Hinweisgeberschutz (HinSchG)

Umsetzung des Hinweisgeberschutzgesetzes in der Aldric-Plattform und eigene Compliance der CONPORT Services GmbH

Version 1.0 — Stand: März 2026

Das Hinweisgeberschutzgesetz (HinSchG) setzt die EU-Whistleblower-Richtlinie (2019/1937) in deutsches Recht um und verpflichtet Unternehmen ab 50 Beschäftigten zur Einrichtung interner Meldekanäle. Dieses Dokument beschreibt, wie die SaaS-Plattform „Aldric" Kunden bei der Erfüllung dieser Pflichten unterstützt und wie die CONPORT Services GmbH als Anbieterin selbst die Anforderungen des HinSchG erfüllt.

Dieses Dokument dient der Information und stellt keine Rechtsberatung dar. Für die rechtskonforme Umsetzung des HinSchG in Ihrem Unternehmen empfehlen wir die Beratung durch einen Fachanwalt für Arbeitsrecht oder Compliance.

Teil A: Das Aldric-Whistleblower-Modul

Das Whistleblower-Modul der Aldric-Plattform ist ein vollständig integriertes Hinweisgebersystem, das die Anforderungen des HinSchG, der EU-Richtlinie 2019/1937 sowie branchenspezifischer Vorgaben (z. B. GwG, LkSG) abdeckt.

§ 1 Anonymer Meldekanal

(1) Das Modul stellt einen öffentlich zugänglichen, anonymen Meldekanal bereit. Hinweisgeber können Meldungen abgeben, ohne sich identifizieren zu müssen. Die Plattform generiert für jede Meldung einen eindeutigen Zugangscode (Format: WB-YYYY-XXXXXX), mit dem der Hinweisgeber den Bearbeitungsstand verfolgen und anonym mit der zuständigen Stelle kommunizieren kann.

(2) Die Anonymität des Meldekanals wird technisch sichergestellt durch:

  • Keine Erfassung von IP-Adressen oder Geräteinformationen bei anonymen Meldungen;
  • Tokenbasierter Zugang zur Fallverfolgung ohne Registrierung oder Authentifizierung;
  • Strikte Mandantentrennung (Tenant Isolation) — Meldungen sind ausschließlich dem Mandanten zugänglich, an den sie gerichtet sind;
  • Verschlüsselung aller Daten im Transit (TLS 1.2+) und at Rest (AES-256).

(3) Ergänzend zur anonymen Meldung können Hinweisgeber freiwillig Kontaktdaten angeben (Name, E-Mail, Telefon). Diese werden getrennt von der Meldung gespeichert und sind nur den zugewiesenen Bearbeitern zugänglich.

§ 2 Fristen und Fallmanagement

(1) Das HinSchG schreibt verbindliche Fristen vor. Das Aldric-Modul bildet diese vollständig ab:

Frist HinSchG-Anforderung Aldric-Umsetzung
7 Tage Eingangsbestätigung an Hinweisgeber (§ 17 Abs. 1 HinSchG) Automatische Fristenüberwachung mit Eskalation bei Überschreitung
3 Monate Rückmeldung über ergriffene Maßnahmen (§ 17 Abs. 2 HinSchG) Deadline-Tracking mit Warnungen 14 und 7 Tage vor Ablauf
3 Jahre Dokumentationsaufbewahrung (§ 11 HinSchG) Automatische Aufbewahrungssteuerung mit konfigurierbarer Löschfrist

(2) Jede Meldung durchläuft einen definierten Workflow mit den Status: Neu → In Bearbeitung → Eskaliert / Gelöst → Abgeschlossen. Statusübergänge werden lückenlos im Aktivitätsprotokoll dokumentiert.

§ 3 Meldekategorien

Das Modul unterstützt die sachlichen Anwendungsbereiche des HinSchG (§ 2) durch vordefinierte Meldekategorien:

  • Korruption und Bestechung — StGB §§ 299 ff., § 331 ff.
  • Datenschutzverstöße — DSGVO, BDSG
  • Betrug und Finanzkriminalität — StGB §§ 263 ff., HGB
  • Diskriminierung und Belästigung — AGG
  • Umweltverstöße — BImSchG, KrWG, WHG
  • Arbeitsschutzverstöße — ArbSchG, ArbZG
  • Geldwäsche — GwG
  • Sonstige Verstöße — Freitextfeld für weitere Bereiche

Kunden können eigene Kategorien ergänzen, um branchenspezifische Anforderungen abzubilden (z. B. Produktsicherheit, Lebensmittelrecht, Finanzaufsichtsrecht).

