Interne vs. externe Meldestelle: Welche Lösung passt?

Executive Summary

Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen ab 50 Beschäftigten, eine interne Meldestelle einzurichten und zu betreiben (§ 12 HinSchG). Nach § 14 Abs. 1 HinSchG haben Unternehmen dabei die Wahl: Sie können die Meldestelle selbst betreiben oder an einen Dritten auslagern. Beide Wege sind rechtlich gleichwertig. Die Verantwortung für geeignete Folgemaßnahmen bleibt aber in jedem Fall beim Unternehmen.

Eine interne Lösung bietet entscheidende Vorteile: Sensible Informationen und Geschäftsgeheimnisse bleiben im Haus, Folgemaßnahmen lassen sich über kurze Wege schneller umsetzen und Meldungen liefern direkt nutzbare Risikodaten für das eigene Compliance-Management. Ein Outsourcing kann in Sonderfällen sinnvoll sein, etwa bei Konzernen mit vielen Auslandsstandorten oder akutem Personalengpass. Es verursacht jedoch dauerhafte Kosten, längere Kommunikationswege und einen Informationsabfluss aus dem Unternehmen.

Für die meisten Unternehmen ist deshalb eine professionell aufgesetzte, digitale interne Meldestelle die wirtschaftlich und compliance-strategisch bessere Wahl. Sie erfüllt alle gesetzlichen Anforderungen an Vertraulichkeit, Fristen und Dokumentation, ohne den Aufbau zusätzlicher Personalstrukturen und ohne die Abhängigkeit von einem externen Dienstleister.

Das HinSchG im Kurzüberblick: Wer ist verpflichtet?

Das deutsche Hinweisgeberschutzgesetz setzt die EU-Whistleblower-Richtlinie um. Es trat am 2. Juli 2023 in Kraft.

Die Pflicht zur internen Meldestelle gilt für:

• Unternehmen ab 250 Beschäftigten: seit 2. Juli 2023
• Unternehmen mit 50 bis 249 Beschäftigten: seit 17. Dezember 2023 (§ 42 HinSchG)
• öffentliche Stellen sowie Städte und Gemeinden über 10.000 Einwohner
• bestimmte regulierte Branchen (z. B. Finanzdienstleister) unabhängig von der Beschäftigtenzahl (§ 12 Abs. 3 HinSchG)

Drei Organisationsformen einer internen Meldestelle

Nach § 14 Abs. 1 HinSchG stehen Unternehmen drei Wege offen:

1. eine beim Beschäftigungsgeber beschäftigte Person,
2. eine Arbeitseinheit aus mehreren Beschäftigten, oder
3. ein Dritter, der mit den Aufgaben betraut wird (Outsourcing).

„Extern" ist nicht gleich „extern" - wichtige Abgrenzung

In der Praxis werden zwei Konzepte oft verwechselt:

1. Externe Meldestelle nach §§ 19–24 HinSchG (Behörde): Die zentrale externe Meldestelle des Bundes ist beim Bundesamt für Justiz (BfJ) angesiedelt (§ 19). Für den Finanzsektor ist die BaFin zuständig (§ 21), für Wettbewerbsverstöße das Bundeskartellamt (§ 22). Hinweisgebende haben ein Wahlrecht zwischen interner und externer Meldung.
2. Outsourcing der internen Meldestelle an einen Dritten (§ 14 Abs. 1 HinSchG): Hier wird die Meldestelle an einen Dienstleister übergeben, etwa Kanzlei, Compliance-Anbieter oder Ombudsperson.

Wenn im Folgenden von „externer Lösung" die Rede ist, ist Variante 2 gemeint: das Outsourcing der internen Meldestelle.

