Anwendungsfall
Vom Hinweis im Formular bis zur Rückmeldung nach drei Monaten: eine interne Meldestelle nach dem Hinweisgeberschutzgesetz, die Fristen hält und Namen schützt.
Ein Logistikunternehmen mit 700 Mitarbeitern und sechs Niederlassungen. Die interne Meldestelle liegt bei der Personalleiterin, neben ihrer eigentlichen Arbeit. Freitag, 21:40 Uhr: Über das Formular kommt ein Hinweis, in einer Niederlassung würden Rechnungen eines Subunternehmers für Fahrten bezahlt, die es nie gab, und der Niederlassungsleiter zeichne sie ab. Die Uhr ist langsam, sieben Tage bis zur Bestätigung. Das Problem ist ein anderes: Das Postfach der Personalleiterin liest ihre Assistenz mit, und der Niederlassungsleiter sitzt montags mit ihr im Führungskreis. Von uns kommt die Software, in der Ihre Meldestelle solche Hinweise abgeschottet bearbeitet, ohne dass jemand mitliest, der es nicht darf. Die Entscheidungen bleiben bei der Meldestelle, Rechtsberatung gehört nicht dazu.
Pflicht
Was das Gesetz verlangt
Seit dem 17. Dezember 2023 braucht jeder Beschäftigungsgeber ab 50 Beschäftigten eine interne Meldestelle. Die Fristen sind großzügig, die Pflicht zur Vertraulichkeit ist es nicht.
| Rechtsgrundlage | Hinweisgeberschutzgesetz (HinSchG), in Kraft seit 2. Juli 2023; Vertraulichkeit § 8, Dokumentation § 11, Meldekanäle § 16, Verfahren § 17, Schutz vor Repressalien § 36, Bußgelder § 40 |
|---|---|
| Wer betroffen ist | Beschäftigungsgeber ab 50 Beschäftigten; für 50 bis 249 Beschäftigte seit 17. Dezember 2023 |
| Fristen | Eingangsbestätigung spätestens nach 7 Tagen; Rückmeldung zu Folgemaßnahmen und Gründen spätestens 3 Monate nach der Eingangsbestätigung |
| Verfahren | Stichhaltigkeit prüfen, Kontakt zur hinweisgebenden Person halten, Folgemaßnahmen ergreifen |
| Meldekanal | Mündlich und in Textform, auf Wunsch der hinweisgebenden Person auch persönlich |
| Vertraulichkeit | Die Identität der hinweisgebenden Person ist vertraulich zu behandeln. Das gilt für jeden Kanal und jeden Schritt des Verfahrens. |
| Dokumentation | Jede Meldung wird dokumentiert und drei Jahre nach Abschluss des Verfahrens gelöscht |
| Repressalien | Verboten. Erleidet die hinweisgebende Person einen Nachteil, muss das Unternehmen beweisen, dass er nichts mit dem Hinweis zu tun hat (Beweislastumkehr). |
| Bußgeld | Bis 50.000 Euro für das Behindern von Meldungen oder für Repressalien, bis 20.000 Euro, wenn keine interne Meldestelle eingerichtet ist |
| Stand | Oktober 2026. Wir bauen den Ablauf; die rechtliche Einordnung, ob ein Hinweis unter das Gesetz fällt und welche Folgemaßnahme richtig ist, bleibt bei Ihrer Rechtsabteilung oder Kanzlei. |
Uhr
Der Ablauf, Woche für Woche
Sieben Tage und drei Monate klingen nach viel Zeit. Sie sind schnell vorbei, wenn der Hinweis neben dem Tagesgeschäft liegt. Der Tag null ist der Eingang des Hinweises.
- Tag 0
Der Hinweis kommt an, und nur die Meldestelle sieht ihn
Formular mit anonymem Rückkanal, Anruf oder Sprachnachricht, Brief, persönliches Gespräch: Jeder Eingang landet in einem eigenen Vorgang, nicht im Postfach. Sprachnachrichten werden im Haus transkribiert, Briefe eingescannt, Gespräche protokolliert. Die Meldestelle erfährt nur, dass ein Vorgang da ist.
- Tag 1 bis 3
Einstufung mit Vorschlag und Begründung
Der Ablauf liest den Hinweis und zieht Ort, Zeitraum, Rollen und Belege heraus. Dann schlägt er vor, ob der Hinweis unter das Gesetz fällt, ob er stichhaltig wirkt und welche Folgemaßnahme naheliegt: interne Prüfung, Abgabe an eine Behörde oder Einstellung mit Begründung. Die Meldestelle entscheidet.
