§ 2 HinSchG verstehen: Welche Verstöße in den Anwendungsbereich fallen

§ 2 des Hinweisgeberschutzgesetzes (HinSchG) regelt seit dem 2. Juli 2023 den sachlichen Anwendungsbereich des Schutzes für Hinweisgeberinnen und Hinweisgeber. Die Norm zählt abschließend auf, welche Verstöße eine geschützte Meldung auslösen, und sie ist enger gefasst als die populäre Vorstellung von einem allgemeinen Whistleblower-Recht. Wer die Tatbestände nicht sauber abgrenzt, riskiert zweierlei zugleich: einerseits die Ablehnung berechtigter Meldungen mit der Folge persönlicher Haftung der Beschäftigten in der internen Meldestelle, andererseits die Annahme von Hinweisen, für die das Gesetz keinen Schutz vorsieht, mit den entsprechenden Folgewirkungen im Arbeits- und Datenschutzrecht.

Dieser Beitrag erläutert die Struktur von § 2 HinSchG, übersetzt die Verweisketten in eine prüffähige Checkliste und zeigt, wie eine professionell geführte interne Meldestelle die Eingangsprüfung dokumentiert. Adressaten sind Compliance-Verantwortliche, Geschäftsführungen und Aufsichtsräte, die ihre Meldestelle nach § 12 ff. HinSchG ohne Lücken aufstellen wollen. Der Text geht davon aus, dass Ihre Organisation grundsätzlich verpflichtet ist und die Frage nach dem WAS, nicht nach dem OB, beantwortet werden muss. Sie erhalten am Ende eine konkrete Subsumtions-Matrix, die Sie in Ihre Verfahrensordnung übernehmen können, sowie einen Hinweis auf die Schnittstellen zu DSGVO, NIS-2 und LkSG.

§ 2 Absatz 1 HinSchG nennt drei große Kategorien, die unter den Hinweisgeberschutz fallen. Erstens alle Verstöße, die strafbewehrt sind, also Straftaten im Sinne des Strafgesetzbuchs und des gesamten Nebenstrafrechts, vom Wirtschaftsstrafrecht über das Umweltstrafrecht bis zum Steuerstrafrecht. Zweitens bestimmte bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Drittens ein langer Katalog unionsrechtlicher Bezugsnormen, der von Geldwäscheprävention über Finanzdienstleistungen, Produktsicherheit, Verkehrssicherheit, Lebensmittelsicherheit, öffentliche Gesundheit, Verbraucher-, Datenschutz- und Wettbewerbsrecht bis zu nuklearer Sicherheit reicht.

Diese Dreiteilung ist entscheidend, weil sie über die Frage der Schutzwürdigkeit eines Hinweises entscheidet. Ein Hinweis auf einen rein arbeitsrechtlichen Konflikt, der weder strafbewehrt ist noch unter den Bußgeldkatalog des § 2 Absatz 1 Nummer 2 HinSchG fällt, ist kein geschützter Hinweis im Sinne des Gesetzes. Die interne Meldestelle nach HinSchG muss diese Abgrenzung bei jeder eingehenden Meldung vornehmen und das Ergebnis der Prüfung dokumentieren. § 11 HinSchG verlangt eine Dokumentationspflicht, die nach drei Jahren in der Regel mit Löschung endet, der Vorgang muss jedoch bis dahin audit-fest vorliegen. In der Praxis empfehlen wir, jeder Eingangsmeldung einen Subsumtionsvermerk beizufügen, der die Zuordnung zu Nummer 1, 2 oder 3 bis 10 begründet und die jeweils einschlägige Norm zitiert. Diese Vermerke werden im Workspace verschlüsselt abgelegt, nur die Meldestellenleitung und der dokumentierte Vertreter haben Zugriff. Die Aufzählung in § 2 HinSchG ist abschließend, das bedeutet, ein Hinweis auf einen Sachverhalt, der zwar moralisch problematisch ist, aber nicht unter eine der drei Kategorien fällt, löst keinen gesetzlichen Schutz aus. Diese harte Konsequenz wird in vielen Hausanweisungen unterschätzt und führt zu unnötigen Konflikten zwischen Meldestelle, Personalabteilung und Hinweisgeber.

