Ein Mitarbeiter wendet sich an die Geschäftsführung: Er habe Anhaltspunkte für Abrechnungsmanipulationen in einer Tochtergesellschaft. Wie die Führung reagiert, entscheidet nicht nur über den Fortgang des internen Vorgangs – sondern darüber, ob sie wenige Wochen später selbst im Fokus einer Behörde steht.
Das Hinweisgeberschutzgesetz (HinSchG), das seit dem 2. Juli 2023 in Kraft ist, verpflichtet Unternehmen ab einer bestimmten Beschäftigtenzahl zur Einrichtung interner Meldestellen und schützt Hinweisgeber vor Repressalien. Geschäftsführer, die ihre Umsetzungspflichten vernachlässigen, riskieren empfindliche Bußgelder und – bei gleichzeitiger Verletzung anderer Compliance-Pflichten – persönliche Haftung. Der vorliegende Beitrag analysiert den normativen Rahmen, beleuchtet die praktischen Folgen für den Mittelstand und zeigt auf, welche Schritte Unternehmen jetzt einleiten sollten.
Der Beitrag gliedert sich in acht Abschnitte: normativer Rahmen und Entstehungsgeschichte, Pflichten nach HinSchG im Einzelnen, Abgrenzung der meldepflichtigen Sachverhalte, Schutzmechanismen für hinweisgebende Personen, Konsequenzen bei Verstößen, Gestaltungsoptionen im Mittelstand, Verhältnis zu verwandten Compliance-Anforderungen sowie ein Mikro-Fall aus der Beratungspraxis.
Normativer Rahmen: Wie das HinSchG entstanden ist und was es regelt
Das Hinweisgeberschutzgesetz setzt die EU-Whistleblower-Richtlinie 2019/1937 in deutsches Recht um – mit erheblicher Verzögerung. Deutschland war zum 17. Dezember 2021 zur Umsetzung verpflichtet; der Bundesgesetzgeber benötigte bis Mitte 2023. Die Europäische Kommission hatte ein Vertragsverletzungsverfahren eingeleitet, bevor das HinSchG am 2. Juli 2023 in Kraft trat. Für mittlere Unternehmen mit 50 bis 249 Beschäftigten galten Übergangsfristen, die zum 17. Dezember 2023 ausliefen.
Das Gesetz verfolgt einen doppelten Ansatz: Es schützt Personen, die im beruflichen Umfeld Hinweise auf Rechtsverstöße erteilen, vor Benachteiligungen – und verpflichtet gleichzeitig bestimmte Unternehmen, sichere Meldekanäle bereitzustellen. Beide Seiten sind miteinander verknüpft: Ein Unternehmen, das keinen wirksamen internen Meldekanal bereitstellt, nimmt in Kauf, dass Hinweisgeber direkt externe Stellen – etwa das Bundeskartellamt, die BaFin oder Strafverfolgungsbehörden – einschalten. Das entspricht exakt der Struktur, die die Richtlinie anreizt: erst intern, dann extern, in Ausnahmefällen öffentlich.
In der Mandatspraxis sehen wir regelmäßig, dass Geschäftsführer das HinSchG als bürokratische Zusatzaufgabe betrachten – und dabei übersehen, dass das Gesetz die Haftungsarchitektur eines Unternehmens grundlegend verändert. Wer Meldungen systematisch ignoriert oder Hinweisgeber benachteiligt, setzt sich nicht nur dem Bußgeldregime des HinSchG aus, sondern beschleunigt den Weg zu einer behördlichen oder staatsanwaltlichen Ermittlung.
Welche Unternehmen sind zur Einrichtung einer internen Meldestelle verpflichtet?
Die Pflicht zur internen Meldestelle richtet sich nach der Beschäftigtenzahl. Ab 50 Beschäftigten besteht nach § 12 Abs. 1 HinSchG eine Verpflichtung zur Einrichtung einer internen Meldestelle. Unternehmen mit 50 bis 249 Beschäftigten konnten bis zum 17. Dezember 2023 eine gemeinsame Meldestelle mit anderen Unternehmen dieser Größenklasse betreiben. Ab 250 Beschäftigten war eine eigenständige Lösung von Beginn an erforderlich.
