Hinweisgeberschutzgesetz: Aktueller Stand & wichtige Maßnahmen

Das Hinweisgeberschutzgesetz (HinSchG) soll alle „natürlichen Personen“ schützen, die Verstöße oder Missstände in ihrem beruflichen Umfeld erkennen und diese durch einen Hinweis an eine dafür eingerichtete Meldestelle melden. Diese „hinweisgebenden Personen“, auch Whistleblower genannt, sollen mithilfe des Hinweisgeberschutzgesetzes wirksam vor Benachteiligungen geschützt werden, die sie eventuell abschrecken könnten, eine Meldung vorzunehmen. Deshalb werden Repressalien wie Mobbing, Abmahnungen, Disziplinarverfahren gegen Hinweisgeber:innen mit dem HinSchG verboten.

Unternehmen werden durch das Hinweisgeberschutzgesetz u.a. verpflichtet, sichere Kommunikationswege für derartige Meldungen zu schaffen. Dahinter steckt die Idee, alle Vorgänge und Prozesse im Rahmen des Whistleblowings transparenter zu regeln und eine Art Frühwarnsystem für Unternehmen zu installieren. Außerdem sieht das Gesetz vor, dass die mit den Maßnahmen zum Hinweisgeberschutz verbundenen bürokratischen Aufwände für Unternehmen und die öffentliche Verwaltung umsetzbar und handhabbar sein müssen.

Zu typischen Verstößen und Missständen, die vom HinSchG gedeckt werden sind, zählen beispielhaft

• Straftaten nach deutschem Recht

• Korruption

• Bestechung und Bestechlichkeit

• Geldwäsche

• Verletzungen von Menschenrechten

• Insiderhandel

• Datenmissbrauch

• Verstöße gegen das Mindestlohngesetz

• Verstöße im Gesundheits- und Arbeitsschutz

• Äußerungen von Beamt:innen, die einen Verstoß gegen die Pflicht zur Verfassungstreue darstellen

Wichtig: Die gemeldeten Verstöße müssen immer mit einem Unternehmen zusammenhängen, mit dem Hinweisgebende selbst in beruflichem Kontakt standen bzw. Stehen.

Whistleblowing: Daten, Fakten und wichtige Maßnahmen

Lernen Sie in diesem Leitfaden alle wichtigen Neuerungen des Hinweisgeberschutzgesetzes, wichtige Maßnahmen und Einblicke in den aktuellen Status quo in Unternehmen kennen.

Jetzt Leitfaden herunterladen

Mit dem Hinweisgeberschutzgesetz setzt der deutsche Gesetzgeber die Richtlinie (EU) 2019/1937 in nationales Recht um. Diese ist auch als „EU-Whistleblower-Richtlinie“ bekannt und dient dem Schutz von Menschen, die Verstöße gegen das sog. Unionsrecht melden.

Da der Bundesrat dem am 16. Dezember 2022 vom Bundestag beschlossenen Regierungsentwurf im Februar 2023 nicht zustimmte, ging das Gesetz in den Vermittlungsausschuss. Im Mai 2023 stimmten Bundestag und Bundesrat dann dessen Kompromissvorschlag zu, der bei den Themen anonyme Hinweise, Bußgelder und den Anwendungsbereich Änderungen vorsah.

Die Verkündung des Hinweisgeberschutzgesetzes im Bundesgesetzblatt erfolgte am 2. Juni 2023. Das Gesetz ist zum 2. Juli 2023 in Kraft getreten.

Das Hinweisgeberschutzgesetz hat zwei wesentliche Ziele:

• Schutz der Whistleblower vor Repressalien jeder Art

• Unterstützung von Unternehmen bei der Einrichtung eines Frühwarnsystems

Das Hinweisgeberschutzgesetz regelt ausführlich die Einrichtung von internen und externen Meldestellen. Whistleblower sollen dem Gesetzestext nach bevorzugt den internen Meldeweg gehen. Auch wenn anonyme Meldewege es potenziellen Whistleblowern deutlich einfacher machen würden, einen Hinweis zu geben, sieht das HinSchG auf Seiten der Unternehmen keine Verpflichtung vor, einen anonymen Meldeweg einzurichten.

Alle Unternehmen mit mehr als 50 Mitarbeitenden und bestimmter Branchen müssen eine interne Meldestelle einrichten. Diese kann vom Unternehmen selbst oder von einem externen Dienstleister betrieben werden.

Für Unternehmen mit 250 und mehr Beschäftigte sowie für Unternehmen bestimmter Branchen (z.B. Finanzdienstleistungen, Versicherungen) gilt: Sie müssen das Hinweisgeberschutzgesetz unverzüglich umsetzen, da die neuen Regelungen für sie mit Inkrafttreten des Gesetzes gelten. Ein mögliches Bußgeld wegen Nichteinrichtung einer Meldestelle oder fehlendem Betrieb bis zu 20.000 Euro wird allerdings erst nach dem 1. Dezember 2023 möglich, weil dann die Bußgeldvorschrift in Kraft tritt.

Unternehmen mit 50 bis 249 Beschäftigten hatten noch bis zum 17. Dezember 2023 Zeit, eine entsprechende interne Meldestelle im Unternehmen einzurichten. Diese kleineren Unternehmen können auch mit anderen Unternehmen eine gemeinsame Meldestelle betreiben.

Auch öffentliche Einrichtungen, Städte und Gemeinden ab 10.000 Einwohner:innen müssen das Hinweisgeberschutzgesetz umsetzen.