- bis Tag 7
Eingangsbestätigung
Der Entwurf der Bestätigung liegt am ersten Werktag bereit: Dank, Vertraulichkeit, nächste Schritte, Rückkanal. Die Uhr erinnert an Tag drei und fünf und eskaliert an die benannte Vertretung, wenn die Meldestelle nicht freigegeben hat.
- Woche 2 bis 8
Prüfung mit Sperren
Für die Prüfung braucht es Buchhaltung, Revision, vielleicht eine Kanzlei. Der Ablauf schreibt den Prüfauftrag aus dem Vorgang, aber ohne Identität und ohne Angaben, die auf die Person zurückführen. Rückfragen an die hinweisgebende Person laufen über den Rückkanal, Antworten wandern in den Vorgang.
- Woche 6
Zwischenstand
Das Gesetz verlangt ihn nicht, aber er hält die Person im Gespräch. Der Ablauf schlägt eine kurze Nachricht vor: Die Prüfung läuft, die Rückmeldung kommt bis zu einem genannten Datum. Wer einen Hinweis gibt und wochenlang nichts hört, verliert das Vertrauen in die Meldestelle.
- bis Monat 3
Rückmeldung zu Folgemaßnahmen und Gründen
Spätestens drei Monate nach der Eingangsbestätigung ist die Rückmeldung fällig. Der Ablauf entwirft sie aus dem Vorgang: welche Folgemaßnahme ergriffen wurde und warum, so weit das ohne Nachteil für die Prüfung und für Dritte möglich ist.
- danach
Abschluss, Dokumentation, Löschung
Mit dem Abschluss setzt der Ablauf das Löschdatum: drei Jahre später. Bis dahin liegt der Vorgang gesperrt im Archiv, danach löscht der Ablauf ihn und hält im Protokoll fest, dass gelöscht wurde, ohne den Inhalt.
Kaskade
Wer was erfahren darf, und wer nicht
Bei anderen Meldepflichten geht es darum, alle schnell zu erreichen. Hier ist es umgekehrt: Jeder Kreis bekommt nur, was er für seinen Teil braucht, und jede Sperre wird nur von der Meldestelle geöffnet.
| Kreis | Empfänger | Kanal | Inhalt | Freigabe |
|---|---|---|---|---|
| 1, ab Tag 0 | Die Meldestelle und ihre benannte Vertretung | Eigener Vorgang im abgeschotteten Ablauf, getrennt von Postfach und Personalsystem | Hinweis, Identität, falls bekannt, alle Belege | Zugriff nur für diese beiden Personen |
| 2, laufend | Die hinweisgebende Person | Anonymer Rückkanal im Formular, Brief oder Telefon, je nach Eingang | Bestätigung, Rückfragen, Zwischenstand, Rückmeldung | Meldestelle, jede Nachricht einzeln |
| 3, zur Prüfung | Buchhaltung, Revision, externe Kanzlei | Prüfauftrag aus dem Vorgang, Antworten zurück in den Vorgang | Sachverhalt ohne Identität und ohne Angaben, die auf die Person zurückführen | Meldestelle, Ausschnitt für Ausschnitt |
| 4, regelmäßig | Geschäftsführung | Bericht aus dem Ablauf | Zahl und Stand der Vorgänge, Art der Folgemaßnahmen, keine Namen | Meldestelle |
| 5, wenn nötig | Die beschuldigte Person | Gespräch durch die Meldestelle oder die Kanzlei | Nichts, bis die Prüfung eine Anhörung verlangt; dann der Sachverhalt, nie die Quelle | Meldestelle mit Rechtsberatung |
| 6, bei Abgabe | Zuständige Behörde | Übergabe durch die Meldestelle, Zeitstempel im Protokoll | Sachverhalt und Prüfergebnis aus dem Vorgang | Meldestelle und Geschäftsführung |
Wer im Beispiel nie etwas erfährt: die Assistenz, die das Postfach mitliest, der Niederlassungsleiter im Führungskreis und die IT, die den Server betreibt, aber keine Vorgänge öffnen kann. Die Kreise und ihre Sperren legen Sie in der Analyse fest, mit der Meldestelle und Ihrer Rechtsberatung.
