Routing- und Eskalationsregeln für die interne Meldestelle

Routing-Regeln legen fest, wer einen eingehenden Hinweis zuerst sieht, wer ihn prüft und an wen er weitergeht. Eskalationsregeln bestimmen, wann ein Fall diesen Normalweg verlässt: bei akuter Gefahr, bei einem Interessenkonflikt oder wenn eine gesetzliche Frist zu reißen droht. Beides gehört schriftlich in Ihre Verfahrensordnung und muss im Alltag ausnahmslos greifen, denn das Hinweisgeberschutzgesetz verlangt eine Eingangsbestätigung nach sieben Tagen, eine Rückmeldung nach drei Monaten und Bearbeiter, die unabhängig arbeiten. Am verlässlichsten gelingt das, wenn die Regeln nicht nur auf Papier stehen, sondern in einem Hinweisgebersystem mit automatischer Fristenüberwachung und Audit-Trail wie Ashio abgebildet sind.

Kurz gesagt

• Routing regelt Zuständigkeit und Reihenfolge im Normalfall, Eskalation hebt einen Fall über festgelegte Auslöser auf eine höhere oder unabhängige Ebene.
• Feste Eckpunkte aus dem HinSchG: Eingangsbestätigung spätestens nach 7 Tagen, Rückmeldung spätestens nach 3 Monaten, fachkundige und unabhängige Bearbeitung.
• Jede Weiterleitung folgt dem Need-to-know-Prinzip: so wenige Personen wie möglich, so viele wie nötig.
• Die wichtigste Eskalationsregel: Ist die zuständige Person oder die Geschäftsleitung selbst Gegenstand des Hinweises, geht der Fall an eine unbefangene Stelle.
• Jeder Routing- und Eskalationsschritt wird dokumentiert, damit Sie ihn bei einer Prüfung lückenlos belegen können.

Inhaltsverzeichnis

• Routing und Eskalation: zwei Regelwerke, ein Ziel
• Was das HinSchG für Routing und Eskalation vorgibt
• Routing-Regeln in sechs Schritten
• Eskalationsregeln: wann ein Fall den Normalweg verlässt
• Anonyme und mündliche Meldungen richtig einordnen
• Dokumentation: jeder Schritt muss belegbar sein
• Routing-Regeln mit Ashio im Alltag umsetzen
• Unsere Sicht: Regeln, die das System durchsetzt
• Häufige Fragen
• Quellen

Routing und Eskalation: zwei Regelwerke, ein Ziel

Stellen Sie sich Routing als Weichenstellung vor. Ein Hinweis kommt an, und anhand weniger Merkmale (Thema, Standort, Schwere, beteiligte Personen) steht fest, wer ihn bearbeitet und wen diese Person hinzuziehen darf. Routing-Regeln sind also eine Zuständigkeitsordnung: Sie beantworten die Frage „Wer ist dran?“ für jeden Hinweis, bevor er überhaupt eingeht.

Eskalationsregeln sind der Ausnahmepfad. Sie definieren Auslöser, bei denen der Normalweg nicht mehr reicht oder nicht mehr zulässig ist. Typische Auslöser sind eine Gefahr für Menschen oder erhebliche Vermögenswerte, ein Interessenkonflikt bei der zuständigen Person, die Beteiligung von Führungskräften oder eine Frist, die ohne Eingreifen verstreichen würde.

Ein Beispiel: Ein Mitarbeiter meldet anonym manipulierte Reisekostenabrechnungen in der Niederlassung Leipzig. Das Routing schickt den Fall an die Meldestelle, die nach der Erstprüfung die Finanzabteilung als Fachstelle hinzuzieht. Nennt der Hinweis aber den Niederlassungsleiter, der zugleich Mitglied der Geschäftsführung ist, greift die Eskalation: Der Fall geht an ein Gremium, das von der Geschäftsführung unabhängig ist, etwa den Aufsichtsrat oder dessen Prüfungsausschuss, und die Finanzabteilung erfährt zunächst nichts.

