HinSchG Folgemeldung: Was nach Eingang in 7 Tagen und 3 Monaten passieren muss

Fristen sind im HinSchG das, was im Datenschutz die DSGVO-Auskunftsfrist ist: die operative Messlatte, an der die Aufsicht misst, ob eine Meldestelle wirklich funktioniert – oder nur als Postfach auf dem Papier existiert. Sieben Tage für die Eingangsbestätigung, drei Monate für die Folgemeldung, drei Jahre für die Dokumentation. Wer diese drei Werte im Griff hat, hat den schwierigsten Teil der HinSchG-Compliance bewältigt. Wer sie reißt, hat ein Bußgeldrisiko – auch wenn die Meldestelle ansonsten vorbildlich betrieben wird.

Dieser Beitrag ergänzt die HinSchG-Reihe um den operativen Takt und verzahnt sie mit dem Beitrag zur Person des Meldestellenbeauftragten sowie dem Leitfaden zur internen Meldestelle. Stand: 24. August 2026.

Warum die Fristen operativ entscheiden

Das HinSchG ist eine der wenigen Compliance-Normen, die konkrete Fristen nicht nur dem Grunde nach, sondern auch zeitlich präzise benennt. Die Eingangsbestätigung muss innerhalb von sieben Tagen erfolgen, die Folgemeldung innerhalb von drei Monaten nach Eingang der Meldung. Diese Fristen sind nicht empfehlend, sondern verbindlich – und ihre Nichteinhaltung ist nach § 40 HinSchG bußgeldbewehrt.

Wer die Fristen sauber steuert, hat die operativen Risiken zu etwa 70 Prozent im Griff. Die restlichen 30 Prozent verteilen sich auf die Frage, was an die hinweisgebende Person zurückgemeldet werden darf und welche Folgemaßnahmen überhaupt möglich sind. Beide Themen sind aber ohne den Fristen-Workflow nicht sinnvoll zu beantworten.

Eingangsbestätigung binnen 7 Tagen

§ 17 Abs. 1 HinSchG verlangt, dass die Meldestelle der hinweisgebenden Person den Eingang der Meldung binnen sieben Tagen bestätigt. Die Frist beginnt mit dem Eingang der Meldung, nicht mit der Bestellung des Meldestellenbeauftragten oder der Eröffnung des Postfachs. Wer die Meldung am Dienstag um 14 Uhr erhält, muss bis spätestens Dienstag in der Folgewoche, 14 Uhr bestätigt haben.

Inhaltlich muss die Eingangsbestätigung nicht viel leisten – das Gesetz schreibt keine Form und keine inhaltlichen Mindestanforderungen vor. In der Praxis empfehlen sich aber folgende Bausteine:

• Empfangsbestätigung: kurze Bestätigung, dass die Meldung eingegangen ist, mit Eingangsdatum und – sofern vorhanden – Aktenzeichen.
• Nächste Schritte: Hinweis auf die bevorstehende inhaltliche Prüfung und die voraussichtliche Folgemeldung binnen drei Monaten.
• Kontaktpunkt: Information, an wen sich die hinweisgebende Person bei Rückfragen wenden kann – üblicherweise an die Meldestelle selbst.
• Vertraulichkeitszusage: Bestätigung, dass die Identität der hinweisgebenden Person vertraulich behandelt wird und nur einem begrenzten Personenkreis zugänglich ist.

Was die Eingangsbestätigung nicht enthalten darf: jede inhaltliche Stellungnahme zum Sachverhalt. Eine „Bewertung“ der Meldung – etwa „die Vorwürfe erscheinen unsubstantiiert“ – gehört in die Folgemeldung, nicht in die Eingangsbestätigung.

Inhaltliche Bearbeitung und Zwischenschritte

Zwischen Eingangsbestätigung und Folgemeldung liegt die eigentliche operative Phase. In dieser Zeit wird der Sachverhalt geprüft, eingeordnet und – wenn nötig – eskaliert. Wer hier ohne klaren Workflow arbeitet, erlebt das klassische Audit-Debakel: die Folgemeldung kommt nicht, weil niemand wusste, wer zuständig ist.

