Dokumentationspflichten nach HinSchG: Was, wie lange, in welcher Form?

Executive Summary

Die Dokumentationspflichten nach § 11 HinSchG verpflichten interne und externe Meldestellen, alle eingehenden Meldungen in dauerhaft abrufbarer Weise und unter strikter Beachtung des Vertraulichkeitsgebots festzuhalten. Dokumentiert werden Eingang, Inhalt, Kommunikation, Prüfung und Folgemaßnahmen, mit Zugriff nur für die zuständigen Personen.

Die Form richtet sich nach dem Meldekanal: Textmeldungen werden im Original gespeichert, mündliche Meldungen nur mit Einwilligung als Tonaufzeichnung oder Wortprotokoll, ohne Einwilligung als Inhaltsprotokoll. Die Aufbewahrungsfrist beträgt drei Jahre nach Verfahrensabschluss. Parallel gelten Bearbeitungsfristen von sieben Tagen für die Eingangsbestätigung und drei Monaten für die Rückmeldung, in komplexen Fällen bis zu sechs Monate.

Eine lückenlose Dokumentation schützt das Unternehmen vor allem im Hinblick auf die Beweislastumkehr nach § 36 Absatz 2 HinSchG. Verstöße gegen das Vertraulichkeitsgebot werden mit Bußgeldern von bis zu 50.000 Euro geahndet, hinzu kommen Reputationsschäden und zivilrechtliche Ansprüche.

Was muss dokumentiert werden?

Das Hinweisgeberschutzgesetz schreibt eine umfassende Dokumentation des gesamten Meldeprozesses vor. Das dient der Nachvollziehbarkeit, der Rechtssicherheit und dem Schutz aller Beteiligten. Interne und externe Meldestellen sind nach § 11 Absatz 1 HinSchG gleichermaßen verpflichtet, alle eingehenden Meldungen in dauerhaft abrufbarer Weise zu dokumentieren, unter Beachtung des Vertraulichkeitsgebots aus § 8 HinSchG.

Folgende Aspekte sind dabei zentral:

• Eingang der Meldung: Datum und Uhrzeit des Meldungseingangs sowie die Eingangsbestätigung an die hinweisgebende Person innerhalb von sieben Tagen
• Inhalt der Meldung: die gemeldeten Informationen über Verstöße, die in den sachlichen Anwendungsbereich nach § 2 HinSchG fallen, einschließlich begründeter Verdachtsmomente
• Kommunikation mit der hinweisgebenden Person: jeglicher Kontakt, insbesondere Rückfragen und Rückmeldungen zu geplanten oder bereits ergriffenen Folgemaßnahmen
• Prüfung der Meldung: die Bewertung, ob der Verstoß in den Anwendungsbereich fällt und ob die Meldung stichhaltig ist
• Ergriffene Folgemaßnahmen: alle Schritte zur Untersuchung des Verstoßes oder zur Abhilfe, interne Untersuchungen, Verweisungen an andere Stellen oder Verfahrensabschluss
• Gründe für die Entscheidungen: transparente Begründung, warum bestimmte Maßnahmen ergriffen oder Verfahren abgeschlossen wurden
• Personenbezogene Daten: soweit zur Aufgabenerfüllung erforderlich

Das Vertraulichkeitsgebot und seine Ausnahmen

Das Vertraulichkeitsgebot nach § 8 HinSchG ist das Herzstück der gesamten Dokumentation. Es schützt die Identität der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, sowie sonstiger in der Meldung genannter Personen. Die Identität darf ausschließlich denjenigen bekannt werden, die für Entgegennahme oder Folgemaßnahmen zuständig sind, sowie deren Unterstützern. Dieses Gebot gilt unabhängig davon, ob die Meldestelle für die eingehende Meldung überhaupt zuständig ist.

9 HinSchG nennt klar definierte Ausnahmen, bei denen Identitätsinformationen weitergegeben werden dürfen:

• auf Verlangen der Strafverfolgungsbehörden in Strafverfahren
• aufgrund einer Anordnung in einem nachfolgenden Verwaltungsverfahren, einschließlich Bußgeldverfahren
• aufgrund einer gerichtlichen Entscheidung
• mit gesonderter, textförmlicher Einwilligung der hinweisgebenden Person für jede einzelne Weitergabe

Außerdem entfällt der Schutz, wenn die hinweisgebende Person vorsätzlich oder grob fahrlässig unrichtige Informationen meldet. Vor einer Weitergabe muss die Meldestelle die hinweisgebende Person grundsätzlich informieren, es sei denn, dies würde laufende Ermittlungen oder Verfahren gefährden.

