HinSchG externe Meldestelle: Anbieter-Vergleich 2026

Hauptartikel: HinSchG: Interne Meldestelle einrichten — Einrichtung der internen Meldestelle in acht Schritten, mit Verfahrensfristen, Datenschutzpflichten und 30-Punkte-Checkliste.

Kurzantwort: Die Aufgaben der internen Meldestelle dürfen einem Dritten übertragen werden (§ 14 Abs. 1 Satz 1 HinSchG) — die Pflicht, eine interne Meldestelle einzurichten und zu betreiben, bleibt beim Beschäftigungsgeber (§ 12 Abs. 1 Satz 1 i. V. m. Abs. 2 HinSchG), und geeignete Maßnahmen zur Abstellung eines Verstoßes muss er selbst ergreifen (§ 14 Abs. 1 Satz 2 HinSchG). Die Auswahlfrage lautet deshalb: Welche Option passt zu welcher Ausgangslage — und welche Pflichten bleiben in jedem Fall im Haus?

Anbieter- und Marktangaben: Stand der Erstfassung (02.05.2026), für diese Fassung nicht neu erhoben; Preise nennt der Vergleich nicht — maßgeblich ist das Angebot für den eigenen Umfang.

Die sechs Optionen nebeneinander

Gilt für jede der sechs Optionen: Einrichtung und Betrieb der internen Meldestelle (§ 12 Abs. 1 Satz 1 i. V. m. Abs. 2 HinSchG), das Abstellen erkannter Verstöße (§ 14 Abs. 1 Satz 2 HinSchG), die Fachkunde der betrauten Personen (§ 15 Abs. 2 HinSchG), die persönliche Zusammenkunft auf Ersuchen (§ 16 Abs. 3 Satz 3 HinSchG), der Auftragsverarbeitungsvertrag bei Einschaltung eines Auftragsverarbeiters (Art. 28 DSGVO) und getrennte Löschfristen je Rechtsraum (§ 11 Abs. 5 HinSchG / § 8 Abs. 11 HSchG).

Die Tabelle nennt je Option den Typ, das Kostenmodell sowie den genannten Vorteil und Nachteil.

Welche Option passt zu welcher Ausgangslage?

Die Ausgangslage entscheidet, nicht das Produkt: Wer nur deutsche Standorte hat, kommt mit einer Software plus fachkundiger Person im Haus aus; wer in Deutschland und Österreich meldet, braucht getrennte Lösch- und Kategoriensystematik; wer keine fachkundige Person stellen kann, überträgt die Aufgaben an einen Dritten. Die Tabelle ordnet die sechs Optionen den typischen Ausgangslagen zu; die Zuordnung ist Praxisempfehlung, die Norm-Anker sind zwingend.

1. Anwaltskanzlei (Klassiker)

Die Anwaltskanzlei als Ombudsperson ist die klassische Auslagerung an einen Dritten nach § 14 Abs. 1 Satz 1 HinSchG.

Vier Punkte gehören in den Mandats- oder Dienstleistungsvertrag. Erstens die Fristen aus § 17 HinSchG: Wer bestätigt den Eingang binnen sieben Tagen, wer gibt die Rückmeldung binnen drei Monaten? Zweitens die Schnittstelle für Folgemaßnahmen — die Pflicht, einen Verstoß abzustellen, verbleibt nach § 14 Abs. 1 Satz 2 HinSchG beim Beschäftigungsgeber, die Kanzlei kann sie nicht übernehmen. Drittens die Vertraulichkeit: § 8 Abs. 1 HinSchG bindet die Meldestelle auch dann, wenn ihre Aufgaben nach § 14 Abs. 1 Satz 1 HinSchG einer Kanzlei übertragen sind. Die Identität der hinweisgebenden Person, der betroffenen Personen und sonstiger in der Meldung genannter Personen darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden. In Österreich schützt § 7 Abs. 1 und 2 HSchG die Identität ausdrücklich auch bei beauftragten Stellen, einschließlich aller Informationen, aus denen sie ableitbar ist. Klauseln, die Rechte hinweisgebender Personen einschränken, sind nach § 39 HinSchG unwirksam — auch in Anbieterverträgen. Viertens die Abgrenzung Ombudsperson gegen reines Kanzleimandat: Wer ist namentlich als Ansprechperson benannt, und wie wird die Erreichbarkeit für die persönliche Zusammenkunft auf Ersuchen nach § 16 Abs. 3 Satz 3 HinSchG geregelt? Praxisempfehlung (keine gesetzliche Formvorgabe): beides schriftlich im Mandats- oder Dienstleistungsvertrag festhalten.