§ 4 Vertraulichkeit und Identitätsschutz

(1) Das HinSchG schützt die Identität von Hinweisgebern (§ 8 HinSchG). Das Aldric-Modul setzt diesen Schutz technisch und organisatorisch um:

  • Zugriffskontrolle: Nur explizit zugewiesene Bearbeiter (Compliance-Beauftragte, Ombudspersonen) haben Zugriff auf Meldungen. Die Zuweisung wird über das RBAC-System der Plattform gesteuert;
  • Kommunikation: Der anonyme Nachrichtenkanal ermöglicht Rückfragen an den Hinweisgeber, ohne dessen Identität preiszugeben;
  • Audit-Trail: Alle Zugriffe auf Meldungen werden protokolliert (wer, wann, welche Aktion). Diese Protokolle sind manipulationssicher durch Hash-Chain-Verfahren gesichert;
  • Mandantentrennung: PostgreSQL Row-Level Security (RLS) stellt sicher, dass Meldungen ausschließlich innerhalb des zugehörigen Mandanten sichtbar sind — auch bei Provider-Edition mit Sub-Mandanten.

(2) Die Weitergabe der Identität eines Hinweisgebers an unbefugte Dritte ist gemäß § 9 HinSchG ordnungswidrig und kann mit Geldbußen bis zu 50.000 EUR geahndet werden. Die technischen Schutzmaßnahmen des Aldric-Moduls minimieren das Risiko unbeabsichtigter Offenlegungen.

§ 5 Repressalienverbot

(1) Das HinSchG verbietet Repressalien gegen Hinweisgeber (§ 36 HinSchG). Die Aldric-Plattform unterstützt die Einhaltung dieses Verbots durch:

  • Strikte Trennung von Meldedaten und HR-Systemen;
  • Anonyme Meldemöglichkeit als Standard;
  • Dokumentation aller Fallbearbeitungsschritte für etwaige Beweisführung bei Repressalienvorwürfen;
  • Konfigurierbare Zugangsrechte, die sicherstellen, dass Vorgesetzte des Hinweisgebers keinen Zugriff auf dessen Identität erhalten.

(2) Bei Streitigkeiten über Repressalien gilt eine Beweislastumkehr zugunsten des Hinweisgebers (§ 36 Abs. 2 HinSchG). Der lückenlose Audit-Trail des Aldric-Moduls kann als Beweismittel herangezogen werden.

§ 6 Berichterstattung und Export

(1) Das Modul bietet Berichts- und Exportfunktionen, die für die interne Dokumentation und gegenüber Aufsichtsbehörden genutzt werden können:

  • Statistik-Dashboard: Überblick über Meldungen nach Status, Kategorie, Priorität und Bearbeitungsdauer;
  • PDF-Export: Einzelfallberichte mit vollständiger Fallhistorie, Nachrichten und Aktivitätsprotokoll;
  • Aggregierte Berichte: Anonymisierte Zusammenfassungen für die Geschäftsleitung oder den Aufsichtsrat.

(2) Die Berichtsfunktion berücksichtigt die Vertraulichkeitsanforderungen des HinSchG: Exportierte Berichte enthalten keine Hinweisgeberidentitäten, sofern diese nicht vom Hinweisgeber freigegeben wurden.

Teil B: Eigene HinSchG-Compliance der CONPORT Services GmbH

Als Anbieterin der Aldric-Plattform ist die CONPORT Services GmbH selbst den Anforderungen des HinSchG unterworfen. Die folgenden Abschnitte dokumentieren die eigene Compliance.

§ 7 Anwendbarkeit

(1) Das HinSchG gilt für alle Unternehmen ab 50 Beschäftigten (§ 12 Abs. 2 HinSchG). Unabhängig von der aktuellen Beschäftigtenzahl hat sich die CONPORT Services GmbH entschieden, freiwillig einen internen Meldekanal einzurichten, um:

  • Frühzeitig Compliance-Strukturen aufzubauen;
  • Die eigene Plattform im Produktivbetrieb zu nutzen und zu testen (Dogfooding);
  • Vertrauen bei Kunden, Partnern und Beschäftigten zu stärken;
  • Den Anforderungen öffentlicher Auftraggeber vorausschauend zu genügen.

§ 8 Interner Meldekanal

(1) Die CONPORT Services GmbH betreibt ihren eigenen Meldekanal über die Aldric-Plattform. Meldungen können abgegeben werden von:

  • Beschäftigten (einschließlich Auszubildender, Werkstudenten, Praktikanten);
  • Freien Mitarbeitern und Auftragnehmern;
  • Lieferanten und deren Beschäftigten;
  • Kunden und Geschäftspartnern;
  • Ehemaligen Beschäftigten und Bewerbern.

(2) Der Meldekanal ist erreichbar über die öffentliche Meldeseite der CONPORT-Instanz auf der Aldric-Plattform. Die URL wird allen berechtigten Personen bekannt gemacht und ist auf der Unternehmenswebsite verlinkt.

