Ein Mitarbeiter meldet intern, dass Rechnungen systematisch falsch ausgestellt werden. Drei Wochen später ist er gekündigt. Genau dieses Szenario hat der deutsche Gesetzgeber mit dem Hinweisgeberschutzgesetz (HinSchG) adressiert – und für Geschäftsführer im Mittelstand entstehen daraus konkrete Pflichten, deren Nichterfüllung bußgeldbewehrt ist. Die Frage lautet nicht, ob Sie ein Meldesystem einrichten müssen, sondern wie Sie es rechtssicher und betrieblich tragfähig ausgestalten.
Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen ab einer bestimmten Beschäftigtenzahl zur Einrichtung einer internen Meldestelle und untersagt Repressalien gegen hinweisgebende Personen. Geschäftsführer, die diese Pflichten nicht erfüllen, riskieren Bußgelder und – im Zusammenspiel mit anderen Compliance-Verstößen – eine persönliche Haftung. Dieser Leitfaden zeigt die wesentlichen Umsetzungsschritte in strukturierter Form.
Der folgende Beitrag führt Sie in sieben Schritten durch die Umsetzung: von der Schwellenprüfung über den Aufbau der Meldestelle, die Verfahrensregeln und den Datenschutz bis hin zur Schulung und Dokumentation.
Schritt 1: Gilt das HinSchG für Ihr Unternehmen?
Die erste und entscheidende Frage ist die nach dem persönlichen Anwendungsbereich. Das HinSchG unterscheidet nach der Zahl der Beschäftigten: Private Unternehmen mit 50 oder mehr Beschäftigten sind grundsätzlich verpflichtet, eine interne Meldestelle einzurichten. Für Unternehmen mit 50 bis 249 Beschäftigten galten gestaffelte Umsetzungsfristen; Unternehmen ab 250 Beschäftigten unterlagen der Pflicht bereits ab dem Inkrafttreten des Gesetzes im Juli 2023. Unabhängig von der Beschäftigtenzahl gelten besondere Pflichten im Finanzdienstleistungssektor und für Unternehmen, die bestimmten sektoriellen Unionsrechtsakten unterliegen.
In der Mandatspraxis sehen wir häufig, dass inhabergeführte Unternehmen mit gewachsenen Strukturen die Beschäftigtenzahl unterschätzen – sei es, weil Leiharbeitnehmer, Minijobber oder Konzerngesellschafter nicht konsequent eingerechnet werden. Relevant ist die tatsächliche Beschäftigtenzahl nach dem Gesamtbild des Betriebs, nicht eine formale Zählweise. Wer die Schwelle erst knapp überschreitet, sollte die Berechnung anwaltlich absichern lassen.
Konzernstrukturen bieten eine Erleichterung: Unternehmen mit 50 bis 249 Beschäftigten können gemäß § 14 HinSchG eine gemeinsame Meldestelle innerhalb der Unternehmensgruppe betreiben. Diese Möglichkeit entbindet aber nicht von der eigenständigen Verantwortlichkeit des jeweiligen Unternehmens für die Einhaltung der gesetzlichen Mindestanforderungen.
Liegt Ihr Unternehmen unter der Schwelle von 50 Beschäftigten, entfällt die Pflicht zur internen Meldestelle. Dennoch empfiehlt sich auch dann die Einrichtung freiwilliger Kanäle – allein schon deshalb, weil Hinweisgeber in diesem Fall unmittelbar die staatliche externe Meldestelle (Bundesamt für Justiz) nutzen können, und es dann keinen internen Filter mehr gibt.
Schritt 2: Interne Meldestelle einrichten – was verlangt das HinSchG konkret?
Die interne Meldestelle ist das Herzstück des gesetzlichen Systems. Sie muss Meldungen auf mindestens einem sicheren Kanal entgegennehmen können. Das Gesetz schreibt vor, dass schriftliche und mündliche Meldungen möglich sein müssen; auf Verlangen der hinweisgebenden Person ist auch eine persönliche Zusammenkunft anzubieten. Eine reine E-Mail-Adresse ohne weitere Vorkehrungen genügt den gesetzlichen Anforderungen regelmäßig nicht.
Die mit der Meldestelle beauftragten Personen müssen über die notwendige Fachkunde verfügen, unabhängig agieren können und zur Vertraulichkeit verpflichtet sein. In der Praxis kommen sowohl interne Stellen (etwa Compliance-Beauftragter, Rechtsabteilung, Datenschutzbeauftragter) als auch externe Dienstleister in Betracht. Wichtig: Wer die Meldestelle intern besetzt, darf keine Interessenkonflikte haben – ein Mitglied der Geschäftsführung als alleinige Anlaufstelle ist mit dem gesetzlichen Gebot der Unabhängigkeit kaum vereinbar.
