Das Hinweisgeberschutzgesetz (HinSchG) schützt Personen, die im beruflichen Kontext Informationen über bestimmte Verstöße melden. Private Arbeitgeber mit in der Regel mindestens 50 Beschäftigten müssen grundsätzlich eine interne Meldestelle einrichten. Für einzelne regulierte Unternehmen gilt die Pflicht unabhängig von der Beschäftigtenzahl; kommunale Arbeitgeber richten sich zusätzlich nach Landesrecht.
Wer eine interne Meldestelle benötigt
Die Schwellenwerte allein reichen für die Scope-Prüfung nicht. Unternehmen sollten festhalten:
- Beschäftigtenzahl nach der gesetzlichen Definition,
- Branche und mögliche Sondertatbestände,
- deutsche Gesellschaften innerhalb einer Gruppe,
- vorhandene Meldekanäle und zuständige Personen,
- Datenschutz-, Mitbestimmungs- und Aufbewahrungsanforderungen.
Private Arbeitgeber mit 50 bis 249 Beschäftigten können eine gemeinsame interne Meldestelle betreiben. Die gesetzliche Verantwortung des einzelnen Arbeitgebers und die Pflicht, geeignete Folgemaßnahmen zu ergreifen, bleiben bestehen. Eine externe Ombudsperson oder Plattform kann Aufgaben übernehmen; auch dadurch wird die Verantwortung nicht ausgelagert.
Mindestanforderungen an den Meldeprozess
Interne Meldekanäle müssen Meldungen in Textform oder mündlich ermöglichen. Auf Wunsch ist innerhalb angemessener Zeit eine persönliche Zusammenkunft anzubieten; mit Einwilligung kann sie per Bild- und Tonübertragung erfolgen. Die mit der Meldestelle betrauten Personen müssen unabhängig arbeiten können und über die notwendige Fachkunde verfügen.
Ein belastbarer Ablauf umfasst:
- sicheren Eingang und Zugriff nur für befugte Personen,
- Eingangsbestätigung spätestens nach sieben Tagen,
- Prüfung von Schutzbereich, Stichhaltigkeit und möglichen Interessenkonflikten,
- vertrauliche Kommunikation mit der hinweisgebenden Person,
- angemessene Folgemaßnahmen,
- Rückmeldung innerhalb von drei Monaten nach der Eingangsbestätigung oder, falls sie unterblieb, nach Ablauf der Sieben-Tage-Frist,
- dokumentierte, fristgerechte Löschung nach den gesetzlichen Regeln.
Anonyme Meldungen sollen bearbeitet werden; das Gesetz verpflichtet interne und externe Meldestellen aber nicht generell, anonyme Meldekanäle bereitzustellen. Unternehmen können sie dennoch anbieten, wenn Betrieb, Sicherheit und Folgedialog verlässlich gelöst sind.
Vertraulichkeit, Datenschutz und Repressalien
Die Identität der hinweisgebenden Person, der betroffenen Person und weiterer genannter Personen ist grundsätzlich vertraulich zu behandeln. Gesetzliche Ausnahmen sind eng zu prüfen und zu dokumentieren. Für personenbezogene Daten braucht die Meldestelle außerdem ein Rollen- und Berechtigungskonzept, sichere Übertragung, definierte Aufbewahrung, einen Löschprozess und passende Informationen nach der DSGVO.
Repressalien gegen geschützte Hinweisgebende sind verboten. Macht eine Person nach einer Meldung oder Offenlegung eine Benachteiligung geltend, greift unter den Voraussetzungen des Gesetzes eine Beweislastregel zugunsten der hinweisgebenden Person. Personalentscheidungen sollten deshalb nachvollziehbar und unabhängig vom Meldevorgang begründet sein.
Bußgelder differenziert lesen
Das HinSchG kennt keine einheitliche Pauschalstrafe:
- bis zu 50.000 Euro insbesondere bei Behinderung einer Meldung, Repressalien oder bestimmten vorsätzlichen Vertraulichkeitsverstößen,
- bis zu 20.000 Euro bei unterlassener Einrichtung und Betrieb einer erforderlichen internen Meldestelle,
- bis zu 10.000 Euro in weiteren gesetzlich genannten Fällen.
Je nach Tatbestand kann zusätzlich das Ordnungswidrigkeitengesetz für Verbände relevant werden. Konkrete Sanktionen hängen vom Einzelfall ab.
Umsetzungscheckliste
- Pflicht und Gesellschaftsscope schriftlich geklärt
- unparteiische Fallbearbeitung und Vertretung benannt
- sichere schriftliche und mündliche Kanäle eingerichtet
- Sieben-Tage- und Drei-Monats-Frist technisch überwacht
- Vertraulichkeits-, Datenschutz- und Löschkonzept dokumentiert
- Eskalation, Untersuchung und Folgemaßnahmen definiert
- Repressalienverbot in HR-Prozessen verankert
- Kanal intern leicht auffindbar kommuniziert
Vision Compliance begleitet die Umsetzung von Hinweisgeber- und Compliance-Prozessen von der Scope-Prüfung bis zur dokumentierten Fallbearbeitung.
Quellen und Prüfung
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.