2. EQS Integrity Group

EQS Integrity Group ist eine Meldestellen-Software; die persönliche Zusammenkunft auf Ersuchen nach § 16 Abs. 3 Satz 3 HinSchG und die Fachkunde der betrauten Personen nach § 15 Abs. 2 HinSchG bleiben in jedem Fall im Haus.

Der Abgleich läuft in Deutschland über § 16 Abs. 3 HinSchG: Satz 1 verlangt, dass interne Meldekanäle Meldungen in mündlicher oder in Textform ermöglichen — insoweit besteht ein Wahlrecht des Beschäftigungsgebers. Wird der mündliche Kanal gewählt, muss er per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein (Satz 2). Zwingend hinzu kommt allein die persönliche Zusammenkunft auf Ersuchen der hinweisgebenden Person innerhalb angemessener Zeit (Satz 3); sie muss personell hinterlegt sein — mit deren Einwilligung auch per Bild- und Tonübertragung (Satz 4). Für anonyme Meldungen gilt: Die interne Meldestelle sollte sie bearbeiten (§ 16 Abs. 1 Satz 4 HinSchG); eine Verpflichtung, die Meldekanäle für die Abgabe anonymer Meldungen zu gestalten, besteht nach Satz 5 ausdrücklich nicht. Und der Bestands-Hinweis „kein dedizierter Untersucher" hat eine konkrete Folge: Die mit den Aufgaben betrauten Personen brauchen die notwendige Fachkunde nach § 15 Abs. 2 HinSchG — bei einer reinen Softwarelösung sind das eigene Beschäftigte. Der Bestands-Vorteil „dokumentierte Schulung" deckt den Fachkunde-Nachweis nach § 15 Abs. 2 HinSchG nur ab, wenn Inhalt und Datum dokumentiert sind (Schritt 3). Praxisempfehlung (keine gesetzliche Pflicht): drei parallele Kanäle anbieten, das nimmt die Diskussion über die Kanalwahl aus dem Verfahren.

3. Externe Meldestelle des Bundes (Bundesamt für Justiz, BfJ)

Die externe Meldestelle des Bundes ist kein Auslagerungspartner, sondern ein staatlicher Meldeweg, den die hinweisgebende Person nach § 7 Abs. 1 HinSchG frei wählen kann.

Die staatliche externe Meldestelle des Bundes ist nach § 19 Abs. 1 HinSchG beim Bundesamt für Justiz (BfJ) eingerichtet — nicht beim Bundesministerium der Justiz (BMJ); das sind verschiedene Institutionen.

DACH-Hinweis (DE/AT): Die hier verglichenen staatlichen Stellen betreffen Deutschland. In Österreich ist die staatliche externe Stelle nach § 15 HSchG das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (BAK) — nicht das BfJ. Die Pflicht zur internen Meldestelle ab 50 Beschäftigten gilt in beiden Ländern: in Deutschland nach § 12 HinSchG, in Österreich nach § 3 und § 11 HSchG.

Die Stelle beim BfJ ist organisatorisch vom übrigen Zuständigkeitsbereich des Amtes getrennt und immer dann zuständig, soweit nicht eine besondere externe Meldestelle einschlägig ist (§ 19 Abs. 1 und Abs. 4 HinSchG). Besondere Stellen sind unter anderem die BaFin für Finanzdienstleister (§ 21 HinSchG) und das Bundeskartellamt für Wettbewerbsrecht einschließlich des Digital Markets Act (§ 22 HinSchG). § 22 HinSchG bestimmt allein diese Zuständigkeit des Bundeskartellamts als besondere externe Meldestelle; unternehmensseitige Audit- oder Prüfpflichten begründet er nicht — die verbreitete Annahme einer „Audit-Pflicht ab 2026" hat im Gesetz keine Grundlage. Für das externe Verfahren gelten eigene Fristen: Eingangsbestätigung spätestens sieben Tage nach Eingang (§ 28 Abs. 1 HinSchG), Rückmeldung spätestens nach drei Monaten, bei umfangreicher Bearbeitung nach sechs Monaten unter Mitteilung der Verlängerungsgründe (§ 28 Abs. 4 HinSchG). In Österreich ist das BAK für alle Hinweise auf Rechtsverletzungen bei Rechtsträgern des privaten und öffentlichen Sektors zuständig, soweit keine besondere Stelle vorgeht — dazu zählen Finanzmarktaufsicht, Bundeswettbewerbsbehörde und Abschlussprüferaufsichtsbehörde (§ 15 Abs. 1 und Abs. 2 HSchG); die externe Stelle bestätigt binnen sieben Kalendertagen und meldet spätestens nach drei, in hinreichend begründeten Fällen nach sechs Monaten zurück (§ 9 Abs. 1, § 17 Abs. 6 HSchG).