Unabhängig von der Beschäftigtenzahl gilt die Pflicht auch für Unternehmen aus bestimmten regulierten Sektoren – darunter Kredit- und Finanzdienstleistungsinstitute, Versicherungsunternehmen sowie weitere Adressaten des Geldwäschegesetzes. Für diese Unternehmen bestand die Pflicht ab dem ersten Tag des Inkrafttretens.
Was bedeutet das für den Mittelstand konkret? Ein inhabergeführter Maschinenbauer mit 80 Beschäftigten, eine Steuerberatungsgesellschaft mit 60 Mitarbeitern oder ein Handelsunternehmen mit mehreren Standorten – sie alle fallen unter das Regime. Dabei ist der Begriff des Beschäftigten weit zu verstehen: Neben Arbeitnehmern zählen auch Leiharbeitnehmer, die dem Unternehmen überlassen werden, in der Regel mit. In der Mandatspraxis erleben wir wiederholt, dass Geschäftsführer die Kopfzahl unterschätzen, weil Leiharbeit und Freelancer-Mandate nicht ins Kalkül gezogen werden.
Was muss eine interne Meldestelle leisten?
Die Anforderungen an eine ordnungsgemäße interne Meldestelle gehen über die bloße Einrichtung einer E-Mail-Adresse weit hinaus. Nach §§ 13 ff. HinSchG muss die Stelle mehrere Funktionen erfüllen: Sie muss Meldungen entgegennehmen, die eingehende Meldung binnen sieben Tagen bestätigen, die Stichhaltigkeit prüfen, erforderlichenfalls Folgemaßnahmen einleiten und dem Hinweisgeber spätestens nach drei Monaten Rückmeldung über ergriffene oder geplante Maßnahmen geben.
Die Meldestelle muss personell so besetzt sein, dass die zuständige Person frei von Interessenkonflikten agiert. Das schließt nicht aus, dass die Funktion intern besetzt wird – etwa durch die Rechts- oder Compliance-Abteilung. Es schließt jedoch aus, dass eine Person, die selbst Gegenstand einer möglichen Meldung sein könnte, mit der Bearbeitung betraut wird. Für kleinere Unternehmen liegt daher die Übertragung auf externe Ombudspersonen oder Rechtsanwälte nahe.
Daneben muss der Meldekanal so gestaltet sein, dass er mündliche und schriftliche Meldungen ermöglicht. Auf ausdrücklichen Wunsch des Hinweisgebers ist auch eine persönliche Zusammenkunft anzubieten. Anonyme Meldungen muss die Meldestelle nach dem HinSchG nicht zwingend bearbeiten – das Gesetz empfiehlt jedoch, Vorkehrungen zu treffen, die anonyme Hinweise zumindest entgegennehmen.
Welche Sachverhalte muss die Meldestelle annehmen? Das ist keine rhetorische Frage, sondern ein Kernproblem der praktischen Umsetzung. Das HinSchG erfasst Verstöße gegen eine Vielzahl von Rechtsbereichen: Korruption, Betrug, Geldwäsche, Verstöße gegen das Produktsicherheits-, Finanzdienstleistungs-, Lebensmittelsicherheits- und Umweltrecht sowie Datenschutz (DSGVO). Gleichzeitig sind rein arbeitsrechtliche Beschwerden über schlechte Führung oder interne Konflikte grundsätzlich nicht vom sachlichen Anwendungsbereich erfasst.
Wer genießt Schutz – und welcher Schutzumfang gilt?
Geschützt sind nach § 1 HinSchG natürliche Personen, die im beruflichen Kontext Informationen über Verstöße erlangt haben und diese melden. Der Schutz erstreckt sich auf Arbeitnehmer, Leiharbeitnehmer, Bewerber, Selbstständige, Gesellschafter und Mitglieder von Verwaltungs- oder Aufsichtsorganen. Auch Personen, die Hinweisgeber unterstützen, stehen unter dem Schutzregime.
Das gesetzliche Schutzniveau ist erheblich. Repressalien sind verboten – darunter Kündigung, Abmahnung, Degradierung, Diskriminierung, Einschüchterung oder Rufschädigung. Das Gesetz kehrt die Beweislast um: Wer nach einer Meldung eine nachteilige Behandlung erfährt, kann vermuten, dass diese eine Reaktion auf die Meldung ist. Das Unternehmen muss dann nachweisen, dass die nachteilige Behandlung aus anderen, legitimen Gründen erfolgte.
