Zum Hauptinhalt springen

Hinweisgebersystem nach § 12 HinSchG

S+P Whistleblowing Portal

Ihr digitales Hinweisgebersystem für rechtssichere, anonyme Meldungen – wahlweise als Softwarelösung für Ihre eigene Meldestelle oder mit vollständiger Auslagerung an unser Compliance-Team.

Arbeitgeber mit in der Regel mindestens 50 Beschäftigten müssen nach § 12 HinSchG eine interne Meldestelle einrichten und betreiben; Unternehmen des Finanzsektors trifft diese Pflicht unabhängig von der Beschäftigtenzahl. Das S+P Whistleblowing Portal deckt die Anforderungen an Meldekanäle, Fristen und Vertraulichkeit aus §§ 8, 12 und 17 HinSchG technisch und organisatorisch ab.

Sie können die Meldestelle mit unserer Software selbst betreiben oder den Betrieb vollständig an unser spezialisiertes Compliance-Team delegieren. Auch eine ausgelagerte interne Meldestelle bleibt rechtlich eine interne Meldestelle nach § 14 HinSchG – keine externe Meldestelle bei einer Behörde nach §§ 19 ff. HinSchG.

  • 100 % Anonymität durch stylometrische Anpassung Ihrer Meldungen und Ende-zu-Ende-Verschlüsselung.
  • Hosting ausschließlich im Rechenzentrum der DATEV eG.
  • Wahlweise Softwarelösung oder vollständige Auslagerung Ihrer internen Meldestelle.
  • Bearbeitung durch unabhängige, von Interessenkonflikten freie Fallbearbeiter nach § 14 Abs. 2 HinSchG.

Portal anfragenFunktionsumfang ansehen

Rechtsgrundlagen

  • § 12 HinSchG
  • § 17 HinSchG
  • § 14 Abs. 2 HinSchG
  • § 36 HinSchG
  • § 40 HinSchG

Dokumentationshinweis: Jede Meldung wird mit Zeitstempel, Fristenstatus und Bearbeitungsverlauf dokumentiert und drei Jahre nach Abschluss des Verfahrens gelöscht (§ 11 HinSchG). Prüfer und Aufsicht erhalten auf Anforderung einen strukturierten Nachweis über die Einhaltung der gesetzlichen Fristen.

Anonymität und Sicherheit

Vertraulichkeit ist keine Zusatzfunktion, sondern gesetzliche Pflicht nach § 8 HinSchG. Das S+P Whistleblowing Portal setzt diese Pflicht technisch um.

Stylometrische Anonymisierung

Meldetexte werden automatisch angepasst: Satzzeichen werden entfernt, sämtliche Wörter kleingeschrieben. Das erschwert die Identifizierung der hinweisgebenden Person anhand ihres individuellen Schreibstils erheblich.

Schreibstil-Schutz

Ende-zu-Ende-Verschlüsselung

Meldungen und die gesamte Kommunikation zwischen Hinweisgeber und Meldestelle werden durchgängig verschlüsselt übertragen und gespeichert.

Verschlüsselung

Keine Identifizierungsdaten

Fallbearbeiter erhalten keine Informationen, die eine Identifizierung der meldenden Person ermöglichen, sofern diese anonym bleiben möchte.

Anonymität

Hosting im DATEV-Rechenzentrum

Die Anwendung wird ausschließlich im Rechenzentrum der DATEV eG betrieben. DATEV verantwortet die physikalische Sicherheit auf Infrastrukturebene.

Physikalische Sicherheit

DSGVO-konforme Verarbeitung

Die Datenverarbeitung erfüllt die Anforderungen der DSGVO sowie einschlägige Data-Residency-Vorgaben, auch für Unternehmen mit internationaler Präsenz.

Datenschutz

Beschränkter Zugriff

Zugriff auf Meldungen haben ausschließlich die für die Bearbeitung zuständigen Personen und die sie dabei unterstützenden Personen, wie es § 12 HinSchG vorsieht.

Zugriffskontrolle

Warum ein digitales Hinweisgebersystem jetzt Pflicht ist

Drei Entwicklungen treffen Unternehmen gleichzeitig – jede für sich ließe sich abfangen, in der Summe wird es eng.

  1. Eine Pflicht ohne Schwellenwert für den Finanzsektor

    Während die allgemeine Pflicht zur Einrichtung einer internen Meldestelle grundsätzlich an eine Mindestbeschäftigtenzahl von 50 Personen anknüpft, gilt sie für Unternehmen des Finanz- und Wertpapiersektors unabhängig von der Unternehmensgröße. Gerade kleinere Institute unterschätzen deshalb oft, dass sie bereits jetzt zur Einrichtung verpflichtet sind.

