HinSchG Wirksamkeits-Selbstprüfung 2026: 12 Audit-Punkte für Compliance-Officer

Warum eine Wirksamkeits-Selbstprüfung sinnvoll ist

Eine Selbstprüfung ist sinnvoll, weil sie die Einhaltung der harten HinSchG-Pflichten belegt, bevor eine Aufsichtsbehörde, ein Gericht oder die eigene Geschäftsleitung danach fragt — eine gesetzliche Audit-Pflicht begründet sie nicht. Auch ohne Pflicht: Eine strukturierte jährliche Selbstprüfung der internen Meldestelle ist eine verbreitete Praxisempfehlung und fügt sich in die Leistungsbewertung eines Compliance-Management-Systems nach ISO 37301 ein (Klausel 9 — „Performance evaluation"). Sie bündelt Nachweise für Auskunftsverlangen der externen Meldestellen (§ 29 Abs. 1 HinSchG; BfJ § 19, BaFin § 21, Bundeskartellamt § 22) und verbessert die Darlegungslage der Geschäftsleitung, wenn sie im Schadensfall zeigen muss, dass die Meldestelle funktioniert hat. Aufwand: 1–3 PT intern oder 3–5 PT extern (Erfahrungswerte der Erstfassung, Stand 02.05.2026).

Der zweite Grund ist der Sanktionsrahmen: Wer eine Meldung behindert, keine interne Meldestelle einrichtet und betreibt, eine Repressalie ergreift oder die Vertraulichkeit verletzt, handelt nach § 40 HinSchG ordnungswidrig. Die Verfolgungsverjährung beträgt für die mit mehr als 15.000 Euro bedrohten Tatbestände drei Jahre (§ 31 Abs. 2 Nr. 1 OWiG) — die Prüf-Dokumentation muss diesen Zeitraum also überdauern. Seit dem 15. April 2025 ist zudem das Bundesamt für Justiz für die Verfolgung und Ahndung von Ordnungswidrigkeiten nach § 40 HinSchG zuständig, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt (HinSchGOWiZustV, BGBl. 2025 I Nr. 111).

Vor dem ersten Punkt: Geltungsbereich und Prüfumfang festlegen

Legen Sie zuerst fest, welches Gesetz für welche Legaleinheit gilt — deutsche Beschäftigungsgeber prüfen gegen das HinSchG, österreichische Rechtsträger gegen das HinweisgeberInnenschutzgesetz (HSchG). Die Einrichtungspflicht selbst ist in beiden Rechtsräumen an dieselbe Größe geknüpft: In Deutschland gilt sie für Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten (§ 12 Abs. 1 Satz 1 i. V. m. Abs. 2 HinSchG), in Österreich für Unternehmen und juristische Personen des öffentlichen Sektors mit jeweils 50 oder mehr Arbeitnehmern oder Bediensteten (§ 3 Abs. 1, § 11 Abs. 1 HSchG). Für die in § 12 Abs. 3 HinSchG genannten Beschäftigungsgeber — unter anderem Wertpapierdienstleistungsunternehmen, Institute nach KWG und Wertpapierinstitutsgesetz, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen sowie Krypto- und Zahlungsdiensteinstitute — gilt die Pflicht unabhängig von der Beschäftigtenzahl.

Unterschiedlich ist der sachliche Anwendungsbereich, und das verändert den Prüfumfang: Das HinSchG erfasst alle strafbewehrten Verstöße, bußgeldbewehrte Verstöße zum Schutz von Leben, Leib, Gesundheit oder Beschäftigtenrechten sowie zahlreiche aufgezählte Rechtsvorschriften (§ 2 Abs. 1 Nr. 1 bis 3). Das HSchG ist enger: EU-Bereiche wie öffentliches Auftragswesen, Finanzdienstleistungen, Produktsicherheit, Umwelt- und Datenschutz zuzüglich der Korruptionsdelikte nach §§ 302 bis 309 StGB (§ 3 Abs. 3 HSchG). Wer beide Rechtsräume betreibt, prüft also dieselben zwölf Punkte, aber gegen zwei getrennte Fundstellen-Sets.

