Ein Mitarbeiter Ihres Unternehmens meldet anonym einen möglichen Abrechnungsbetrug – und plötzlich stellen sich Fragen, die Sie vorher nicht auf dem Radar hatten: Müssen Sie die Meldung dokumentieren? Dürfen Sie den Mitarbeiter versetzen? Und: Wann haftet die Geschäftsführung persönlich, wenn das Unternehmen gar kein Meldesystem eingeführt hat?
Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen ab einer bestimmten Mitarbeiterzahl zur Einrichtung einer internen Meldestelle und untersagt jede Benachteiligung von Hinweisgebern. Für Geschäftsführer im Mittelstand bedeutet dies: Wer die Pflichten aus dem HinSchG nicht umgesetzt hat, riskiert Bußgelder und – bei gleichzeitigem Verstoß gegen gesellschaftsrechtliche Sorgfaltspflichten – die persönliche Haftung gegenüber der Gesellschaft. Dieser Beitrag beantwortet die häufigsten Fragen zur Umsetzung.
Die nachfolgenden Antworten orientieren sich an den gesetzlichen Anforderungen des HinSchG, erläutern die Schnittstellen zu Steuerstreit und Wirtschaftsstrafrecht und geben Ihnen eine praxisnahe Einschätzung, welche Schritte Ihr Unternehmen jetzt gehen muss.
Was regelt das HinSchG – und wen trifft es im Mittelstand?
Das Hinweisgeberschutzgesetz (HinSchG) setzt die EU-Hinweisgeberrichtlinie (Richtlinie 2019/1937/EU) in deutsches Recht um. Es gilt seit seinem Inkrafttreten im Juli 2023 und schützt Personen, die in beruflichem Zusammenhang Verstöße gegen Rechtsvorschriften melden – von Korruption und Steuerhinterziehung bis hin zu Verstößen gegen Datenschutzrecht oder Arbeitsschutzvorschriften.
Pflicht zur internen Meldestelle ab 50 Beschäftigten: Unternehmen mit in der Regel 50 oder mehr Beschäftigten sind nach dem HinSchG verpflichtet, eine interne Meldestelle einzurichten. Für Unternehmen mit 50 bis 249 Beschäftigten galt eine verlängerte Übergangsfrist, die inzwischen abgelaufen ist. Wer heute noch keine Meldestelle betreibt, verstößt aktiv gegen geltendes Recht.
In der Mandatspraxis sehen wir häufig, dass gerade inhabergeführte Unternehmen im Bereich von 60 bis 150 Mitarbeitern die Pflicht unterschätzen. Der Irrtum lautet: „Wir haben einen überschaubaren Gesellschafterkreis und kennen jeden Mitarbeiter persönlich – ein formales Meldesystem brauchen wir nicht." Das HinSchG kennt diese Ausnahme nicht. Die Beschäftigtenschwelle gilt unabhängig von der Rechtsform oder der Eigentümerstruktur des Unternehmens.
Unternehmen unter 50 Beschäftigten sind zwar nicht zur Einrichtung einer internen Meldestelle verpflichtet, unterliegen aber dennoch dem Repressionsverbot: Wer einen Mitarbeiter benachteiligt, weil dieser einen Hinweis gegeben hat, haftet nach dem HinSchG – unabhängig von der Betriebsgröße.
Welche Pflichten ergeben sich konkret aus dem HinSchG?
Das Gesetz unterscheidet zwischen der Pflicht zur Einrichtung einer Meldestelle und den Verhaltensanforderungen im Umgang mit eingehenden Meldungen. Beide Ebenen betreffen die Geschäftsführung direkt.
Eingangsbestätigung binnen 7 Tagen: Nach Eingang einer Meldung muss die interne Meldestelle dem Hinweisgeber binnen sieben Tagen den Eingang bestätigen. Innerhalb von drei Monaten nach dieser Bestätigung muss eine Rückmeldung über die ergriffenen oder geplanten Maßnahmen erfolgen. Diese Fristen sind nicht disponibel.