Drei Schritte haben sich in der Praxis bewährt:

1. Ersteinschätzung binnen 14 Tagen: Liegt ein konkreter Sachverhalt vor? Ist er strafrechtlich, arbeitsrechtlich, compliance-relevant oder eher persönlicher Natur? In welchen Zuständigkeitsbereich fällt er?
2. Faktenprüfung binnen 6 Wochen: Recherche der relevanten Unterlagen, ggf. Einholung erster Stellungnahmen der betroffenen Stellen – unter Wahrung der Vertraulichkeit gegenüber der hinweisgebenden Person.
3. Maßnahmenableitung binnen 10 Wochen: Welche Folgemaßnahmen werden eingeleitet – Untersuchung durch interne Revision, externe Kanzlei, Information der Geschäftsleitung, disziplinarische Schritte, Strafanzeige? Wer übernimmt die operative Umsetzung?

Diese Zeitachse ist nicht im Gesetz normiert, sondern ergibt sich aus den drei Monaten, die bis zur Folgemeldung zur Verfügung stehen. Wer die Achse einhält, hat am Stichtag ausreichend Material für eine substantielle Folgemeldung – und nicht nur eine Standardformel.

Folgemeldung nach 3 Monaten – was drinstehen muss

§ 17 Abs. 2 HinSchG verlangt, dass die Meldestelle der hinweisgebenden Person binnen drei Monaten eine Folgemeldung übermittelt. Die Frist beginnt mit dem Eingang der Meldung – bei einer Verlängerung verschiebt sich der Endtermin entsprechend.

Die Folgemeldung muss nicht abschließend sein – bei komplexen Sachverhalten kann sie auch über den Zwischenstand berichten. Sie muss aber substantiell sein. Drei Mindestinhalte ergeben sich aus dem Gesetz und der Aufsichtspraxis:

• Stand der Prüfung: was bisher untersucht wurde, in welchen Zuständigkeitsbereich die Sache fällt, ob weitere Ermittlungen nötig sind.
• Folgemaßnahmen: welche Maßnahmen eingeleitet oder geplant sind – etwa eine Untersuchung durch die interne Revision, die Einschaltung einer externen Kanzlei, ein Disziplinarverfahren oder die Information der zuständigen Aufsichtsbehörde.
• Gründe für das Unterlassen von Maßnahmen: falls ausnahmsweise keine Folgemaßnahmen ergriffen werden, ist dies zu begründen – sonst entsteht der Eindruck, der Sachverhalt sei ignoriert worden.

Zwei Punkte, die immer wieder falsch gemacht werden: Die Folgemeldung darf weder die Identität der hinweisgebenden Person offenbaren noch den betroffenen Personenkreis unnötig konkret benennen. Auch darf sie keine vertraulichen Details aus der internen Prüfung preisgeben, die Rückschlüsse auf die hinweisgebende Person zulassen – insbesondere, wenn der Hinweis aus einem kleinen Team kam. Was die Folgemeldung leisten muss, ist Transparenz ohne Preisgabe.

Verlängerung der 3-Monats-Frist

§ 17 Abs. 2 Satz 3 HinSchG erlaubt eine Verlängerung der 3-Monats-Frist, wenn die Komplexität des Sachverhalts dies erfordert. Die Voraussetzungen sind eng: die Frist darf nur verlängert werden, wenn die Prüfung wegen der Komplexität noch nicht abgeschlossen werden kann – etwa bei Sachverhalten mit grenzüberschreitenden Ermittlungen, vielen Beteiligten oder unklarem Sachverhalt.

In der Praxis rate ich zu drei Disziplinregeln:

• Verlängerung nicht als Standard: Die Verlängerung sollte die Ausnahme bleiben, nicht die Regel. Wer bei jeder zweiten Meldung verlängert, hat ein Workflow-Problem, kein Komplexitätsproblem.
• Verlängerung begründen: Die hinweisgebende Person ist über die Verlängerung und die Gründe zu informieren. „Es ist noch komplex“ reicht nicht – es muss nachvollziehbar sein, was noch geprüft wird.
• Verlängerung dokumentieren: interne Notiz mit Datum, Begründung und neuem Endtermin – das ist im Audit der erste Punkt, den die Aufsicht prüft.

