Reicht eine E-Mail-Adresse als Meldekanal nach dem HinSchG?

Die kurze Antwort: Eine E-Mail-Adresse kann ein zulässiger Meldekanal sein, die meisten Postfächer sind es aber nicht. Weder das Hinweisgeberschutzgesetz (HinSchG) noch die EU-Whistleblower-Richtlinie verbieten E-Mail. § 16(2) HinSchG verlangt, dass die Meldekanäle so gestaltet sind, dass „nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen sowie die sie bei der Erfüllung dieser Aufgaben unterstützenden Personen Zugriff auf die eingehenden Meldungen haben". Eine eigens eingerichtete Adresse mit einem kleinen, kontrollierten Kreis von Personen, die sie öffnen können, kann das erfüllen. Ein gemeinsames ethik@-Postfach, auf das die IT zugreifen kann, das archiviert wird und an diejenigen weiterleitet, die es einmal eingerichtet haben, meist nicht. In Italien hält die Aufsichtsbehörde gewöhnliche E-Mail ohne begründete Zusatzmaßnahmen für ungeeignet, und in Spanien ist die Pflicht, anonyme Meldungen anzunehmen, per E-Mail kaum zu erfüllen.

Wenn Sie bereits eine E-Mail-Adresse nutzen, hilft Ihnen dieser Artikel herauszufinden, wo Ihre steht: was das Recht verlangt, wie das von Land zu Land aussieht, ein Check für Ihr eigenes Postfach mit einer Lösung für jede Lücke, die Lücken, die keine Einstellung schließt, und was sich mit einem dedizierten Kanal ändert.

Was das Recht von einem Meldekanal verlangt

Die Richtlinie (Richtlinie (EU) 2019/1937) schreibt keine Technik vor, sondern Ergebnisse. Für einen internen Kanal sind mit Blick auf E-Mail diese entscheidend:

• Sicher konzipiert (Art. 9(1)(a)). Der Kanal muss so konzipiert, eingerichtet und betrieben werden, dass die Identität der hinweisgebenden Person und Dritter, die in der Meldung genannt werden, vertraulich bleibt und nicht befugte Mitarbeiter keinen Zugriff haben. Das ist ein Maßstab für das System, nicht für die Sorgfalt der Menschen, die es nutzen.
• Identität nur für die Zuständigen (Art. 16). Die Identität der hinweisgebenden Person darf ohne ihre ausdrückliche Zustimmung niemandem außer den befugten Personen offengelegt werden, die für die Entgegennahme von Meldungen oder für Folgemaßnahmen zuständig sind.
• Fristen (Art. 9(1)(b) und (f)). Eingangsbestätigung binnen 7 Tagen, Rückmeldung binnen 3 Monaten. Siehe die 7-Tage/3-Monats-Frist, erklärt.
• Eine benannte, unparteiische Stelle (Art. 9(1)(c)). Jemand Bestimmtes ist für die Folgemaßnahmen verantwortlich.
• Dokumentation (Art. 18). Jede eingehende Meldung wird dokumentiert, unter denselben Vertraulichkeitsregeln, und nicht länger aufbewahrt als nötig.
• Schriftlich, mündlich oder beides (Art. 9(2)). Die Richtlinie lässt Meldungen schriftlich, mündlich oder in beiden Formen zu. Manche nationalen Gesetze verlangen beides, sodass ein rein schriftliches Postfach allein nicht immer genügt.
• Anonymität entscheidet jeder Mitgliedstaat (Art. 6(2)). Ob Unternehmen anonyme Meldungen annehmen müssen, überlässt die Richtlinie dem nationalen Recht.

Nichts davon schließt E-Mail aus. Alles davon muss aber für das Postfach, seine Backups und jeden gelten, der darauf zugreifen kann.

Land für Land

Die Länderleitfäden behandeln jedes Gesetz ausführlicher: Deutschland, Frankreich, Spanien, Italien, Niederlande, Polen und Irland.

Wann eine E-Mail-Adresse eine vernünftige Wahl ist

• Ihr Unternehmen ist nicht verpflichtet, einen Kanal zu haben. Unter 50 Beschäftigten in den meisten EU-Ländern oder im Vereinigten Königreich ist eine gut betriebene E-Mail-Adresse besser als nichts.
• Identifizierte Meldungen in einem Land ohne Anonymitätspflicht, mit den unten genannten Kontrollen tatsächlich umgesetzt. Deutschland, Irland und Polen erlauben das.
• Als Auffangweg neben einem richtigen Kanal. Manche Hinweisgeber schreiben an jede Adresse, die sie finden. Ihre Hinweisgeberrichtlinie sollte festlegen, was mit solchen E-Mails geschieht (siehe „Umstieg vom Postfach" weiter unten).

