Projektplan für die Einführung eines Hinweisgebersystems
Unternehmen ab 50 Beschäftigten brauchen nach dem Hinweisgeberschutzgesetz eine interne Meldestelle mit festen Fristen für Eingangsbestätigung und Rückmeldung. Neben der Technik zählen Vertraulichkeit, Datenschutz und die Einbindung des Betriebsrats. Dieser Plan zeigt die Einführung in einem Produktionsunternehmen mit 250 Mitarbeitenden.
Ohne Anmeldung · öffnet sofort · 12 Wochen · 6 Phasen · 32 Aufgaben · Budget ca. 31.600 €
So sieht der Plan in PathHub aus — klick dich durch die Reiter oder hake Aufgaben ab.
Einführung eines digitalen Hinweisgebersystems nach HinSchG
Für das Produktionsunternehmen mit 250 Mitarbeitenden wird eine interne Meldestelle nach dem Hinweisgeberschutzgesetz eingerichtet. Ein digitaler Meldekanal soll vertrauliche Meldungen ermöglichen und die fristgerechte Eingangsbestätigung sowie Rückmeldung unterstützen. Hierzu werden Zuständigkeiten, Bearbeitungsabläufe, Datenschutz, Zugriffsrechte und Löschfristen verbindlich geregelt. Der Betriebsrat wird beteiligt, die zuständigen Personen werden geschult und alle Beschäftigten einschließlich der Schichtbelegschaft vor dem Go-live informiert.
Phasen
Phase 1: Projektstart, Ist-Aufnahme und Governance
In dieser Phase werden der Projektauftrag, der geplante Go-live-Termin und der organisatorische Geltungsbereich verbindlich festgelegt. Zusätzlich werden bestehende Meldewege, betroffene Beschäftigtengruppen im Schicht- und Produktionsbetrieb sowie die Entscheidungs- und Verantwortungsstrukturen aufgenommen.
Phase 2: Rechtliches Soll-Konzept und Betriebsratsbeteiligung
Das rechtliche und organisatorische Soll-Verfahren für die interne Meldestelle wird entwickelt. Die gesetzlichen Fristen, Zuständigkeiten, Folgemaßnahmen und die Beteiligung des Betriebsrats werden so früh abgestimmt, dass die erforderlichen Entscheidungen spätestens acht Wochen vor dem Go-live vorbereitet sind.
Phase 3: Plattformentscheidung sowie Datenschutz- und Sicherheitskonzept
Die Plattform und das Betriebsmodell werden ausgewählt, während Vertraulichkeit, Zugriffsschutz, Löschfristen und datenschutzrechtliche Voraussetzungen verbindlich festgelegt werden. Die interne Meldestelle wird spätestens zum Ende der fünften Woche formal benannt, damit die gesetzliche Zuständigkeit rechtzeitig vor dem Go-live gewährleistet ist.
Phase 4: Rechtliche Finalisierung und technische Umsetzung
Die ausgewählte Plattform wird eingerichtet und der rechtlich abgestimmte Meldeprozess technisch umgesetzt. Vor einer Verarbeitung durch einen externen Anbieter werden die vertraglichen Datenschutzanforderungen erfüllt; gleichzeitig wird die Betriebsratsbeteiligung zu Verfahren und Plattform abschließend dokumentiert.
Phase 5: Tests, Schulung und Information der Beschäftigten
Das Hinweisgebersystem wird anhand realistischer Produktions- und Schichtbetriebsszenarien geprüft. Vor dem Go-live werden die interne Meldestelle, Führungskräfte und Beschäftigten zu Meldewegen, Vertraulichkeit, Schutz vor Repressalien und den verbindlichen Bearbeitungsfristen informiert und geschult.
Phase 6: Go-live und Stabilisierungsbetrieb
Das Hinweisgebersystem wird in Woche 11 verbindlich in Betrieb genommen und über die ersten Betriebswochen überwacht. Fristen, Erreichbarkeit, Vertraulichkeit und praktische Nutzbarkeit werden anhand des laufenden Betriebs überprüft und notwendige Korrekturen unmittelbar umgesetzt.
