HinSchG Verfahrensanweisung Vorlage: Meldestellen-Prozess §§ 15–17

Hauptartikel: HinSchG-Leitfaden — Pflichten, Fristen, Kanäle und Bußgelder im Überblick. Den Aufbau der Meldestelle Schritt für Schritt beschreibt Interne Meldestelle einrichten; alle Artikel stehen im HinSchG-Hub.

Diese Seite behandelt das Dokument, das den Betrieb der Meldestelle beschreibt: die Verfahrensanweisung, im Kit Verfahrensordnung genannt. Sie zeigt, was hineingehört, wie es gegliedert wird und wo andere Abteilungen berührt sind.

1. Was das HinSchG verlangt (§§ 12 bis 15)

Die Grundpflicht steht in § 12 Abs. 1 S. 1 HinSchG: Beschäftigungsgeber sorgen dafür, dass mindestens eine interne Meldestelle eingerichtet ist und betrieben wird. § 13 Abs. 1 nennt ihre Aufgaben, § 15 die Anforderungen an die beauftragten Personen.

Eine Pflicht, das Verfahren schriftlich niederzulegen, enthält keine dieser Vorschriften, und eine Aufsicht mit anlassloser Prüfung interner Meldestellen sieht das Gesetz nicht vor. Beim Bundesamt für Justiz ist die externe Meldestelle des Bundes eingerichtet (§ 19 Abs. 1); das BfJ verfolgt außerdem seit 15.04.2025 Ordnungswidrigkeiten nach § 40, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt (§ 1 HinSchGOWiZustV). In einem solchen Bußgeldverfahren belegt die Anweisung, dass die Stelle nicht nur benannt ist, sondern arbeitet.

2. Pflichtinhalte: was in die Anweisung gehört

Die Anweisung erklärt das Recht nicht, sie legt für jede Vorgabe fest, wer was bis wann tut. Die Rechtsdetails stehen im Artikel zur Einrichtung: Meldekanäle, Verfahren, Vertraulichkeit, Repressalienschutz und DSGVO.

3. Aufbau der Verfahrensanweisung in 10 Punkten

Bewährt hat sich diese Reihenfolge. Sie folgt dem Weg einer Meldung vom Eingang bis zur Löschung.

3.1 Geltungsbereich

Erfasste Gesellschaften, Standorte und Beschäftigtengruppen sowie die meldefähigen Verstöße nach § 2 HinSchG. Seit 29.07.2026 gehört die KI-Verordnung dazu (§ 2 Abs. 1 Nr. 10, eingefügt durch Art. 2 des Gesetzes vom 22.07.2026, BGBl. 2026 I Nr. 223); die bisherige Nr. 10 ist Nr. 11. Rein private Streitigkeiten sind nicht erfasst, denn Verstöße sind nur Handlungen oder Unterlassungen im Rahmen einer beruflichen, unternehmerischen oder dienstlichen Tätigkeit (§ 3 Abs. 2).

3.2 Rollen und Verantwortlichkeiten

Beauftragte Person, Vertretung, Eskalationsadressen (Geschäftsführung, Aufsichtsrat) und Befugnisse nach § 12 Abs. 4. Bei einer ausgelagerten Stelle: Die Abhilfe bleibt beim Beschäftigungsgeber (§ 14 Abs. 1 S. 2). Eine zentrale Konzernstelle regelt das HinSchG nicht ausdrücklich; Lösungen beschreibt der Artikel Konzern-Meldestelle.

3.3 Meldekanäle und Information der Belegschaft

Telefon, E-Mail, Postanschrift, Portal, Weg zur persönlichen Zusammenkunft, Erreichbarkeit, Sprachen. Dazu der Text, mit dem die Belegschaft über das interne Verfahren und die externen Meldestellen informiert wird (§ 7 Abs. 3 S. 2, § 13 Abs. 2). Anreize für den internen Weg soll der Beschäftigungsgeber schaffen (§ 7 Abs. 3 S. 1), die externe Meldung darf dadurch aber nicht beschränkt oder erschwert werden (S. 3). Bausteine im Artikel Kommunikation an Mitarbeitende.

