Internen Meldekanal einrichten: Anforderungen, Ombudsperson, Fristen

Das Wichtigste in 30 Sekunden

Ein interner Meldekanal nach dem Hinweisgeberschutzgesetz (HinSchG) ist mehr als ein Briefkasten. Damit er rechtssicher ist, muss er:

• Meldungen mündlich und in Textform entgegennehmen und auf Wunsch ein persönliches Treffen ermöglichen (§ 16),
• die Identität der hinweisgebenden und der betroffenen Personen vertraulich halten (§ 8),
• den Eingang binnen 7 Tagen bestätigen und binnen 3 Monaten über Folgemaßnahmen zurückmelden (§ 17),
• von einer unabhängigen, unparteiischen Person betrieben werden – intern (z. B. Compliance-Beauftragte) oder extern (z. B. eine Anwalts-Ombudsperson),
• jede Meldung revisionssicher dokumentieren und die Doku grundsätzlich nach 3 Jahren löschen.

Ein normales E-Mail-Postfach reicht nicht – es verletzt schon die Vertraulichkeit, weil die IT mitliest. Diese Anleitung führt Sie Schritt für Schritt durch die Einrichtung, von der Entscheidung „intern oder extern" bis zur Kommunikation an die Belegschaft.

Warum ein E-Mail-Postfach nicht genügt

Der naheliegende Reflex vieler Betriebe lautet: „Wir richten hinweise@firma.de ein, fertig." Das erfüllt das Gesetz nicht – und hier liegen die typischen Fehler:

• Vertraulichkeit verletzt: Ein normales Postfach ist für die IT-Administration und oft mehrere Personen einsehbar. § 8 verlangt aber, dass nur die für die Bearbeitung zuständige Person die Identität kennt.
• Keine Fristenkontrolle: Niemand wacht darüber, dass die 7-Tage-Bestätigung und die 3-Monats-Rückmeldung eingehalten werden.
• Keine sichere Zwei-Wege-Kommunikation: Bei anonymen Meldungen können Sie nicht rückfragen, ohne die Anonymität zu gefährden.
• Keine revisionssichere Dokumentation: E-Mails lassen sich löschen und verändern – ein Nachweis der ordnungsgemäßen Bearbeitung fehlt.

Kurz: Der Meldekanal ist ein Verfahren mit definierten Rollen, Fristen und Vertraulichkeit, kein Postfach.

Schritt 1: Intern oder extern? Wer den Kanal betreiben darf

Die erste Grundsatzentscheidung. Das HinSchG erlaubt beides:

Wichtig bei beiden Wegen: Die Person, die Meldungen bearbeitet, muss unabhängig agieren und darf keine Aufgaben wahrnehmen, die zu einem Interessenkonflikt führen. Wer selbst Vorgesetzter der potenziell Betroffenen ist, ist ungeeignet.

Gerade in kleineren Betrieben (50–249 Beschäftigte) ist die externe Ombudsperson oft die pragmatischste Lösung – und das Gesetz erlaubt in dieser Größenklasse ausdrücklich, eine gemeinsame Meldestelle mit anderen Unternehmen zu betreiben, um Ressourcen zu teilen.

Schritt 2: Die Meldewege bereitstellen (§ 16)

Der Kanal muss mindestens zwei Meldeformen ermöglichen:

1. In Textform – etwa über ein Webformular, das ohne Login vom Handy erreichbar ist. Für die Gebäudereinigung mit wechselnden Objekten ideal: ein QR-Code am Schwarzen Brett oder im Objekt, der direkt zum Formular führt.
2. Mündlich – per Telefon oder anderer Sprachübermittlung. Auf Ersuchen der hinweisgebenden Person muss zusätzlich eine persönliche Zusammenkunft möglich sein.

Empfehlenswert, aber gesetzlich nicht zwingend: die Möglichkeit anonymer Meldungen. Das Gesetz verlangt keinen anonymen Kanal, sieht aber vor, dass anonyme Meldungen bearbeitet werden sollen. In der Praxis steigt die Melderate mit einem anonymen, aber rückfragefähigen Kanal (anonymer, sicherer Postkorb) deutlich – die Belegschaft meldet nur, wenn sie sich sicher fühlt.

Schritt 3: Vertraulichkeit technisch und organisatorisch sichern

Vertraulichkeit ist keine Absichtserklärung, sondern muss abgesichert sein:

• Zugriffsbeschränkung: Nur die bearbeitende Person(en) sehen die Meldung und die Identität. Kein Mitlesen durch IT oder Vorgesetzte.
• Verschlüsselung: Falldaten und Anhänge verschlüsselt speichern.
• Metadaten beachten: Lädt ein Hinweisgeber ein Foto hoch, können Standortdaten (EXIF) im Bild die Anonymität verraten – diese sollten beim Upload entfernt werden.
• Protokollierung: Jeder Zugriff auf einen Fall wird revisionssicher festgehalten (Audit-Trail), damit ein Vertraulichkeitsbruch nachvollziehbar wäre.

