Compliance im Alltag
Der Kanal ist der einfache Teil. Entscheidend ist die Praxis dahinter: wer eine Meldung lesen darf, wie schnell Sie antworten müssen, was Sie aufbewahren müssen und wo nationales Recht mehr verlangt als die Richtlinie.
Zuletzt geprüft: 1. November 2026
Checkliste
Sind diese Punkte einmal eingerichtet, sieht eine Prüferin, ein Betriebsrat oder die Gewerbeaufsicht einen funktionierenden Prozess statt eines Formulars.
Veröffentlichen Sie den Melde-Link im Intranet und im Verhaltenskodex und nennen Sie ihn, wenn neue Beschäftigte anfangen. Ihre Hinweisgeberrichtlinie sollte den Kanal benennen, sagen, wer Meldungen erhält, und klarstellen, dass Repressalien verboten sind.
Kontoadministratoren verwalten das Erscheinungsbild, das Team und die Abrechnung und können keine Meldung öffnen. Fallbearbeiter lesen Meldungen und sehen keine Rechnung. Genau diese Trennung macht das Versprechen wahr: nur das Team mit der Fallrolle kann eine Meldung lesen.
Mit einer einzigen Person steht und fällt alles: Urlaub, Krankheit und die 7-Tage-Frist verhandeln nicht. Laden Sie eine zweite Person, eine externe Beratung oder beides ein und halten Sie die Rollenliste aktuell.
Die automatische Bestätigung quittiert den Eingang, sobald eine Meldung eintrifft. Ohne sie bestätigen Sie am Tag des Eingangs von Hand. In beiden Fällen ist die Frist am Fall hinterlegt, und die meldende Person kann über einen Link nachfassen.
Die Frist beginnt mit der Bestätigung, nicht mit der Meldung. Statusänderungen und Nachrichten am Fall dokumentieren, was der meldenden Person mitgeteilt wurde, und werden mit dem Fall exportiert.
Die Aufbewahrung wird pro Organisation eingestellt: ein, drei oder fünf Jahre. Sie erscheint im Datenschutzhinweis, den die meldende Person liest. Wählen Sie die Frist, die Ihr nationales Recht verlangt, statt bei der Voreinstellung zu bleiben.
Rollen und Unabhängigkeit
Unabhängigkeit ist in den meisten Mitgliedstaaten eine gesetzliche Anforderung, keine Geschmacksfrage. Daraus folgen zwei Entscheidungen: wer Zugriff auf Meldungen bekommt und wer aus einem Fall herausgehalten werden muss. Beides lässt sich vor der ersten Meldung leichter regeln als danach.
Grundsätzlich ja. Das europäische Hinweisgeberrecht verbietet es einem CEO nicht ausdrücklich, Meldungen entgegenzunehmen und ihnen nachzugehen. Das kann eine praktikable Lösung sein, besonders in kleineren Organisationen ohne eigene Compliance-Abteilung.
Allerdings muss die benannte Meldestelle unparteiisch, unabhängig und frei von Interessenkonflikten arbeiten. Die EU-Hinweisgeberrichtlinie erkennt an, dass kleinere Organisationen die Meldestelle mit einer anderen Unternehmensrolle verbinden können, sofern diese Schutzvorkehrungen gewahrt bleiben.
Ein CEO kann daher Meldungen zu anderen Sachverhalten bearbeiten, sofern er unparteiisch und unabhängig handeln kann. Er sollte keine Meldungen bearbeiten, die sein eigenes Verhalten betreffen, oder Fälle, in denen seine persönlichen Interessen oder Zuständigkeiten einen Interessenkonflikt begründen. In diesen Fällen muss die Meldung von einer anderen unparteiischen und geeigneten Person bearbeitet werden, etwa einem anderen Beschäftigten, einem Mitglied eines Aufsichtsgremiums oder einer externen Beratung.
Ashio trennt Kontoverwaltung und Fallbearbeitung. Die Kontoadministration verwaltet Abonnement, Abrechnung, Teammitglieder und Plattformkonfiguration, ohne automatisch Zugriff auf vertrauliche Meldungen zu haben; die Fallrolle gibt Zugriff auf Meldungen und Fallbearbeitung, ohne Zugriff auf Abrechnungsdaten zu verlangen. So kann der CEO das Abonnement führen, Rechnungen erhalten und das Konto verwalten und zugleich als Fallbearbeiter tätig sein, wo das passt.
Unsere Empfehlung: Auch wenn der CEO die Meldungen selbst bearbeitet, sollte vor der ersten Meldung eine Alternative bereitstehen, damit ein anderer Beschäftigter oder eine externe Beratung in der Fallrolle übernehmen kann, sobald ein Interessenkonflikt entsteht. Das gibt kleineren Organisationen Flexibilität und hilft, Unparteilichkeit und Glaubwürdigkeit des Verfahrens zu erhalten.
