Ein interner Meldekanal nach dem Hinweisgeberschutzgesetz muss mehr als ein E-Mail-Postfach sein: Er muss Meldungen vertraulich mündlich und in Textform entgegennehmen, den Eingang binnen 7 Tagen bestätigen und binnen 3 Monaten über Folgemaßnahmen zurückmelden. Diese Anleitung zeigt Schritt für Schritt, wie Sie den Kanal aufsetzen, wer ihn betreiben darf (interne Person oder externe Ombudsperson) und welche Fehler Bußgelder auslösen.
Ein interner Meldekanal nach dem Hinweisgeberschutzgesetz (HinSchG) ist mehr als ein Briefkasten. Damit er rechtssicher ist, muss er:
Meldungen mündlich und in Textform entgegennehmen und auf Wunsch ein persönliches Treffen ermöglichen (§ 16),
die Identität der hinweisgebenden und der betroffenen Personen vertraulich halten (§ 8),
den Eingang binnen 7 Tagen bestätigen und binnen 3 Monaten über Folgemaßnahmen zurückmelden (§ 17),
von einer unabhängigen, unparteiischen Person betrieben werden – intern (z. B. Compliance-Beauftragte) oder extern (z. B. eine Anwalts-Ombudsperson),
Keine Rechtsberatung – Angaben ohne Gewähr. Beträge, Fristen und Schwellen können sich ändern; im Zweifel Fachperson hinzuziehen.
Häufige Fragen
Reicht ein E-Mail-Postfach als interner Meldekanal?
Nein. Ein normales Postfach verletzt schon die Vertraulichkeit, weil die IT und oft mehrere Personen mitlesen können. Zudem fehlen die Fristenkontrolle (7 Tage / 3 Monate), die sichere Zwei-Wege-Kommunikation und die revisionssichere Dokumentation. Erforderlich ist ein Verfahren, kein Postfach.
Wer darf die interne Meldestelle betreiben?
Eine intern benannte, unabhängige Person (z. B. aus Compliance oder Personal) ohne Interessenkonflikt – oder ein externer Dritter, etwa eine Anwalts-Ombudsperson. In beiden Fällen bleibt die Verantwortung für die Folgemaßnahmen beim Unternehmen. Unternehmen mit 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle betreiben.
Was ist eine Ombudsperson und wann ist sie sinnvoll?
Eine Ombudsperson ist eine unabhängige, neutrale externe Vertrauensperson – häufig ein Rechtsanwalt –, die Meldungen entgegennimmt und vertraulich behandelt. Sie ist besonders sinnvoll, wenn die Belegschaft einer internen Stelle nicht genug vertraut, und bietet mit der anwaltlichen Verschwiegenheit ein hohes Schutzniveau.
Welche Meldewege muss der Kanal anbieten?
Nach § 16 HinSchG mindestens Meldungen in Textform (z. B. Webformular) und mündlich (z. B. Telefon). Auf Ersuchen der hinweisgebenden Person muss zusätzlich ein persönliches Treffen möglich sein. Ein anonymer Meldeweg ist nicht zwingend vorgeschrieben, wird aber empfohlen.
Welche Fristen muss ich beim Betrieb des Kanals einhalten?
Den Eingang einer Meldung müssen Sie spätestens nach 7 Tagen bestätigen und innerhalb von 3 Monaten nach der Bestätigung eine Rückmeldung über die geplanten oder ergriffenen Folgemaßnahmen geben (§ 17 HinSchG).
Müssen anonyme Meldungen bearbeitet werden?
Das Gesetz verpflichtet nicht dazu, einen anonymen Meldekanal einzurichten, sieht aber vor, dass auch anonym eingehende Meldungen bearbeitet werden sollen. Ein anonymer, aber rückfragefähiger Kanal erhöht in der Praxis die Melderate deutlich, weil die Angst vor Entdeckung sinkt.
Wie lange muss ich eine Meldung dokumentieren und aufbewahren?
Die Dokumentation ist grundsätzlich 3 Jahre nach Abschluss des Verfahrens zu löschen (§ 11 HinSchG). Eine längere Aufbewahrung ist nur zulässig, soweit sie erforderlich und verhältnismäßig ist. Die Dokumentation dient dem Nachweis, dass Sie die Meldung fristgerecht und ordnungsgemäß bearbeitet haben.
Ein normales E-Mail-Postfach reicht nicht – es verletzt schon die Vertraulichkeit, weil die IT mitliest. Diese Anleitung führt Sie Schritt für Schritt durch die Einrichtung, von der Entscheidung „intern oder extern" bis zur Kommunikation an die Belegschaft.
