Interne Meldestelle auslagern: Ombudsperson, gemeinsame Stelle und Konzernlösung

Stand: 14. Oktober 2026

Kurz gesagt

Ja, ein Unternehmen darf einen Dritten, etwa eine externe Ombudsperson, mit den Aufgaben seiner internen Meldestelle beauftragen (§ 14 Abs. 1 HinSchG). Die Pflicht, einen festgestellten Verstoß abzustellen, bleibt aber beim beauftragenden Unternehmen. Unternehmen mit 50 bis 249 Beschäftigten können außerdem eine gemeinsame Meldestelle betreiben (§ 14 Abs. 2 HinSchG).

Drei Wege, eine interne Meldestelle zu besetzen

§ 14 Abs. 1 HinSchG lässt Unternehmen die Wahl, wer die Aufgaben der internen Meldestelle übernimmt:

eine beschäftigte Person, zum Beispiel aus Compliance, Recht oder Datenschutz,
eine Arbeitseinheit aus mehreren Beschäftigten, etwa ein kleines Team mit Vertretungsregel,
ein Dritter, also eine Person oder Organisation außerhalb des Unternehmens.

Die Gesetzesbegründung nennt als Beispiele für interne Lösungen in kleineren Unternehmen Mitarbeiterinnen und Mitarbeiter mit Doppelfunktion, Leitungen der Complianceabteilung, Integritätsbeauftragte, Rechts- oder Datenschutzbeauftragte und Auditverantwortliche. Als Dritte kommen ausdrücklich externe Anwältinnen und Anwälte als Ombudspersonen in Betracht, daneben externe Berater, Prüfer oder Vertreter von Gewerkschaften oder Beschäftigten (BT-Drucksache 20/3442, S. 79).

Welche Form passt, hängt von der Größe, der Struktur und dem Vertrauen ab, das Beschäftigte der jeweiligen Stelle entgegenbringen. Eine interne Person kennt die Abläufe, ist aber für Kolleginnen und Kollegen manchmal zu nah. Eine externe Ombudsperson wirkt neutraler, braucht aber einen geregelten Weg in das Unternehmen, um Hinweise aufklären zu können.

Vor der Entscheidung für eine externe Lösung helfen einige Fragen: Wer genau nimmt Meldungen entgegen, und wer vertritt diese Person? Wie und in welcher Zeit erfährt das Unternehmen von einer Meldung, ohne dass die Identität der hinweisgebenden Person offengelegt wird? Wer bestätigt den Eingang, und wer überwacht die Rückmeldefrist? Wo liegen die Daten, und wer hat technisch Zugriff darauf? Wie werden Fälle nach drei Jahren gelöscht? Sind diese Punkte vertraglich geregelt, lässt sich später nachweisen, dass die Meldestelle ordnungsgemäß betrieben wurde.

Was ein beauftragter Dritter übernimmt und was beim Unternehmen bleibt

Wer einen Dritten beauftragt, wird damit nicht von seiner Verantwortung frei. Die Beauftragung entbindet den Beschäftigungsgeber nicht von der Pflicht, selbst geeignete Maßnahmen zu ergreifen, um einen etwaigen Verstoß abzustellen (§ 14 Abs. 1 HinSchG).

Die Gesetzesbegründung macht deutlich, dass der Dritte nie völlig losgelöst vom Unternehmen arbeiten kann. Gerade für Folgemaßnahmen, mit denen die Stichhaltigkeit einer Meldung geprüft wird, ist eine Zusammenarbeit zwischen Dritten und Unternehmen nötig (BT-Drucksache 20/3442, S. 79). Typisch ist folgende Aufteilung:

Aufgabe	Beauftragte Ombudsperson	Unternehmen
Meldungen entgegennehmen und dokumentieren	ja	nein
Eingang bestätigen, Kontakt zur hinweisgebenden Person halten	ja	nein
Stichhaltigkeit prüfen, Folgemaßnahmen vorschlagen	ja	wirkt mit
Verstoß abstellen, arbeitsrechtliche Maßnahmen treffen	nein	ja, Verantwortung bleibt hier
Rückmeldung an die hinweisgebende Person	ja	liefert die Informationen

Diese Aufteilung sollte schriftlich vereinbart sein, einschließlich der Frage, wer im Unternehmen Ansprechpartner der Ombudsperson ist und wie die Identität der hinweisgebenden Person dabei geschützt bleibt. Verarbeitet der Dritte personenbezogene Daten im Auftrag, sind nach der Gesetzesbegründung die Vorgaben für Auftragsverarbeitungen nach Art. 28 DSGVO zu beachten (BT-Drucksache 20/3442, S. 80).

Gemeinsame Meldestelle für mittlere Unternehmen

Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können mit anderen Beschäftigungsgebern eine gemeinsame Stelle einrichten und betreiben, die Meldungen entgegennimmt und die weiteren vorgesehenen Maßnahmen ergreift (§ 14 Abs. 2 HinSchG). Das kann etwa für mehrere Betriebe einer Region oder einer Branche sinnvoll sein.

Auch hier bleibt die Pflicht, Maßnahmen zum Abstellen eines Verstoßes zu ergreifen und der hinweisgebenden Person Rückmeldung zu geben, bei jedem einzelnen Beschäftigungsgeber (§ 14 Abs. 2 HinSchG). Die gemeinsame Stelle muss also jeden Fall eindeutig einem Unternehmen zuordnen und darf Informationen nicht zwischen den beteiligten Unternehmen vermischen.

