Whistleblowing Portal einführen: So gelingt die Umsetzung

Wenn Ihr Unternehmen meldepflichtig ist, müssen Sie jetzt eine interne Meldestelle und gesetzeskonforme Meldekanäle einrichten. Das Hinweisgeberschutzgesetz verlangt dies je nach Beschäftigtenzahl bereits seit 2023, inklusive fester Fristen für Eingangsbestätigung und Rückmeldung. Der erste Schritt ist simpel: Prüfen Sie Ihre Zuständigkeit, dann starten Sie den technischen und organisatorischen Einführungscheck.

Kurz gesagt:

• Unternehmen mit 50 oder mehr Beschäftigten sind verpflichtet, eine interne Meldestelle einzurichten, wobei die Frist für die Umsetzung je nach Unternehmensgröße variiert.
• Meldungen müssen in Textform und mündlich möglich sein, inklusive einer persönlichen Zusammenkunft auf Wunsch des Hinweisgebers, um eine breite Zugänglichkeit sicherzustellen.
• Innerhalb von sieben Tagen muss die Meldestelle den Eingang bestätigen, und innerhalb von drei Monaten sind Rückmeldungen zu ergriffenen Maßnahmen gesetzlich vorgeschrieben.
• Technische Maßnahmen wie Verschlüsselung, Zugriffskontrollen und auditierbare Dokumentation sind für ein rechtskonformes Whistleblowing-Portal essenziell, wobei eine spezialisierte Plattform diese erleichtert.
• Die Einführung sollte in jeder Phase sorgfältig geplant werden, beginnend mit der rechtlichen Klärung, über die technische Umsetzung bis zum Betrieb und kontinuierlicher Prozesskontrolle.

Inhaltsverzeichnis

• Gesetzlicher Rahmen und Anwendungsbereich des Hinweisgeberschutzgesetzes
• Was das Gesetz an Meldekanälen und Verfahren konkret verlangt
• Datenschutz und die technischen Maßnahmen für ein rechtssicheres Portal
• Wer im Unternehmen welche Aufgaben übernehmen muss
• Meldekanäle im Vergleich: Portal, Hotline oder Ombudsperson
• Wie Meldungen ablaufen: Fristen und Fallbearbeitung im Alltag
• Praxishilfe: Der Einführungsplan in vier Phasen
• Wie eine spezialisierte Plattform die Umsetzung in der Praxis erleichtert
• Was Entscheider in den nächsten 90 Tagen wirklich priorisieren sollten
• Unterstützung bei Einführung und laufendem Betrieb
• Quellen
• FAQ

Gesetzlicher Rahmen und Anwendungsbereich des Hinweisgeberschutzgesetzes

Das Hinweisgeberschutzgesetz, kurz HinSchG, setzt die EU-Richtlinie über den Hinweisgeberschutz in nationales Recht um. Es schützt Personen, die im beruflichen Kontext Rechtsverstöße melden, vor Repressalien wie Kündigung oder Mobbing. Gleichzeitig verpflichtet es Arbeitgeber, dafür einen strukturierten Rahmen zu schaffen.

§12 HinSchG bildet den Kern der Pflicht: Arbeitgeber müssen eine interne Meldestelle einrichten, betreiben und für Beschäftigte zugänglich machen. Wer davon betroffen ist, hängt an der Mitarbeiterzahl. Unternehmen mit 250 oder mehr Beschäftigten mussten ihre interne Meldestelle bereits zum 2. Juli 2023 vorweisen, kleinere Betriebe mit 50 bis 249 Beschäftigten hatten eine Übergangsfrist bis zum 17. Dezember 2023, wie der Gesetzestext festhält. Unternehmen unter 50 Beschäftigten sind grundsätzlich nicht verpflichtet, außer eine Branchenregel schreibt es vor, etwa im Finanzsektor.