Getrennt formuliert sind beide Regelwerke leichter zu prüfen. Wer nur eine allgemeine Formel wie „Hinweise werden an die zuständige Stelle weitergeleitet“ in der Verfahrensordnung stehen hat, entscheidet im Ernstfall unter Zeitdruck und ohne Rückendeckung. Wer klare Regeln hat, kann jede Entscheidung begründen.

Was das HinSchG für Routing und Eskalation vorgibt

Das Gesetz schreibt Ihnen keine Routing-Matrix vor, setzt aber den Rahmen, in dem jede Regel funktionieren muss. Die wichtigsten Punkte im Überblick:

Die Fundstellen können Sie im vollständigen Gesetzestext des HinSchG nachlesen. Wie ernst der Gesetzgeber die Pflicht nimmt, zeigt der Bußgeldrahmen: Wer keine interne Meldestelle einrichtet und betreibt, dem droht nach Angaben der IHK Regensburg eine Geldbuße bis zu 20.000 Euro. Einen kompakten Überblick über alle Pflichten finden Sie auf unserer Seite zum Hinweisgeberschutzgesetz für Unternehmen.

Routing-Regeln in sechs Schritten

Die folgenden sechs Schritte bilden den Weg eines Hinweises vom Eingang bis zur Rückmeldung ab. Für jeden Schritt legen Sie fest, wer handelt, bis wann und was dokumentiert wird.

1. Eingang erfassen und bestätigen

Alle Meldewege, ob Online-Formular, Telefon oder persönliches Gespräch, müssen an einem einzigen Eingangspunkt zusammenlaufen. Sonst liegt ein Hinweis im Postfach einer Führungskraft, während die Sieben-Tage-Frist läuft. Die Eingangsbestätigung ist dabei keine inhaltliche Bewertung, sondern nur die Mitteilung, dass der Hinweis angekommen ist.

Häufiger Fehler: Urlaubs- und Krankheitsvertretung sind nicht geregelt. Legen Sie mindestens eine Stellvertretung fest, die dieselben Anforderungen an Fachkunde und Unabhängigkeit erfüllt. In Ashio überwacht das System die Fristen automatisch, sodass die Bestätigung nicht davon abhängt, dass jemand im Kalender nachsieht.

2. Erstprüfung: Anwendungsbereich, Plausibilität, Dringlichkeit

Bevor ein Fall weitergeht, prüft die Meldestelle drei Fragen: Fällt der Hinweis in den Anwendungsbereich des HinSchG? Ist er plausibel? Wie dringend ist er? Die Verfahrensordnung der OGE sieht genau diese Abfolge vor: erst ein Screening durch das Compliance Office, danach bei Bedarf eine detaillierte Untersuchung durch interne oder externe Spezialisten.

Häufiger Fehler: Hinweise außerhalb des Anwendungsbereichs werden einfach abgelegt. Besser ist eine eigene Routing-Regel, etwa „allgemeine Beschwerden an die Personalabteilung, mit Zustimmung der hinweisgebenden Person“. So bleibt auch dieser Hinweis nachvollziehbar bearbeitet.

3. Kategorie und Zuständigkeit zuordnen

Herzstück der Routing-Regeln ist eine Matrix, die jeder Hinweiskategorie eine Fachstelle zuordnet. Die Meldestelle bleibt dabei verantwortlich für den Fall, die Fachstelle liefert Expertise. Ein Muster, das Sie an Ihre Organisation anpassen:

Für Konzerne kommt der Standort als zweite Achse hinzu. Knorr-Bremse leitet lokale Vorgänge an die zuständigen Local Compliance Officer weiter und gibt plausible Hinweise, bei denen keine unmittelbare Abhilfe möglich ist, an die zuständige Fachabteilung. Ein individuell gestaltbares Meldeformular, wie Ashio es bietet, hilft hier: Fragt das Formular Kategorie und Standort ab, ist die Zuordnung beim Eingang schon halb erledigt.