§ 2 Absatz 1 Nummer 1 HinSchG erfasst alle Verstöße, die strafbewehrt sind. Das umfasst klassische Wirtschaftsstraftaten wie Betrug nach § 263 StGB, Untreue nach § 266 StGB, Bestechlichkeit und Bestechung im geschäftlichen Verkehr nach §§ 299, 300 StGB, Steuerhinterziehung nach § 370 AO, Subventionsbetrug nach § 264 StGB sowie sämtliche Tatbestände des Nebenstrafrechts. Auch Verstöße gegen Vorschriften des Außenwirtschaftsrechts, des Kreditwesengesetzes, des Wertpapierhandelsgesetzes, des Geldwäschegesetzes und des Arzneimittelgesetzes fallen darunter, soweit sie mit Strafe bewehrt sind. Hinzu kommen Umweltstraftaten nach §§ 324 ff. StGB, Verstöße gegen das Chemikaliengesetz und gegen das Betäubungsmittelgesetz, sofern sie strafrechtlich verfolgt werden.

Praktisch heißt das: Sobald eine Meldung den Verdacht einer Straftat begründet, ist die Eingangshürde des § 2 HinSchG genommen. Die Meldestelle muss nicht abschließend prüfen, ob die Strafbarkeit tatsächlich gegeben ist. Es genügt, dass der gemeldete Sachverhalt bei vernünftiger Würdigung einen Straftatbestand zumindest in Betracht kommen lässt. § 33 HinSchG schützt Hinweisgebende ausdrücklich auch dann, wenn der Verdacht sich später als unzutreffend erweist, solange die Meldung in gutem Glauben erfolgte. Frist läuft ab Kenntnis. Die Meldestelle bestätigt nach § 17 HinSchG den Eingang innerhalb von sieben Tagen und gibt nach drei Monaten eine Rückmeldung über getroffene Folgemaßnahmen. Wer diese Frist versäumt, riskiert Vertrauensverlust auf Seiten der Hinweisgeber und im wiederholten Fall ein Bußgeld nach § 40 HinSchG. Der Workspace blendet diese Fristen im Dashboard ein und versendet automatische Erinnerungen an die zuständige Person. Hilfreich ist eine Eingangs-Triage, in der der Verdacht in drei Schweregrade eingeordnet wird: erstens Hinweis auf bagatellnahe Verstöße, zweitens Hinweis auf strukturelle Verstöße im Unternehmen, drittens Hinweis auf systemische Verstöße mit Außenwirkung gegenüber Kunden, Behörden oder Kapitalmarkt. Die letzte Kategorie löst regelmäßig zusätzliche Ad-hoc-Pflichten nach § 26 MAR aus.

§ 2 Absatz 1 Nummer 2 HinSchG ist deutlich enger gefasst als Nummer 1. Bußgeldbewehrte Verstöße sind nur dann erfasst, wenn die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Das schließt zahlreiche Ordnungswidrigkeiten aus dem Arbeitsschutzgesetz, dem Arbeitszeitgesetz, dem Mutterschutzgesetz, dem Jugendarbeitsschutzgesetz, dem Betriebsverfassungsgesetz und dem Allgemeinen Gleichbehandlungsgesetz ein. Verstöße gegen § 130 OWiG, also gegen die Aufsichtspflicht im Unternehmen, fallen ebenfalls darunter, wenn die zugrunde liegende Pflicht dem geschützten Personenkreis dient. Auch Verstöße gegen § 17 ArbSchG, gegen § 22 JArbSchG oder gegen § 21 MuSchG sind regelmäßig erfasst.