E-Mail hat gegenüber einem Webformular außerdem einen echten Vorteil: Sie funktioniert in beide Richtungen. Sie können eine Meldung bestätigen, Rückfragen stellen und Rückmeldung geben, solange die hinweisgebende Person unter dieser Adresse erreichbar sein will.

Prüfen Sie Ihr eigenes Postfach

Zehn Prüfpunkte, in der Reihenfolge, in der eine Meldung durch das System läuft. Zu jedem steht, wie Sie ihn prüfen und wie Sie die Lücke mit den vorhandenen Werkzeugen schließen. Für die meisten brauchen Sie Ihre E-Mail-Administration für eine halbe Stunde. Können Sie einen Punkt nicht beantworten, werten Sie ihn als „Nein".

1. Die Adresse wird für nichts anderes genutzt.

   Prüfen: Liegt im Postfach etwas anderes als Meldungen, etwa Personalanfragen, Lieferantenpost oder Newsletter?

   Lösung: Legen Sie eine neue Adresse nur für Meldungen an. Nutzen Sie nicht personal@ oder ein bestehendes Sammelpostfach, dessen Zugriffsgeschichte Sie nicht überblicken.

2. Nur die benannten Fallbearbeiter können es öffnen, jeder mit eigenem Login.

   Prüfen: Listen Sie alle mit Vollzugriff, Stellvertretung oder „Senden als"-Rechten auf. In Microsoft 365 finden Sie das in den Delegierungseinstellungen des Postfachs im Exchange Admin Center, in Google Workspace in der E-Mail-Delegierung des Kontos. Fragen Sie, ob jemand ein Passwort teilt.

   Lösung: Entfernen Sie alle, die nicht als Fallbearbeiter benannt sind, und geben Sie jeder zuständigen Person einen eigenen Zugang statt eines gemeinsamen Passworts. § 16(2) HinSchG lässt Zugriff nur für die Zuständigen und die sie Unterstützenden zu.

3. Keine Kopien verlassen das Postfach.

   Prüfen: Suchen Sie nach Weiterleitungen am Postfach, Posteingangsregeln seiner Nutzer und organisationsweiten Nachrichtenfluss- oder Routingregeln, die Nachrichten kopieren (Transportregeln in Exchange, Routing- und Compliance-Regeln in Gmail). Prüfen Sie auch das Journaling, das eine Kopie jeder Nachricht an ein Archiv schickt.

   Lösung: Schalten Sie Weiterleitungen und Posteingangsregeln ab und nehmen Sie die Adresse von jeder Journaling- oder Kopierregel aus.

4. Sie wissen, wer sonst noch hineinkommt, und haben das so weit wie möglich begrenzt.

   Prüfen: Wer das Passwort des Postfachs zurücksetzen kann, kann es lesen. Ebenso, wer eine eDiscovery- oder Google-Vault-Suche ausführen oder ein Backup wiederherstellen kann. Schreiben Sie auf, wer diese Rollen hat.

   Lösung: Beschränken Sie diese Rollen auf so wenige Personen wie möglich, aktivieren Sie Warnungen für Passwortzurücksetzungen und eDiscovery-Suchen auf diesem Postfach und halten Sie den verbleibenden Zugriff in Ihrer Datenschutz-Folgenabschätzung fest. Sie können diesen Kreis verkleinern, aber nicht auflösen. Das ist der Hauptgrund, warum die italienische Aufsichtsbehörde gewöhnliche E-Mail allein für ungeeignet hält.

5. Eingangsbestätigungen kommen aus dem Kanal, binnen 7 Tagen.

   Prüfen: Wer antwortet, von welcher Adresse und wie schnell? Eine Antwort aus dem eigenen Konto einer Fallbearbeiterin bringt ihren Namen und den Meldungsverlauf in ein zweites Postfach.

   Lösung: Antworten Sie nur von der eigens eingerichteten Adresse. Eine automatische Antwort, die den Eingang bestätigt und sagt, wann mit einer Rückmeldung zu rechnen ist, deckt die 7-Tage-Frist nach § 17(1) HinSchG ab, solange sie nichts zum Inhalt sagt.

6. Fristen werden außerhalb des Postfachs verfolgt.

   Prüfen: Können Sie für die letzte Meldung sagen, wann sie bestätigt wurde und wann die Rückmeldung fällig ist?

   Lösung: Führen Sie ein Register, etwa eine Tabelle mit ebenso beschränktem Zugriff, mit Eingangsdatum, Datum der Eingangsbestätigung und dem Fälligkeitsdatum der Rückmeldung drei Monate später (§ 17(2) HinSchG). Benennen Sie die Person, die es wöchentlich durchsieht.

7. Jede Meldung ist dokumentiert und hat ein Löschdatum.

   Prüfen: Könnten Sie einer Behörde eine Liste aller Meldungen dieses Jahres zeigen und was aus jeder wurde? Würde eine Meldung nach Ablauf ihrer Frist auch aus Archiven, Backups und Aufbewahrungsrichtlinien verschwinden?

