HinSchG Konzern-Praxis: Hybridmodell-Implementierung

Hauptartikel: HinSchG Konzern-Meldestelle — der Überblick, welche Konzern-Modelle § 14 HinSchG zulässt und wo die Streitpunkte liegen.

Rechtsrahmen des Hybridmodells: § 14 HinSchG und die Frage der Richtlinienkonformität

Das Hybridmodell steht auf zwei Normen: § 14 Abs. 1 Satz 1 HinSchG erlaubt es, die Aufgaben der internen Meldestelle einem Dritten zu übertragen — auch einer Stelle im eigenen Konzern —, während § 12 Abs. 1 Satz 1 in Verbindung mit Abs. 2 HinSchG die Einrichtungspflicht bei jedem Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten belässt. Die Betrauung eines Dritten entbindet den Beschäftigungsgeber ausdrücklich nicht davon, selbst geeignete Maßnahmen zur Abstellung eines Verstoßes zu ergreifen (§ 14 Abs. 1 Satz 2 HinSchG).

An dieser Konstruktion setzt die Frage der Richtlinienkonformität an: Art. 8 Abs. 1 und Abs. 3 der EU-Whistleblower-Richtlinie 2019/1937 verlangt interne Meldekanäle und -verfahren bei jeder juristischen Person des privaten Sektors mit 50 oder mehr Arbeitnehmern, während die deutsche Konzern-Auslagerungs-Lösung — Mutter- oder Schwestergesellschaft als interne Meldestelle für Tochterunternehmen — auf § 14 HinSchG beruht. Ein Vertragsverletzungsverfahren der Europäischen Kommission gegen Deutschland zu § 14 HinSchG ist nicht anhängig: Das Verfahren INFR(2022)0052 wegen verspäteter Umsetzung der Richtlinie endete mit dem Urteil des EuGH in der Rechtssache C-149/23 vom 6. März 2025 (Pauschalbetrag 34 Mio. Euro) und wurde am 4. Juni 2026 eingestellt; ein Konformitätsverfahren wurde nicht eröffnet. § 14 HinSchG gilt zum 17. August 2026 unverändert.

Die daraus abgeleitete Praxisempfehlung für Konzern-Compliance-Officer lautet: Hybrid-Modelle verwenden — eine tochtereigene Meldestelle plus die Konzern-Stelle als Dritter — statt reiner Konzern-Auslagerung. Das Hybridmodell selbst ist damit eine Praxisempfehlung; die Gesetzespflicht folgt aus § 12 HinSchG, die Zulässigkeit der Übertragung aus § 14 Abs. 1 HinSchG. Die folgenden sechs Bausteine beschreiben, wie diese Architektur konkret gebaut wird.

Reihenfolge beim Aufbau (Praxisempfehlung):

1. Konzernrichtlinie mit Zuständigkeitsabgrenzung zwischen Zentrale und Töchtern.
2. Kanal und Mandant je Tochter einrichten (Abschnitt 1).
3. Lokale Beauftragte bestellen und Fachkunde schulen (Abschnitt 2).
4. Je Tochter feststellen, ob eine Vereinbarung nach Art. 26 DSGVO oder ein AVV nach Art. 28 DSGVO das richtige Dokument ist, und dieses schließen (Abschnitt 4).
5. Belegschaftsinformation nach § 13 HinSchG ausrollen.
6. Plan-B-Ablage anlegen (Abschnitt 5).

Was in die Konzernrichtlinie gehört (Schritt 1) — die Punkte stehen einzeln in diesem Artikel, die Richtlinie bündelt sie:

• Zuständigkeitsraster für die Triage (Abschnitt 3).
• Vertretungsregel bei Befangenheit (Abschnitt 2).
• Zuordnung der DSGVO-Rolle je Tochter — Art. 26 oder Art. 28 DSGVO (Abschnitt 4).
• Entscheidungsstelle für die Plan-B-Umschaltung (Abschnitt 5).
• Jährlicher Statusbericht Mutter ↔ Tochter (Fristentabelle in Abschnitt 3).