Was dokumentiert werden muss

§ 11 HinSchG verlangt, dass die interne Meldestelle über alle eingegangenen Meldungen und die ergriffenen Folgemaßnahmen Dokumentation führt. Was die Dokumentation umfassen muss, ergibt sich aus einer Mischung aus Normtext und Aufsichtspraxis:

• Eingangsdaten: Datum und Uhrzeit der Meldung, gewählter Kanal (Webformular, E-Mail, Post, persönlich), Aktenzeichen.
• Sachverhalt: kurze, sachliche Zusammenfassung der Meldung – nicht die ganze Meldung, sondern nur das, was zur Bearbeitung nötig ist.
• Bearbeitungsschritte: wer wann welche Prüfung vorgenommen hat, welche Stellen beteiligt wurden, welche Fristen galten.
• Folgemaßnahmen: welche Maßnahmen eingeleitet wurden – Untersuchung, Disziplinarverfahren, Information der Geschäftsleitung, externe Eskalation.
• Kommunikation mit hinweisgebender Person: Eingangsbestätigung, Folgemeldungen, etwaige Verlängerungen.

Die Dokumentation ist nicht nur Compliance-Pflicht, sondern auch operative Versicherung: bei einem Personalwechsel in der Meldestelle oder einem späteren Bußgeldverfahren ist sie der Nachweis, dass die Fristen gehalten und die Folgemeldungen erteilt wurden. Wer hier lückenhaft dokumentiert, hat im Audit keine Chance, die Funktionsfähigkeit der Meldestelle zu belegen.

Löschfristen nach § 11 HinSchG

§ 11 Abs. 2 HinSchG verlangt, dass personenbezogene Daten aus Meldungen drei Jahre nach Abschluss des Verfahrens gelöscht werden. Die Frist beginnt nicht mit dem Eingang der Meldung, sondern mit dem Abschluss der Bearbeitung – also nach Erteilung der Folgemeldung und Erledigung der etwaigen Folgemaßnahmen.

Ausnahmen gelten, soweit gesetzliche Aufbewahrungspflichten entgegenstehen – etwa bei laufenden Disziplinarverfahren, arbeitsgerichtlichen Auseinandersetzungen oder strafrechtlichen Ermittlungen. In diesen Fällen darf die Löschung hinausgeschoben werden, was aber dokumentiert werden muss. Wer pauschal „wegen laufender Ermittlungen“ alles behält, hat ein DSGVO-Problem – die Aufbewahrung muss begründet und befristet sein.

In der Praxis empfehle ich, die Löschung als proaktiven Akt zu führen – also eine automatische Erinnerung im Hinweisgeber-System zwölf Monate vor Ablauf der Dreijahresfrist, mit Eskalation an die Meldestelle. So wird die Löschung nicht zum Vergessen.

Fristen in der Praxis: typische Versäumnisse

Aus den letzten drei Jahren HinSchG-Praxis sind fünf Versäumnisse immer wieder aufgetreten – alle vermeidbar:

1. Eingangsbestätigung verspätet: Meldung am Freitag um 17 Uhr, Meldestellenbeauftragter am Wochenende nicht erreichbar, Eingangsbestätigung am Mittwoch – schon zu spät.
2. Folgemeldung leer: Standardformel ohne inhaltliche Aussage. Hinweisgebende Person erfährt nicht, was mit ihrer Meldung passiert ist.
3. Verlängerung ohne Begründung: Frist stillschweigend verlängert, ohne die hinweisgebende Person zu informieren – in der Aufsichtspraxis ein klarer Verstoß.
4. Löschung vergessen: Meldung aus 2023 ist versehentlich noch im System – Verstoß gegen § 11 HinSchG und gleichzeitig gegen die DSGVO.
5. Vertraulichkeit verletzt: Meldung wird im Compliance-Team vorgestellt, dabei wird die Identität der hinweisgebenden Person genannt – schwerer Verstoß nach § 8 HinSchG.

