Hinweisgeberschutzgesetz (HinSchG): Pflichten für KMU einfach umsetzen
Das Hinweisgeberschutzgesetz gilt seit dem 2. Juli 2023. Unternehmen mit regelmäßig mindestens 50 Beschäftigten müssen grundsätzlich eine interne Meldestelle betreiben. Bei bestimmten Verstößen drohen Geldbußen bis zu 50.000 Euro – gegenüber juristischen Personen und Personenvereinigungen kann der Höchstbetrag in bestimmten Fällen auf bis zu 500.000 Euro steigen. Für kleine und mittlere Unternehmen kommt es deshalb auf sichere Meldewege, klare Zuständigkeiten und die fristgerechte Bearbeitung von Hinweisen an.
Zusammenfassung
Das Hinweisgeberschutzgesetz (HinSchG) schützt Personen, die im Beruf auf bestimmte Rechtsverstöße hinweisen, und regelt den Umgang mit ihren Meldungen. Das Wichtigste in Kürze:
- Unternehmen mit in der Regel mindestens 50 Beschäftigten müssen grundsätzlich eine interne Meldestelle einrichten; für bestimmte Unternehmen des Finanzsektors gilt diese Schwelle nicht.
- Eine interne Meldestelle braucht einen geregelten Ablauf: Eingang bestätigen, Hinweise bearbeiten, Rückmeldung geben und das Verfahren dokumentieren.
- Hinweisgebende Personen können zwischen einer internen und einer zuständigen externen Meldestelle wählen; Vertraulichkeit und der Schutz vor Repressalien müssen gewährleistet sein.
- Häufige Fehler sind breite Zugriffe auf Meldungen, eine vernachlässigte Dokumentation und unklare Zuständigkeiten.
- Bestimmte Verstöße können mit Geldbußen bis zu 50.000 Euro geahndet werden, gegenüber juristischen Personen und Personenvereinigungen in bestimmten Fällen mit bis zu 500.000 Euro.
Was ist das Hinweisgeberschutzgesetz?
Das Hinweisgeberschutzgesetz schützt Menschen, die im beruflichen Zusammenhang Informationen über bestimmte Rechtsverstöße melden. Es regelt, wie Meldungen entgegengenommen und bearbeitet werden, und verbietet Benachteiligungen als Reaktion darauf. Grundlage ist die EU-Whistleblower-Richtlinie (EU) 2019/1937, die mit dem HinSchG in deutsches Recht umgesetzt wurde.
Ein Hinweis muss keinen bereits vollständig bewiesenen Verstoß enthalten. Auch begründete Verdachtsmomente zu geschehenen oder sehr wahrscheinlich bevorstehenden Verstößen sowie Informationen über deren Verschleierung können erfasst sein. Entscheidend ist der berufliche Zusammenhang.
Allerdings fällt nicht jede Beschwerde unter das Gesetz. Der sachliche Anwendungsbereich umfasst insbesondere:
- Straftaten, zum Beispiel Betrug, Bestechung oder Diebstahl.
- Bestimmte Ordnungswidrigkeiten, wenn die verletzte Vorschrift Leben, Gesundheit oder die Rechte von Beschäftigten und ihren Vertretungen schützt. Dazu können auch bußgeldbewehrte Verstöße gegen Vorschriften zum Arbeitsschutz gehören.
- Weitere gesetzlich benannte Rechtsverstöße, beispielsweise im Datenschutz, Umweltschutz, bei der Produktsicherheit, der Geldwäschebekämpfung oder gegen Vorschriften der EU-KI-Verordnung (AI Act).
Unzufriedenheit mit der Aufgabenverteilung oder persönliche Meinungsverschiedenheiten allein sind daher noch kein Hinweis im Sinne des HinSchG.
Der Schutz setzt insbesondere voraus, dass die meldende Person hinreichenden Grund hatte, ihre Angaben für wahr und vom Gesetz erfasst zu halten. Bestätigt sich ein nachvollziehbarer Verdacht später nicht, entfällt der Schutz deshalb nicht automatisch.
Für wen gilt das HinSchG?
Die Pflicht zur Einrichtung einer internen Meldestelle trifft grundsätzlich Unternehmen mit in der Regel mindestens 50 Beschäftigten. Maßgeblich ist die regelmäßige Beschäftigtenzahl. Für bestimmte Unternehmen des Finanzsektors gilt diese Schwelle nicht: Die in § 12 Absatz 3 HinSchG genannten Unternehmen sind unabhängig von ihrer Beschäftigtenzahl verpflichtet. Dazu gehören beispielsweise bestimmte Kredit-, Finanzdienstleistungs- und Wertpapierinstitute sowie Kapitalverwaltungsgesellschaften.