Diese Beweislastumkehr ist in der Praxis von erheblicher Tragweite. Ein Mitarbeiter, der im Anschluss an eine interne Meldung eine verhaltensbedingte Kündigung erhält, wird sich regelhaft auf § 36 HinSchG berufen. Die Personalakte muss dann sauber dokumentieren, dass die Kündigungsgründe vor und unabhängig von der Meldung bestanden. Wer diese Dokumentation nicht führt, gerät in eine kaum zu überwindende Beweisnot vor dem Arbeitsgericht. Nach unserer Erfahrung ist dieser Zusammenhang Geschäftsführern oft nicht bewusst, bis der Kündigungsschutzprozess bereits eingeleitet ist.
Daneben besteht ein zivilrechtlicher Schadensersatzanspruch des Hinweisgebers nach § 37 HinSchG. Dieser kann auch immaterielle Schäden umfassen. Die Vermutungswirkung des § 36 HinSchG gilt entsprechend. Kurzum: Die Kosten einer Repressalie gegen einen Hinweisgeber können erheblich sein – finanziell und reputationsseitig.
Welche Sanktionen drohen bei Verstößen gegen das HinSchG?
Das Bußgeldregime des HinSchG ist in § 40 geregelt. Bußgelder drohen insbesondere für das Behindern einer Meldung, das Ergreifen von Repressalien sowie für die pflichtwidrige Nichterrichtung einer internen Meldestelle. Der Bußgeldrahmen beträgt nach § 40 HinSchG im Regelfall bis zu 50.000 €, in bestimmten Fällen – insbesondere bei der Verletzung der Verschwiegenheitspflicht im Zusammenhang mit Hinweisgebern – bis zu 100.000 €.
Das klingt überschaubar. Tatsächlich sind diese Beträge jedoch für mittelständische Unternehmen empfindlich – und sie treten neben andere Haftungsrisiken. Relevanter als das isolierte HinSchG-Bußgeld ist in vielen Fällen die Kettenreaktion: Eine Meldung, die intern nicht ordnungsgemäß bearbeitet wird, wandert zur externen Meldestelle. Die zuständige Behörde leitet Ermittlungen ein. Das eigentliche Compliance-Versäumnis – nicht die fehlende Meldestelle – wird zum Gegenstand eines Ordnungswidrigkeitsverfahrens oder gar eines Strafverfahrens.
Für Geschäftsführer kommt die persönliche Haftungsdimension hinzu. Wer als Geschäftsführer schuldhaft gegen die Pflicht zur Einrichtung einer Meldestelle verstößt, handelt sorgfaltswidrig im Sinne des § 43 GmbHG. Wird dem Unternehmen dadurch ein Schaden entstanden – etwa durch das Unterlassen interner Aufklärung, das dann zu behördlichen Verfahren führt –, ist eine Innenhaftung des Geschäftsführers gegenüber der Gesellschaft nicht ausgeschlossen. Die Kausalkette mag lang sein; sie ist rechtlich jedoch konstruierbar.
Gestaltungsoptionen im Mittelstand: Was ist praktisch umsetzbar?
Mittelständische Unternehmen stehen vor der Frage, wie sie die Anforderungen des HinSchG mit vertretbarem Aufwand erfüllen. Drei Grundkonstellationen sind zu unterscheiden.
Konstellation A – Unternehmen mit 50 bis 249 Beschäftigten: Hier ist die Übertragung der Meldestellen-Funktion auf eine externe Ombudsperson oder eine anwaltliche Ombudsstelle die effizienteste Lösung. Die externe Lösung ist gesetzlich ausdrücklich zugelassen (§ 14 HinSchG). Sie beseitigt Interessenkonflikte strukturell, schafft Vertrauen bei den Beschäftigten und entlastet die Geschäftsführung. Frist für Rückmeldung an Hinweisgeber: drei Monate ab Eingangsbestätigung.
Konstellation B – Unternehmen mit 250 und mehr Beschäftigten: Hier ist eine eigene, personell hinreichend ausgestattete Meldestelle erforderlich. Für diese Gruppe bietet sich eine Hybridlösung an: interne Stelle für die Entgegennahme, externe Stelle für die Bearbeitung bei Interessenkonflikten. Die Dokumentation der Bearbeitung und die Rückmeldung an den Hinweisgeber müssen sorgfältig geführt werden.