4. Interessenkonflikte prüfen, bevor jemand den Fall öffnet

Nach § 15 HinSchG müssen die Personen der Meldestelle unabhängig und frei von Interessenkonflikten sein; weitere Aufgaben sind nur erlaubt, solange sie die Unabhängigkeit nicht beeinträchtigen. Für das Routing heißt das: Die Konfliktprüfung kommt vor der Zuweisung. Wird im Hinweis die Leitung der Personalabteilung genannt, darf der Fall nicht in deren Team landen.

Häufiger Fehler: Die Meldestelle ist in einer Abteilung angesiedelt, die selbst oft Gegenstand von Hinweisen ist. Welche Personen und Funktionen sich als Meldestelle eignen, haben wir im Beitrag wer interne Meldestelle sein kann zusammengestellt.

5. Weiterleiten nur nach Need-to-know

Jede Weiterleitung vergrößert den Kreis der Mitwissenden. Die Datenschutzaufsicht Baden-Württemberg verlangt deshalb Datenminimierung und angemessene technische und organisatorische Sicherheitsmaßnahmen; Zugriff auf die Dokumentation sollen nur die mit der Bearbeitung betrauten Personen haben. Vertraulichkeit schützt dabei nicht nur die meldende Person, sondern auch Beschuldigte und andere genannte Personen.

Die Gemeinsame Arbeitshilfe zum HinSchG leitet daraus einen möglichst kleinen, aufgabenbezogenen Personenkreis ab und empfiehlt, unterstützende Personen ausdrücklich zur Vertraulichkeit zu verpflichten. Praktisch bedeutet das: Die Fachstelle erhält nur die Informationen, die sie für ihre Teilfrage braucht, und keine Angaben, die Rückschlüsse auf die meldende Person erlauben. Weiterleitungen per E-Mail mit dem vollständigen Hinweis im Anhang gehören zu den häufigsten Schwachstellen. Arbeiten alle Beteiligten im selben System mit abgestuften Rechten, wie bei der Team-Kollaboration in Ashio, verlässt der Fall die geschützte Umgebung gar nicht erst.

6. Folgemaßnahmen festlegen und Rückmeldung geben

Am Ende des Routings steht eine Folgemaßnahme nach § 18: eine interne Untersuchung, die Abgabe an eine zuständige Arbeitseinheit oder Behörde, ein Verweis auf andere Stellen oder der Abschluss des Verfahrens. Die Untersuchung selbst muss unparteiisch sein; Knorr-Bremse verlangt in seiner Verfahrensordnung, belastende wie entlastende Umstände zu ermitteln und bis zur Bestätigung des Hinweises die Unschuldsvermutung zu wahren.

Spätestens drei Monate nach der Eingangsbestätigung erhält die hinweisgebende Person eine Rückmeldung über geplante und ergriffene Maßnahmen und deren Gründe, soweit Ermittlungen und Rechte Betroffener dadurch nicht beeinträchtigt werden. Planen Sie diese Rückmeldung als festen Routing-Schritt mit eigener Frist ein, nicht als Nachgedanken.

Eskalationsregeln: wann ein Fall den Normalweg verlässt

Eskalationsregeln funktionieren nur, wenn die Auslöser eindeutig sind. „Bei schwerwiegenden Fällen“ ist kein Auslöser, „bei Hinweisen auf eine Gefahr für Leib und Leben“ schon. Bewährt haben sich vier Gruppen:

1. Gefahr und Schaden: akute Gefahr für Gesundheit, Umwelt oder erhebliche Vermögenswerte, laufende Straftaten, drohende Beweisvernichtung.
2. Befangenheit: Die zuständige Person, ihre Vorgesetzten oder die Geschäftsleitung sind selbst betroffen. Eberspächer sieht für solche Konflikte eine unabhängige Untersuchung vor, die unbefangen, fair, zeitnah und ergebnisoffen sein muss.
3. Fristen: Eingangsbestätigung oder Rückmeldung droht zu verstreichen, oder ein Fall liegt ohne dokumentierten Fortschritt.
4. Schutz der meldenden Person: Hinweise auf Repressalien, also Benachteiligungen wegen der Meldung wie Abmahnung, Versetzung oder Ausschluss von Beförderungen.