Inhaltlich deckt das Gesetz Verstöße gegen Strafvorschriften und bestimmte bußgeldbewehrte Vorschriften ab, ebenso Verstöße gegen EU-Recht in Bereichen wie Datenschutz, Produktsicherheit oder öffentliches Auftragswesen. Geschützt sind nicht nur aktuelle Mitarbeiter, sondern auch Bewerber, ehemalige Beschäftigte und Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Kenntnis von einem Missstand erlangt haben.

Neben der internen Meldestelle sieht das Gesetz externe Meldestellen vor, etwa beim Bundesamt für Justiz oder bei Aufsichtsbehörden wie der BaFin. Hinweisgeber können frei wählen, ob sie intern oder extern melden, das Gesetz gibt keinen Vorrang für den internen Weg vor. Genau deshalb lohnt es sich für Unternehmen, den internen Kanal so vertrauenswürdig zu gestalten, dass Beschäftigte ihn tatsächlich nutzen, statt gleich zur Behörde zu gehen.

Die wichtigsten Eckpunkte für Entscheider auf einen Blick:

• Interne Meldestelle ist ab 50 Beschäftigten Pflicht, mit unterschiedlichen Startterminen je nach Unternehmensgröße.
• Geschützt sind Meldungen zu Straftaten, bestimmten Ordnungswidrigkeiten und Verstößen gegen EU-Recht.
• Der Schutzbereich umfasst Beschäftigte, ehemalige Mitarbeiter und Bewerber.
• Hinweisgeber dürfen frei zwischen interner und externer Meldestelle wählen.

Weitere Details zu den gesetzlichen Grundlagen und deren praktischer Auslegung fasst Ashio in seiner Übersicht zum HinSchG zusammen.

Was das Gesetz an Meldekanälen und Verfahren konkret verlangt

Mit der Pflicht zur Einrichtung einer Meldestelle allein ist es nicht getan. §16 HinSchG schreibt vor, wie Meldungen entgegengenommen werden müssen, und §17 sowie §18 regeln, was danach passiert.

Der Gesetzgeber verlangt, dass Meldungen sowohl in Textform als auch mündlich möglich sind, etwa per Telefon. Auf Wunsch des Hinweisgebers muss zudem eine persönliche Zusammenkunft innerhalb einer angemessenen Frist angeboten werden. Anonyme Meldungen müssen nicht zwingend bearbeitet werden, sollten es aber, denn viele Hinweisgeber melden nur, wenn ihre Identität ungenannt bleibt.

Der Ablauf nach Eingang einer Meldung folgt einem festen Muster:

1. Innerhalb von sieben Tagen muss die Meldestelle den Eingang der Meldung bestätigen.
2. Die Meldestelle prüft die Stichhaltigkeit und hält Kontakt zum Hinweisgeber, soweit erforderlich.
3. Innerhalb von drei Monaten nach der Eingangsbestätigung muss die Meldestelle dem Hinweisgeber eine Rückmeldung zu geplanten oder ergriffenen Folgemaßnahmen geben.
4. Bei Bedarf werden interne Untersuchungen eingeleitet, etwa in Zusammenarbeit mit Compliance oder Rechtsabteilung.
5. Der gesamte Vorgang wird dokumentiert, einschließlich Zeitpunkten und Entscheidungen.

Diese Fristen sind keine Kann-Bestimmungen. Wer sie versäumt, riskiert nicht nur Vertrauensverlust bei den eigenen Beschäftigten, sondern auch aufsichtsrechtliche Konsequenzen.

Wichtig ist außerdem die Zugriffsbeschränkung: Nur die mit der Bearbeitung betrauten Personen dürfen Zugang zu den Meldungen und den zugehörigen Daten haben. Das Gesetz verlangt zudem eine Dokumentationspflicht für jede eingehende Meldung, unabhängig davon, ob sie sich später als stichhaltig erweist oder nicht. Diese Aufzeichnungen müssen so aufbewahrt werden, dass sie im Streitfall nachvollziehbar bleiben, aber gleichzeitig den Datenschutzvorgaben genügen.