Die 12 Punkte im Detail

1. Eingangsbestätigung 7-Tage-Frist eingehalten?

§ 17 Abs. 1 HinSchG verlangt Eingangsbestätigung binnen 7 Tagen. Prüfung: Stichprobe aus 10 Meldungen der letzten 12 Monate — Datum Eingang vs. Datum Bestätigung. Lücken: dokumentieren + Workflow-Anpassung.

Warum der Punkt zuerst kommt: Die Eingangsbestätigung setzt zugleich den Lauf der Rückmeldefrist in Gang (Punkt 2), ein Fehler hier verschiebt also die gesamte Fallakte. Die genaue Fundstelle ist § 17 Abs. 1 Nr. 1 HinSchG (interne Meldestelle); für die externe Meldestelle des Bundes gilt § 28 Abs. 1 HinSchG mit derselben Sieben-Tage-Frist. Österreichische Rechtsträger prüfen gegen § 9 Abs. 1 HSchG: Der Eingang schriftlicher Hinweise ist unverzüglich, spätestens nach sieben Kalendertagen schriftlich zu bestätigen — es sei denn, die hinweisgebende Person hat sich ausdrücklich dagegen ausgesprochen oder die Bestätigung würde den Schutz ihrer Identität beeinträchtigen. Genau diese beiden Ausnahmen gehören in die AT-Prüfakte, sonst wird eine zulässig unterbliebene Bestätigung als Mangel gezählt.

2. Rückmeldung 3-Monate-Frist?

§ 17 Abs. 2 HinSchG: inhaltliche Rückmeldung an Hinweisgeber binnen 3 Monaten. Prüfung: gleiche 10er-Stichprobe — Datum Rückmeldung. Häufiger Mangel in der Praxis: Fristüberschreitung bei komplexen Fällen ohne Zwischenbescheid.

Fristbeginn prüfen, nicht nur Fristende: Die drei Monate laufen ab der Bestätigung des Eingangs; wurde der Eingang nicht bestätigt, ist die Rückmeldung spätestens drei Monate und sieben Tage nach Eingang der Meldung fällig (§ 17 Abs. 2 HinSchG). Inhaltlich verlangt die Norm die Mitteilung geplanter sowie bereits ergriffener Folgemaßnahmen und deren Gründe — ein reines „Wir prüfen noch" erfüllt das nicht. Die Verlängerung auf sechs Monate in Fällen umfangreicher Bearbeitung ist in § 28 Abs. 4 HinSchG für die externe Meldestelle geregelt; die interne Frist des § 17 Abs. 2 HinSchG ist auf drei Monate bestimmt. In Österreich läuft die Frist abweichend ab Entgegennahme des Hinweises (§ 13 Abs. 9 HSchG).

3. Vertraulichkeit § 8 dokumentiert?

§ 8 HinSchG: Identitätsschutz Hinweisgeber + betroffener Personen. Prüfung: Vertraulichkeitskonzept liegt schriftlich vor? RBAC-Rollen dokumentiert? Audit-Trail Zugriffe auf Meldungs-Daten? HR-Trennung von Meldestelle? Verschwiegenheits-Erklärungen aller Beteiligten signiert?

Prüfmaßstab: § 8 Abs. 1 HinSchG erstreckt die Vertraulichkeit auf drei Personengruppen — die hinweisgebende Person, die von einer Meldung betroffenen Personen und die sonstigen in der Meldung genannten Personen. Die Identität darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden. Der Rollen-Nachweis ist damit kein IT-Formalismus, sondern der Kern des Punktes: Jede Person mit Lesezugriff muss einer dieser Kategorien zuordenbar sein. Der vorsätzliche oder leichtfertige Verstoß (§ 40 Abs. 3 HinSchG) ist mit bis zu 50.000 Euro bedroht, der fahrlässige (§ 40 Abs. 4 HinSchG) mit bis zu 10.000 Euro (§ 40 Abs. 6 Satz 1 HinSchG). In Österreich entspricht dem § 7 Abs. 1 und 2 HSchG, der zusätzlich die Weitergabe durch unzuständige Mitarbeiter ausdrücklich untersagt.

