HinSchG Verfahrensanweisung Vorlage: Meldestellen-Prozess §15

1. Was § 15 HinSchG verlangt

§ 15 HinSchG zwingt Beschäftigungsgeber, eine interne Meldestelle einzurichten und zu betreiben. Die Anforderungen:

• § 15 Abs. 1: Personen oder Arbeitseinheit bestimmen, die unabhängig agieren und Fachkunde besitzen
• § 15 Abs. 2: nötige Fachkunde sicherstellen (Schulung, Fortbildung)
• § 15 Abs. 3: Interessenkonflikte vermeiden; Doppelaufgaben sind möglich, dürfen aber Unabhängigkeit nicht gefährden

Aus § 12 Abs. 1 ergibt sich die Pflicht, dieses Verfahren schriftlich zu dokumentieren. Aufsichtsbehörden — in Deutschland das BfJ (Bundesamt für Justiz) — fordern bei Prüfungen diese Verfahrensanweisung an.

2. Pflichtinhalte (§§ 12-22)

2.1 Geltungsbereich + Definitionen (§§ 1-3)

Die Verfahrensanweisung muss klarstellen, welche Verstöße meldebar sind (sachlicher Anwendungsbereich nach § 2): Straftaten, bestimmte bußgeldbewehrte Verstöße bei Schutz von Leben/Leib/Gesundheit/Arbeitnehmerrechten, Verstöße gegen EU-Rechtsbereiche (Geldwäsche, Finanzmarkt, Umwelt, Lebensmittelsicherheit etc.). Wichtig: rein private Streitigkeiten sind nicht erfasst.

2.2 Geschützter Personenkreis (§ 1 Abs. 1)

Beschäftigte, ehemalige Beschäftigte, Bewerber, Selbständige, Anteilseigner, Mitglieder von Geschäftsführung, Praktikanten, Leiharbeitnehmer, Personen aus Lieferantennetzwerk, deren Familienangehörige bei Repressalien. Die Verfahrensanweisung muss diesen Kreis benennen.

2.3 Meldekanäle (§ 16)

Verpflichtend: schriftlich (Briefkasten, Postanschrift, E-Mail-Adresse, Online-Plattform), und mündlich (Telefon, Aufzeichnung, Voicemail). Auf Verlangen des Hinweisgebers: persönliche Begegnung innerhalb angemessener Frist.

2.4 Verfahrensschritte (§ 17 + § 18)

1. Eingangsbestätigung: binnen 7 Tagen (§ 17 Abs. 1 Nr. 1)
2. Plausibilitätsprüfung: ist die Meldung vom sachlichen Anwendungsbereich erfasst, sind genug Informationen für Untersuchung vorhanden
3. Kontakt halten: Hinweisgeber bei Bedarf um weitere Informationen bitten
4. Folgemaßnahmen (§ 18): interne Untersuchung, Hinweisgeber an andere zuständige Stelle verweisen, Verfahren abschließen wegen fehlender Beweise oder weil Mängel inzwischen abgestellt, Strafverfolgungsbehörde informieren
5. Rückmeldung: Hinweisgeber binnen 3 Monaten ab Eingangsbestätigung über Folgemaßnahmen informieren (§ 17 Abs. 2)

2.5 Vertraulichkeit (§ 8)

Identität von Hinweisgeber, Betroffenen und in der Meldung erwähnten Dritten muss vertraulich behandelt werden. Offenlegung nur in eng definierten Fällen: bei vorsätzlich falschen Meldungen, mit Einwilligung, gegenüber Strafverfolgung bei Pflicht zur Auskunft.

2.6 Anonymität (§ 16 Abs. 1 Satz 4 — HinSchG-Novelle 01.07.2024)

Anonyme Meldungen müssen entgegengenommen und bearbeitet werden. Das Verfahren muss erlauben, anonym zu bleiben und trotzdem mit der Meldestelle zu kommunizieren (z. B. anonyme Postfächer in Online-Plattformen).

2.7 Repressalienverbot (§§ 33 ff.)

Maßnahmen gegen Hinweisgeber wegen Meldung sind verboten. Beweislastumkehr: bei Benachteiligung nach Meldung muss der Arbeitgeber nachweisen, dass die Maßnahme keine Repressalie war. Verfahrensanweisung muss diesen Schutz transparent darstellen.

2.8 Dokumentation (§ 11)

Jede Meldung muss dokumentiert werden — bei mündlichen Meldungen mit Zustimmung des Hinweisgebers durch Aufzeichnung oder Wortprotokoll, sonst durch dauerhaft abrufbare Niederschrift. Aufbewahrung: 3 Jahre nach Verfahrensabschluss, längere Frist möglich wenn nötig.

3. Aufbau der Verfahrensanweisung

Bewährte Struktur (in genau dieser Reihenfolge):

3.1 Geltungsbereich

Welche Gesellschaften / Standorte / Beschäftigtengruppen, welche Verstöße. Verweis auf § 2 HinSchG.

3.2 Rollen + Verantwortlichkeiten

Beauftragte(r) interner Meldestelle, Vertretung, Eskalations-Adressen (GF, Aufsichtsrat). Hinweis: in Konzernen ist seit BfJ-FAQ 2024 klar — eine zentrale Konzernmeldestelle reicht nur, wenn sie organisatorisch eindeutig den Tochtergesellschaften als deren interne Meldestelle zugeordnet ist.

