KI-generiertes Hinweisgebersystem für den Einsatz in Deutschland
PDF & Word - 2026 Aktualisiert

Das Sichere Hinweisgebersystem dient der sicheren und anonymen Meldung von Verstößen gegen Gesetze, Vorschriften oder interne Richtlinien innerhalb des Unternehmens, um Missstände frühzeitig zu erkennen und zu beheben.

Das Sichere Hinweisgebersystem beruht auf der EU-Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Berichte über Rechtsverstöße weitergeben, sowie auf dem deutschen Hinweisgeberschutzgesetz (HinSchG).

Die allgemeinen Ziele des Sicheren Hinweisgebersystems umfassen die Förderung von Transparenz, den Schutz der Hinweisgeber, das Risikomanagement und die Erfüllung der Compliance-Anforderungen.

Der Hinweisgeber ist jede Person, die innerhalb oder außerhalb des Unternehmens Kenntnis von potenziellen Verstößen gegen Gesetze, Vorschriften oder interne Richtlinien erlangt hat und diese über das Hinweisgebersystem meldet.

Ein Verstoß (Reportable Breach) umfasst Handlungen oder Unterlassungen, die strafrechtlich bewehrt sind, Bußgelder nach sich ziehen können oder gegen Vorschriften des Unionsrechts in den in § 2 HinSchG genannten Bereichen verstoßen. Beispiele sind Korruption, Geldwäsche, Umweltverstöße, Verstöße gegen Datenschutz- und Arbeitsrecht sowie sonstige Bedrohungen des öffentlichen Interesses.

Vergeltung (Retaliation) bezeichnet jede direkte oder indirekte Handlung oder Unterlassung, die in einem beruflichen Kontext erfolgt und durch eine Meldung oder Offenlegung verursacht wird und dem Hinweisgeber schadet oder schaden könnte. Beispiele sind Kündigung, Herabstufung, Versetzung, Mobbing, Diskriminierung, Gehaltskürzung oder Belästigung.

Follow-up bezeichnet jede Maßnahme, die vom Verantwortlichen zur Bewertung der Richtigkeit der in der Meldung erhobenen Behauptungen und ggf. zur Abstellung des gemeldeten Verstoßes einschließlich interner Untersuchungen, Ermittlungen, Strafverfolgungsmaßnahmen, Maßnahmen zur Abhilfe oder zum Abschluss des Verfahrens ergriffen wird.

Ein Impartial Person oder Hinweisgeberbeauftragter ist eine unabhängige, unparteiische und unabhängig von Weisungen handelnde Person oder Stelle, die für die Entgegennahme und Bearbeitung von Meldungen zuständig ist und keine Interessenkonflikte aufweist.

Ein External Reporting Channel ist ein von einer externen Behörde (z. B. Bundesdatenschutzbeauftragter, BAFA, Fachaufsichtsbehörden oder Staatsanwaltschaft) eingerichteter Meldekanal, über den Hinweisgeber direkt Verstöße melden können.

Missbrauch umfasst jede absichtliche oder fahrlässige Handlung, die das Hinweisgebersystem missbraucht, wie z. B. falsche oder unbegründete Meldungen, um Schaden zuzufügen oder persönliche Vorteile zu erlangen.

Vertraulichkeit bedeutet, dass alle Informationen, die im Rahmen einer Meldung erhalten werden, streng geheim gehalten und nur an autorisierte Personen weitergegeben werden, um den Schutz des Hinweisgebers zu gewährleisten.

Das Sichere Hinweisgebersystem erlaubt die Möglichkeit der anonymen Meldung.

Das Sichere Hinweisgebersystem wird als zentrales Meldeportal eingerichtet, das es Mitarbeitern und Dritten ermöglicht, Missstände anonym oder namentlich zu melden.

Das Sichere Hinweisgebersystem umfasst eine sichere Online-Plattform mit integrierten Datenschutzmaßnahmen gemäß der EU-Hinweisgebersystemrichtlinie.

Die Möglichkeit der anonymen Meldungen wird im Sicheren Hinweisgebersystem eingerichtet.