   Lösung: Ergänzen Sie das Register um Ergebnis und Löschdatum. § 11(5) HinSchG sieht die Löschung der Dokumentation drei Jahre nach Abschluss des Verfahrens vor. Prüfen Sie, dass keine Aufbewahrungsrichtlinie gelöschte Elemente dieses Postfachs jahrelang vorhält, und löschen Sie planmäßig. Siehe Eine Aufbewahrungsrichtlinie wählen.

8. Hinweisgebende kennen das Risiko eines dienstlichen Kontos.

   Prüfen: Sagt Ihre Hinweisgeberrichtlinie, dass eine E-Mail vom dienstlichen Konto eine Kopie im Ordner „Gesendet" hinterlässt, auf Servern, die das Unternehmen verwaltet?

   Lösung: Sagen Sie es, und weisen Sie darauf hin, dass man auch von einer privaten Adresse schreiben kann. Das HinSchG verpflichtet Sie nicht, anonyme Meldungen zu ermöglichen, die interne Meldestelle soll sie aber bearbeiten (§ 16(1) HinSchG). Wer anonym melden will, muss dafür per E-Mail selbst ein separates Konto anlegen. Siehe anonyme vs. identifizierte Meldung, erklärt.

9. Ein persönliches Treffen ist auf Wunsch möglich, und wo nötig gibt es einen mündlichen Weg.

   Prüfen: Kann jemand melden, ohne etwas aufzuschreiben, und um ein persönliches Treffen bitten?

   Lösung: In Deutschland genügt ein rein schriftlicher Kanal, aber auf Wunsch muss eine persönliche Zusammenkunft möglich sein (§ 16(3) HinSchG). Beschreiben Sie in Ihrer Hinweisgeberrichtlinie, wie man sie beantragt und wer sie führt. Sind Sie auch in den Niederlanden oder Italien tätig, brauchen Sie dort zusätzlich einen mündlichen Weg, etwa Telefon oder Sprachnachricht. Siehe Sprachmeldungen und Anonymisierung, einfach erklärt.

10. Meldungen über die Fallbearbeiter gehen woanders hin, und der Zugriff übersteht Personalwechsel.

    Prüfen: Betrifft eine Meldung jemanden mit Zugriff auf das Postfach, wo landet sie? Wenn eine zuständige Person das Unternehmen verlässt, wer entzieht ihr den Zugriff und prüft, dass keine Weiterleitung zurückbleibt?

    Lösung: Nennen Sie in Ihrer Hinweisgeberrichtlinie eine alternative Kontaktperson, etwa ein Mitglied der Geschäftsführung oder eine externe Ombudsperson, mit eigenem Weg. Nehmen Sie das Postfach in Ihre Austritts-Checkliste auf und wiederholen Sie die Punkte 2 bis 4 jedes Quartal.

Was keine Einstellung beheben kann

Manche Lücken liegen daran, wie E-Mail funktioniert, nicht daran, wie Ihr Postfach eingerichtet ist:

• Irgendjemand kommt immer hinein. So eng Sie den Zugriff auch fassen: Eine Administratorin kann das Passwort zurücksetzen oder das Postfach durchsuchen. Der Kanal ist durch eine Regel auf Befugte beschränkt, nicht durch seine Gestaltung.
• Anonymität kostet die hinweisgebende Person Aufwand. Anonym zu melden geht nur mit einem vorher angelegten separaten Konto, und die Nachricht trägt trotzdem Header und Metadaten.
• Die Kopie der hinweisgebenden Person. Eine Meldung vom dienstlichen Konto hinterlässt eine Spur auf Ihren Servern, die Sie nicht entfernen können, ohne in deren Postfach einzugreifen.
• Die Dokumentation liegt außerhalb des Kanals. Register, Fristen und Prüfprotokoll sind eine separate Tabelle, die von Hand mitgeführt werden muss. Fragt eine Behörde oder ein Gericht, was wann geschah, ist „hier sind die E-Mails und hier ist unsere Tabelle" eine schwächere Antwort als ein Protokoll jeder Handlung mit Zeitstempel. Siehe Prüfprotokoll: eine belastbare Aufzeichnung führen.

Was der laufende Betrieb eines Postfachs verlangt

Wenn jeder Prüfpunkt oben erfüllt ist, haben Sie einen Kanal, der den Anforderungen genügen kann. Damit das so bleibt, braucht es laufende Arbeit:

• eine Zugriffsprüfung jedes Quartal sowie nach jedem Austritt und jeder IT-Änderung
• ein Register, das für jede Meldung von Hand gepflegt und wöchentlich mit den Fristen abgeglichen wird
• einen Weg für persönliche Treffen auf Wunsch, mit eigenen Zugriffsgrenzen
• planmäßiges Löschen im Postfach, im Register, in Archiven und Backups
• eine Datenschutz-Folgenabschätzung, die den Zugriff erklärt, den Sie nicht entfernen konnten

Nichts davon ist schwierig, aber alles hängt davon ab, dass jemand daran denkt.