Die Meldestelle muss vertraulich betrieben werden. Das bedeutet: Die Identität des Hinweisgebers darf grundsätzlich nur mit dessen ausdrücklicher Zustimmung weitergegeben werden. Dies gilt auch gegenüber der Geschäftsführung selbst. In der Praxis führt diese Anforderung zu Spannungsfeldern, etwa wenn die Geschäftsführung die beschuldigte Person ist – in diesem Fall muss die Meldestelle institutionell von der Leitungsebene unabhängig sein.
Die Meldestelle kann intern besetzt werden (z. B. Compliance-Beauftragter, Datenschutzbeauftragter, Rechtsabteilung) oder an einen externen Dienstleister – etwa eine Kanzlei – ausgelagert werden. Ausgelagerte Meldestellen bieten strukturelle Vorteile: Sie gewährleisten die erforderliche Unabhängigkeit und verfügen über die rechtliche Sachkunde, eingehende Meldungen korrekt einzuordnen.
Daneben verbietet das HinSchG jede Form der Repressalie gegen Hinweisgeber. Repressalien im Sinne des Gesetzes sind nicht nur offensichtliche Maßnahmen wie Kündigung oder Abmahnung, sondern auch subtilere Formen: Versetzung, Herabstufung, Entzug von Fortbildungsmaßnahmen, veränderte Schichtplanung, psychischer Druck oder Diskriminierung im betrieblichen Umfeld.
Was droht, wenn das Unternehmen die HinSchG-Pflichten nicht erfüllt?
Das HinSchG sieht für Verstöße einen Bußgeldkatalog vor. Wer vorsätzlich die Einrichtung einer internen Meldestelle unterlässt oder Meldungen behindert, kann mit Bußgeldern belegt werden. Die genauen Bußgeldrahmen sind nach der aktuellen Gesetzeslage gestaffelt; die konkrete Höhe hängt vom Einzelfall ab und ist anwaltlich zu prüfen. Entscheidend ist: Das Bußgeldrisiko ist kumulativ – fehlende Meldestelle, aktive Behinderung einer Meldung und eine konkrete Repressalie können gesondert geahndet werden.
Neben dem Bußgeldrisiko besteht eine Schadensersatzpflicht gegenüber dem Hinweisgeber. Das HinSchG sieht zugunsten des Hinweisgebers eine Beweislastumkehr vor: Wenn nach einer Meldung eine Benachteiligung des Hinweisgebers eintritt, wird vermutet, dass diese Benachteiligung eine Repressalie ist. Das Unternehmen muss beweisen, dass die Maßnahme aus anderen, sachlichen Gründen erfolgt ist. Diese Beweislastumkehr ist in der Praxis ein erhebliches Haftungsrisiko, das Geschäftsführer kennen müssen.
Nach unserer Erfahrung entstehen die größten Risiken nicht aus der fehlenden Meldestelle als solcher, sondern aus dem ungeplanten Umgang mit der ersten eingehenden Meldung: Wenn keine Prozesse vorhanden sind, reagieren Führungskräfte intuitiv – und intuitives Handeln führt in diesem Kontext häufig zu Repressalien-Tatbeständen, die später schwer widerlegbar sind.
Wie hängen Hinweisgeberschutz und Wirtschaftsstrafrecht zusammen?
Das HinSchG erfasst Meldungen über Verstöße gegen eine Vielzahl von Rechtsvorschriften – darunter explizit Verstöße, die mit Wirtschaftsstrafrecht und Steuerrecht zusammenhängen. Wenn ein Mitarbeiter meldet, dass das Unternehmen Umsätze nicht ordnungsgemäß erfasst, Schwarzarbeit einsetzt oder Submissionsabsprachen trifft, ist die interne Meldestelle der erste Kanal, bevor die Staatsanwaltschaft oder das Finanzamt informiert wird.
Für die Geschäftsführung bedeutet dies eine doppelte Dimension: Einerseits schafft eine funktionierende interne Meldestelle die Möglichkeit, Compliance-Verstöße frühzeitig intern aufzugreifen, aufzuklären und zu sanieren – bevor sie zu einer strafrechtlichen Ermittlung eskalieren. Andererseits kann eine sachgerecht betriebene Meldestelle in einem späteren Strafverfahren als Indiz dafür gewertet werden, dass das Unternehmen über ein wirksames Compliance-Management-System verfügt.