Zentrale Meldestelle im Konzern

Für Konzerne enthält das Gesetz selbst keine eigene Regel. Die Begründung des Regierungsentwurfs stellt aber klar, dass nach dem konzernrechtlichen Trennungsprinzip auch bei einer anderen Konzerngesellschaft, zum Beispiel der Mutter-, einer Schwester- oder einer Tochtergesellschaft, eine unabhängige und vertrauliche Stelle als Dritter eingerichtet werden kann, die für mehrere selbständige Unternehmen im Konzern tätig ist (BT-Drucksache 20/3442, S. 79).

Dafür nennt die Begründung Bedingungen:

Die Verantwortung, einen festgestellten Verstoß zu beheben und weiterzuverfolgen, bleibt immer bei der jeweiligen Tochtergesellschaft.
Ist eine Berichterstattung an die Konzernleitung nötig, muss sie unter voller Wahrung der Vertraulichkeit der Identität der hinweisgebenden Person durch oder im Auftrag der Tochtergesellschaft erfolgen.
Meldungen müssen in der Arbeitssprache möglich sein, die in der beauftragenden Tochtergesellschaft vorherrscht.
Die zentrale Stelle darf keine zusätzlichen Hürden für hinweisgebende Personen aufbauen.

Bei Konzernen mit Gesellschaften in anderen EU-Staaten ist zusätzlich das Hinweisgeberschutzrecht des jeweiligen Staates zu beachten, das sich von der deutschen Umsetzung unterscheiden kann.

Worauf Sie bei jeder Lösung achten sollten

Unabhängig davon, ob die Meldestelle intern, gemeinsam oder extern besetzt ist, gelten dieselben Anforderungen. Die Gesetzesbegründung betont, dass die Vorgaben für den internen Meldekanal für beauftragte Dritte gleichermaßen gelten (BT-Drucksache 20/3442, S. 79).

Unabhängigkeit: Die zuständigen Personen sind bei ihrer Tätigkeit unabhängig, andere Aufgaben dürfen nicht zu Interessenkonflikten führen (§ 15 Abs. 1 HinSchG). Die Geschäftsführung selbst oder die Personalleitung sind deshalb meist keine gute Wahl.
Fachkunde: Der Beschäftigungsgeber trägt dafür Sorge, dass die beauftragten Personen über die notwendige Fachkunde verfügen (§ 15 Abs. 2 HinSchG).
Vertraulichkeit: Die Identität der beteiligten Personen darf nur den zuständigen Personen und ihren Unterstützern bekannt werden (§ 8 Abs. 1 HinSchG).
Zugriffsschutz: Nicht berechtigte Personen dürfen keinen Zugriff auf eingehende Meldungen haben (§ 16 Abs. 2 HinSchG). Das gilt auch für die IT-Abteilung und für Dienstleister, die das System betreiben.
Kontinuität: Die Gesetzesbegründung empfiehlt, die Meldestelle für eine gewisse Dauer bei derselben Person oder Einheit einzurichten, damit Vertrauen und Erfahrung entstehen können (BT-Drucksache 20/3442, S. 78).

Technik für die ausgelagerte Meldestelle

Ob intern oder extern besetzt: Die Meldestelle braucht einen Meldekanal, eine geschützte Fallakte und eine verlässliche Fristenkontrolle. Eine externe Ombudsperson, die für mehrere Mandanten tätig ist, braucht außerdem eine saubere Trennung der Fälle.

meldefox ist eine Software für diese Aufgaben. Die Meldestelle erhält eine eigene Meldeseite, eine Fallakte mit getrenntem internem Vermerk und Nachrichten an die hinweisgebende Person sowie automatische Fristen nach § 17 HinSchG. Mit der Gruppen-Meldestelle betreiben Unternehmensgruppen einen Meldekanal für mehrere Gesellschaften, die Fälle bleiben je Gesellschaft getrennt, und die Ombudsperson kann für alle oder nur für einzelne Gesellschaften zuständig sein. Vor jedem Export prüft meldefox regelbasiert, ob Angaben auf die hinweisgebende Person zurückführen könnten. Wer die Ombudsperson ist, entscheiden Sie selbst: meldefox stellt die Technik, nicht die Person.

Häufige Fragen

Darf ein Rechtsanwalt die interne Meldestelle übernehmen?

Ja. § 14 Abs. 1 HinSchG erlaubt die Beauftragung Dritter, und die Gesetzesbegründung nennt externe Anwältinnen und Anwälte als Ombudspersonen ausdrücklich (BT-Drucksache 20/3442, S. 79). Die Verantwortung für das Abstellen eines Verstoßes bleibt beim Unternehmen.

Können mehrere kleine Unternehmen eine Meldestelle teilen?

Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können nach § 14 Abs. 2 HinSchG eine gemeinsame Meldestelle betreiben. Abhilfe und Rückmeldung bleiben Pflicht jedes einzelnen Unternehmens.

Darf die Konzernmutter die Meldestelle für alle Töchter betreiben?

Nach der Begründung des Regierungsentwurfs kann eine unabhängige und vertrauliche Stelle bei einer anderen Konzerngesellschaft als Dritter tätig werden (BT-Drucksache 20/3442, S. 79). Die Verantwortung für das Abstellen von Verstößen bleibt bei jeder Tochtergesellschaft, und Meldungen müssen in deren Arbeitssprache möglich sein.

Quellen

Dieser Ratgeber gibt einen allgemeinen Überblick und ersetzt keine Rechts- oder Steuerberatung im Einzelfall.