Beauftragter der internen Meldestelle
Vertrauliche Aufnahme von Hinweisen, Bearbeitung innerhalb der Drei-Monats-Frist nach HinSchG, Monitoring auf Repressalien. Unabhängig von der Geschäftsleitung.
HinSchG · EU-Whistleblower-Richtlinie
Beauftragter der internen Meldestelle: Mit uns sprechen
Drei Zeilen und Sie sind in unserem Posteingang. Antwort innerhalb eines Werktags.
Was ist der Beauftragte für die interne Meldestelle?
Der Beauftragte für die interne Meldestelle (häufig als Hinweisgeberbeauftragter oder Whistleblower-Beauftragter bezeichnet) ist die nach § 14 Hinweisgeberschutzgesetz (HinSchG) zu benennende Stelle, die Meldungen über Rechtsverstöße aus dem Unternehmen entgegennimmt und bearbeitet. Das HinSchG ist am 02.07.2023 in Kraft getreten und setzt die EU-Whistleblower-Richtlinie 2019/1937 vom 23.10.2019 in deutsches Recht um. Es schützt natürliche Personen, die Informationen über Verstöße aus ihrem beruflichen Kontext erlangt und gemeldet haben. Der sachliche Anwendungsbereich nach § 2 HinSchG umfasst Verstöße gegen Strafvorschriften, bußgeldbewehrte Vorschriften zum Schutz von Leben und Gesundheit, Vorschriften zur Geldwäsche, Steuern, Verbraucher-, Umwelt- und Datenschutz sowie sektorspezifisches EU-Recht.
Die Bestellpflicht greift nach § 12 HinSchG für Beschäftigungsgeber mit 50 oder mehr Beschäftigten. Der Stichtag für Unternehmen ab 250 Beschäftigten war der 02.07.2023, für Unternehmen zwischen 50 und 249 Beschäftigten der 17.12.2023. Unabhängig von der Beschäftigtenzahl verpflichtet § 12 Abs. 3 HinSchG unter anderem Wertpapierdienstleistungsunternehmen, Börsenträger, Institute nach KWG und WpIG, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen sowie Krypto- und Zahlungsinstitute. Konzernrechtlich erlaubt § 14 Abs. 2 HinSchG eine gemeinsame Stelle nur privaten Beschäftigungsgebern mit in der Regel 50 bis 249 Beschäftigten. Eine Tochtergesellschaft, die selbst unter § 12 HinSchG fällt, bleibt verpflichtet, denn die Betrauung eines Dritten, auch der Konzernmutter, entbindet nach § 14 Abs. 1 Satz 2 HinSchG nicht.
Der Beauftragte nimmt nach § 16 HinSchG Meldungen mündlich, schriftlich oder auf Wunsch persönlich entgegen, bestätigt den Eingang innerhalb von 7 Tagen, prüft die Stichhaltigkeit, ergreift Folgemaßnahmen und gibt dem Hinweisgeber innerhalb von 3 Monaten eine Rückmeldung. Die Vertraulichkeit der Identität ist nach § 8 HinSchG zwingend zu wahren, auch gegenüber Vorgesetzten und Mitgesellschaftern. Das Repressalienverbot des § 36 HinSchG kehrt die Beweislast um: Erleidet der Hinweisgeber nach einer Meldung einen Nachteil, wird vermutet, dass dieser eine Repressalie ist, sofern der Arbeitgeber nicht das Gegenteil beweist. Anonym eingehende Meldungen soll die interne Meldestelle nach § 16 Abs. 1 Satz 4 HinSchG bearbeiten; eine Pflicht, den Meldekanal für anonyme Abgaben zu öffnen, stellt § 16 Abs. 1 Satz 5 HinSchG ausdrücklich nicht auf.
Aufgaben des Beauftragten
- Betrieb des Meldekanals nach § 16 HinSchG für mündliche, schriftliche und persönliche Meldungen.
- Bestätigung des Eingangs einer Meldung an den Hinweisgeber innerhalb von 7 Tagen nach § 17 Abs. 1 Nr. 1 HinSchG.