Für die praktische Umsetzung bedeutet das: Ein Whistleblowing Portal muss mindestens einen digitalen Meldekanal mit Textmöglichkeit bieten, dazu im besten Fall eine Option für mündliche Meldung, etwa über einen Rückrufwunsch oder eine Sprachnachrichtenfunktion. Wer ausschließlich auf ein Formular setzt und die mündliche Option ignoriert, erfüllt die gesetzlichen Vorgaben nicht vollständig.

Datenschutz und die technischen Maßnahmen für ein rechtssicheres Portal

Ein Whistleblowing Portal verarbeitet naturgemäß sensible personenbezogene Daten, oft über Personen, die selbst nicht wissen, dass gegen sie ermittelt wird. Die DSGVO gilt hier in voller Schärfe, insbesondere Artikel 32 zu den technischen und organisatorischen Maßnahmen.

Die Orientierungshilfe der Datenschutzaufsichtsbehörden zu Whistleblowing-Hotlines macht deutlich, dass technische Sicherheit allein nicht reicht. Organisatorische Maßnahmen wie Zugriffsbegrenzung, getrennte Zuständigkeiten und ein durchdachtes Löschkonzept müssen ergänzend greifen. Die Behörden empfehlen außerdem, die Meldestelle bewusst außerhalb der Personalverwaltung zu organisieren, denn eine strikte Trennung von HR erhöht das Vertrauen der Hinweisgeber und verringert Interessenkonflikte innerhalb der Organisation.

Konkret sollte ein Portal folgende technische Maßnahmen umsetzen:

• Verschlüsselung der Daten während der Übertragung und bei der Speicherung.
• Ein Berechtigungskonzept, das den Zugriff auf die jeweils zuständigen Bearbeiter beschränkt.
• Lückenlose Protokollierung aller Zugriffe und Bearbeitungsschritte für Nachvollziehbarkeit.
• Ein klar definiertes Löschkonzept, das personenbezogene Daten nach Ablauf der gesetzlichen oder vertraglich vereinbarten Frist entfernt.

Auf organisatorischer Seite kommt es vor allem auf klare Rollen an. Wer Zugriff auf welche Fälle hat, muss dokumentiert sein, ebenso wie die Frage, ob die Meldestelle intern besetzt oder an einen externen Dritten übertragen wird. Die GDD-Praxishilfe zur DSGVO-konformen Nutzung interner Meldestellen empfiehlt eine interdisziplinäre Abstimmung zwischen Datenschutz, Compliance, IT und Betriebsrat, bevor ein Portal live geht, denn Fallzugriff und Löschfristen berühren gleich mehrere Rechtsbereiche zugleich.

Profi-Tipp: Legen Sie das Löschkonzept schriftlich fest, bevor das Portal startet, nicht danach. Nachträgliche Anpassungen an bereits gespeicherten Fällen sind aufwendig und schaffen unnötige Rechtsunsicherheit.

Ein Punkt, der häufig übersehen wird: Die Meldestelle selbst muss auditierbar bleiben. Das heißt, jede Entscheidung, jede Fristverlängerung und jede Weiterleitung an eine Fachabteilung sollte sich im Nachhinein nachvollziehen lassen, ohne dass dabei die Anonymität des Hinweisgebers gefährdet wird. Diese doppelte Anforderung, Nachvollziehbarkeit einerseits und Anonymität andererseits, ist technisch anspruchsvoll und einer der Gründe, warum viele Unternehmen auf spezialisierte Software statt auf ein einfaches E-Mail-Postfach setzen.

Wer im Unternehmen welche Aufgaben übernehmen muss

Die interne Meldestelle braucht Personen, die unabhängig handeln können und über die nötige Fachkunde verfügen. Das Gesetz verlangt keine juristische Ausbildung, wohl aber die Fähigkeit, Sachverhalte sauber zu prüfen und Vertraulichkeit zu wahren.

