Interne Meldestelle einrichten: Wege sachlich vergleichen
Gemeinsames Postfach, beauftragter Dritter und digitale Fallplattform erfüllen unterschiedliche Aufgaben. Der Vergleich hilft bei einer Entscheidung, die Vertraulichkeit, Fristen und Dokumentation zusammenbringt.
Wer eine interne Meldestelle einrichten muss, entscheidet nicht nur über einen Eingangskanal. Entscheidend ist, ob aus einer Meldung eine vertrauliche, nachvollziehbare und fristgerecht bearbeitete Fallakte wird. Der Kalender beginnt dabei am Eingangstag zu laufen, auch wenn der Hinweis zunächst unvollständig wirkt oder in einem allgemeinen E-Mail-Postfach landet.
Für Betriebe mit begrenzten Compliance-Ressourcen ist deshalb kein Modell pauschal richtig. Ein Hinweisgeber Postfach kann einen einfachen Zugang eröffnen, löst aber noch keine Zugriffsrechte, Vertretung und Fristenkontrolle. Die rechtlichen Grundlagen für Betriebe ab 50 Beschäftigten ordnet der Beitrag Interne Meldestelle: Grundlagen für Betriebe ab 50 Personen ein. Dieser Vergleich richtet sich an Verantwortliche, die eine belastbare Auswahl treffen wollen. Eingeordnet wurde er von der Redaktion und den Fachautorinnen und Fachautoren von Meldebrücke.
Vier Modelle kommen für die interne Meldestelle in Betracht
Ein gemeinsam genutztes E-Mail-Postfach ist der naheliegendste Startpunkt. Es nimmt textliche Hinweise an und lässt sich mit Regeln, Ordnern und einer Vertretungsadresse organisieren. Ohne sehr eng gefasste Berechtigungen sehen jedoch oft Personen mit, die für die Meldestelle nicht bestellt sind. Zudem bleiben Fristen und Bearbeitungsschritte leicht in einzelnen E-Mail-Verläufen verborgen.
Bei einer intern beauftragten Person nimmt etwa eine Compliance-Verantwortliche, ein Mitglied der Personalabteilung oder eine andere geeignete Person Meldungen entgegen und führt das Verfahren. Dieses Modell schafft eine klare menschliche Ansprechperson. Es verlangt aber eine benannte Vertretung, geschützte Kommunikationswege und eine Regelung für Interessenkonflikte, etwa wenn eine Meldung die eigene Führungslinie betrifft.
Ein beauftragter Dritter kann nach § 14 Absatz 1 Hinweisgeberschutzgesetz, HinSchG, die Aufgaben einer internen Meldestelle wahrnehmen. Der Betrieb bleibt dabei verpflichtet, Abhilfe zu schaffen und Folgemaßnahmen umzusetzen. Die Auslagerung verlegt also den Empfang und die Verfahrensführung nicht automatisch auch die Verantwortung für Entscheidungen im Betrieb.
Eine digitale Fallplattform bündelt den Meldekanal, die Kommunikation und die Fallakte in einem System. Sie kann anonyme oder namentliche textliche Meldungen ermöglichen, Rollen abbilden und Termine sichtbar machen. Auch hier muss der Betrieb festlegen, wer Fälle bewertet, wer Maßnahmen entscheidet und wie persönliche Gespräche angeboten werden.
Was die Modelle tatsächlich leisten
| Modell | Stärke | Typischer Kontrollpunkt |
|---|---|---|
| Gemeinsames Postfach | Schnell für Textmeldungen erreichbar | Berechtigungen, Fristen und vollständige Akte separat organisieren |
| Intern beauftragte Person | Direkte Kenntnis der betrieblichen Abläufe | Vertretung und Unabhängigkeit der Bearbeitung festlegen |
| Beauftragter Dritter | Distanz zum Betrieb und externe Verfahrensführung möglich | Schnittstelle für Rückfragen, Folgemaßnahmen und Verantwortlichkeit regeln |
| Digitale Fallplattform | Fallbezogene Kommunikation und Terminübersicht bündelbar | Rollen, Löschkonzept und mündlichen Kanal verbindlich ergänzen |
Die Auswahl sollte deshalb nicht bei der Frage beginnen, welcher Kanal am wenigsten Aufwand macht. Sie sollte mit einem Ablauf beginnen: Eingang erfassen, Empfang bestätigen, Rückfragen ermöglichen, Folgemaßnahmen prüfen, Rückmeldung geben, dokumentieren und die Akte später löschen. Ein Kanal ist erst dann tragfähig, wenn jede dieser Stationen einer verantwortlichen Rolle zugeordnet ist.
