Ein Mitarbeiter meldet intern den Verdacht auf Abrechnungsbetrug. Das Unternehmen reagiert mit einer Versetzung. Wochen später liegt eine Abmahnung auf dem Tisch – und kurz darauf eine Klage des Hinweisgebers. Für Geschäftsführer im Mittelstand ist dieses Szenario seit dem Inkrafttreten des Hinweisgeberschutzgesetzes (HinSchG) keine theoretische Randnotiz mehr, sondern ein handfestes Haftungsrisiko.
Das Hinweisgeberschutzgesetz (HinSchG), das am 2. Juli 2023 in Kraft getreten ist, verpflichtet Unternehmen ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle. Verstöße gegen den gesetzlichen Schutz von Hinweisgebern können Bußgelder und zivilrechtliche Haftungsansprüche auslösen. Geschäftsführer, die Repressalien gegen meldende Mitarbeiter nicht konsequent verhindern, tragen das Haftungsrisiko persönlich.
Dieser Beitrag ordnet die aktuelle Rechtslage unter dem HinSchG ein, beleuchtet die wesentlichen Pflichten für den Mittelstand und zeigt auf, welche Handlungsschritte nach der gefestigten Rspr. der Arbeits- und Verwaltungsgerichte jetzt geboten sind.
Was regelt das HinSchG – und wen trifft es konkret?
Das Hinweisgeberschutzgesetz setzt die EU-Whistleblower-Richtlinie (RL 2019/1937) in deutsches Recht um. Es schützt natürliche Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese melden oder offenlegen. Der Anwendungsbereich ist bewusst weit gefasst: Er erstreckt sich auf Verstöße gegen nationales und europäisches Recht, darunter Steuerrecht, Umweltrecht, Datenschutz und sämtliche strafrechtlich relevante Handlungen.
Unternehmen ab 50 Beschäftigten sind nach § 12 HinSchG gesetzlich verpflichtet, eine interne Meldestelle einzurichten und zu betreiben. Diese Schwelle gilt headcount-bezogen, nicht umsatzabhängig – viele mittelständische Betriebe, die sich in einer Grauzone wähnen, fallen eindeutig darunter. Für Unternehmen mit 50 bis 249 Beschäftigten bestehen gewisse Erleichterungen bei der gemeinsamen Nutzung von Meldestellen innerhalb eines Konzernverbunds; die Pflicht zur Einrichtung selbst entfällt dadurch jedoch nicht.
Wer die Einrichtungspflicht ignoriert, setzt sich Bußgelder aus – nach Maßgabe des HinSchG in einer Höhe, die im Einzelfall erheblich sein kann. Wichtiger noch: Ohne funktionierende interne Meldestelle verlieren Unternehmen die Möglichkeit, Hinweisgeber zur Nutzung des internen Wegs zu bewegen. Die externe Meldestelle beim Bundesamt für Justiz steht Hinweisgebern stets offen – unabhängig davon, ob der interne Kanal existiert.
Welche Anforderungen stellt das Gesetz an die interne Meldestelle?
Eine interne Meldestelle ist nicht schon mit einer E-Mail-Adresse oder einem Briefkasten errichtet. Das HinSchG definiert materielle Mindestanforderungen, deren Einhaltung in der Mandatspraxis häufig unterschätzt wird. Drei Kernelemente stechen hervor.
Erstens: die Vertraulichkeit der Identität. Die mit dem Betrieb der Meldestelle betraute Person muss die Identität des Hinweisgebers, der von der Meldung betroffenen Personen und sonstiger in der Meldung genannter Dritter strikt vertraulich behandeln. Verstöße gegen diese Vertraulichkeitspflicht können als Repressalie im Sinne des § 36 HinSchG gewertet werden und lösen gesetzliche Schadensersatzansprüche aus. Die Beweislastumkehr des § 37 HinSchG wirkt dabei zu Lasten des Unternehmens: Nimmt eine meldende Person nach einer Meldung eine Benachteiligung wahr, wird widerleglich vermutet, dass diese Benachteiligung eine Repressalie darstellt.