Wie lange müssen Dokumente aufbewahrt werden?

11 Absatz 5 HinSchG regelt die Aufbewahrungsfrist eindeutig: Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht. Die Frist beginnt also nicht mit dem Eingang der Meldung, sondern erst mit dem Verfahrensabschluss, ein in der Praxis oft missverstandener Punkt.

Eine längere Aufbewahrung ist möglich, wenn dies zur Erfüllung der Anforderungen nach dem HinSchG oder anderen Rechtsvorschriften erforderlich und verhältnismäßig ist. Typische Konstellationen sind dabei:

• laufende straf- oder zivilrechtliche Verfahren
• steuer- oder handelsrechtliche Aufbewahrungspflichten
• disziplinarrechtliche Folgemaßnahmen

Parallel zur Aufbewahrung sind strenge Bearbeitungsfristen einzuhalten, die ebenfalls dokumentiert werden müssen. Die Meldestelle muss den Eingang einer Meldung spätestens innerhalb von sieben Tagen bestätigen. Spätestens drei Monate nach der Eingangsbestätigung muss die hinweisgebende Person eine Rückmeldung über geplante oder ergriffene Folgemaßnahmen erhalten. In komplexen Fällen kann diese Frist auf bis zu sechs Monate verlängert werden, wobei die Gründe der Verlängerung mitzuteilen sind.

In welcher Form müssen Meldungen dokumentiert werden?

Die Form der Dokumentation ist im Gesetz detailliert vorgeschrieben, um Authentizität und Unveränderbarkeit der Informationen zu gewährleisten. Grundsätzlich gilt: Alle eingehenden Meldungen müssen in dauerhaft abrufbarer Weise dokumentiert werden. Die Informationen müssen also über den gesamten Aufbewahrungszeitraum verfügbar und lesbar bleiben. Das Gesetz unterscheidet drei zulässige Dokumentationsformen, je nach Meldekanal.

Textbasierte Meldungen gehen schriftlich ein, etwa über ein Online-Portal, per E-Mail oder Brief, und werden in der eingereichten Form gespeichert. Entscheidend sind die dauerhafte Abrufbarkeit und ein vertraulicher Speicherort.

Telefonische oder sprachübermittelte Meldungen dürfen nur mit Einwilligung der hinweisgebenden Person als Tonaufzeichnung oder als vollständige Niederschrift (Wortprotokoll) dokumentiert werden. Liegt keine Einwilligung vor, ist die Meldung durch eine von der bearbeitenden Person erstellte Zusammenfassung des Inhalts, ein Inhaltsprotokoll, zu dokumentieren.

Bei persönlichen Zusammenkünften nach § 16 Absatz 3 oder § 27 Absatz 3 HinSchG darf mit Zustimmung des Hinweisgebers eine vollständige und genaue Aufzeichnung erstellt und aufbewahrt werden, entweder als Tonaufzeichnung oder als Wortprotokoll.

Unabhängig von der Form gilt ein wichtiges Korrekturrecht: Die hinweisgebende Person muss die Gelegenheit erhalten, das Protokoll zu überprüfen, gegebenenfalls zu korrigieren und durch Unterschrift oder in elektronischer Form zu bestätigen. Wird eine Tonaufzeichnung zur Anfertigung eines Protokolls verwendet, ist sie zu löschen, sobald das Protokoll fertiggestellt ist. Für die Schriftform sind digitale Hinweisgebersysteme besonders geeignet, da sie die Anforderungen an dauerhafte Abrufbarkeit, Sicherheit und Vertraulichkeit optimal erfüllen.

Warum die Dokumentation nach HinSchG so wichtig ist

Eine sorgfältige Dokumentation ist das Rückgrat eines funktionierenden Whistleblowing-Systems und bietet hinweisgebenden Personen wie Unternehmen wesentliche Vorteile.

Sie sichert das Unternehmen zunächst rechtlich ab und hilft, Bußgelder zu vermeiden: Bei Verstößen gegen die Pflicht zur Einrichtung einer internen Meldestelle oder bei Repressalien drohen Bußgelder von bis zu 50.000 Euro. Eine lückenlose Dokumentation belegt die Einhaltung der gesetzlichen Pflichten.