Vertraulichkeit ist das erste Auswahlkriterium
§ 8 HinSchG verpflichtet interne Meldestellen, die Vertraulichkeit der Identität hinweisgebender Personen, der Personen, die Gegenstand einer Meldung sind, und sonstiger in der Meldung genannter Personen zu wahren. Die Identität darf grundsätzlich nur den Personen bekannt werden, die für die Entgegennahme von Meldungen oder das Ergreifen von Folgemaßnahmen zuständig sind. Ausnahmen und Offenlegungspflichten richten sich nach den gesetzlichen Voraussetzungen.
§ 15 HinSchG konkretisiert die organisatorische Seite: Die für eine interne Meldestelle beauftragten Personen müssen unabhängig tätig sein und über die notwendige Fachkunde verfügen. Zugang zu eingehenden Meldungen sollen nur diese beauftragten Personen haben. Eine allgemeine Funktionsadresse, auf die Geschäftsführung, Assistenz, Personalabteilung und IT zugreifen können, passt daher regelmäßig nicht zu diesem Grundsatz.
Zugriff vor dem ersten Hinweis festlegen
Prüfen Sie bei jedem Modell nicht nur, wer lesen darf, sondern auch, wer technisch lesen kann. Dazu gehören Stellvertretungen, Administratorinnen und Administratoren, externe IT-Dienstleister sowie Personen mit Zugriff auf Sicherungen oder Weiterleitungen. Ein vertraulicher Meldekanal braucht dokumentierte Berechtigungen und ein Verfahren, mit dem diese bei Personalwechseln sofort angepasst werden.
- Bestellen Sie die zuständigen Personen und ihre Vertretung schriftlich.
- Trennen Sie die Berechtigung zum Lesen einer Meldung von der Befugnis, Folgemaßnahmen im Betrieb anzuordnen.
- Regeln Sie, wie Fälle behandelt werden, wenn eine zuständige Person selbst betroffen sein könnte.
- Prüfen Sie Weiterleitungen, automatische Antworten und gemeinsam genutzte Kalender auf unbeabsichtigte Offenlegungen.
Ein externer Dritter kann die Zahl der intern Einsichtnehmenden reduzieren. Eine Plattform kann den Zugriff technisch nach Rollen begrenzen. Beides ersetzt jedoch nicht die Entscheidung, welche Personen tatsächlich beauftragt sind und welche Informationen für Folgemaßnahmen weitergegeben werden dürfen.
Mündliche und textliche Meldungen müssen erreichbar sein
Nach § 16 HinSchG müssen interne Meldestellen Meldekanäle betreiben, über die sich Personen mündlich oder in Textform melden können. Mündliche Meldungen müssen durch Telefon oder eine andere Art der Sprachübermittlung ermöglicht werden. Auf Ersuchen der hinweisgebenden Person ist zudem innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft zu ermöglichen.
Ein Hinweisgeber Postfach erfüllt damit nur den textlichen Teil. Es genügt nicht, auf eine allgemeine Telefonnummer zu verweisen, wenn dort ungeschulte Beschäftigte Anrufe entgegennehmen oder keine vertrauliche Weitergabe geregelt ist. Eine intern beauftragte Person oder ein Dritter kann einen Telefontermin und ein persönliches Gespräch organisatorisch anbieten. Eine Plattform braucht hierfür ergänzende Kontaktdaten und einen verbindlichen Gesprächsprozess.