Zweitens: die Empfangsbestätigung. Eingehende Meldungen sind binnen sieben Tagen nach Eingang zu bestätigen (§ 17 Abs. 1 Nr. 1 HinSchG). Diese Frist ist kurz. In der Praxis scheitern viele Unternehmen schon daran, weil die Meldestelle nicht dauerhaft besetzt oder klar zugeordnet ist.
Drittens: die Rückmeldepflicht. Binnen drei Monaten nach der Eingangsbestätigung müssen Hinweisgeber über ergriffene Folgemaßnahmen informiert werden (§ 17 Abs. 1 Nr. 2 HinSchG). Folgemaßnahmen im Sinne des Gesetzes umfassen interne Prüfungen, eingeleitete Ermittlungsverfahren oder die Schließung des Vorgangs mit Begründung. Pauschalaussagen genügen nicht.
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Handelsunternehmen mit rund 180 Beschäftigten, das eine interne Meldestelle formal eingerichtet hatte – ohne jedoch die gesetzlichen Verfahrensanforderungen vollständig umzusetzen. Ausgangslage: Ein Mitarbeiter hatte über das interne System einen steuerrechtlich relevanten Verdacht gemeldet; eine Eingangsbestätigung war nicht erfolgt, die Dreier-Monats-Rückmeldung unterblieben. Vorgehen: Die Kanzlei analysierte die bestehende Meldestellen-Dokumentation, identifizierte die prozeduralen Lücken und begleitete die Einführung eines revisionssicheren Rückmeldeprozesses. Ergebnis: Das Unternehmen konnte die Verfahrenskonformität gegenüber der zuständigen Behörde nachweisen; das eingeleitete Bußgeldverfahren wurde eingestellt.
Wie schützt das HinSchG den Hinweisgeber – und was bedeutet das für den Geschäftsführer?
Der Schutzumfang des HinSchG ist für Geschäftsführer im Mittelstand von unmittelbarer persönlicher Relevanz. Das Gesetz verbietet jede Form von Repressalie gegen Personen, die unter das HinSchG fallende Meldungen erstatten. Der Begriff der Repressalie ist weit gefasst: Er umfasst nicht nur Kündigung und Abmahnung, sondern auch Versetzungen, Gehaltskürzungen, die Verweigerung von Beförderungen, Veränderungen der Arbeitsbedingungen und soziale Ausgrenzung am Arbeitsplatz.
Kritisch ist die Beweislastumkehr nach § 37 HinSchG. Sobald ein Hinweisgeber glaubhaft macht, dass er eine Meldung erstattet hat und danach eine Benachteiligung erfahren hat, liegt die Darlegungs- und Beweislast beim Unternehmen. Dieses muss nachweisen, dass die nachteilige Maßnahme auf sachlichen, von der Meldung unabhängigen Gründen beruht. In der arbeitsgerichtlichen Praxis ist das keine einfache Hürde – insbesondere wenn zwischen Meldung und nachteiliger Maßnahme ein enger zeitlicher Zusammenhang besteht. Wie fragil diese Konstellation ist, zeigt die Rechtsprechung des Bundesarbeitsgerichts zur Kausalität im Kündigungsschutzrecht: Ein zeitlicher Zusammenhang allein begründet zwar noch keine Kausalität, ist aber ein starkes Indiz, das der Arbeitgeber entkräften muss.
Wie verhält sich nun die Geschäftsführerhaftung? Veranlasst ein Geschäftsführer persönlich eine Repressalie oder unterlässt er die notwendige Unterweisung der verantwortlichen Führungskräfte, kann neben der Gesellschaft auch er persönlich auf Schadensersatz in Anspruch genommen werden. Das HinSchG enthält eine ausdrückliche Anspruchsgrundlage in § 37 Abs. 1 HinSchG. Wer als Geschäftsführer Hinweisgeberschutz als „HR-Thema" delegiert und sich um die Umsetzungsqualität nicht mehr kümmert, übersieht, dass er damit eigene Haftungspositionen exponiert.