Timeline
Budget
| Position | Menge | Einzelpreis | Gesamt |
|---|---|---|---|
| Plattformscreening, Anbieterbewertung, Konfiguration des digitalen Meldekanals und Einrichtung rollenbasierter Zugriffe (Phase 3 und 4) | 4 Personentage | 900 € | 3.600 € |
| Plattformlizenz einschließlich Support und sicherem Betrieb für die ersten zwölf Monate | 12 Monat | 500 € | 6.000 € |
| Position | Menge | Einzelpreis | Gesamt |
|---|---|---|---|
| Rechtliche Soll-Konzeption und Verfahrensordnung einschließlich Eingangsbestätigung binnen 7 Tagen, Rückmeldung binnen 3 Monaten und Eskalationswegen (Phase 2 und 4) | 5 Personentage | 1.000 € | 5.000 € |
| Benennung der internen Meldestelle sowie Ausarbeitung von Rollen-, Zuständigkeits- und Fristenmodell (Phase 1 bis 3) | 3 Personentage | 600 € | 1.800 € |
| Prüfung und Abschluss des Auftragsverarbeitungsvertrags mit dem Plattformanbieter vor Beginn der Verarbeitung (Phase 3 und 4) | 1 Personentage | 900 € | 900 € |
| Position | Menge | Einzelpreis | Gesamt |
|---|---|---|---|
| Vorbereitung und Durchführung der Betriebsratsbeteiligung zu Meldeverfahren und technischer Plattform (Phase 2 und 4) | 2 Personentage | 850 € | 1.700 € |
| Beschäftigteninformation für Produktionsstandorte und Schichtbetrieb einschließlich Kommunikationsmaterialien (Phase 5) | 3 Personentage | 600 € | 1.800 € |
| Schulung der internen Meldestelle, Führungskräfte und relevanten Beschäftigtengruppen zu Meldewegen, Vertraulichkeit und Repressalienschutz (Phase 5) | 3 Personentage | 450 € | 1.350 € |
| Position | Menge | Einzelpreis | Gesamt |
|---|---|---|---|
| Datenschutzkonzept zu Vertraulichkeit, Datenminimierung, Zugriffsrechten, Protokollierung und Löschfristen (Phase 3) | 3 Personentage | 950 € | 2.850 € |
| Prüfung der Erforderlichkeit einer Datenschutz-Folgenabschätzung sowie technische Sicherheitsprüfung der Plattform (Phase 3 und 4) | 2 Personentage | 750 € | 1.500 € |
| Position | Menge | Einzelpreis | Gesamt |
|---|---|---|---|
| Projektleitung, Termin- und Entscheidungssteuerung sowie Koordination von Fachbereichen, Betriebsrat und Plattformanbieter (Phase 1 bis 6) | 3 Personentage | 800 € | 2.400 € |
| Revisionsfähige Projektdokumentation, Betriebsübergabe und Nachweis der Fristen-, Datenschutz- und Berechtigungskontrollen (Phase 6) | 1 Personentage | 750 € | 750 € |
| Position | Menge | Einzelpreis | Gesamt |
|---|---|---|---|
| Funktionale Tests, Berechtigungs- und Vertraulichkeitstests, Fristenprüfung, Löschtest und Abnahmevorbereitung (Phase 5) | 3 Personentage | 650 € | 1.950 € |
Risiken
Verzögerte Betriebsratsbeteiligung
Wenn der Betriebsrat das Meldeverfahren oder die technische Plattform nicht bis Ende Woche 8 beraten und bewertet hat, können offene Mitbestimmungsfragen nach § 87 Abs. 1 Nr. 1 und Nr. 6 BetrVG die Konfiguration oder den Go-live in Woche 11 verschieben.
Unklare Zuständigkeit oder Fristversäumnisse
Wenn die interne Meldestelle oder Stellvertretung nicht spätestens Ende Woche 5 benannt ist oder kein überwachter Fristenprozess besteht, können die Eingangsbestätigung innerhalb von sieben Tagen und die Rückmeldung innerhalb von drei Monaten nach § 17 HinSchG verfehlt werden.