Konstellation C – Konzernstrukturen: Eine zentrale Meldestelle auf Ebene der Muttergesellschaft kann nach § 14 Abs. 2 HinSchG für verbundene Unternehmen mit 50 bis 249 Beschäftigten genutzt werden. Für Tochtergesellschaften ab 250 Beschäftigten gilt dies nicht; sie benötigen eine eigene Meldestelle. In der Mandatspraxis sehen wir, dass insbesondere international strukturierte Mittelständler diese Anforderung unterschätzen.
Unabhängig von der Konstellation: Die interne Meldestelle funktioniert nur, wenn sie bekannt ist. Das HinSchG verpflichtet Unternehmen, Beschäftigte über die Meldestelle, den Meldekanal und den Schutz zu informieren (§ 13 Abs. 1 Satz 2 HinSchG). Eine bloße Veröffentlichung im Intranet genügt in der Regel nicht. Schulungen, Einarbeitungsmaterialien und ein jährlicher Refresh sind empfehlenswert.
Welche technischen Lösungen sind geeignet? Das Gesetz schreibt kein bestimmtes System vor. Webbasierte Meldeportale, verschlüsselte E-Mail-Systeme und telefonische Hotlines sind gleichwertig. Entscheidend ist die Vertraulichkeit der Identität des Hinweisgebers und die Dokumentationsfähigkeit. Die eingesetzte Lösung muss den Anforderungen der DSGVO (Datenschutz-Grundverordnung) entsprechen – insbesondere hinsichtlich Datensparsamkeit, Zweckbindung und Löschkonzept.
Verhältnis zu anderen Compliance-Pflichten: Ein Systembezug
Das HinSchG ist kein isoliertes Gesetz. Es ist integraler Bestandteil eines umfassenderen Compliance-Systems, das den Mittelstand zunehmend erfasst. Der Zusammenhang mit dem Lieferkettensorgfaltspflichtengesetz (LkSG) ist unmittelbar: Das LkSG verpflichtet Unternehmen ab einer bestimmten Größe zur Einrichtung eines Beschwerdeverfahrens (§ 8 LkSG). Die Beschwerdekanäle können mit der HinSchG-Meldestelle kombiniert werden, sofern die sachlichen Anwendungsbereiche klar getrennt sind.
Ebenso relevant ist das Verhältnis zum Geldwäschegesetz (GwG). Verpflichtete nach dem GwG – insbesondere Kredit- und Finanzdienstleistungsinstitute, Wirtschaftsprüfer, Steuerberater und Rechtsanwälte – haben nach § 6 Abs. 5 GwG bereits bisher interne Sicherungssysteme betrieben. Das HinSchG ergänzt diese Pflichten, ersetzt sie aber nicht.
Für den steuerlichen Bereich ergibt sich ein besonderer Anknüpfungspunkt: Hinweisgeber, die auf Steuerverkürzungen oder Buchführungsmanipulationen hinweisen, erteilen Hinweise über Verstöße gegen das Steuerrecht – und damit über Verstöße gegen das Unionsrecht, sofern EU-Steuerrecht betroffen ist. Rein innerdeutsche Steuerverstöße fallen nach dem Wortlaut des HinSchG nur dann unter den sachlichen Anwendungsbereich, wenn sie durch die nationale Umsetzungsoption einbezogen wurden. Der deutsche Gesetzgeber hat den Anwendungsbereich nach § 2 HinSchG auf weitere nationale Strafvorschriften erstreckt, soweit sie bestimmte Schwellenwerte erfüllen. Im Zweifel ist die Einordnung im Einzelfall anwaltlich prüfen zu lassen.
Nach unserer Erfahrung sind es gerade die Überschneidungen zwischen HinSchG, LkSG und DSGVO, die in der Praxis zu Umsetzungsschwierigkeiten führen. Unternehmen, die ein Compliance-Management-System (ein strukturiertes System zur Sicherstellung der Regeltreue im Unternehmen) aufgebaut haben, können das HinSchG vergleichsweise einfach integrieren. Unternehmen ohne systematischen Compliance-Ansatz stehen dagegen vor einer mehrschichtigen Aufgabe.
