Hinweisgeberschutzgesetz (HinSchG)

Was Ihr Unternehmen jetzt zwingend umsetzen muss

Seit dem 2. Juli 2023 ist das Hinweisgeberschutzgesetz in Deutschland in Kraft, und trotzdem arbeiten Tausende Unternehmen noch immer ohne die gesetzlich vorgeschriebenen Meldesysteme. Das ist kein Kavaliersdelikt. Wer die Pflichten ignoriert, riskiert empfindliche Bußgelder und im Ernstfall massive Reputationsschäden. Dieser Beitrag zeigt, was genau verlangt wird, wen es betrifft und wo die häufigsten Fallen lauern.

Was ist das Hinweisgeberschutzgesetz überhaupt?

Das HinSchG setzt die EU-Whistleblower-Richtlinie (2019/1937) in deutsches Recht um. Es schützt Menschen, die in ihrem beruflichen Umfeld auf Missstände, Rechtsverstöße oder Gefahren aufmerksam machen, sogenannte Hinweisgeber oder Whistleblower. Gleichzeitig verpflichtet es Unternehmen und Behörden, sichere und vertrauliche Meldekanäle bereitzustellen.

Das klingt abstrakt, ist in der Praxis aber sehr konkret: Meldet ein Mitarbeiter intern einen Verstoß und erleidet er danach Nachteile wie Kündigung, Versetzung oder schlechte Beurteilungen, dreht sich die Beweislast um. Der Arbeitgeber muss nachweisen, dass der Nachteil nichts mit der Meldung zu tun hatte. Das ist eine völlig neue Dimension rechtlicher Verantwortung.

Wen betrifft das Gesetz?

Hier irren viele: Das HinSchG gilt nicht nur für Konzerne.

Unternehmen ab 50 Mitarbeitern sind zur Einrichtung einer internen Meldestelle verpflichtet. Die Fristen liefen gestaffelt:

• Ab 50 Mitarbeitern: Pflicht seit 17. Dezember 2023
• Ab 250 Mitarbeitern: Pflicht seit 2. Juli 2023
• Behörden und öffentliche Stellen: ebenfalls betroffen, unabhängig von der Mitarbeiterzahl

Dazu kommen Sonderregelungen für bestimmte Branchen. Finanzdienstleister, Versicherungen und Wertpapierfirmen unterlagen bereits vor dem allgemeinen Starttermin besonderen Anforderungen.

Wenn Ihr Unternehmen 50 oder mehr Beschäftigte hat und noch keine interne Meldestelle eingerichtet hat, verstoßen Sie gerade aktiv gegen geltendes Recht.

Was muss konkret umgesetzt werden?

1. Interne Meldestelle einrichten

Das Kernstück des Gesetzes. Die Meldestelle muss:

• unabhängig und vertraulich arbeiten
• schriftliche und mündliche Meldungen entgegennehmen können
• auf Wunsch auch anonyme Meldungen ermöglichen
• innerhalb von 7 Tagen den Eingang einer Meldung bestätigen
• innerhalb von 3 Monaten Rückmeldung über ergriffene Maßnahmen geben

Die Person oder Stelle, die die Meldestelle betreibt, muss sachkundig sein. Das kann ein interner Mitarbeiter sein, aber nur, wenn keine Interessenkonflikte bestehen. In vielen Fällen ist die Beauftragung eines externen Dienstleisters die sicherere Lösung.

2. Hinweisgeber aktiv schützen

Repressalien gegen Hinweisgeber sind ausdrücklich verboten. Dazu zählen:

• Kündigung oder Abmahnung
• Versetzung oder Gehaltskürzung
• Mobbing oder Ausgrenzung
• schlechte Beurteilungen oder verweigerte Beförderungen
• Disziplinarmaßnahmen jeder Art

Entscheidend: Wer einen Hinweisgeber benachteiligt, trägt die Beweislast, dass der Zusammenhang mit der Meldung nicht bestand. Im Streitfall vor Gericht ist das eine extrem schwache Position.