Was sagt die aktuelle Rechtsprechung zur Umsetzung des HinSchG?
Das HinSchG ist noch jung, und eine gefestigte höchstrichterliche Rechtsprechung zu sämtlichen Detailfragen hat sich naturgemäß noch nicht herausbilden können. Gleichwohl haben die Arbeitsgerichte der ersten und zweiten Instanz sowie einzelne Verwaltungsgerichte bereits wichtige Leitlinien entwickelt, die für die Praxis handlungsleitend sind.
Aus der arbeitsgerichtlichen Rechtsprechung lassen sich im Wesentlichen drei Tendenzen ableiten. Erstens: Gerichte legen den Begriff der „Meldung" weit aus. Auch informelle Äußerungen, die intern auf einen Missstand hindeuten – etwa eine Nachricht an den Vorgesetzten oder eine mündliche Beschwerde in einem Teammeeting – können als Meldung im Sinne des HinSchG einzuordnen sein, sofern die übrigen Voraussetzungen erfüllt sind. Unternehmen können sich also nicht damit verteidigen, eine formelle Meldung über das interne System sei nicht eingegangen.
Zweitens: Die gefestigte instanzgerichtliche Rechtsprechung bestätigt, dass die Beweislastumkehr des § 37 HinSchG strukturell dem arbeitsrechtlichen Maßregelungsverbot des § 612a BGB ähnelt, ohne damit identisch zu sein. Das bedeutet: Die HinSchG-eigene Beweislastumkehr tritt neben das Maßregelungsverbot, nicht an seine Stelle. Unternehmen sehen sich in der Praxis damit einer doppelten Schutzschicht gegenüber, die kumulative Risiken begründet.
Drittens: Verwaltungsgerichte haben in frühen Verfahren klargestellt, dass das Bußgeldregime des HinSchG nicht als bloße „Papierpflicht" einzustufen ist. Die für die Ahndung zuständigen Behörden sind angehalten, die materielle Qualität der Meldestelle – nicht nur ihre formale Existenz – zu prüfen. Eine Meldestelle, die zwar eingerichtet, aber nicht funktionsfähig ist, erfüllt die gesetzliche Pflicht nicht.
Ergänzend ist auf die Schnittstelle zum Datenschutzrecht hinzuweisen. Hinweisgebersysteme verarbeiten in aller Regel besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), wenn Meldungen strafrechtliche Vorwürfe beinhalten. Die Datenschutzbehörden haben klargestellt, dass interne Meldestellen eines eigenen Verarbeitungsverzeichnisses, einer Datenschutz-Folgenabschätzung und klarer Löschkonzepte bedürfen. Fehler in diesem Bereich können – kumulativ zum HinSchG – Bußgelder nach der DSGVO auslösen, die bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes betragen können (Art. 83 DSGVO).
Welche typischen Umsetzungsfehler begehen mittelständische Unternehmen?
In der Beratungspraxis begegnen uns bei mittelständischen Mandanten immer wieder dieselben strukturellen Lücken. Sie entstehen nicht aus böser Absicht, sondern aus einem Mangel an rechtlich gesteuerter Umsetzungsplanung.
Der häufigste Fehler: Die interne Meldestelle wird einem einzelnen Mitarbeiter ohne klare Verfahrensvorgaben, ohne Schulung und ohne technische Unterstützung übertragen. Dieser Mitarbeiter erhält keine Antwort auf die Frage, was er im Falle einer eingehenden Meldung konkret zu tun hat, welche Informationen er an wen weitergeben darf und wie die Vertraulichkeit technisch gewährleistet ist. Damit ist die gesetzliche Anforderung formal erfüllt, materiell aber nicht.