Verletzung der Vertraulichkeit durch fehlerhafte Berechtigungen
Wenn Plattformadministratoren, IT-Personal oder Führungskräfte über die erforderlichen Rollen hinaus Zugriff auf Meldungsinhalte oder Identitätsdaten erhalten oder Protokolle unzureichend geschützt sind, kann die Vertraulichkeit hinweisgebender Personen verletzt werden.
Verzögerter Datenschutz- oder Vertragsabschluss
Wenn die Datenschutzprüfung, die Prüfung einer Datenschutz-Folgenabschätzung oder der Auftragsverarbeitungsvertrag mit einem externen Plattformanbieter bis Ende Woche 8 nicht abgeschlossen ist, darf die externe Verarbeitung vor dem Go-live nicht beginnen.
Eingeschränkte Erreichbarkeit im Schicht- und Produktionsbetrieb
Wenn Beschäftigte an Produktionsstandorten keinen einfachen mobilen oder schichtkompatiblen Zugang zum Meldekanal haben oder die Zugangsinformationen nicht in allen Schichten verfügbar sind, können Meldungen unterbleiben oder verspätet abgegeben werden.
Geringe Akzeptanz und Angst vor Repressalien
Wenn Beschäftigte vor dem Go-live nicht verständlich über Vertraulichkeit, Schutz vor Repressalien, Meldewege und externe Meldestellen informiert werden oder Führungskräfte das System nicht unterstützen, können informelle Meldewege und eine geringe Nutzung entstehen.
Stakeholder
Geschäftsführung beziehungsweise Projektauftraggeber
Entscheidet über Projektauftrag, Ressourcen, Risikotoleranz, Benennung der internen Meldestelle und verbindliche Einführung.
Compliance- und Rechtsabteilung
Bewertet die Anforderungen des HinSchG, formuliert die Verfahrensregeln und stellt die Einhaltung der gesetzlichen Bearbeitungsfristen sicher.
Interne Meldestellenverantwortliche
Bearbeiten Meldungen vertraulich, steuern Folgemaßnahmen und gewährleisten Eingangsbestätigung und Rückmeldung innerhalb der vorgeschriebenen Fristen.
Datenschutzbeauftragte
Prüft Rechtsgrundlagen, Datenminimierung, Löschfristen, Zugriffsrechte und die Erforderlichkeit einer Datenschutz-Folgenabschätzung.
IT und Informationssicherheit
Bewertet Plattformarchitektur, Authentifizierung, Protokollierung, Verfügbarkeit, Berechtigungen und technische Schutzmaßnahmen.
Betriebsrat
Wirkt bei der Ausgestaltung des Meldeverfahrens und bei möglichen verhaltens- oder leistungsbezogenen Funktionen der technischen Plattform mit.
Personalabteilung und Unternehmenskommunikation
Organisieren zielgruppengerechte Information, Schulung und Akzeptanzförderung für Beschäftigte und Führungskräfte.
Beschäftigte und Führungskräfte
Müssen den Meldeweg kennen, Vertrauen in dessen Vertraulichkeit entwickeln und Rückmeldung zur praktischen Nutzbarkeit im Produktions- und Schichtbetrieb geben.
Plattformanbieter beziehungsweise Ombudsperson
Unterstützt Auswahl und Konfiguration, stellt Sicherheitsnachweise bereit und muss gegebenenfalls vor der Verarbeitung vertraglich nach Art. 28 DSGVO gebunden werden.
