Kleine Unternehmen benötigen nicht automatisch eine interne Meldestelle. In Deutschland hängt die Pflicht vor allem von der Beschäftigtenzahl und in bestimmten Branchen von besonderen gesetzlichen Vorgaben ab. Der erste Schritt ist daher keine Softwareauswahl, sondern eine dokumentierte Prüfung, ob das Unternehmen nach dem Hinweisgeberschutzgesetz eine interne Meldestelle betreiben muss. Besteht die Pflicht, muss die gewählte Lösung mehr leisten als ein anonymes Kontaktformular: Vertraulichkeit, festgelegte Bearbeitungsfristen, sichere Fallakten und klare Zuständigkeiten gehören zum Verfahren.
Für kleinere Betriebe kommen vor allem cloudbasierte Hinweisgeberportale, betreute Meldestellen mit externer Fallannahme, selbst betriebene Systeme und Compliance-Plattformen mit Hinweisgebermodul infrage. Marktbeispiele sind LegalTegrity, EQS Integrity Line, WhistleB, Hintbox, Whistlelink und FaceUp. Diese Nennung ist keine Rangfolge. Funktionsumfang, Hosting, Vertragsbedingungen und Kosten können sich ändern und müssen für die benötigte Variante direkt beim jeweiligen Anbieter geprüft werden.
Wann ein kleiner Betrieb eine interne Meldestelle braucht
Das deutsche Hinweisgeberschutzgesetz verpflichtet Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten zur Einrichtung und zum Betrieb einer internen Meldestelle. Für bestimmte Unternehmen, insbesondere in besonders regulierten Bereichen, können Pflichten unabhängig von dieser Schwelle bestehen. Maßgeblich sind die §§ 12 bis 18 HinSchG sowie gegebenenfalls branchenspezifische Vorschriften.
Unternehmen mit 50 bis 249 Beschäftigten dürfen nach § 14 HinSchG eine gemeinsame Meldestelle betreiben. Die Verantwortung für geeignete Maßnahmen und für die Behebung festgestellter Verstöße verbleibt jedoch beim jeweiligen Unternehmen. Eine gemeinsame Lösung kann etwa innerhalb einer Unternehmensgruppe, eines Verbands oder zusammen mit mehreren rechtlich selbstständigen Betrieben organisiert werden.
Für die Prüfung der Beschäftigtenzahl genügt eine beiläufige Kopfzählung nicht. Halten Sie fest, welche Gesellschaft betrachtet wird, welche Personen als Beschäftigte einzubeziehen sind und ob besondere Branchenregeln greifen. Bei mehreren Gesellschaften, wechselnder Belegschaft oder regulierten Tätigkeiten sollte die Einordnung rechtlich geprüft werden.
| Ausgangslage | Betriebliche Folgerung | Prüfbasis |
|---|---|---|
| Weniger als 50 Beschäftigte, keine erkennbare Sonderregel | Regelmäßig keine allgemeine Pflicht nach der Beschäftigtenschwelle; eine freiwillige Meldestelle bleibt möglich. | § 12 HinSchG und einschlägige Branchenvorschriften |
| 50 bis 249 Beschäftigte | Interne Meldestelle erforderlich; eine gemeinsam betriebene Stelle kann zulässig sein. | §§ 12 und 14 HinSchG |
| Mindestens 250 Beschäftigte | Interne Meldestelle erforderlich; Organisation und ausreichende Ressourcen müssen zum größeren Meldeaufkommen passen. | §§ 12 bis 18 HinSchG |
| Regulierter Tätigkeitsbereich | Eine Pflicht kann ungeachtet der allgemeinen Beschäftigtenschwelle bestehen. | § 12 Abs. 3 HinSchG und jeweiliges Fachrecht |
Der offizielle Gesetzestext ist die maßgebliche Prüfbasis. Für externe Meldungen des Bundes ist das Bundesamt für Justiz eine wichtige zuständige Stelle. Eine interne Meldestelle darf Beschäftigte nicht daran hindern, einen zulässigen externen Meldeweg zu wählen.
Vier technisch und organisatorisch unterschiedliche Lösungswege
Cloudportal als eigenständiges Hinweisgebersystem
Bei einer SaaS-Lösung stellt der Anbieter das Portal und meist auch das Fallmanagement bereit. Hinweisgebende Personen reichen Meldungen über eine geschützte Eingabemaske ein. Ein digitales Postfach oder ein Zugangscode kann Rückfragen ermöglichen, ohne dass die Identität offengelegt werden muss.
