Ratgeber
Hinweisgebersysteme vergleichen: 10 Kriterien nach HinSchG
Ein Hinweisgebersystem muss vor allem die Pflichten aus dem Hinweisgeberschutzgesetz tragen. Diese zehn Kriterien machen Anbieter vergleichbar, mit der Antwort von portalIO Trust zu jedem Punkt.
Die 10 Kriterien im Überblick
Gesetzliche Anforderung, worauf Sie achten sollten und wie portalIO Trust sie umsetzt.
| Kriterium | Anforderung und Prüffrage | portalIO Trust |
|---|---|---|
| Meldekanäle | Meldungen müssen mündlich oder in Textform möglich sein, auf Wunsch auch in einem persönlichen Treffen (§ 16 Abs. 3 HinSchG). | Web-Formular und E-Mail in jedem Paket, Telefon und Post ab Business. Ein persönliches Treffen lässt sich vereinbaren. |
| Anonymität | Anonyme Meldungen sind nicht vorgeschrieben, sollen aber bearbeitet werden. Entscheidend ist, ob Rückfragen trotzdem möglich sind. | Meldung ohne Konto. Über Zugangscode und PIN bleibt die hinweisgebende Person für Rückfragen erreichbar, ohne ihren Namen zu nennen. |
| Fristen | Eingangsbestätigung innerhalb von 7 Tagen, Rückmeldung zu Folgemaßnahmen innerhalb von 3 Monaten (§ 17 HinSchG). | Beide Fristen werden je Fall berechnet, mit Erinnerung. Ab Business zeigt ein SLA-Dashboard alle Fristen und eskaliert. |
| Vertraulichkeit | Die Identität darf nur den zuständigen Personen bekannt werden (§ 8 HinSchG). Prüfen Sie, wer technisch Zugriff hat. | Zugriff nur mit Trust-Rolle. Meldeinhalte und Identitätsangaben sind feldweise mit AES-256-GCM verschlüsselt. |
| Zuständigkeiten | Die Meldestelle muss unabhängig und fachkundig arbeiten. Jeder Fall braucht eine benannte Zuständigkeit und Vertretung. | Fallbearbeiter und Compliance-Beauftragte als eigene Rollen. Ab Business verteilt eine Round-Robin-Zuweisung neue Fälle. |
| Dokumentation | Jede Meldung ist unter Wahrung der Vertraulichkeit zu dokumentieren (§ 11 HinSchG). | Jeder Bearbeitungsschritt steht im Audit-Log. Fälle und Verläufe lassen sich für Prüfungen exportieren. |
| Löschung | Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht (§ 11 Abs. 5 HinSchG). | Automatische Löschung nach einer einstellbaren Frist, voreingestellt sind drei Jahre. |
| Hosting und Vertrag | Hinweise enthalten besonders schützenswerte Daten. Achten Sie auf Serverstandort, Zertifizierung und Auftragsverarbeitungsvertrag. | Server in Deutschland, die AIDA ORGA Dortmund GmbH ist nach ISO 27001 zertifiziert. Einen AVV stellen wir bereit. |
| Mehrere Gesellschaften | Unternehmen mit 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle betreiben (§ 14 Abs. 2 HinSchG). | Gemeinsame Meldestelle als Add-on ab Business: eigenes Meldeportal je Gesellschaft, ein zentrales Fallteam. |
| Kosten | Vergleichen Sie die Kosten über 12 bis 36 Monate, einschließlich Gebühren pro Fall, Einrichtung und Zusatzkanälen. | Basic 74,90 €, Business 174,90 € im Monat zzgl. MwSt. Jahrespreis: 10 Monate. Keine Gebühren pro Fall. |
Erst die Pflichten, dann die Funktionen
Seit dem 17. Dezember 2023 müssen alle Unternehmen ab 50 Beschäftigten eine interne Meldestelle betreiben. Angeboten werden dafür spezialisierte Hinweisgebersysteme, Module in HR- oder Compliance-Suiten und angepasste Ticket-Systeme.
Funktionslisten lassen sich schlecht vergleichen. Besser ist es, jeden Anbieter an denselben gesetzlichen Anforderungen zu messen und zu fragen, wie er sie im Alltag umsetzt. Die Tabelle oben fasst die zehn wichtigsten Kriterien zusammen.
So gehen Sie bei der Auswahl vor
Klären Sie mit Legal, HR und Betriebsrat, wer die Meldestelle besetzt und welche Kanäle Sie anbieten wollen. Wählen Sie dann zwei oder drei Anbieter anhand der Kriterien aus.
Spielen Sie in der Vorführung einen echten Fall durch: Eingang, Bestätigung, Rückfrage an die hinweisgebende Person, Vertretung und Rückmeldung. So sehen Sie, ob das System den Ablauf trägt. Zum Abschluss gehören Auftragsverarbeitungsvertrag und Löschkonzept in den Vertrag.
Häufige Fragen
Weitere Trust-Leitfäden
Die Kriterien am eigenen Fall prüfen
Im Einführungsgespräch gehen wir Ihre Kanäle, Rollen und Fristen durch und zeigen den Ablauf in portalIO Trust.