    § 12 HinSchG – keine Schwelle für Finanzunternehmen

  2. Fristen, die ab dem ersten Tag laufen

    Die interne Meldestelle muss den Eingang einer Meldung spätestens nach sieben Tagen bestätigen und der hinweisgebenden Person innerhalb von drei Monaten eine Rückmeldung zu Folgemaßnahmen geben. Ohne ein System, das diese Fristen automatisch überwacht, verstreichen sie in der Praxis leicht unbemerkt.

    § 17 HinSchG – 7-Tage- und 3-Monats-Frist

  3. Bußgelder, die auch bei fehlender Einrichtung greifen

    Wer keine interne Meldestelle einrichtet oder betreibt, begeht eine Ordnungswidrigkeit. Bußgelder drohen ebenso bei Behinderung von Meldungen, bei Verletzung der Vertraulichkeit und bei Ergreifen einer Repressalie gegenüber der hinweisgebenden Person – mit Beweislastumkehr zulasten des Arbeitgebers.

    § 40 HinSchG – Bußgelder bis 50.000 Euro

Was das Portal übernimmt – und was bei Ihrem Unternehmen bleibt

Unabhängig davon, ob Sie die Software selbst betreiben oder den Betrieb an uns delegieren, gilt ein fester Grundsatz: Das Portal dokumentiert und schützt, Ihr Unternehmen entscheidet über Folgemaßnahmen.

Das S+P Whistleblowing Portal übernimmt

  • Bereitstellung sicherer, mehrsprachiger Meldekanäle
  • Stylometrische Anonymisierung und Ende-zu-Ende-Verschlüsselung
  • Dokumentation jeder Meldung inklusive automatischer Fristenüberwachung
  • Sichere, anonyme Kommunikation zwischen Hinweisgeber und Meldestelle
  • Löschung der Dokumentation nach Ablauf der gesetzlichen Frist (§ 11 HinSchG)

Ihr Unternehmen entscheidet und verantwortet

  • Einrichtung der internen Meldestelle als gesetzliche Pflicht nach § 12 HinSchG
  • Benennung unabhängiger, von Interessenkonflikten freier Fallbearbeiter (§ 14 Abs. 2 HinSchG) – bei Plan 2 durch das S+P Compliance-Team
  • Entscheidung über einzuleitende Folgemaßnahmen nach Prüfung einer Meldung
  • Fristgerechte Rückmeldung an die hinweisgebende Person
  • Letztverantwortung für die Einhaltung des Hinweisgeberschutzgesetzes

Auch eine an S+P ausgelagerte interne Meldestelle bleibt eine interne Meldestelle nach § 14 HinSchG – keine externe Meldestelle im Sinne der §§ 19 ff. HinSchG bei einer Behörde. Die Auslagerung verlagert den Betrieb der Meldestelle, nicht die gesetzliche Verantwortung Ihres Unternehmens.

Funktionsumfang

Der Umfang wird bei Vertragsabschluss festgelegt. Die folgenden Bausteine stehen in beiden Modellen zur Verfügung, das Fallmanagement zusätzlich bei vollständiger Auslagerung.

Meldekanäle

Mehrere Wege zur Meldestelle, zentral gebündelt.

  • Digitales Meldeportal, für mobile Nutzung optimiert
  • Zusätzliche Meldewege per Telefon, E-Mail und Post
  • Möglichkeit zur persönlichen Meldung auf Wunsch der hinweisgebenden Person
  • Zentrale Bündelung aller eingehenden Meldungen in einem System
  • Upload von Dateianhängen als Beleg zur Meldung
  • Option auf ein persönliches Treffen mit der Meldestelle

Anonymität und Datensicherheit

Technische Umsetzung der Vertraulichkeitspflicht aus § 8 HinSchG.

  • Stylometrische Anonymisierung eingehender Meldetexte
  • Ende-zu-Ende-Verschlüsselung von Meldung und Kommunikation
  • Verschlüsselung bereits im Browser der meldenden Person
  • Hosting ausschließlich im Rechenzentrum der DATEV eG
  • Beschränkung des Zugriffs auf autorisierte Personen
  • DSGVO-konforme Datenverarbeitung mit Data-Residency-Optionen

Fallmanagement

Auswertung und Erst-Beurteilung eingehender Meldungen.

