HinSchG Verfahrensanweisung Vorlage: Meldestellen-Prozess §15

1. Was § 15 HinSchG verlangt

§ 15 HinSchG zwingt Beschäftigungsgeber, eine interne Meldestelle einzurichten und zu betreiben. Die Anforderungen:

• § 15 Abs. 1: Personen oder Arbeitseinheit bestimmen, die unabhängig agieren und Fachkunde besitzen
• § 15 Abs. 2: nötige Fachkunde sicherstellen (Schulung, Fortbildung)
• § 15 Abs. 3: Interessenkonflikte vermeiden; Doppelaufgaben sind möglich, dürfen aber Unabhängigkeit nicht gefährden

Aus § 12 Abs. 1 ergibt sich die Pflicht, dieses Verfahren schriftlich zu dokumentieren. Aufsichtsbehörden — in Deutschland das BfJ (Bundesamt für Justiz) — fordern bei Prüfungen diese Verfahrensanweisung an.

2. Pflichtinhalte (§§ 12-22)

2.1 Geltungsbereich + Definitionen (§§ 1-3)

Die Verfahrensanweisung muss klarstellen, welche Verstöße meldebar sind (sachlicher Anwendungsbereich nach § 2): Straftaten, bestimmte bußgeldbewehrte Verstöße bei Schutz von Leben/Leib/Gesundheit/Arbeitnehmerrechten, Verstöße gegen EU-Rechtsbereiche (Geldwäsche, Finanzmarkt, Umwelt, Lebensmittelsicherheit etc.). Wichtig: rein private Streitigkeiten sind nicht erfasst.

2.2 Geschützter Personenkreis (§ 1 Abs. 1)

Beschäftigte, ehemalige Beschäftigte, Bewerber, Selbständige, Anteilseigner, Mitglieder von Geschäftsführung, Praktikanten, Leiharbeitnehmer, Personen aus Lieferantennetzwerk, deren Familienangehörige bei Repressalien. Die Verfahrensanweisung muss diesen Kreis benennen.

2.3 Meldekanäle (§ 16)

Verpflichtend: schriftlich (Briefkasten, Postanschrift, E-Mail-Adresse, Online-Plattform), und mündlich (Telefon, Aufzeichnung, Voicemail). Auf Verlangen des Hinweisgebers: persönliche Begegnung innerhalb angemessener Frist.

2.4 Verfahrensschritte (§ 17 + § 18)

1. Eingangsbestätigung: binnen 7 Tagen (§ 17 Abs. 1 Nr. 1)
2. Plausibilitätsprüfung: ist die Meldung vom sachlichen Anwendungsbereich erfasst, sind genug Informationen für Untersuchung vorhanden
3. Kontakt halten: Hinweisgeber bei Bedarf um weitere Informationen bitten
4. Folgemaßnahmen (§ 18): interne Untersuchung, Hinweisgeber an andere zuständige Stelle verweisen, Verfahren abschließen wegen fehlender Beweise oder weil Mängel inzwischen abgestellt, Strafverfolgungsbehörde informieren
5. Rückmeldung: Hinweisgeber binnen 3 Monaten ab Eingangsbestätigung über Folgemaßnahmen informieren (§ 17 Abs. 2)

2.5 Vertraulichkeit (§ 8)

Identität von Hinweisgeber, Betroffenen und in der Meldung erwähnten Dritten muss vertraulich behandelt werden. Offenlegung nur in eng definierten Fällen: bei vorsätzlich falschen Meldungen, mit Einwilligung, gegenüber Strafverfolgung bei Pflicht zur Auskunft.

2.6 Anonymität (§ 16 Abs. 1 Satz 4 — HinSchG-Novelle 01.07.2024)

Anonyme Meldungen müssen entgegengenommen und bearbeitet werden. Das Verfahren muss erlauben, anonym zu bleiben und trotzdem mit der Meldestelle zu kommunizieren (z. B. anonyme Postfächer in Online-Plattformen).

2.7 Repressalienverbot (§§ 33 ff.)

Maßnahmen gegen Hinweisgeber wegen Meldung sind verboten. Beweislastumkehr: bei Benachteiligung nach Meldung muss der Arbeitgeber nachweisen, dass die Maßnahme keine Repressalie war. Verfahrensanweisung muss diesen Schutz transparent darstellen.

2.8 Dokumentation (§ 11)

Jede Meldung muss dokumentiert werden — bei mündlichen Meldungen mit Zustimmung des Hinweisgebers durch Aufzeichnung oder Wortprotokoll, sonst durch dauerhaft abrufbare Niederschrift. Aufbewahrung: 3 Jahre nach Verfahrensabschluss, längere Frist möglich wenn nötig.

3. Aufbau der Verfahrensanweisung

Bewährte Struktur (in genau dieser Reihenfolge):

3.1 Geltungsbereich

Welche Gesellschaften / Standorte / Beschäftigtengruppen, welche Verstöße. Verweis auf § 2 HinSchG.

3.2 Rollen + Verantwortlichkeiten

Beauftragte(r) interner Meldestelle, Vertretung, Eskalations-Adressen (GF, Aufsichtsrat). Hinweis: in Konzernen ist seit BfJ-FAQ 2024 klar — eine zentrale Konzernmeldestelle reicht nur, wenn sie organisatorisch eindeutig den Tochtergesellschaften als deren interne Meldestelle zugeordnet ist.

3.3 Meldekanäle

Telefon-Nummer, E-Mail-Adresse, Postanschrift, Online-Portal, optional persönliche Begegnung. Erreichbarkeitszeiten. Mehrsprachigkeit bei multinationalen Unternehmen.

