Hinweisgeberschutzgesetz: Pflichten, Fristen und Meldestelle operativ umsetzen

Das Hinweisgeberschutzgesetz (HinSchG) ist seit dem 2. Juli 2023 in Kraft und verpflichtet Unternehmen ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle (§ 12 HinSchG). Wer die Pflicht ignoriert, riskiert nach § 40 HinSchG Bußgelder bis 50.000 Euro, hinzu kommen Reputationsschäden und arbeitsrechtliche Folgen bei Repressalien gegen meldende Personen.

Dieser Beitrag erklärt, welche Pflichten konkret bestehen, wie die 7-Tage-Bestätigung und die 3-Monats-Rückmeldung zu dokumentieren sind und welche Rolle die interne Meldestelle nach HinSchG im Zusammenspiel mit Datenschutz und Compliance einnimmt. Sie erhalten eine Umsetzungslogik, die zur Compliance-Plattform und zum Officer-as-a-Service von CIVAC passt.

Verpflichtet sind Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten (§ 12 Abs. 1 HinSchG). Für Unternehmen mit 250 oder mehr Beschäftigten gilt die Pflicht seit dem 2. Juli 2023, für Unternehmen mit 50 bis 249 Beschäftigten seit dem 17. Dezember 2023. Konzernstrukturen können laut § 14 Abs. 1 HinSchG eine konzernweite Meldestelle nutzen.

Bestimmte Sektoren sind unabhängig von der Mitarbeiterzahl betroffen, darunter Wertpapierdienstleister, Kapitalverwaltungsgesellschaften, Versicherer und Kreditinstitute. Hier greifen branchenspezifische Spezialgesetze, etwa § 25a KWG für Banken. Diese sektoralen Pflichten überlagern das HinSchG, ersetzen es aber nicht vollständig.

Sachlich erfasst das HinSchG Verstöße gegen Strafrecht, bußgeldbewehrte Vorschriften zum Schutz von Leben, Leib oder Gesundheit sowie eine breite Liste europäischer Rechtsakte (§ 2 HinSchG). Datenschutz, Geldwäsche, Produktsicherheit und Vergabe gehören dazu.

Persönlich geschützt sind nicht nur Beschäftigte, sondern auch Bewerber, Praktikanten, Selbstständige, Anteilseigner und Lieferanten (§ 1 HinSchG). Der Schutz greift, sobald hinreichender Grund zur Annahme einer Rechtsverletzung besteht.

Die Pflicht endet nicht mit der Einrichtung. Sie verlangt einen dauerhaft betriebsfähigen Kanal, geschulte Bearbeiter und eine belastbare Dokumentation jeder Meldung über mindestens drei Jahre nach Abschluss des Verfahrens (§ 11 HinSchG).

Nach § 16 HinSchG müssen Meldestellen mündliche und schriftliche Meldungen ermöglichen. Mündlich heißt telefonisch oder per Sprachnachrichtensystem. Auf Verlangen der hinweisgebenden Person ist innerhalb einer angemessenen Frist eine persönliche Zusammenkunft zu ermöglichen, die mit Einverständnis auch per Videokonferenz erfolgen kann.

Anonyme Meldungen sollen bearbeitet werden, eine Bearbeitungspflicht besteht jedoch nach § 16 Abs. 1 Satz 4 HinSchG nicht zwingend. In der Praxis ist die Bearbeitung anonymer Meldungen empfehlenswert, da Verstöße sonst weiter an externe Stellen oder Medien gelangen können.

Die Kanalwahl muss die Vertraulichkeit der Identität von hinweisgebender Person, betroffener Person und weiterer in der Meldung genannter Personen sicherstellen (§ 8 HinSchG). Unverschlüsselte Outlook-Postfächer, geteilte Funktionspostfächer und nicht-segregierte CRM-Systeme genügen dem nicht.