  • Auswertung und Erst-Beurteilung jeder eingehenden Meldung
  • Prüfung, ob der gemeldete Sachverhalt in den sachlichen Anwendungsbereich nach § 2 HinSchG fällt
  • Prüfung der Stichhaltigkeit der Meldung
  • Aufrechterhaltung des Kontakts mit der hinweisgebenden Person
  • Dokumentation der Bewertung und der vorgeschlagenen weiteren Schritte
  • Weiterleitung an die zuständige Stelle in Ihrem Unternehmen zur Entscheidung

Abgrenzung: Das S+P Compliance-Team wertet aus und bewertet den Sachverhalt vor. Die Entscheidung über Folgemaßnahmen und deren Umsetzung trifft Ihr Unternehmen.

Fristenmanagement und Dokumentation

Fristen, die überwacht werden, statt übersehen zu werden.

  • Automatische Überwachung der Eingangsbestätigung binnen sieben Tagen nach § 17 HinSchG
  • Automatische Überwachung der Rückmeldefrist von drei Monaten
  • Lückenlose Dokumentation von Eingang, Bearbeitung und Rückmeldung
  • Aufbewahrung der Dokumentation für die gesetzliche Dauer
  • Automatisierte Löschung nach Ablauf der Aufbewahrungsfrist (§ 11 HinSchG)
  • Bereitstellung von Auszügen für interne und externe Prüfungen

Mehrsprachigkeit und internationale Nutzung

Eine Lösung für Unternehmen mit Präsenz in mehreren Ländern.

  • Mehrsprachige Meldeoberfläche für internationale Belegschaften
  • Berücksichtigung unterschiedlicher Rechtsprechungen und Data-Residency-Anforderungen
  • Anbindung von Konzerngesellschaften an eine zentrale Plattform
  • Abstimmung mit lokalen Meldepflichten außerhalb Deutschlands
  • Einheitliche Dokumentationsstruktur über Ländergrenzen hinweg
  • Neutrale Beschreibung eingesetzter Systeme ohne Bindung an einen Anbieter

Auslagerungsoption (Plan 2)

Betrieb, Management und Überwachung durch unser Compliance-Team.

  • Vollständige Übernahme von Betrieb, Management und Überwachung der Meldestelle
  • Benennung qualifizierter, unabhängiger Fallbearbeiter
  • Direkte Berichtslinie an die von Ihnen benannte Stelle im Unternehmen
  • Regelmäßiges Reporting zu Meldeaufkommen, Fristen und offenen Fällen
  • Entlastung Ihrer internen Ressourcen für das Tagesgeschäft
  • Übergabedokumentation bei Beginn und Beendigung des Mandats

Zwei Modelle

Welches Modell passt, hängt davon ab, ob Sie bereits eine interne Meldestelle betreiben oder diese vollständig delegieren möchten. Ein Wechsel ist im Zeitverlauf möglich.

Plan 1: Software-Lizenz

Sie betreiben Ihre interne Meldestelle selbst und nutzen das S+P Whistleblowing Portal als technische Plattform für Meldekanäle, Anonymisierung und Dokumentation.

Eigenbetrieb

Plan 2: Outsourcing-Modul

S+P übernimmt Betrieb, Management und Überwachung Ihrer internen Meldestelle vollständig. Sie konzentrieren sich auf Ihr Kerngeschäft, die Entscheidung über Folgemaßnahmen bleibt bei Ihnen.

Vollständige Auslagerung

Ergänzung bestehender Systeme

Anbindung des Portals an bereits vorhandene Meldewege, etwa eine bestehende Telefon-Hotline oder ein etabliertes Compliance-Management-System.

Integration

Gruppenweite Lösung

Eine zentrale Plattform für mehrere Konzerngesellschaften, mit einheitlicher Dokumentation und lokal abgestimmten Meldewegen je Standort.

Konzernlösung

In vier Schritten zum einsatzbereiten Portal

Der Zeitbedarf hängt davon ab, ob bereits Meldewege bestehen und wie viele Standorte angebunden werden sollen.

1

Bedarf klären

Unternehmensgröße, bestehende Meldewege, Sprachen und Standorte werden aufgenommen. Ergebnis ist eine Empfehlung für Plan 1 oder Plan 2.

2

Einrichtung und Konfiguration

Das Portal wird eingerichtet, Meldekanäle konfiguriert und, bei Plan 2, die zuständigen Fallbearbeiter benannt.

3

Kommunikation und Schulung

Mitarbeitende werden über den neuen Meldeweg informiert, zuständige Personen werden zu Fristen und Vertraulichkeitspflichten geschult.

4

Betrieb und Monitoring

Laufender Betrieb mit automatischer Fristenüberwachung, Dokumentation und, bei Plan 2, regelmäßigem Reporting an Ihr Unternehmen.

