung und Unabhängigkeit der Meldestelle gehören ebenso in den Kern des Musters wie die Dokumentations- und Löschregeln. Die BfDI-Orientierungshilfe empfiehlt ausdrücklich, Whistleblowing-Hotlines organisatorisch von der Personalverwaltung zu trennen und technische Maßnahmen nach Artikel 32 DSGVO umzusetzen, etwa Verschlüsselung und Zugriffsprotokollierung. Der Datenschutzhinweis im Muster sollte außerdem auf § 26 BDSG und, wo einschlägig, auf Mitbestimmungsrechte nach Betriebsverfassungsgesetz verweisen.

Profi-Tipp: Verankern Sie die Löschfrist nicht als starre Zahl, sondern als Prüfregel mit Begründungspflicht im Einzelfall.

Was ein praktikables Muster mindestens regeln muss — overview diagram

Die Muster-Vorlage zum Kopieren und Anpassen

Eine Verfahrensordnung, die DICO Standard 11 folgt, gliedert sich in klar abgegrenzte Abschnitte. Diese Struktur lässt sich direkt übernehmen:

  • Präambel: Zweck der Richtlinie und Bekenntnis zum Schutz hinweisgebender Personen.
  • Geltungsbereich: persönlich (wer darf melden) und sachlich (welche Verstöße).
  • Begriffsbestimmungen: Hinweisgeber, interne Meldestelle, Folgemaßnahme.
  • Meldekanäle: Beschreibung aller verfügbaren Wege samt Anonymitätsgarantie.
  • Verfahren: die fünf Schritte von Eingang bis Rückmeldung.
  • Rollen und Zuständigkeiten: Benennung der internen Meldestelle und ihrer Unabhängigkeit.
  • Datenschutz: Verweis auf DSGVO, Art. 32 und interne technische Maßnahmen.
  • Dokumentation: Aufbewahrungsdauer und Löschregeln.
  • Inkrafttreten: Datum und Geltungsbereich innerhalb der Organisation.

Für die Mustertexte selbst reicht oft eine knappe, sachliche Formulierung. Eine Eingangsbestätigung kann lauten: „Wir bestätigen den Eingang Ihrer Meldung vom [Datum]. Die Prüfung ist eingeleitet, Rückmeldung erfolgt spätestens am [Datum plus drei Monate].“ Der Datenschutzhinweis sollte knapp erklären, welche Daten verarbeitet werden und wer Zugriff hat. Die Präambel kann mit einem Satz wie „[Firma/Einrichtung] richtet diese interne Meldestelle ein, um Verstöße frühzeitig zu erkennen und hinweisgebende Personen wirksam zu schützen“ beginnen. Platzhalter wie Firma, Kontaktstelle, Fristen und interne Ansprechpartner markieren Sie am besten eckig oder farblich, damit nichts im fertigen Dokument übersehen wird. Eine fertige Muster-Dienstanweisung zeigt, wie Behörden und Organisationen diese Gliederung in der Praxis ausfüllen.

Anpassung an Größe, Betriebsrat und Organisationsstruktur

Ein kleines Unternehmen mit 60 Beschäftigten braucht keine mehrseitige Rollenmatrix, eine knappe Zuständigkeitsregelung reicht meist aus. Konzerne mit mehreren Gesellschaften hingegen sollten Zuständigkeiten je Standort und Eskalationswege zwischen Tochter und Mutter detailliert ausformulieren.

  • Bei KMU genügt oft eine einzige verantwortliche Person mit Vertretungsregelung statt eines Gremiums.
  • Bei Konzernen empfiehlt sich eine klare Trennung zwischen lokalen Meldestellen und einer zentralen Koordinationsstelle.
  • Der Betriebsrat hat typischerweise ein Mitbestimmungsrecht bei der Ausgestaltung des Meldekanals, nicht aber beim Ob der gesetzlichen Pflicht selbst.
  • Gruppenlösungen sind zulässig, wenn die Konzernmutter eine zentrale Meldestelle betreibt, die operative Zuständigkeit aber klar dokumentiert bleibt.
  • Externe Fallbearbeitung, etwa durch eine Anwaltskanzlei als Ombudsstelle, bietet sich an, wenn interne Unabhängigkeit schwer herstellbar ist.

Implementierung: Ablauf, Rollen und Nachweisführung

Die Einführung gelingt am besten in überschaubaren Schritten statt in einem großen Wurf.