Nach Eingang einer Meldung gelten gesetzliche Reaktionsfristen. Innerhalb von sieben Tagen ist der hinweisgebenden Person der Eingang zu bestätigen; binnen drei Monaten ist über die ergriffenen Folgemaßnahmen zu informieren. Diese Fristen sind im HinSchG fest verankert und bilden in der Praxis die häufigsten Stolperstellen bei der Umsetzung. Wer kein Ticket-System oder vergleichbares Workflow-Management betreibt, läuft Gefahr, Fristen schlicht zu übersehen.
Nach unserer Erfahrung unterschätzen viele mittelständische Unternehmen den operativen Aufwand hinter diesen Fristen. Die Bestätigung ist noch vergleichsweise einfach zu automatisieren. Die Rückmeldung über Folgemaßnahmen erfordert hingegen, dass intern tatsächlich etwas geschehen ist – eine Vorprüfung, eine Zuständigkeitszuweisung, eine Entscheidung. Wer dieses interne Verfahren nicht vorab definiert hat, produziert Fristversäumnisse.
Welche Meldungen sind schützenswert – und welche nicht?
Der sachliche Anwendungsbereich des HinSchG ist bewusst breit gehalten. Geschützte Meldungen betreffen Verstöße gegen das Unionsrecht in den in Anhang I und II der Richtlinie 2019/1937 genannten Bereichen sowie gegen nationales Recht, wenn es sich um Strafvorschriften oder bußgeldbewehrte Vorschriften handelt, die dem Schutz von Leben, Leib, Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertreterorgane dienen. Für die Compliance-Praxis bedeutet das: Arbeitsrechtsverstöße, Umweltvergehen, Datenschutzverletzungen, Steuerdelikte und kartellrechtliche Verstöße fallen in den geschützten Bereich – das sind genau die Materie, in der Mittelständler regelmäßig exponiert sind.
Keine Schutzwirkung entfaltet das HinSchG hingegen für Meldungen, die wissentlich falsche Informationen betreffen. Missbräuchlich handelnde Hinweisgeber sind daher nicht schutzwürdig. Für Geschäftsführer ist die Abgrenzung im Einzelfall dennoch heikel: Wer zu schnell entscheidet, eine Meldung sei „offensichtlich unbegründet", riskiert den Vorwurf der Repressalie – insbesondere, wenn die betroffene Person kurz danach arbeitsrechtliche Maßnahmen erhält.
In Steuer- und Compliance-Sachverhalten ist der Überschneidungsbereich mit dem Wirtschaftsstrafrecht besonders relevant. Hinweise auf mögliche Steuerhinterziehung, verdeckte Provisionen oder Buchführungsverstöße können parallel strafrechtliche Relevanz haben. Hier empfiehlt es sich, frühzeitig strafrechtlich vorgebildete Berater einzubinden – denn interne Ermittlungen im Zuge solcher Meldungen sind ihrerseits an rechtliche Grenzen gebunden.
Schritt 3: Repressalienverbot und Beweislastumkehr – das unterschätzte Haftungsrisiko
Das Repressalienverbot ist der Kern des gesetzlichen Schutzes. Jede Benachteiligung, die als Reaktion auf eine Meldung erfolgt, ist verboten – von der Kündigung über die Versetzung bis hin zu subtileren Maßnahmen wie Beurteilungsverschlechterungen, Schichtänderungen oder der Nichtzahlung von Boni. Das Gesetz enthält eine Beweislastumkehr: Steht fest, dass die hinweisgebende Person eine Meldung erstattet hat, und erleidet sie danach eine Benachteiligung, muss der Arbeitgeber beweisen, dass die Benachteiligung nichts mit der Meldung zu tun hat.
Diese Beweislastumkehr verändert die prozessuale Lage erheblich. Wer als Geschäftsführer eine berechtigte Kündigung ausspricht, aber den Zeitpunkt schlecht wählt, kann sich in einer Situation wiederfinden, in der er die fehlende Kausalität zur vorangegangenen Meldung nachweisen muss. Fristgerechte Dokumentation von Leistungsmängeln und sorgfältige Verfahren bei personellen Maßnahmen werden dadurch noch wichtiger als bisher.