Die höchstrichterliche Rechtsprechung hat in verschiedenen Kontexten anerkannt, dass das Vorhandensein eines funktionsfähigen Compliance-Systems strafzumessungsrelevant sein kann. Eine interne Meldestelle ist ein wesentlicher Bestandteil eines solchen Systems. Wer sie einrichtet und betreibt, stärkt daher nicht nur seine Rechtskonformität, sondern auch seine Position in einem etwaigen Straf- oder Ordnungswidrigkeitenverfahren.
Bei Meldungen, die auf mögliche Steuerstraftaten oder Steuerordnungswidrigkeiten hinweisen, empfiehlt sich zudem eine enge Abstimmung zwischen der Meldestelle und dem steuerrechtlichen Berater des Unternehmens. Die interne Untersuchung (Internal Investigation) und die Frage einer strafbefreienden Selbstanzeige nach § 371 AO schließen sich unter Umständen aus oder müssen zeitlich koordiniert werden – ein Spannungsfeld, das anwaltlicher Begleitung bedarf.
Wann haftet der Geschäftsführer persönlich für unterlassenen Hinweisgeberschutz?
Die persönliche Haftung des Geschäftsführers einer GmbH ergibt sich aus dem Zusammenspiel mehrerer Rechtsnormen. Der Geschäftsführer ist nach § 43 Abs. 1 GmbHG verpflichtet, die Sorgfalt eines ordentlichen Geschäftsmanns anzuwenden. Unterlässt er die Einrichtung einer nach dem HinSchG gesetzlich vorgeschriebenen Meldestelle, verletzt er eine Organisationspflicht, die nach dem aktuellen Rechtsverständnis zur Grundausstattung eines regelkonform geführten Unternehmens gehört.
Führt diese Pflichtverletzung zu einem Schaden der Gesellschaft – etwa in Form von Bußgeldern, Schadensersatzansprüchen eines Hinweisgebers oder Kosten einer eskalierenden Compliance-Krise –, haftet der Geschäftsführer der Gesellschaft gegenüber nach § 43 Abs. 2 GmbHG persönlich. Die gesellschaftsrechtliche Haftung setzt keinen Vorsatz voraus; fahrlässige Unterlassung reicht aus.
Im Rahmen der D&O-Versicherung (Directors-and-Officers-Haftpflicht) besteht zudem das Risiko, dass der Versicherer bei wissentlicher Pflichtverletzung die Leistung verweigert. Da die HinSchG-Pflichten seit dem Ablauf der Umsetzungsfrist bekannt sind, lässt sich eine Unkenntnis kaum noch plausibel vertreten.
Nach unserer Beratungspraxis empfehlen wir Geschäftsführern, die Einrichtung und den Betrieb der Meldestelle schriftlich zu dokumentieren und regelmäßig zu überprüfen. Diese Dokumentation ist im Fall einer späteren Haftungsfrage die wichtigste Entlastungsgrundlage.
Wie richtet man eine konforme interne Meldestelle ein?
Die Einrichtung einer internen Meldestelle erfordert drei Strukturentscheidungen: Wer betreibt die Meldestelle? Über welche Kanäle können Meldungen eingehen? Und wie wird das Verfahren nach Eingang einer Meldung gestaltet?
Schritt 1 – Trägerperson oder -einheit benennen: Das HinSchG verlangt eine mit der Aufgabe betraute Person oder Einheit, die unabhängig agiert. Interne Lösungen (Compliance Officer, Datenschutzbeauftragter, Innenrevision) sind zulässig, sofern die funktionale Unabhängigkeit sichergestellt ist. Die Betrauung eines externen Dritten – etwa einer spezialisierten Kanzlei – ist ausdrücklich gesetzlich vorgesehen und bietet gerade im Mittelstand praktische Vorteile.