Wer selbst in den gemeldeten Sachverhalt verwickelt ist, sollte nicht dafür zuständig sein, die Meldung zu bewerten oder ihr nachzugehen. Das begründet einen Interessenkonflikt und untergräbt die Unparteilichkeit des Verfahrens.
Hat die Organisation nur eine benannte fallbearbeitende Person, sollte sie für diese Fälle eine Ausweichregelung schaffen. Je nach Struktur kann das ein anderer geeigneter Beschäftigter, ein Mitglied eines Aufsichtsgremiums oder eine externe Beratung bzw. ein externer Dienstleister sein.
Das EU-Recht erlaubt, dass externe Dritte die Meldestelle unterstützen, sofern die nötigen Vorkehrungen für Unabhängigkeit, Unparteilichkeit und Vertraulichkeit gewahrt sind.
Ashio hält die beiden Rollen getrennt, und die Ausweichregelung gehört in die Teammitgliederliste: Eine zweite Person in der Fallrolle, ein Beschäftigter oder eine externe Beratung, ist schon da, wenn die Meldung eingeht, und kann übernehmen, wenn die reguläre fallbearbeitende Person verwickelt ist. Eine Fallrolle, die erst danach vergeben wird, erreicht eine bereits eingegangene Meldung nicht.
Unsere Empfehlung: Auch wenn die Organisation nur eine reguläre fallbearbeitende Person hat, sollte die Ausweichregelung vor der ersten Meldung stehen. So lässt sich jede Meldung unparteiisch bearbeiten.
In Ashio nicht, und genau darum gibt es zwei Rollen. Ein Kontoadministrator kann sich die Fallrolle nicht selbst geben; Zugriff auf Meldungen braucht also immer eine zweite Person, die ihn bestätigt.
Jede Rollenänderung wird mit der handelnden Person im Team-Protokoll festgehalten. Die Frage, wer wem Zugriff auf Meldungen gegeben hat, lässt sich damit Monate später beantworten, ohne sich auf Erinnerungen zu verlassen.
Ein Ein-Personen-Unternehmen lädt zuerst eine Kollegin ein, weil niemand sich die Fallrolle selbst geben kann. Wenn sich das nach einer Hürde anfühlt: Es ist dieselbe Hürde wie eine zweite Unterschrift bei einer Zahlung, und sie bewirkt dasselbe. Niemand kann sich still selbst hereinlassen.
Ja. Das EU-Recht erlaubt Organisationen ausdrücklich, externe Dritte mit der Entgegennahme und Nachverfolgung von Hinweisgebermeldungen zu beauftragen. Erwägungsgrund 54 der EU-Hinweisgeberrichtlinie nennt ausdrücklich externe Rechtsanwälte, Wirtschaftsprüfer und Anbieter externer Meldeplattformen als Beispiele.
Für kleinere Organisationen kann das ein praktischer Weg sein, Meldungen unparteiisch bearbeiten zu lassen, ohne eine eigene Compliance-Abteilung aufzubauen. Die externe Beratung kann damit beauftragt werden, Meldungen entgegenzunehmen, mit Hinweisgebern zu kommunizieren und die Nachverfolgung zu koordinieren.
Der externe Anbieter muss angemessene Garantien für Unabhängigkeit, Vertraulichkeit, Datenschutz und Berufsgeheimnis bieten.
Ashio macht die externe Fallbearbeitung einfach. Laden Sie Ihre externe Kanzlei oder Beratung als Teammitglied mit der Fallrolle ein. Sie erreicht die relevanten Meldungen, die Fristen und die Prüfhistorie über ihr eigenes Konto, und jede ihrer Aktionen liegt unter ihrem Namen.
Zwei Dinge gehen leicht schief. Die Beratung braucht ein Mandat: Ashio stellt den Meldekanal und die Fallverwaltung bereit, ermittelt aber nicht selbst und tritt nicht als Ihre Rechtsvertretung auf; deshalb muss die Organisation den Umfang mit der Beratung vereinbaren. Und der Zugang gilt pro Organisation: Eine Beratung, die für mehrere Rechtsträger arbeitet, wird in jede einzeln eingeladen.
So kann eine Organisation externes Fachwissen nutzen und die Verantwortung für ihre Hinweisgeberstruktur trotzdem klar zuordnen.
Die Richtlinie erlaubt externe Anwälte und Beratungen ausdrücklich, doch das nationale Umsetzungsrecht kann zusätzliche Bedingungen stellen, und wer eine Beratung beauftragt, gibt damit die rechtliche Verantwortung der Organisation nicht ab.
Länderspezifische Anforderungen
Das sind einige der nationalen Unterschiede, die beeinflussen, wie Sie Ihren Hinweisgeberkanal einrichten und betreiben.