Unternehmen unterhalb der Schwelle können freiwillig eine Meldestelle einrichten. Die Schutzvorschriften für hinweisgebende Personen gelten grundsätzlich auch in kleineren Unternehmen, beispielsweise bei einer zulässigen externen Meldung.
Für KMU sind gemeinsame Lösungen möglich: Mehrere private Arbeitgebende mit jeweils regelmäßig 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle betreiben. Die Verantwortung, Verstöße abzustellen und die Rückmeldung sicherzustellen, verbleibt beim jeweiligen Unternehmen.
Auch innerhalb eines Konzerns lässt sich die Meldestellenfunktion nach deutschem Recht zentral organisieren, indem beispielsweise eine Konzerngesellschaft als Dritte beauftragt wird. Eine zentrale Stelle hebt die Verantwortung der einzelnen verpflichteten Gesellschaften jedoch nicht auf. Jede Gesellschaft muss insbesondere sicherstellen, dass der Meldekanal für ihre Beschäftigten zugänglich ist und geeignete Maßnahmen zur Abhilfe ergriffen werden können. Die Zulässigkeit zentraler Konzernmeldestellen ist unionsrechtlich allerdings nicht abschließend geklärt, da die EU-Kommission die Anforderungen der Whistleblower-Richtlinie enger auslegt. Unternehmen sollten diese Rechtsentwicklung daher im Blick behalten.
HinSchG: Pflichten im Überblick
Ein geregelter Hinweisgeberprozess ist ein wichtiger Bestandteil der Compliance im Unternehmen: Er hilft, mögliche Rechtsverstöße frühzeitig zu erkennen und angemessen darauf zu reagieren. Eine interne Meldestelle benötigt einen geregelten Ablauf vom Eingang eines Hinweises bis zum Abschluss des Verfahrens. Diese Anforderungen stehen dabei im Mittelpunkt:
| Pflicht | Umsetzung im Unternehmen |
|---|---|
| Interne Meldestelle betreiben | Eine geeignete Person, ein Team oder ein Dienstleistungsunternehmen beauftragen und mit den erforderlichen Befugnissen ausstatten. |
| Unabhängigkeit und Fachkunde sichern | Verantwortliche schulen und Interessenkonflikte ausschließen. Andere Aufgaben dürfen die unabhängige Bearbeitung nicht beeinträchtigen. |
| Vertraulichkeit gewährleisten | Die Identität der hinweisgebenden, beschuldigten und sonstigen genannten Personen schützen. Zugriffe auf zuständige und unterstützende Personen beschränken; gesetzliche Ausnahmen beachten. |
| Eingang bestätigen | Den Eingang spätestens nach sieben Tagen bestätigen. |
| Hinweise bearbeiten | Anwendungsbereich und Stichhaltigkeit prüfen, bei Bedarf Informationen nachfordern und angemessene Folgemaßnahmen ergreifen. |
| Rückmeldung geben | Innerhalb von drei Monaten nach der Eingangsbestätigung über geplante oder ergriffene Folgemaßnahmen und deren Gründe informieren. Ohne Bestätigung gilt spätestens drei Monate und sieben Tage nach Eingang. |
| Verfahren dokumentieren | Eingehende Meldungen dauerhaft abrufbar und vertraulich dokumentieren. |
| Repressalien verhindern | Benachteiligungen wegen einer geschützten Meldung sowie entsprechende Drohungen und Versuche unterbinden. |
Rechtsgrundlagen sind insbesondere §§ 8, 11, 12 und 15 bis 17 sowie § 36 HinSchG.
Die Drei-Monats-Frist verlangt eine Rückmeldung, nicht zwingend den Abschluss sämtlicher Ermittlungen. Informationen dürfen dabei nur weitergegeben werden, soweit laufende Untersuchungen und die Rechte betroffener Personen gewahrt bleiben.
Für die Dokumentation gilt grundsätzlich eine Löschfrist von drei Jahren nach Abschluss des Verfahrens. Eine längere Aufbewahrung ist zulässig, wenn sie zur Erfüllung gesetzlicher Anforderungen erforderlich und verhältnismäßig ist. Telefonische Hinweise dürfen nur mit Einwilligung aufgezeichnet werden; andernfalls ist ein Inhaltsprotokoll anzufertigen.
Meldekanäle einrichten
Hinweisgebende Personen können zwischen einer internen und einer zuständigen externen Meldestelle wählen. Ein Unternehmen darf nicht verlangen, dass zunächst ausschließlich der interne Weg genutzt wird.
Eine zentrale externe Anlaufstelle ist das Bundesamt für Justiz (BfJ). Für bestimmte Sachverhalte sind die BaFin oder das Bundeskartellamt zuständig. Ein beauftragtes Dienstleistungsunternehmen, das die Meldestelle eines Unternehmens betreibt, erfüllt dagegen die Funktion einer internen Meldestelle.