- Prüfung der Stichhaltigkeit, Untersuchung des Sachverhalts und Einleitung angemessener Folgemaßnahmen nach § 18 HinSchG.
- Rückmeldung an den Hinweisgeber zu Folgemaßnahmen innerhalb von 3 Monaten nach § 17 Abs. 2 HinSchG.
- Wahrung der Vertraulichkeit der Identität des Hinweisgebers, der betroffenen Personen und Dritter nach § 8 HinSchG.
- Dokumentation aller Meldungen und Folgemaßnahmen nach § 11 HinSchG und Löschung drei Jahre nach Abschluss des Verfahrens (§ 11 Abs. 5 HinSchG).
- Erstellung des datenschutzkonformen Verarbeitungsverzeichnisses nach Art. 30 DSGVO und ggf. einer DSFA.
- Schulung der Beschäftigten zur Existenz des Meldekanals und zum Schutz vor Repressalien.
- Schnittstelle zur externen Meldestelle beim Bundesamt für Justiz (BfJ) nach § 19 HinSchG und zur BaFin im Finanzsektor.
- Jährlicher Tätigkeitsbericht an die Geschäftsleitung mit Risikoanalyse und Empfehlungen.
Bestellung, Fachkunde und Stichtage
Die Bestellpflicht ergibt sich aus § 12 HinSchG. Beschäftigungsgeber mit 250 oder mehr Beschäftigten mussten bis zum 02.07.2023 eine interne Meldestelle einrichten, Beschäftigungsgeber mit 50 bis 249 Beschäftigten bis zum 17.12.2023. Wer die Frist nach 17.12.2023 versäumt, riskiert nach § 40 Abs. 2 Nr. 2 in Verbindung mit Abs. 6 HinSchG ein Bußgeld bis 20.000 Euro. § 12 Abs. 3 HinSchG verpflichtet bestimmte Beschäftigungsgeber unabhängig von der Beschäftigtenzahl: Wertpapierdienstleistungsunternehmen und Datenbereitstellungsdienste nach WpHG, Börsenträger, Institute nach KWG und WpIG, Kapitalverwaltungsgesellschaften nach KAGB, Versicherungsunternehmen nach VAG sowie Institute nach Kryptomärkteaufsichtsgesetz und Zahlungsdiensteaufsichtsgesetz. Kapitalmarktorientierte Unternehmen nach § 264d HGB stehen nicht in dieser Aufzählung; für sie bleibt es bei der Schwelle von 50 Beschäftigten. Im Konzern erlaubt § 14 Abs. 2 HinSchG eine gemeinsame Stelle nur privaten Beschäftigungsgebern mit in der Regel 50 bis 249 Beschäftigten; eine selbst verpflichtete Tochtergesellschaft kann ihre Pflicht nicht abgeben, weil die Betrauung eines Dritten nach § 14 Abs. 1 Satz 2 HinSchG nicht entbindet.
Nach § 15 Abs. 2 HinSchG hat der Beschäftigungsgeber dafür zu sorgen, dass die beauftragten Personen über die notwendige Fachkunde verfügen. Was Fachkunde genau bedeutet, ist gesetzlich nicht definiert, der Begründung des Gesetzes nach umfasst sie Kenntnisse im Verfahrensrecht (Verfahrensherrschaft, Untersuchungsmethoden, Beweissicherung), im Datenschutz nach DSGVO und im einschlägigen materiellen Recht (Arbeitsrecht, Compliance, Geldwäsche, Datenschutz, Steuern, Korruptionsprävention). Entsprechende Schulungen werden vom TÜV, DGCS, Berufsverband Compliance und spezialisierten Kanzleien angeboten, eine Zertifizierung ist nicht zwingend. Nach § 15 Abs. 1 HinSchG übt die interne Meldestelle ihre Tätigkeit unabhängig aus und darf daneben andere Aufgaben wahrnehmen, solange daraus keine Interessenkonflikte entstehen; eine Doppelfunktion mit HR-Leitung, Recht oder Compliance ist deshalb nur tragfähig, wenn Eskalationswege dokumentiert sind. Externe Beauftragte sind nach § 14 Abs. 1 Satz 1 HinSchG zulässig und im Mittelstand der Standardfall. Die Betrauung wird schriftlich dokumentiert; nach § 14 Abs. 1 Satz 2 HinSchG bleibt der Beschäftigungsgeber verpflichtet, selbst geeignete Maßnahmen zu ergreifen, um einen Verstoß abzustellen.