Hinzu kommt die Schadensersatzpflicht: Wer gegen das Repressalienverbot verstößt, haftet der hinweisgebenden Person auf Ersatz des materiellen und immateriellen Schadens. Diese Haftung trifft das Unternehmen unmittelbar; bei pflichtwidrigem Organisationsversagen kann sie auch zur persönlichen Innenhaftung des Geschäftsführers gegenüber der Gesellschaft führen.
Schritt 4: Datenschutz und Vertraulichkeit – die unterschätzte Compliance-Schnittstelle
Die Einrichtung einer Meldestelle berührt unmittelbar den Datenschutz. Meldungen enthalten regelmäßig personenbezogene Daten sowohl der hinweisgebenden als auch der beschuldigten Person. Die Verarbeitung muss auf eine valide Rechtsgrundlage nach der Datenschutz-Grundverordnung (DSGVO) gestützt werden; in Betracht kommen Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) und, für besondere Kategorien, Art. 9 Abs. 2 lit. b DSGVO.
Das HinSchG verbietet es ausdrücklich, die Identität der hinweisgebenden Person ohne deren Einwilligung offenzulegen – und zwar auch gegenüber der beschuldigten Person. Diese Vertraulichkeitspflicht kollidiert in der Praxis mit dem Grundsatz des rechtlichen Gehörs bei internen Ermittlungen. Innerhalb dieser Spannungslage müssen Verfahrensregeln definiert werden, bevor die Meldestelle in Betrieb geht. Spätestens an diesem Punkt zeigt sich, ob ein Unternehmen ein tragfähiges Verfahrensdesign hat oder lediglich ein Formular ins Intranet gestellt hat.
Anonyme Meldungen muss die Meldestelle zwar entgegennehmen können, soweit dies technisch möglich ist; das Gesetz verpflichtet aber nicht dazu, auch anonyme Meldungen in jedem Fall vollständig zu bearbeiten. Gleichwohl empfehlen wir in der Praxis, anonyme Hinweise nicht vorschnell zurückzuweisen – schon weil der Hinweis selbst auf eine tatsächliche Rechtsverletzung hindeuten kann, die unabhängig vom Schutzstatus des Hinweisgebers intern aufgeklärt werden sollte.
Zur Datenschutz-Dokumentation gehören: Verzeichnis der Verarbeitungstätigkeiten, ggf. Datenschutz-Folgenabschätzung (DSFA), technisch-organisatorische Maßnahmen (TOMs) für das Meldesystem sowie eine klare Löschkonzeption. Unbegründete Meldungen sind nach Abschluss der Bearbeitung zu löschen, begründete Meldungen dürfen nur so lange gespeichert werden, wie die Aufbewahrung erforderlich ist.
Schritt 5: Mitbestimmung und Betriebsrat – was gilt im Mittelstand?
Wo ein Betriebsrat besteht, hat dieser bei der Einführung und Ausgestaltung eines elektronischen Meldesystems ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG (technische Einrichtung zur Überwachung). Darüber hinaus kann § 87 Abs. 1 Nr. 1 BetrVG (Ordnung des Betriebs und Verhalten der Arbeitnehmer) einschlägig sein. Wer die Einführung des Meldesystems ohne Betriebsratsvereinbarung vornimmt, riskiert, dass die Betriebsverfassung als verletzt gilt – mit allen verfahrensrechtlichen Konsequenzen.
In mittelständischen Unternehmen ohne Betriebsrat entfällt diese Hürde; gleichwohl empfiehlt sich eine transparente Kommunikation gegenüber der Belegschaft. Mitarbeiter, die das Meldesystem nicht kennen oder ihm misstrauen, werden es nicht nutzen – und der interne Kanal erfüllt dann nicht seine Filterfunktion gegenüber externen Stellen und der Öffentlichkeit.
Schritt 6: Schulung, Dokumentation und laufende Überprüfung
Ein einmalig eingerichtetes System, das danach nicht gepflegt wird, ist kein tragfähiges Compliance-Instrument. Das HinSchG enthält zwar keine explizite Schulungspflicht für alle Mitarbeiter, doch die effektive Zugänglichkeit des Meldesystems ist de facto nur gewährleistet, wenn die Belegschaft informiert ist. Für Führungskräfte und Compliance-Beauftragte ist eine gezielte Schulung unerlässlich – insbesondere zu den Verfahrensregeln, dem Repressalienverbot und dem Umgang mit eingehenden Meldungen.
Nach unserer Erfahrung erweist sich die Dokumentation als kritischste Stelle bei externen Überprüfungen. Jede eingegangene Meldung, jede Verfahrensentscheidung, jede Folgemaßnahme und jede Rückmeldung an die hinweisgebende Person sollte revisionssicher protokolliert sein. Das gilt unabhängig davon, ob eine Meldung begründet war oder nicht. Fehlen diese Aufzeichnungen, ist auch eine ordnungsgemäße Umsetzung gegenüber Behörden und Gerichten kaum nachweisbar.