Jedem Auslöser ordnen Sie eine Stufe und einen Zeitrahmen zu. Die Zeitrahmen in diesem Muster sind Empfehlungen, keine gesetzlichen Fristen:

Für bestimmte Sachbereiche gibt es außerdem spezielle externe Meldestellen: Landesstellen für Landes- und Kommunalverwaltungen, die BaFin für ihren Aufsichtsbereich und das Bundeskartellamt für kartellrechtliche Verstöße (§§ 20 bis 22 HinSchG). Wer in diesen Bereichen tätig ist, sollte in den Eskalationsregeln festhalten, wann die Rechtsabteilung prüft, ob eine Abgabe an eine Behörde als Folgemaßnahme angezeigt ist. Eine gut funktionierende interne Meldestelle ist zugleich der beste Grund für Beschäftigte, ihren Hinweis zuerst intern abzugeben.

Anonyme und mündliche Meldungen richtig einordnen

Anonyme Hinweise durchlaufen dieselben Routing-Regeln wie namentliche, mit einem Unterschied: Rückfragen und Rückmeldung brauchen einen Kanal, der die Anonymität wahrt. Kann die Meldestelle nicht nachfragen, bleibt der Fall oft in der Erstprüfung stecken. In Ashio verfolgen hinweisgebende Personen den Status ihrer Meldung in Echtzeit und bleiben dabei anonym; wie das aus ihrer Sicht aussieht, zeigt unsere Seite für sichere anonyme Meldungen.

Mündliche Meldungen und persönliche Gespräche haben eigene Regeln. Die hinweisgebende Person muss die Gelegenheit erhalten, das Protokoll zu prüfen, zu korrigieren und zu bestätigen, und Tonaufzeichnungen sind zu löschen, sobald das Protokoll fertig ist (§ 11 HinSchG). Legen Sie fest, wer solche Gespräche führt und wie das Protokoll in die Fallakte gelangt, damit auch dieser Hinweis ins normale Routing einläuft.

Dokumentation: jeder Schritt muss belegbar sein

Routing- und Eskalationsregeln sind nur so viel wert wie der Nachweis, dass sie eingehalten wurden. Bei einer Prüfung durch die Revision, eine Behörde oder ein Gericht zählt, wer den Fall wann gesehen, wem er ihn weitergeleitet und warum er eskaliert hat. Halten Sie für jeden Schritt fest:

• Datum und Uhrzeit von Eingang, Bestätigung, Zuweisung und Rückmeldung
• Ergebnis der Erstprüfung und der Konfliktprüfung mit Begründung
• Jede Weiterleitung: an wen, welche Informationen, auf welcher Grundlage
• Jede Eskalation: Auslöser, Empfänger, Entscheidung
• Abschluss und Folgemaßnahmen

Ein unveränderlicher Audit-Trail nimmt Ihnen diese Arbeit weitgehend ab, weil das System jeden Zugriff und jede Statusänderung selbst protokolliert. Wie ein vollständiges Hinweisgebersystem aufgebaut ist, erklären wir in einem eigenen Beitrag.

Routing-Regeln mit Ashio im Alltag umsetzen

Ashio bildet die Bausteine ab, auf die es bei Routing und Eskalation ankommt: einen vollständig anonymen Meldekanal ohne IP-Tracking, strukturierte Fallbearbeitung, Team-Kollaboration, automatische Fristenüberwachung für die Sieben-Tage- und Drei-Monats-Frist, ein individuell gestaltbares Meldeformular und eine exportierbare, revisionssichere Dokumentation. Die Daten werden DSGVO-konform in der Schweiz gespeichert, das Hosting ist nach ISO 27001 zertifiziert, und dank standardisierter Workflows ist die Plattform ohne IT-Aufwand eingerichtet. Der Basic-Tarif kostet 29 € pro Monat, alle Compliance-Funktionen sind enthalten, und Sie starten mit einer kostenfreien Testphase. Ashio kostenlos testen.

