Jahresbericht der Meldestelle

Der Jahresbericht der Meldestelle ist die periodische, aggregierte Auswertung aller im Berichtszeitraum eingegangenen Hinweise. Er beantwortet vier Kernfragen: Wie viele Meldungen sind über welche Meldekanäle eingegangen, welchen Themenfeldern waren sie zuzuordnen, wie schnell und mit welchem Ergebnis wurden sie bearbeitet, und welche Folgemaßnahmen wurden veranlasst. Anders als die Einzelfalldokumentation nach § 11 HinSchG richtet sich der Bericht nicht an die Fallbearbeitung, sondern an die Leitungsebene, den Prüfungsausschuss oder das Aufsichtsorgan. Eine ausdrückliche gesetzliche Pflicht zur Erstellung eines Jahresberichts sieht das Hinweisgeberschutzgesetz für interne Meldestellen nicht vor; er hat sich gleichwohl als Standardinstrument etabliert, weil er die einzige belastbare Grundlage dafür ist, die Wirksamkeit des Systems gegenüber der Leitung nachzuweisen.

Rechtlich lässt sich der Bericht aus dem Zusammenspiel mehrerer Pflichten ableiten. Der Beschäftigungsgeber muss nach § 12 HinSchG eine interne Meldestelle einrichten und betreiben, die Meldestelle muss nach § 13 HinSchG die Meldekanäle unterhalten, Folgemaßnahmen ergreifen und die Fristen des § 17 HinSchG einhalten. Wer diese Betriebspflicht erfüllt, muss dies auch belegen können, und die Legalitätskontrollpflicht der Geschäftsleitung setzt voraus, dass die Leitung überhaupt Kenntnis von der Funktionsfähigkeit des Systems hat. Auf europäischer Ebene verlangt Art. 27 der Richtlinie (EU) 2019/1937 von den Mitgliedstaaten jährliche statistische Angaben zu Meldungen – eine Berichtspflicht, die unmittelbar nur die externen Meldestellen und die Mitgliedstaaten trifft, deren Kennzahlenlogik aber häufig als Vorlage für die interne Statistik dient.

Inhaltlich ist der Bericht strikt anonymisiert zu halten: Das Vertraulichkeitsgebot des § 8 HinSchG gilt auch gegenüber der Leitung, weshalb Fallzahlen so zu aggregieren sind, dass keine Rückschlüsse auf hinweisgebende oder betroffene Personen möglich sind. In kleinen Einheiten kann bereits eine Aufschlüsselung nach Standort und Kategorie identifizierend wirken; hier ist zusammenzufassen oder auf die Untergliederung zu verzichten. Typische Kennzahlen sind Meldungsvolumen, Kanalverteilung, Anteil anonymer Meldungen, Quote der Meldungen mit Anfangsverdacht, durchschnittliche Bearbeitungsdauer, Einhaltungsquote der Sieben-Tage- und Drei-Monats-Frist sowie Art der Folgemaßnahmen. Ergänzend gehören eine qualitative Einordnung – erkennbare Muster, Risikoschwerpunkte, Verbesserungsbedarf – und der Nachweis der Erreichbarkeit und Schulung der Meldestelle in den Bericht. Für nachhaltigkeitsberichtspflichtige Unternehmen können diese Angaben zudem in die Berichterstattung zur Unternehmenspolitik nach ESRS G1 einfließen; der Anwendungszeitraum der CSRD wird allerdings seit dem EU-Omnibus-Paket überarbeitet und ist für zahlreiche Unternehmen verschoben worden, sodass die konkreten Fristen im Einzelfall zu prüfen sind.