3.3 Meldekanäle

Telefon-Nummer, E-Mail-Adresse, Postanschrift, Online-Portal, optional persönliche Begegnung. Erreichbarkeitszeiten. Mehrsprachigkeit bei multinationalen Unternehmen.

3.4 Verfahrensschritte (Detail-Workflow)

Schritt-für-Schritt: Eingang → Bestätigung (Tag 1-7) → Plausibilität → Untersuchung → Folgemaßnahmen → Feedback an Hinweisgeber → Abschluss + Dokumentation.

3.5 Vertraulichkeitsschutz

Technische Trennung der Meldestellen-Daten von HR-Systemen, Zugriffs-Beschränkung (Need-to-know), Verschlüsselung, Audit-Logging.

3.6 Datenschutz (Art. 6 Abs. 1 Buchst. c DSGVO + § 10 HinSchG)

Rechtsgrundlage Verarbeitung, Auskunfts-Beschränkung gegenüber Betroffenen (§ 29 Abs. 1 Nr. 4 BDSG), Auftragsverarbeitungs-Vertrag mit externen Dienstleistern.

3.7 Repressalienschutz

Schutz-Erklärung, Kontakt zur unabhängigen Stelle bei Beeinträchtigung, Eskalation an externe Meldestelle (BfJ) bleibt offen.

3.8 Dokumentation + Archiv

Vorlagen-Niederschrift, Speicherort, Zugriffsrechte, Löschfristen (3 Jahre + Verlängerung).

3.9 Qualitätssicherung

Jährliche Selbstevaluation der Wirksamkeit, ab 2026 externe Audit-Pflicht für Großbetriebe.

3.10 Anlagen

Eingangsbestätigungs-Vorlage, Untersuchungs-Protokoll, Feedback-Vorlage, Dokumentations-Template, Repressalien-Schutz-Erklärung.

4. Schnittstellen zu anderen Abteilungen

4.1 HR / Personal

Wenn Meldung gegen einen Beschäftigten erhoben wird: arbeitsrechtliche Folgemaßnahmen (Abmahnung, Kündigung) gehen über HR — aber Meldestelle gibt nur die für die Maßnahme notwendigen Informationen weiter, nicht Identität des Hinweisgebers ohne Einwilligung.

4.2 Compliance / Rechtsabteilung

Strafanzeige, Strafverfolgungsbehörde-Informieren, externe Rechtsberatung bei komplexen Fällen. Meldestelle eskaliert, Compliance/Recht entscheidet über Außenkommunikation.

4.3 Geschäftsführung / Vorstand

Eskalationsweg bei Verstößen, an denen Geschäftsführung selbst beteiligt ist (zwingend andere Eskalationsstelle: Aufsichtsrat, Compliance-Officer Konzern). Jahresbericht über Meldestellen-Statistik (anonymisiert).

4.4 Datenschutzbeauftragter

DSFA für Meldestellen-Verarbeitung (Art. 35 DSGVO), Konsultation bei besonders sensiblen Fällen, Schnittstellen-Klärung mit DSGVO-Auskunftsrechten.

4.5 Betriebsrat

Mitbestimmung nach § 87 Abs. 1 Nr. 1 BetrVG bei Einführung der Meldestelle. Beteiligung an der Verfahrensanweisung, jedoch keine Einsicht in einzelne Meldungen (Vertraulichkeitsschutz § 8).

5. Meldekanäle in der Praxis

6. Audit-Pflicht ab 01.01.2026

Die HinSchG-Novelle 2025 hat einen externen Wirksamkeitscheck eingeführt. Wesentliche Punkte:

• Geltung: ab 01.01.2026 für Beschäftigungsgeber mit mehr als 250 Beschäftigten (Schwelle wie bei DSGVO-DSB)
• Rhythmus: alle 2 Jahre
• Prüfgegenstand: Wirksamkeit der internen Meldestelle (Erreichbarkeit, Fristeinhaltung, Vertraulichkeitsschutz, Repressalienschutz, Dokumentation)
• Prüfer: unabhängige externe Person mit Fachkunde — Wirtschaftsprüfer, externer Compliance-Auditor oder Rechtsanwalt mit entsprechender Praxis
• Bericht: schriftlicher Prüfbericht an Geschäftsführung, dem Aufsichtsrat zur Kenntnis
• Bußgeld bei Verstoß: bis 50.000 EUR (§ 40 Abs. 2)

Für kleinere Unternehmen (50-249 MA) keine Pflicht, aber freiwillige interne Audits empfohlen — sie schaffen Beweislage bei Aufsichts-Anfragen.

7. Häufige Fehler in der Praxis

1. "Wir haben doch nichts" — keine Verfahrensanweisung dokumentiert. BfJ verlangt Vorlage. Bußgeld bis 20.000 EUR (§ 40 Abs. 2 Nr. 2).
2. Nur E-Mail-Adresse als Meldekanal. Verstoß § 16 Abs. 3 (mündlich fehlt).
3. Anonyme Meldungen nicht bearbeitet. Seit 01.07.2024 verboten.
4. Compliance-Officer ist gleichzeitig HR-Leiter. Interessenkonflikt-Risiko bei HR-relevanten Meldungen.
5. Fristen werden nicht eingehalten. 7-Tage-Bestätigung wird vergessen, 3-Monats-Feedback unterbleibt. Direkter Verstoß.
6. Eingangs-Logs auf gemeinsamem Mail-Server. Vertraulichkeit § 8 nicht gewahrt.
7. Keine Schulung der Meldestellen-Beauftragten. Verstoß § 15 Abs. 2 (Fachkunde).

FAQ