Unternehmen haben grundsätzlich zwei Optionen: Die Meldestelle wird intern mit eigenen Mitarbeitern besetzt, etwa aus Compliance oder Rechtsabteilung, oder sie wird an einen externen Dritten übertragen, etwa einen Rechtsanwalt oder spezialisierten Dienstleister. Beide Wege sind gesetzlich zulässig. Der interne Weg bringt Nähe zum Unternehmen und kürzere Kommunikationswege, birgt aber das Risiko von Interessenkonflikten, wenn die zuständige Person zu nah an möglichen Betroffenen sitzt. Der externe Weg schafft mehr Distanz und oft mehr Vertrauen bei den Hinweisgebern, kostet dafür aber zusätzlich Budget und macht die Abstimmung mit internen Fachabteilungen etwas aufwendiger. Wer sich noch nicht sicher ist, welche Rolle intern besetzt werden sollte, findet in Ashios Übersicht zu möglichen Betreibern interner Meldestellen eine Einordnung der gängigen Modelle.

Unabhängig von der gewählten Konstellation braucht die Einführung eine enge Abstimmung mit mehreren Stellen:

• Der Betriebsrat hat regelmäßig Mitbestimmungsrechte, sobald es um die Ausgestaltung des Meldeverfahrens geht, etwa bei der Auswahl der Software oder den internen Richtlinien.
• Der Datenschutzbeauftragte muss frühzeitig eingebunden werden, weil das Portal personenbezogene Daten verarbeitet und eine Datenschutz-Folgenabschätzung sinnvoll sein kann.
• Die IT-Abteilung verantwortet Hosting, Zugriffsrechte und die technische Sicherheit der gewählten Lösung.
• Die Compliance-Abteilung definiert, wie Meldungen inhaltlich bewertet und an welche Fachbereiche sie weitergeleitet werden.

Wer diese vier Parteien erst nach der Softwareauswahl einbindet, muss oft nachträglich Prozesse ändern. Deutlich effizienter ist es, alle Beteiligten schon in der Planungsphase an einen Tisch zu holen.

Meldekanäle im Vergleich: Portal, Hotline oder Ombudsperson

Unternehmen können zwischen verschiedenen Kanaltypen wählen, solange die gesetzlichen Mindestanforderungen erfüllt sind. Jede Variante hat eigene Stärken bei Anonymität, Nachweisbarkeit und Alltagstauglichkeit.

Ein digitales Webportal bietet in der Regel die höchste Anonymität, weil Hinweisgeber ohne Namensnennung und ohne erkennbare IP-Adresse einen Fall anlegen können, sofern die Software entsprechend gebaut ist. Gleichzeitig lässt sich der gesamte Kommunikationsverlauf lückenlos dokumentieren, was die Nachweisbarkeit gegenüber Aufsichtsbehörden erleichtert.

Eine Telefonhotline wirkt vertrauter für Mitarbeiter, die sich mit digitalen Formularen unwohl fühlen, bringt aber praktische Hürden: Erreichbarkeit außerhalb der Bürozeiten, Sprachbarrieren und die Frage, wer das Gespräch mitschneidet oder protokolliert.

Eine Ombudsperson, meist ein externer Rechtsanwalt, schafft persönliches Vertrauen und eignet sich gut für Fälle, in denen Hinweisgeber lieber mit einem Menschen sprechen als mit einem Formular. Dafür ist dieser Weg oft langsamer in der Dokumentation und schwerer skalierbar bei vielen Meldungen.

In der Praxis kombinieren viele Unternehmen mehrere Kanäle: ein digitales Portal als Basis, ergänzt durch eine telefonische Option und gegebenenfalls eine Ombudsperson für sensible Einzelfälle.

• Ein Webportal punktet bei Anonymität und Dokumentation, ist aber auf digitale Kompetenz der Nutzer angewiesen.
• Eine Telefonhotline fühlt sich persönlicher an, bringt aber Erreichbarkeits- und Protokollierungsfragen mit sich.
• Eine Ombudsperson schafft Vertrauen bei heiklen Fällen, skaliert aber schlecht bei hohem Meldeaufkommen.