3. Dokumentationspflicht

Alle eingehenden Meldungen müssen dokumentiert und für mindestens 3 Jahre aufbewahrt werden. Dabei sind datenschutzrechtliche Anforderungen zu beachten, insbesondere im Hinblick auf den Schutz personenbezogener Daten von Hinweisgebern und Beschuldigten.

Hier überschneiden sich HinSchG und DSGVO direkt. Wer an dieser Stelle nachlässig ist, riskiert Bußgelder aus zwei Rechtsbereichen gleichzeitig.

4. Informationspflichten erfüllen

Mitarbeiter müssen über die Existenz der Meldestelle, deren Erreichbarkeit und die geltenden Verfahren informiert werden. Das geschieht typischerweise über:

• Intranet oder Mitarbeiterhandbuch
• Aushänge oder E-Mail-Kommunikation
• Schulungen und Onboarding-Unterlagen

Wer die Meldestelle einrichtet, aber niemanden davon weiß, hat sein Soll nicht erfüllt.

Welche Sanktionen drohen?

Das Gesetz sieht konkrete Bußgelder vor:

Das sind keine Höchstwerte auf dem Papier. Die zuständigen Aufsichtsbehörden, das Bundesamt für Justiz fungiert als externe Meldestelle, sind aktiv. Und anders als bei manchem Datenschutzverstoß, der im Dunkeln bleibt, entstehen Hinweisgeberfälle oft aus konkreten Konflikten heraus, bei denen Mitarbeiter gezielt nach Wegen suchen, Druck auszuüben.

Die häufigsten Fehler in der Praxis

Nach unserem Beratungsalltag sehen wir immer wieder dieselben Versäumnisse:

„Wir haben eine E-Mail-Adresse eingerichtet“ reicht nicht. Eine einfache E-Mail-Adresse gewährleistet weder Vertraulichkeit noch Anonymität und erfüllt die gesetzlichen Anforderungen in der Regel nicht.

„Das macht der HR-Bereich mit“ ist problematisch. Personal- und Compliance-Abteilungen sind oft nicht unabhängig genug. Wer Meldungen über Führungskräfte entgegennimmt und gleichzeitig in deren Weisungskette steht, kann seiner Funktion nicht neutral nachkommen.

„Wir warten noch ab“ ist gefährlich. Die Fristen sind abgelaufen. Jeder Tag ohne Meldestelle ist ein Tag, an dem Sie angreifbar sind.

„Das betrifft uns nicht, wir haben weniger als 50 Leute“ ist nicht immer richtig. Bei Leiharbeit, Werkverträgen oder konzernangehörigen Unternehmen kann die Schwelle schnell überschritten sein. Und auch unterhalb der Pflichtgrenze kann das Fehlen eines Meldesystems im Schadensfall nachteilig ausgelegt werden.

Was ist jetzt zu tun?

Der erste Schritt ist eine ehrliche Bestandsaufnahme: Haben Sie eine rechtskonforme interne Meldestelle? Wurden Mitarbeiter informiert? Gibt es eine Dokumentationslösung, die DSGVO-konform ist?

Wenn Sie auch nur eine dieser Fragen nicht mit einem klaren Ja beantworten können, besteht Handlungsbedarf, und zwar sofort.

Die Einrichtung eines konformen Meldesystems ist kein Mammutprojekt, wenn man weiß, worauf es ankommt. Es ist aber auch kein Thema, das man nebenher erledigt oder an einen technischen Dienstleister ohne Rechtskenntnis delegiert. Die Schnittstellen zwischen HinSchG, DSGVO, Arbeitsrecht und internen Prozessen erfordern eine strukturierte, rechtssichere Beratung.

---

Sprechen Sie uns an

Wir prüfen Ihre aktuelle Situation, zeigen Ihnen konkret, was fehlt, und begleiten Sie bei der Umsetzung. Schnell, pragmatisch und ohne unnötigen Aufwand.

