HinSchG E: Interne Meldestelle einrichten und betreiben

Die Sucheingabe hinschg e mündet meist beim Hinweisgeberschutzgesetz (HinSchG), das seit 2 Juli 2023 in Kraft ist und seit 17 Dezember 2023 auch Unternehmen mit 50 bis 249 Beschäftigten zur Einrichtung einer internen Meldestelle verpflichtet. Wer keine Meldestelle hat, riskiert nach § 40 HinSchG Bußgelder bis 50.000 Euro je Verstoß.

Dieser Beitrag erklärt Anwendungsbereich, Pflichten, Fristen und Prozesse rund um das HinSchG. Außerdem zeigt er, wie CIVAC als Compliance-Plattform und Officer-as-a-Service die interne Meldestelle audit-fest abbildet, von der Eingangsbestätigung binnen 7 Tagen bis zur Rückmeldung an den Hinweisgeber innerhalb von 3 Monaten.

Das HinSchG setzt die EU-Richtlinie 2019/1937 in nationales Recht um. Es schützt Personen, die im beruflichen Kontext Verstöße melden, vor Benachteiligungen wie Kündigung, Versetzung oder Mobbing. Geschützt sind Beschäftigte, Bewerber, Selbständige, Anteilseigner, Lieferanten und ehemalige Beschäftigte.

Der sachliche Anwendungsbereich umfasst Verstöße, die straf- oder bußgeldbewehrt sind, sowie Verstöße gegen bestimmte EU-Vorschriften in Bereichen wie Datenschutz, Geldwäsche, öffentliche Auftragsvergabe, Produktsicherheit, Verbraucherschutz oder Umweltrecht. Geschäftsgeheimnisse sind über § 6 HinSchG und § 5 GeschGehG abgeglichen.

Persönlich gilt das Gesetz für private Beschäftigungsgeber ab 50 Beschäftigten und für die öffentliche Hand. Konzerne können die Meldestelle nach § 14 Abs. 1 HinSchG zentral organisieren, müssen aber die Vertraulichkeit auf Ebene der einzelnen Gesellschaften sicherstellen.

Bei Verstößen gegen die Einrichtungspflicht drohen nach § 40 HinSchG Bußgelder bis 20.000 Euro, bei Behinderung von Meldungen oder Repressalien bis 50.000 Euro. Die Bußgelder erhebt das Bundesamt für Justiz, die Verjährungsfrist beträgt 3 Jahre nach § 31 OWiG.

Die Compliance-Plattform und der Officer-as-a-Service von CIVAC bilden das HinSchG vollständig ab. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Maßgeblich ist die Beschäftigtenzahl je Unternehmen. Ab 50 Beschäftigten gilt die Pflicht. Beschäftigte zählen unabhängig von Wochenstunden, also Vollzeit, Teilzeit und Aushilfen jeweils mit Kopf. Leiharbeiter werden nach § 14 Abs. 3 HinSchG dem Entleiher zugerechnet.

Konzerne können nach § 14 Abs. 1 HinSchG eine zentrale Meldestelle für mehrere Konzerngesellschaften betreiben, sofern die Vertraulichkeit gewahrt bleibt und Hinweisgeber Zugang zur zentralen Stelle haben. Die Europäische Kommission hat diese Auslegung in einem Schreiben 2021 ausdrücklich bestätigt.

Bestimmte Branchen sind unabhängig von der Beschäftigtenzahl betroffen, etwa Finanzdienstleister, Wertpapierfirmen und bestimmte Versicherer nach § 12 Abs. 3 HinSchG. Hier greifen zusätzliche Vorgaben aus dem KWG, VAG und WpHG, die strengere Vertraulichkeits- und Dokumentationspflichten enthalten.

Die öffentliche Hand hat eigene Regelungen je Bundesland, oft mit niedrigeren Schwellen. Kommunen ab 10.000 Einwohnern müssen Meldestellen anbieten, Landesbehörden flächendeckend. Hier ergänzen Landesgesetze die Bundesregelung.