Damit der gewählte Kanal überhaupt genutzt wird, braucht es begleitende Kommunikation: klare Hinweise im Intranet, in Schulungen und im Onboarding neuer Mitarbeiter, dass ein Meldeweg existiert und wie er funktioniert. Ein technisch perfektes Portal, das niemand kennt, bleibt wirkungslos.

Wie Meldungen ablaufen: Fristen und Fallbearbeitung im Alltag

Sobald eine Meldung eingeht, startet ein festgelegter Ablauf mit klaren Zeitfenstern. Wer diesen Prozess vorab durchdenkt, vermeidet im Ernstfall Hektik und Fristversäumnisse.

Der Ablauf sieht in der Praxis meist so aus:

1. Die Meldung geht über den gewählten Kanal ein, digital, telefonisch oder persönlich.
2. Innerhalb von sieben Tagen bestätigt die Meldestelle den Eingang gegenüber dem Hinweisgeber, sofern dessen Kontaktdaten bekannt sind.
3. Die zuständige Person prüft die Stichhaltigkeit der Meldung und hält bei Bedarf Rückfragen mit dem Hinweisgeber.
4. Bei begründetem Verdacht werden interne Untersuchungen eingeleitet, gegebenenfalls unter Einbindung von Rechtsabteilung, IT-Forensik oder externen Prüfern.
5. Innerhalb von drei Monaten nach der Eingangsbestätigung erhält der Hinweisgeber eine Rückmeldung zu ergriffenen oder geplanten Maßnahmen.
6. Der gesamte Vorgang wird dokumentiert und archiviert, unter Beachtung der Löschfristen.

Diese Schritte lassen sich nicht beliebig verkürzen oder verschieben. Die Fristen aus §17 und §18 HinSchG gelten unabhängig davon, wie komplex ein Fall ist, auch wenn die inhaltliche Prüfung selbst länger dauern kann als die reine Rückmeldung.

Ein Detail, das häufig unterschätzt wird: Die Rückmeldung an den Hinweisgeber muss nicht das Ergebnis der Untersuchung im Detail offenlegen, sehr wohl aber, welche Schritte eingeleitet wurden. Das schützt einerseits die Vertraulichkeit laufender Ermittlungen, erfüllt andererseits die gesetzliche Informationspflicht.

Wichtig ist außerdem die Dokumentation von Nichtstichhaltigkeit. Auch wenn sich eine Meldung als unbegründet erweist, muss der Vorgang nachvollziehbar bleiben, falls später Rückfragen von Aufsichtsbehörden oder Gerichten kommen.

Praxishilfe: Der Einführungsplan in vier Phasen

Eine strukturierte Einführung lässt sich in vier Phasen gliedern, von der Vorbereitung bis zum laufenden Betrieb. Die GDD-Praxishilfe beschreibt genau diesen Ablauf als praxistaugliche Checkliste für Unternehmen, die ihre Meldestelle rechtssicher aufbauen wollen.

In der Vorbereitungsphase klären Sie zunächst, ob Ihr Unternehmen tatsächlich meldepflichtig ist, und binden alle relevanten Stakeholder ein, also Geschäftsführung, Betriebsrat, Datenschutzbeauftragten, IT und Compliance. Parallel entsteht ein erstes Datenschutzkonzept, das festlegt, wer auf welche Daten zugreifen darf und wie lange sie gespeichert werden.

In der technischen Umsetzungsphase wählen Sie die passende Lösung aus, ob Eigenentwicklung, klassische Ombudsperson oder eine spezialisierte Softwareplattform, und richten Zugriffsrechte, Verschlüsselung und Meldeformulare ein. Testläufe vor dem Livegang decken oft Lücken auf, etwa fehlende mündliche Meldeoptionen oder unklare Zuständigkeiten bei komplexeren Fällen.

Die Rollout-Phase umfasst Schulungen für die Meldestelle selbst sowie eine breite interne Kommunikation, damit alle Beschäftigten wissen, dass es einen Meldeweg gibt und wie er funktioniert. Hier gehört auch der Hinweis auf externe Meldestellen dazu, denn Hinweisgeber müssen wissen, dass sie diese Option jederzeit alternativ nutzen können.