Anforderungen, die in beiden Modellen gelten

Egal ob intern oder ausgelagert, die Meldestelle muss folgende Pflichten erfüllen:

• Meldekanäle in Textform und mündlich (§ 16 Abs. 3)
• Eingangsbestätigung spätestens nach 7 Tagen (§ 17 Abs. 1 Nr. 1)
• Rückmeldung spätestens nach 3 Monaten, verlängerbar auf bis zu 6 Monate (§ 17 Abs. 2)
• Vertraulichkeit der Identität (§ 8)
• Unabhängigkeit und Fachkunde ohne Interessenkonflikte (§ 15)
• Dokumentation, Löschung 3 Jahre nach Verfahrensabschluss (§ 11 Abs. 5)
• Anonyme Meldungen sollen bearbeitet werden, ohne Pflicht zur Einrichtung anonymer Kanäle (§ 16 Abs. 1)

Interne Meldestelle: Vor- und Nachteile

Vorteile der internen Lösung

• Volle Kontrolle über sensible Informationen: Hinweise zu Korruption, Datenschutzvorfällen oder Geschäftsgeheimnissen bleiben im Haus. Das ist besonders relevant, da Meldungen häufig Geschäftsgeheimnisse berühren (§ 6 HinSchG).
• Tiefes Verständnis interner Abläufe: Eine interne Meldestelle kennt Strukturen, Prozesse und Risikobereiche, etwa in Einkauf, Vertrieb oder Datenschutz. Damit kann sie Stichhaltigkeit und Folgemaßnahmen oft schneller einschätzen.
• Schnelle Folgemaßnahmen und kürzere Entscheidungswege: Da die Verantwortung für das Abstellen eines Verstoßes ohnehin beim Unternehmen verbleibt (§ 14 Abs. 1 Satz 2 HinSchG), ist eine interne Bearbeitung näher an den nötigen Maßnahmen.
• Kultureffekt und Vertrauensaufbau: Ein gut geführtes internes Hinweisgebersystem sendet das Signal: Fehlverhalten wird ernst genommen, geprüft und fair behandelt. Das stärkt die psychologische Sicherheit und die Compliance-Kultur.
• Wertvolle Daten für das Risikomanagement: Meldungen zeigen, wo Kontrollen nicht greifen oder Schulungsbedarf besteht. Diese Informationen sind intern direkt nutzbar, ohne Umweg über einen Dienstleister.
• Wirtschaftlichkeit bei digitaler Lösung: Moderne digitale Meldesysteme erfüllen die Anforderungen an Vertraulichkeit (§ 8) und Zugriffsbeschränkung (§ 16 Abs. 2) und entlasten interne Mitarbeitende durch Fristenkontrolle, Dokumentation und sichere Kanäle. So lassen sich gesetzliche Anforderungen ohne Personalaufbau und ohne Outsourcing erfüllen.

Nachteile der internen Lösung

• Fachkunde muss vorhanden sein: § 15 Abs. 2 HinSchG verlangt notwendige Fachkunde. Ohne Schulung und Prozesse droht die Verantwortliche Person überfordert zu sein.
• Interessenkonflikte vermeiden: Vor allem in kleineren Unternehmen ist die Trennung zwischen HR, Geschäftsführung und Meldestelle nicht immer leicht. § 15 Abs. 1 HinSchG verbietet aber Interessenkonflikte.
• Vertrauen muss aktiv aufgebaut werden: Mitarbeitende müssen darauf vertrauen können, dass ihre Identität geschützt wird. Eine schlecht kommunizierte interne Meldestelle wird selten genutzt.

Externe Lösung (Outsourcing): Vor- und Nachteile

Vorteile des Outsourcings

• Strukturelle Distanz zur Belegschaft: Ein Dritter steht außerhalb interner Hierarchien. Das kann Hemmschwellen senken.
• Spezialisierte Fachkunde von Beginn an: Dienstleister bringen geschultes Personal mit. Eine als Ombudsperson beauftragte Anwaltskanzlei kann zudem berufsrechtliche Verschwiegenheitspflichten einbringen.
• Entlastung interner Ressourcen: KMU ohne Compliance-Funktion sparen Personalaufbau.