Technisch bewährt haben sich Webformulare mit Ende-zu-Ende-Verschlüsselung, separate Telefonleitungen mit Aufzeichnungssperre und dedizierte Räume für persönliche Gespräche. Die eingesetzte Software muss revisionssicher protokollieren, ohne die Identität preiszugeben.

CIVAC stellt im Workspace einen mandantenfähigen Meldekanal bereit, der Vertraulichkeit, Fristenuhr und Dokumentation in einer Anwendung verbindet. Bestellurkunde, unterschrieben, abgelegt, belegbar. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.

Drei Fristen prägen das operative HinSchG-Geschehen. Erstens: Eingangsbestätigung an die hinweisgebende Person innerhalb von sieben Tagen nach Eingang der Meldung (§ 17 Abs. 1 Nr. 1 HinSchG). Frist läuft ab Kenntnis der Meldestelle, nicht ab Versanddatum.

Zweitens: Rückmeldung an die hinweisgebende Person innerhalb von drei Monaten nach der Eingangsbestätigung (§ 17 Abs. 2 HinSchG). Die Rückmeldung umfasst geplante oder ergriffene Folgemaßnahmen und deren Gründe, soweit interne Ermittlungen oder Rechte Dritter nicht entgegenstehen.

Drittens: Aufbewahrungsfrist von drei Jahren nach Abschluss des Verfahrens (§ 11 Abs. 5 HinSchG). Die Dokumentation darf länger aufbewahrt werden, sofern dies erforderlich und verhältnismäßig ist. Datenschutzrechtliche Löschpflichten aus Art. 5 Abs. 1 lit. e DSGVO bleiben unberührt.

Wer Fristen reißt, riskiert nicht nur Bußgelder, sondern auch den Wechsel der hinweisgebenden Person in den externen Kanal beim Bundesamt für Justiz (§ 19 HinSchG) oder die Offenlegung gegenüber Medien (§ 32 HinSchG). Der interne Kanal verliert seinen Schutzeffekt.

Eine automatisierte Fristenuhr mit Eskalationsstufen ist daher kein Komfort, sondern Mindeststandard. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Im CIVAC-Workspace löst der Posteingang die 7-Tage-Uhr automatisch aus.

Das Vertraulichkeitsgebot aus § 8 HinSchG schützt drei Identitäten: hinweisgebende Person, betroffene Person und sonstige in der Meldung Genannte. Die Identität darf nur den für die Bearbeitung zuständigen Personen bekannt sein, sowie weiteren Beschäftigten, die sie für Folgemaßnahmen zwingend benötigen.

Bei Verarbeitung personenbezogener Daten greift parallel die DSGVO. Erforderlich sind ein Verarbeitungsverzeichnis nach Art. 30 DSGVO, eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO bei hohem Risiko und transparente Informationen nach Art. 13 und 14 DSGVO. Auftragsverarbeitungsverträge nach Art. 28 DSGVO sind bei externen Plattform-Anbietern Pflicht.

Heikel ist die Ausnahme aus Art. 14 Abs. 5 lit. b DSGVO: Die Information der betroffenen Person darf verzögert werden, wenn sie die Aufklärung gefährdet. Diese Abwägung muss dokumentiert sein, damit der Datenschutzbeauftragte sie später nachvollziehen kann.

Der externe Datenschutzbeauftragte sollte frühzeitig in die Einführung der Meldestelle eingebunden werden, idealerweise bereits in der Konzeptionsphase. Die Schnittstelle zwischen HinSchG-Vertraulichkeit und DSGVO-Transparenz ist die häufigste Schwachstelle in Prüfungen.

EU-Datenresidenz ist hier kein Nice-to-have. Hinweisgeberdaten gehören in europäische Rechenzentren mit klarer Verantwortungslage. Der CIVAC-Workspace ist auf deutschem Boden gehostet und vertraglich nach Standardvertragsklauseln auditierbar.