Im CIVAC-Workspace markieren Sie betroffene Gesellschaften, hinterlegen die Beauftragten, die interne Meldestelle und die zugehörigen Berichtslinien. Wer keine Meldestelle hat, sieht das im Dashboard direkt auf der Startseite.

Die Meldestelle bestätigt den Eingang einer Meldung binnen 7 Tagen nach § 17 Abs. 1 Nr. 1 HinSchG. Die Bestätigung erfolgt schriftlich oder in Textform, der Hinweisgeber wird über Bearbeitungsstand und Schutzrechte informiert. Verspätungen sind im Logbuch zu begründen.

Folgemaßnahmen werden innerhalb von 3 Monaten an den Hinweisgeber zurückgemeldet, § 17 Abs. 1 Nr. 4 HinSchG. Die Rückmeldung enthält geplante oder getroffene Maßnahmen, ohne interne Ermittlungen zu gefährden. Bei laufenden Verfahren reicht die Mitteilung, dass weiter ermittelt wird.

Vertraulichkeit gilt für Identität des Hinweisgebers, betroffener Personen und Dritter, § 8 HinSchG. Sie darf nur durchbrochen werden, wenn der Hinweisgeber zustimmt oder gesetzliche Auskunftspflichten bestehen. Verstöße gegen die Vertraulichkeit lösen Bußgelder bis 50.000 Euro aus.

Anonymität auf Wunsch wurde mit § 16 Abs. 1 Satz 4 HinSchG in der finalen Fassung von 2 Juli 2023 verbindlich. Meldestellen müssen anonyme Meldungen entgegennehmen und bearbeiten. Tools mit anonymem Postfach sind Standard, klassische E-Mail oder Telefon reichen nicht.

CIVAC stellt im Workspace einen Meldekanal mit anonymem Postfach, Eingangsbestätigung und Fristen-Tracker bereit. Jeder Schritt wird im Logbuch versioniert. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Hinweisgeber sind vor Repressalien geschützt, § 36 HinSchG. Verboten sind Kündigung, Versetzung, Gehaltskürzung, Mobbing, Versagung von Beförderung und ähnliche Nachteile. Der Schutz gilt, wenn der Hinweisgeber im Zeitpunkt der Meldung hinreichenden Grund zur Annahme der Richtigkeit hatte.

Die Beweislastumkehr nach § 36 Abs. 2 HinSchG ist entscheidend. Wer als Beschäftigter nach einer Meldung benachteiligt wird, kann die Vermutung der Repressalie geltend machen. Der Arbeitgeber muss dann beweisen, dass die Maßnahme andere, sachliche Gründe hatte. Das verschiebt das Prozessrisiko deutlich.

Schadensersatz nach § 37 HinSchG umfasst materielle und immaterielle Schäden, auch entgangenen Verdienst und Karrierenachteile. Die Ansprüche verjähren in drei Jahren ab Kenntnis, § 195 BGB. Häufig führen Verfahren zu Vergleichen, die in den Gesamtkosten erheblich sind.

Falschmeldungen sind nicht geschützt. Wer wissentlich falsche Informationen meldet, verliert den Schutz und kann nach § 38 HinSchG zum Ersatz des entstandenen Schadens herangezogen werden. Die Schwelle ist hoch, bloße Fehleinschätzungen reichen nicht.

Im CIVAC-Workspace dokumentiert das Personalbereichsteam jede Personalmaßnahme nach Eingang einer Meldung mit Begründung, Rechtsgrundlage und Frist. So lässt sich die Beweislastumkehr aktiv parieren. Der Prüfer ruft an, der Nachweis liegt bereit.

Neben der internen Meldestelle gibt es die externe Meldestelle des Bundes beim Bundesamt für Justiz, § 19 HinSchG, sowie spezielle externe Stellen für Finanzdienstleister bei BaFin und Bundeskartellamt. Hinweisgeber können wählen, ob sie intern, extern oder beides melden.

