Vertretungsregelung für die interne Meldestelle: rechtssicher planen

Eine interne Meldestelle muss auch dann arbeiten, wenn die zuständige Person im Urlaub ist, krank wird oder selbst von einer Meldung betroffen ist. Deshalb braucht sie eine schriftliche Vertretungsregelung. Sie legt fest, wer einspringt, ab wann das gilt, welche Fachkunde die Vertretung mitbringt und wie sie unabhängig und vertraulich arbeitet. Das Hinweisgeberschutzgesetz (HinSchG) verwendet das Wort „Vertretung“ zwar nicht. Seine Fristen, die Pflicht zur Unabhängigkeit und das Vertraulichkeitsgebot gelten aber ohne Pause, und ohne geregelte Vertretung lassen sie sich kaum einhalten. Hier lesen Sie, was das Gesetz verlangt, wer als Vertretung geeignet ist, was bei Befangenheit gilt und wie Sie die Regelung Schritt für Schritt aufbauen.

Kurz gesagt

• Die Fristen laufen auch bei Abwesenheit weiter: Innerhalb von sieben Tagen muss der Eingang einer Meldung bestätigt werden. Fehlt eine Vertretung, ist die Frist schnell versäumt.
• Für die Vertretung gelten dieselben Anforderungen wie für die Hauptperson: Sie muss fachkundig und unabhängig sein und darf keinen Interessenkonflikt haben (§ 15 HinSchG).
• Befangenheit braucht eine eigene Regel: Betrifft eine Meldung die zuständige Person oder ihren Arbeitsbereich, übernimmt automatisch die Vertretung.
• Zugriff auf Meldungen bekommen nur zuständige und unterstützende Personen, nach dem Need-to-know-Prinzip. Das gilt auch für die Vertretung.
• Halten Sie Rollen, Auslöser, Übergabe und Dokumentation schriftlich fest, am besten in der Verfahrensordnung der Meldestelle.

Inhaltsverzeichnis

• Warum die Meldestelle ohne Vertretung nicht funktioniert
• Wer als Vertretung infrage kommt
• Unabhängigkeit der Meldestelle sichern
• Befangenheit: wenn die Meldung die zuständige Person betrifft
• Vertraulichkeit und Zugriff während der Vertretung
• Die Vertretungsregelung in sieben Schritten
• Unsere Sicht als Anbieter von Hinweisgebersystemen
• Vertretung ohne Lücken mit Ashio
• Häufige Fragen
• Quellen

Warum die Meldestelle ohne Vertretung nicht funktioniert

Die interne Meldestelle ist keine Stelle, die man nur gelegentlich besetzt. Nach § 13 HinSchG betreibt sie die Meldekanäle, führt das Verfahren und ergreift Folgemaßnahmen. Außerdem hält sie für die Beschäftigten klare Informationen über externe Meldewege bereit. Jede dieser Aufgaben kann an jedem Arbeitstag anfallen.

Besonders streng sind die Fristen. Nach § 17 HinSchG bestätigt die Meldestelle der hinweisgebenden Person den Eingang spätestens nach sieben Tagen. Spätestens drei Monate nach dieser Bestätigung gibt sie eine Rückmeldung zu den geplanten oder ergriffenen Folgemaßnahmen. Dazwischen prüft sie, ob der Fall in den sachlichen Anwendungsbereich fällt und ob die Meldung stichhaltig ist. Bei Bedarf fragt sie nach weiteren Informationen und hält Kontakt zur meldenden Person. Ein zweiwöchiger Sommerurlaub der einzigen zuständigen Person reicht also, um die Eingangsfrist zu verpassen.

Dazu kommt die Dokumentation. Alle eingehenden Meldungen müssen nach § 11 HinSchG dokumentiert werden, und zwar auch Meldungen, die nicht stichhaltig sind oder nicht in die Zuständigkeit fallen. In der Regel gilt eine Löschfrist von drei Jahren. Eine Vertretung muss deshalb nicht nur Meldungen annehmen. Sie muss die Akte auch so weiterführen, dass später lückenlos nachvollziehbar ist, wer wann was getan hat.