Nachteile des Outsourcings

• Verantwortung bleibt trotzdem im Unternehmen: § 14 Abs. 1 Satz 2 HinSchG: Die Beauftragung eines Dritten entbindet nicht von der Pflicht, geeignete Maßnahmen selbst zu ergreifen. Das Outsourcing erspart also nur einen Teil der Arbeit.
• Doppelte Schnittstelle, doppelter Abstimmungsbedarf: Jede Meldung muss vom Dienstleister an das Unternehmen übergeben werden, das dann handeln muss. Das verlängert Kommunikationswege.
• Informationsabfluss aus dem Unternehmen: Sensible Inhalte, inklusive Geschäftsgeheimnissen (§ 6 HinSchG), verlassen das Haus.
• Wissenslücke über interne Strukturen: Externe Anbieter kennen Unternehmenskultur und Prozesse anfangs nicht.
• Laufende Kosten und Vertragsbindung: Pro Mitarbeiter oder pauschal anfallende Gebühren können dauerhaft entstehen, auch in Zeiten ohne Meldungen.
• Keine direkten Risikodaten für das eigene Compliance-Management: Erkenntnisse über Risiko-Cluster gelangen nur gefiltert ins Unternehmen.

Vergleich: Interne vs. externe Meldestelle

Beide Modelle stehen rechtlich gleichwertig zur Verfügung, denn § 14 Abs. 1 HinSchG erlaubt sowohl die interne Lösung als auch das Outsourcing an einen Dritten. Auch die Verantwortung für Folgemaßnahmen bleibt in beiden Fällen beim Unternehmen, denn die Beauftragung eines Dritten entbindet nicht von dieser Pflicht (§ 14 Abs. 1 Satz 2 HinSchG).

Die Unterschiede liegen woanders. Eine interne Meldestelle kennt die Strukturen, Risikobereiche und die Kultur des Unternehmens. Das ist Wissen, das ein externer Dienstleister erst aufbauen muss. Sensible Inhalte wie Geschäftsgeheimnisse (§ 6 HinSchG) bleiben im Haus, während sie beim Outsourcing die Unternehmensgrenze überschreiten und der vertragliche Schutz greifen muss.

Bei der Fachkunde dreht sich das Bild: Der Dienstleister einer externen Meldestelle bringt sie mit, intern muss sie nach § 15 Abs. 2 HinSchG aktiv aufgebaut werden. Dafür sind die Reaktionswege intern kürzer: Meldestelle und Verantwortliche sitzen im selben Haus, was schnelle Folgemaßnahmen erleichtert. Beim Outsourcing entsteht eine zusätzliche Schnittstelle, über die jede Meldung läuft.

Ein oft übersehener Punkt: Erkenntnisse aus Meldungen sind wertvolle Risikoinformationen für das eigene Compliance-Management. Intern stehen sie unmittelbar zur Verfügung, beim Outsourcing gelangen sie nur gefiltert zurück ins Unternehmen.

Wirtschaftlich entstehen bei einer internen Lösung vor allem einmalige Aufbaukosten plus Software-Kosten. Beim Outsourcing fallen dagegen dauerhafte Gebühren an, auch in Zeiten ohne Meldungen.

Wann ist die interne Lösung die richtige Wahl?

Eine interne Meldestelle, idealerweise mit professioneller digitaler Software, passt besonders, wenn:

• das Unternehmen sensible Brancheninformationen oder Geschäftsgeheimnisse schützen will,
• bereits Compliance-, HR- oder Rechtsstrukturen vorhanden sind, die mit Schulung ausgebaut werden können,
• schnelle Folgemaßnahmen und kurze Wege wichtig sind,
• Meldungen als Risikoinformation für das eigene Compliance-Management genutzt werden sollen,
• ein dauerhafter Personalaufbau vermieden werden soll, durch ein digitales System, das Fristen, Dokumentation und Vertraulichkeit automatisiert.

Wann lohnt sich ein Outsourcing an Dritte?

Outsourcing kann in Sonderfällen sinnvoll sein, etwa bei:

• Konzernstrukturen mit vielen Auslandsstandorten und sprachlicher Vielfalt,
• akutem Personalengpass ohne Möglichkeit, eine geeignete Person zu benennen,
• der Notwendigkeit, eine Ombudsperson mit anwaltlicher Verschwiegenheit einzusetzen.