Mindestens einmal jährlich sollte das Meldesystem auf seine Funktionsfähigkeit und Aktualität überprüft werden. Dazu gehört: Sind die benannten Personen noch im Amt und fachkundig? Sind technische Zugangswege noch verfügbar? Hat sich die Rechtslage verändert? Spiegelt die Verfahrensanweisung noch die tatsächliche Praxis wider? Diese Überprüfung ist zu dokumentieren.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein inhabergeführtes Produktionsunternehmen aus dem Maschinenbauumfeld mit rund 180 Beschäftigten. Ausgangslage: Das Unternehmen hatte eine E-Mail-Adresse als Meldestelle eingerichtet, die beim Geschäftsführer selbst einging – ohne Fristen-Tracking, ohne definiertes Folgeverfahren und ohne Datenschutzkonzept. Nach einer internen Beschwerde eines Mitarbeiters über Buchführungsunregelmäßigkeiten und einer anschließenden Kündigung zeichnete sich ein Repressalienvorwurf ab. Vorgehen: Die Kanzlei überprüfte die Verfahrensstruktur, empfahl die Beauftragung einer unabhängigen internen Ombudsperson, begleitete die Überarbeitung des Datenschutzkonzepts und entwickelte eine Verfahrensanweisung mit klaren Zuständigkeiten und Reaktionsfristen. Ergebnis: Das Unternehmen konnte die ordnungsgemäße Einrichtung einer regelkonformen Meldestelle nachweisen und die Auseinandersetzung auf eine sachlich belastbare Grundlage stellen.
Schritt 7: Bußgelder, externe Meldestellen und Verhältnis zur Öffentlichkeit
Das HinSchG sieht Bußgelder für verschiedene Pflichtverstöße vor. Sanktioniert werden insbesondere: die Behinderung einer Meldung, die Verletzung der Vertraulichkeitspflicht und Repressalien gegenüber der hinweisgebenden Person. Die Bußgeldrahmen sind im Gesetz festgelegt; die genaue Höhe im Einzelfall ist von den zuständigen Behörden zu bestimmen und hängt von Schwere und Dauer des Verstoßes ab. Darüber hinaus können Verstöße als Indiz für ein mangelhaftes Compliance-Management-System in anderen behördlichen oder gerichtlichen Verfahren herangezogen werden.
Hinweisgeber haben das Recht, sich unmittelbar an externe Meldestellen zu wenden – etwa das Bundesamt für Justiz als zentrale externe Meldestelle oder sektorspezifische Behörden (z. B. BaFin, Bundeskartellamt, Bundesbeauftragter für den Datenschutz). Das Gesetz gibt Hinweisgebern die freie Wahl zwischen internen und externen Kanälen; eine Pflicht zur internen Meldung zuerst besteht grundsätzlich nicht. Allerdings besteht für viele Hinweisgeber in der Praxis eine Präferenz für den internen Weg, wenn sie darauf vertrauen können, dass ihre Meldung ernsthaft bearbeitet wird und keine Nachteile folgen. Ein gut funktionierendes internes System schützt das Unternehmen daher auch davor, dass Sachverhalte zuerst extern oder gar öffentlich werden.
Die Offenlegung an die Öffentlichkeit – also an Medien oder die Allgemeinheit – ist unter dem HinSchG nur unter eingeschränkten Voraussetzungen geschützt: insbesondere dann, wenn zuvor eine externe Meldung ohne angemessene Reaktion geblieben ist oder eine unmittelbare Gefährdung öffentlicher Interessen vorliegt. Für Geschäftsführer ist relevant zu wissen, dass dieser Schutz nicht gilt, wenn die hinweisgebende Person wissentlich falsche Informationen verbreitet – dies schränkt die Reichweite aber nicht nennenswert ein, wenn die Meldung auf einer vertretbaren Sachverhaltswürdigung beruht.
Die vorstehende Darstellung betrifft die wesentlichen Regelanforderungen. Ihr konkreter Fall erfordert die Prüfung Ihrer Beschäftigtenzahl, bestehender Vertragsunterlagen, eingesetzter Technologie und des aktuellen Stands Ihrer Verfahrensregeln. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum Hinweisgeberschutz (HinSchG)
Ab wie vielen Mitarbeitern ist eine interne Meldestelle nach dem HinSchG Pflicht?