Zweiter verbreiteter Fehler: Unternehmen versäumen es, eine schriftliche Meldestellen-Richtlinie (Policy) zu erlassen und intern zu kommunizieren. Das HinSchG verlangt, dass Beschäftigte über die Möglichkeit zur Nutzung der internen Meldestelle, deren Erreichbarkeit und die anwendbaren Verfahren informiert werden. Fehlende Kommunikation kann dazu führen, dass Hinweisgeber direkt den Weg zur externen Meldestelle wählen – mit dem Effekt, dass das Unternehmen frühzeitige Steuerungsmöglichkeiten verliert.
Dritter Fehler: Die Meldestelle wird nicht in das bestehende Compliance-Management-System (CMS) integriert. Hinweise aus der Meldestelle können Sachverhalte betreffen, die steuerstrafrechtliche Relevanz haben oder eine Selbstanzeige nach § 371 AO erfordern. Ist die Schnittstelle zwischen Meldestelle und steuerrechtlicher Beratung nicht vorab definiert, entsteht ein gefährliches Informationsvakuum – mit der Folge, dass handlungsleitende Fristen unbemerkt verstreichen.
Vierter Fehler: Der Betriebsrat wird nicht eingebunden. Die Einführung und Ausgestaltung einer internen Meldestelle berührt mitbestimmungspflichtige Tatbestände nach § 87 Abs. 1 Nr. 1 BetrVG (Ordnung des Betriebs und des Verhaltens der Arbeitnehmer) sowie ggf. Nr. 6 (technische Überwachungseinrichtungen). Unterbleibt die Beteiligung des Betriebsrats, ist die gesamte Meldestellen-Infrastruktur anfechtbar – und damit rechtlich wirkungslos.
Wie sollte der Geschäftsführer die Umsetzung jetzt strukturieren?
Die Komplexität des HinSchG verleitet dazu, das Thema auf die lange Bank zu schieben. Das ist ein Fehler. Nach unserer Erfahrung lässt sich eine HinSchG-konforme Umsetzung in einem mittelständischen Unternehmen in vier klar abgrenzbaren Schritten strukturieren, die sich innerhalb weniger Wochen realisieren lassen.
Schritt 1: Bestandsaufnahme und Lückenanalyse. Zunächst ist zu klären, ob das Unternehmen in den Anwendungsbereich des HinSchG fällt, ob eine interne Meldestelle bereits existiert und – falls ja – ob sie die materiellen Anforderungen des Gesetzes erfüllt. Diese Analyse schließt die Prüfung bestehender Datenschutzdokumentation ein. Ergebnis ist ein priorisiertes Maßnahmenpaket.
Schritt 2: Designentscheidung – intern oder extern. Das HinSchG erlaubt es, die Aufgaben der internen Meldestelle auf einen externen Dritten zu übertragen (§ 14 HinSchG). Für viele mittelständische Unternehmen ist dies die pragmatischere Lösung, da externe Ombudspersonen oder spezialisierte Dienstleister die notwendige Unabhängigkeit, technische Infrastruktur und rechtliche Kompetenz mitbringen. Die Entscheidung sollte anhand des konkreten Unternehmensrisikoprofils und der internen Kapazitäten getroffen werden.
Schritt 3: Policy, Schulung, Kommunikation. Eine schriftliche Meldestellen-Richtlinie ist zu erlassen, die Vertraulichkeitsversprechen, Verfahrensabläufe, Rückmeldfristen und Schutzgarantien klar beschreibt. Führungskräfte sind zu schulen. Mitarbeiter sind über das Bestehen und die Erreichbarkeit der Meldestelle zu informieren. Dieser Schritt berührt die Betriebsratsrechte nach § 87 BetrVG und sollte juristisch begleitet werden.
