Hinweisgeberschutzgesetz (HinSchG)

Was Ihr Unternehmen jetzt zwingend umsetzen muss

Seit dem 2. Juli 2023 ist das Hinweisgeberschutzgesetz in Deutschland in Kraft – und trotzdem arbeiten Tausende Unternehmen noch immer ohne die gesetzlich vorgeschriebenen Meldesysteme. Das ist kein Kavaliersdelikt. Wer die Pflichten ignoriert, riskiert empfindliche Bußgelder und im Ernstfall massive Reputationsschäden. Dieser Beitrag zeigt, was genau verlangt wird, wen es betrifft und wo die häufigsten Fallen lauern.

Was ist das Hinweisgeberschutzgesetz überhaupt?

Das HinSchG setzt die EU-Whistleblower-Richtlinie (2019/1937) in deutsches Recht um. Es schützt Menschen, die in ihrem beruflichen Umfeld auf Missstände, Rechtsverstöße oder Gefahren aufmerksam machen – sogenannte Hinweisgeber oder Whistleblower. Gleichzeitig verpflichtet es Unternehmen und Behörden, sichere und vertrauliche Meldekanäle bereitzustellen.

Das klingt abstrakt, ist in der Praxis aber sehr konkret: Meldet ein Mitarbeiter intern einen Verstoß und erleidet er danach Nachteile – Kündigung, Versetzung, schlechte Beurteilungen – dreht sich die Beweislast um. Der Arbeitgeber muss nachweisen, dass der Nachteil nichts mit der Meldung zu tun hatte. Das ist eine völlig neue Dimension rechtlicher Verantwortung.

Wen betrifft das Gesetz?

Hier irren viele: Das HinSchG gilt nicht nur für Konzerne.

Unternehmen ab 50 Mitarbeitern sind zur Einrichtung einer internen Meldestelle verpflichtet. Die Fristen liefen gestaffelt:

• Ab 50 Mitarbeitern: Pflicht seit 17. Dezember 2023
• Ab 250 Mitarbeitern: Pflicht seit 2. Juli 2023
• Behörden und öffentliche Stellen: ebenfalls betroffen, unabhängig von der Mitarbeiterzahl

Dazu kommen Sonderregelungen für bestimmte Branchen – Finanzdienstleister, Versicherungen und Wertpapierfirmen unterlagen bereits vor dem allgemeinen Starttermin besonderen Anforderungen.

Wenn Ihr Unternehmen 50 oder mehr Beschäftigte hat und noch keine interne Meldestelle eingerichtet hat, verstoßen Sie gerade aktiv gegen geltendes Recht.

Was muss konkret umgesetzt werden?

1. Interne Meldestelle einrichten

Das Kernstück des Gesetzes. Die Meldestelle muss:

• unabhängig und vertraulich arbeiten
• schriftliche und mündliche Meldungen entgegennehmen können
• auf Wunsch auch anonyme Meldungen ermöglichen (seit der Gesetzesverabschiedung ausdrücklich empfohlen, auch wenn keine strikte Pflicht zur Anonymität besteht)
• innerhalb von 7 Tagen den Eingang einer Meldung bestätigen
• innerhalb von 3 Monaten Rückmeldung über ergriffene Maßnahmen geben

Die Person oder Stelle, die die Meldestelle betreibt, muss sachkundig sein. Das kann ein interner Mitarbeiter sein – aber nur, wenn keine Interessenkonflikte bestehen. In vielen Fällen ist die Beauftragung eines externen Dienstleisters die sicherere Lösung.

2. Hinweisgeber aktiv schützen

Repressalien gegen Hinweisgeber sind ausdrücklich verboten. Dazu zählen:

• Kündigung oder Abmahnung
• Versetzung oder Gehaltskürzung
• Mobbing oder Ausgrenzung
• schlechte Beurteilungen oder verweigerte Beförderungen
• Disziplinarmaßnahmen jeder Art

Entscheidend: Wer einen Hinweisgeber benachteiligt, trägt die Beweislast, dass der Zusammenhang mit der Meldung nicht bestand. Im Streitfall vor Gericht ist das eine extrem schwache Position.