Belegschaftsinformation nach § 13 HinSchG (Schritt 5). Gegenstand und Form nennt dieser Artikel: eine klare Erklärung der Meldewege, ausgerollt per Aushang oder Intranet-Seite. Zum Adressatenkreis im Einzelnen und zu einem österreichischen Pendant trifft er keine Aussage.

Für diesen Initial-Aufbau veranschlagt die Erstfassung 5 bis 10 Personentage (Tabelle in Abschnitt 6).

1. Zentrale Software als Eingangskanal

Ein konzernweiter Eingangskanal muss die Formanforderungen des § 16 Abs. 3 HinSchG erfüllen; die eindeutige Zuordnung jeder Meldung zu einer Tochtergesellschaft kommt als Praxisanforderung hinzu.

Was das Gesetz verlangt: § 16 Abs. 3 Satz 1 HinSchG verlangt, dass interne Meldekanäle Meldungen „in mündlicher oder in Textform" ermöglichen — der Beschäftigungsgeber hat insoweit ein Wahlrecht, beide Formen sind nicht zwingend parallel vorzuhalten. Wird der mündliche Kanal gewählt, muss er per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein (Satz 2). Zwingend hinzu kommt allein die persönliche Zusammenkunft auf Ersuchen der hinweisgebenden Person innerhalb angemessener Zeit (Satz 3); mit deren Einwilligung ist auch eine Bild- und Tonübertragung zulässig (Satz 4). Drei parallele Kanäle — Textform, Telefon, persönliches Gespräch — sind verbreitete Best Practice und senken das Streitrisiko, sind aber keine gesetzliche Pflicht.

Zur Anonymität: Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten (§ 16 Abs. 1 Satz 4 HinSchG); eine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen, besteht nach Satz 5 ausdrücklich nicht. Einen gesetzlichen Stichtag für eine „anonyme Pflicht" gibt es nicht — die Übergangsregelung des § 42 HinSchG betrifft ausschließlich die Einrichtungsfrist für Beschäftigungsgeber mit 50 bis 249 Beschäftigten (17. Dezember 2023) sowie die Anwendbarkeit von § 40 Abs. 2 Nr. 2 HinSchG (1. Dezember 2023). Ein Web-Formular ohne Login plus anonymer Rückkanal ist Best Practice, nicht Gesetzespflicht.

Praxisempfehlung für den Konzern: Im hier beschriebenen Setup läuft der Eingang über eine konzernweite Software (z.B. EQS Enterprise) mit einer Eingangs-URL, bei der die hinweisgebende Person die betroffene Tochter bereits beim Eingang auswählt; der Kanal ist dabei anonym nutzbar — das ist eine Ausgestaltungsentscheidung, keine Pflicht (siehe den Absatz zur Anonymität oben). Die Tochterauswahl so gestalten, dass jede Meldung von der ersten Sekunde an einer juristischen Person zugerechnet ist — nur so lässt sich später belegen, für welchen Beschäftigungsgeber die Fristen aus Abschnitt 3 gelaufen sind.

Wenn die Zuordnung fehlt oder falsch ist: Für Meldungen ohne Tochterauswahl empfiehlt sich eine Auffang-Zuständigkeit der Zentrale, die die Zuordnung im Rahmen der Triage nachholt und im Zuständigkeitsvermerk mit Datum festhält (Entscheidungsraster in Abschnitt 3). Bei einer Fehlzuordnung sollten Sie die Sieben-Tage-Frist des § 17 Abs. 1 Nr. 1 HinSchG vorsichtshalber ab dem Eingang im Konzern-Kanal rechnen, nicht erst ab der Korrektur. Betrifft eine Meldung mehrere Töchter, empfiehlt sich eine parallele Fall-Anlage je juristischer Person — so ist jede Eingangsbestätigung und jede Rückmeldung nach drei Monaten nachweisbar der richtigen Stelle zugeordnet. Alle drei Punkte sind Praxisempfehlungen, keine gesetzlichen Vorgaben.