Diese Variante passt häufig zu kleinen Unternehmen, die keine eigene Serverinfrastruktur betreiben möchten. Zu prüfen sind der Hostingstandort, Unterauftragnehmer, Rollenrechte, Verschlüsselung, Löschfunktionen, Exportmöglichkeiten und der Vertrag zur Auftragsverarbeitung. Außerdem muss geklärt sein, wie mündliche Meldungen und eine persönliche Zusammenkunft auf Wunsch ermöglicht werden. Ein reiner Texteingang deckt nicht automatisch das gesamte vorgeschriebene Verfahren ab.
Digitales Portal mit externer Meldestellenbetreuung
Bei einem betreuten Modell liefert ein Dienstleister nicht nur die Technik, sondern übernimmt vereinbarte Aufgaben der Meldestelle. Das kann die erste Kommunikation, die Prüfung der Zuständigkeit oder die strukturierte Übergabe an eine verantwortliche Person im Unternehmen umfassen. Rechtsanwaltliche Ombudspersonen können ebenfalls Teil eines solchen Modells sein.
Diese Lösung entlastet Betriebe, in denen niemand ausreichend unabhängig oder fachlich vorbereitet ist. Der Vertrag muss die Aufgabenteilung eindeutig festlegen: Wer bestätigt den Eingang, wer beurteilt den sachlichen Anwendungsbereich, wer veranlasst Folgemaßnahmen und wer gibt die Rückmeldung? Die Auslagerung beseitigt nicht die Verantwortung des Unternehmens für geeignete Reaktionen.
Selbst betriebenes oder quelloffenes System
Ein selbst gehostetes Hinweisgeberportal gibt dem Unternehmen mehr Kontrolle über Betrieb und Datenhaltung. Quelloffene Software kann Lizenzabhängigkeiten verringern, verursacht aber internen Aufwand für Installation, Updates, Protokollierung, Berechtigungen, Datensicherung und Sicherheitsüberwachung.
Für einen kleinen Betrieb ist diese Variante nur sinnvoll, wenn verlässliche IT-Ressourcen vorhanden sind. Ein System, das aus Kostengründen nicht regelmäßig aktualisiert oder dessen Zugriffsschutz nicht überwacht wird, schafft ein erhebliches Vertraulichkeitsrisiko. Die technische Kontrolle allein ersetzt zudem weder eine unparteiische Fallbearbeitung noch die gesetzlichen Kommunikationsschritte.
Hinweisgebermodul innerhalb einer Compliance-Plattform
Größere Compliance- oder Fallmanagementplattformen bieten teilweise ein Meldemodul neben Funktionen für Richtlinien, Untersuchungen, Interessenkonflikte oder Risikomanagement. Das kann für wachsende Unternehmensgruppen sinnvoll sein, wenn mehrere Compliance-Prozesse in einem Rollen- und Berichtssystem zusammengeführt werden sollen.
Für einen einzelnen kleinen Betrieb kann eine solche Plattform unnötig umfangreich sein. Die Auswahl sollte nicht an der Zahl zusätzlicher Module hängen, sondern daran, ob der Meldeprozess rechtssicher organisiert, für Beschäftigte erreichbar und im Alltag beherrschbar bleibt.
Sechs Anbieter als Ausgangspunkt für eine strukturierte Auswahl
Die folgenden Lösungen sind Beispiele für am Markt bekannte digitale Hinweisgeberportale. Da Pakete, Integrationen, Hostingvarianten und Preise veränderlich sind, lässt sich ohne Prüfung des jeweiligen Angebots kein allgemeiner Sieger bestimmen.
| Lösung | Typische Einordnung | Besonders zu prüfen | Eher passend für |
|---|---|---|---|
| LegalTegrity | Spezialisierte Hinweisgeber- und Compliance-Lösung | Leistungsumfang des gewählten Pakets, Rollenmodell, externe Betreuung und Datenexport | Kleine und mittlere Unternehmen mit eigenständigem Meldeprozess |
| EQS Integrity Line | Hinweisgebersystem innerhalb eines breiteren Compliance-Angebots | Benötigte Module, Administrationsaufwand, internationale Anforderungen und Schnittstellen | Wachsende oder international aufgestellte Organisationen |
| WhistleB | Digitales Meldesystem mit Fallkommunikation | Sprachen, Rollen, Hosting- und Datenschutzkonzept sowie Paketgrenzen | Unternehmen mit mehrsprachiger Belegschaft oder mehreren Einheiten |
| Hintbox | Webbasiertes Hinweisgeberportal | Verfügbare Meldewege, Fallbearbeitung, Mandantenfähigkeit und Vertragsunterlagen | Kleine Unternehmen, die eine überschaubare Portallösung suchen |
| Whistlelink | Cloudbasierter Meldekanal mit Fallverwaltung | Kommunikationswege, Berechtigungen, Datenstandort, Exporte und Löschkonzept | Betriebe, die ein separates digitales Portal einsetzen möchten |
| FaceUp | Digitale Melde- und Fallmanagementlösung | Abgrenzung der Produktvarianten, Datenschutz, Sprachen und interne Rollen | Organisationen, die Hinweise aus unterschiedlichen Personengruppen bündeln möchten |
Vergleichen Sie nur Angebote, die denselben Leistungsumfang abdecken. Ein günstiges Portal ohne externe Bearbeitung ist nicht unmittelbar mit einer vollständig betreuten Ombudslösung vergleichbar. Fordern Sie für jede engere Wahl eine Leistungsbeschreibung, ein Datenschutzkonzept, Angaben zu Unterauftragnehmern, ein Rollenmodell und einen Testzugang an.