Checkliste Fristensteuerung

Eine pragmatische Checkliste, die ich in Mandaten verwende:

• Eingang: Eingangsdatum, Aktenzeichen, Kanal dokumentieren; sofort: Erinnerung „Eingangsbestätigung in 6 Tagen“ setzen.
• Tag 7: Eingangsbestätigung versenden; bei Verhinderung des Beauftragten Stellvertretung aktivieren.
• Woche 2: Ersteinschätzung, ob Sachverhalt in den Zuständigkeitsbereich fällt.
• Woche 4–6: Faktenprüfung, Stellungnahmen, Vertraulichkeit wahren.
• Woche 8–10: Maßnahmenableitung, Geschäftsleitung informieren, Folgemaßnahmen festlegen.
• Tag 90: Folgemeldung versenden; bei Bedarf Verlängerung mit Begründung.
• Abschluss: Dokumentation finalisieren, Lösch-Erinnerung für drei Jahre später setzen.

Häufige Fragen

Die wichtigsten Antworten zur Fristensteuerung in Kurzform.

Welche Fristen gelten nach einer HinSchG-Meldung?

Nach § 17 HinSchG muss die Meldestelle binnen sieben Tagen eine Eingangsbestätigung und binnen drei Monaten eine Folgemeldung versenden. Bei komplexen Sachverhalten darf die 3-Monats-Frist ausnahmsweise verlängert werden.

Muss die Folgemeldung nach 3 Monaten zwingend etwas zur Sache sagen?

Ja – die Folgemeldung muss den Stand der Bearbeitung transparent machen. Standardfloskeln reichen nicht. Sie darf aber weder die Identität der hinweisgebenden Person preisgeben noch vertrauliche Details aus der internen Prüfung.

Welche Daten müssen dokumentiert werden?

Nach § 11 HinSchG sind alle Meldungen, Bearbeitungsschritte, Ergebnisse und Folgemaßnahmen zu dokumentieren. Die Dokumentation muss so angelegt sein, dass die Aufsichtsbehörde die Funktionsfähigkeit der Meldestelle nachvollziehen kann.

Wann müssen HinSchG-Daten gelöscht werden?

Nach § 11 Abs. 2 HinSchG drei Jahre nach Abschluss des Verfahrens, sofern keine weiteren gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Löschung sollte proaktiv gesteuert werden.

Was passiert, wenn die 7-Tage-Frist reißt?

Ein Fristversäumnis ist nach § 40 HinSchG eine bußgeldbewehrte Ordnungswidrigkeit. Das Unternehmen haftet, nicht der Meldestellenbeauftragte persönlich.

Einordnung im HinSchG-System

Der Fristen-Workflow steht im Zentrum der operativen HinSchG-Compliance. Ohne ihn funktionieren weder die organisatorischen Pflichten noch die Rolle des Meldestellenbeauftragten noch die Wahl des Betriebsmodells – intern, extern oder SaaS. Wer die Fristen sauber steuert, kann der Aufsicht jederzeit die Funktionsfähigkeit der Meldestelle belegen. Wer sie reißt, hat – unabhängig von der Pflicht zur Einrichtung – ein Bußgeldproblem. Und wer Hinweisgeber nicht ausreichend schützt, riskiert zusätzlich Schadensersatz nach § 37 HinSchG – das ist im Folgebeitrag detailliert dargestellt.

Fazit

Sieben Tage, drei Monate, drei Jahre – diese drei Zahlen sind das Rückgrat der operativen HinSchG-Compliance. Wer sie kennt, wer einen dokumentierten Workflow hat, der sie automatisch steuert, und wer die Fristen im Audit lückenlos nachweisen kann, hat das Schlimmste überstanden. Wer die Fristen reißt, hat einen kleinen, aber vermeidbaren Bußgeldbetrag und einen großen Reputationsschaden – denn das BfJ und die Gerichte lesen Fristenprotokolle sehr genau.

Mein Rat aus der Praxis: einmal jährlich eine fiktive Testmeldung durch das eigene System schicken. Wer das im Trockenen übt, deckt Workflow-Lücken auf, bevor eine echte Meldung sie offenlegt. Wer die Übung regelmäßig macht, hat am Jahresende mehr Sicherheit als jede externe Auditierung.