Die Meldekanäle für das Sichere Hinweisgebersystem umfassen das Online Portal und die Hotline.

Das Sichere Hinweisgebersystem wird so eingerichtet, dass interne Meldungen priorisiert werden, ohne dass eine Wahl eines externen Kanals sanktioniert wird.

Das Sichere Hinweisgebersystem geht am 2025-01-01 in Betrieb.

Die technischen Maßnahmen für die Einrichtung des Sicheren Hinweisgebersystems umfassen die Implementierung einer verschlüsselten Online-Plattform mit SSL-Zertifikaten, Zwei-Faktor-Authentifizierung für Administratoren und automatisierte Logs zur Nachverfolgung von Zugriffsdaten, um die Integrität und Vertraulichkeit der Meldungen zu gewährleisten.

Die organisatorischen Maßnahmen für die Einrichtung des Sicheren Hinweisgebersystems umfassen die Ernennung dedizierter Hinweisgeberbeauftragter, die Durchführung von Schulungen für Mitarbeiter und die Erstellung interner Richtlinien, die den Umgang mit Meldungen regeln, einschließlich Fristen für die Bearbeitung und Schutz vor Vergeltung.

Für die Zugänglichkeit des Sicheren Hinweisgebersystems werden die Barrierefreiheit nach WCAG und die Mobile Optimierung implementiert.

Anonyme Meldungen werden im Sicheren Hinweisgebersystem erlaubt.

Zur Steigerung der Benutzerfreundlichkeit des Sicheren Hinweisgebersystems werden eine Schritt-für-Schritt-Anleitung, klare Sprache und Hilfeseiten umgesetzt.

Das Sichere Hinweisgebersystem wird rund um die Uhr verfügbar gemacht.

Alle personenbezogenen Daten im Rahmen des Hinweisgebersystems werden nach den Grundsätzen der Datenminimierung, Zweckbindung und Speicherbegrenzung gemäß DSGVO und HinSchG verarbeitet. Die Identität des Hinweisgebers wird, soweit möglich, vertraulich behandelt; Ausnahmen gelten nur bei zwingenden gesetzlichen Vorgaben oder wenn die Offenlegung für ein wirksames Follow-up unerlässlich ist und die Rechte des Betroffenen nicht überwiegen.

Das Unternehmen gibt eine Garantie für die Vertraulichkeit der Meldungen.

Der meldenden Person wird die Möglichkeit gegeben, anonym zu bleiben. Anonymität wird durch technische Maßnahmen (keine Speicherung von IP-Adressen, Verwendung eines sicheren, von Dritten gehosteten Portals) und organisatorische Verfahren (keine Rückverfolgung durch das Unternehmen) gewahrt. Bei anonymen Meldungen werden keine personenbezogenen Daten des Hinweisgebers erhoben oder gespeichert.

Für alle Empfänger der Meldung wird eine explizite Vertraulichkeitsverpflichtung festgelegt.

Die Vertraulichkeitsverpflichtung für die Meldung umfasst die Identität der meldenden Person und den Inhalt der Meldung.

Das Unternehmen bestätigt die Einhaltung der DSGVO in Bezug auf die Verarbeitung personenbezogener Daten im Sicheren Hinweisgebersystem. Betroffene Personen (Hinweisgeber, Beschuldigte, Zeugen) werden über die Verarbeitung informiert, soweit dies die Untersuchung nicht beeinträchtigt. Sie haben Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Beschwerde bei der Aufsichtsbehörde.

Für die personenbezogenen Daten der meldenden Person werden die technischen und organisatorischen Schutzmaßnahmen Verschlüsselung der Daten (AES-256), Zugriffsbeschränkungen (Need-to-Know-Prinzip, rollenbasierte Zugriffe), regelmäßige Audits, Pseudonymisierung und sichere Serverstandorte in der EU implementiert. Bei Datenschutzverletzungen wird die Aufsichtsbehörde und ggf. der Betroffene unverzüglich informiert.