Besonders wichtig ist die Dokumentation im Hinblick auf die Beweislastumkehr nach § 36 Absatz 2 HinSchG. Erleidet eine hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit und macht sie geltend, diese Benachteiligung infolge einer Meldung erlitten zu haben, wird vermutet, dass es sich um eine Repressalie handelt. Der Arbeitgeber muss dann beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen beruhte und nicht auf der Meldung. Ohne präzise Dokumentation ist dieser Nachweis kaum möglich.

Über die rechtliche Absicherung hinaus erfüllt die Dokumentation weitere zentrale Funktionen:

• Stärkung von Transparenz und Vertrauen bei Mitarbeitern, Geschäftspartnern und der Öffentlichkeit. Das Unternehmen signalisiert dadurch, dass es Missstände ernst nimmt
• Frühwarnsystem für Risiken: Dokumentierte Hinweise machen sichtbar, wo rechtswidrige Praktiken oder finanzielle Risiken bestehen, bevor größerer Schaden entsteht
• Nachweisbare Compliance: Prozesse und Verantwortlichkeiten werden auditierbar und nachvollziehbar
• Grundlage für externe Berichterstattung: Externe Meldestellen wie das Bundesamt für Justiz veröffentlichen nach § 26 HinSchG jährliche Berichte über eingegangene Meldungen

Was passiert bei Verstößen gegen die Dokumentationspflicht?

40 HinSchG sieht keine eigenständige Sanktion für reine Dokumentationsmängel vor, knüpft Bußgelder jedoch an verwandte Pflichten an. Die Geldbußen sind je nach Schwere des Verstoßes gestaffelt:

• Bis zu 50.000 Euro bei vorsätzlichem oder leichtfertigem Verstoß gegen das Vertraulichkeitsgebot nach § 8
• Bis zu 20.000 Euro bei unterlassener Einrichtung einer internen Meldestelle nach § 12
• Bis zu 10.000 Euro bei fahrlässigem Vertraulichkeitsverstoß

Hinzu kommen Reputationsschäden, zivilrechtliche Ansprüche und in besonders schweren Fällen strafrechtliche Folgen.

Praxisbeispiele: So gelingt die rechtskonforme Dokumentation

Wie die Dokumentationspflichten im Alltag aussehen, hängt stark vom gewählten Meldekanal und vom Unternehmen ab. Fünf typische Konstellationen.

Beispiel 1: Anonyme Meldung über ein digitales Hinweisgebersystem

Max bemerkt, dass im Finanzbereich seines Unternehmens systematisch Ausgaben überhöht abgerechnet werden. Er möchte den Vorfall melden, fürchtet aber Repressalien und nutzt deshalb das interne, digitale Hinweisgebersystem. Er füllt ein Formular aus, beschreibt den Betrug detailliert und lädt anonymisierte Beweismittel hoch. Das System generiert für ihn Login-Daten zur sicheren, anonymen Kommunikation und sendet ihm automatisch innerhalb von Sekunden eine Eingangsbestätigung, die ebenfalls dokumentiert wird.

Die interne Meldestelle, ein eigens geschultes Team, erhält die Meldung über das System und dokumentiert sämtliche Bearbeitungsschritte mit Zeitstempel: von der ersten Prüfung der Stichhaltigkeit bis zur anonymen Rückfrage über das System. Nach intensiver Prüfung leitet die Meldestelle Maßnahmen ein und gibt Max innerhalb der dreimonatigen Frist eine Rückmeldung. Der gesamte Fallverlauf wird dauerhaft abrufbar gespeichert und nach drei Jahren automatisch gelöscht.

Beispiel 2: Die mündliche Meldung mit Inhaltsprotokoll

Julia meldet im persönlichen Gespräch mit der internen Meldestelle, dass ihr Vorgesetzter sie wiederholt diskriminiert hat. Eine Tonaufzeichnung oder ein Wortprotokoll lehnt sie ab, stimmt aber einem Inhaltsprotokoll zu. Die Meldestelle sendet ihr innerhalb von sieben Tagen eine schriftliche Eingangsbestätigung und erstellt anschließend ein detailliertes Inhaltsprotokoll mit den Kernpunkten der Meldung, den beteiligten Personen und dem gemeldeten Verstoß. Julia bekommt das Protokoll zur Prüfung, korrigiert es und bestätigt es.