In der Betriebsphase schließlich braucht es laufendes Monitoring der Fristen, regelmäßige Prüfung der Prozesse und, sofern sich Beschäftigtenzahlen oder Organisationsstrukturen ändern, eine Anpassung des gesamten Systems.

• Vorbereitung: Anwendungsbereich prüfen, Stakeholder einbinden, Datenschutzkonzept erstellen.
• Technische Umsetzung: Lösung auswählen, Zugriffsrechte konfigurieren, Testläufe durchführen.
• Rollout: Meldestelle schulen, Beschäftigte informieren, auf externe Meldestellen verweisen.
• Betrieb: Fristen überwachen, Prozesse regelmäßig prüfen, System bei Bedarf anpassen.

Wer diese vier Phasen nacheinander abarbeitet statt alles gleichzeitig anzugehen, reduziert das Risiko, wichtige Abstimmungspunkte zu übersehen. Mehr zur konkreten Ausgestaltung eines Hinweisgebersystems, von der Struktur bis zur passenden Software, findet sich in Ashios Leitfaden zum Aufbau eines Hinweisgebersystems.

Wie eine spezialisierte Plattform die Umsetzung in der Praxis erleichtert

Viele der beschriebenen Anforderungen, Fristenüberwachung, Zugriffsbegrenzung, Audit-Trail, lassen sich mit einer selbst gebauten Lösung nur mit erheblichem Aufwand erfüllen. Deshalb setzen zahlreiche Unternehmen auf spezialisierte Software statt auf ein internes E-Mail-Postfach oder ein einfaches Formular.

Es gibt cloudbasierte Plattformen, die genau an diesen Pflichten ansetzen. Meldungen kommen ohne IP-Tracking und ohne Identitätsdaten an, was echte Anonymität für Hinweisgeber schafft. Jede Fallbearbeitung wird revisionssicher dokumentiert, sodass die gesetzlich verlangte Nachvollziehbarkeit gegeben ist, ohne die Vertraulichkeit zu gefährden.

Konkret unterstützt die Plattform folgende Punkte aus dem Gesetz:

• Ein individuell gestaltbares Meldeformular deckt die Textform nach §16 ab.
• Automatische Fristenüberwachung erinnert an die Eingangsbestätigung nach sieben Tagen und die Rückmeldung nach drei Monaten.
• Ein vollständiger Audit-Trail dokumentiert jeden Bearbeitungsschritt, ohne die Anonymität des Hinweisgebers preiszugeben.
• Statusverfolgung in Echtzeit erlaubt Hinweisgebern, den Fortschritt ihrer Meldung nachzuverfolgen, ohne erneut Kontakt aufnehmen zu müssen.

Was eine Software nicht ersetzt: die organisatorische Klärung, wer intern für die Bearbeitung zuständig ist, und die Abstimmung mit dem Betriebsrat zur Ausgestaltung des Verfahrens. Diese Entscheidungen bleiben Sache des Unternehmens, unabhängig von der gewählten technischen Lösung.

Was Entscheider in den nächsten 90 Tagen wirklich priorisieren sollten

Die größte Fehleinschätzung bei diesem Thema: Viele Unternehmen behandeln die Einführung einer Meldestelle als IT-Projekt. Sie ist zuerst ein rechtliches und organisatorisches Projekt, die Technik kommt danach.

Setzen Sie die Prioritäten also in dieser Reihenfolge: Erstens die rechtliche Zuständigkeit klären und die Meldestelle personell besetzen. Zweitens Datenschutz und Betriebsrat einbinden, bevor eine Software ausgewählt wird. Drittens erst die technische Lösung konfigurieren und testen.