- Beschäftigungsgeber ab 50 Beschäftigten (§ 12 HinSchG), Stichtage 02.07.2023 (ab 250) und 17.12.2023 (50 bis 249).
- Institute nach KWG und WpIG, Wertpapierdienstleistungsunternehmen nach WpHG, Versicherer nach VAG, KVGs nach KAGB sowie Krypto- und Zahlungsinstitute unabhängig von der Größe (§ 12 Abs. 3 HinSchG).
- Börsenträger und Datenbereitstellungsdienste unabhängig von der Größe (§ 12 Abs. 3 Nr. 2 und 3 HinSchG).
- Anordnung der externen Meldestelle beim Bundesamt für Justiz nach § 19 HinSchG.
- Konzerntochter mit eigener Pflicht nach § 12 HinSchG: die Betrauung der Konzernmutter entbindet nicht (§ 14 Abs. 1 Satz 2 HinSchG).
- Sektorspezifische Pflichten: GwG-Hinweisgebersystem nach § 6 Abs. 5 GwG, MaRisk AT 4.4.3 für Banken.
Typische Branchen mit Meldestellen-Pflicht
- Banken, Sparkassen, Volksbanken und Wertpapierdienstleister
- Versicherer, Pensionskassen und Asset Manager
- Industrieunternehmen mit 50+ Beschäftigten (Maschinenbau, Chemie, Automotive)
- Kapitalverwaltungsgesellschaften, Börsenträger und Datenbereitstellungsdienste
- Krankenhäuser, MVZ und Pflegekonzerne
- Öffentliche Verwaltung und kommunale Beteiligungen
- Bildungseinrichtungen und Universitäten ab 50 Beschäftigten
- Konzerne mit eigenständig meldepflichtigen deutschen Tochtergesellschaften
- Stiftungen und gemeinnützige Organisationen ab 50 Beschäftigten
- Krypto-Dienstleister und FinTechs unter MiCAR
Wie CIVAC den Beauftragten der internen Meldestelle unterstützt
CIVAC stellt einen HinSchG-konformen Meldekanal mit Ende-zu-Ende-Verschlüsselung, anonymen Meldewegen und einem strukturierten Fallmanagement bereit. Eingänge werden automatisch quittiert (7-Tage-Frist § 17 Abs. 1 Nr. 1 HinSchG), die 3-Monats-Rückmeldefrist nach § 17 Abs. 2 HinSchG ist als Pflichtfeld hinterlegt. Das Modul führt das Verarbeitungsverzeichnis nach Art. 30 DSGVO automatisch, dokumentiert alle Folgemaßnahmen prüfungsfest und setzt die Löschung drei Jahre nach Abschluss des Verfahrens nach § 11 Abs. 5 HinSchG um. Rollen-Trennung (Beauftragter, Vertretung, Fachstelle Recht) und ein abgeschotteter Datenraum verhindern Zugriffe Unbefugter. Konzernmandate können mehrere Tochtergesellschaften abbilden, ohne die eigene Pflicht der Tochter nach § 12 HinSchG zu ersetzen. Ein externer HinSchG-Beauftragter über CIVAC ist innerhalb von 48 Stunden bestellt und der Meldekanal produktiv.
Häufige Fragen zur internen Meldestelle nach HinSchG
Diese Seite erklärt die Pflicht. Wenn die Entscheidung zur Vergabe schon gefallen ist, führen diese Leistungen sie aus.
Diese Rolle für Ihr Unternehmen besetzen?
Bestellen Sie unsere Experten als externe Beauftragten oder lizenzieren Sie CIVAC für Ihr eigenes Team. Wir besprechen mit Ihnen, was zu Ihrem Aufbau passt.