Warum Unternehmen zu Provoxis wechseln

Provoxis ist für genau diese Aufgabe gebaut. Die meisten Prüfpunkte oben sind deshalb erledigt, bevor Ihre erste Meldung eingeht:

Es gibt keine vierteljährliche Zugriffsprüfung über Mailsysteme hinweg, keine Tabelle, die mitgeführt werden muss, und nichts neu aufzubauen, wenn eine Fallbearbeiterin geht. Die Einrichtung erfolgt selbstständig mit einer geführten Checkliste, der Preis ist eine feste Monatsgebühr (siehe Preise), und es gibt eine 30-tägige kostenlose Testphase.

Umstieg vom Postfach

1. Veröffentlichen Sie den neuen Kanal überall, wo die E-Mail-Adresse stand: Website, Hinweisgeberrichtlinie, Mitarbeiterhandbuch und Lieferantenunterlagen.
2. Behalten Sie die alte Adresse eine Weile, mit einer automatischen Antwort, die auf die neue Meldeseite verweist. Manche werden sie weiter nutzen.
3. Für Meldungen, die trotzdem per E-Mail eingehen, gibt es zwei Wege. Antworten Sie von der eigens eingerichteten Adresse und bitten Sie die Person, über die Meldeseite zu melden, damit sie eine eigene Fallreferenz erhält. Oder, wenn sie das nicht möchte, reichen Sie die Meldung in ihrem Namen ein, vermerken darin, dass sie per E-Mail kam, und schicken die Fallreferenz nur an sie, damit sie den Fall von dort aus verfolgen kann.
4. Kümmern Sie sich um den Bestand im Postfach. Schließen Sie offene Fälle dort ab, wo sie sind, oder übertragen Sie sie auf dieselbe Weise. Löschen Sie den Rest nach Ablauf der Aufbewahrungsfrist und stellen Sie das Postfach dann still.

Rechtsgrundlage

• § 16 HinSchG — Zugriff nur für die Zuständigen; mündliche oder schriftliche Meldungen sowie eine persönliche Zusammenkunft auf Wunsch. Die Gesetzesbegründung (BT-Drs. 20/3442, S. 81) bestätigt, dass eine der beiden Formen genügt.
• § 11 HinSchG — Dokumentation jeder Meldung; Löschung drei Jahre nach Abschluss des Verfahrens (Abs. 5).
• § 17 HinSchG — Eingangsbestätigung binnen 7 Tagen, Rückmeldung binnen 3 Monaten.
• IHK-Leitfaden zum HinSchG — nennt eine eigens für HinSchG-Meldungen eingerichtete E-Mail-Adresse als zulässigen Kanal.
• Art. 6(2), Art. 9(1)(a)–(f), Art. 9(2), Art. 16, Art. 18, Richtlinie (EU) 2019/1937 — Anonymität als nationale Entscheidung; sichere Gestaltung und Zugriff nur für Befugte; Fristen; benannte Stelle; Meldungen schriftlich, mündlich oder beides; Vertraulichkeit der Identität; Dokumentation.
• Décret n° 2022-1284, Art. 4 und 6 (Légifrance) — schriftliche oder mündliche Meldungen; Integrität, Vertraulichkeit, kein Zugriff für Unbefugte.
• Ley 2/2023, Art. 5.2, 7.2 und 7.3 (BOE) — sichere Gestaltung; schriftliche und mündliche Meldungen; Annahme anonymer Meldungen.
• D.Lgs. 24/2023, Art. 4, und ANAC-Leitlinien 1/2025 zu internen Kanälen, Beschluss Nr. 478 vom 26. November 2025 (ANAC) — Vertraulichkeit auch durch Verschlüsselung; schriftliche und mündliche Meldewege sind zu gewährleisten (Abschnitt 2.2); gewöhnliche E-Mail und PEC für sich genommen ungeeignet ohne begründete Gegenmaßnahmen.
• Wet bescherming klokkenluiders, Art. 2 (wetten.overheid.nl) — schriftliche und mündliche Meldungen sowie ein Treffen auf Wunsch.
• Polnisches Hinweisgeberschutzgesetz vom 14. Juni 2024, Art. 25–27 — Inhalt des Verfahrens; mündliche und schriftliche (auch elektronische) Meldungen; kein Zugriff für Unbefugte.
• Protected Disclosures Act 2014 (Irland), s.5A und s.6A (konsolidierte Fassung) — anonyme Meldungen; sichere, vertrauliche interne Kanäle.