Hinweisgebersystem-Richtlinie – welche Unternehmen benötigen eine und was muss sie enthalten?

Von Mallbutiken · Fakten geprüft am 30. September 2026 · ca. 9 Minuten Lesezeit

Betreiber, die zu Beginn des Kalenderjahres 50 oder mehr Arbeitnehmer beschäftigten, müssen gemäß dem Hinweisgeberschutzgesetz interne Meldekanäle und Verfahren zur Meldung und Nachverfolgung einrichten. Das Gesetz schreibt nicht vor, dass das Dokument zwingend „Hinweisgeberrichtlinie“ heißen muss, aber die Verfahren müssen schriftlich dokumentiert werden und das Unternehmen benötigt klare Informationen darüber, wie das System funktioniert.

Welche Unternehmen müssen interne Hinweisgeberkanäle haben?

Gemäß Kapitel 5 § 2 des Gesetzes (2021:890) zum Schutz von Personen, die Verstöße melden, gilt die Verpflichtung für Betreiber, die zu Beginn des Kalenderjahres mindestens 50 Arbeitnehmer beschäftigten.

Die schwedische Arbeitsschutzbehörde (Arbetsmiljöverket) gibt an, dass alle Beschäftigungsformen zählen, wenn die Anzahl der Arbeitnehmer ermittelt wird. Es ist daher wichtig, die Einschätzung auf der Grundlage des tatsächlichen Personalbestands zu Jahresbeginn vorzunehmen und nicht nur anhand der Anzahl der unbefristet Beschäftigten.

50–249 Arbeitnehmer

Private Betreiber mit 50–249 Arbeitnehmern dürfen unter bestimmten Voraussetzungen interne Meldekanäle und bestimmte Verfahren gemeinsam nutzen. Dies entbindet das eigene Unternehmen nicht von der Verantwortung, die gesetzlichen Anforderungen zu erfüllen.

Weniger als 50

Die allgemeine Verpflichtung in Kapitel 5 § 2 trifft keine Unternehmen unter der Grenze. Ein kleineres Unternehmen kann dennoch freiwillig einen Meldekanal einrichten oder je nach Branche anderen speziellen Regeln unterliegen. Wenn ein System freiwillig eingeführt wird, sollte klar sein, wie Meldungen behandelt werden und welche Rechte und Einschränkungen gelten.

Hinweisgeberrichtlinie und Melderoutine erfüllen unterschiedliche Funktionen

Das Gesetz konzentriert sich darauf, dass die Kanäle und Verfahren funktionieren und dokumentiert sind – nicht auf die exakte Bezeichnung des Dokuments. Für den Anwender ist es oft klarer, wenn Richtlinie und interne Bearbeitungsroutine getrennt werden.

Wie sollen interne Meldekanäle funktionieren?

Die Kanäle sollen es ermöglichen, sowohl schriftlich als auch mündlich und – falls die meldende Person dies verlangt – innerhalb einer angemessenen Frist bei einem physischen Treffen zu melden.

Bestätigung innerhalb von sieben Tagen

Die meldende Person sollte als Grundregel innerhalb von sieben Tagen eine Bestätigung über den Eingang der Meldung erhalten. Ausnahmen gelten unter anderem dann, wenn die Person auf die Bestätigung verzichtet hat oder der Empfänger Grund zu der Annahme hat, dass eine Bestätigung die Identität der Person enthüllen würde.

Rückmeldung innerhalb von drei Monaten

Eine Rückmeldung über Folgemaßnahmen und deren Gründe ist in angemessenem Umfang innerhalb von drei Monaten ab der Eingangsbestätigung zu geben. Wenn keine Bestätigung erfolgt ist und dies nicht der meldenden Person zuzurechnen ist, läuft die Frist gemäß der speziellen Regelung des Gesetzes ab sieben Tagen nach Eingang.

Wer darf Hinweisgebermeldungen bearbeiten?

Der Betreiber muss unabhängige und eigenständige Personen oder Einheiten ernennen, die befugt sind, Meldungen entgegenzunehmen, Kontakt mit meldenden Personen zu halten, das Gemeldete nachzuverfolgen und Rückmeldung zu geben.

Dies können interne Personen oder extern Beauftragte sein. Die Organisation muss gleichzeitig Vorkehrungen für Befangenheits- und Interessenkonflikte treffen. Eine Meldung über die Person, die normalerweise Fälle bearbeitet, muss an jemand anderen weitergeleitet werden können.

Zugriff begrenzen

Identitätsdaten und andere sensible Falldaten sollten nicht der gesamten HR-, Management- oder IT-Organisation zugänglich sein. Der Zugriff ist auf befugte Personen zu beschränken, und die Systeme müssen so gestaltet sein, dass Vertraulichkeit und Nachvollziehbarkeit gewahrt bleiben.