Compliance
Interne Meldestelle für das Unternehmen mit 250 Mitarbeitenden einrichten, verantwortliche Personen und Stellvertretung benennen sowie einen verbindlichen Ablauf mit Eingangsbestätigung spätestens nach sieben Tagen, Rückmeldung innerhalb von drei Monaten, Folgemaßnahmen und Eskalationen nach HinSchG festlegen
Vertraulichkeit der Identität hinweisgebender Personen und betroffener Personen, rollenbasierte Zugriffe, Berechtigungsentzug, geschützte Protokollierung und Nachweis der Zugriffskontrollen festlegen
Bei Nutzung einer externen Plattform oder Ombudsperson einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO einschließlich Weisungs-, Sicherheits-, Unterauftragsverarbeiter-, Lösch- und Nachweispflichten abschließen; Verarbeitung erst danach freigeben
Betriebsrat zum Meldeverfahren, zu Verhaltensregeln und zur technischen Plattform beteiligen und die Prüfung möglicher Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 1 und Nr. 6 BetrVG dokumentieren
Beschäftigte, Führungskräfte und Schichtverantwortliche über Meldekanal, interne und externe Meldewege, Vertraulichkeit, Schutz vor Repressalien und praktische Nutzung informieren und schulen
Plattform, Fristenüberwachung, Berechtigungen, Löschung, Notfallzugang und Erreichbarkeit an allen Produktionsstandorten testen; Testergebnisse, Abnahme und Regelbetriebsübergabe revisionsfähig dokumentieren
Meilensteine
- Woche 1
Genehmigter Projektauftrag mit festgelegtem Go-live-Termin, dokumentierter Ist-Aufnahme und abgestimmter Verantwortlichkeitsmatrix
Voraussetzung: Freigabe durch die Geschäftsführung sowie Verfügbarkeit der relevanten Fachbereiche - Woche 3
Abgestimmter Entwurf des rechtlichen Soll-Konzepts mit dokumentierter erster Betriebsratsbeteiligung und vollständigem Anforderungskatalog für den Meldekanal
Voraussetzung: Genehmigter Projektauftrag, abgeschlossene Ist-Aufnahme und frühzeitige Einbindung des Betriebsrats - Woche 5
Interne Meldestelle spätestens am Ende von Woche 5 benannt, Plattform ausgewählt sowie Datenschutz-, Vertraulichkeits-, Zugriffs- und Löschkonzept einschließlich DSFA-Prüfung abgeschlossen
Voraussetzung: Abgestimmtes Soll-Konzept, vollständiger Anforderungskatalog und verfügbare Anbieterinformationen - Woche 8
Technisch konfigurierte Plattform, finalisierte Verfahrensordnung, dokumentierte abschließende Betriebsratsbeteiligung und unterzeichneter Auftragsverarbeitungsvertrag vor Beginn einer externen Verarbeitung
Voraussetzung: Plattformentscheidung, Datenschutz- und Sicherheitskonzept sowie Abschluss der erforderlichen rechtlichen und betrieblichen Abstimmungen - Woche 10
Abgenommenes Hinweisgebersystem ohne kritische Testfehler sowie nachweisbare Schulung und Information der relevanten Beschäftigtengruppen vor dem Go-live
Voraussetzung: Fertig konfigurierte Plattform, freigegebene Verfahrensordnung und einsatzbereite Schulungs- und Kommunikationsunterlagen - Woche 12
Hinweisgebersystem produktiv in Betrieb, erste Stabilisierungsprüfung abgeschlossen und Regelbetriebsübergabe mit dokumentierter Fristen-, Datenschutz- und Berechtigungskontrolle erfolgt
Voraussetzung: Erfolgreiche Abnahme, behobene kritische Testfehler und abgeschlossene Schulung und Beschäftigteninformation
So ist dieser Plan entstanden
Dieser Plan wurde von PathHub AI aus einer einzigen Beschreibung erstellt: „Einrichtung eines Hinweisgebersystems nach dem Hinweisgeberschutzgesetz in einem Produktionsunternehmen mit 250 Mitarbeitenden: interne Meldestelle, digitaler Meldekanal, Fristen und Ablauf, Datenschutz, Betriebsrat und Information der Beschäftigten. Start in drei Monaten.“ — ohne Unternehmenskontext. Mit deinen Abteilungen, Freigabeprozessen und Compliance-Vorgaben wird er deutlich genauer.
Pflichten mit Vorlauf: Daran denken viele zu spät
Diese Pflichten löst die Einführung eines Hinweisgebersystems typischerweise aus (Beispiel Deutschland). PathHub AI plant sie mit Vorlauf ein, warnt bei zu knappem Zeitplan und zeigt unter „Regel & Nachweise“ die Regel mit Kriterien, die du abhakst und mit Nachweisen belegst. Keine Rechtsberatung.