3.4 Verfahrensschritte

Eingang → Bestätigung nach spätestens 7 Tagen (§ 17 Abs. 1 Nr. 1) → Prüfung des Anwendungsbereichs (Nr. 2) → Kontakt halten (Nr. 3) → Stichhaltigkeitsprüfung (Nr. 4) → Nachfragen (Nr. 5) → Folgemaßnahme (Nr. 6) → Rückmeldung → Abschluss. Die Rückmeldung kommt innerhalb von 3 Monaten nach der Bestätigung, ohne Bestätigung spätestens 3 Monate und 7 Tage nach Eingang, und nennt geplante und ergriffene Folgemaßnahmen samt Gründen (§ 17 Abs. 2), soweit interne Nachforschungen und Rechte Betroffener nicht berührt werden (§ 17 Abs. 2 S. 3). Folgemaßnahmen nach § 18 reichen von der internen Untersuchung bis zur Abgabe des Verfahrens zwecks weiterer Untersuchungen an eine zuständige Behörde (Nr. 4 Buchst. b).

3.5 Vertraulichkeitsschutz

Zugriffsrechte, Trennung von HR-Systemen, Verschlüsselung, Protokollierung. Rahmen: Vertraulichkeit nach § 8, Ausnahmen nach § 9. Bei vorsätzlich oder grob fahrlässig unrichtigen Meldungen gibt es keinen Identitätsschutz (§ 9 Abs. 1; siehe Umgang mit falschen Meldungen). Vertiefung: Vertraulichkeitskonzept.

3.6 Datenschutz

Befugnis zur Datenverarbeitung nach § 10 HinSchG, auch für besondere Kategorien mit spezifischen Schutzmaßnahmen. Umgang mit Auskunftsersuchen nach Art. 15 DSGVO, Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bei externem Plattformbetrieb und die Prüfung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO (DSFA für die Meldestelle).

3.7 Repressalienschutz

Schutzerklärung zum Repressalienverbot (§ 36 Abs. 1) und zum Verbot, Meldungen zu behindern (§ 7 Abs. 2), Ansprechpartner bei Benachteiligung und der Hinweis auf das Wahlrecht zwischen interner und externer Meldung (§ 7 Abs. 1). Externe Stellen sind die externe Meldestelle des Bundes beim Bundesamt für Justiz (§ 19) sowie BaFin (§ 21) und Bundeskartellamt (§ 22) für ihre Bereiche. Begriff: Repressalienverbot.

3.8 Dokumentation und Archiv

Alle Meldungen werden dauerhaft abrufbar dokumentiert (§ 11 Abs. 1). Bei telefonischen Meldungen sind Tonaufzeichnung oder Wortprotokoll nur mit Einwilligung zulässig, sonst wird ein Inhaltsprotokoll erstellt (Abs. 2). Die Person kann das Protokoll prüfen, korrigieren und bestätigen (Abs. 4). Gelöscht wird 3 Jahre nach Abschluss des Verfahrens, länger nur, soweit erforderlich und verhältnismäßig (Abs. 5): eine Löschpflicht, keine bloße Aufbewahrungsfrist.

3.9 Qualitätssicherung

Jährliche Wirksamkeits-Selbstprüfung als freiwillige Praxisempfehlung mit Bericht an die Geschäftsführung.

3.10 Anlagen

Vorlage Eingangsbestätigung, Meldebogen Erstaufnahme, Untersuchungsprotokoll, Vorlage Rückmeldung, Dokumentationsvorlage mit Protokollbestätigung, Muster für die Einwilligung in die Weitergabe der Identität (gesondert und in Textform für jede Weitergabe, § 9 Abs. 3 S. 2) und Schutzerklärung zum Repressalienverbot.

4. Schnittstellen zu anderen Abteilungen

4.1 HR / Personal

Arbeitsrechtliche Folgemaßnahmen laufen über HR; die Meldestelle gibt nur die dafür erforderlichen Informationen weiter. Die Identität der hinweisgebenden Person geht außerhalb des § 9 Abs. 2 nur weiter, wenn es für Folgemaßnahmen erforderlich ist und sie in Textform eingewilligt hat (§ 9 Abs. 3). Maßnahmen gegen die hinweisgebende Person brauchen eine dokumentierte Begründung, weil § 36 Abs. 2 eine Repressalie vermutet, sobald die Person eine berufliche Benachteiligung als Folge ihrer Meldung geltend macht.