4. Anonyme Meldungen bearbeitbar? („sollte", keine Pflicht)

§ 16 Abs. 1 HinSchG: Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten — es besteht jedoch keine gesetzliche Pflicht, die Meldekanäle für anonyme Meldungen auszulegen (keine Pflicht, aber eine klare Erwartung des Gesetzgebers; die im Regierungsentwurf diskutierte Frist „01.01.2025" wurde nicht Gesetz). Prüfung: Falls anonyme Bearbeitung angeboten wird — anonymer Eingangskanal funktional? Anonymer Rückkanal funktional (z.B. Postbox, Nummer)? Test-Meldung End-to-End durchgeführt? Häufiger Befund in der Praxis: Der anonyme Rückkanal ist nicht funktional (Praxiseinschätzung der Erstfassung, Stand 02.05.2026).

Genaue Normstruktur für das Prüfprotokoll: § 16 Abs. 1 Satz 4 HinSchG formuliert die Bearbeitung anonymer Meldungen als „sollte"; Satz 5 stellt ausdrücklich klar, dass keine Verpflichtung besteht, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen. Auch die Übergangsvorschrift § 42 HinSchG enthält keinen solchen Stichtag — sie betrifft die Einrichtungsfrist für Beschäftigungsgeber mit 50 bis 249 Beschäftigten (17. Dezember 2023) und die Anwendbarkeit von § 40 Abs. 2 Nr. 2 (1. Dezember 2023). Für die Bewertung heißt das: Ein nicht funktionierender anonymer Rückkanal ist ein Mangel gegenüber der eigenen Verfahrensordnung, nicht gegenüber dem Gesetz. Wer anonyme Bearbeitung zusagt, muss sie halten; wer sie nicht anbietet, dokumentiert die Entscheidung.

5. Repressalienverbot § 36 in Verfahrens-DSFA?

§ 36 HinSchG: Repressalienverbot mit Beweislastumkehr. Prüfung: Verfahrens-DSFA für die Meldestelle (Art. 35 DSGVO) liegt vor? Dort dokumentiert: HR-Maßnahmen nach Meldung müssen mit Unabhängigkeits-Nachweis dokumentiert werden? Schulung HR + Führungskräfte zum Repressalien-Verbot dokumentiert?

Warum der Unabhängigkeits-Nachweis der eigentliche Prüfgegenstand ist: § 36 Abs. 1 HinSchG verbietet Repressalien einschließlich Androhung und Versuch. Nach § 36 Abs. 2 HinSchG wird bei einer berufsbezogenen Benachteiligung vermutet, dass sie eine Repressalie ist — der Benachteiligende muss dann beweisen, dass sie auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte. Wer diesen Beweis führen will, braucht Unterlagen aus der Zeit vor der Maßnahme, nicht danach. Bestätigt hat das zweistufige Prüfschema das LAG Niedersachsen mit Urteil vom 11.11.2024 (7 SLa 306/24). Bei Verstoß greift der Schadensersatz nach § 37 HinSchG; ein Anspruch auf Begründung eines Beschäftigungsverhältnisses oder auf beruflichen Aufstieg entsteht daraus nicht (§ 37 Abs. 2 HinSchG).

6. 3-Jahres-Aufbewahrung dokumentiert?

§ 11 HinSchG: Meldedokumentation drei Jahre nach Verfahrensabschluss aufbewahren; danach löschen (Art. 5 DSGVO). Prüfung: Aufbewahrungs-Konzept schriftlich? Lösch-Routine implementiert? Sample älterer Fälle: tatsächlich gelöscht?

Beide Richtungen prüfen: Zu frühes Löschen kostet die Nachweisfähigkeit, zu spätes Löschen ist ein Datenschutzverstoß. Die Fundstelle ist § 11 Abs. 5 HinSchG (drei Jahre nach Abschluss des Verfahrens). Die Frist passt zur Verfolgungsverjährung von drei Jahren für die mit mehr als 15.000 Euro bedrohten HinSchG-Ordnungswidrigkeiten (§ 31 Abs. 2 Nr. 1 OWiG) — deshalb ist ein kürzeres Aufbewahrungs-Konzept in der Praxis riskant. Achtung bei Konzernen mit österreichischen Einheiten: Das HSchG sieht eine Aufbewahrung von fünf Jahren vor (§ 8 Abs. 11 HSchG). Eine konzernweit einheitliche Drei-Jahres-Routine würde die österreichische Frist unterschreiten — der Prüfpunkt ist deshalb je Rechtsraum getrennt abzuhaken.