Reine Verkehrsordnungswidrigkeiten ohne Personenbezug, Verstöße gegen Vorschriften der Gewerbeordnung ohne Schutzrichtung Beschäftigter oder bloße Verwaltungsverstöße sind nicht erfasst. Die Meldestelle muss in diesen Fällen die Schutzrichtung der verletzten Norm konkret prüfen und in der Akte festhalten. Compliance-Beauftragte nutzen hierfür eine standardisierte Anwendungsbereich-Matrix, die jede in Betracht kommende Norm mit der zugehörigen Schutzrichtung verknüpft. Bestellurkunde, unterschrieben, abgelegt, belegbar. Ohne diese Matrix entstehen im Audit Lücken, die der Datenschutzbeauftragte und die Aufsichtsbehörde gleichermaßen monieren. Eine pragmatische Faustregel: Schützt die Norm Personen, sind Bußgeld-Hinweise vom HinSchG erfasst, schützt sie nur die öffentliche Ordnung oder die Verwaltungseffizienz, dann nicht. Diese Faustregel ersetzt nicht die Subsumtion im Einzelfall, hilft aber bei der schnellen Triage in der Eingangspost. Ein typisches Beispiel ist der Verstoß gegen § 17 Absatz 1 ArbSchG, die Pflicht zur Bestellung einer Fachkraft für Arbeitssicherheit. Diese Norm dient unmittelbar dem Schutz der Beschäftigten und ist daher über § 2 Absatz 1 Nummer 2 HinSchG erfasst, ein Hinweis darauf ist eine geschützte Meldung mit allen Rechtsfolgen aus den §§ 33 bis 39 HinSchG.

Die Nummern 3 bis 10 des § 2 Absatz 1 HinSchG übernehmen den Katalog der EU-Whistleblower-Richtlinie 2019/1937 und erweitern ihn um nationale Spezifika. Erfasst sind Verstöße gegen das Geldwäschegesetz und gegen unionsrechtliche Vorschriften zur Verhinderung von Geldwäsche und Terrorismusfinanzierung. Hinzu kommen Vorschriften zur Produktsicherheit und Produktkonformität, zur Sicherheit im Straßen-, Schienen-, See- und Luftverkehr, zum Umweltschutz, zum Strahlenschutz und zur kerntechnischen Sicherheit, zur Lebensmittel- und Futtermittelsicherheit, zu Tiergesundheit und Tierschutz, zur öffentlichen Gesundheit einschließlich Patientenrechten und der Bekämpfung von Antibiotikaresistenzen.

Weiter erfasst sind Verstöße im Verbraucherschutz, im Datenschutz und in der Sicherheit von Netz- und Informationssystemen, im Wettbewerbs- und Beihilferecht sowie Verstöße im Bereich der Unternehmenssteuern und der finanziellen Interessen der Union. Diese Aufzählung ist sperrig, aber abschließend. Für die Praxis bedeutet das: Ein Hinweis auf einen Datenschutzverstoß nach Art. 5 oder Art. 32 DSGVO ist über Nummer 7 erfasst. Ein Hinweis auf einen Verstoß gegen Vorschriften der NIS-2-Richtlinie ist über Nummer 8 erfasst. Ein Hinweis auf einen Verstoß gegen das Lieferkettensorgfaltspflichtengesetz ist über Nummer 9 erfasst, soweit die Tatbestände bußgeldbewehrt sind. Die Meldestelle muss diese Verweisketten beherrschen oder eine Plattform nutzen, die sie hinterlegt hat. Im Workspace ist der Katalog als Datenmodell abgebildet, jeder Hinweis wird beim Eingang automatisch gegen die Kategorien geprüft und mit einem Vorschlag zur Subsumtion versehen, den die Meldestellenleitung verifiziert. Wichtig: § 2 Absatz 2 HinSchG nennt zudem ausdrücklich Verstöße gegen Vorgaben zur Festsetzung der Vergütung in Organen von Aktiengesellschaften und gegen Vorgaben des Aktien- und des GmbH-Rechts, soweit sie strafbewehrt sind. Diese Erweiterung wird in der Praxis übersehen und ist gerade für börsennotierte Konzerne und größere Familienunternehmen relevant.