Wer diese Reihenfolge umdreht, kauft oft ein Portal, das später an Mitbestimmungsfragen oder Datenschutzvorgaben scheitert und nachträglich angepasst werden muss. Das kostet mehr Zeit, als die richtige Reihenfolge von Anfang an gekostet hätte. Nichtumsetzung bedeutet zudem nicht nur ein aufsichtsrechtliches Risiko, sondern auch den Verlust von Hinweisen, die sonst früh genug ein größeres Problem verhindert hätten.

Unterstützung bei Einführung und laufendem Betrieb

Wer die rechtlichen Anforderungen verstanden hat, steht vor der nächsten Frage: Wie setzt man das um, ohne monatelang IT-Ressourcen zu binden. Ashio bietet dafür eine fertige Plattform, die Unternehmen ohne eigenen Entwicklungsaufwand einrichten können.

Die Lösung deckt die zentralen gesetzlichen Anforderungen bereits im Standardumfang ab: anonymer Meldekanal ohne IP-Tracking, automatische Fristenüberwachung für Eingangsbestätigung und Rückmeldung, sowie ein exportierbarer, unveränderlicher Audit-Trail. Gehostet wird die Plattform in der Schweiz nach ISO 27001, unabhängig vom Arbeitgeber selbst betrieben. Für Unternehmen, die noch unsicher sind, wie sich die Anforderungen konkret in Software abbilden lassen, lohnt sich ein Blick auf die Produktseite zum Hinweisgebersystem oder, für kleinere Betriebe, auf die Lösung für KMU.

Wer den nächsten Schritt gehen möchte, findet auf Ashio den Einstieg in das Basic-Paket samt weiteren Informationen zum Onboarding.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

Quellen

• Hinweisgeberschutzgesetz (HinSchG) §12 (Gesetze‑im‑Internet)
• Orientierungshilfe der Datenschutzaufsichtsbehörden zu Whistleblowing‑Hotlines
• GDD‑Praxishilfe zur DS‑GVO‑konformen Nutzung interner Meldestellen (2025)

FAQ

Ab wie vielen Beschäftigten ist ein Whistleblowing Portal Pflicht?

Unternehmen mit 50 oder mehr Beschäftigten müssen eine interne Meldestelle einrichten, wie §12 HinSchG festlegt. Größere Unternehmen mit 250 oder mehr Beschäftigten mussten diese Pflicht bereits früher erfüllen, kleinere Betriebe zwischen 50 und 249 Beschäftigten hatten eine längere Übergangsfrist, wie im Gesetzestext nachzulesen ist.

Welche Meldekanäle schreibt das Gesetz konkret vor?

Meldungen müssen sowohl in Textform als auch mündlich, etwa telefonisch, möglich sein, und auf Wunsch muss eine persönliche Zusammenkunft angeboten werden. Diese Vorgaben ergeben sich aus §16 HinSchG und gelten unabhängig davon, ob die Meldestelle intern oder extern betrieben wird.

Muss die interne Meldestelle unabhängig von der Personalabteilung sein?

Eine strikte gesetzliche Trennung von der Personalabteilung schreibt das Gesetz nicht direkt vor, doch die BfDI-Orientierungshilfe empfiehlt diese Trennung ausdrücklich. Sie erhöht das Vertrauen der Hinweisgeber und verringert das Risiko von Interessenkonflikten innerhalb der Organisation.

Wie schnell muss eine Meldung beantwortet werden?

Die Meldestelle muss den Eingang einer Meldung innerhalb von sieben Tagen bestätigen und dem Hinweisgeber spätestens nach drei Monaten eine Rückmeldung zu den ergriffenen Maßnahmen geben. Diese Fristen ergeben sich aus §17 und §18 HinSchG und gelten unabhängig von der Komplexität des Falls.

Kann eine Software wie Ashio die interne Meldestelle rechtlich ersetzen?

Eine Software wie Ashio bildet die technischen Anforderungen ab, etwa anonyme Meldekanäle und Fristenüberwachung, ersetzt aber nicht die organisatorische Entscheidung, wer die Meldestelle personell besetzt. Diese Zuständigkeit muss das Unternehmen selbst festlegen, gegebenenfalls in Abstimmung mit dem Betriebsrat.