Freigabe
Was bei Ihren Leuten bleibt
- Die Einstufung. Der Ablauf schlägt vor und begründet. Ob ein Hinweis unter das Gesetz fällt und stichhaltig ist, entscheidet die Meldestelle, bei Zweifeln mit der Rechtsberatung.
- Die Folgemaßnahme. Interne Prüfung, Abgabe an eine Behörde oder Einstellung: Das legt ein Mensch fest und schreibt den Grund dazu.
- Jede Nachricht an die hinweisgebende Person. Bestätigung, Rückfrage und Rückmeldung sind Entwürfe, bis die Meldestelle sie freigibt.
- Jede geöffnete Sperre. Was die Revision, die Kanzlei oder die Geschäftsführung sieht, gibt die Meldestelle Ausschnitt für Ausschnitt frei.
Anschluss
In welchen Systemen der Ablauf sitzt
Hier ist die Trennung der Kern. Der Ablauf läuft vollständig im Haus und liest nur dort mit, wo die Prüfung es verlangt.
- EingangFormular im Intranet und auf Ihrer Website mit anonymem Rückkanal, Telefonnummer mit Sprachbox, Postanschrift der Meldestelle, Protokollvorlage für das persönliche Gespräch
- VorgangEigener Vorgangsspeicher auf Ihrem Server, getrennt von Postfach, Personalsystem und Ticketsystem, Zugriff nur für Meldestelle und Vertretung
- TranskriptionSpracherkennung auf eigenem Server, keine Aufnahme verlässt das Haus
- PrüfungLesender Zugriff auf ERP oder Buchhaltung, etwa Lieferantenrechnungen und Freigaben, nur für den freigegebenen Prüfauftrag
- BehördeBei einer Abgabe füllt der Ablauf die Unterlagen vor, ein Mensch übergibt sie, der Zeitstempel kommt ins Protokoll.
Nachweis
Das Protokoll ist der Nachweis
Der Ablauf dokumentiert jede Meldung nebenbei: Eingang, Einstufung mit Begründung und Namen der Meldestelle, Bestätigung, jede Rückfrage, jeder Prüfauftrag mit Empfänger und Ausschnitt, Rückmeldung, Abschluss, Löschdatum. Dazu, wer den Vorgang wann geöffnet hat.
Das zählt bei Repressalien. Erleidet die hinweisgebende Person später einen Nachteil, muss das Unternehmen beweisen, dass er nichts mit dem Hinweis zu tun hat. Ein Protokoll, das zeigt, dass der Vorgesetzte den Namen nie gesehen hat, ist dann mehr wert als jede Erklärung.
Auch eingestellte Hinweise bleiben mit Begründung im Vorgang, bis die Löschfrist abläuft. Zweimal im Jahr läuft ein erfundener Hinweis durch, damit Vertretung und Rückkanal sicher funktionieren.
Erfahrung
Was wir mitbringen
Eingänge lesen, dem richtigen Vorgang zuordnen und nur an die zuständige Stelle leiten, kennen wir von einem Technologie-Distributor mit zwölf Standorten, wo Anfragen von zwölf Standorten in Europa regelbasiert beim richtigen Team landen. Einen Text gegen ein Regelwerk prüfen und jede Einstufung mit der Fundstelle begründen, haben wir für einen Brennstoffzellen-Hersteller gebaut. Vorgänge mit Protokoll, Freigabe und abgestuften Zugriffen laufen in unserem eigenen Betrieb jeden Tag, auf eigenen Servern.
In Betrieb nehmen wir den Ablauf zusammen mit der Person, die bei Ihnen die Meldestelle führt. Die Abnahme ist ein erfundener Hinweis vom Formular bis zur Rückmeldung. Er muss zeigen, dass weder Assistenz noch IT den Vorgang öffnen können, dass der anonyme Rückkanal antwortet und dass die Vertretung übernimmt, wenn die Meldestelle im Urlaub ist. Wie ein Protokoll mit allen Zugriffen aussieht, sehen Sie im ersten Gespräch an einem Beispiel.