Warum ein E-Mail-Postfach nicht genügt
Der naheliegende Reflex vieler Betriebe lautet: „Wir richten hinweise@firma.de ein, fertig." Das erfüllt das Gesetz nicht – und hier liegen die typischen Fehler:
Vertraulichkeit verletzt: Ein normales Postfach ist für die IT-Administration und oft mehrere Personen einsehbar. § 8 verlangt aber, dass nur die für die Bearbeitung zuständige Person die Identität kennt.
Keine Fristenkontrolle: Niemand wacht darüber, dass die 7-Tage-Bestätigung und die 3-Monats-Rückmeldung eingehalten werden.
Keine sichere Zwei-Wege-Kommunikation: Bei anonymen Meldungen können Sie nicht rückfragen, ohne die Anonymität zu gefährden.
Keine revisionssichere Dokumentation: E-Mails lassen sich löschen und verändern – ein Nachweis der ordnungsgemäßen Bearbeitung fehlt.
Kurz: Der Meldekanal ist ein Verfahren mit definierten Rollen, Fristen und Vertraulichkeit, kein Postfach.
Schritt 1: Intern oder extern? Wer den Kanal betreiben darf
Die erste Grundsatzentscheidung. Das HinSchG erlaubt beides:
Variante
Wer?
Vorteile
Zu beachten
Intern
eigene benannte Person (z. B. Compliance-, Personal- oder Rechtsverantwortliche)
kennt den Betrieb, kurze Wege
muss unabhängig und frei von Interessenkonflikten sein; keine Doppelrolle als disziplinarischer Vorgesetzter
Extern (Ombudsperson)
beauftragter Dritter, häufig ein Rechtsanwalt als Ombudsperson
maximale Neutralität, oft höheres Vertrauen der Belegschaft, anwaltliche Verschwiegenheit
Verantwortung für Folgemaßnahmen bleibt beim Unternehmen; sauberer Auftrag/Vertrag nötig
Variante
Intern
Wer?
eigene benannte Person (z. B. Compliance-, Personal- oder Rechtsverantwortliche)
Vorteile
kennt den Betrieb, kurze Wege
Zu beachten
muss unabhängig und frei von Interessenkonflikten sein; keine Doppelrolle als disziplinarischer Vorgesetzter
Variante
Extern (Ombudsperson)
Wer?
beauftragter Dritter, häufig ein Rechtsanwalt als Ombudsperson
Vorteile
maximale Neutralität, oft höheres Vertrauen der Belegschaft, anwaltliche Verschwiegenheit
Zu beachten
Verantwortung für Folgemaßnahmen bleibt beim Unternehmen; sauberer Auftrag/Vertrag nötig
Wichtig bei beiden Wegen: Die Person, die Meldungen bearbeitet, muss unabhängig agieren und darf keine Aufgaben wahrnehmen, die zu einem Interessenkonflikt führen. Wer selbst Vorgesetzter der potenziell Betroffenen ist, ist ungeeignet.
Gerade in kleineren Betrieben (50–249 Beschäftigte) ist die externe Ombudsperson oft die pragmatischste Lösung – und das Gesetz erlaubt in dieser Größenklasse ausdrücklich, eine gemeinsame Meldestelle mit anderen Unternehmen zu betreiben, um Ressourcen zu teilen.
Schritt 2: Die Meldewege bereitstellen (§ 16)
Der Kanal muss mindestens zwei Meldeformen ermöglichen:
In Textform – etwa über ein Webformular, das ohne Login vom Handy erreichbar ist. Für die Gebäudereinigung mit wechselnden Objekten ideal: ein QR-Code am Schwarzen Brett oder im Objekt, der direkt zum Formular führt.
Mündlich – per Telefon oder anderer Sprachübermittlung. Auf Ersuchen der hinweisgebenden Person muss zusätzlich eine persönliche Zusammenkunft möglich sein.
Empfehlenswert, aber gesetzlich nicht zwingend: die Möglichkeit anonymer Meldungen. Das Gesetz verlangt keinen anonymen Kanal, sieht aber vor, dass anonyme Meldungen bearbeitet werden sollen. In der Praxis steigt die Melderate mit einem anonymen, aber rückfragefähigen Kanal (anonymer, sicherer Postkorb) deutlich – die Belegschaft meldet nur, wenn sie sich sicher fühlt.
Schritt 3: Vertraulichkeit technisch und organisatorisch sichern
Vertraulichkeit ist keine Absichtserklärung, sondern muss abgesichert sein:
Zugriffsbeschränkung: Nur die bearbeitende Person(en) sehen die Meldung und die Identität. Kein Mitlesen durch IT oder Vorgesetzte.
