1. Gesetzlicher Rahmen
Das Hinweisgeberschutzgesetz (HinSchG) ist das zentrale deutsche Gesetz zum Schutz von Personen, die Verstöße gegen das Unionsrecht oder nationales Recht melden. Es wurde am 2. Juni 2023 im Bundesgesetzblatt verkündet und trat am 2. Juli 2023 in Kraft. Das Gesetz schafft erstmals einen einheitlichen rechtlichen Rahmen für den Schutz von Hinweisgebern in Deutschland und definiert klare Anforderungen an interne und externe Meldestellen. Es ersetzt die zuvor fragmentierte Rechtslage, in der Hinweisgeber nur eingeschränkten und uneinheitlichen Schutz genossen.
Das HinSchG setzt die EU-Richtlinie 2019/1937 (Whistleblower-Richtlinie) in deutsches Recht um, die bereits am 23. Oktober 2019 verabschiedet wurde. Die ursprüngliche Umsetzungsfrist der EU-Richtlinie lief am 17. Dezember 2021 ab — Deutschland gehörte zu den Mitgliedstaaten, die diese Frist deutlich überschritten haben. Der deutsche Gesetzgeber ging bei der Umsetzung über die Mindestanforderungen der Richtlinie hinaus: Das HinSchG erfasst nicht nur Verstöße gegen EU-Recht, sondern auch Verstöße gegen zahlreiche Vorschriften des nationalen Rechts, darunter Straftatbestände und bestimmte bußgeldbewehrte Ordnungswidrigkeiten. Damit bietet das deutsche Gesetz einen breiteren sachlichen Anwendungsbereich als von der Richtlinie gefordert.
Die Umsetzung in Deutschland erfolgte in zwei Stufen: Seit dem 2. Juli 2023 sind Unternehmen mit mindestens 250 Beschäftigten sowie alle Unternehmen aus dem Finanzsektor zur Einrichtung einer internen Meldestelle verpflichtet. Für Unternehmen mit 50 bis 249 Beschäftigten gilt die Pflicht seit dem 17. Dezember 2023. Diese gestaffelte Einführung gab kleineren Unternehmen zusätzliche Zeit zur Vorbereitung.
Wichtig: Seit dem 17. Dezember 2023 sind alle Unternehmen und öffentlichen Stellen ab 50 Beschäftigten verpflichtet, eine funktionsfähige interne Meldestelle zu betreiben. Organisationen, die dieser Pflicht nicht nachkommen, riskieren Bußgelder von bis zu 20.000 Euro. Bei wiederholten Verstößen können die Sanktionen deutlich höher ausfallen.
2. Wer ist verpflichtet
Das HinSchG richtet sich an einen breiten Kreis von Beschäftigungsgebern in der Privatwirtschaft und im öffentlichen Sektor. Die Pflicht zur Einrichtung einer internen Meldestelle knüpft grundsätzlich an die Beschäftigtenzahl an, wobei für bestimmte Branchen Sonderregelungen gelten. Der Begriff 'Beschäftigte' umfasst dabei nicht nur Arbeitnehmerinnen und Arbeitnehmer, sondern auch Leiharbeitnehmer und in bestimmten Fällen Auszubildende.
Privatwirtschaft
In der Privatwirtschaft sind alle Unternehmen mit in der Regel mindestens 50 Beschäftigten zur Einrichtung einer internen Meldestelle verpflichtet. Unternehmen mit 50 bis 249 Beschäftigten dürfen dabei eine gemeinsame Meldestelle mit anderen Unternehmen betreiben und die Aufgabe auch an einen externen Dritten — etwa einen spezialisierten Dienstleister wie WhistleBox — auslagern. Unabhängig von der Beschäftigtenzahl sind Unternehmen aus dem Finanzsektor — darunter Wertpapierdienstleistungsunternehmen, Kreditinstitute, Versicherungsunternehmen und Kapitalverwaltungsgesellschaften — stets verpflichtet, eine interne Meldestelle vorzuhalten, da für sie zusätzlich die sektorspezifischen Anforderungen der BaFin gelten. Auch Unternehmen, die unter das Geldwäschegesetz (GwG) fallen, unterliegen unabhängig von ihrer Größe besonderen Meldepflichten.