Preis
Preis und Umfang
Die Größenordnung vorweg: Die Ablaufanalyse kostet 4.900 Euro Festpreis und dauert drei Tage. Ein Werkzeug nach Maß liegt nach unseren Projekten erfahrungsgemäß zwischen 25.000 und 60.000 Euro, als Festpreis nach der Analyse verbindlich; die erste Fassung steht in etwa sechs Wochen, bei mehreren Pflichten und Sprachen länger. Die Begleitung danach beginnt bei 2.900 Euro im Monat und ist monatlich kündbar. Mehr Genauigkeit vorab wäre geraten: Eine Meldestelle für einen Standort und eine für sechs Gesellschaften in vier Sprachen sind zwei verschiedene Werkzeuge. Was den Preis bestimmt:
- Zahl der Eingangskanäle und ob Sprachnachrichten transkribiert werden
- Zahl der Sprachen, in denen Ihre Belegschaft Hinweise gibt
- Zahl der Gesellschaften und Meldestellen
- ob der Ablauf auch Datenpannen abdeckt, die oft über denselben Hinweis bekannt werden
Datenfluss: Hinweise, Aufnahmen und Namen bleiben auf Ihrem Server. Für diesen Ablauf empfehlen wir offene Modelle im Haus, weil schon die Tatsache, dass es einen Hinweis gibt, vertraulich ist; ein Hinweis geht nie an ein Modell, das damit trainiert. Datenfluss je Leistung.
Verwandt
Verwandte Anwendungsfälle
- DSGVO: Datenpanne in 72 Stunden melden. Ein Hinweis enthält immer Personendaten und deckt manchmal selbst eine Datenpanne auf.
- NIS2: Sicherheitsvorfall im eigenen Betrieb melden. Einstufung, Freigabe und Protokoll wie hier, aber mit einer Uhr in Stunden.
- KI-Verordnung: schwerwiegender Vorfall. Betrifft ein Hinweis ein KI-System, kann eine zweite Pflicht beginnen.
- Alle Anwendungsfälle: Meldepflichten mit Frist, mit der Fristentabelle über alle Pflichten.
Zum Weiterlesen: KI einführen mit dem Betriebsrat und KI-Datenschutz im Unternehmen: drei Wege.
Rückfragen
Fragen zur internen Meldestelle als Ablauf
Was Meldestelle, Betriebsrat und Geschäftsführung fragen, bevor Hinweise nicht mehr im Postfach landen. Weitere Antworten stehen unter Fragen und Antworten.
Erfährt die KI, wer den Hinweis gegeben hat?
Das Modell liest den Hinweis, um ihn einzustufen, und läuft dafür auf Ihrem Server. Es lernt nichts daraus. Wer den Namen sieht, regeln die Zugriffe im Ablauf: nur die Meldestelle und ihre Vertretung. Prüfaufträge an andere entstehen ohne Identität.
Bei uns kommen zwei Hinweise im Jahr. Lohnt sich das?
Gerade dann. Wer zweimal im Jahr einen Hinweis bekommt, hat keine Routine und schreibt die Bestätigung jedes Mal neu. Der Ablauf hält Fristen, Vorlagen und Sperren bereit, und der Probelauf zweimal im Jahr sorgt dafür, dass die Vertretung weiß, was zu tun ist.
Wer ist nachts und am Wochenende da, und wer haftet wofür?
Geweckt werden muss hier niemand: Ein Hinweis vom Freitagabend liegt abgeschottet im Vorgang, die Bestätigung als Entwurf am ersten Werktag bereit, und die Uhr erinnert Meldestelle und Vertretung nach Ihrer Bereitschaftsliste. In der Begleitung überwachen wir, dass der Ablauf läuft, mit Reaktionszeiten an Werktagen; eine Rufbereitschaft rund um die Uhr vereinbaren wir gesondert, sie ist hier selten nötig. Fällt der Ablauf aus, liegen Vorlagen und die Liste der offenen Fristen als Export bei der Meldestelle bereit. Für Fristen und Vertraulichkeit bleibt Ihr Unternehmen als Beschäftigungsgeber verantwortlich; für das Werkzeug haften wir nach unseren Geschäftsbedingungen.
Muss der Betriebsrat zustimmen?
In aller Regel ja: Ein Werkzeug, das Vorgänge von Beschäftigten verarbeitet, unterliegt bei der Einführung der Mitbestimmung. Wir legen dem Betriebsrat offen, was gespeichert wird, wer was sieht und wann gelöscht wird. Ein Ablauf mit Sperren schützt die Beschäftigten besser als ein Postfach, das mehrere lesen.
Übergabe
Der erste Schritt ist ein Gespräch von 30 Minuten.
Sie erzählen uns von dem Ablauf, der Sie am meisten Zeit kostet. Wir sagen Ihnen ehrlich, ob sich KI dort lohnt und was der nächste Schritt wäre. Ob danach eine Ablaufanalyse folgt, entscheiden Sie.