7. Fachkundenachweis Meldebeauftragte?

§ 15 Abs. 2 HinSchG: Meldebeauftragte müssen die für die Tätigkeit notwendige Fachkunde besitzen. Prüfung: Schulungs-Zertifikate vorhanden? Schulung jünger als 3 Jahre (Praxis-Empfehlung)? Refresher dokumentiert?

Was „notwendige Fachkunde" konkret verlangt: Das Gesetz nennt keinen Abschluss und keine juristische Ausbildung — es verlangt die für die Tätigkeit notwendige Fachkunde. In der Praxis werden dafür 5 bis 8 Unterrichtseinheiten mit Zertifikat angesetzt, inhaltlich zu Verfahren und Fristen, Vertraulichkeit, DSGVO-Schnittstelle, Repressalienschutz und Sachverhaltsaufklärung (Praxisempfehlung, keine gesetzliche Vorgabe). Auch die Drei-Jahres-Grenze für den Refresher ist eine Praxisempfehlung und keine gesetzliche Frist — das HinSchG kennt für die Fachkunde kein Wiederholungsintervall. Prüfen Sie deshalb zwei Dinge getrennt: erstens, ob überhaupt ein Fachkunde-Nachweis vorliegt (gesetzlicher Punkt), zweitens, ob der intern festgelegte Refresher-Rhythmus eingehalten wurde (Selbstbindung).

8. Schulung der Beschäftigten dokumentiert?

§ 7 Abs. 3 Satz 2 HinSchG: Beschäftigungsgeber stellen für Beschäftigte klare und leicht zugängliche Informationen über die Nutzung des internen Meldeverfahrens bereit. § 13 Abs. 2 HinSchG betrifft dagegen die Information über externe Meldeverfahren (inkl. EU-Stellen) — beide Informationspflichten getrennt nachweisen. Prüfung: Aushang/Intranet-Information aktuell? Onboarding-Material enthält Meldestellen-Informationen? Hinweis auf externe Meldestellen (§ 13 Abs. 2) vorhanden? Schulungs-Quote nachweisbar (Teilnehmer-Listen)?

Inhaltlicher Prüfmaßstab: Die Information muss das Wahlrecht korrekt abbilden. Nach § 7 Abs. 1 HinSchG können hinweisgebende Personen wählen, ob sie sich an eine interne oder eine externe Meldestelle wenden; sie sollten die interne Meldung bevorzugen, wenn intern wirksam abgeholfen werden kann und keine Repressalien zu befürchten sind. Die Information sollte den externen Weg deshalb ausdrücklich mitnennen (Praxisempfehlung). Unabhängig davon verbietet § 7 Abs. 2 HinSchG, Meldungen oder die anschließende Kommunikation zu behindern oder dies zu versuchen; die Behinderung einer Meldung ist nach § 40 Abs. 2 Nr. 1 HinSchG mit bis zu 50.000 Euro bedroht. Lesen Sie den Aushang also einmal aus Sicht eines zögernden Beschäftigten.

9. Meldekanäle: mündlich oder Textform — persönliche Zusammenkunft auf Ersuchen?

§ 16 Abs. 3 HinSchG: Meldungen in mündlicher oder in Textform; eine persönliche Zusammenkunft ist auf Ersuchen der hinweisgebenden Person innerhalb angemessener Zeit zu ermöglichen (Satz 3). Mündliche Meldungen müssen per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein (Satz 2). Drei Kanäle parallel = Best-Practice, nicht gesetzlich zwingend. Prüfung: Test-Meldung über jeden angebotenen Kanal durchgeführt? Persönliche Zusammenkunft wird auf Ersuchen tatsächlich ermöglicht (nicht nur theoretisch)? Erreichbarkeits-Zeiten dokumentiert?

Ein häufiger Bewertungsfehler: Prüfer werten das Fehlen eines zweiten Kanals als Mangel. § 16 Abs. 3 Satz 1 HinSchG gibt dem Beschäftigungsgeber jedoch ein Wahlrecht zwischen mündlicher Form und Textform; zwingend hinzu kommt allein die persönliche Zusammenkunft auf Ersuchen, mit Einwilligung der hinweisgebenden Person auch per Bild- und Tonübertragung (Satz 4). Für die Zusammenkunft nennt das Gesetz „angemessene Zeit" und keine Tagesfrist — ein Termin binnen 14 Tagen ist ein verbreiteter Praxis-Richtwert, keine gesetzliche Frist. Bewerten Sie deshalb zweistufig: Erfüllt das Angebot den gesetzlichen Mindeststandard, und hält es zusätzlich das ein, was die eigene Verfahrensordnung zusagt?