2. Dezentrale Untersuchungs-Beauftragte

Die Besetzung der lokalen Untersuchungs-Rolle ist Organisationssache, ihre Fachkunde dagegen Gesetzespflicht.

Was § 15 Abs. 2 HinSchG verlangt: „die notwendige Fachkunde" — eine juristische Ausbildung schreibt die Norm nicht vor. In der Praxis sind 5 bis 8 Unterrichtseinheiten mit Zertifikat üblich; typische Inhalte sind Verfahren, Vertraulichkeit, DSGVO-Schnittstelle, Repressalienschutz und Sachverhaltsaufklärung. Diese Umfangs- und Inhaltsangaben sind Praxiswerte, keine gesetzlichen Mindestvorgaben.

Besetzung und Dokumente je Tochter (Praxisempfehlung): Bewährt haben sich ein bis zwei Untersuchungs-Beauftragte je Tochter, die die lokale Sprache sprechen und den Kontext des Standorts kennen; geschult werden sie nach § 15 HinSchG. Dazu gehören diese Dokumente:

• Bestellungsurkunde für die benannte Person — die Benennung ist auch in Personalunion möglich, etwa durch die Compliance-Officer- oder Justiziar-Rolle.
• Unabhängigkeitserklärung, damit die Rollentrennung zwischen Untersuchung und Linienführung nachvollziehbar bleibt.
• Fachkunde-Nachweis, in der Audit-Praxis nicht älter als drei Jahre — ein Best-Practice-Turnus, keine gesetzliche Frist.
• Konzern-Mapping: Welche Tochter wird von welcher Person betreut, und welche Vertretung greift bei Befangenheit oder Abwesenheit? Als Spaltenliste mit einer Zeile je Tochter: juristische Person · Rechtsraum (HinSchG/HSchG) · Kopfzahl und § 12 Abs. 3-Status · Untersuchungs-Beauftragte(r) · benannte Vertretung · DSGVO-Dokument (Art. 26 oder Art. 28) · Mandant im System angelegt (ja/nein, Plan-B-Relevanz).

Für österreichische Tochtergesellschaften gilt nicht das HinSchG, sondern das HSchG; die Übertragung der Aufgaben auf eine gemeinsame Stelle oder auf Dritte regelt dort § 13 Abs. 4 HSchG (siehe Abschnitt 4).

3. Workflow zwischen Zentral + Lokal

Der Workflow läuft dreistufig: Eingang und Triage in der Zentrale, Untersuchung lokal oder zentral nach dem Raster unten, Lesezugriff für das aggregierte Reporting. Die Triage entscheidet ausschließlich über die Zuständigkeit — die gesetzlichen Fristen laufen davon unberührt weiter.

Jede Meldung durchläuft zuerst die Eingangs-Triage in der Zentrale. Bei lokalem Bezug wird der Fall unter Wahrung des Vertraulichkeitsschutzes an die Tochter delegiert, bei Konzern-Bezug untersucht die Zentrale selbst.

Vertraulichkeit bei der Delegation: Nach § 8 Abs. 1 HinSchG wahren die Meldestellen die Vertraulichkeit der Identität der hinweisgebenden Person, der von der Meldung betroffenen Personen und der sonstigen in der Meldung genannten Personen; die Identität darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden. Für den Konzern heißt das: Die Weitergabe an eine Tochter ist kein Automatismus, sondern eine Zuständigkeitsentscheidung, die den Kreis der Wissenden nicht über die Zuständigen hinaus erweitern darf. Praxisempfehlung für die Systemkonfiguration: Bei der Delegation werden der Tochter Fall-ID, Sachverhaltsdarstellung und Zuständigkeitsvermerk freigegeben; identifizierende Angaben zur hinweisgebenden Person bleiben ohne deren Einwilligung auf die Zentrale beschränkt. Dahinter steht ein dreistufiges Rollenmodell — Eingang und Triage in der Zentrale, Untersuchung lokal und fallbezogen, Lesezugriff für das aggregierte Reporting —, flankiert von den bewährten technischen Maßnahmen: Need-to-know-Prinzip im Meldestellen-Team, verschlüsselte Speicherung der Meldungen und ein Audit-Trail aller Zugriffe, getrennt je Tochter (siehe FAQ zur Datenverteilung).