Die Aufbewahrungsfrist für die Meldungsdaten beträgt mindestens 3 Monate nach Abschluss des Verfahrens. Danach erfolgt die Löschung, es sei denn, eine längere Aufbewahrung ist für laufende Gerichts- oder Verwaltungsverfahren erforderlich (maximal in der Regel 3 Jahre).

Meldungen können über das sichere Online-Portal (anonym oder namentlich), per Hotline oder per Post eingereicht werden. Der Eingang einer Meldung wird dem Hinweisgeber innerhalb von 7 Kalendertagen schriftlich bestätigt (außer bei anonymen Meldungen, bei denen keine Bestätigung möglich ist).

Der Hinweisgeberbeauftragte führt eine erste Prüfung durch, ob die Meldung in den Anwendungsbereich des HinSchG fällt. Dies erfolgt innerhalb von 14 Tagen. Meldungen außerhalb des Anwendungsbereichs werden abgelehnt und der Hinweisgeber wird entsprechend informiert (soweit möglich).

Bei Meldungen im Anwendungsbereich wird ein strukturiertes Follow-up eingeleitet. Dies umfasst die Sammlung von Beweisen, Befragungen (einschließlich der Möglichkeit für die beschuldigte Person, zu den Vorwürfen Stellung zu nehmen) und weitere Untersuchungsschritte. Die Untersuchung wird dokumentiert (mindestens: Eingangsdatum, durchgeführte Maßnahmen, Ergebnisse). Alle Schritte erfolgen unter Wahrung der Vertraulichkeit und Unabhängigkeit.

Anonyme Meldungen werden gleichwertig behandelt. Die Anonymität wird durch das System gewahrt; es erfolgt keine Rückverfolgung. Der Hinweisgeber kann über das Portal weiter mit dem Bearbeiter kommunizieren, ohne seine Identität preiszugeben.

Das Verfahren wird innerhalb von maximal 3 Monaten ab Eingang der Meldung abgeschlossen. Der Hinweisgeber erhält innerhalb dieser Frist eine Rückmeldung über das Ergebnis und die ergriffenen Maßnahmen (soweit dies die Rechte Dritter nicht beeinträchtigt).

Jede Stufe des Verfahrens wird schriftlich dokumentiert. Die Dokumentation muss mindestens das Eingangsdatum, die ergriffenen Follow-up-Maßnahmen und das Ergebnis enthalten.

Wird der Hinweisgeber Opfer von Vergeltung, hat er das Recht, dies intern oder extern zu melden. Das Unternehmen kehrt in solchen Fällen die Beweislast um (der Arbeitgeber muss nachweisen, dass keine Vergeltung vorliegt). Der Hinweisgeber hat Anspruch auf Schadensersatz, Wiedereinstellung oder andere Rechtsbehelfe gemäß HinSchG und kann sich an Gerichte oder die zuständigen Behörden wenden.

Die Bearbeitung von Meldungen obliegt dem Hinweisgeberbeauftragten (Dr. Anna Müller, E-Mail: anna.mueller@beispielunternehmen.de). Diese Person ist unabhängig, weisungsfrei und weist keine Interessenkonflikte auf. Bei einem potenziellen Interessenkonflikt wird die Bearbeitung an eine externe, unabhängige Stelle übertragen.

Eine interne Untersuchungseinheit wird eingerichtet. Die Compliance-Abteilung und die spezielle Untersuchungseinheit sind für die interne Untersuchungseinheit verantwortlich.

Die interne Untersuchungseinheit ist für die anonyme Bearbeitung und Untersuchung von Hinweisen zuständig und arbeitet unabhängig von der Geschäftsleitung.

Schulungen für die verantwortlichen Personen sind vorgesehen, um Unabhängigkeit, Unparteilichkeit und Fachkenntnis sicherzustellen.

Das Unternehmen verbietet jegliche Form der Vergeltung gegen Hinweisgeber, Facilitatoren, Dritte, die mit dem Hinweisgeber in Verbindung stehen, oder juristische Personen, die im Eigentum des Hinweisgebers stehen oder mit ihm in Verbindung stehen. Verbotene Handlungen umfassen Kündigung, Herabstufung, Versetzung, Mobbing, Belästigung, Diskriminierung, Gehaltskürzung oder sonstige nachteilige Maßnahmen.