In der Praxis zeigt sich der Bedarf schon an den Kontaktseiten vieler Meldestellen: Hochschulen und Behörden nennen neben der zuständigen Person meist ausdrücklich eine Stellvertretung mit eigener Telefonnummer. Für Unternehmen gilt dieselbe Logik. Wer anonyme oder vertrauliche Hinweise einholt, muss sie auch zuverlässig bearbeiten können.

Wer als Vertretung infrage kommt

Das Gesetz lässt Ihnen bei der Organisation viel Spielraum. Nach § 14 HinSchG kann die Meldestelle von einer beschäftigten Person, von einer Arbeitseinheit aus mehreren Beschäftigten oder von einem Dritten betrieben werden. Beauftragen Sie einen Dritten, bleiben Sie trotzdem selbst verpflichtet, geeignete Maßnahmen gegen einen Verstoß zu ergreifen.

Für die Auswahl der Vertretung sind zwei Anforderungen entscheidend. Erstens die Fachkunde: Nach § 15 Abs. 2 HinSchG sorgt der Beschäftigungsgeber dafür, dass die beauftragten Personen über die notwendige Fachkunde verfügen. Die Datenschutzaufsicht in Baden-Württemberg erläutert in ihren FAQ zum Hinweisgeberschutzgesetz, was das konkret heißt: Die Personen kennen Funktion, Kompetenzen und Unabhängigkeit der Meldestelle, den sachlichen Anwendungsbereich und das Vertraulichkeitsgebot. Zweitens die Unabhängigkeit, dazu mehr im nächsten Abschnitt.

Welche Funktionen sich eignen, zeigt Erwägungsgrund 56 der EU-Richtlinie 2019/1937, auf den dieselbe Aufsichtsbehörde verweist. Genannt werden unter anderem Beschäftigte mit Doppelfunktion, die Leitung der Compliance-Abteilung, Integritäts-, Rechts- oder Datenschutzbeauftragte und Auditverantwortliche. Laut Gesetzesbegründung soll diese Bandbreite nicht eingeschränkt werden, solange Unabhängigkeit und Vertraulichkeit gewahrt bleiben.

Ausführlicher beschreiben wir die Optionen in unserem Beitrag dazu, wer interne Meldestelle sein kann.

Fachkunde gilt auch für die Vertretung

Eine Vertretung, die nur auf dem Papier steht, hilft nicht weiter. Wer einspringt, muss dieselben Entscheidungen treffen können wie die Hauptperson: Fällt der Fall in den Anwendungsbereich? Wie wird die Identität geschützt? Welche Folgemaßnahme passt? Planen Sie deshalb für die Vertretung dieselbe Schulung ein wie für die Hauptperson. Viele Unternehmen schreiben das in ihre Verfahrensordnung, so etwa die Köster-Gruppe: Die betreuenden Personen erhalten bei Bedarf Schulungen, damit sie die nötige Fachkunde haben.

Unabhängigkeit der Meldestelle sichern

§ 15 Abs. 1 HinSchG ist eindeutig: Die beauftragten Personen sind bei ihrer Tätigkeit unabhängig, und ihre anderen Aufgaben dürfen nicht zu Interessenkonflikten führen. Das gilt für jede Person, die Meldungen bearbeitet, also auch für die Vertretung, sobald sie übernimmt.

Im Alltag stützt sich Unabhängigkeit auf einige organisatorische Bausteine:

• Weisungsfreiheit in der Funktion: Die Geschäftsführung kann der Meldestelle nicht vorgeben, wie sie einen Fall bewertet. Das gilt für die Vertretung genauso.
• Ausreichende Befugnisse: Die Meldestelle braucht die Mittel, um Sachverhalte aufzuklären. Die Verfahrensordnung von ARBURG hält beispielsweise fest, dass die Meldestelle über die notwendigen Befugnisse verfügt und Interessenkonflikte mit anderen Pflichten ausgeschlossen werden.
• Keine Nachteile: Wer die Meldestelle betreut oder vertritt, darf wegen dieser Tätigkeit keine beruflichen Nachteile erleiden. Halten Sie das schriftlich fest.
• Zeit und Kapazität: Eine Vertretung, die neben ihrem vollen Tagesgeschäft einspringen muss, wird Fristen eher reißen. Planen Sie das Zeitbudget mit ein.
• Trennung von Ermittlung und Entscheidung: Die Meldestelle empfiehlt Folgemaßnahmen, und die zuständige Stelle im Unternehmen setzt sie um. Das schafft Abstand, auch für die Vertretung.