Entscheidungsraster für die Triage. Woran sich „lokaler Bezug" und „Konzern-Bezug" im Einzelfall unterscheiden, hält das folgende Raster fest. Es ist eine Praxisempfehlung, keine gesetzliche Zuständigkeitsregel — verantwortlich bleibt in jedem Fall die Tochter als Beschäftigungsgeber (§ 14 Abs. 1 Satz 2 HinSchG).

Übergabe-Artefakte (Praxisempfehlung). Bei jeder Delegation entstehen drei Artefakte: eine Fall-ID, unter der der Vorgang in beiden Einheiten geführt wird; ein Zuständigkeitsvermerk mit Datum und Begründung der Zuordnung; und eine dokumentierte Zugriffsfreigabe im Audit-Trail, aus der hervorgeht, wer ab wann Einsicht hatte. Den Zieltag für die Delegation selbst nennt die Zeile „Delegation von der Zentrale an die Tochter" in der folgenden Tabelle.

Fristen im Meldeverfahren. Die Tabelle trennt gesetzliche Fristen von Praxisempfehlungen: Die Spalte „Art" sagt für jede Zeile, welche der beiden Kategorien gilt; die Spalte „Rechtsraum" nennt den Rechtsraum, für den die Zeile gilt.

4. EU-Konformität sicherstellen

Im laufenden Betrieb tragen vor allem drei dokumentierte Stränge zur EU-Konformität bei: Datenschutz, Vertraulichkeit (§ 8 HinSchG, Abschnitt 3) und Repressalienschutz. Ob die Konzern-Auslagerung als solche richtlinienkonform ist, ist nicht abschließend geklärt; ein Vertragsverletzungsverfahren der Europäischen Kommission gegen Deutschland dazu ist nicht anhängig (Abschnitte Rechtsrahmen und 5). Der zweite Strang, die Vertraulichkeit nach § 8 HinSchG, ist in Abschnitt 3 abgehandelt — hier folgen die beiden übrigen. Für alle drei gilt: Die gewählte Organisationsform der internen Meldestelle nach § 14 HinSchG gehört dokumentiert, damit im Prüfungsfall belegbar ist, wer welche Aufgabe für welche juristische Person übernimmt.

Datenschutz-Bausteine je Tochter. Die Verarbeitungstätigkeit „Meldestelle" gehört ins Verzeichnis der Verarbeitungstätigkeiten. In Deutschland ist zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen — die Norm verlangt sie vorab, wenn eine Verarbeitungsform voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat; in Österreich ist sie nach § 8 Abs. 13 HSchG in Verbindung mit Art. 35 Abs. 10 DSGVO entbehrlich. Wird die Software von einem Dienstleister betrieben, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich: Er muss Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen (Art. 28 Abs. 3 DSGVO). Hinzu kommen ein meldestellenspezifisches TOM-Konzept — Need-to-know im Meldestellen-Team, verschlüsselte Speicherung, je Tochter getrennter Audit-Trail und Mandanten-Trennung (Abschnitt 3 und FAQ zur Datenverteilung) — und Datenschutzhinweise für Hinweisgeber und Beschuldigte; als Zeitpunkt empfiehlt sich für Hinweisgeber der Eingang im Kanal, für Beschuldigte die Aufnahme in die Fallakte (Praxisempfehlung). Die Löschfristen stehen in der Tabelle in Abschnitt 3.