Unternehmen sollen interne Meldungen bevorzugen, sind aber nicht berechtigt, Hinweisgeber zur internen Meldung zu zwingen, § 7 HinSchG. Wer den internen Kanal als attraktiver gestaltet, gewinnt die Meldung früh und kann reagieren, bevor Aufsichtsbehörden oder Medien einsteigen.

Die Offenlegung gegenüber der Öffentlichkeit ist zulässig, wenn der Hinweisgeber zuvor extern gemeldet hat und innerhalb der Frist keine geeignete Maßnahme erfolgt, § 32 HinSchG. Ebenfalls bei unmittelbarer oder offenkundiger Gefährdung des öffentlichen Interesses oder bei Repressalien.

Praktisch heißt das: Wer die interne Meldestelle ernst nimmt, professionell betreibt und Vertrauen aufbaut, reduziert das Risiko externer oder öffentlicher Meldungen erheblich. Schweigen, Verzögern oder Verharmlosen treibt Hinweisgeber zur externen Stelle und in die Medien.

CIVAC verbindet interne Meldestelle, Fallbearbeitung und Reporting in einem Workspace mit EU-Datenresidenz. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. SLA für die Erstbesetzung: zwei Werktage statt zwei bis sechs Wochen klassisch.

Die Meldestelle verarbeitet besonders sensible Daten. Identität, Vorwurf, betroffene Personen und Ermittlungsstand fallen unter Art. 9 DSGVO oder zumindest unter erhöhten Schutzbedarf. Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem HinSchG.

Die Aufbewahrungsfrist nach § 11 Abs. 5 HinSchG beträgt 3 Jahre nach Abschluss des Verfahrens, danach ist zu löschen. Sondervorschriften aus AO, HGB oder Aufsichtsrecht können längere Fristen vorschreiben. Die Löschung ist Pflicht und im Workspace zu dokumentieren.

Die technische Umsetzung folgt ISO/IEC 27001:2022 ISMS mit Controls A.5.7, A.8.3 und A.8.34. Datenresidenz in der EU ist faktisch Pflicht, da US-Cloud-Provider unter den CLOUD Act fallen und Vertraulichkeit nicht durchgängig garantieren können. CIVAC bietet EU-Datenresidenz standardmäßig.

Berechtigungen sind strikt zu führen. Nur ausgewiesene Mitglieder der Meldestelle und die mit dem Vorgang betrauten Bearbeiter haben Zugriff, § 8 Abs. 1 HinSchG. Eine Trennung von Personalbereich und Meldestelle ist organisatorisch sinnvoll, um Interessenkonflikte zu vermeiden.

Im CIVAC-Workspace sind Rollen, Zugriffe und Logs revisionssicher konfiguriert. Audit-Vorlagen für DSGVO Art. 30 Verzeichnis, TOM nach Art. 32 DSGVO und Löschkonzept liegen bereit. Audit-fest, dokumentiert, § 8 HinSchG-fest.

Bußgelder reichen nach § 40 HinSchG bis 50.000 Euro je Verstoß. Repressalien, Behinderung von Meldungen und Verstöße gegen die Vertraulichkeit sind die teuersten Tatbestände. Die Behinderung der Bearbeitung durch Vorgesetzte ist ebenfalls bewehrt und wird zunehmend verfolgt.

Daneben greift § 130 OWiG, wenn die Geschäftsleitung Aufsichtspflichten verletzt. Bußgelder bis 10 Mio. Euro sind möglich, kombiniert mit zivilrechtlichen Schadensersatzklagen der Hinweisgeber. Reputationsschäden bei Verlust eines Falls vor Gericht oder in der Presse übersteigen Bußgelder regelmäßig.