§ 36 HinSchG verbietet Repressalien gegen hinweisgebende Personen. Erfasst sind Kündigung, Abmahnung, Versetzung, Mobbing, Bonus-Streichung, Nichtverlängerung befristeter Verträge und vergleichbare Nachteile. Auch der Versuch und die Drohung sind erfasst.

Besonders wirkmächtig ist die Beweislastumkehr aus § 36 Abs. 2 HinSchG. Erleidet die hinweisgebende Person nach einer Meldung eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit, wird vermutet, dass diese Benachteiligung eine Repressalie ist. Der Arbeitgeber muss das Gegenteil beweisen.

Diese Vermutungsregel verändert die Personalpraxis. Personalentscheidungen, die nach einer Meldung erfolgen, müssen lückenlos dokumentiert sein: Performance-Bewertungen, Zielvereinbarungen, Versetzungsgründe, Befristungsentscheidungen. Ohne Dokumentation verliert der Arbeitgeber den Prozess.

Schadenersatzansprüche nach § 37 HinSchG umfassen materiellen Schaden, etwa entgangenes Gehalt, und immateriellen Schaden, etwa Genugtuung. Eine Schadenshöhe ist gesetzlich nicht gedeckelt. Arbeitsgerichte orientieren sich an § 15 AGG mit Tendenz zu höheren Beträgen.

Operativ heißt das: Wer eine Meldung erhält, sollte HR-Maßnahmen gegenüber der hinweisgebenden Person für mindestens zwölf Monate mit erhöhter Sorgfalt prüfen und dokumentieren. Der Prüfer ruft an, der Nachweis liegt bereit.

§ 40 HinSchG normiert die Bußgeldtatbestände. Unterlassen der Einrichtung einer internen Meldestelle wird mit Bußgeld bis 20.000 Euro geahndet. Verstöße gegen das Vertraulichkeitsgebot bis 50.000 Euro. Behinderung einer Meldung und Repressalien bis 50.000 Euro.

Wichtig ist die juristische Person nach § 30 OWiG. Über das Unternehmen kann ein Verbandsbußgeld festgesetzt werden, das die persönlichen Bußgelder gegen Leitungspersonen ergänzt. § 130 OWiG erweitert die Haftung auf Aufsichtsverstöße: Wer Aufsichtsmaßnahmen unterlässt, haftet für betriebsbezogene Pflichtverletzungen.

Zuständige Aufsichtsbehörde für die externe Meldestelle ist das Bundesamt für Justiz nach § 19 HinSchG. Für sektorale Pflichten bleiben BaFin, BSI oder Landesbehörden zuständig. Eine Meldestelle kann mehreren Aufsichten unterliegen.

Versicherungstechnisch sollten D&O-Policen auf HinSchG-Klauseln geprüft werden. Standardpolicen schließen Bußgelder häufig aus, decken aber Verteidigungskosten. Eine Erweiterung ist möglich und sinnvoll.

Der CIVAC-Workspace dokumentiert Bestellurkunde, Berichtslinie und Verfahrensakten audit-fest, dokumentiert, § 40-fest. Die CIVAC-FAQ beantwortet die häufigsten Detailfragen zur HinSchG-Umsetzung. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.

Schulung ist nicht optional. § 15 HinSchG verlangt die erforderliche Sachkunde der mit der Bearbeitung von Meldungen betrauten Personen. Dies umfasst Kenntnisse zu HinSchG, DSGVO, Arbeitsrecht, Strafprozessrecht und Gesprächsführung. Eine jährliche Auffrischung ist marktüblicher Standard.

Die Berichtslinie sollte die unabhängige Aufgabenwahrnehmung sicherstellen (§ 15 Abs. 1 HinSchG). Direktes Reporting an die Geschäftsleitung oder, bei mitbestimmten Unternehmen, an einen vom Aufsichtsrat benannten Ausschuss ist gängige Praxis. Eine Berichtslinie an den unmittelbaren Vorgesetzten der Meldestelle wäre konflikt-belastet.