Tochter ↔ Zentrale: Art. 26 oder Art. 28 DSGVO? Ob zwischen Tochter und Zentrale Art. 26 DSGVO (gemeinsame Verantwortliche) oder Art. 28 DSGVO (AVV) greift, entscheidet die Rollenverteilung in der Fallbearbeitung — und damit, welches Vertragswerk je Tochter entsteht. Verarbeitet die Zentrale die Meldedaten ausschließlich im Auftrag und nach Weisung der Tochter, liegt eine Verarbeitung im Auftrag im Sinne des Art. 28 Abs. 1 DSGVO nahe; dann braucht jede Tochter einen Auftragsverarbeitungsvertrag mit dem oben genannten Mindestinhalt des Art. 28 Abs. 3 DSGVO. Entscheidet die Zentrale über die Fallbearbeitung mit — etwa durch eigene Triage- und Untersuchungsentscheidungen nach dem Raster in Abschnitt 3 —, ist sie nicht bloß weisungsgebunden tätig; dann kommt eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Betracht, und das Dokument je Tochter ist eine Vereinbarung nach Art. 26 DSGVO statt eines AVV.

Welche der beiden Konstellationen vorliegt, sollten Sie je Tochter feststellen, mit Ihrer Datenschutzfunktion abstimmen und dokumentieren; die FAQ-Antwort zur Datenverteilung am Ende dieses Artikels geht von der Art.-26-Konstellation aus.

Hosting und Drittland-Bestandteile. EU-Hosting ist im Hybridmodell vorzuziehen; setzt der Konzern eine Plattform mit Drittland-Bestandteilen ein — typischerweise einen US-Hoster —, gehören diese Bestandteile klar dokumentiert. Praxisempfehlung für die dokumentarische Verankerung: Hosting-Standort und eingesetzte Unterauftragsverarbeiter je Tochter im Verzeichnis der Verarbeitungstätigkeiten beim Eintrag „Meldestelle" und in der AVV-Dokumentation führen und Zugriffe aus Drittländern (Support, Administration, Wartung) dort gesondert ausweisen. Auf welche Rechtsgrundlage sich eine Übermittlung in ein Drittland stützt, klären Sie vor dem Rollout mit Ihrer Datenschutzfunktion — dieser Artikel trifft dazu keine Aussage.

Repressalienschutz in der Konzern-Linie. § 36 Abs. 1 HinSchG verbietet gegen hinweisgebende Personen gerichtete Repressalien einschließlich Androhung und Versuch. Erleidet die hinweisgebende Person eine berufsbezogene Benachteiligung und macht sie geltend, diese infolge der Meldung erlitten zu haben, wird vermutet, dass es sich um eine Repressalie handelt — die Beweislast trägt dann der Benachteiligende (§ 36 Abs. 2 HinSchG). Nach § 37 HinSchG ist der Verursacher zum Ersatz des daraus entstehenden Schadens verpflichtet; ein Anspruch auf Begründung eines Beschäftigungsverhältnisses oder auf beruflichen Aufstieg entsteht dadurch nicht. Weil HR-Entscheidungen im Konzern auch auf Ebenen fallen können, die von der Meldung nichts wissen, empfiehlt sich für jede HR-Maßnahme nach einer Meldung ein dokumentierter Unabhängigkeitsnachweis. Der Nachweis hält als Praxisempfehlung fest: Anlass und Zeitpunkt der Maßnahme, entscheidende Person, deren dokumentierten Kenntnisstand über die Meldung, die sachlichen Gründe und — soweit vorhanden — Vergleichsfälle ohne Meldungsbezug. Gezeichnet wird er im Vier-Augen-Prinzip durch HR-Leitung und Meldestelle; aufbewahrt wird er parallel zur Fall-Dokumentation (Löschfrist § 11 Abs. 5 HinSchG, Tabelle in Abschnitt 3). Das LAG Niedersachsen hat mit Urteil vom 11.11.2024 (7 SLa 306/24) diese zweistufige Prüfung — Vermutung nach § 36 Abs. 2 HinSchG, dann Gegenbeweis des Benachteiligenden — bestätigt.

Österreich: HSchG statt HinSchG

Für österreichische Konzerngesellschaften gilt das HinweisgeberInnenschutzgesetz (HSchG); die Gegenüberstellung unten nennt die Abweichungen normgenau.