Öffentlicher Sektor
Im öffentlichen Sektor gilt die Pflicht zur Einrichtung einer internen Meldestelle für alle Gemeinden und Gemeindeverbände mit mindestens 10.000 Einwohnern sowie für den Bund, die Länder und deren nachgeordnete Behörden. Kommunen mit weniger als 10.000 Einwohnern können von der Pflicht befreit sein, sofern nicht landesrechtliche Regelungen etwas anderes vorsehen. Öffentliche Stellen können die Aufgabe der internen Meldestelle ebenfalls an einen externen Dritten übertragen. Für Dienststellen des Bundes hat das Bundesamt für Justiz als zentrale externe Meldestelle eine besondere Rolle.
3. Anforderungen an die interne Meldestelle
Die interne Meldestelle muss bestimmte gesetzliche Mindestanforderungen erfüllen, um den Vorgaben des HinSchG zu entsprechen. Das Gesetz legt Wert auf Vertraulichkeit, Erreichbarkeit und eine strukturierte Bearbeitung eingehender Meldungen. Die folgenden Anforderungen bilden das Fundament eines rechtskonformen Hinweisgebersystems:
- Vertraulichkeit: Die Identität der hinweisgebenden Person muss während des gesamten Verfahrens geschützt werden. Nur die mit der Bearbeitung der Meldung betrauten Personen dürfen Kenntnis von der Identität des Hinweisgebers erlangen.
- Meldekanäle: Die Meldestelle muss mindestens die Möglichkeit zur mündlichen und zur schriftlichen Meldung eröffnen. Auf Wunsch der hinweisgebenden Person muss auch ein persönliches Treffen innerhalb einer angemessenen Frist ermöglicht werden.
- Eingangsbestätigung: Innerhalb von sieben Tagen nach Eingang einer Meldung muss der hinweisgebenden Person eine Bestätigung des Eingangs übermittelt werden.
- Rückmeldung: Spätestens drei Monate nach der Eingangsbestätigung muss die Meldestelle der hinweisgebenden Person eine Rückmeldung über die ergriffenen oder geplanten Folgemaßnahmen geben.
- Unabhängigkeit und Fachkunde: Die mit der Bearbeitung betrauten Personen müssen über die nötige Fachkunde verfügen und ihre Aufgabe unabhängig ausüben können. Mögliche Interessenkonflikte sind auszuschließen.
- Dokumentation: Alle eingehenden Meldungen müssen unter Wahrung der Vertraulichkeit dokumentiert werden. Die Dokumentation ist drei Jahre nach Abschluss des Verfahrens zu löschen, sofern keine längere Aufbewahrung erforderlich und verhältnismäßig ist.
- Datenschutz: Die Verarbeitung personenbezogener Daten muss den Anforderungen der DSGVO und des BDSG entsprechen. Es dürfen nur die Daten erhoben werden, die zur Bearbeitung der Meldung erforderlich sind.
- Informationspflicht: Beschäftigte und — soweit relevant — externe Personen wie Lieferanten, Auftragnehmer und Geschäftspartner müssen klar und leicht zugänglich über die Meldestelle, das Meldeverfahren und die bestehenden externen Meldemöglichkeiten informiert werden.
4. Gesetzliche Fristen
| Maßnahme | Frist |
|---|---|
| Einrichtung einer internen Meldestelle (Unternehmen ab 250 Beschäftigten und Finanzsektor) | Seit 2. Juli 2023 (Frist abgelaufen) |
| Einrichtung einer internen Meldestelle (Unternehmen mit 50–249 Beschäftigten) | Seit 17. Dezember 2023 (Frist abgelaufen) |
| Eingangsbestätigung an die hinweisgebende Person | 7 Tage nach Eingang der Meldung |
| Rückmeldung über ergriffene Folgemaßnahmen | 3 Monate nach Eingangsbestätigung |
WhistleBox überwacht alle gesetzlichen Fristen automatisch und sendet rechtzeitig Erinnerungen an die zuständigen Bearbeiter. So stellen Sie sicher, dass keine Frist versäumt wird und Ihr Unternehmen jederzeit gesetzeskonform handelt.
5. Sanktionen bei Verstößen
Bußgelder:
- • Behinderung einer Meldung oder Versuch, eine Meldung zu verhindern: Bußgeld bis zu 50.000 Euro gemäß § 40 Abs. 2 Nr. 3 HinSchG.