Schritt 2 – Meldekanäle einrichten: Das HinSchG verlangt mindestens die Möglichkeit mündlicher Meldungen (Telefonat oder persönliches Gespräch). Schriftliche Kanäle (sichere Online-Plattform, Postfach) sind ergänzend zu empfehlen. Anonyme Meldungen müssen nicht zwingend möglich sein, sind aber praktisch sinnvoll – wer keine Anonymität gewährleistet, erhält in vielen Fällen schlicht keine Meldungen.
Schritt 3 – Verfahrensregeln festlegen: Das Unternehmen benötigt eine interne Verfahrensordnung, die mindestens Folgendes regelt: Eingangsbestätigung binnen sieben Tagen, Vertraulichkeitsschutz, Datenschutzkonformität der Meldestelle, Untersuchungsprozess, Rückmeldung an den Hinweisgeber binnen drei Monaten sowie Dokumentationspflichten.
Schritt 4 – Mitarbeiter informieren: Das HinSchG verlangt, dass Beschäftigte über die Existenz und den Betrieb der Meldestelle informiert werden. Diese Information kann über das Intranet, ein Aushang im Betrieb oder ein Mitarbeitermerkblatt erfolgen. Fehlt die Information, läuft die Meldestelle praktisch leer.
Eine häufige Frage in der Praxis: Reicht ein einfaches Formular auf der Unternehmenswebsite? Nein. Das HinSchG stellt spezifische Anforderungen an die Vertraulichkeit der Übermittlung und die Zugangssicherheit. Standardkontaktformulare oder allgemeine E-Mail-Adressen genügen diesen Anforderungen in der Regel nicht. Die genaue technische Ausgestaltung ist im Einzelfall mit dem Datenschutzbeauftragten und dem rechtlichen Berater abzustimmen.
Welche Schnittstellen bestehen zur Datenschutz-Grundverordnung (DSGVO)?
Der Betrieb einer internen Meldestelle ist eine Verarbeitungstätigkeit im Sinne der DSGVO. Das Unternehmen verarbeitet personenbezogene Daten des Hinweisgebers, der beschuldigten Person und weiterer involvierter Personen. Diese Verarbeitungstätigkeit ist im Verzeichnis der Verarbeitungstätigkeiten zu dokumentieren und erfordert eine Rechtsgrundlage nach Art. 6 DSGVO – in der Regel Art. 6 Abs. 1 lit. c (rechtliche Verpflichtung) für Meldungen, zu deren Verfolgung das Unternehmen verpflichtet ist.
Datenschutzfolgenabschätzung prüfen: Bei Hinweisgebersystemen, die eine umfangreiche systematische Verarbeitung sensibler Daten ermöglichen, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO in Betracht zu ziehen. Die Aufsichtsbehörden haben hierzu bereits Orientierungshilfen veröffentlicht.
Besonders heikel: die Rechte der beschuldigten Person. Das HinSchG schränkt den Auskunftsanspruch nach Art. 15 DSGVO vorübergehend ein, soweit die Information die interne Untersuchung gefährden würde. Dennoch besteht dieser Anspruch grundsätzlich – die konkrete Handhabung erfordert eine sorgfältige Abwägung, die juristischen Sachverstand voraussetzt.
Aufbewahrungsfrist und Löschkonzept: Meldungen und zugehörige Dokumente dürfen nach dem HinSchG nur so lange aufbewahrt werden, wie es für die Bearbeitung der Meldung und die Erfüllung gesetzlicher Pflichten erforderlich ist. Ein dokumentiertes Löschkonzept ist daher Pflichtbestandteil jedes HinSchG-konformen Meldesystems. Die genauen Aufbewahrungsfristen richten sich nach dem Einzelfall und sind anwaltlich zu prüfen.
Was sollten Geschäftsführer jetzt konkret tun?
Hinweisgeberschutz ist kein Thema, das man auf die lange Bank schieben kann. Die Übergangsfrist ist abgelaufen, die Bußgeldtatbestände sind aktiv, und die Beweislastumkehr bei Repressalien setzt das Unternehmen bei der ersten eingehenden Meldung sofort unter Druck.