Hinweisgebersysteme und personenbezogene Daten

Hinweisgeberfälle enthalten häufig Daten sowohl über die meldende Person als auch über die beschuldigten Personen und andere Betroffene. Das Hinweisgeberschutzgesetz enthält spezielle Regeln zur Verarbeitung personenbezogener Daten, die mit der DSGVO interagieren.

Die Datenschutzbehörde (Integritetsskyddsmyndigheten) stellt unter anderem fest, dass nur personenbezogene Daten verarbeitet werden dürfen, die für den Folgemaßnahmenfall notwendig sind, dass offensichtlich irrelevante Daten umgehend gelöscht werden müssen und dass personenbezogene Daten als Grundregel nicht länger als zwei Jahre nach Abschluss des Falls aufbewahrt werden dürfen. Besondere Archivregeln können für öffentliche Einrichtungen gelten.

Wenn ein externer Anbieter den Kanal betreibt und personenbezogene Daten in Ihrem Auftrag verarbeitet, müssen die Rollen gemäß DSGVO bewertet werden. Lesen Sie, wann ein Auftragsverarbeitungsvertrag erforderlich ist.

Was sollte eine Hinweisgeberrichtlinie und -routine enthalten?

• Zweck und Umfang der Meldungen.
• Wer die Kanäle nutzen kann.
• Wie schriftliche, mündliche und physische Meldungen erfolgen.
• Kontaktwege und technische Kanäle.
• Welche Personen/Einheiten befugt sind.
• Umgang mit Unabhängigkeit und Befangenheit.
• Bestätigung, Nachverfolgung und Rückmeldung.
• Schutz von Identität und anderen Daten.
• Regeln gegen Repressalien und Informationen zum Schutz.
• Personenbezogene Daten, Zugriff, Löschung und Dokumentation.
• Wie externe Meldekanäle bei zuständigen Behörden genutzt werden können.
• Wie Fälle abgeschlossen, intern gemeldet und auf aggregierter Ebene nachverfolgt werden.

Informieren Sie über mehr als nur den internen Link

Das Gesetz erfordert klare und leicht zugängliche Informationen darüber, wie die interne Meldung abläuft, wie Meldungen an die externen Kanäle der zuständigen Behörden gemacht werden können und relevante Informationen u. a. zur Informantenfreiheit, sofern zutreffend.

Häufige Fehler

• Ein allgemeiner HR-Posteingang wird als Kanal genutzt. Befugnisse und Unabhängigkeit können unklar werden.
• Nur Webformulare werden angeboten. Das Gesetz fordert mehrere Meldewege.
• Niemand ist für die Fristen verantwortlich. Die sieben Tage und drei Monate müssen operativ nachverfolgbar sein.
• Zu viele Personen haben Zugriff auf den Fall. Begrenzen Sie Befugnisse und dokumentieren Sie Verantwortlichkeiten.
• Die Richtlinie verspricht in allen Situationen absolute Anonymität. Formulieren Sie Schutz und Vertraulichkeit korrekt auf Grundlage des tatsächlichen Systems und Gesetzes.
• Personenbezogene Daten werden ohne Plan gespeichert. Definieren Sie Löschung und rechtliche Handhabung von Anfang an.

Müssen Sie Richtlinien und Bearbeitung dokumentieren?

Das Paket von Mallbutiken enthält eine Hinweisgeberrichtlinie, Melde- und Nachverfolgungsroutine, Meldeformular, Untersuchungsprotokoll und Implementierungscheckliste in Word/PDF. Preis im Shop: 199 kr.

Hinweisgeber-Paket ansehen

Häufig gestellte Fragen

Muss das Unternehmen eine Richtlinie haben, wenn es 50 Angestellte hat?

Das Gesetz erfordert interne Meldekanäle und Verfahren sowie eine schriftliche Dokumentation der Verfahren. Es erfordert nicht, dass ein spezielles Dokument die Überschrift „Richtlinie“ tragen muss.

Kann HR alleine alle Meldungen bearbeiten?

Nicht automatisch. Die befugten Personen oder Einheiten müssen im Sinne des Gesetzes unabhängig und eigenständig sein. Die Organisation muss auch Befangenheiten und Interessenkonflikte bewältigen.

Darf man einen externen Hinweisgeberdienst nutzen?

Ja, das Gesetz erlaubt es, dass befugte Personen bei einem Unternehmen angestellt sind, das mit der Bearbeitung beauftragt wurde. Der Betreiber muss dennoch sicherstellen, dass die gesetzlichen Anforderungen und der Datenschutz erfüllt sind.