Der Berufsverband der Datenschutzbeauftragten fasst das Prinzip so zusammen: Die Meldestelle soll aus fachkundigen, unabhängigen Personen ohne Interessenkonflikte bestehen und kann auch über einen Geschäftsbesorgungsvertrag von Dritten betrieben werden.

Befangenheit: wenn die Meldung die zuständige Person betrifft

Diesen Fall vergessen viele Vertretungsregelungen: Die zuständige Person ist anwesend, darf aber nicht bearbeiten. Das passiert, wenn sich eine Meldung gegen sie selbst richtet, gegen ihre Führungskraft, gegen ihr eigenes Team oder gegen eine Entscheidung, an der sie beteiligt war. Dann ist sie befangen, und nach § 15 Abs. 1 HinSchG muss ein solcher Interessenkonflikt vermieden werden.

Ein gutes Beispiel ist die Doppelrolle als Datenschutzbeauftragte®. Der BvD weist darauf hin, dass sich ein klarer Interessenkonflikt ergibt, wenn eine Meldung auf die Beratung oder fehlende Beratung durch den DSB zurückgeht. Ein weiterer Konflikt kann entstehen, weil die Verschwiegenheitspflicht des DSB mit der Pflicht der Meldestelle kollidiert, Informationen auf behördliche Anforderung weiterzugeben. Wer eine solche Doppelrolle wählt, kann das Risiko deutlich senken, wenn mindestens eine weitere Person eingebunden ist, die Rollen klar verteilt sind und jeder Schritt dokumentiert wird.

So regeln Sie Befangenheit in der Praxis:

1. Befangenheitsgründe benennen: eigene Betroffenheit, Betroffenheit naher Angehöriger, Vorgesetzte oder direkte Kolleginnen und Kollegen, frühere Beteiligung am gemeldeten Vorgang.
2. Pflicht zur Anzeige: Wer einen Befangenheitsgrund erkennt, meldet ihn sofort und bearbeitet den Fall nicht weiter.
3. Automatischer Wechsel: Die benannte Vertretung übernimmt den Fall vollständig, und zwar nicht nur für die Dauer einer Abwesenheit, sondern bis zum Abschluss.
4. Zweite Ebene: Für den Fall, dass auch die Vertretung befangen ist, steht eine weitere Person oder ein beauftragter Dritter bereit.
5. Zugriff entziehen: Die befangene Person verliert den Zugriff auf diesen Fall. Andernfalls bleibt die Vertraulichkeit nur ein Versprechen.
6. Entscheidung dokumentieren: Wann wurde die Befangenheit erkannt, wer hat übernommen, und auf welcher Grundlage?

Vertraulichkeit und Zugriff während der Vertretung

Jede Vertretung erweitert den Kreis der Personen, die einen Fall sehen könnten. Genau hier zieht das Gesetz eine klare Grenze. Nach § 8 HinSchG wahren Meldestellen die Identität der hinweisgebenden Person, der Personen, die Gegenstand der Meldung sind, und der weiteren genannten Personen. Bekannt werden darf sie nur den zuständigen und den unterstützenden Personen. Das gilt auch dann, wenn die Meldestelle für die Meldung gar nicht zuständig ist.

Dazu kommt § 16 Abs. 2 HinSchG: Zugriff auf eingehende Meldungen haben nur die zuständigen und die unterstützenden Personen, nach einem strikten Need-to-know-Prinzip. Für Ihre Vertretungsregelung heißt das:

• Die Vertretung ist ausdrücklich als zuständige Person benannt. Dann ist ihr Zugriff rechtlich gedeckt.
• Sie erhält Zugriff, wenn die Vertretung beginnt, und nicht standardmäßig auf alle Altfälle, außer sie ist fester Teil der Arbeitseinheit.
• Weder Vorgesetzte der abwesenden Person noch die Geschäftsführung oder die IT bekommen Einsicht, nur weil sie „aushelfen“.
• Unterstützendes Personal wird genauso wie die zuständigen Personen vertraglich zur Vertraulichkeit verpflichtet, wie die Gemeinsame Arbeitshilfe der Wohnungswirtschaft empfiehlt.
• Übergaben laufen über das System und nicht über weitergeleitete E-Mails oder ausgedruckte Akten.