4. Whistlelink (Schweden, EU-Hosting)

Whistlelink ist eine Software-only-Lösung aus Schweden mit EU-Hosting; die Prüffrage lautet, ob sich Fristenlauf und Löschsystematik des jeweiligen Rechtsraums im Produkt abbilden lassen (§ 17, § 11 Abs. 5 HinSchG gegenüber § 8 Abs. 11 HSchG).

Der deutsche Fristenlauf ist zweistufig: Eingangsbestätigung spätestens nach sieben Tagen (§ 17 Abs. 1 Nr. 1 HinSchG), Rückmeldung innerhalb von drei Monaten nach der Bestätigung des Eingangs — wurde der Eingang nicht bestätigt, spätestens drei Monate und sieben Tage nach Eingang (§ 17 Abs. 2 HinSchG). Inhalt der Rückmeldung: geplante sowie bereits ergriffene Folgemaßnahmen und deren Gründe. Aufbewahrung und Datenschutz-Folgenabschätzung weichen je Rechtsraum ab (§ 11 Abs. 5 HinSchG gegenüber § 8 Abs. 11 und § 8 Abs. 13 HSchG) — die Werte stehen in der Tabelle „Fristen und Zuständigkeiten". Der Bestands-Hinweis „begrenzte DACH-Anpassung" wird damit prüfbar: getrennte Löschfristen je Rechtsraum, Fristenzähler ab Eingangsbestätigung, deutschsprachige Vorlagen für Eingangsbestätigung und Rückmeldung.

5. NAVEX EthicsPoint (US-Anbieter)

NAVEX EthicsPoint ist eine Enterprise-Lösung eines US-Anbieters und wird als Auftragsverarbeiter tätig; die Rolle des Verantwortlichen bleibt bei Ihnen — Auswahl des Auftragsverarbeiters und Meldung von Sicherheitsvorfällen (Art. 28 Abs. 1, Art. 33 Abs. 1 DSGVO).

Art. 28 Abs. 1 DSGVO erlaubt nur Auftragsverarbeiter, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Vertrag nach Art. 28 Abs. 3 DSGVO muss Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen — das ist der Mindestinhalt, den ein Anbieter-AVV abdecken muss. Unabhängig davon bleibt das Vertraulichkeitsgebot des § 8 Abs. 1 HinSchG unverändert bestehen; es bindet die Meldestelle auch dann, wenn ihre Aufgaben nach § 14 Abs. 1 Satz 1 HinSchG einem Dritten übertragen sind (Einzelheiten in Abschnitt 1). Und im Störfall zählt Ihre eigene Frist: Bei einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche — also das Unternehmen, nicht der Anbieter — unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) — es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist voraussichtlich nicht gegeben; erfolgt die Meldung später, ist eine Begründung für die Verzögerung beizufügen. Praxisempfehlung (keine gesetzliche Pflicht): Meldeweg, Ansprechstelle und Reaktionszeit des Anbieters bei Sicherheitsvorfällen vertraglich benennen, sonst ist diese Frist im eigenen Haus kaum zu halten. Der Bestands-Nachteil „Drittland-Risiko" wird im Gespräch an drei Punkten greifbar (Praxisempfehlung, keine gesetzliche Pflicht): Serverstandorte und die vollständige Liste der Unterauftragnehmer schriftlich benennen lassen, im Auftragsverarbeitungsvertrag festhalten, wer von wo aus auf Meldedaten zugreift — Support- und Administrationszugriffe eingeschlossen —, und den Nachweis der „hinreichenden Garantien" nach Art. 28 Abs. 1 DSGVO dokumentiert verlangen statt zugesichert. Die Anforderungen an Übermittlungen in Drittländer nach Kapitel V DSGVO bildet dieser Vergleich nicht ab; sie gehören in die datenschutzrechtliche Einzelprüfung des Anbieters.