4.2 Compliance / Rechtsabteilung

Strafanzeige, Abgabe an eine Behörde, externe Beratung in komplexen Fällen; die Meldestelle eskaliert, Compliance oder Recht entscheidet über die Außenkommunikation. Verlangt eine Strafverfolgungsbehörde im Strafverfahren die Identität, ist die Weitergabe zulässig, ebenso auf Anordnung im nachfolgenden Verwaltungs- oder Bußgeldverfahren und aufgrund gerichtlicher Entscheidung (§ 9 Abs. 2 S. 1 Nr. 2 und 3), jeweils mit Vorabinformation der Person (§ 9 Abs. 2), es sei denn, die Behörde oder das Gericht teilt mit, dass die Information die Ermittlungen, Untersuchungen oder Gerichtsverfahren gefährden würde (§ 9 Abs. 2 S. 3).

4.3 Geschäftsführung / Vorstand

Ist die Geschäftsführung selbst betroffen, braucht es eine andere Eskalationsstelle, etwa Aufsichtsrat oder Konzern-Compliance. Regelmäßig erhält sie einen anonymisierten Bericht über Fallzahlen und Fristeinhaltung.

4.4 Datenschutzbeauftragter

Beteiligung an der Datenschutz-Folgenabschätzung, Beratung in sensiblen Fällen, Abstimmung von Auskunftsersuchen mit der Vertraulichkeit nach § 8.

4.5 Betriebsrat

Beteiligung an Einführung und Verfahrensanweisung, etwa über eine Betriebsvereinbarung; Art und Umfang der Mitbestimmung sind im Einzelfall zu prüfen. Einsicht in einzelne Meldungen hat der Betriebsrat nicht, denn auf eingehende Meldungen dürfen nur die zuständigen und unterstützenden Personen zugreifen (§ 16 Abs. 2), und nur ihnen darf die Identität bekannt werden (§ 8 Abs. 1 S. 2).

5. Meldekanäle in der Praxis

Pflicht ist eine Meldeform: mündlich oder in Textform (§ 16 Abs. 3 S. 1); die Rechtslage je Kanal zeigt die Kanal-Übersicht im Einrichtungsartikel. Beides anzubieten ist Praxisstandard, keine Pflicht. Für Anbieter und Preise siehe den Anbieter-Vergleich; Pauschalbeträge lassen sich nicht belastbar nennen.

Anonyme Meldungen „sollte“ die Meldestelle bearbeiten (§ 16 Abs. 1 S. 4), einen Kanal dafür muss sie nicht öffnen (S. 5). Eine Gesetzesänderung, die anonyme Meldungen zum 01.07.2024 zur Pflicht gemacht hätte, gibt es nicht; die tatsächlichen Änderungen zeigt HinSchG-Updates 2024–2026.

6. Wirksamkeitsprüfung: Best-Practice, keine Pflicht

Eine gesetzliche Audit-Pflicht für interne Meldestellen gibt es nicht; § 22 HinSchG regelt die externe Meldestelle beim Bundeskartellamt. Eine jährliche Selbstprüfung von Erreichbarkeit, Fristen, Vertraulichkeit, Repressalienschutz und Dokumentation liefert trotzdem den Nachweis gegenüber der Geschäftsleitung und in einem Bußgeldverfahren. Die Methode in 12 Punkten: Wirksamkeits-Selbstprüfung; als Prüfliste für die Einrichtung dient die 30-Punkte-Checkliste.