  1. Vorbereitung: Richtlinie entwerfen, Zuständigkeiten klären, Betriebsrat einbinden.
  2. Pilot: Verfahren mit einer kleinen Gruppe testen, Meldekanal technisch prüfen.
  3. Rollout: Richtlinie unternehmensweit kommunizieren, Schulung der Meldestelle.
  4. Monitoring: Fristen, Fallzahlen und Rückmeldequalität regelmäßig auswerten.

Die Rollenmatrix sollte interne Meldestelle, Datenschutzbeauftragten, HR und Geschäftsführung klar trennen, gegebenenfalls ergänzt um einen externen Anbieter für die technische Plattform. Für die Dokumentation gilt: Aufbewahrung bis drei Jahre nach Abschluss des Falls, sofern keine anderen gesetzlichen Gründe eine längere Frist verlangen, und jede Löschung mit Begründung im Audit-Trail.

Profi-Tipp: Dokumentieren Sie jeden Fristablauf automatisch, manuelle Kalendererinnerungen gehen im Tagesgeschäft unter.

Warum der Prozess wichtiger ist als das Dokument selbst

Ein Muster allein schützt niemanden. Entscheidend ist, ob Zuständigkeiten im Alltag funktionieren und ob hinweisgebende Personen der Vertraulichkeit tatsächlich vertrauen. Der häufigste Fehler: ein fertiges PDF ablegen, ohne die Meldestelle zu schulen oder den Kanal zu testen. Wer das Muster mit geprüften Ressourcen wie DICO Standard 11 oder der BfDI-Orientierungshilfe ergänzt, schafft eine Grundlage, die auch einer Prüfung standhält.

Ashio als direkter Weg zur Umsetzung

Ein Richtlinienmuster beantwortet, was zu tun ist, nicht wie Sie es technisch abbilden. Genau dort setzen wir an: Wir bieten einen vollständig anonymen Meldekanal ohne Identitätsdaten, eine revisionssichere Audit-Trail-Dokumentation und Datenspeicherung in der Schweiz, abgestimmt auf die Anforderungen der EU-Richtlinie. Fristen für Eingangsbestätigung und Rückmeldung überwachen wir automatisch, sodass keine Frist im Tagesgeschäft untergeht.

Ein SaaS-System lohnt sich besonders dort, wo Anonymität, Fristenmanagement und lückenlose Dokumentation sonst manuell kaum zu leisten sind. Wer das ausprobieren möchte: Wir stellen unsere Basic-Lösung für den Einstieg bereit, inklusive Pilotlauf und Schulung der internen Verantwortlichen.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

FAQ

Ab wie vielen Beschäftigten gilt die Pflicht zum Hinweisgebersystem?

Die Pflicht zur internen Meldestelle greift in der Regel ab 50 Beschäftigten nach § 12 HinSchG. Kleinere Organisationen können freiwillig ein System einrichten, sind dazu aber nicht gesetzlich verpflichtet.

Welche Fristen gelten für Eingangsbestätigung und Rückmeldung?

Die interne Meldestelle muss den Eingang einer Meldung innerhalb von sieben Tagen bestätigen. Die Rückmeldung zu Folgemaßnahmen erfolgt binnen drei Monaten nach der Bestätigung, oder drei Monate und sieben Tage nach Eingang, falls keine Bestätigung erfolgte.

Welche Hinweise sind über das System meldefähig?

Meldefähig sind Hinweise auf Verstöße gegen Rechtsvorschriften, die im HinSchG und in der EU-Richtlinie aufgeführten Bereichen entsprechen. Rein private Konflikte oder allgemeine Unzufriedenheit fallen nicht darunter und sollten im Muster klar ausgeschlossen werden.

Muss das Hinweisgebersystem anonyme Meldungen zulassen?

Das Gesetz schreibt anonyme Meldekanäle nicht zwingend vor, empfiehlt sie aber als vertrauensbildende Maßnahme. Die BfDI-Orientierungshilfe rät zusätzlich zu technischen Schutzmaßnahmen wie Verschlüsselung, unabhängig davon, ob Anonymität angeboten wird.

Wie lange müssen Meldungen dokumentiert und aufbewahrt werden?

Üblich ist eine Aufbewahrung bis drei Jahre nach Abschluss des Verfahrens, sofern keine anderen gesetzlichen Gründe eine längere Frist erfordern. Jede Löschung sollte im Einzelfall dokumentiert und begründet werden, etwa im Audit-Trail des verwendeten Systems.

Quellen

Empfehlungen