Passt das Portal zu Ihrer Situation?

Im ersten Gespräch klären wir Unternehmensgröße, bestehende Meldewege und ob Plan 1 oder Plan 2 zu Ihnen passt. Ergebnis ist eine Einschätzung, wie schnell das Portal einsatzbereit ist.

Erstgespräch anfragenModelle vergleichen

Was sich damit im Haus verändert

Frühwarnsystem

Compliance-Risiken und Fehlverhalten werden erkannt, bevor sie sich zu größeren Schäden entwickeln.

Früherkennung

Reputationsschutz

Proaktives Handeln gegen Fehlverhalten reduziert das Risiko späterer Reputationsschäden.

Reputation

Rechtssicherheit

Fristen, Vertraulichkeit und Dokumentation entsprechen den Anforderungen des HinSchG, statt improvisiert zu werden.

Compliance

Vertrauen der Belegschaft

Ein glaubwürdig anonymer Meldeweg senkt die Hemmschwelle, Missstände überhaupt zu melden.

Vertrauen

Planbarer Aufwand

Bei Plan 2 sind Leistungsumfang und Vergütung vertraglich definiert. Aufbau und Pflege einer eigenen Meldestelle entfallen als Einzelposten.

Kalkulierbar

Internationale Skalierbarkeit

Eine Plattform für mehrere Standorte und Sprachen, statt für jedes Land eine eigene Lösung aufzubauen.

Skalierbarkeit

Für wen das Portal in Frage kommt

Adressiert sind Unternehmen, die nach § 12 HinSchG eine interne Meldestelle einrichten müssen – für den Finanzsektor unabhängig von der Beschäftigtenzahl.

  • Kreditinstitute
  • Wertpapierinstitute
  • Zahlungsinstitute
  • E-Geld-Institute
  • Kapitalverwaltungsgesellschaften
  • Kryptoverwahrer und Kryptodienstleister
  • FinTechs mit KWG- oder ZAG-Erlaubnis
  • Unternehmen ab 50 Beschäftigten außerhalb des Finanzsektors
  • Konzerne mit mehreren Gesellschaften und Standorten

Weitere Leistungen von S+P Compliance

Das S+P Whistleblowing Portal lässt sich mit weiteren Kontrollfunktionen kombinieren, insbesondere mit der Compliance-Funktion und dem Geldwäschebeauftragten, die Meldungen oft als Erstes prüfen.

Kontrollfunktion

Auslagerung Geldwäsche Officer

Geldwäscheprävention nach § 6 und § 7 GwG, mit Verdachtsmeldewesen und Transaktionsmonitoring.

Zur Leistung
Kontrollfunktion

Auslagerung Compliance Officer

Allgemeine Compliance-Funktion nach AT 4.4.2 MaRisk mit Überwachung, Beratung und Berichtswesen.

Zur Leistung
Dritte Verteidigungslinie

Auslagerung Interne Revision

Unabhängige Prüfungen nach risikoorientiertem Prüfungsplan, mit Feststellungen und umsetzbaren Empfehlungen.

Zur Leistung
Auslagerungssteuerung

Zentrales Auslagerungsmanagement

Steuerung und Kontrolle aller Auslagerungen einschließlich Auslagerungsregister, Risikoanalysen und Berichtswesen.

Zur Leistung
Meldewesen

Auslagerung XBRL-Meldewesen

Fristgerechte und formal geprüfte XBRL-Meldungen, ohne dass Sie eigene Meldesoftware betreiben müssen.

Zur Leistung
Operativer Betrieb

AML Operations

Operative Unterstützung bei Alert-Bearbeitung, Fallabschluss und Rückstandsabbau – auch kurzfristig und skalierbar.

Zur Leistung
Operativer Betrieb

KYC Operations

Kundensorgfaltspflichten im laufenden Betrieb: Onboarding, periodische Aktualisierung und Nachbearbeitung offener Fälle.

Zur Leistung
Dritte Verteidigungslinie

Outsourcing Internal Audit

Independent audits under a risk-based audit plan, with English-language reporting for international groups.

Zur Leistung

Häufige Fragen zum S+P Whistleblowing Portal

Ist eine ausgelagerte interne Meldestelle eine externe Meldestelle?

Nein. Ein Unternehmen, das nach § 12 HinSchG zur Einrichtung einer Meldestelle verpflichtet ist, kann nach § 14 Abs. 1 HinSchG einen Dritten als externen Meldestellenbeauftragten mit dem Betrieb betrauen. Diese ausgelagerte Meldestelle bleibt eine interne Meldestelle Ihres Unternehmens. Externe Meldestellen im Sinne der §§ 19 ff. HinSchG sind ausschließlich staatlich eingerichtete Stellen bei Behörden, die unabhängig von Unternehmen agieren.