Eskalationspfade müssen festgelegt sein: Wann wird die interne Revision eingebunden, wann die Rechtsabteilung, wann externe Anwälte, wann Strafverfolgungsbehörden? Eine Eskalationsmatrix mit klaren Auslösern verhindert Verzögerung und Verantwortungsdiffusion.

Besonders sensibel sind Meldungen gegen die Geschäftsleitung selbst. Hier braucht es einen alternativen Eskalationspfad an den Aufsichtsrat oder externe Stelle. Ohne diesen Pfad scheitert die Glaubwürdigkeit des Systems an der ersten kritischen Meldung.

Der jährliche Bericht über Anzahl und Art der Meldungen, ohne Identifizierung von Personen, gehört in die Compliance-Berichterstattung an den Vorstand. Trends, Wiederholungsmuster und systemische Schwachstellen werden so sichtbar und steuerbar.

Fehler eins: gemeinsamer Postkasten für HR und Hinweisgeber. Das verletzt die Vertraulichkeit aus § 8 HinSchG, weil HR-Mitarbeiter unbeteiligt Kenntnis erlangen. Trennen Sie Kanäle technisch und organisatorisch.

Fehler zwei: keine Eingangsbestätigung. Die 7-Tage-Frist wird übersehen, weil Eingänge in Sammelpostfächern untergehen. Eine automatisierte Eingangsbestätigung mit Vorgangsnummer ist Pflichtfunktion jeder Plattform.

Fehler drei: fehlende Dokumentation der Folgemaßnahmen. Die Rückmeldung nach drei Monaten verlangt Substanz. Ohne dokumentierte Prüfschritte bleibt nur eine Floskel, die in einer Aufsichtsprüfung nicht trägt.

Fehler vier: Repressalien aus Unkenntnis. Eine Versetzung kurz nach einer Meldung, auch wenn sie sachlich begründet ist, wird als Repressalie vermutet. HR-Entscheidungen müssen vor der Umsetzung mit der Meldestelle abgestimmt sein.

Fehler fünf: keine Notfallregelung bei Abwesenheit. Urlaub, Krankheit oder Kündigung der Bearbeiter darf den Kanal nicht lahmlegen. Vertretungsregelung mit gleichwertiger Schulung ist notwendig.

Fehler sechs: externe Plattform ohne Auftragsverarbeitungsvertrag. Die DSGVO-Schnittstelle wird häufig vergessen, weil HinSchG als Spezialgesetz verstanden wird. Beides gilt parallel.

Die HinSchG-Umsetzung verlangt drei Bausteine: einen vertraulichen Meldekanal, geschulte Bearbeiter und eine prüfungsfeste Dokumentation. Alle drei lassen sich klassisch über Anwaltskanzlei, separates Tool und Excel abdecken, doch die Schnittstellen kosten Wochen und reißen Fristen.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service. Der Workspace bündelt Meldekanal, Fristenuhr, Vorgangsakte, Berichtslinie und Bestellurkunden in einer Anwendung mit EU-Datenresidenz und ISO 27001:2022-Grundlage.

Modell eins: Sie lizenzieren den Workspace für Ihre internen Beauftragten. Ihre HR- oder Compliance-Verantwortlichen führen die Meldestelle selbst, gestützt durch 490 einsatzbereite Audit-Vorlagen, Schulungsmodule und automatische Fristenüberwachung.

Modell zwei: Sie lassen unsere Beauftragten bestellen. Ein erfahrener Compliance-Officer übernimmt die Rolle nach § 14 HinSchG, mit Bestellurkunde, Berichtslinie an Ihre Geschäftsleitung und SLA von zwei Werktagen statt der branchenüblichen zwei bis sechs Wochen.

Beide Modelle nutzen denselben Workspace. Sie können jederzeit wechseln oder kombinieren, etwa Officer-as-a-Service für die ersten zwölf Monate und anschließend Lizenzmodell. Die Daten bleiben bei Ihnen.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de, wir melden uns innerhalb eines Werktags mit einem konkreten Umsetzungsvorschlag.