6. EthicsCheck

EthicsCheck ist eine deutsche Spezial-Software; maßgeblich ist, welchen sachlichen Anwendungsbereich der Kategorienkatalog abbildet: in Deutschland § 2 Abs. 1 HinSchG, in Österreich den engeren § 3 Abs. 3 HSchG.

In Deutschland erfasst § 2 Abs. 1 Nr. 1 bis 3 HinSchG strafbewehrte Verstöße, bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient, sowie sonstige Verstöße gegen zahlreiche aufgezählte Bundes-, Landes- und EU-Vorschriften. Österreich ist enger: § 3 Abs. 3 HSchG erfasst die EU-Bereiche — unter anderem öffentliches Auftragswesen, Finanzdienstleistungen und Geldwäscheverhinderung, Produktsicherheit, Umweltschutz, Lebensmittelsicherheit, Verbraucherschutz und Datenschutz — zuzüglich der Korruptionsdelikte nach §§ 302 bis 309 StGB, nicht aber sämtliche Straftaten. Ein Kategorienkatalog, der nur die deutsche Lage abbildet, führt in österreichischen Einheiten zu Fehlzuordnungen. Konkret betrifft das zwei Fallgruppen: Straftaten außerhalb der EU-Bereiche und außerhalb der Korruptionsdelikte nach §§ 302 bis 309 StGB sind in Deutschland nach § 2 Abs. 1 Nr. 1 HinSchG erfasst, in Österreich nach § 3 Abs. 3 HSchG dagegen nicht; bußgeldbewehrte Verstöße zum Schutz von Leben, Leib oder Gesundheit oder der Rechte von Beschäftigten und ihrer Vertretungsorgane nennt § 2 Abs. 1 Nr. 2 HinSchG ausdrücklich — in Österreich sind sie nur erfasst, soweit sie einem der in § 3 Abs. 3 HSchG genannten Bereiche zuzuordnen sind (u. a. Produktsicherheit, Lebensmittelsicherheit, öffentliche Gesundheit). Der Bestands-Nachteil „kleinere Marktbasis" wird damit prüfbar (Praxisempfehlung, keine gesetzliche Pflicht): Referenzkunden und zugesagte Reaktionszeiten im Anbieter-Gespräch abfragen.

Was die Auslagerung an einen Anbieter nicht abnimmt

Vier Pflichten bleiben in Deutschland unabhängig vom gewählten Anbieter beim Unternehmen. Erstens Einrichtung und Betrieb der internen Meldestelle ab in der Regel 50 Beschäftigten (§ 12 Abs. 1 Satz 1 i. V. m. Abs. 2 HinSchG); für die in § 12 Abs. 3 HinSchG genannten Beschäftigungsgeber — unter anderem Wertpapierdienstleistungsunternehmen, Börsenträger, Institute nach KWG und Wertpapierinstitutsgesetz, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen sowie Krypto- und Zahlungsdiensteinstitute — gilt sie unabhängig von der Beschäftigtenzahl. Zweitens das Abstellen erkannter Verstöße (§ 14 Abs. 1 Satz 2 HinSchG). Drittens das Behinderungsverbot des § 7 Abs. 2 HinSchG. Viertens der Repressalienschutz: § 36 Abs. 1 HinSchG verbietet Repressalien einschließlich Androhung und Versuch; erleidet die hinweisgebende Person eine berufsbezogene Benachteiligung und macht sie geltend, diese infolge der Meldung erlitten zu haben, wird eine Repressalie vermutet, und der Benachteiligende trägt die Beweislast (§ 36 Abs. 2 HinSchG). Der Verursacher schuldet Ersatz des daraus entstehenden Schadens, ein Anspruch auf Einstellung oder beruflichen Aufstieg entsteht daraus nicht (§ 37 HinSchG). Das LAG Niedersachsen hat am 11.11.2024 (7 SLa 306/24) das zweistufige Prüfschema bestätigt. Praxisempfehlung (keine gesetzliche Pflicht): Für jede HR-Maßnahme nach einer Meldung den Unabhängigkeitsnachweis dokumentieren. In Österreich ist der Maßstab schwächer: Nach § 23 HSchG muss die hinweisgebende Person die Vergeltung nur glaubhaft machen; eine Vergeltung ist nicht anzunehmen, wenn ein anderes Motiv wahrscheinlicher ist, das die handelnde Person ihrerseits glaubhaft zu machen hat.