Daneben ist das Verhältnis zur DSGVO zu beachten. Meldungen enthalten regelmäßig personenbezogene Daten – des Hinweisgebers, der beschuldigten Person und weiterer Beteiligter. Die Verarbeitung dieser Daten unterliegt den Anforderungen der DSGVO. Eine Datenschutzverletzung im Zusammenhang mit einer Meldestellen-Verletzung ist binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden (Art. 33 DSGVO). Verstöße können Bußgelder bis zu 20 Mio. € oder bis zu 4 % des weltweiten Jahresumsatzes nach sich ziehen. Das Zusammenspiel von HinSchG- und DSGVO-Anforderungen erfordert eine aufeinander abgestimmte technische und organisatorische Lösung.
Kritische Würdigung: Stärken und Schwachstellen des HinSchG
Das HinSchG hat zweifellos eine Schutzlücke geschlossen. Vor seiner Einführung fehlte es in Deutschland an einem kohärenten gesetzlichen Schutzrahmen für Hinweisgeber. Schutz bestand allenfalls fragmentarisch – über das allgemeine Arbeitsrecht, das Presserechtsprivileg oder spezifische Sektornormen. Das HinSchG schafft einen einheitlichen Rahmen, senkt die Hemmschwelle für interne Meldungen und entlastet Behörden, die auf externe Hinweise angewiesen sind.
Gleichwohl weist das Gesetz Schwachstellen auf. Die Beschränkung auf bestimmte sachliche Anwendungsbereiche führt zu Abgrenzungsproblemen. Ein Hinweisgeber, der interne Fehlverhaltensweisen meldet, die zwar unethisch, aber nicht offensichtlich rechtswidrig sind, fällt nicht unter den Schutz des HinSchG. Die Beurteilung, ob eine Meldung in den sachlichen Anwendungsbereich fällt, wird regelmäßig erst im Nachhinein – im Streitfall – getroffen. Das schafft Rechtsunsicherheit auf beiden Seiten.
Hinzu kommt: Das HinSchG schützt vor Repressalien, aber es garantiert keine Anonymität. Wer anonym meldet, genießt zwar faktischen Schutz, solange seine Identität unbekannt bleibt. Sobald sie bekannt wird, greift das gesetzliche Repressalienverbot – aber die faktische Schutzsituation verschlechtert sich. Technische Lösungen zur gesicherten Anonymisierung sind daher ein zentrales Element jeder ernsthaften Meldestellenarchitektur.
Aus Sicht des Unternehmens verdient schließlich die Regelung zur Folgemaßnahme Beachtung. Das Unternehmen hat nach einer Meldung Maßnahmen einzuleiten und dem Hinweisgeber darüber zu berichten. Das Gesetz enthält jedoch keine Vorgaben dazu, welche Maßnahmen im konkreten Fall angemessen sind. Es obliegt dem Unternehmen, eigenverantwortlich zu entscheiden, ob eine interne Untersuchung, eine Meldung an Behörden oder andere Schritte geboten sind. Wer diese Entscheidung ohne anwaltliche Begleitung trifft, setzt sich dem Vorwurf aus, die Bedeutung eines Hinweises verkannt zu haben.
Aus der Beratungspraxis: Die Kanzlei begleitete ein mittelständisches Handelsunternehmen mit rund 150 Beschäftigten aus Süddeutschland bei der erstmaligen Einrichtung einer internen Meldestelle nach HinSchG. Ausgangslage: Das Unternehmen hatte den Aufbau einer Meldestelle bislang aufgeschoben; kurz nach Ablauf der Übergangsfrist hatte ein Mitarbeiter an eine externe Behörde eine Meldung über eine mögliche Buchführungsunregelmäßigkeit erstattet. Vorgehen: Zunächst wurde der sachliche Anwendungsbereich der Meldung bewertet und geprüft, ob und in welchem Umfang eine interne Untersuchungspflicht bestand. Parallel wurde die Meldestellenarchitektur errichtet – Beauftragung einer externen Ombudsperson, Entwurf der Verfahrensordnung, Datenschutzfolgenabschätzung, Mitarbeiterinformation. Ergebnis: Die externe Behörde stellte das Verfahren mangels zureichender Anhaltspunkte ein. Das Unternehmen verfügt seither über eine dokumentierte, betriebsinterne Meldestelle und hat die zugehörige DSGVO-Dokumentation vollständig implementiert. Diese Erfahrung steht symptomatisch für eine Situation, in der die fehlende interne Struktur das Unternehmen unnötig exponiert hat.