3. Dokumentationspflicht

Alle eingehenden Meldungen müssen dokumentiert und für mindestens 3 Jahre aufbewahrt werden. Dabei sind datenschutzrechtliche Anforderungen zu beachten – insbesondere im Hinblick auf den Schutz personenbezogener Daten von Hinweisgebern und Beschuldigten.

Hier überschneiden sich HinSchG und DSGVO direkt. Wer an dieser Stelle nachlässig ist, riskiert Bußgelder aus zwei Rechtsbereichen gleichzeitig.

4. Informationspflichten erfüllen

Mitarbeiter müssen über die Existenz der Meldestelle, deren Erreichbarkeit und die geltenden Verfahren informiert werden. Das geschieht typischerweise über:

• Intranet oder Mitarbeiterhandbuch
• Aushänge oder E-Mail-Kommunikation
• Schulungen und Onboarding-Unterlagen

Wer die Meldestelle einrichtet, aber niemanden davon weiß, hat sein Soll nicht erfüllt.

Welche Sanktionen drohen?

Das Gesetz sieht konkrete Bußgelder vor:

Das sind keine Höchstwerte auf dem Papier. Die zuständigen Aufsichtsbehörden – das Bundesamt für Justiz fungiert als externe Meldestelle – sind aktiv. Und anders als bei manchem Datenschutzverstoß, der im Dunkeln bleibt, entstehen Hinweisgeberfälle oft aus konkreten Konflikten heraus, bei denen Mitarbeiter gezielt nach Wegen suchen, Druck auszuüben.

Die häufigsten Fehler in der Praxis

Nach unserem Beratungsalltag sehen wir immer wieder dieselben Versäumnisse:

„Wir haben eine E-Mail-Adresse eingerichtet“ – reicht nicht. Eine einfache E-Mail-Adresse gewährleistet weder Vertraulichkeit noch Anonymität und erfüllt die gesetzlichen Anforderungen in der Regel nicht.

„Das macht der HR-Bereich mit“ – problematisch. Personal- und Compliance-Abteilungen sind oft nicht unabhängig genug. Wer Meldungen über Führungskräfte entgegennimmt und gleichzeitig in deren Weisungskette steht, kann seiner Funktion nicht neutral nachkommen.

„Wir warten noch ab“ – gefährlich. Die Fristen sind abgelaufen. Jeder Tag ohne Meldestelle ist ein Tag, an dem Sie angreifbar sind.

„Das betrifft uns nicht, wir haben weniger als 50 Leute“ – nicht immer richtig. Bei Leiharbeit, Werkverträgen oder konzernangehörigen Unternehmen kann die Schwelle schnell überschritten sein. Und auch unterhalb der Pflichtgrenze kann das Fehlen eines Meldesystems im Schadensfall nachteilig ausgelegt werden.

Was ist jetzt zu tun?

Der erste Schritt ist eine ehrliche Bestandsaufnahme: Haben Sie eine rechtskonforme interne Meldestelle? Wurden Mitarbeiter informiert? Gibt es eine Dokumentationslösung, die DSGVO-konform ist?

Wenn Sie auch nur eine dieser Fragen nicht mit einem klaren Ja beantworten können, besteht Handlungsbedarf – und zwar sofort.

Die Einrichtung eines konformen Meldesystems ist kein Mammutprojekt, wenn man weiß, worauf es ankommt. Es ist aber auch kein Thema, das man nebenher erledigt oder an einen technischen Dienstleister ohne Rechtskenntnis delegiert. Die Schnittstellen zwischen HinSchG, DSGVO, Arbeitsrecht und internen Prozessen erfordern eine strukturierte, rechtssichere Beratung.

---

Sprechen Sie uns an 

Wir prüfen Ihre aktuelle Situation, zeigen Ihnen konkret, was fehlt, und begleiten Sie bei der Umsetzung. Schnell, pragmatisch und ohne unnötigen Aufwand.

---

---

Headerbild: ©Spectral/depositphotos.com