Unsere Sicht: Regeln, die das System durchsetzt

Viele Verfahrensordnungen regeln Routing und Eskalation gut genug für das Papier. Schwierig wird es im Alltag: wenn der Hinweis an einem Freitagnachmittag eingeht, die zuständige Person im Urlaub ist oder der Name einer Führungskraft im Text steht.

Deshalb sind wir überzeugt, dass Routing-Regeln dort hingehören, wo der Hinweis bearbeitet wird. Eine Frist, die das System überwacht, verstreicht nicht unbemerkt. Ein Fall, auf den nur das zuständige Team Zugriff hat, landet nicht versehentlich im falschen Postfach. Und ein Audit-Trail, der jeden Schritt unveränderlich festhält, macht aus einer guten Absicht einen belegbaren Prozess.

Genauso wichtig ist Vertrauen. Beschäftigte melden nur, wenn sie sicher sind, dass ihre Identität geschützt bleibt. Darum verzichtet Ashio auf jegliche Identitätsdaten, verschlüsselt Ende-zu-Ende und arbeitet ohne Tracking. Klare Regeln und echte Anonymität zusammen sind das, was eine Meldestelle glaubwürdig macht.

Author

Häufige Fragen

Müssen Routing- und Eskalationsregeln schriftlich festgelegt sein?

Das HinSchG verlangt keine bestimmte Form, wohl aber feste Fristen, unabhängige Bearbeitung und Vertraulichkeit. Ohne schriftliche Regeln lässt sich kaum nachweisen, dass Sie diese Pflichten erfüllen. Eine Verfahrensordnung mit Routing-Matrix und Eskalationsauslösern ist deshalb der übliche und empfehlenswerte Weg.

Wer entscheidet, ob ein Hinweis eskaliert wird?

Die Entscheidung trifft die interne Meldestelle anhand der vorher festgelegten Auslöser. Ist die Meldestelle selbst befangen, übernimmt die benannte Stellvertretung. Wichtig ist, dass Auslöser und Empfänger feststehen, bevor der erste Hinweis eingeht.

Darf die Geschäftsleitung über jeden Hinweis informiert werden?

Nur soweit es für die Bearbeitung erforderlich ist. Vertraulichkeit und Datenminimierung gelten auch gegenüber der Geschäftsleitung, und ist sie selbst betroffen, muss der Fall an ein unabhängiges Gremium gehen. Für regelmäßige Berichte eignen sich anonymisierte Kennzahlen wie Anzahl, Kategorien und Bearbeitungsdauer.

Was passiert, wenn die Drei-Monats-Frist nicht zu halten ist?

Die Rückmeldung muss trotzdem fristgerecht erfolgen, auch wenn die Untersuchung noch läuft: Sie nennt dann die bisher ergriffenen und geplanten Maßnahmen. Damit es nicht so weit kommt, sollte ein Fristrisiko einige Wochen vorher eine Eskalation an die Leitung der Meldestelle auslösen.

Quellen

• IHK Regensburg: Hinweisgeberschutzgesetz
• Der Landesbeauftragte für den Datenschutz Baden-Württemberg: FAQ Hinweisgeberschutzgesetz
• Gemeinsame Arbeitshilfe zum Hinweisgeberschutzgesetz (Juni 2023)
• OGE: Verfahrensordnung zum Meldeverfahren
• Knorr-Bremse: Verfahrensordnung für interne Untersuchungen
• Eberspächer: Verfahrensordnung für Hinweisgebende

Empfehlungen

• Wer kann interne Meldestelle sein? Beauftragter, Anwalt, Externer
• Interne Meldestelle | Konforme Whistleblowing-Software