Drei Abweichungen wirken sich unmittelbar auf den Konzern-Workflow aus. Erstens greift der Filter früher: Der sachliche Anwendungsbereich des § 3 Abs. 3 HSchG erfasst nur die EU-Bereiche zuzüglich der Korruptionsdelikte nach §§ 302 bis 309 StGB — ein Sachverhalt, der in Deutschland unter § 2 HinSchG fällt, muss in Österreich also nicht zwangsläufig ein Hinweis im Sinne des HSchG sein. Zweitens gilt der Identitätsschutz des § 7 HSchG ausdrücklich auch für beauftragte Stellen, also für die Konzern-Stelle, die für eine österreichische Tochter tätig wird. Drittens ist der Nachweisstandard bei Vergeltung schwächer als in Deutschland: Nach § 23 HSchG genügt die Glaubhaftmachung, und eine Vergeltung ist nicht anzunehmen, wenn eine höhere Wahrscheinlichkeit für ein anderes Motiv spricht, das die handelnde Person ihrerseits glaubhaft zu machen hat. Dafür schuldet der Verursacher in Österreich neben der Wiederherstellung des rechtmäßigen Zustandes und dem Ersatz des Vermögensschadens auch eine Entschädigung für die erlittene persönliche Beeinträchtigung (§ 20 Abs. 1 letzter Satz und Abs. 2 HSchG).

Alle Zeilen der folgenden Tabelle nennen geltendes Recht des jeweiligen Rechtsraums; Praxisempfehlungen enthält sie nicht.

5. Plan B falls EuGH gegen § 14 entscheidet

Plan B bedeutet, die Architektur so vorzubereiten, dass jede Tochter eine eigene interne Meldestelle betreiben kann, ohne dass Kanal, Software oder Fristenlauf wechseln.

Technisch heißt das: Die dezentralen Meldestellen je Tochter sind zusätzlich aktivierbar angelegt, und die zentrale Stelle wird im Ernstfall auf „optional" umgeschaltet. Als Umstellungsfenster nach einem EuGH-Urteil gegen § 14 HinSchG rechnet dieser Artikel mit 6 bis 12 Monaten (Einschätzung der Erstfassung, Stand 2. Mai 2026) — daran bemisst sich, wie weit die folgenden Bausteine vorbereitet sein müssen.

Was dafür vorbereitet sein sollte (Praxisempfehlung, keine gesetzliche Vorgabe):

• Mandant je Tochter im zentralen System bereits angelegt — mit Sub-Berechtigungen und getrenntem Audit-Log, wie in der FAQ zur Datenverteilung beschrieben.
• Bestellungsurkunde und Unabhängigkeitserklärung je Tochter unterschriftsreif in der Schublade (siehe Abschnitt 2).
• Verfahrensordnung in einer Tochter-Version, die die Fristen des § 17 HinSchG abbildet (Tabelle in Abschnitt 3) und den Eskalationsweg zur externen Meldestelle beschreibt.
• Belegschaftsinformation nach § 13 HinSchG vorbereitet — Aushang oder Intranet-Seite mit klarer Erklärung der Meldewege, die nur noch den Absender wechselt.

Monitoring und Reihenfolge (Praxisempfehlung): Den Stand der Richtlinienkonformität des § 14 HinSchG — Gesetzesänderungen ebenso wie etwaige Verfahren der Europäischen Kommission — prüft die Konzern-Compliance quartalsweise und vermerkt ihn im jährlichen Statusbericht Mutter ↔ Tochter (Tabelle in Abschnitt 3); die Entscheidung über die Umschaltung trifft die in der Konzernrichtlinie benannte Stelle. Innerhalb des Umstellungsfensters greifen die vier Bausteine in dieser Reihenfolge: Bestellungsurkunden und Verfahrensordnung zuerst, weil sie die Fristen ab Tag 1 der Umschaltung tragen; die Mandanten-Aktivierung parallel; die Belegschaftsinformation nach § 13 HinSchG zuletzt und erst nach der Aktivierung — sonst laufen die neuen Meldewege ins Leere.