Alle weiteren Schritte, wie Prüfung der Stichhaltigkeit, interne Untersuchung, Maßnahmen, Rückmeldung, werden schriftlich dokumentiert und in einer geschützten Akte abgelegt. Die Herausforderung bei manueller oder teil-manueller Dokumentation: Der Aufwand ist deutlich höher, Fehlerquellen sind wahrscheinlicher und die Einhaltung aller Fristen erfordert strenge interne Kontrollmechanismen. Auch der Nachweis dauerhafter Abrufbarkeit und das Vertraulichkeitsgebot sind komplexer als bei einem spezialisierten digitalen System.

Beispiel 3: Der mittelständische Anlagenbauer (180 Beschäftigte)

Ein Mitarbeiter meldet per E-Mail einen Verdacht auf Schmiergeldzahlungen im Einkauf. Die interne Meldestelle speichert die E-Mail in einem zugriffsbeschränkten Tool, dokumentiert alle Folgeschritte und schließt das Verfahren nach acht Monaten ab. Das Löschdatum ergibt sich daraus eindeutig: drei Jahre nach Verfahrensabschluss.

Beispiel 4: Die telefonische Meldung in einer Bank

Eine Hinweisgeberin ruft die Compliance-Abteilung an und möchte keine Tonaufzeichnung. Die zuständige Sachbearbeiterin fertigt ein Inhaltsprotokoll an, lässt es der Hinweisgeberin elektronisch bestätigen und speichert es vertraulich. Eine spätere Korrektur durch die Hinweisgeberin bleibt jederzeit möglich.

Beispiel 5: Das persönliche Treffen mit Tonaufzeichnung

Ein ehemaliger Lieferant berichtet bei einem persönlichen Termin von Datenschutzverstößen und stimmt einer Tonaufzeichnung zu. Daraus wird ein Wortprotokoll erstellt; die Tonaufnahme wird anschließend sofort gelöscht. Das Protokoll bleibt drei Jahre nach Verfahrensabschluss archiviert.

Digitale Lösungen für effiziente Dokumentationspflichten

Um den Dokumentationspflichten nach HinSchG effizient und rechtskonform nachzukommen, setzen viele Unternehmen auf digitale Hinweisgebersysteme. Diese bieten eine Vielzahl von Funktionen, die den gesamten Meldeprozess optimieren:

• Sichere Meldekanäle: anonyme, pseudonyme oder namentliche Meldungen mit DSGVO-konformer, Ende-zu-Ende-verschlüsselter Kommunikation. Das stärkt das Vertrauen der Hinweisgeber
• Automatisiertes Fristenmanagement: Sieben-Tage- und Drei-Monats-Fristen werden automatisch überwacht
• Strukturiertes Fallmanagement: übersichtliches Dashboard zur Verwaltung und Priorisierung von Fällen. Alle Bearbeitungsschritte, Zuständigkeiten und Interaktionen werden lückenlos und revisionssicher dokumentiert
• KI-Unterstützung (optional): moderne Lösungen analysieren, kategorisieren und anonymisieren eingehende Meldungen und schlagen sogar Abhilfemaßnahmen vor
• Multilingualität: oft in über 30 Sprachen verfügbar, besonders relevant für international agierende Unternehmen oder Konzerne mit Tochtergesellschaften
• LkSG-Kompatibilität: viele Systeme decken nicht nur das HinSchG ab, sondern unterstützen zugleich das Beschwerdeverfahren nach dem Lieferkettensorgfaltspflichtengesetz

Fazit

Die Dokumentationspflichten nach HinSchG sind ein zentraler Bestandteil des Gesetzes und für Unternehmen unverzichtbar. Eine sorgfältige, transparente und fristgerechte Dokumentation schützt nicht nur hinweisgebende Personen vor Repressalien und Benachteiligungen, sondern sichert auch das Unternehmen vor rechtlichen und reputationsbezogenen Risiken ab. Wer die drei zulässigen Formen, Textmeldung, Tonaufzeichnung beziehungsweise Wortprotokoll sowie Inhaltsprotokoll, sauber anwendet, die Dreijahresfrist nach Verfahrensabschluss einhält und die Vertraulichkeit konsequent wahrt, ist rechtlich auf der sicheren Seite. Durch den Einsatz moderner digitaler Hinweisgebersysteme lassen sich diese Anforderungen effizient erfüllen, die Compliance stärken und ein Umfeld von Vertrauen und Integrität fördern.