7. Häufige Fehler in der Praxis

1. Keine Verfahrensanweisung. Als solche nicht bußgeldbewehrt. Bis 20.000 EUR droht, wenn keine interne Meldestelle eingerichtet ist und betrieben wird (§ 40 Abs. 2 Nr. 2, Abs. 6); ohne Anweisung ist der Betrieb aber kaum zu belegen.
2. Nur eine E-Mail-Adresse. Die Textform genügt § 16 Abs. 3 S. 1. Es fehlt aber die persönliche Zusammenkunft auf Ersuchen (S. 3), und ein geteiltes Postfach verletzt die Zugriffsbeschränkung des § 16 Abs. 2.
3. Anonyme Meldungen pauschal abgelehnt. Keine Pflichtverletzung, aber gegen die Soll-Vorgabe des § 16 Abs. 1 S. 4.
4. Meldestelle zugleich HR-Leitung. Doppelaufgaben dürfen nicht zu Interessenkonflikten führen (§ 15 Abs. 1 S. 3); bei Meldungen mit HR-Bezug lässt sich das kaum ausschließen.
5. Fristen versäumt. Die 7-Tage-Bestätigung oder die Rückmeldung nach 3 Monaten unterbleibt. Das verletzt § 17; einen eigenen Bußgeldtatbestand gibt es dafür nicht.
6. Eingangsprotokolle auf einem gemeinsamen Mailserver. Verstoß gegen § 16 Abs. 2 und Gefahr für die Vertraulichkeit nach § 8, deren Verletzung nach § 40 Abs. 3 und 4 bußgeldbewehrt ist.
7. Keine Schulung der Meldestellen-Beauftragten. § 15 Abs. 2 verlangt die notwendige Fachkunde, keine bestimmte Schulung; eine datierte Schulung ist der übliche Nachweis.

Österreich: HSchG statt HinSchG

Österreich (AT): Das HinSchG gilt nur in Deutschland. In Österreich müssen Unternehmen und juristische Personen des öffentlichen Sektors mit 50 oder mehr Arbeitnehmern oder Bediensteten ein internes Hinweisgebersystem nach dem HinweisgeberInnenschutzgesetz einrichten (§ 3 Abs. 1, § 11 Abs. 1 HSchG). Hinweise müssen schriftlich, mündlich oder in beiden Formen möglich sein; eine Zusammenkunft ist auf Ersuchen spätestens binnen 14 Kalendertagen zu ermöglichen (§ 13 Abs. 5). Schriftliche Hinweise sind binnen 7 Kalendertagen zu bestätigen (§ 9 Abs. 1), die Folgemaßnahmen spätestens 3 Monate nach Entgegennahme bekanntzugeben (§ 13 Abs. 9). Personenbezogene Daten sind ab der letztmaligen Verarbeitung oder Übermittlung 5 Jahre und darüber hinaus so lange aufzubewahren, wie es für bereits eingeleitete Verwaltungs-, Gerichts- oder Ermittlungsverfahren erforderlich ist; danach sind sie zu löschen (§ 8 Abs. 11). Externe Stelle ist das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (§ 15 Abs. 1); Vergeltungsmaßnahmen oder Vertraulichkeitsverletzungen bestraft die Bezirksverwaltungsbehörde mit bis zu 20.000 Euro, im Wiederholungsfall bis zu 40.000 Euro (§ 24). Die 10-Punkte-Gliederung trägt auch in Österreich; Fristen und Fundstellen sind auszutauschen.

Die Vorlage im HinSchG-Kit

Im HinSchG-Kit liegt die Verfahrensanweisung als „Verfahrensordnung der internen Meldestelle“ (Dokument A05) vor, mit Vorlagen für Eingangsbestätigung und Rückmeldung, Meldebogen Erstaufnahme, Fallbearbeitungs-Playbook, Vertraulichkeits- und Löschkonzept und Richtlinie Repressalienverbot, in der Fassung für Deutschland (HinSchG) oder Österreich (HSchG). Basis 990 € (49 Dokumente), Plus 1.390 € mit Schulungs-Pack (53 Dokumente), Komplett 1.690 € zusätzlich mit E-Learning als HTML und SCORM 1.2/2004; jeweils netto und einmalig, 12 Monate Rechtsstand-Updates, Unternehmenslizenz, nur für Unternehmen. Das E-Learning Hinweisgeberschutz hat einen eigenen Pfad für die interne Meldestelle und ist einzeln ab 490 € netto erhältlich.