Der Gesprächswunsch gehört in den Ablauf
Notieren Sie bei jeder textlichen Meldung, wie ein Gespräch angefragt werden kann, ohne die Identität unnötig offenzulegen. Für Telefonate und Zusammenkünfte sollte feststehen, wer sie führt, wie die Vertraulichkeit des Orts oder der Verbindung geschützt wird und wie die Aussage dokumentiert wird. Bei einer Aufzeichnung einer telefonischen oder sonstigen Sprachmeldung gelten die Anforderungen des § 11 HinSchG, insbesondere die Einwilligung der hinweisgebenden Person für eine vollständige und genaue Aufzeichnung.
Wer nur einen digitalen Weg auswählt, sollte also nicht behaupten, der gesamte gesetzliche Kanal bestehe allein aus einem Formular. Der Kalender enthält auch den Termin für ein verlangtes persönliches Treffen, selbst wenn die Fallkommunikation ansonsten digital geführt wird.
Fristenkontrolle trennt Ablage von Fallbearbeitung
§ 17 HinSchG verlangt, den Eingang einer Meldung spätestens nach sieben Tagen zu bestätigen. Nach § 18 HinSchG ist der hinweisgebenden Person innerhalb von drei Monaten nach der Eingangsbestätigung Rückmeldung zu geben. Wird keine Eingangsbestätigung versandt, läuft die Rückmeldefrist drei Monate und sieben Tage nach Eingang der Meldung ab.
Diese Fristen sind der praktische Unterschied zwischen einem Speicherort und einem Werkzeug für Fallbearbeitung. Ein E-Mail-Ordner kann Nachrichten ablegen, erinnert aber nicht verlässlich daran, wann die Bestätigung fällig wird, ob eine Rückfrage offen ist oder wann die Rückmeldung vorbereitet werden muss. Das Risiko steigt besonders bei Urlaub, Krankheit und Zuständigkeitswechsel.
Ein Kalender pro Fall statt Erinnerung im Kopf
Für jeden Hinweis sollte die Meldestelle mindestens Eingangstag, Fälligkeit der Eingangsbestätigung, Datum der Bestätigung, Frist für die Rückmeldung, Bearbeitungsstand und verantwortliche Person festhalten. Die Rückmeldung informiert nach § 18 HinSchG über geplante oder bereits ergriffene Folgemaßnahmen sowie über deren Gründe. Sie darf dabei weder interne Untersuchungen noch Rechte betroffener Personen beeinträchtigen.
Eine Plattform kann die Stichtage aus dem Eingang automatisch berechnen und sichtbar machen. Bei einem Postfach oder einer einzelnen beauftragten Person muss dieselbe Kontrolle bewusst in einem geschützten Kalender oder Register aufgebaut werden. Wie die Eingangsbestätigung inhaltlich und organisatorisch vorbereitet wird, zeigt Eingangsbestätigung eines Hinweisfalls Schritt für Schritt.
Planen Sie einen internen Vorlauf vor dem gesetzlichen Endtermin ein. Dieser Vorlauf ist keine zusätzliche gesetzliche Frist, sondern eine Arbeitsregel: Er schafft Zeit, wenn eine Vertretung prüfen, eine Rückfrage stellen oder die Rückmeldung rechtlich abstimmen muss.
Dokumentation braucht eine kontrollierte Fallakte
§ 11 HinSchG verlangt, dass interne Meldestellen alle eingehenden Meldungen in dauerhaft abrufbarer Weise dokumentieren. Die Dokumentation muss unter Beachtung des Vertraulichkeitsgebots erfolgen. Sie ist drei Jahre nach Abschluss des Verfahrens zu löschen, sofern nicht andere gesetzliche Bestimmungen eine weitere Aufbewahrung erfordern.
Ein Ordner im Schrank kann Unterlagen zwar physisch sammeln, bildet aber oft weder den vollständigen Ablauf noch Zugriffe und Änderungen ab. E-Mail-Postfächer verteilen die Akte über Nachrichten, Anhänge und Weiterleitungen. Das erschwert die Frage, welche Fassung maßgeblich ist und ob die Akte nach Abschluss vollständig gelöscht wurde.