Welche Unternehmen müssen eine interne Meldestelle einrichten?

Grundsätzlich Arbeitgeber mit in der Regel mindestens 50 Beschäftigten nach § 12 Abs. 1 HinSchG. Unternehmen des Finanzsektors – etwa Kreditinstitute, Wertpapierinstitute und Kapitalverwaltungsgesellschaften – trifft diese Pflicht unabhängig von der Beschäftigtenzahl. Unternehmen mit 50 bis 249 Beschäftigten können nach § 14 Abs. 2 HinSchG eine gemeinsame Meldestelle mit anderen Unternehmen betreiben.

Wie wird die Anonymität der hinweisgebenden Person sichergestellt?

Meldetexte werden stylometrisch angepasst, um eine Identifizierung anhand des Schreibstils zu erschweren: Satzzeichen werden entfernt, alle Wörter kleingeschrieben. Meldung und Kommunikation sind Ende-zu-Ende verschlüsselt, bereits im Browser der meldenden Person. Fallbearbeiter erhalten keine Identifizierungsdaten, sofern die Person anonym bleiben möchte. Zugriff haben ausschließlich die zuständigen Personen nach § 12 HinSchG.

Bleibt die Verantwortung für die Einhaltung des HinSchG bei unserem Unternehmen?

Ja. Auch bei vollständiger Auslagerung an Plan 2 bleibt die interne Meldestelle rechtlich Ihre Meldestelle. Die Einrichtung der Meldestelle, die Entscheidung über Folgemaßnahmen nach Prüfung einer Meldung und die fristgerechte Rückmeldung an die hinweisgebende Person bleiben Aufgaben Ihres Unternehmens. Die Auslagerung verlagert den Betrieb der Meldestelle, nicht die gesetzliche Verantwortung.

Was passiert, wenn wir keine interne Meldestelle einrichten?

Die Nichteinrichtung oder der Nichtbetrieb einer internen Meldestelle stellt nach § 40 HinSchG eine Ordnungswidrigkeit dar. Bußgelder drohen auch bei Behinderung von Meldungen, bei vorsätzlicher oder fahrlässiger Verletzung der Vertraulichkeit und bei Ergreifen einer Repressalie gegenüber der hinweisgebenden Person, wobei bei Repressalien die Beweislast zulasten des Arbeitgebers umgekehrt wird (§ 36 HinSchG).

Was unterscheidet Plan 1 von Plan 2?

Plan 1 umfasst die Softwarelösung: Sie betreiben Ihre interne Meldestelle selbst und nutzen das Portal für Meldekanäle, Anonymisierung, Fristenüberwachung und Dokumentation. Plan 2 ergänzt dies um das Outsourcing-Modul: Das S+P Compliance-Team übernimmt Betrieb, Fallmanagement und Überwachung der Meldestelle vollständig. Welches Modell passt, hängt von Ihrer vorhandenen internen Besetzung ab.

Ein Meldeweg, dem Mitarbeitende vertrauen

Ein wirksames Hinweisgebersystem trägt dann, wenn zwei Dinge zusammenkommen: eine Anonymität, die technisch belastbar ist, und eine Rollenverteilung, die im Prüfungsfall belegbar ist. S+P Compliance richtet beides gemeinsam mit Ihnen ein – der Betrieb kann verlagert werden, die gesetzliche Verantwortung bleibt bei Ihrem Unternehmen.

Angebot anfordernVerantwortungsabgrenzung prüfen

S+P Whistleblowing Portal
Achim Schulz
Ihr Ansprechpartner

Achim Schulz

Geschäftsführer S+P Compliance

Achim Schulz verantwortet die S+P Compliance Services. Da S+P als Dienstleister für regulierte Institute fortlaufend von Wirtschaftsprüfern und Aufsichtsbehörden geprüft wird, ist die Prüfungsexpertise seines Teams immer auf dem neuesten Stand. Ihr Vorteil: Er weiß aus der täglichen Praxis exakt, welche Nachweise und Kontrollen in aktuellen Audits zwingend gefordert werden. Diese tagesaktuelle Expertise fließt direkt in Ihre Auslagerung ein. Sie profitieren von zertifizierten Prozessen (IDW PS 951, ISO), die jedem Audit durch die BaFin oder Ihren Abschlussprüfer absolut sicher standhalten.

LinkedIn-Profil → · Redaktion & Experten → · S+P Compliance Services →