§ 5 HinSchG nimmt bestimmte Sachverhalte ausdrücklich vom Anwendungsbereich aus, obwohl sie unter § 2 HinSchG fallen würden. Erfasst sind Informationen, die der nationalen Sicherheit unterliegen, klassifizierte Informationen, Vorgänge des Verfassungsschutzes, des Bundesnachrichtendienstes und des Militärischen Abschirmdienstes. Ausgenommen sind ferner Informationen, die der ärztlichen oder anwaltlichen Schweigepflicht oder dem Beratungsgeheimnis unterliegen, sowie das Beicht- und Seelsorgegeheimnis. Auch das richterliche Beratungsgeheimnis bleibt unangetastet. Diese Ausnahmen sind eng auszulegen, jede Ausweitung würde den Schutzzweck des Gesetzes unterlaufen.

Praktisch relevant ist § 5 Absatz 2 HinSchG: Informationen, die der Pflicht zur Wahrung des Geheimnisses gerichtlicher Beratung unterliegen, sind ausgenommen. Damit sind etwa interne Vermerke aus Aufsichtsratssitzungen, die der Verschwiegenheit nach § 116 AktG unterliegen, problematisch, wenn ein Hinweisgeber sie vollständig zitiert. § 6 HinSchG hält daneben das Verhältnis zu anderen Verfahren offen: Behördliche oder gerichtliche Anhörungsrechte, etwa nach §§ 33, 33a OWiG oder nach § 28 VwVfG, bleiben unberührt. Die Meldestelle dokumentiert diese Schnittstellen sauber, damit der Prüfer den Vorgang einordnen kann. Audit-fest, dokumentiert, § 2-fest. Eine besondere Konstellation entsteht in Banken und Versicherungen, in denen die Meldepflichten nach KWG, WpHG und GwG parallel laufen. Der Workspace führt diese Parallelpflichten in einer einheitlichen Vorgangsakte zusammen, ohne die jeweiligen Vertraulichkeitsräume zu vermischen, sodass die Aufsichten der BaFin und die BAFA jederzeit den vollständigen Pfad nachvollziehen können. Auch das Verhältnis zur Strafverfolgung ist in § 7 HinSchG geregelt: Hinweisgeber dürfen unter den dort genannten Voraussetzungen unmittelbar an Strafverfolgungsbehörden gehen, ohne den Schutz zu verlieren. Die interne Meldestelle muss diese Option in ihrer Information an die Belegschaft transparent darstellen.

Die operative Umsetzung von § 2 HinSchG verlangt eine strukturierte Eingangsprüfung in maximal drei Schritten. Schritt eins ist die Aufnahme des Sachverhalts und die Klärung der formalen Voraussetzungen: Liegt eine Meldung im Sinne des § 3 HinSchG vor? Ist die hinweisgebende Person nach § 1 Absatz 2 HinSchG erfasst? Wurde der Eingang innerhalb von sieben Tagen bestätigt? Schritt zwei ist die rechtliche Subsumtion unter § 2 HinSchG: Welche Norm könnte verletzt sein, fällt sie unter Nummer 1, 2 oder 3 bis 10? Schritt drei ist die Entscheidung über den Schutzstatus und die Einleitung von Folgemaßnahmen nach § 18 HinSchG, etwa interne Untersuchungen, Weiterleitung an Behörden oder Abschluss des Vorgangs mit Begründung.