Inhalt, Zugriff und Löschung zusammen denken
Eine kontrollierte Fallakte ordnet die Originalmeldung, Gesprächsvermerke, Eingangsbestätigung, Rückfragen, Prüfungen, Entscheidungen, Rückmeldung und den Abschluss zusammen. Sie hält getrennt fest, welche Informationen an wen weitergegeben wurden. Die Akte sollte nicht mit Personalakten oder allgemeinen Beschwerdeordnern vermischt werden, wenn dadurch zusätzliche Personen Zugriff erhalten.
Für jedes Modell braucht es außerdem ein Löschkonzept. Bestimmen Sie, was als Abschluss des Verfahrens gilt, wer den Zeitpunkt prüft und wer die Löschung veranlasst. Soweit andere Aufbewahrungspflichten oder ein konkreter Rechtsstreit betroffen sind, muss im Einzelfall geprüft werden, ob eine längere Speicherung erforderlich ist. Eine pauschale Verlängerung ohne Rechtsgrund ist keine saubere Lösung.
Für kleine Compliance-Teams zählt eine klare Rollenverteilung
Für Betriebe ohne eigene Rechtsabteilung ist ein schlankes Modell oft besser als eine umfangreiche Regelung, die niemand im Alltag bedienen kann. Ein gemeinsames Postfach ist nur dann vertretbar, wenn der Zugriff konsequent auf bestellte Personen beschränkt, der mündliche Kanal ergänzt und eine geschützte Fallakte mit Fristenkalender geführt wird. Das ist organisatorisch möglich, aber fehleranfällig, weil mehrere Kontrollen außerhalb des Postfachs gepflegt werden müssen.
Die intern beauftragte Person eignet sich, wenn sie die nötige Fachkunde, ausreichend Zeit und eine konfliktfreie Stellung hat. Sie benötigt mindestens eine gleich qualifizierte Vertretung. Der beauftragte Dritte ist sinnvoll, wenn Abstand zur eigenen Hierarchie, eine neutrale Erstbewertung oder verlässliche Erreichbarkeit wichtiger sind als die unmittelbare Kenntnis des Betriebs.
Eine digitale Fallplattform passt besonders, wenn wenige Personen mehrere Aufgaben bündeln und dennoch Rollen, Kommunikation, Fristen und Dokumentation sauber trennen müssen. Sie nimmt der Geschäftsführung aber nicht die Pflicht ab, Folgemaßnahmen zu entscheiden. Vor der Inbetriebnahme hilft eine praktische Prüfung anhand der Checkliste zur betriebsbereiten internen Meldestelle.
Die Auswahlentscheidung schriftlich festhalten
Halten Sie auf einer Seite fest, welches Modell gewählt wurde, wer beauftragt und vertreten wird, welche Kanäle angeboten werden, wie Fristen überwacht werden und wo die Fallakten liegen. Ergänzen Sie einen Testfall, der vom Eingang bis zur fiktiven Rückmeldung durchgespielt wird. So zeigt sich vor dem ersten echten Hinweis, ob der Kalender, die Zugriffe und die Kommunikation zusammenpassen.
Die passende Meldestelle verbindet Zugang, Kalender und Fallakte
Die sachliche Auswahl folgt einer klaren Reihenfolge: Zuerst werden Zugriffe nach §§ 8 und 15 HinSchG begrenzt. Danach werden textliche, mündliche und auf Ersuchen persönliche Meldemöglichkeiten nach § 16 HinSchG eingerichtet. Anschließend werden die sieben Tage für die Eingangsbestätigung, die Rückmeldung innerhalb von drei Monaten und die Dokumentation nach § 11 HinSchG als verbindliche Schritte in den Fallablauf eingebaut.
Ein Postfach kann ein Baustein sein, aber keine Abkürzung an diesen Anforderungen vorbei. Wer Fristenuhr, Berechtigungen und Fallakte in einem Ablauf bündeln möchte, kann Meldebrücke als vertrauliche interne Meldestelle mit automatischer Fristenuhr prüfen. Die Lösung ist nach Angaben des Anbieters in einer halben Stunde eingerichtet und wird auf deutschen Servern betrieben. Für eine Vorführung oder frühen Zugang nutzen Sie das Kontaktformular auf der Kontaktseite und schildern Sie kurz, welches Modell Sie heute einsetzen.