(3) Meldungen können anonym oder unter Angabe von Kontaktdaten abgegeben werden. Die anonyme Meldung wird ausdrücklich ermöglicht und gleichwertig behandelt.

§ 9 Zuständige Stelle

(1) Für die Entgegennahme und Bearbeitung von Meldungen ist die Geschäftsführung der CONPORT Services GmbH zuständig. Bei Meldungen, die die Geschäftsführung selbst betreffen, ist eine unabhängige externe Ombudsperson zu benennen.

(2) Die zuständige Stelle ist verpflichtet:

  • Meldungen innerhalb von 7 Tagen zu bestätigen;
  • Folgemaßnahmen zu prüfen und durchzuführen;
  • Dem Hinweisgeber innerhalb von 3 Monaten eine Rückmeldung zu geben;
  • Die Vertraulichkeit der Hinweisgeberidentität zu wahren.

§ 10 Externe Meldestellen

(1) Neben dem internen Meldekanal steht Hinweisgebern gemäß § 7 HinSchG jederzeit die Möglichkeit offen, sich an externe Meldestellen zu wenden:

  • Bundesamt für Justiz (BfJ): Zentrale externe Meldestelle gemäß § 22 HinSchG — www.bundesjustizamt.de/hinweisgeberstelle
  • BaFin: Für Meldungen im Finanzsektor (§ 21 HinSchG)
  • Bundeskartellamt: Für wettbewerbsrechtliche Verstöße

(2) Hinweisgeber sind nach dem HinSchG frei in der Wahl, ob sie den internen oder einen externen Meldekanal nutzen. Eine Pflicht zur vorherigen internen Meldung besteht nicht.

§ 11 Datenschutz

(1) Die Verarbeitung personenbezogener Daten im Rahmen des Hinweisgebersystems erfolgt auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) in Verbindung mit den Vorschriften des HinSchG.

(2) Verarbeitet werden:

  • Angaben zum gemeldeten Sachverhalt;
  • Gegebenenfalls Kontaktdaten des Hinweisgebers (nur bei freiwilliger Angabe);
  • Name und Funktion der mit der Bearbeitung betrauten Personen;
  • Kommunikation zwischen Hinweisgeber und zuständiger Stelle;
  • Dokumentation der ergriffenen Folgemaßnahmen.

(3) Die Daten werden gemäß § 11 HinSchG für die Dauer von 3 Jahren nach Abschluss des Verfahrens aufbewahrt und anschließend gelöscht, sofern keine längere Aufbewahrung aufgrund anderer gesetzlicher Vorschriften erforderlich ist.

(4) Weitere Informationen zur Datenverarbeitung finden Sie in unserer Datenschutzerklärung und der App-Datenschutzerklärung.

§ 12 Schulung und Sensibilisierung

(1) Die CONPORT Services GmbH stellt sicher, dass alle Beschäftigten über das Hinweisgebersystem und ihre Rechte nach dem HinSchG informiert sind. Dies umfasst:

  • Information bei Arbeitsantritt über den internen Meldekanal;
  • Regelmäßige Schulungen zu den Meldemöglichkeiten und dem Repressalienverbot;
  • Bereitstellung von Informationsmaterial zum HinSchG.

(2) Das Aldric-Modul unterstützt Kunden bei der Schulung durch integrierte Compliance-Trainings, die über das Schulungsmodul der Plattform bereitgestellt werden können.

§ 13 Bußgeldrisiken

(1) Verstöße gegen das HinSchG können mit erheblichen Geldbußen geahndet werden:

Verstoß Bußgeld
Behinderung einer Meldung oder Repressalien (§ 40 Abs. 1) Bis zu 50.000 EUR
Bruch der Vertraulichkeitspflicht (§ 40 Abs. 3) Bis zu 50.000 EUR
Nicht-Einrichtung eines internen Meldekanals (§ 40 Abs. 6) Bis zu 20.000 EUR
Wissentlich falsche Meldung durch Hinweisgeber (§ 40 Abs. 7) Bis zu 20.000 EUR

(2) Das Aldric-Modul minimiert diese Risiken durch automatisierte Fristeinhaltung, technischen Identitätsschutz und lückenlose Dokumentation aller Bearbeitungsschritte.

§ 14 Kontakt

Für Fragen zum Hinweisgeberschutz bei der CONPORT Services GmbH:

Für Informationen zum Whistleblower-Modul der Aldric-Plattform wenden Sie sich bitte an unser Vertriebsteam unter info@conport.services.

§ 15 Schlussbestimmungen

(1) Dieses Dokument wird regelmäßig überprüft und bei Änderungen der Rechtslage aktualisiert. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.

(2) Bei Widersprüchen zwischen diesem Dokument und den gesetzlichen Bestimmungen des HinSchG gelten die gesetzlichen Bestimmungen.

(3) Für weitergehende rechtliche Informationen verweisen wir auf:

Stand: März 2026