Diese drei Schritte werden in einem prüffähigen Vermerk dokumentiert, der bei Bedarf der Bundesanstalt für Finanzdienstleistungsaufsicht, dem Bundesamt für Justiz oder dem Bundeskartellamt vorgelegt werden kann. Der Prüfer ruft an, der Nachweis liegt bereit. Die Compliance-Plattform und Officer-as-a-Service von CIVAC hinterlegt diese Subsumtionsschritte als Workflow im Workspace und führt die Meldestelle sicher durch die Prüfung. Bußgelder nach § 40 HinSchG drohen bis 50.000 Euro bei vorsätzlicher Behinderung einer Meldung und bis 20.000 Euro bei vorsätzlichem Verstoß gegen das Vertraulichkeitsgebot des § 8 HinSchG. Die Plattform bildet 25 Beauftragten-Rollen ab, sodass parallel laufende Pflichten von DSB, ISB und Geldwäschebeauftragtem nicht doppelt geführt werden. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Bei beiden Modellen sichert die ISO/IEC 27001:2022-Hostingumgebung mit EU-Datenresidenz den Schutz der Identitätsdaten der Hinweisgeber.

Eine besondere Herausforderung sind Meldungen, die zwar berechtigt erscheinen, aber außerhalb des sachlichen Anwendungsbereichs des § 2 HinSchG liegen. Beispiele aus der Praxis sind ein Hinweis auf mobbendes Verhalten ohne strafrechtliche Relevanz, ein Hinweis auf einen rein zivilrechtlichen Vertragsstreit, ein Hinweis auf interne Unzufriedenheit mit Führungskräften oder ein Hinweis auf strategische Entscheidungen, die der Hinweisgeber für wirtschaftlich unklug hält. Solche Meldungen sind keine geschützten Hinweise im Sinne des HinSchG, sie können aber unter andere Schutzregime fallen: das AGG-Beschwerdeverfahren nach § 13 AGG, die Mitbestimmungsrechte des Betriebsrats nach §§ 84 ff. BetrVG oder allgemeine arbeitsrechtliche Beschwerdewege nach der jeweiligen Betriebsvereinbarung.

Die Meldestelle darf solche Hinweise nicht einfach abweisen, sondern muss sie an die zuständige Stelle weiterleiten oder den Hinweisgeber informieren, welcher Weg offensteht. Diese Weiterleitung erfolgt nur mit ausdrücklicher Zustimmung der hinweisgebenden Person, damit das Vertraulichkeitsgebot nach § 8 HinSchG gewahrt bleibt. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Im Workspace ist die Weiterleitung als verschlüsselte Übergabe mit Zustimmungsdokumentation hinterlegt, sodass weder der Hinweisgeber benachteiligt noch das Unternehmen mit unberechtigten Vorwürfen einer Behinderung konfrontiert wird. Wer mehr als 50 Beschäftigte hat, ist nach § 12 Absatz 2 HinSchG verpflichtet, die interne Meldestelle einzurichten, unabhängig davon, wie viele Meldungen tatsächlich eingehen. Bestellurkunde, unterschrieben, abgelegt, belegbar. Auch eine geringe Eingangsfrequenz entlastet nicht von der Pflicht, jede einzelne Meldung audit-fest zu dokumentieren und nachvollziehbar zu klassifizieren. Ein häufiger Fehler ist die mündliche Bagatellisierung von Hinweisen, die formal nicht erfasst sind: Sie kann als Repressalie nach § 36 HinSchG ausgelegt werden, wenn der Hinweisgeber subjektiv in gutem Glauben gehandelt hat. Sicher ist daher nur die schriftliche, höflich begründete Mitteilung über die Nichterfassung und die Verweisung auf andere Beschwerdewege.

§ 2 HinSchG verweist über Nummer 7 auf den Datenschutz, über Nummer 8 auf die Sicherheit von Netz- und Informationssystemen und über Nummer 9 auf das Lieferkettensorgfaltspflichtengesetz. In der Praxis verschmelzen diese Regime an mehreren Punkten. Ein Datenschutzverstoß kann gleichzeitig eine Meldung nach Art. 33 DSGVO an die Aufsichtsbehörde innerhalb von 72 Stunden auslösen und eine geschützte Meldung nach HinSchG begründen. Ein NIS-2-Sicherheitsvorfall kann eine Frühwarnung an das BSI innerhalb von 24 Stunden und eine Folgemeldung innerhalb von 72 Stunden erfordern und parallel als HinSchG-Sachverhalt eingehen. Die Fristen laufen unabhängig voneinander, beide müssen lückenlos bedient werden, sonst entstehen Doppelhaftungen.