Private Unternehmen mit 50 oder mehr Beschäftigten sind nach dem Hinweisgeberschutzgesetz zur Einrichtung einer internen Meldestelle verpflichtet. Für Unternehmen zwischen 50 und 249 Beschäftigten galten gestaffelte Fristen; Unternehmen ab 250 Beschäftigten waren ab dem Inkrafttreten des HinSchG im Juli 2023 sofort verpflichtet. Unabhängig von der Größe gelten für Unternehmen bestimmter regulierter Sektoren besondere Anforderungen. Die genaue Berechnung der Beschäftigtenzahl sollte anwaltlich geprüft werden, da Leiharbeitnehmer und Konzernstrukturen besondere Fragen aufwerfen.
Kann ich externe Dienstleister als interne Meldestelle einsetzen?
Ja. Das HinSchG lässt ausdrücklich zu, dass Unternehmen Dritte – etwa spezialisierte Ombudspersonen oder Softwareanbieter – mit dem Betrieb der internen Meldestelle beauftragen. Die Verantwortlichkeit für die Einhaltung der gesetzlichen Anforderungen verbleibt jedoch beim Unternehmen selbst. Die beauftragten Dritten müssen die Vertraulichkeitspflichten einhalten und vertraglich entsprechend gebunden werden. Datenschutzrechtlich ist in der Regel ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zu schließen.
Was droht, wenn das Unternehmen gegen das Repressalienverbot verstößt?
Repressalien gegenüber hinweisgebenden Personen sind nach dem HinSchG verboten und können Schadensersatzansprüche der betroffenen Person auslösen – für materielle und immaterielle Schäden. Hinzu kommt eine gesetzliche Beweislastumkehr: Das Unternehmen muss nachweisen, dass eine erlittene Benachteiligung nicht in Zusammenhang mit der Meldung stand. Außerdem sind Verstöße bußgeldbewehrt. Geschäftsführer sollten personelle Maßnahmen in zeitlicher Nähe zu einer Meldung besonders sorgfältig dokumentieren.
Müssen auch anonyme Meldungen bearbeitet werden?
Das HinSchG verpflichtet zur Entgegennahme anonymer Meldungen, soweit dies technisch möglich ist. Eine Pflicht zur vollständigen Bearbeitung jeder anonymen Meldung enthält das Gesetz nicht ausdrücklich. In der Praxis empfiehlt sich jedoch eine Vorprüfung: Enthält die anonyme Meldung einen konkreten Hinweis auf einen möglichen Verstoß, sollte dieser intern geprüft werden – unabhängig davon, ob der Hinweisgeber persönlich schutzwürdig ist. Andernfalls riskiert das Unternehmen, tatsächliche Compliance-Risiken unbearbeitet zu lassen.
Welche Fristen gelten nach Eingang einer Meldung?
Das HinSchG sieht zwei wesentliche Reaktionsfristen vor: Der hinweisgebenden Person ist der Eingang der Meldung innerhalb von sieben Tagen zu bestätigen. Innerhalb von drei Monaten nach der Eingangsbestätigung ist die Person über die ergriffenen oder geplanten Folgemaßnahmen zu informieren. Diese Fristen laufen unabhängig davon, ob die Meldung begründet oder unbegründet ist. Ein Workflow-Management-System oder eine vergleichbare Dokumentationslösung ist daher unerlässlich.
Besteht eine Pflicht zur Erstattung interner Meldungen vor dem Gang zur externen Meldestelle?
Nein. Das HinSchG räumt Hinweisgebern das Recht ein, sich direkt an externe Meldestellen zu wenden, ohne zuvor intern Meldung erstattet zu haben. Eine formelle Vorrangigkeit des internen Kanals ist im Gesetz nicht vorgesehen. Gleichwohl bietet ein gut funktionierendes internes System einen erheblichen praktischen Vorteil: Es filtert Sachverhalte, bevor sie extern oder gar öffentlich werden, und gibt dem Unternehmen die Möglichkeit, selbst zu handeln.
Was gilt bei Konzernstrukturen?
Unternehmen mit 50 bis 249 Beschäftigten können nach § 14 HinSchG eine gemeinsame interne Meldestelle für mehrere Konzernunternehmen betreiben. Diese Regelung soll insbesondere mittelständischen Konzernstrukturen eine effiziente Lösung ermöglichen. Die individuelle Verantwortlichkeit jedes Konzernunternehmens für die Einhaltung der gesetzlichen Pflichten bleibt davon unberührt. Bei Unternehmen ab 250 Beschäftigten ist in der Regel eine eigene Meldestelle erforderlich.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Unterlagen wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.