Schriftlich, mündlich und persönlich melden
§ 16 HinSchG sieht Meldungen in mündlicher oder in Textform vor. Für die praktische Ausgestaltung kommen folgende Wege infrage:
- Textform: beispielsweise ein geschütztes Onlineformular, ein gesondertes E-Mail-Postfach oder ein Brief.
- Mündliche Meldung: beispielsweise eine Telefonnummer oder ein System zur Sprachübermittlung.
- Persönliches Gespräch: Auf Wunsch muss innerhalb angemessener Zeit eine Zusammenkunft ermöglicht werden. Mit Einwilligung kann sie per Video stattfinden.
Die Kanäle müssen für die eigenen Beschäftigten und überlassene Leiharbeitskräfte zugänglich sein. Ein Zugriff Unbefugter auf eingehende Meldungen ist auszuschließen.
Praktische Lösungen für KMU
Für kleinere Unternehmen bietet sich beispielsweise ein geschütztes Meldeportal an, das eine geschulte interne Person betreut. Alternativ lässt sich ein spezialisiertes Dienstleistungsunternehmen mit der Meldestellenfunktion beauftragen. Eine Software allein übernimmt jedoch noch keine Prüfung und Bearbeitung der Hinweise.
Bei der Auswahl helfen konkrete Fragen: Lassen sich Zugriffsrechte eng begrenzen? Sind vertrauliche Rückfragen möglich? Können Fristen und Bearbeitungsschritte nachvollziehbar festgehalten werden? Wer übernimmt bei Urlaub, Krankheit oder einem Interessenkonflikt?
Vor dem Start empfiehlt sich ein Test mit einem erfundenen Hinweis. Dabei lässt sich prüfen, ob Eingang, Bestätigung, Bearbeitung und Rückmeldung funktionieren. Eine kurze Verfahrensbeschreibung sollte erklären, wie die Meldestelle erreichbar ist, wer Hinweise bearbeitet und wie der Schutz der Beteiligten gewährleistet wird. Informationen über externe Meldeverfahren müssen ebenfalls leicht zugänglich bereitstehen.
Häufige Fehler bei der Umsetzung
Ein Meldekanal ist nur dann hilfreich, wenn Beschäftigte ihm vertrauen und Hinweise zuverlässig bearbeitet werden. Diese Fehler sollten KMU vermeiden:
Anonyme Hinweise pauschal abblocken: Das HinSchG verpflichtet nicht dazu, einen anonymen Meldekanal anzubieten. Bereits anonym eingehende Meldungen sollten jedoch bearbeitet werden. Ein geschütztes Postfach mit anonymer Rückfragemöglichkeit kann die Aufklärung erleichtern.
Vertraulichkeit durch breite Zugriffe gefährden: Ein allgemeines Personalpostfach oder ein für viele Personen zugänglicher Ordner ist problematisch. Auch Führungskräfte dürfen nicht allein aufgrund ihrer Position sämtliche Hinweise einsehen. Geschützt werden zudem die Identitäten beschuldigter und weiterer genannter Personen.
Die Dokumentation vernachlässigen: Mündliche Absprachen und lose Notizen erschweren eine nachvollziehbare Bearbeitung. Empfehlenswert ist eine geschützte Fallakte mit Eingangsdatum, Kommunikation, Prüfungsschritten und Entscheidungen. Die gesetzliche Dokumentations- und Löschpflicht muss dabei berücksichtigt werden.
Auf Hinweise mit Benachteiligungen reagieren: Eine Strafversetzung, Einschüchterung oder ungerechtfertigte Abmahnung wegen einer geschützten Meldung kann eine verbotene Repressalie sein. Führungskräfte sollten daher wissen, wie sie mit Hinweisen und meldenden Personen umgehen müssen.
Den Prozess offenlassen: Ohne Vertretung, Fristenkontrolle und klare Zuständigkeiten bleiben Hinweise leicht liegen. Eine schriftliche Arbeitsanweisung sollte auch festlegen, wer übernimmt, wenn sich eine Meldung gegen die normalerweise zuständige Person richtet.
HinSchG-Compliance mit KI prüfen
Ein entsprechend konfigurierter KI-Agent für Legal und Compliance kann KMU bei der Vorbereitung und Kontrolle ihrer Hinweisgeberprozesse unterstützen. Als Grundlage eignen sich die interne Verfahrensbeschreibung, Zuständigkeitsregeln und eine fachlich geprüfte Checkliste.
Mögliche Einsatzbereiche sind:
- Lücken erkennen: Vorhandene Unterlagen mit hinterlegten Anforderungen abgleichen und fehlende Regelungen sichtbar machen.