Wir empfehlen Geschäftsführern im Mittelstand eine strukturierte Bestandsaufnahme in drei Schritten: Erstens, Prüfung der eigenen Beschäftigtenzahl und damit der Pflichtenlage. Zweitens, falls noch keine Meldestelle besteht: sofortige Klärung, ob eine interne oder externe Lösung umgesetzt wird. Drittens, falls eine Meldestelle besteht: Überprüfung auf Konformität – insbesondere hinsichtlich Fristen, Vertraulichkeitsschutz und Datenschutzanforderungen.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung. Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Mandatshinweis (anonymisiert): In einem aktuellen Mandat begleitete die Kanzlei ein mittelständisches Handelsunternehmen mit rund 80 Beschäftigten, das noch kein HinSchG-konformes Meldesystem betrieben hatte. Ausgangslage: Nach einem Personalwechsel in der Buchhaltung teilte ein ausscheidender Mitarbeiter mündlich mit, er habe interne Unregelmäßigkeiten bemerkt – ohne Details zu nennen. Das Unternehmen reagierte mit einer spontanen internen Befragung. Vorgehen: Die Kanzlei übernahm als externe Meldestelle die strukturierte Entgegennahme der Meldung, sicherte die Vertraulichkeit und führte eine erste rechtliche Einordnung durch, die eine strafrechtliche Eskalation verhinderte. Parallel wurde eine HinSchG-konforme Verfahrensordnung eingeführt. Ergebnis: Der Sachverhalt konnte intern aufgeklärt werden; das Unternehmen vermied eine Situation, in der die ungeplante Befragung als Repressalie gewertet hätte werden können.
Verwandte Leistungen
Häufige Fragen zum Hinweisgeberschutz im Mittelstand
Ab wie vielen Mitarbeitern ist eine interne Meldestelle nach dem HinSchG Pflicht?
Die Pflicht zur Einrichtung einer internen Meldestelle gilt für Unternehmen mit in der Regel 50 oder mehr Beschäftigten. Maßgeblich ist die Beschäftigtenzahl zum Zeitpunkt der Pflichterfüllung; die Übergangsfrist für Unternehmen mit 50 bis 249 Beschäftigten ist abgelaufen. Unternehmen unter 50 Beschäftigten unterliegen zwar nicht der Einrichtungspflicht, sind aber gleichwohl an das Repressionsverbot des HinSchG gebunden.
Muss die interne Meldestelle anonyme Hinweise ermöglichen?
Das HinSchG schreibt keine Pflicht zur Entgegennahme anonymer Meldungen vor. Gleichwohl empfehlen wir, anonyme Eingaben zuzulassen – praktisch erhalten Unternehmen, die Anonymität ausschließen, deutlich weniger Meldungen. Eingehende anonyme Meldungen sollten in jedem Fall bearbeitet werden; das Gesetz enthält insoweit keine Einschränkung. Die konkrete technische und organisatorische Ausgestaltung ist im Einzelfall zu prüfen.
Welche Fristen muss das Unternehmen beim Umgang mit Meldungen einhalten?
Nach Eingang einer Meldung muss die Meldestelle dem Hinweisgeber binnen sieben Tagen den Eingang bestätigen. Innerhalb von drei Monaten nach dieser Eingangsbestätigung ist eine Rückmeldung über ergriffene oder geplante Folgemaßnahmen erforderlich. Diese Fristen gelten für alle Unternehmen, die dem HinSchG unterfallen, und sind nicht durch interne Regeln abänderbar.
Darf die Geschäftsführung erfahren, wer den Hinweis gegeben hat?
Grundsätzlich nein. Das HinSchG verbietet die Weitergabe der Identität des Hinweisgebers ohne dessen ausdrückliche Zustimmung. Dies gilt auch gegenüber der Geschäftsführung. Wenn die Geschäftsführung selbst Gegenstand einer Meldung ist, muss die Meldestelle strukturell unabhängig von ihr operieren. Die Vertraulichkeitspflicht ist eine der zentralen Compliance-Anforderungen des Gesetzes.
Was versteht das HinSchG unter einer „Repressalie"?