Was die digitale Lösung im Arbeitsablauf leisten muss
Das Hinweisgeberschutzgesetz regelt nicht, welche Marke eingesetzt werden soll. Es stellt Anforderungen an den Meldeweg und an die Bearbeitung. Die Software muss diesen Ablauf unterstützen, ohne unberechtigten Personen Einblick in Identität oder Fallinhalt zu geben.
- Meldung sicher entgegennehmen: Beschäftigte müssen Hinweise in Textform oder mündlich abgeben können. Auf Wunsch ist innerhalb angemessener Zeit eine persönliche Zusammenkunft zu ermöglichen.
- Eingang bestätigen: Die interne Meldestelle bestätigt den Eingang grundsätzlich spätestens nach sieben Tagen.
- Zuständigkeit und Stichhaltigkeit prüfen: Die bearbeitende Person kontrolliert, ob der gemeldete Sachverhalt in den Anwendungsbereich fällt, hält Kontakt und fordert bei Bedarf weitere Informationen an.
- Folgemaßnahmen steuern: Je nach Ergebnis kommen interne Untersuchungen, die Abgabe an eine zuständige Stelle oder der Abschluss des Verfahrens in Betracht.
- Rückmeldung dokumentieren: Die hinweisgebende Person erhält grundsätzlich innerhalb von drei Monaten nach der Eingangsbestätigung eine Rückmeldung zu geplanten oder ergriffenen Maßnahmen und deren Gründen, soweit dadurch interne Nachforschungen oder Rechte betroffener Personen nicht beeinträchtigt werden.
Eine Funktion für anonyme Meldungen ist nach dem HinSchG nicht allgemein zwingend vorgeschrieben. Anonym eingehende Hinweise sollen jedoch bearbeitet werden. Ein anonym nutzbares Postfach ist betrieblich oft hilfreich, weil es Rückfragen ermöglicht, ohne die Identität offenzulegen. Entscheidet sich ein Unternehmen für diese Funktion, muss die technische Gestaltung eine versehentliche Identifizierung möglichst vermeiden.
Die Auswahlentscheidung in fünf Prüfschritten
Eine kleine Organisation sollte die Produktauswahl von ihrem tatsächlichen Bearbeitungsprozess aus planen. Eine realistische Reihenfolge verhindert, dass ein Portal beschafft wird, bevor Zuständigkeiten und Datenschutz geklärt sind.
- Pflicht und Nutzerkreis festlegen: Dokumentieren Sie Beschäftigtenzahl, Gesellschaften, Standorte, Sprachen und mögliche Sondervorschriften. Entscheiden Sie, ob nur Beschäftigte oder auch Lieferanten und andere externe Personen Zugang erhalten sollen.
- Verantwortliche Personen benennen: Legen Sie eine Hauptverantwortung und eine vertraulichkeitsgebundene Vertretung fest. Beide benötigen Fachkunde, ausreichende Unabhängigkeit und Zeit für fristgerechte Bearbeitung.
- Meldewege definieren: Bestimmen Sie, wie Textmeldungen, mündliche Hinweise und persönliche Gespräche ermöglicht werden. Die Software darf Teil des Verfahrens sein, muss aber nicht jede Kommunikationsform selbst bereitstellen.
- Anbieter nach demselben Raster testen: Spielen Sie mit jedem Produkt einen identischen Beispielfall durch: Eingang, anonyme Rückfrage, Rechtevergabe, Fristüberwachung, Übergabe, Abschluss, Export und Löschung.
- Verfahren schriftlich freigeben: Halten Sie Zuständigkeiten, Vertretung, Eskalation, Datenschutz, Aufbewahrung, Löschung und Information der Beschäftigten in einer internen Verfahrensbeschreibung fest.
Wenn Meldungen nur eine einzige geschäftsführende Person erreichen und diese selbst betroffen sein könnte, fehlt ein belastbarer Ausweichweg. Für sehr kleine Leitungsstrukturen kann eine externe Meldestellenbetreuung geeigneter sein als ein rein intern verwaltetes Portal.