In Fällen behaupteter Vergeltung gilt die umgekehrte Beweislast: Der Arbeitgeber muss nachweisen, dass keine Vergeltung vorliegt. Hinweisgeber haben Anspruch auf vollständigen Schadensersatz (materiell und immateriell), Wiedereinstellung und andere geeignete Rechtsbehelfe. Schutz besteht auch bei unrichtigen, aber zum Zeitpunkt der Meldung vernünftigerweise für wahr gehaltenen Informationen.

Die Identität des Hinweisgebers wird geschützt (mit den in Abschnitt 5 genannten Ausnahmen). Hinweisgeber, Facilitatoren und Betroffene haben Zugang zu Beratung und Unterstützung (z. B. über unabhängige Beratungsstellen, den Betriebsrat oder externe Anwälte). Das Unternehmen stellt Informationen über diese Unterstützungsangebote bereit.

Personen, die Vergeltungsmaßnahmen ergreifen, machen sich disziplinarisch (bis zur Kündigung) und zivil- bzw. strafrechtlich haftbar. Das Unternehmen verfolgt solche Verstöße konsequent.

Hinweisgeber können externe Beratung in Anspruch nehmen. Eine strikte Vertraulichkeitsregelung für die Identität der Hinweisgeber wird eingeführt. Die organisatorischen Garantien für den Schutz der Hinweisgeber umfassen Schulungen für Mitarbeiter und einen unabhängigen Ombudsmann. Die rechtlichen Garantien für Hinweisgeber umfassen das Verbot von Sanktionen und die Anonymitätsgarantie.

Beschäftigte haben das Recht, Verstöße direkt an eine externe Meldestelle zu melden, ohne zuvor das interne System nutzen zu müssen. Die Wahl eines externen Kanals führt nicht zu Nachteilen oder Sanktionen. Der Hinweisgeber genießt in beiden Fällen den vollen Schutz des HinSchG.

Meldungen können an folgende externe Stellen gerichtet werden: Bundesdatenschutzbeauftragter (BfDI), Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) als zentrale externe Meldestelle, zuständige Fachaufsichtsbehörden (z. B. BaFin für Finanzwesen, Gewerbeaufsicht, Umweltbehörden), Staatsanwaltschaft oder andere zuständige Strafverfolgungsbehörden. Bei Weiterleitung zwischen internen und externen Kanälen bleibt die Vertraulichkeit gewahrt.

Die Vertraulichkeit der Meldung bleibt bei der Weiterleitung an externe Behörden gewahrt.

Alle Meldungen und Follow-up-Maßnahmen werden in einem sicheren, manipulationssicheren System dokumentiert. Die Dokumentation muss mindestens das Eingangsdatum, die ergriffenen Follow-up-Maßnahmen, die Ergebnisse und die ergriffenen Abhilfemaßnahmen enthalten. Automatische Protokollierung von Absenderdaten bei anonymen Meldungen erfolgt nicht.

Die Aufbewahrungsfrist beträgt mindestens 3 Monate nach Abschluss des Verfahrens. Danach werden die Daten gelöscht, es sei denn, eine längere Speicherung ist aufgrund laufender Gerichts- oder Verwaltungsverfahren erforderlich (in der Regel maximal 3 Jahre).

Der Datenschutzbeauftragte (Frau Anna Müller, Abteilung Compliance) überwacht die Einhaltung der Löschfristen und die GDPR-konforme Verarbeitung. Technische und organisatorische Maßnahmen (Verschlüsselung, Zugriffsbeschränkungen, Audit-Logs) gewährleisten die Sicherheit der Dokumentation.

Die Dokumentation erfolgt elektronisch in einem auditierbaren System. Nach Ablauf der Aufbewahrungsfrist erfolgt die unwiderrufliche, protokollierte Löschung.