Ein Bruch der Vertraulichkeit ist kein Kavaliersdelikt: Er kann mit einem Bußgeld bis 50.000 € geahndet werden.

Schritt 4: Die Fristen einhalten – der 7-Tage-/3-Monats-Takt

Jede Meldung läuft nach einem festen Zeittakt aus § 17 HinSchG ab. So sieht der Ablauf praktisch aus:

1. Tag 0 – Meldung geht ein. Vorgang anlegen, Vertraulichkeit sicherstellen.
2. Bis Tag 7 – Eingangsbestätigung an die hinweisgebende Person (auch bei anonymer Meldung über den sicheren Postkorb).
3. Prüfung & Folgemaßnahmen: Stichhaltigkeit prüfen, Sachverhalt aufklären, ggf. interne Untersuchung oder Abstellmaßnahmen einleiten.
4. Bis 3 Monate nach der Bestätigung – Rückmeldung über geplante oder ergriffene Folgemaßnahmen an die hinweisgebende Person.

Ein System, das diese Fristen automatisch nachhält und erinnert, ist der wirksamste Schutz vor dem häufigsten Fehler: die Meldung „vergessen" und die Frist reißen.

Schritt 5: Dokumentieren und richtig löschen

Jede Meldung ist dauerhaft abrufbar zu dokumentieren – wer hat wann was gemeldet, welche Schritte wurden eingeleitet, welche Fristen gewahrt. Diese Dokumentation dient als Nachweis der ordnungsgemäßen Bearbeitung.

Gleichzeitig gilt eine Löschpflicht: Die Dokumentation ist grundsätzlich 3 Jahre nach Abschluss des Verfahrens zu löschen (§ 11 HinSchG). Länger aufbewahren dürfen Sie nur, wenn und soweit das erforderlich und verhältnismäßig ist. Datenschutz (DSGVO) und HinSchG greifen hier ineinander.

Schritt 6: Die Belegschaft informieren

Der beste Kanal nützt nichts, wenn niemand ihn kennt. Sie müssen klare und leicht zugängliche Informationen über den internen Meldeweg bereitstellen. In der Gebäudereinigung heißt das konkret:

• Aushang am Objekt und im Aufenthaltsraum, mit QR-Code zum Meldeformular.
• Mehrsprachig – bei migrationsgeprägter Belegschaft erreichen Sie sonst nur einen Teil der Leute.
• In die Unterweisung integrieren, damit jeder neue Mitarbeitende den Weg kennt.

Vertrauen entsteht durch Verständlichkeit: Wer den Kanal nicht versteht, nutzt ihn nicht – und dann fließen Missstände weiter im Verborgenen.

So richten Sie den Meldekanal mit CERTISCAN ein

CERTISCAN ist eine modulare Compliance-Plattform für Gebäudereinigung, Handwerk und KMU. Das Modul Hinweisgeberschutz bildet den Meldekanal als fertiges Verfahren ab, sodass Sie nicht bei null anfangen:

• Webformular + QR-Code für die Textform-Meldung, ohne Login-Hürde vom Handy am Objekt; mündliche Meldung und persönliches Treffen als Option.
• Sicherer, rückfragefähiger Postkorb – auch für anonyme Melder, ohne die Anonymität zu brechen.
• Vertraulichkeit by Design: verschlüsselte Falldaten (AES-256-GCM), EXIF-Bereinigung hochgeladener Fotos, revisionssicherer Zugriffs-Audit-Trail.
• Fristen-Automatik für die 7-Tage-Bestätigung und die 3-Monats-Rückmeldung, inklusive Erinnerungen.
• OMBUDS-Rolle: Eine externe Ombudsperson (z. B. Anwalt) kann als unabhängige Bearbeiterin eingebunden werden – mit eigenem, geschütztem Zugang.
• Löschkonzept: Die Dokumentation unterstützt die Löschung nach Ablauf der Aufbewahrung.

Zur Mehrsprachigkeit – ehrlich eingeordnet: Die Oberfläche steht in 18 Sprachen bereit, vollständig übersetzt sind derzeit Deutsch und Englisch, weitere folgen. Eine automatische Übersetzung des Meldungsinhalts ist aktuell nicht aktiv (Vertraulichkeits- und Datenschutzgründe).

Ehrlich eingeordnet: CERTISCAN liefert den organisatorisch-technischen Rahmen. Wer die Meldestelle besetzt und wie ein konkreter Fall rechtlich zu behandeln ist, stimmen Sie am besten mit einem Fachanwalt ab.