Ein Postfach, auf das „zur Sicherheit“ mehrere Leute Zugriff haben, ist die häufigste Schwachstelle. Es löst das Vertretungsproblem, schafft aber ein Vertraulichkeitsproblem.

Die Vertretungsregelung in sieben Schritten

So bauen Sie eine Regelung auf, die bei einer Prüfung standhält und im Alltag funktioniert.

1. Hauptperson und Vertretung benennen. Mindestens eine Vertretung, bei größeren Organisationen eine Reihenfolge mit zwei Ebenen. Nennen Sie Funktion und Namen.
2. Auslöser festlegen. Wann greift die Vertretung? Bei geplanter Abwesenheit, bei Krankheit, bei Befangenheit und wenn die Hauptperson die Funktion niederlegt.
3. Reaktionszeit definieren. Ab welchem Abwesenheitstag übernimmt die Vertretung? Rechnen Sie von der Sieben-Tage-Frist rückwärts. Eine Übernahme spätestens nach zwei bis drei Arbeitstagen lässt Luft für die Eingangsbestätigung.
4. Fachkunde sicherstellen. Hauptperson und Vertretung durchlaufen dieselbe Schulung, und das Wissen wird regelmäßig aufgefrischt.
5. Unabhängigkeit schriftlich zusichern. Weisungsfreiheit, Benachteiligungsverbot und Zeitbudget gelten für beide Rollen.
6. Zugriff und Übergabe regeln. Wer schaltet den Zugriff frei? Wie wird ein laufender Fall übergeben? Was passiert nach der Rückkehr der Hauptperson?
7. Dokumentieren und bekannt machen. Die Regelung gehört in die Verfahrensordnung. Den Beschäftigten teilen Sie mit, dass es eine Vertretung gibt. Die Namen der Vertretung müssen Sie nicht veröffentlichen, wenn Meldungen über ein zentrales System eingehen.

Bausteine für Ihre Verfahrensordnung

Prüfen Sie die Regelung mindestens einmal im Jahr und immer dann, wenn eine Person die Funktion wechselt. Eine Vertretung, die das Unternehmen längst verlassen hat, ist ein typischer Befund.

Unsere Sicht als Anbieter von Hinweisgebersystemen

Die meisten Vertretungsregelungen scheitern nicht am Gesetz, sondern an der Praxis: Die Regelung steht in der Verfahrensordnung, aber die Meldungen landen in einem persönlichen Postfach, die Fristen stehen in einem privaten Kalender, und die Übergabe läuft per E-Mail. Sobald jemand ausfällt, bricht genau dort die Kette.

Wir sind überzeugt, dass sich Vertretung, Unabhängigkeit und Vertraulichkeit am verlässlichsten über die Plattform absichern lassen, auf der die Meldungen bearbeitet werden. In Ashio arbeitet die Meldestelle im Team an strukturierten Fällen. Die automatische Fristenüberwachung erinnert an die Eingangsbestätigung und die Rückmeldung, auch wenn die Hauptperson gerade nicht da ist. Jeder Schritt landet in einem unveränderlichen, exportierbaren Audit-Trail. So ist ein Wechsel zur Vertretung keine Lücke in der Dokumentation, sondern ein nachvollziehbarer Eintrag.

Genauso wichtig ist uns der Schutz der Hinweisgebenden. Unser Meldekanal speichert keine Identitätsdaten und kein IP-Tracking, die Kommunikation ist Ende-zu-Ende-verschlüsselt und die Daten liegen in der Schweiz (ISO 27001). Wer meldet, kann den Status seiner Meldung jederzeit verfolgen, egal, wer auf Seiten der Meldestelle gerade zuständig ist. Das schafft Vertrauen, und Vertrauen ist die Voraussetzung dafür, dass Missstände überhaupt intern gemeldet werden.