Handlungsempfehlung: Nächste Schritte für Geschäftsführer
Die Umsetzung des HinSchG ist keine Option, sondern eine Rechtspflicht. Geschäftsführer, die noch keine compliant ausgestaltete Meldestelle betreiben, befinden sich im Bußgeldrisiko und – je nach Konstellation – in einer haftungsrelevanten Situation. Folgende Schritte empfehlen sich:
- Bestandsaufnahme: Fällt das Unternehmen unter den Anwendungsbereich des HinSchG? Beschäftigtenzahl einschließlich Leiharbeitnehmer ermitteln. Sektorzugehörigkeit prüfen.
- Strukturentscheidung: Interne oder externe Meldestelle? Für Unternehmen bis 249 Beschäftigte ist die externe Ombudslösung regelmäßig empfehlenswert.
- Verfahrensordnung erstellen: Schriftliche Dokumentation des Meldeverfahrens, der Fristen (Eingangsbestätigung: sieben Tage; Rückmeldung: drei Monate) und der zuständigen Personen.
- DSGVO-Compliance sicherstellen: Datenschutzfolgenabschätzung für die Meldestelle durchführen. Löschkonzept für Meldungsdaten festlegen.
- Mitarbeiterinformation: Alle Beschäftigten über die Meldestelle, den Meldekanal und den Schutz informieren. Dokumentation der Informationsmaßnahme.
- Schulung der zuständigen Personen: Ombudsperson oder interne Zuständige über sachlichen Anwendungsbereich, Bearbeitungspflichten und Repressalienverbot schulen.
- Regelmäßige Überprüfung: Die Meldestelle und ihre Verfahrensordnung jährlich auf Aktualität und Wirksamkeit überprüfen. Personalwechsel in der Zuständigkeit sofort nachziehen.
Entscheidend ist: Die Einrichtung einer formellen Meldestelle reicht nicht aus, wenn die Unternehmenskultur interne Hinweise faktisch unterdrückt. Wer Meldungen als Bedrohung behandelt, statt als Chance zur frühzeitigen Problemlösung, verfehlt den Regelungszweck – und läuft Gefahr, dass Hinweisgeber den direkten Weg zu Behörden wählen.
Die vorstehende Darstellung betrifft die Regelfälle nach dem HinSchG. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, Ihrer Unternehmensstruktur und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Unterlagen und eine Bewertung Ihres Handlungsbedarfs erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum Hinweisgeberschutz (HinSchG)
Ab wie vielen Mitarbeitern muss ein Unternehmen eine interne Meldestelle einrichten?
Nach § 12 Abs. 1 HinSchG sind Unternehmen ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle verpflichtet. Unternehmen mit 50 bis 249 Beschäftigten konnten bis zum 17. Dezember 2023 eine gemeinsame Meldestelle mit anderen Unternehmen dieser Größenklasse betreiben. Für bestimmte regulierte Sektoren – darunter Kredit- und Finanzdienstleistungsinstitute – gilt die Pflicht unabhängig von der Beschäftigtenzahl. Die Zählung umfasst auch Leiharbeitnehmer; eine genaue Bestandsaufnahme ist daher vorab erforderlich.
Dürfen Unternehmen die Funktion der Meldestelle extern vergeben?
Ja. § 14 HinSchG erlaubt ausdrücklich die Beauftragung eines externen Dritten – etwa einer anwaltlichen Ombudsstelle oder eines spezialisierten Dienstleisters. Die Verantwortung für die ordnungsgemäße Umsetzung der gesetzlichen Pflichten verbleibt jedoch beim Unternehmen. Für mittelständische Betriebe mit 50 bis 249 Beschäftigten ist die externe Lösung häufig die praktisch vorzugswürdige Option, da sie Interessenkonflikte strukturell vermeidet und das Vertrauen der Belegschaft stärkt.
Was sind die Folgen, wenn ein Unternehmen keine Meldestelle einrichtet?