Typische Prüffragen der Aufsicht sind: Wann wurde die Meldestelle eingerichtet, wer leitet sie, sind die Meldewege bekanntgegeben, gibt es ein anonymes Postfach, werden Fristen eingehalten, wie wird Vertraulichkeit gewahrt, wie ist die Datenhaltung organisiert, gibt es eine Berichtslinie zur Geschäftsleitung?

Die Berichtslinie ist organisatorisch und in der Bestellung verankert. Die Meldestelle muss frei von Interessenkonflikten arbeiten können, § 15 HinSchG. Bei Vorwürfen gegen die Geschäftsleitung berichtet sie an den Aufsichtsrat oder Beirat, dokumentiert in der Geschäftsordnung.

CIVAC liefert 490 einsatzbereite Audit-Vorlagen, darunter Geschäftsordnung der Meldestelle, Berichtslinie, Bestellurkunde und Schulungsmatrix. Frist läuft ab Kenntnis. Das System weist auf offene Fristen 14, 7 und 1 Tag vor Ablauf hin.

Die Meldestelle berührt mehrere Rollen. Der Datenschutzbeauftragte berät zu DSGVO, Aufbewahrungsfristen und Auskunftsrechten Betroffener. Bei Datenpannen im Meldekanal greift Art. 33 DSGVO mit der 72-Stunden-Meldepflicht an die Aufsichtsbehörde.

Der Geldwäschebeauftragte nach GwG hat eigene Meldepflichten an die FIU. Hinweise zu Geldwäsche aus der HinSchG-Meldestelle können in das GwG-System überführt werden, sofern die Vertraulichkeit gewahrt bleibt. Der Compliance-Beauftragte koordiniert die Schnittstellen.

Bei Verdacht auf Korruption, Betrug oder Untreue ist die Frage zu klären, wann Strafanzeige zu erstatten ist. Eine pauschale Pflicht zur Anzeige gibt es nicht, wohl aber die Pflicht zur internen Aufklärung. § 130 OWiG verlangt Aufsichtsmaßnahmen, die nicht beliebig hinausgezögert werden dürfen.

Bei Vorwürfen gegen Lieferanten greift das Lieferkettensorgfaltspflichtengesetz LkSG. Hinweise aus der Meldestelle sind in das Risikomanagement nach § 4 LkSG zu integrieren. Der LkSG-Beauftragte und die Meldestelle arbeiten Hand in Hand.

CIVAC integriert diese Schnittstellen in einer Plattform. Stamm- und Falldaten werden einmal gepflegt, Rollen sehen denselben Stand. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. EU-Datenresidenz und ISO 27001:2022 ISMS sind Standard.

Eine HinSchG-Meldestelle entfaltet erst Wirkung, wenn Hinweisgeber Vertrauen haben, Fristen eingehalten werden und die Geschäftsleitung Ergebnisse sieht. Excel-Listen, geteilte Postfächer und improvisierte Telefonleitungen erfüllen die Anforderungen nicht und legen das Unternehmen offen.

CIVAC ist als Compliance-Plattform und Officer-as-a-Service gebaut, um Meldestellen schnell und prüfbar in Betrieb zu nehmen. 25 Beauftragten-Rollen laufen im selben Workspace, 490 Audit-Vorlagen decken HinSchG, DSGVO und Compliance ab, EU-Datenresidenz und ISO 27001:2022 ISMS sind Standard.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. SLA für die Erstbesetzung: zwei Werktage statt zwei bis sechs Wochen klassisch. So ist die Meldestelle binnen einer Arbeitswoche meldefähig, Bestellurkunde inklusive.

Im Onboarding scannen wir bestehende Meldewege, Geschäftsordnungen und Schulungen. Sie sehen sofort, welche Fristen offen sind, welche Schulungen fehlen und ob das Verzeichnis nach Art. 30 DSGVO die Meldestelle bereits enthält. Berichtslinie und Eskalationspfad werden in der ersten Sitzung verankert.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de, und Sie haben binnen zwei Werktagen ein Erstgespräch und einen konkreten Fahrplan für Ihre Meldestelle.