- Abläufe prüfen: Kontrollieren, ob Eingangsbestätigung, Rückmeldung, Vertretung und Löschung im Prozess berücksichtigt sind.
- Unterlagen vorbereiten: Entwürfe für interne Anleitungen, Schulungsmaterialien und standardisierte Schreiben erstellen.
- Überprüfungen strukturieren: Offene Punkte in einer Aufgabenliste mit Verantwortlichkeiten und Prüfterminen zusammenstellen.
Für einen ersten Abgleich reichen häufig Prozessunterlagen ohne personenbezogene Falldaten. Werden tatsächliche Hinweise verarbeitet, müssen insbesondere Vertraulichkeit, die Anforderungen der Datenschutz-Grundverordnung (DSGVO) und Zugriffsrechte auch beim KI-Einsatz gewahrt bleiben. Die Meldestelle sollte Ergebnisse fachlich prüfen und Entscheidungen über Hinweise und Folgemaßnahmen selbst verantworten.
Was passiert bei Verstößen gegen das Hinweisgeberschutzgesetz?
Die Höhe einer möglichen Geldbuße hängt vom jeweiligen Verstoß ab. § 40 HinSchG unterscheidet insbesondere:
| Verstoß | Bußgeldrahmen |
|---|---|
| Eine vorgeschriebene interne Meldestelle nicht einrichten oder betreiben | Bis zu 20.000 Euro |
| Meldungen oder die anschließende Kommunikation vorsätzlich behindern | Bis zu 50.000 Euro |
| Verbotene Repressalien ergreifen | Bis zu 50.000 Euro |
| Die Vertraulichkeit vorsätzlich oder leichtfertig verletzen | Bis zu 50.000 Euro |
| Die Vertraulichkeit fahrlässig verletzen | Bis zu 10.000 Euro |
| Wissentlich unrichtige Informationen offenlegen | Bis zu 20.000 Euro |
Auch der Versuch, eine Meldung oder die anschließende Kommunikation zu behindern oder eine Repressalie zu ergreifen, kann mit einem Bußgeld geahndet werden.
Wann können Bußgelder bis zu 500.000 Euro betragen?
Richtet sich eine Geldbuße gegen eine juristische Person oder Personenvereinigung, kann sich der Höchstbetrag bei der Behinderung von Meldungen, Repressalien sowie bestimmten Verstößen gegen die Vertraulichkeit nach § 30 Abs. 2 Satz 3 OWiG auf bis zu 500.000 Euro erhöhen. Für die unterlassene Einrichtung oder den unterlassenen Betrieb einer vorgeschriebenen internen Meldestelle gilt diese Erhöhung nicht; hier beträgt das Höchstmaß 20.000 Euro.
Welche Folgen haben Repressalien gegen Hinweisgebende?
Zusätzlich besteht bei Repressalien ein erhebliches Prozessrisiko. Der gesetzliche Schutz setzt grundsätzlich voraus, dass eine Person tatsächlich eine interne oder externe Meldung erstattet oder unter den gesetzlichen Voraussetzungen Informationen offengelegt hat. Die bloße Kenntnis eines möglichen Verstoßes oder der Entschluss, diesen künftig zu melden, genügt nach der Rechtsprechung des Bundesarbeitsgerichts nicht.
Erleidet eine geschützte hinweisgebende Person anschließend eine berufliche Benachteiligung und macht sie geltend, diese infolge ihrer Meldung oder Offenlegung erlitten zu haben, greift die gesetzliche Beweislastumkehr hinsichtlich des Zusammenhangs. Dann muss die benachteiligende Seite beweisen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung oder Offenlegung beruhte. Nachvollziehbar dokumentierte Personalentscheidungen sind deshalb besonders wichtig.
Wer verbotene Repressalien ausübt, muss außerdem den daraus entstandenen Schaden ersetzen. Einen ausdrücklichen Anspruch auf Entschädigung für immaterielle Schäden sieht das HinSchG jedoch nicht vor. Für KMU lohnt sich daher ein verlässlicher Hinweisgeberprozess: Er schafft klare Verantwortlichkeiten und ermöglicht es, gemeldete Verstöße frühzeitig zu prüfen und abzustellen. Damit unterstützt ein funktionierendes Hinweisgebersystem auch eine verantwortungsvolle Unternehmensführung und -kontrolle im Sinne der Corporate Governance.
Bitte beachten Sie den rechtlichen Hinweis zu diesem Artikel.
Reviewer
Anne-Laure Wolber
Anne-Laure begleitet den IONOS Digital Guide bereits seit seiner Geburtsstunde im Jahr 2016. Als Expertin für die Startup-Kategorie konzentriert sie sich primär auf die strategische Verzahnung von SEO, GEO und Conversion-Rate-Optimierung.