Regel & Nachweise
Warum: Die Meldestelle muss unabhängig, vertraulich und mit festen Fristen arbeiten.
Rechtsgrundlage: HinSchG: interne Meldestelle ab 50 Beschäftigten; Eingangsbestätigung spätestens nach 7 Tagen, Rückmeldung innerhalb von 3 Monaten (§ 17); fehlende Meldestelle ist bußgeldbewehrt.
- Interne Meldestelle eingerichtet — schriftlich, telefonisch, auf Wunsch persönlich
- Eingangsbestätigung binnen 7 Tagen, Rückmeldung binnen 3 Monaten
- Vertraulichkeit der Hinweisgeberidentität gewährleistet
- Fallakten 3 Jahre aufbewahrt
Bei Verstoß: Bußgelder bis 50.000 EUR bei fehlender Meldestelle. Behinderung einer Meldung oder Repressalien bis 500.000 EUR. Plus Schadenersatzpflicht.
Regel & Nachweise
Warum: Meldungen enthalten besonders sensible Daten über Hinweisgeber und Beschuldigte.
- Rechtsgrundlage für jede Verarbeitung personenbezogener Daten (Einwilligung, Vertrag, gesetzliche Pflicht, berechtigtes Interesse)
- Vollständiges Verarbeitungsverzeichnis (Art. 30) für alle Prozesse
- Auftragsverarbeitungsverträge (AVV / DPA) mit allen Dienstleistern
- Datenschutz-Folgenabschätzung (DSFA) bei Hochrisiko-Verarbeitungen
- Technische und organisatorische Maßnahmen (TOM) dokumentiert
Bei Verstoß: Bußgelder bis 20 Mio. EUR oder 4% des weltweiten Konzernjahresumsatzes — je nachdem, welcher Betrag höher ist. Plus zivilrechtliche Schadenersatzansprüche Betroffener.
Regel & Nachweise
Warum: Externe Meldekanäle verarbeiten die Meldungen in eurem Auftrag.
Gilt: wenn eine externe Plattform oder Ombudsperson genutzt wird
Rechtsgrundlage: Art. 28 DSGVO: Vertrag vor Beginn der Verarbeitung.
- Auftragsverarbeitungsvertrag (AVV) mit Cloud-Provider
- SLA mit Verfügbarkeit, RPO, RTO
- Exit- und Portabilitätsklausel
- Datenlokalisierung und Transfer-Mechanismus (SCC / Adequacy)
Bei Verstoß: Zivilrechtliche Ansprüche bei Datenverlust; Regressansprüche abhängig vom Vertrag. DSGVO-Bußgelder bei Non-Compliance.
Regel & Nachweise
Warum: Verfahrensregeln betreffen die Ordnung im Betrieb.
Gilt: nur wenn ein Betriebsrat besteht
Rechtsgrundlage: Je nach Ausgestaltung (Verhaltensregeln, technische Plattform) können Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 1 und 6 BetrVG bestehen.
- Betriebsrat-Wahl initiieren/ermöglichen ab 5 wahlberechtigten Arbeitnehmern
- Mitbestimmung bei Arbeitszeit, Überwachungssystemen, IT-Einführung (§87)
- Anhörung vor jeder Kündigung (§102) — schriftlich mit Begründung
- Interessenausgleich und Sozialplan bei Betriebsänderungen (§111)
Bei Verstoß: Unwirksamkeit von Kündigungen ohne BR-Anhörung. Ordnungswidrigkeiten bis 10.000 EUR je Verstoß. Strafbarkeit (§119) bei Behinderung des BR bis 1 Jahr Haft.
Häufig gestellte Fragen
Weitere Projektplan-Beispiele
Diesen Plan für dein Unternehmen anpassen
Öffne den Plan in PathHub — ohne Anmeldung. Oder beschreib dein eigenes Vorhaben und erhalte in wenigen Minuten einen vollständigen Plan.
Plan öffnen →