10. AVV mit ggf. externem Ombudsmann?

Bei Auslagerung der Meldestelle (Anwaltskanzlei, Ombudsmann, Software-Anbieter): Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Prüfung: AVV liegt vor? Drittland-Klauseln (SCCs) bei Anbieter mit Server außerhalb EU? TOM-Nachweis vom Auftragsverarbeiter?

Zwei Rechtsgrundlagen, zwei Nachweise: Datenschutzrechtlich verlangt Art. 28 Abs. 1 und 3 DSGVO, dass nur Auftragsverarbeiter mit hinreichenden Garantien eingesetzt werden und der Vertrag Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen festlegt. Hinweisgeberrechtlich erlaubt § 14 Abs. 1 Satz 1 HinSchG ausdrücklich, die Aufgaben der internen Meldestelle einem Dritten zu übertragen — aber § 14 Abs. 1 Satz 2 HinSchG hält den Beschäftigungsgeber weiterhin selbst in der Pflicht, geeignete Maßnahmen zur Abstellung eines Verstoßes zu ergreifen. Prüfen Sie deshalb nicht nur den AVV, sondern auch die Schnittstelle: Wie erreicht ein Befund der Ombudsperson die Stelle im Unternehmen, die abstellen kann?

11. Konzern-Hybrid-Lösung dokumentiert?

Ein EU-Vertragsverletzungsverfahren zur Konzern-Auslagerung nach § 14 HinSchG besteht nicht; das deutsche Verfahren INFR(2022)0052 zur Richtlinie (EU) 2019/1937 wurde am 4. Juni 2026 eingestellt. Prüfung: Bei Konzern-Lösung: schriftliche Vereinbarung zwischen Konzern-Gesellschaften? Hybrid-Modell (Tochter behält eigene Meldestelle + Konzernstelle als Dritter) dokumentiert? Schwellenwerte je Legaleinheit eingehalten?

Stand des Verfahrens und Konsequenz: Ein Vertragsverletzungsverfahren der Europäischen Kommission gegen Deutschland zur Konzern-Auslagerung nach § 14 HinSchG besteht nicht. Das deutsche Verfahren zur Richtlinie (EU) 2019/1937 war INFR(2022)0052 wegen verspäteter Umsetzung; es endete mit dem EuGH-Urteil C-149/23 vom 6. März 2025 (Pauschalbetrag 34 Mio. Euro) und wurde am 4. Juni 2026 eingestellt. Stand 17. August 2026 ist das deutsche HinSchG in § 14 unverändert. Für die Selbstprüfung folgt daraus kein Rechtsverstoß, aber ein dokumentierter Umgang mit dem Risiko: Konzern-Compliance-Officer sollten ein Hybrid-Modell — eigene Meldestelle der Tochter plus Konzernstelle als Dritter nach § 14 Abs. 1 Satz 1 HinSchG — statt reiner Konzern-Auslagerung wählen und die Schwelle des § 12 Abs. 2 HinSchG je Legaleinheit einzeln nachhalten.

12. Jahresbericht an GF erstellt?

Best-Practice GF-Reporting + ISO 37301 Klausel 9: Prüfung: Jahresbericht mit Statistik (Meldevolumen, Kategorien, Auflösungs-Quote, Frist-Einhaltung)? Lessons-Learned-Sektion? Maßnahmen-Plan mit Verantwortlichen + Fristen? GF-Sign-Off dokumentiert?