Die interne Meldestelle muss unabhängig und frei von Interessenkonflikten arbeiten. Fallbearbeiter dürfen andere Aufgaben haben, sofern daraus keine Konflikte entstehen, und müssen über die nötige Sachkunde verfügen.
Alle Meldungen müssen dokumentiert und die Aufzeichnungen grundsätzlich drei Jahre nach Abschluss des Verfahrens gelöscht werden, sofern eine längere Aufbewahrung nach geltendem Recht notwendig und verhältnismäßig ist.
Besteht ein Betriebsrat, sind seine Mitbestimmungsrechte zu prüfen, besonders wenn die Software als technische Einrichtung zur Überwachung von Verhalten oder Leistung der Beschäftigten gilt.
Organisationen, die den Anforderungen an das interne Meldeverfahren unterliegen, müssen ein Verfahren zur Entgegennahme und Nachverfolgung von Meldungen einrichten. Das Verfahren muss die geeignete Person, Abteilung oder den externen Dritten benennen, die für die Bearbeitung zuständig ist.
Die CNIL verlangt angemessene Aufbewahrungsfristen, die sich am Zweck der Verarbeitung und den Grundsätzen der DSGVO orientieren. Eine einheitliche feste Frist für alle Hinweisgeberfälle gibt es nicht.
Die Loi Waserman hat den Schutz von Hinweisgebern erweitert und das französische Meldesystem näher an die EU-Richtlinie herangeführt.
Die Organisation muss einen Responsable del Sistema benennen, also die für das interne Informationssystem verantwortliche Person. Diese wird vom Leitungsorgan bestellt und muss ihre Aufgaben unabhängig und eigenverantwortlich wahrnehmen, ohne in dieser Rolle Weisungen zu erhalten.
Der Eingang ist innerhalb von 7 Kalendertagen zu bestätigen und die Meldung innerhalb von 3 Monaten nach Eingang zu beantworten. In besonders komplexen Fällen kann diese Frist um bis zu weitere 3 Monate verlängert werden.
Die Bestellung und die Abberufung der verantwortlichen Person sind der zuständigen Behörde zudem innerhalb von 10 Arbeitstagen mitzuteilen.
Der interne Meldekanal ist einer eigenständigen Person oder Abteilung mit eigens geschultem Personal zu übertragen. Je nach Organisation kann diese Funktion intern oder extern wahrgenommen werden.
Meldungen sind grundsätzlich innerhalb von 7 Tagen zu bestätigen und innerhalb von 3 Monaten nachzuverfolgen. Die ANAC, die nationale Antikorruptionsbehörde, ist für den externen Meldekanal zuständig und hat Aufsichts- und Durchsetzungsbefugnisse einschließlich der Möglichkeit, Sanktionen zu verhängen.
Arbeitgeber, die den Anforderungen an das interne Meldeverfahren unterliegen, müssen unabhängige Personen benennen, die Meldungen entgegennehmen, und eine sorgfältige Nachverfolgung sicherstellen.
Das Verfahren muss eine Bestätigung innerhalb von 7 Tagen und eine Rückmeldung innerhalb von höchstens 3 Monaten nach der Bestätigung vorsehen.
Das Gesetz erlaubt zudem kleineren privaten Arbeitgebern mit 50 bis 249 Beschäftigten, Ressourcen für die Entgegennahme und Prüfung von Meldungen zu teilen, sofern die geltenden Bedingungen erfüllt sind.
Das interne Meldeverfahren muss die Person oder Organisationseinheit benennen, die zur Entgegennahme von Meldungen befugt ist, sowie eine unparteiische interne Person oder Einheit, die für die Nachverfolgung zuständig ist.
Meldungen sind grundsätzlich innerhalb von 7 Tagen zu bestätigen und innerhalb von höchstens 3 Monaten zu beantworten, vorbehaltlich der gesetzlichen Bedingungen.
Vor der Einrichtung des internen Meldeverfahrens muss die Organisation die zuständige Gewerkschaft oder, falls es keine gibt, die Beschäftigtenvertretung beteiligen. Die Beteiligung muss zwischen 5 und 10 Tagen dauern.
Rechtliche Angaben sollten vor der Umsetzung an der aktuellen nationalen Gesetzgebung geprüft werden. Diese Übersicht deckt ausgewählte EU-Mitgliedstaaten ab, nicht alle 27. Nationale Anforderungen können sich ändern und von Größe, Branche und Struktur der Organisation abhängen.
Diese Seite ist praktische Orientierung, keine Rechtsberatung. Was für Sie gilt, entscheiden Gesetz, Betriebsrat und Ihre Rechtsberatung. Jede Länderseite nennt das Datum der letzten Prüfung.
Kanal starten, eine zweite fallbearbeitende Person einladen und die Fristen sich selbst nachhalten lassen. 14 Tage kostenlos, keine Kreditkarte.