Author

Vertretung ohne Lücken mit Ashio

Sie möchten Ihre interne Meldestelle so einrichten, dass Fristen, Übergaben und Dokumentation auch bei Abwesenheit funktionieren? Ashio bündelt den anonymen Meldekanal, die Fallbearbeitung im Team, die Fristenüberwachung und den Audit-Trail auf einer Plattform, ohne IT-Aufwand bei Ihnen. Der Tarif Basic kostet 29 € pro Monat, und Sie können Ashio vorab kostenlos testen. Alle Funktionen der internen Meldestelle in Ashio finden Sie auf unserer Produktseite, den Einstieg auf ashio.eu. Für kleinere Unternehmen haben wir zusammengefasst, was ein Hinweisgebersystem für KMU leisten muss, und einen Überblick über das Hinweisgeberschutzgesetz gibt es ebenfalls.

Häufige Fragen

Schreibt das HinSchG eine Vertretung der Meldestelle ausdrücklich vor?

Nein, das Wort „Vertretung“ kommt im Gesetz nicht vor. Die Fristen aus § 17 HinSchG, also die Eingangsbestätigung binnen sieben Tagen und die Rückmeldung binnen drei Monaten, gelten aber auch bei Urlaub oder Krankheit. Ohne geregelte Vertretung lassen sie sich praktisch nicht zuverlässig einhalten.

Muss die Vertretung dieselbe Qualifikation haben wie die Hauptperson?

Ja. § 15 HinSchG verlangt Fachkunde und Unabhängigkeit von allen Personen, die mit den Aufgaben der Meldestelle betraut sind. Wer einspringt, bearbeitet Fälle mit derselben Verantwortung und sollte deshalb dieselbe Schulung durchlaufen.

Was passiert, wenn sich eine Meldung gegen die Meldestelle selbst richtet?

Dann ist die zuständige Person befangen und gibt den Fall vollständig an die Vertretung ab. Dazu gehört auch, dass ihr der Zugriff auf diesen Fall entzogen wird. Für den Fall, dass auch die Vertretung betroffen ist, sollte eine zweite Ebene benannt sein, etwa eine weitere Person oder ein beauftragter Dritter.

Darf die Geschäftsführung die Meldestelle vertreten?

Das Gesetz schließt das nicht ausdrücklich aus, aber Unabhängigkeit und Interessenkonflikte sind hier besonders kritisch. Meldungen betreffen häufig Entscheidungen der Leitung, und Beschäftigte melden eher, wenn die Meldestelle sichtbar von der Leitung getrennt ist. Eine Person aus Compliance, Recht oder Revision ist in der Regel die bessere Wahl.

Müssen Beschäftigte wissen, wer die Vertretung ist?

Beschäftigte brauchen klare Informationen darüber, wie sie melden können und dass ihre Meldung bearbeitet wird. Laufen Meldungen über ein zentrales System, genügt der Hinweis, dass eine Vertretung geregelt ist. Namen und Kontaktdaten der Vertretung veröffentlichen Sie nur, wenn Meldungen auch direkt an Personen gehen.

Quellen

§ 13 HinSchG: Aufgaben der internen Meldestellen § 14 HinSchG: Organisationsformen interner Meldestellen § 15 HinSchG: Unabhängige Tätigkeit, notwendige Fachkunde § 17 HinSchG: Verfahren bei internen Meldungen § 8 HinSchG: Vertraulichkeitsgebot LfDI Baden-Württemberg: FAQ Hinweisgeberschutzgesetz BvD: Das Hinweisgeberschutzgesetz BB IN-HOUSE: Basics: Das Hinweisgeberschutzgesetz (CB 2026, 259) GdW: Gemeinsame Arbeitshilfe zum Hinweisgeberschutzgesetz Köster-Gruppe: Verfahrensordnung für das Beschwerdeverfahren ARBURG: Verfahrensordnung für das Hinweisgebersystem

Empfehlungen

• Wer kann interne Meldestelle sein? Beauftragter, Anwalt, Externer
• Interne Meldestelle | Konforme Whistleblowing-Software