Hinzu kommt eine Grenze des Identitätsschutzes, die kein Anbieter verschiebt: Bei vorsätzlich oder grob fahrlässig unrichtigen Meldungen entfällt er (§ 9 Abs. 1 HinSchG); zudem ist die hinweisgebende Person nach § 38 HinSchG zum Ersatz des Schadens verpflichtet, der aus einer vorsätzlichen oder grob fahrlässigen Meldung unrichtiger Informationen entstanden ist.

Fristen und Zuständigkeiten: Deutschland und Österreich

Die Kernpflichten laufen weitgehend parallel, die Fundstellen und einzelne Details unterscheiden sich. Diese Tabelle enthält ausschließlich gesetzliche Vorgaben; Praxisempfehlungen sind an anderer Stelle als solche gekennzeichnet.

In sieben Schritten zum Anbieter

Die Auswahl läuft in sieben Schritten, jeder mit einer Zuständigkeit im Haus und einem Norm-Anker; die Reihenfolge ist Praxisempfehlung, keine gesetzliche Vorgabe.

1. Anwendungsbereich je Rechtsraum festlegen (Geschäftsleitung mit Compliance): Welche Verstoßkategorien muss das System abbilden — § 2 Abs. 1 HinSchG für deutsche, § 3 Abs. 3 HSchG für österreichische Einheiten?
2. Kanalentscheidung treffen (Compliance): mündlich oder Textform (§ 16 Abs. 3 Satz 1 HinSchG) — und die persönliche Zusammenkunft auf Ersuchen (Satz 3) personell hinterlegen; mit Einwilligung der hinweisgebenden Person auch per Bild- und Tonübertragung (Satz 4).
3. Fachkundige Person benennen und schulen (Geschäftsleitung): Die mit den Aufgaben betrauten Personen brauchen die notwendige Fachkunde (§ 15 Abs. 2 HinSchG) — auch dann, wenn der Anbieter nur die Technik stellt. Ein Format gibt das Gesetz nicht vor; Praxisempfehlung (keine gesetzliche Pflicht): Schulung von 5 bis 8 Unterrichtseinheiten zu Verfahren, Vertraulichkeit, DSGVO-Schnittstelle, Repressalienschutz und Sachverhaltsaufklärung; Abschluss mit Zertifikat; als Nachweis in der Compliance-Dokumentation ein Fachkunde-Nachweis, der nicht älter als drei Jahre ist.
4. Angebote einholen und Prüfraster anwenden (Compliance mit Einkauf): die 11 Prüfpunkte je Anbieter schriftlich beantworten lassen, Auswahlbegründung in der Compliance-Dokumentation ablegen — Praxisempfehlung, keine gesetzliche Vorgabe.
5. Auftragsverarbeitungsvertrag und Löschsystematik verhandeln (Datenschutzbeauftragter mit Einkauf): Mindestinhalt nach Art. 28 Abs. 3 DSGVO, getrennte Fristen für Deutschland (§ 11 Abs. 5 HinSchG) und Österreich (§ 8 Abs. 11 HSchG).
6. Datenschutz-Folgenabschätzung durchführen (Datenschutzbeauftragter): in Deutschland nach Art. 35 DSGVO; in Österreich ist sie nach § 8 Abs. 13 HSchG i. V. m. Art. 35 Abs. 10 DSGVO entbehrlich.
7. Belegschaft informieren (Personal): nach Vertragsschluss und vor dem Live-Gang verständliche Information über die Meldewege nach § 13 HinSchG.

Prüfraster für das Anbieter-Gespräch

Elf Punkte entscheiden über die Eignung eines Anbieters — jeder knüpft an eine Norm an, die die mittlere Spalte nennt. Ob und wie ein Punkt vertraglich ausgestaltet wird, ist Gestaltungsfrage und damit Praxisempfehlung, keine gesetzliche Formvorgabe.