Diese Parallelität macht eine integrierte Plattform attraktiv. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. In beiden Modellen sind die NIS-2-Meldepfade mit der HinSchG-Meldestelle verzahnt: Eingehende Meldungen werden klassifiziert, die zuständigen Beauftragten benachrichtigt und die parallel laufenden Fristen automatisch überwacht. Auch Meldungen unter dem Lieferkettensorgfaltspflichtengesetz, das eine eigene Beschwerdestelle nach § 8 LkSG verlangt, lassen sich an die HinSchG-Meldestelle anbinden, wenn die Eingangstür identisch ist. Die Plattform unterscheidet im Hintergrund nach Rechtsgrundlage, der Hinweisgeber bekommt davon nichts mit. Für die zuständigen Aufsichten, das Bundesamt für Justiz, das BSI und das BAFA, entstehen jeweils saubere, voneinander getrennte Akten mit den erforderlichen Nachweisen. Der Prüfer ruft an, der Nachweis liegt bereit, unabhängig davon, welches Regime ihn schickt. Diese Mehrfachprüfung wird ab 2026 zunehmen, weil das BSI die NIS-2-Vorfallserfassung digitalisiert und die Landesdatenschutzbehörden die DSGVO-Meldewege standardisieren. Wer heute eine integrierte Plattform aufsetzt, vermeidet die spätere Migration aus drei nebeneinander laufenden Insellösungen und spart Dokumentations- und Schulungsaufwand bei der gleichen Personalstärke.

§ 2 HinSchG ist die Eingangshürde jeder internen Meldestelle. Wer sie nicht beherrscht, verliert entweder den Schutz berechtigter Hinweisgeber oder bindet Ressourcen an Hinweise, die das Gesetz nicht erfasst. Die Lösung ist nicht ein dickeres Handbuch, sondern ein Workflow, der die Prüfung führt: Eingangsbestätigung in sieben Tagen, Subsumtion unter § 2 HinSchG mit dokumentierter Matrix, Schutzentscheidung und Folgemaßnahmen nach § 18 HinSchG, Rückmeldung in drei Monaten. Die 490 einsatzbereiten Audit-Vorlagen im CIVAC-Workspace decken jeden dieser Schritte ab, ebenso wie die Schnittstellen zu DSGVO, NIS-2 und LkSG. Ergänzt wird das Ganze durch die Bestellurkunde der Meldestellenleitung, die Berichtslinie an die Geschäftsführung und die jährliche Wirksamkeitsprüfung nach § 18 Absatz 3 HinSchG.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service: Sie lizenzieren den Workspace für Ihre internen Beauftragten oder Sie lassen unsere Beauftragten bestellen, je nach Reifegrad Ihrer Organisation. In beiden Modellen erhalten Sie die Bestellurkunde, die Berichtslinie an die Geschäftsführung, die EU-Datenresidenz und die ISO/IEC 27001:2022-Hostingumgebung mit 93 Controls. Die CIVAC-SLA beträgt zwei Werktage statt der branchenüblichen zwei bis sechs Wochen, sodass auch komplexe Hinweise rechtzeitig in das Folgemaßnahmen-Verfahren kommen. Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular, wenn Sie Ihre HinSchG-Meldestelle prüfen, neu aufsetzen oder vollständig auslagern wollen. Die Erstprüfung Ihrer bestehenden Meldestelle ist kostenfrei und führt zu einem konkreten Maßnahmenplan mit Aufwand und Zeitschiene. Im Anschluss erhalten Sie eine Anwendungsbereich-Matrix, die Ihre internen Richtlinien um die § 2-Subsumtion ergänzt, und Sie können das Modell mit Ihren bestehenden Abläufen in HR und Recht abstimmen, bevor eine endgültige Beauftragung erfolgt.