3.4 Verfahrensschritte (Detail-Workflow)

Schritt-für-Schritt: Eingang → Bestätigung (Tag 1-7) → Plausibilität → Untersuchung → Folgemaßnahmen → Feedback an Hinweisgeber → Abschluss + Dokumentation.

3.5 Vertraulichkeitsschutz

Technische Trennung der Meldestellen-Daten von HR-Systemen, Zugriffs-Beschränkung (Need-to-know), Verschlüsselung, Audit-Logging.

3.6 Datenschutz (Art. 6 Abs. 1 Buchst. c DSGVO + § 10 HinSchG)

Rechtsgrundlage Verarbeitung, Auskunfts-Beschränkung gegenüber Betroffenen (§ 29 Abs. 1 Nr. 4 BDSG), Auftragsverarbeitungs-Vertrag mit externen Dienstleistern.

3.7 Repressalienschutz

Schutz-Erklärung, Kontakt zur unabhängigen Stelle bei Beeinträchtigung, Eskalation an externe Meldestelle (BfJ) bleibt offen.

3.8 Dokumentation + Archiv

Vorlagen-Niederschrift, Speicherort, Zugriffsrechte, Löschfristen (3 Jahre + Verlängerung).

3.9 Qualitätssicherung

Jährliche Wirksamkeits-Selbstevaluation als freiwillige Best-Practice — eine gesetzliche Audit-Pflicht existiert nicht.

3.10 Anlagen

Eingangsbestätigungs-Vorlage, Untersuchungs-Protokoll, Feedback-Vorlage, Dokumentations-Template, Repressalien-Schutz-Erklärung.

4. Schnittstellen zu anderen Abteilungen

4.1 HR / Personal

Wenn Meldung gegen einen Beschäftigten erhoben wird: arbeitsrechtliche Folgemaßnahmen (Abmahnung, Kündigung) gehen über HR — aber Meldestelle gibt nur die für die Maßnahme notwendigen Informationen weiter, nicht Identität des Hinweisgebers ohne Einwilligung.

4.2 Compliance / Rechtsabteilung

Strafanzeige, Strafverfolgungsbehörde-Informieren, externe Rechtsberatung bei komplexen Fällen. Meldestelle eskaliert, Compliance/Recht entscheidet über Außenkommunikation.

4.3 Geschäftsführung / Vorstand

Eskalationsweg bei Verstößen, an denen Geschäftsführung selbst beteiligt ist (zwingend andere Eskalationsstelle: Aufsichtsrat, Compliance-Officer Konzern). Jahresbericht über Meldestellen-Statistik (anonymisiert).

4.4 Datenschutzbeauftragter

DSFA für Meldestellen-Verarbeitung (Art. 35 DSGVO), Konsultation bei besonders sensiblen Fällen, Schnittstellen-Klärung mit DSGVO-Auskunftsrechten.

4.5 Betriebsrat

Mitbestimmung nach § 87 Abs. 1 Nr. 1 BetrVG bei Einführung der Meldestelle. Beteiligung an der Verfahrensanweisung, jedoch keine Einsicht in einzelne Meldungen (Vertraulichkeitsschutz § 8).

5. Meldekanäle in der Praxis

6. Wirksamkeitsprüfung der Meldestelle — Best-Practice, keine Pflicht

Klarstellung: Eine gesetzliche „HinSchG-Audit-Pflicht ab 01.01.2026" existiert nicht — § 22 HinSchG regelt die externe Meldestelle beim Bundeskartellamt, keinen Wirksamkeitscheck für Unternehmen. Eine regelmäßige Wirksamkeits-Selbstprüfung ist dennoch empfohlene Best-Practice (freiwillig, Vorbild ISO 37301):

• Empfehlung: ab 250 Beschäftigten jährlich, 50–249 alle 2 Jahre — freiwillig, kein gesetzlicher Stichtag
• Prüfgegenstand: Wirksamkeit der internen Meldestelle (Erreichbarkeit, Fristeinhaltung, Vertraulichkeitsschutz, Repressalienschutz, Dokumentation)
• Prüfer: intern (GF-Reporting) oder freiwillig extern — keine gesetzliche Vorgabe
• Bericht: Selbstprüfungs-Bericht an die Geschäftsführung (internes Steuerungsinstrument)
• Hinweis: Die § 40-Bußgelder betreffen reale Verstöße (z. B. § 12 Meldestelle nicht eingerichtet, § 8 Vertraulichkeit, § 36 Repressalien) — NICHT eine unterlassene Selbstprüfung

Für kleinere Unternehmen (50-249 MA) keine Pflicht, aber freiwillige interne Audits empfohlen — sie schaffen Beweislage bei Aufsichts-Anfragen.

7. Häufige Fehler in der Praxis

1. "Wir haben doch nichts" — keine Verfahrensanweisung dokumentiert. BfJ verlangt Vorlage. Bußgeld bis 20.000 EUR (§ 40 Abs. 2 Nr. 2).
2. Nur E-Mail-Adresse als Meldekanal. Verstoß § 16 Abs. 3 (mündlich fehlt).
3. Anonyme Meldungen nicht bearbeitet. Seit 01.07.2024 verboten.
4. Compliance-Officer ist gleichzeitig HR-Leiter. Interessenkonflikt-Risiko bei HR-relevanten Meldungen.
5. Fristen werden nicht eingehalten. 7-Tage-Bestätigung wird vergessen, 3-Monats-Feedback unterbleibt. Direkter Verstoß.
6. Eingangs-Logs auf gemeinsamem Mail-Server. Vertraulichkeit § 8 nicht gewahrt.
7. Keine Schulung der Meldestellen-Beauftragten. Verstoß § 15 Abs. 2 (Fachkunde).

FAQ