Das Unterlassen der Einrichtung einer internen Meldestelle ist eine Ordnungswidrigkeit und kann nach § 40 HinSchG mit einem Bußgeld von bis zu 20.000 € geahndet werden. Schwerwiegender sind die mittelbaren Folgen: Ohne internen Meldekanal wenden sich Hinweisgeber direkt an externe Meldestellen oder Behörden. Das eigentliche Compliance-Problem wird so zum Gegenstand behördlicher Ermittlungen, bevor das Unternehmen die Gelegenheit hatte, es intern zu bewältigen. Zudem kann eine Geschäftsführerhaftung nach § 43 GmbHG in Betracht kommen.
Sind anonyme Meldungen nach dem HinSchG zu bearbeiten?
Das HinSchG verpflichtet Unternehmen nicht zwingend zur Bearbeitung anonymer Meldungen. Es empfiehlt jedoch, Vorkehrungen zu treffen, die eine anonyme Hinweisabgabe zumindest ermöglichen. In der Praxis ist dies aus Schutz- und Effektivitätsgesichtspunkten empfehlenswert: Viele Hinweisgeber melden anonym, weil sie Repressalien fürchten. Systeme, die keine anonymen Meldungen zulassen, erhalten weniger Hinweise und verfehlen damit den Gesetzeszweck. Die technische Lösung muss dabei die Anforderungen der DSGVO erfüllen.
Gilt die Beweislastumkehr des HinSchG auch im Kündigungsschutzprozess?
Ja. § 36 HinSchG sieht eine Beweislastumkehr vor: Erfährt ein Hinweisgeber nach einer Meldung eine nachteilige Behandlung – etwa eine Kündigung –, wird vermutet, dass diese Behandlung eine Reaktion auf die Meldung ist. Das Unternehmen muss dann nachweisen, dass die Kündigung aus anderen, legitimen Gründen erfolgte. Im Kündigungsschutzprozess bedeutet das: Ohne saubere, zeitlich vorgelagerte Dokumentation der Kündigungsgründe in der Personalakte gerät der Arbeitgeber in eine kaum überwindbare Beweisnot.
Wie verhält sich das HinSchG zur DSGVO?
Meldungen nach dem HinSchG enthalten regelmäßig personenbezogene Daten des Hinweisgebers, der beschuldigten Personen und weiterer Beteiligter. Die Verarbeitung dieser Daten unterliegt der DSGVO. Unternehmen müssen eine Datenschutzfolgenabschätzung durchführen, ein Verarbeitungsverzeichnis führen und ein Löschkonzept für Meldungsdaten implementieren. Datenpannen im Zusammenhang mit der Meldestelle sind binnen 72 Stunden der Aufsichtsbehörde zu melden (Art. 33 DSGVO). Eine abgestimmte technische und organisatorische Lösung, die beiden Regelwerken gerecht wird, ist zwingend erforderlich.
Müssen Mitarbeiter über die interne Meldestelle informiert werden?
Ja. § 13 Abs. 1 Satz 2 HinSchG verpflichtet das Unternehmen, Beschäftigte klar und leicht zugänglich über die Meldestelle, den Meldekanal und den gesetzlichen Schutz zu informieren. Eine bloße Veröffentlichung im Intranet dürfte in vielen Betrieben nicht ausreichen; empfehlenswert sind aktive Informationsmaßnahmen wie Schulungen, Aushänge und Einarbeitungsunterlagen. Die Information selbst ist zu dokumentieren.
Gilt der Hinweisgeberschutz auch für Selbstständige und Gesellschafter?
Nach § 1 Abs. 1 HinSchG sind Selbstständige, Gesellschafter, Bewerber und Mitglieder von Verwaltungs- oder Aufsichtsorganen in den persönlichen Schutzbereich einbezogen, sofern sie im beruflichen Kontext Informationen über Verstöße erlangt haben. Der Schutz ist damit deutlich weiter als das arbeitsrechtliche Repressalienverbot. Auch Personen, die einen Hinweisgeber unterstützen oder mit ihm in Verbindung stehen, genießen Schutz. Dies ist im Mittelstand mit engen persönlichen Verflechtungen im Gesellschafterkreis besonders relevant.
Die vorstehende Analyse gibt den Stand der Rechtslage nach dem HinSchG wieder. Ihr konkreter Handlungsbedarf hängt von Ihrer Unternehmensstruktur, Beschäftigtenzahl und bestehenden Compliance-Strukturen ab. Für eine erste Durchsicht Ihrer Unterlagen und eine individuelle Bewertung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.