Schritt 4: Integration in das CMS. Die interne Meldestelle ist kein Inselsystem. Sie muss in das übergeordnete Compliance-Management-System eingebettet sein. Das bedeutet: klare Eskalationswege für steuerstrafrechtlich relevante Sachverhalte, definierte Schnittstellen zur Rechtsabteilung bzw. zum externen Anwalt, sowie ein jährliches Review der Meldestellenprozesse.
Wir beraten regelmäßig Geschäftsführer, die in der Schnittstelle von HinSchG und steuerstrafrechtlichen Ermittlungen navigieren müssen – einem Terrain, das rechtliche Präzision und schnelles Handeln gleichermaßen verlangt. Die Erfahrung zeigt: Unternehmen, die das HinSchG als Compliance-Instrument begreifen und nicht als Bürokratiepflicht, gewinnen dabei nicht nur Rechtssicherheit, sondern auch eine stärkere Vertrauenskultur intern.
Welche Schnittstellen zu Steuerstreit und Wirtschaftsstrafrecht sind zu beachten?
Für die Praxis von BRANDT & FALK im Bereich Steuerstreit und Wirtschaftsstrafrecht ist eine Schnittstellenbetrachtung unerlässlich. Meldungen über das interne Hinweisgebersystem betreffen in einer erheblichen Zahl der Fälle steuerlich relevante Sachverhalte – Schwarzgeldzahlungen, verdeckte Gewinnausschüttungen, Scheinrechnungen, Buchführungsmängel.
Sobald ein gemeldeter Sachverhalt strafrechtliche oder steuerstrafrechtliche Relevanz aufweist, stellt sich für das Unternehmen die Frage, ob eine strafbefreiende Selbstanzeige nach § 371 AO in Betracht kommt. Diese Möglichkeit existiert nur in einem engen zeitlichen Fenster: Sobald ein Steuerstrafverfahren eröffnet, eine Prüfungsanordnung ergangen oder die Tat entdeckt ist, schließt die Selbstanzeige. Wer eine interne Meldung erhält und die steuerrechtliche Relevanz nicht sofort erkennt oder nicht umgehend anwaltlich prüfen lässt, läuft Gefahr, dieses Fenster zu verpassen.
Für den Geschäftsführer kommt eine weitere Dimension hinzu: Hat das Unternehmen steuerliche Pflichten verletzt, kann er persönlich als Haftungsschuldner nach § 69 AO in Anspruch genommen werden. In der Beratungspraxis sehen wir, dass Geschäftsführer, die interne Hinweise auf Steuerpflichtverletzungen erhalten und darauf nicht reagieren, ihre Haftungsposition signifikant verschlechtern. Die Kenntnis eines Sachverhalts ist keine Exkulpation – im Gegenteil. Handlungspflicht entsteht, sobald ein Hinweis die Schwelle der Plausibilität überschreitet.
Besondere Vorsicht ist auch bei der Interaktion mit Strafverfolgungsbehörden geboten. Erhält ein Unternehmen im Zuge eines Hinweises Kenntnis von Sachverhalten, die Gegenstand behördlicher Ermittlungen sein könnten, empfiehlt es sich, umgehend anwaltlichen Rat zu suchen, bevor Informationen intern weitergeleitet, Dokumente gesichert oder Mitarbeiter befragt werden. Eine voreilige, unkoordinierte interne Untersuchung kann Beweismittel kontaminieren oder den Anfangsverdacht gegen das Unternehmen erst begründen.
Die vorstehende Darstellung betrifft die Regelfälle des HinSchG und dessen Schnittstellen zum Steuer- und Wirtschaftsstrafrecht. Ihr konkreter Fall erfordert die Prüfung der unternehmensindividuellen Struktur, bestehender Dokumentation und einschlägiger behördlicher Praxis. Für eine erste fachliche Einschätzung schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum Hinweisgeberschutz im Mittelstand
Ab wie vielen Mitarbeitern muss eine interne Meldestelle eingerichtet werden?
Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle (§ 12 HinSchG). Maßgeblich ist die Zahl der regelmäßig beschäftigten Personen; Leiharbeiter sind im Rahmen des Equal-Treatment-Grundsatzes zu berücksichtigen. Die Schwelle ist headcount-bezogen – nicht umsatz- oder branchenabhängig. Konzernverbundene Unternehmen mit 50 bis 249 Beschäftigten dürfen unter bestimmten Voraussetzungen eine gemeinsame Meldestelle betreiben; die Einrichtungspflicht selbst bleibt davon unberührt.
Was gilt als Repressalie nach dem HinSchG?
Das HinSchG verbietet jede nachteilige Behandlung, die im Zusammenhang mit einer Meldung steht. Als Repressalie gelten insbesondere Kündigung, Abmahnung, Versetzung, Gehaltskürzung, verwehrte Beförderung sowie Änderungen der Arbeitsbedingungen zum Nachteil des Hinweisgebers. Entscheidend ist § 37 HinSchG: Nimmt der Hinweisgeber nach einer Meldung eine Benachteiligung wahr, wird widerleglich vermutet, dass diese kausal mit der Meldung zusammenhängt. Das Unternehmen muss dann sachliche, meldungsunabhängige Gründe nachweisen.
Darf die interne Meldestelle an einen externen Dienstleister übertragen werden?
Ja. § 14 HinSchG erlaubt ausdrücklich, die Aufgaben der internen Meldestelle auf Dritte zu übertragen, etwa auf spezialisierte Ombudspersonen, Anwaltskanzleien oder zertifizierte Hinweisgebersysteme. Voraussetzung ist, dass der Dritte die gesetzlichen Anforderungen an Vertraulichkeit, Unabhängigkeit und Fachkunde erfüllt. Die Verantwortung für die ordnungsgemäße Einrichtung und den Betrieb verbleibt beim Unternehmen; eine Haftungsübertragung auf den Dienstleister ist nicht möglich.
Welche Rolle spielt der Betriebsrat bei der Einrichtung einer Meldestelle?
Die Einführung einer internen Meldestelle berührt Mitbestimmungsrechte des Betriebsrats, insbesondere nach § 87 Abs. 1 Nr. 1 und Nr. 6 BetrVG. Soweit die Meldestelle technische Überwachungsmöglichkeiten schafft oder Verhaltens- und Ordnungsregeln der Arbeitnehmer betrifft, ist der Betriebsrat zwingend einzubinden. Unterbleibt die Beteiligung, kann die gesamte Infrastruktur der Meldestelle als unwirksam angefochten werden. Die rechtzeitige Einbindung des Betriebsrats ist deshalb kein formaler Punkt, sondern eine Bedingung für die Rechtswirksamkeit des Gesamtsystems.
Welche Schnittstelle besteht zwischen HinSchG-Meldungen und steuerstrafrechtlichen Ermittlungen?
Interne Meldungen betreffen häufig steuerlich relevante Sachverhalte – etwa Scheinrechnungen, verdeckte Gewinnausschüttungen oder Buchführungsmängel. Sobald solche Sachverhalte steuerstrafrechtlich relevant erscheinen, ist das Zeitfenster für eine strafbefreiende Selbstanzeige nach § 371 AO zu prüfen. Dieses Fenster schließt, sobald ein Steuerstrafverfahren eingeleitet oder eine Prüfungsanordnung ergangen ist. Unternehmen, die interne Meldungen nicht umgehend anwaltlich einordnen lassen, riskieren den Verlust dieser Option – mit erheblichen persönlichen Haftungsfolgen für den Geschäftsführer nach § 69 AO.
Die vorstehende Darstellung betrifft die Regelfälle der HinSchG-Umsetzung. Ihr konkreter Fall erfordert die Prüfung Ihrer Unternehmensstruktur, der bestehenden Dokumentation und gegebenenfalls behördlicher Verfahrensschritte. Zur Klärung, wie das HinSchG auf Ihr Unternehmen wirkt und welche Schritte vorrangig sind, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.