- • Ergreifen von Repressalien gegen eine hinweisgebende Person: Bußgeld bis zu 50.000 Euro gemäß § 40 Abs. 2 Nr. 4 HinSchG.
- • Verstoß gegen die Vertraulichkeitspflicht und unbefugte Weitergabe der Identität des Hinweisgebers: Bußgeld bis zu 50.000 Euro gemäß § 40 Abs. 2 Nr. 1 HinSchG.
- • Nichteinrichtung oder nicht ordnungsgemäßer Betrieb einer internen Meldestelle: Bußgeld bis zu 20.000 Euro gemäß § 40 Abs. 2 Nr. 2 HinSchG.
- • Vorsätzliche oder leichtfertige Falschmeldung durch den Hinweisgeber: Schadensersatzpflicht gemäß § 38 HinSchG.
- • Bei wiederholten oder schwerwiegenden Verstößen kann die zuständige Behörde das Bußgeld auf das Zehnfache des jeweiligen Höchstbetrags — also bis zu 500.000 Euro — erhöhen (§ 40 Abs. 6 HinSchG).
Neben den Bußgeldern können betroffene hinweisgebende Personen zivilrechtliche Schadensersatzansprüche geltend machen, wenn ihnen durch Repressalien ein Schaden entstanden ist. Unternehmen haften zudem für alle materiellen und immateriellen Schäden, die aufgrund von Vergeltungsmaßnahmen entstehen. Die Beweislast liegt dabei beim Beschäftigungsgeber — er muss nachweisen, dass nachteilige Maßnahmen nicht im Zusammenhang mit der Meldung stehen.
6. Schutz der hinweisgebenden Person
Das HinSchG gewährt hinweisgebenden Personen umfassenden Schutz vor jeder Form von Benachteiligung und Vergeltungsmaßnahmen. Der Schutz greift, sobald die hinweisgebende Person zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass die gemeldeten Informationen zutreffend sind. Geschützt sind nicht nur Arbeitnehmerinnen und Arbeitnehmer, sondern auch Beamte, Selbständige, Gesellschafter, Praktikanten, Freiwillige, Bewerber und Personen, deren Arbeitsverhältnis bereits beendet ist.
- ✕Kündigung oder Nichtverlängerung eines befristeten Arbeitsvertrags als Reaktion auf eine Meldung.
- ✕Versagung einer Beförderung, Degradierung oder Entzug von Zuständigkeiten.
- ✕Versetzung, Änderung des Arbeitsortes oder Arbeitszeitreduzierung ohne sachlichen Grund.
- ✕Gehaltskürzung, Entzug von Boni, Zulagen oder sonstigen Vergünstigungen.
- ✕Einschüchterung, Mobbing, Ausgrenzung, Diskriminierung oder sonstige benachteiligende Behandlung am Arbeitsplatz.
- ✕Einleitung von Disziplinarmaßnahmen, Abmahnungen oder Verwarnungen ohne sachliche Grundlage.
- ✕Nichtberücksichtigung bei Schulungen, Weiterbildungen oder beruflichen Entwicklungsmöglichkeiten.
- ✕Rufschädigung, insbesondere in sozialen Medien, sowie die Aufnahme des Hinweisgebers in schwarze Listen oder branchenweite Sperrlisten.
Nach dem HinSchG gilt eine Beweislastumkehr: Erleidet eine hinweisgebende Person nach ihrer Meldung eine Benachteiligung, wird vermutet, dass diese Benachteiligung eine verbotene Repressalie darstellt. Der Beschäftigungsgeber muss dann beweisen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen basiert und in keinem Zusammenhang mit der Meldung steht. Diese Regelung stärkt die Position des Hinweisgebers erheblich und trägt dazu bei, dass Meldungen ohne Angst vor Vergeltung abgegeben werden können.
7. Schritt-für-Schritt-Umsetzung
8. Warum WhistleBox
WhistleBox ist eine speziell für den deutschen Markt entwickelte Hinweisgebersystem-Lösung, die alle Anforderungen des HinSchG vollständig erfüllt. Die Plattform ermöglicht es Unternehmen jeder Größe, innerhalb weniger Minuten eine rechtskonforme interne Meldestelle einzurichten — ohne technisches Vorwissen und ohne aufwendige IT-Projekte. Mit WhistleBox setzen Sie das Hinweisgeberschutzgesetz effizient, datenschutzkonform und kostengünstig um.