--- title: "Konzernlösung im Hinweisgeberschutz: eine Meldestelle?" description: "Darf eine Meldestelle für die ganze Unternehmensgruppe arbeiten? Was das HinSchG zulässt und wo die Grenzen liegen." canonical: "https://www.dsb-datenschutz.de/hinweisgeberschutz/wissen-konzernloesung/" --- # Konzernlösung im Hinweisgeberschutz Sobald mehrere Gesellschaften im Spiel sind, stellt sich dieselbe Frage: Muss jede eine eigene Meldestelle einrichten, oder genügt eine für alle? Die **Konzernlösung** im **Hinweisgeberschutz** ist zulässig – aber nicht in der Form, in der sie meist gedacht wird. ## Der Ausgangspunkt: die Pflicht trifft jede Gesellschaft einzeln Das Hinweisgeberschutzgesetz knüpft an den Beschäftigungsgeber an, und das ist die einzelne juristische Person. Ob eine Gesellschaft verpflichtet ist, richtet sich nach ihrer eigenen Beschäftigtenzahl – nicht nach der des Konzerns. Daraus folgt eine Konstellation, die viele Gruppen überrascht: Die Muttergesellschaft mit zweitausend Beschäftigten ist verpflichtet, die Tochter mit dreißig ist es nicht. Beide können dieselbe Meldestelle nutzen; die eine muss, die andere darf. Umgekehrt gilt: Eine Konzernmutter kann ihre Töchter nicht dadurch von der Pflicht befreien, dass sie selbst eine Meldestelle betreibt. Die verpflichtete Tochter bleibt verantwortlich – sie erfüllt ihre Pflicht nur über eine Stelle, die für sie tätig wird. ## Was zulässig ist Das Gesetz erlaubt ausdrücklich, einen **Dritten** mit den Aufgaben der internen Meldestelle zu betrauen. Eine andere Konzerngesellschaft ist ein solcher Dritter. Damit ist die zentrale Meldestelle grundsätzlich möglich. Die Europäische Kommission hat allerdings früh klargestellt, dass eine gemeinsame Stelle die Pflichten der einzelnen Gesellschaft nicht verdrängt. Die praktische Folge: - **Die Verantwortung bleibt bei der Tochter.** Sie muss sicherstellen, dass Fristen gewahrt und Folgemaßnahmen ergriffen werden. - **Der Meldeweg zur eigenen Gesellschaft muss offenstehen.** Wer sich nicht an die Konzernstelle wenden will, muss eine Alternative haben – das ist der Kern. - **Folgemaßnahmen liegen bei der betroffenen Gesellschaft.** Die zentrale Stelle kann prüfen und aufklären; abstellen, kündigen oder Prozesse ändern kann nur, wer dort das Sagen hat. ## Wo es in der Praxis hakt **Die Sprache.** Eine Gruppe mit Standorten in mehreren Ländern braucht Meldewege in den Sprachen der Belegschaft. Eine Meldestelle, die nur auf Deutsch arbeitet, ist für ein Werk in Polen faktisch nicht vorhanden. **Das nationale Recht.** Die Richtlinie ist in jedem Mitgliedstaat eigenständig umgesetzt worden. Was in Deutschland zulässig ist, kann in Frankreich oder Spanien abweichenden Anforderungen unterliegen – etwa bei anonymen Meldungen oder bei Fristen. Eine Gruppenlösung muss die strengste anwendbare Anforderung erfüllen, nicht die bequemste. **Die Vertraulichkeit über Gesellschaftsgrenzen.** Wenn die Meldung die Geschäftsführung der Tochter betrifft, ist die zentrale Stelle ein Vorteil. Betrifft sie die Konzernmutter, ist sie ein Problem. Für diesen Fall braucht es einen Weg, der an der zentralen Stelle vorbeiführt – etwa eine [Ombudsperson](https://www.dsb-datenschutz.de/hinweisgeberschutz/wissen-ombudsperson/) oder einen externen Beauftragten. **Der Datenschutz.** Die Weitergabe von Meldungen zwischen Gesellschaften ist eine Übermittlung personenbezogener Daten mit eigener Rechtsgrundlage. Es gibt kein Konzernprivileg. Zu regeln sind die Rollen – Auftragsverarbeitung oder gemeinsame Verantwortlichkeit –, die Zugriffsrechte je Gesellschaft, die Löschfristen und, bei Standorten außerhalb der EU, die [Drittlandübermittlung](https://www.dsb-datenschutz.de/datenschutz/wissen-angemessenheitsbeschluss-usa/). Ob eine [Datenschutz-Folgenabschätzung](https://www.dsb-datenschutz.de/hinweisgeberschutz/wissen-datenschutz-folgenabschaetzung/) nötig ist, wird bei Gruppenlösungen regelmäßig bejaht. ## Wie eine tragfähige Lösung aussieht **Ein gemeinsames System, getrennte Mandanten.** Technisch eine Umgebung, fachlich getrennte Bereiche je Gesellschaft mit eigenen Zugriffsrechten und eigenen Fristen. So bleibt die Zuständigkeit erkennbar, und der Betrieb bleibt bezahlbar. Die [Whistleblower-Software](https://www.dsb-datenschutz.de/hinweisgeberschutz/software/) bildet das ab; den Preis für Ihre Konstellation berechnet der [Konfigurator](https://www.dsb-datenschutz.de/software/meldestelle-kosten/). **Eine schriftliche Vereinbarung** zwischen den Gesellschaften: wer nimmt entgegen, wer prüft, wer entscheidet über Folgemaßnahmen, wer wahrt welche Frist, wer ist datenschutzrechtlich was. **Ein zweiter Weg nach außen.** Für die Fälle, in denen die zentrale Stelle befangen wäre. Ein [externer Meldestellenbeauftragter](https://www.dsb-datenschutz.de/hinweisgeberschutz/meldestellenbeauftragter/) löst das – **ab 127 € im Monat**, siehe [Preise](https://www.dsb-datenschutz.de/hinweisgeberschutz/preise/). **Eine verständliche Bekanntmachung.** Die Belegschaft jeder Gesellschaft muss wissen, welcher Weg für sie gilt. Eine Konzernlösung, die niemand kennt, erfüllt den Zweck nicht. ## Kontakt Sie haben mehrere Gesellschaften und wissen nicht, wer verpflichtet ist? Das klären wir anhand Ihrer Struktur. - Telefon: [+49 6188 99 04 36](tel:+496188990436) - E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de) - Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns) - [Zum Hinweisgeberschutz](https://www.dsb-datenschutz.de/hinweisgeberschutz/)