Repressalien sind nach dem HinSchG alle Maßnahmen, die für den Hinweisgeber nachteilig sind und in Zusammenhang mit seiner Meldung stehen. Das Spektrum ist weit: Es umfasst Kündigung, Abmahnung, Versetzung, Gehaltskürzung, Entzug von Fortbildungen, Schlechterbeurteilung, aber auch informelle Benachteiligungen wie Ausgrenzung oder Druckausübung. Bei einer Benachteiligung nach einer Meldung wird per Beweislastumkehr vermutet, dass diese eine Repressalie ist – das Unternehmen muss das Gegenteil beweisen.
Kann die interne Meldestelle an eine externe Kanzlei ausgelagert werden?
Ja. Das HinSchG erlaubt ausdrücklich die Beauftragung eines Dritten – etwa einer auf Compliance spezialisierten Kanzlei – mit dem Betrieb der internen Meldestelle. Die ausgelagerte Meldestelle muss dieselben gesetzlichen Anforderungen erfüllen wie eine interne. Praktische Vorteile einer externen Lösung: strukturelle Unabhängigkeit, juristische Sachkunde bei der Einordnung eingehender Meldungen und Entlastung der internen Ressourcen.
Wie verhalten sich Hinweisgeberschutz und Datenschutz (DSGVO) zueinander?
Der Betrieb einer Meldestelle ist eine Verarbeitung personenbezogener Daten und unterliegt der DSGVO. Das Unternehmen benötigt eine Rechtsgrundlage, muss die Verarbeitungstätigkeit dokumentieren und ein Löschkonzept vorhalten. Zudem schränkt das HinSchG den Auskunftsanspruch der beschuldigten Person vorübergehend ein, soweit dies die interne Untersuchung gefährden würde. Die genaue Ausgestaltung erfordert die Abstimmung mit dem Datenschutzbeauftragten und dem rechtlichen Berater.
Was riskiert ein Geschäftsführer persönlich, wenn das Unternehmen keine Meldestelle eingerichtet hat?
Das Unterlassen der gesetzlich vorgeschriebenen Einrichtung einer Meldestelle verletzt die gesellschaftsrechtliche Sorgfaltspflicht des Geschäftsführers (§ 43 Abs. 1 GmbHG). Entstehen der Gesellschaft daraus Schäden – etwa durch Bußgelder oder Schadensersatzansprüche eines Hinweisgebers –, haftet der Geschäftsführer nach § 43 Abs. 2 GmbHG persönlich. Fahrlässige Unterlassung genügt; Vorsatz ist nicht erforderlich. Daneben besteht das Risiko einer Bußgeldverhängung unmittelbar gegen das Unternehmen.
Müssen Mitarbeiter über das Meldesystem informiert werden?
Ja. Das HinSchG verpflichtet das Unternehmen, seine Beschäftigten über die Existenz und die Nutzungsmöglichkeiten der Meldestelle zu informieren. Ohne diese Information ist das System praktisch wirkungslos. Die Information kann über Intranet, Aushänge oder ein Mitarbeitermerkblatt erfolgen. Art und Form der Information sollten dokumentiert werden, um im Streitfall nachweisen zu können, dass die Informationspflicht erfüllt wurde.
Gilt das HinSchG auch für grenzüberschreitende Unternehmensgruppen?
Ja, jedenfalls soweit deutsche Gesellschaften in den Anwendungsbereich fallen. Konzerngesellschaften ab 50 Beschäftigten sind grundsätzlich selbst verpflichtet, eine Meldestelle einzurichten; sie können jedoch unter bestimmten Voraussetzungen eine gemeinsame Meldestelle mit anderen Konzerngesellschaften betreiben. Die genauen Anforderungen an eine konzernweite Lösung hängen von der Struktur des Konzerns und den beteiligten Jurisdiktionen ab und sind einzelfallbezogen zu prüfen.
Die vorstehende Darstellung betrifft die Regelfälle des Hinweisgeberschutzes nach dem HinSchG. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Beschäftigtenstruktur, bestehender Prozesse und der einschlägigen Rechtsprechung. Zur Klärung, wie das HinSchG auf Ihr Unternehmen wirkt und welche Schritte jetzt prioritär sind, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.