Hinweisgeberschutzgesetz: Welche Pflichten Unternehmen jetzt treffen
Wir starten mit der Frage, warum das Hinweisgeberschutzgesetz seit 2023 für viele Unternehmen eine der größten Compliance-Herausforderungen ist – und was das konkret bedeutet. Seit dem 2. Juli 2023 gilt in Deutschland das Hinweisgeberschutzgesetz (HinSchG). Damit wurde die EU-Whistleblower-Richtlinie endlich in nationales Recht umgesetzt – mit teils strengeren Vorgaben, als viele Geschäftsführungen zunächst angenommen hatten. In unserer Beratungspraxis erleben wir, dass gerade mittelständische Unternehmen unterschätzen, wie tief das Gesetz in bestehende Compliance-Strukturen eingreift. Wer Hinweisgebern keinen sicheren Kanal bietet, riskiert Bußgelder, Haftung und einen erheblichen Reputationsschaden.
Was das Hinweisgeberschutzgesetz von Unternehmen verlangt
Das HinSchG verpflichtet Unternehmen, eine funktionsfähige interne Meldestelle einzurichten und Hinweise auf Rechtsverstöße vertraulich zu bearbeiten. Der Anwendungsbereich ist bewusst weit gefasst: Er umfasst nicht nur Straftaten, sondern auch bußgeldbewehrte Verstöße und bestimmte Verstöße gegen EU-Recht. Für uns bedeutet das, dass nahezu jedes größere Unternehmen in Deutschland betroffen ist – unabhängig von Branche oder Rechtsform.
Wer betroffen ist: Schwellenwerte und Branchen
Die zentrale Schwelle liegt bei 50 Mitarbeitenden. Unternehmen ab 50 Mitarbeitenden müssen eine interne Meldestelle einrichten. Beschäftigtenzahlen werden dabei nach § 23 KSchG berechnet, also in der Regel als Jahresdurchschnitt. Kleinere Unternehmen mit 50 bis 249 Mitarbeitenden können sich für eine gemeinsame Meldestelle zusammenschließen. Besonders betroffen sind Finanzdienstleister, die zusätzlich den Vorgaben der BaFin unterliegen, sowie Unternehmen mit Auslandsbezug, die parallel US-amerikanische oder britische Whistleblowing-Regeln beachten müssen.
Interne Meldestelle vs. externe Meldestelle des Bundes
Hinweisgeber haben grundsätzlich die Wahl: Sie können sich an die interne Meldestelle ihres Arbeitgebers oder an die externe Meldestelle beim Bundesamt für Justiz wenden. Die externe Meldestelle ist seit 2023 operativ und nimmt Hinweise zu allen vom HinSchG erfassten Verstößen entgegen. Für Unternehmen heißt das: Wer intern keine attraktive, vertrauenswürdige Anlaufstelle bietet, verliert die Kontrolle über den Prozess – und erfährt oft erst durch staatsanwaltliche Ermittlungen von einem Missstand.
Fristen und Formvorgaben für Meldungen
Das Gesetz macht klare Vorgaben zur Bearbeitung eingehender Hinweise:
- Eingangsbestätigung an den Hinweisgeber innerhalb von 7 Tagen
- Rückmeldung zum Stand der Bearbeitung spätestens nach 3 Monaten
- Dokumentation jeder Meldung und der ergriffenen Maßnahmen
- Möglichkeit zur mündlichen, schriftlichen oder persönlichen Meldung
Wir empfehlen, diese Fristen nicht als reine Formsache zu behandeln. Gerichte prüfen inzwischen sehr genau, ob Unternehmen die Fristen eingehalten haben – Verzögerungen können als Behinderung der Meldung gewertet werden.
Interne Meldestelle einrichten: So gehen wir praktisch vor
Der Aufbau einer Meldestelle ist kein IT-Projekt, sondern ein Organisationsprojekt. In der Praxis hat sich ein dreistufiges Vorgehen bewährt: Erstens die Auswahl eines geeigneten Meldekanals, zweitens die Benennung einer unabhängigen Vertrauensperson und drittens die Etablierung klarer Prozesse für Prüfung, Dokumentation und Rückmeldung.
Technische Lösungen und Datenschutz (DSGVO)
Am Markt haben sich spezialisierte Whistleblower-Systeme etabliert, etwa Lösungen von EQS, IntegrityLine oder Whistleblower Software. Diese Systeme bieten Ende-zu-Ende-Verschlüsselung, Anonymitätsoptionen und revisionssichere Protokolle. Wichtig ist die DSGVO-Konformität: Wir achten darauf, dass personenbezogene Daten nur so lange gespeichert werden, wie es für die Aufklärung erforderlich ist, und dass Auftragsverarbeitungsverträge mit dem Anbieter geschlossen werden. Auch eine reine Telefon-Hotline oder ein Postfach kann zulässig sein – sie muss aber denselben Vertraulichkeitsstandard erfüllen.