Was in den Bericht gehört, damit er trägt: Die Frist-Einhaltung sollte getrennt nach den beiden gesetzlichen Fristen ausgewiesen werden (§ 17 Abs. 1 Nr. 1 und § 17 Abs. 2 HinSchG), damit ein Ausreißer sichtbar bleibt und nicht in einer Sammelquote verschwindet. Ergänzen Sie die Eskalationswege: Für Deutschland die externe Meldestelle des Bundes beim Bundesamt für Justiz (§ 19 Abs. 1 HinSchG) sowie die besonderen Stellen bei BaFin (§ 21) und Bundeskartellamt (§ 22), für Österreich das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (§ 15 Abs. 1 HSchG) mit den sektoralen Sonderzuständigkeiten von FMA, Bundeswettbewerbsbehörde und Abschlussprüferaufsichtsbehörde (§ 15 Abs. 2 HSchG). Der Bericht selbst ist Best-Practice und keine gesetzliche Pflicht — sein Nutzen liegt im dokumentierten Sign-Off der Geschäftsleitung.

Fundstellen-Spiegel: dieselbe Prüffrage, zwei Rechtsräume

Für sechs der zwölf Punkte lässt sich die Prüffrage direkt auf eine österreichische Fundstelle abbilden — die Systematik bleibt gleich, die Norm und die Behörde ändern sich. Jede Zelle der folgenden Tabelle nennt eine gesetzliche Fundstelle; Praxisempfehlungen sind darin nicht enthalten.

Für die Punkte 4, 7, 8, 9, 10 und 11 arbeitet dieser Artikel mit den deutschen Fundstellen; ob und wie das HSchG diese Punkte im Einzelnen regelt, ist hier nicht dargestellt.

Sanktions- und Verjährungsrahmen: warum die Nachweise drei Jahre halten müssen

Der Sanktionsrahmen bestimmt, wie lange die Prüf-Dokumentation vorgehalten werden sollte — nicht der Prüf-Rhythmus. Alle Beträge und Fristen der folgenden Tabelle sind gesetzliche Werte des deutschen Rechts (Höchstbeträge nach § 40 Abs. 6 Satz 1 HinSchG, Verjährung nach § 31 Abs. 2 OWiG); für österreichische Rechtsträger gilt stattdessen § 24 HSchG.

Gegen juristische Personen kann die Geldbuße nach § 30 Abs. 2 Satz 3 OWiG verzehnfacht werden — bis zu 500.000 Euro. § 40 Abs. 6 Satz 2 HinSchG ordnet diese Verzehnfachung allerdings nur für § 40 Abs. 2 Nr. 1 und 3 sowie Abs. 3 und 4 an; für die fehlende interne Meldestelle (§ 40 Abs. 2 Nr. 2 HinSchG) bleibt es damit bei 20.000 Euro. Für die Selbstprüfung heißt das: Die teuersten Befunde sind Behinderung, Repressalie und Vertraulichkeitsbruch — vor allem die Punkte 3 und 5.

Ablauf der Selbstprüfung in fünf Schritten

Der folgende Ablauf ist eine Praxisempfehlung und keine gesetzlich vorgeschriebene Methodik — das HinSchG regelt weder Verfahren noch Rhythmus einer Wirksamkeitsprüfung.

1. Prüfumfang festlegen: Berichtszeitraum (üblich: die letzten 12 Monate), betroffene Legaleinheiten und je Einheit das anwendbare Recht — HinSchG oder HSchG.
2. Stichprobe ziehen: 10 Meldungen für die Punkte 1 und 2; liegen weniger Fälle vor, prüfen Sie den Zeitraum vollständig. Ohne Meldung im Zeitraum entfallen die Fall-Punkte, die Struktur-Punkte 3 und 6 bis 12 bleiben prüfbar.
3. Dokumente gegen Fundstellen prüfen: Vertraulichkeitskonzept, DSFA, Aufbewahrungs- und Löschkonzept, Fachkunde-Nachweis, Belegschaftsinformation, AVV und Konzern-Vereinbarung — jeweils mit Notiz, gegen welche Norm geprüft wurde.
4. Funktionstest statt Aktenlage: Für die Punkte 4 und 9 eine Test-Meldung über jeden angebotenen Kanal absetzen und bis zur Rückmeldung verfolgen. Papierform genügt hier nicht, weil gerade der anonyme Rückkanal typischerweise erst im Test auffällt.
5. Bericht, Maßnahmen, Wiedervorlage: Befunde je Punkt mit Verantwortlichem und Termin, Sign-Off der Geschäftsleitung, Wiedervorlage zum nächsten Zyklus (Punkt 12).