Besonderen Schutz vor Repressalien erhalten die Hinweisgebenden durch die im HinSchG verankerte Beweislastumkehr. Was heißt das? Wenn ein Whistleblower beispielsweise von seinem Arbeitgeber gekündigt wird, muss dieser nachweisen, dass Kündigung und die Meldung von Missständen inhaltlich nicht zusammenhängen.

Erleidet der Whistleblower Repressalien nach einem Hinweis, muss das Unternehmen ihm den Schaden ersetzen. Doch auch dem Whistleblower droht Ungemach – wenn er vorsätzlich oder grob fahrlässig eine Falschmeldung macht. In diesem Fall zahlt er den Schaden.

Sorgen Sie für rechtskonforme Personalprozesse

Speichern Sie Bewerber- und Mitarbeiterdaten nach Vorschrift, stellen Sie sicher, dass Mitarbeitende und Führungskräfte nur die Daten sehen, die sie sehen sollen, und bleiben Sie so DSGVO-konform: Alles mit Personio. 

Personio kostenlos testen

Neben Unternehmen, Organisationen, öffentliche Einrichtungen, Städte und Gemeinden betrifft das Hinweisgeberschutzgesetz natürlich die Hinweisgebenden selbst.

Es schützt die folgenden „natürlichen Personen“ vor Repressalien:

• Beschäftigte – auch Bewerbende, Auszubildende, Praktikant:innen, Leiharbeitnehmer:innen

• Selbstständige Dienstleister – auch Freiberufler:innen, Lieferanten und Auftragnehmer:innen und deren Beschäftigte

• Beamt:innen

• Soldat:innen

• Anteilseigner

• Beschäftigte in Werkstätten für Menschen mit Behinderung

Die Hinweisgebenden müssen im Rahmen des Hinweisgeberschutzgesetzes das dort beschriebene Verfahren zur Meldung von Missständen unbedingt einhalten.

Unternehmen mit mindestens 50 Beschäftigten sind nach dem Hinweisgeberschutz verpflichtet, ein internes Meldesystem für Hinweisgeber einzurichten, die dort eingegangenen Hinweise zu untersuchen und die Missstände auch zu beheben. Natürlich haben Hinweisgebende außerdem immer die Möglichkeit, sich an eine externe Meldestelle (z.B. Landes- oder Bundesbehörden) zu wenden.

Ein Herzstück des HinSchG ist die Einführung interner Meldekanäle. Diese müssen Meldungen in Textform (schriftlich) zulassen. Unternehmen können ein IT-basiertes System, z. B. im Rahmen ihres Intranets, nutzen oder eine spezielle E-Mail-Adresse einrichten. Weiterhin ist eine mündliche Kontaktaufnahme einzurichten, etwa über Telefon-Hotlines. Auch persönliche Kontaktaufnahme soll laut HinSchG möglich gemacht werden.

• Sie sind als Unternehmen nicht dazu verpflichtet, über die interne Meldestelle anonyme Meldungen zu ermöglichen. Dennoch sollen auch diese anonymen Meldungen bearbeitet werden.

• Sie können die interne Meldestelle auch von einem externen Dienstleister betreiben lassen, müssen sie also nicht mit eigenem Personal besetzen. Voraussetzung dafür: Unabhängigkeit und Vertraulichkeit sowie Einhaltung von Datenschutz und Geheimhaltung.

Ein weiterer zentraler Punkt ist die Wahrung der Vertraulichkeit der Hinweisgebenden zu jedem Zeitpunkt. Nur eine z. B. über ein strenges Rechte- und Rollensystem im Meldesystem als zuständig definierte Person erhält Informationen über die Identität des Whistleblowers und der in der Meldung genannten Personen. Die Whistleblower müssen von der Meldestelle innerhalb von 7 Tagen den Eingang der Meldung bestätigt bekommen. Das Unternehmen muss passende Maßnahmen initiieren sowie weiterhin den Hinweisgebenden innerhalb von drei Monaten über die eingeleiteten Maßnahmen und die Folgen informieren.

Wählen Sie die Rolle des Meldestellen-Verantwortlichen sorgfältig, wenn Sie sie intern betreiben möchten. Egal, welche fachliche Position diese Person im Unternehmen innehat, sie muss in ihrer Rolle unabhängig handeln können und frei von Interessenskonflikten sein, z.B. Mitarbeitende aus der Compliance oder von Legal Affairs. Außerdem benötigt diese Person spezifische Fachkenntnisse. Schulungen sind verpflichtend.

Unternehmen müssen alle eingegangenen Meldungen derart dokumentieren, dass sie im Fall der Fälle als Beweismittel eingesetzt werden können. Die Aufbewahrungsfrist beträgt drei Jahre. Selbstverständlich gelten für die Einrichtung und den Betrieb des internen Meldeverfahrens alle rechtlichen Vorschriften des Datenschutzes. Klären Sie hierfür unbedingt Aufbewahrungs- und Löschfristen, erstellen Sie eine Datenschutzerklärung für Hinweisgeber etc.

Alle Infos zu gesetzlichen Aufbewahrungspflichten erhalten Sie in diesem Artikel.

Tipp für HR: Informieren Sie Ihre Belegschaft transparent und verständlich über das in Ihrem Unternehmen eingerichtete Meldeverfahren. Dafür können Sie z.B. das Intranet oder auch ganz klassisch das Schwarze Brett nutzen.