Datenschutz und Vertraulichkeit getrennt absichern
Ein digitales Hinweisgebersystem verarbeitet regelmäßig sensible personenbezogene Daten. Neben dem HinSchG ist daher die Datenschutz-Grundverordnung zu berücksichtigen. Das Unternehmen muss unter anderem Rechtsgrundlage, Zugriffsberechtigungen, Informationspflichten, technische Schutzmaßnahmen, Auftragsverarbeitung und Löschung prüfen.
Vertraulichkeit bedeutet, dass die Identität hinweisgebender Personen, betroffener Personen und sonstiger in der Meldung genannter Personen nur den zuständigen Bearbeitern bekannt wird, soweit keine gesetzlich geregelte Ausnahme greift. Ein allgemeiner Administratorzugang, gemeinsam genutzte Konten oder unkontrollierte E-Mail-Weiterleitungen passen nicht zu diesem Grundsatz.
- Rollen sollten nach dem Erforderlichkeitsprinzip vergeben und regelmäßig kontrolliert werden.
- Zugriffe und Bearbeitungsschritte sollten nachvollziehbar protokolliert werden, ohne unnötige personenbezogene Daten zu erzeugen.
- Exporte müssen geschützt gespeichert und dürfen nicht dauerhaft in ungesicherten Ordnern liegen.
- Aufbewahrungs- und Löschregeln müssen das HinSchG, Datenschutzrecht und mögliche weitere Nachweispflichten zusammen berücksichtigen.
- Bei einem Cloudanbieter sind der Vertrag zur Auftragsverarbeitung und die eingesetzten Unterauftragnehmer zu prüfen.
Die Dokumentation von Meldungen ist nach § 11 HinSchG vertraulich zu führen. Die gesetzliche Löschregel und mögliche Gründe für eine längere Aufbewahrung sollten anhand des geltenden Gesetzestextes und des jeweiligen Falls beurteilt werden. Eine Softwarevoreinstellung darf diese Entscheidung nicht ungeprüft vorwegnehmen.
Kosten sinnvoll vergleichen, ohne nur auf die Lizenz zu schauen
Der betriebliche Aufwand besteht nicht allein aus dem Preis des Portals. Verglichen werden sollten Lizenz oder Grundgebühr, Einrichtung, Schulung, externe Fallbearbeitung, interne Arbeitszeit, zusätzliche Sprachen, technische Anpassungen und ein möglicher Anbieterwechsel.
Für eine interne Vergleichsrechnung können Sie folgende Struktur verwenden:
Jahresgesamtkosten = jährliche Systemkosten + jährliche Betreuungskosten + (interne Bearbeitungsstunden × interner Stundensatz) + einmalige Einführungskosten im ersten Jahr
Ein neutrales Rechenbeispiel: Ein Betrieb setzt für die Systemkosten 1.200 Euro pro Jahr, für externe Betreuung 1.800 Euro, für 20 interne Stunden einen kalkulatorischen Stundensatz von 50 Euro und für die Einführung 600 Euro an. Die Rechnung lautet: 1.200 Euro + 1.800 Euro + (20 Stunden × 50 Euro je Stunde) + 600 Euro = 4.600 Euro im ersten Jahr. Der Zahlencheck ergibt 1.000 Euro interne Arbeitskosten; ohne die einmalige Einführung lägen die angesetzten Folgejahreskosten bei 4.000 Euro.
Diese Werte sind keine Marktpreise, sondern frei gewählte Rechengrößen. Setzen Sie stattdessen die Beträge aus den Angeboten und Ihre eigene Zeitkalkulation ein. Eine betreute Lösung kann trotz höherer Rechnung wirtschaftlich sein, wenn dem Unternehmen unabhängige Bearbeiter oder die nötige Fachkunde fehlen.
Der sichere Start für eine kleine Organisation
Die zweckmäßige Lösung hängt weniger von der Mitarbeiterzahl allein als von Zuständigkeit, Risikoprofil und vorhandenen Ressourcen ab. Ein eigenständiges Cloudportal eignet sich häufig, wenn geschulte interne Bearbeiter verfügbar sind. Eine betreute Meldestelle ist eher passend, wenn Unabhängigkeit und Fachkunde extern abgesichert werden sollen. Selbsthosting kommt nur mit verlässlicher IT-Betreuung infrage, während eine umfassende Compliance-Plattform vor allem bei mehreren Gesellschaften oder zusätzlichen Compliance-Prozessen Nutzen bringen kann.
Vor der Vertragsunterzeichnung sollten ein Testfall vollständig bearbeitet, das Rollenmodell freigegeben und die Vereinbarkeit mit §§ 11 bis 18 HinSchG sowie der DSGVO geprüft werden. Erst danach folgt die Information der Beschäftigten über Zugangsweg, Zuständigkeit, Vertraulichkeit und den Ablauf. So entsteht nicht nur ein digitaler Briefkasten, sondern ein arbeitsfähiges Meldesystem mit überprüfbarer Verantwortung.