Warum das Vorhalten lohnt: Wer keine interne Meldestelle einrichtet und betreibt, handelt in Deutschland ordnungswidrig — Geldbuße bis 20.000 EUR (§ 40 Abs. 2 Nr. 2 in Verbindung mit Abs. 6 HinSchG); Einzelheiten zur Verzehnfachung und zur Verjährung stehen in der FAQ „Was droht, wenn eine Tochter keine interne Meldestelle hat?". Nachweise über die Meldestellen-Organisation (Bestellungsurkunden, Unabhängigkeitserklärungen, Fachkunde-Nachweise, Konzernrichtlinien-Stände, Mandanten-Berechtigungen) sollten Sie mindestens drei Jahre vorhalten — Praxisempfehlung, abgeleitet aus der dreijährigen Verfolgungsverjährung (§ 31 Abs. 2 Nr. 1 OWiG), nicht aus einer Aufbewahrungspflicht des HinSchG; die Löschfrist des § 11 Abs. 5 HinSchG und die fünfjährige Aufbewahrung nach § 8 Abs. 11 HSchG betreffen dagegen die Fall-Dokumentation. Auslöser für die Umschaltung wäre eine Änderung des § 14 HinSchG oder ein Verfahren der Europäischen Kommission zur Richtlinienkonformität (Stand siehe Abschnitt „Rechtsrahmen des Hybridmodells").

6. Kosten + Aufwand

Ein Konzern-Hybrid lohnt sich nach der Praxiseinschätzung der Erstfassung (Stand 2. Mai 2026) ab etwa fünf Tochtergesellschaften; der Aufwand teilt sich in eine zentrale Plattform- und Koordinationskomponente und einen kleinen, aber dauerhaften Personalanteil je Tochter. Die Kosten ergeben sich aus den Posten in der Tabelle unten.

Die Lizenzkosten der zentralen Software richten sich nach der Zahl der Mandanten (Töchter) und sind über Anbieterangebote zu klären. Für die lokalen Untersuchungs-Beauftragten ist je Tochter ein halber Personentag pro Monat zu veranschlagen, für die zentrale Koordination ein Personentag pro Monat. Diese Aufwandswerte stammen aus der Erstfassung dieses Artikels (Stand 2. Mai 2026) und sind Erfahrungswerte, keine Zusage. Welche Kostenposten bei einer einzelnen internen Meldestelle anfallen — Eigenbau, SaaS-Lösung oder externe Ombudsperson —, beschreibt unser Leitfaden zur Einrichtung.

Die Kostenposten im Überblick:

Alle Aufwandswerte der Tabelle: Erfahrungswerte der Erstfassung, Stand 02.05.2026 — keine Zusage.

Der Vorteil des Hybrids gegenüber einer rein dezentralen Lösung liegt nach der Erstfassung vor allem im organisatorischen Effekt — eine Software-Beschaffung, ein Schulungsdurchlauf, ein Fristen-Monitoring statt fünf; darauf stützt sie die Empfehlung ab fünf Töchtern. Das ist eine Praxiseinschätzung, keine belegte Rechnung.

Separat zu budgetieren sind die Fachkunde-Schulungen der lokalen Untersuchungs-Beauftragten (Abschnitt 2) und die jährliche Wirksamkeits-Selbstprüfung der Meldestelle — letztere ist Best Practice für das Geschäftsführungs-Reporting, aber keine gesetzliche Pflicht und daher auch an keinen gesetzlichen Turnus gebunden. Die Selbstprüfung umfasst als Praxisempfehlung: Fristeneinhaltung je Fall (Tabelle in Abschnitt 3), Vollständigkeit der Zuständigkeitsvermerke, Aktualität der Fachkunde-Nachweise (Abschnitt 2) und ein Review der Mandanten-Berechtigungen. Belastbare Aufwandswerte liegen dafür nicht vor.