---

---

Häufige Fragen zum Hinweisgeberschutzgesetz

Ab wie vielen Mitarbeitern muss ich eine interne Meldestelle einrichten?

Ab 50 Beschäftigten sind Sie zur Einrichtung verpflichtet. Für Unternehmen ab 250 Mitarbeitern gilt das schon seit dem 2. Juli 2023, für die ab 50 Mitarbeitern seit dem 17. Dezember 2023. Behörden und öffentliche Stellen fallen unabhängig von der Mitarbeiterzahl darunter. Wenn Sie 50 oder mehr Beschäftigte haben und bisher keine Meldestelle betreiben, verstoßen Sie gerade aktiv gegen geltendes Recht.

Reicht eine E-Mail-Adresse als Meldekanal aus?

Nein, das ist einer der häufigsten Fehler. Eine einfache E-Mail-Adresse sichert weder Vertraulichkeit noch Anonymität und erfüllt die gesetzlichen Anforderungen in der Regel nicht. Die Meldestelle muss unabhängig und vertraulich arbeiten, schriftliche und mündliche Meldungen annehmen und auf Wunsch auch anonyme Hinweise ermöglichen.

Welche Fristen muss die Meldestelle einhalten?

Den Eingang einer Meldung muss sie innerhalb von 7 Tagen bestätigen. Über die ergriffenen Maßnahmen muss innerhalb von 3 Monaten eine Rückmeldung erfolgen. Alle Meldungen sind zu dokumentieren und mindestens 3 Jahre aufzubewahren, wobei die datenschutzrechtlichen Anforderungen der DSGVO zu beachten sind.

Welche Bußgelder drohen bei Verstößen?

Fehlt die interne Meldestelle, sind bis zu 20.000 Euro fällig. Repressalien gegen Hinweisgeber und die Behinderung einer Meldung kosten bis zu 50.000 Euro, die Verletzung der Vertraulichkeitspflicht bis zu 10.000 Euro. Das Bundesamt für Justiz fungiert als externe Meldestelle und die Aufsichtsbehörden sind aktiv. Hinweisgeberfälle entstehen oft aus konkreten Konflikten heraus, deshalb bleiben sie selten unbemerkt.

Kann die Personalabteilung die Meldestelle übernehmen?

Das ist problematisch. HR- und Compliance-Abteilungen sind oft nicht unabhängig genug. Wer Meldungen über Führungskräfte annimmt und gleichzeitig in deren Weisungskette steht, kann die Funktion nicht neutral ausüben. In vielen Fällen ist die Beauftragung eines externen Dienstleisters die sicherere Lösung, gerade weil so Interessenkonflikte vermieden werden.

Was passiert, wenn ein Mitarbeiter nach einer Meldung benachteiligt wird?

Dann dreht sich die Beweislast um. Nicht der Hinweisgeber muss belegen, dass die Benachteiligung mit seiner Meldung zusammenhängt, sondern der Arbeitgeber muss nachweisen, dass kein Zusammenhang besteht. Kündigung, Versetzung, Gehaltskürzung, schlechte Beurteilungen oder Disziplinarmaßnahmen gelten dabei als verbotene Repressalien. Vor Gericht ist das für den Arbeitgeber eine sehr schwache Position.

Gilt das Gesetz wirklich nicht für kleinere Unternehmen unter 50 Mitarbeitern?

Nicht so pauschal, wie viele denken. Bei Leiharbeit, Werkverträgen oder konzernangehörigen Unternehmen ist die Schwelle schnell überschritten. Und auch unterhalb der Pflichtgrenze kann das Fehlen eines Meldesystems im Schadensfall nachteilig ausgelegt werden. Eine ehrliche Bestandsaufnahme lohnt sich also auch für kleinere Betriebe.

Headerbild: ©Spectral/depositphotos.com