Risiken bei Nichteinhaltung: Welche Bußgelder drohen wirklich?

Wer die Vorgaben des Hinweisgeberschutzgesetzes (HinSchG) ignoriert, geht erhebliche finanzielle und rechtliche Risiken ein. Das Gesetz stuft Pflichtverletzungen als Ordnungswidrigkeiten ein und sieht einen gestaffelten Bußgeldkatalog vor, der sich nach der Schwere des Verstoßes richtet.

Das teure Versäumnis: Keine interne Meldestelle eingerichtet

Unternehmen, die trotz gesetzlicher Verpflichtung keine interne Meldestelle einrichten oder betreiben (§ 12 Abs. 1 Satz 1 HinSchG), müssen mit einer Geldbuße von bis zu 20.000 Euro rechnen (§ 40 Abs. 2 Nr. 2 HinSchG).

Diese Pflicht ist bereits für alle betroffenen Unternehmen voll in Kraft:

• Seit dem 2. Juli 2023 für Betriebe mit 250 oder mehr Beschäftigten.
• Seit dem 17. Dezember 2023 auch für kleinere Unternehmen mit 50 bis 249 Beschäftigten.

Weitere empfindliche Sanktionen im Überblick

Neben der reinen Einrichtungspflicht drohen bei Fehlern im laufenden Betrieb oder bei der Missachtung von Schutzrechten noch weitaus drastischere Strafen.

Sollten im Unternehmen Meldungen behindert oder die dafür notwendige Kommunikation blockiert werden, stellt dies einen schwerwiegenden Verstoß nach § 7 Absatz 2 HinSchG dar, der mit einer Geldbuße von bis zu 50.000 Euro geahndet werden kann.

Ebenso hart greift der Gesetzgeber durch, wenn der Schutz des Whistleblowers missachtet wird: Werden Repressalien, wie etwa Kündigungen, Abmahnungen, Degradierungen oder gezieltes Mobbing, gegen hinweisgebende Personen ausgeübt oder auch nur angedroht, droht dem Verantwortlichen gemäß § 36 Absatz 1 Satz 1 HinSchG ebenfalls ein Bußgeld von bis zu 50.000 Euro.

Derselbe Strafrahmen von bis zu 50.000 Euro wird fällig, wenn das Vertraulichkeitsgebot nach § 8 Absatz 1 Satz 1 HinSchG vorsätzlich oder leichtfertig verletzt wird, indem die Identität des Hinweisgebers unbefugt an Dritte weitergegeben wird.

Selbst wenn diese Identitätsdaten nicht vorsätzlich, sondern lediglich durch eine Unachtsamkeit oder unzureichende Sicherheitsvorkehrungen im Umgang mit den Beteiligten offengelegt werden, liegt eine fahrlässige Vertraulichkeitsverletzung nach § 40 Absatz 4 HinSchG vor. Diese Nachlässigkeit kann immer noch mit einer Geldbuße von bis zu 10.000 Euro belegt werden.

Zivilrechtliche Haftung und Reputationsverlust

Zusätzlich zu den behördlichen Bußgeldern dürfen Unternehmen die zivilrechtlichen Folgen nicht unterschätzen. Erleidet eine hinweisgebende Person durch eine Identitätsoffenlegung oder durch Repressalien einen Schaden (z. B. Karriereverlust oder psychische Belastung), ist der Arbeitgeber zum Schadensersatz verpflichtet.

Fazit

Die Wahl zwischen interner vs. externer Meldestelle ist mehr als eine organisatorische Entscheidung. Eine interne Lösung behält Kontrolle, schützt sensible Informationen, liefert wertvolle Risikodaten und ermöglicht schnelle Folgemaßnahmen.

Outsourcing kann in Sonderfällen sinnvoll sein, etwa bei sehr kleinen oder international stark verteilten Strukturen. Doch die Verantwortung bleibt nach § 14 Abs. 1 Satz 2 HinSchG ohnehin beim Unternehmen. Eine professionell aufgesetzte digitale interne Meldestelle ist deshalb für die meisten Unternehmen die wirtschaftlichere und compliance-stärkere Lösung.