Rollen: Ombudsperson, Compliance-Beauftragte, externe Dienstleister
Wer die Meldestelle besetzt, entscheidet über ihre Akzeptanz. Bewährt haben sich folgende Modelle:
- Interne Ombudsperson mit direktem Berichtsweg zum Vorstand oder Aufsichtsrat
- Compliance-Beauftragte, sofern keine Interessenkonflikte bestehen
- Externe Rechtsanwaltskanzleien oder spezialisierte Dienstleister für mehr Unabhängigkeit
Wir raten davon ab, die Meldestelle bei der Personalabteilung oder direkten Vorgesetzten anzusiedeln – das untergräbt das Vertrauen der Hinweisgeber.
Dokumentations- und Berichtspflichten
Jede Meldung muss dokumentiert werden – mit Zeitstempel, Inhalt, ergriffenen Maßnahmen und Ergebnis. Diese Dokumentation ist nicht nur gesetzliche Pflicht, sondern auch Beweismittel in Haftungsfragen. Wir empfehlen eine jährliche Auswertung für die Geschäftsleitung, in der Fallzahlen, Bearbeitungsdauern und Erkenntnisse zusammengefasst werden.
Hinweisgeberschutz in der Praxis: Vertraulichkeit, Rückmeldung, Repressalienverbot
Die eigentliche Herausforderung beginnt nach dem Eingang einer Meldung. Jetzt entscheidet sich, ob das Unternehmen die gesetzlichen Pflichten ernst nimmt – oder ob Hinweisgeber das Vertrauen verlieren und den Weg zur externen Meldestelle oder zur Presse wählen.
Vertraulichkeit und Identitätsschutz
Die Identität des Hinweisgebers darf nur offengelegt werden, wenn dies gesetzlich zwingend erforderlich ist. In der Praxis bedeutet das: enge Zugriffsrechte, verschlüsselte Kommunikation und klare Vertraulichkeitsverpflichtungen für alle Beteiligten. Verstöße gegen die Vertraulichkeit können selbst bußgeldbewehrt sein.
Rückmeldefristen und Kommunikation mit Hinweisgebern
Die 7-Tage-Frist für die Eingangsbestätigung ist gesetzlich fixiert. Wir empfehlen, zusätzlich einen festen Ansprechpartner zu benennen und Zwischenstände aktiv zu kommunizieren. In deutschen Gerichtsverfahren – etwa vor dem Bundesarbeitsgericht – wurde zuletzt mehrfach betont, dass eine zügige und transparente Kommunikation die Glaubwürdigkeit des Compliance-Systems stärkt.
Repressalienverbot und Beweislastumkehr
Das HinSchG verbietet jede Benachteiligung von Hinweisgebern, etwa Kündigung, Abmahnung, Versetzung oder Entzug von Aufgaben. Kommt es zu einer Benachteiligung, greift eine Beweislastumkehr: Das Unternehmen muss nachweisen, dass die Maßnahme nicht im Zusammenhang mit der Meldung steht. Diese Regelung hat in der Praxis erhebliche Auswirkungen auf arbeitsrechtliche Auseinandersetzungen.
Bußgelder und Haftungsrisiken: Was bei Verstößen droht
Wer die Pflichten aus dem HinSchG ignoriert, riskiert empfindliche Sanktionen. Die Bußgelder reichen bis zu 50.000 Euro – pro Verstoß. In schweren Fällen können Staatsanwaltschaften und Aufsichtsbehörden zusätzlich ermitteln.
Bußgeldtatbestände nach § 40 HinSchG
§ 40 HinSchG listet eine Reihe von Ordnungswidrigkeiten auf, darunter:
- Nichteinrichtung einer internen Meldestelle
- Behinderung von Meldungen oder Repressalien gegen Hinweisgeber
- Verletzung der Vertraulichkeitspflicht
- Verstöße gegen Dokumentations- und Rückmeldepflichten
Die Geldbuße kann bis zu 50.000 Euro betragen. Bei wiederholten Verstößen drohen zusätzliche Sanktionen.
Persönliche Haftung von Geschäftsführern
Geschäftsführer und Vorstände haften persönlich, wenn sie ihre Organisationspflichten verletzen. Die Rechtsprechung – etwa des BGH zur Compliance-Pflicht – hat klargestellt, dass die Einrichtung eines funktionierenden Hinweisgebersystems Teil der Sorgfaltspflichten eines ordentlichen Geschäftsleiters ist. Verstöße können Schadensersatzansprüche und in Extremfällen strafrechtliche Konsequenzen nach sich ziehen.