Verschlüsselung: Falldaten und Anhänge verschlüsselt speichern.
Metadaten beachten: Lädt ein Hinweisgeber ein Foto hoch, können Standortdaten (EXIF) im Bild die Anonymität verraten – diese sollten beim Upload entfernt werden.
Protokollierung: Jeder Zugriff auf einen Fall wird revisionssicher festgehalten (Audit-Trail), damit ein Vertraulichkeitsbruch nachvollziehbar wäre.
Ein Bruch der Vertraulichkeit ist kein Kavaliersdelikt: Er kann mit einem Bußgeld bis 50.000 € geahndet werden.
Schritt 4: Die Fristen einhalten – der 7-Tage-/3-Monats-Takt
Jede Meldung läuft nach einem festen Zeittakt aus § 17 HinSchG ab. So sieht der Ablauf praktisch aus:
Tag 0 – Meldung geht ein. Vorgang anlegen, Vertraulichkeit sicherstellen.
Bis Tag 7 – Eingangsbestätigung an die hinweisgebende Person (auch bei anonymer Meldung über den sicheren Postkorb).
Bis 3 Monate nach der Bestätigung – Rückmeldung über geplante oder ergriffene Folgemaßnahmen an die hinweisgebende Person.
Ein System, das diese Fristen automatisch nachhält und erinnert, ist der wirksamste Schutz vor dem häufigsten Fehler: die Meldung „vergessen" und die Frist reißen.
Schritt 5: Dokumentieren und richtig löschen
Jede Meldung ist dauerhaft abrufbar zu dokumentieren – wer hat wann was gemeldet, welche Schritte wurden eingeleitet, welche Fristen gewahrt. Diese Dokumentation dient als Nachweis der ordnungsgemäßen Bearbeitung.
Gleichzeitig gilt eine Löschpflicht: Die Dokumentation ist grundsätzlich 3 Jahre nach Abschluss des Verfahrens zu löschen (§ 11 HinSchG). Länger aufbewahren dürfen Sie nur, wenn und soweit das erforderlich und verhältnismäßig ist. Datenschutz (DSGVO) und HinSchG greifen hier ineinander.
Schritt 6: Die Belegschaft informieren
Der beste Kanal nützt nichts, wenn niemand ihn kennt. Sie müssen klare und leicht zugängliche Informationen über den internen Meldeweg bereitstellen. In der Gebäudereinigung heißt das konkret:
Aushang am Objekt und im Aufenthaltsraum, mit QR-Code zum Meldeformular.
Mehrsprachig – bei migrationsgeprägter Belegschaft erreichen Sie sonst nur einen Teil der Leute.
In die Unterweisung integrieren, damit jeder neue Mitarbeitende den Weg kennt.
Vertrauen entsteht durch Verständlichkeit: Wer den Kanal nicht versteht, nutzt ihn nicht – und dann fließen Missstände weiter im Verborgenen.
So richten Sie den Meldekanal mit CERTISCAN ein
CERTISCAN ist eine modulare Compliance-Plattform für Gebäudereinigung, Handwerk und KMU. Das Modul Hinweisgeberschutz bildet den Meldekanal als fertiges Verfahren ab, sodass Sie nicht bei null anfangen:
Webformular + QR-Code für die Textform-Meldung, ohne Login-Hürde vom Handy am Objekt; mündliche Meldung und persönliches Treffen als Option.
Sicherer, rückfragefähiger Postkorb – auch für anonyme Melder, ohne die Anonymität zu brechen.
Fristen-Automatik für die 7-Tage-Bestätigung und die 3-Monats-Rückmeldung, inklusive Erinnerungen.
OMBUDS-Rolle: Eine externe Ombudsperson (z. B. Anwalt) kann als unabhängige Bearbeiterin eingebunden werden – mit eigenem, geschütztem Zugang.
Löschkonzept: Die Dokumentation unterstützt die Löschung nach Ablauf der Aufbewahrung.
Zur Mehrsprachigkeit – ehrlich eingeordnet: Die Oberfläche steht in 18 Sprachen bereit, vollständig übersetzt sind derzeit Deutsch und Englisch, weitere folgen. Eine automatische Übersetzung des Meldungsinhalts ist aktuell nicht aktiv (Vertraulichkeits- und Datenschutzgründe).
Ehrlich eingeordnet: CERTISCAN liefert den organisatorisch-technischen Rahmen. Wer die Meldestelle besetzt und wie ein konkreter Fall rechtlich zu behandeln ist, stimmen Sie am besten mit einem Fachanwalt ab.
05
Schritt 3: Vertraulichkeit technisch und organisatorisch sichern