Prävention durch Schulungen und Audits
Wir raten zu regelmäßigen Schulungen für Führungskräfte und Mitarbeitende, mindestens jährlich. Ergänzend sollten interne Audits prüfen, ob die Meldestelle funktioniert, Fristen eingehalten werden und die Dokumentation vollständig ist. Nur so lässt sich im Ernstfall nachweisen, dass das Unternehmen seiner Sorgfaltspflicht nachgekommen ist.
Hinweisgeberschutz mit Antikorruption und Compliance verzahnen
Das HinSchG steht nicht isoliert. Es ist Teil eines integrierten Compliance-Systems, das Korruptionsprävention, Kartellrecht und Lieferkettenverantwortung umfasst. Wer diese Schnittstellen aktiv gestaltet, erkennt Risiken früher und reduziert Haftungsrisiken.
Schnittstellen zu Antikorruption und Kartellrecht
Viele Hinweise betreffen Korruption, Bestechung oder kartellrechtliche Absprachen. Ein funktionierendes Hinweisgebersystem liefert damit wertvolle Frühwarnsignale für die Antikorruptionsarbeit. Wir empfehlen, Meldungen systematisch auszuwerten und in die Risikoanalyse einfließen zu lassen.
Lieferkettensorgfaltspflichtengesetz (LkSG) und Hinweisgeber
Das LkSG verpflichtet Unternehmen, Beschwerdeverfahren für Menschenrechts- und Umweltrisiken einzurichten. Diese Verfahren lassen sich mit der HinSchG-Meldestelle verbinden – das reduziert Aufwand und erhöht die Akzeptanz bei Lieferanten und Mitarbeitenden.
Länderprofile als Risikoanalyse-Tool
Für international tätige Unternehmen sind Länderprofile ein wichtiges Instrument. Sie zeigen, wie hoch das Korruptionsrisiko in einem Markt ist und welche lokalen Meldewege und Schutzmechanismen bestehen. Wir nutzen solche Profile, um Hinweisgebersysteme länderspezifisch anzupassen – etwa bei Tochtergesellschaften in Hochrisikomärkten.
FAQ
Ab wie vielen Mitarbeitenden gilt das Hinweisgeberschutzgesetz?
Unternehmen ab 50 Mitarbeitenden müssen eine interne Meldestelle einrichten. Die Berechnung erfolgt in der Regel nach § 23 KSchG als Jahresdurchschnitt. Kleinere Unternehmen mit 50 bis 249 Mitarbeitenden können sich für eine gemeinsame Meldestelle zusammenschließen.
Welche Fristen müssen wir bei eingehenden Hinweisen beachten?
Wir müssen dem Hinweisgeber innerhalb von 7 Tagen den Eingang bestätigen und spätestens nach 3 Monaten eine Rückmeldung zum Stand der Bearbeitung geben. Jede Meldung ist zu dokumentieren.
Welche Bußgelder drohen bei Verstößen gegen das HinSchG?
Nach § 40 HinSchG sind Bußgelder bis zu 50.000 Euro möglich – etwa bei Nichteinrichtung einer Meldestelle, Repressalien gegen Hinweisgeber oder Verletzung der Vertraulichkeit. Hinzu kommen persönliche Haftungsrisiken für Geschäftsführer.
Können Hinweisgeber sich auch an eine externe Stelle wenden?
Ja. Neben der internen Meldestelle können sich Hinweisgeber an die externe Meldestelle beim Bundesamt für Justiz wenden. Unternehmen sollten daher ein attraktives internes Angebot schaffen, um die Kontrolle über den Prozess zu behalten.
Wie verzahnen wir das HinSchG mit unserer Antikorruptions-Compliance?
Wir empfehlen, Meldungen systematisch auszuwerten, in die Risikoanalyse einfließen zu lassen und mit bestehenden Systemen wie Lieferantenkodex, LkSG-Beschwerdeverfahren und Länderprofilen zu verknüpfen. So entsteht ein integriertes Compliance-System statt isolierter Einzelmaßnahmen.
Wir betonen abschließend: Das Hinweisgeberschutzgesetz ist keine Bürokratie, sondern eine Chance für eine offene Compliance-Kultur. Unternehmen, die Hinweisgeber als Partner verstehen und ihre Meldestelle transparent, vertraulich und professionell betreiben, erkennen Risiken früher, vermeiden Haftung und stärken das Vertrauen von Mitarbeitenden, Kunden und Geschäftspartnern.