Meldekanal-Pflicht ab 50 Beschäftigten: Das Hinweisgeberschutzgesetz kurz erklärt

Seit dem 2. Juli 2023 gilt in Deutschland das Hinweisgeberschutzgesetz (HinSchG). Es setzt die EU-Whistleblower-Richtlinie (Richtlinie (EU) 2019/1937) in nationales Recht um und verpflichtet viele Unternehmen zu etwas, das sie bislang nicht auf dem Schirm hatten: einen internen Meldekanal für Hinweise auf Rechtsverstöße. Wer die Pflicht ignoriert, riskiert Bußgelder – und verschenkt die Chance, Probleme intern zu klären, bevor sie nach außen dringen.

Was regelt das HinSchG?

Das Gesetz schützt Personen, die im beruflichen Umfeld Verstöße bemerken und melden – sogenannte hinweisgebende Personen oder Whistleblower. Erfasst sind unter anderem Straftaten, bestimmte Ordnungswidrigkeiten sowie Verstöße gegen EU-Recht, etwa in den Bereichen Datenschutz, Produktsicherheit, Umweltschutz oder Vergaberecht.

Der Kern des Gesetzes ist ein Dreiklang: Unternehmen müssen einen sicheren Meldekanal bereitstellen, hinweisgebende Personen vor Repressalien schützen und die Vertraulichkeit ihrer Identität wahren. Ziel ist eine Kultur, in der Missstände angesprochen werden können, ohne dass Betroffene berufliche Nachteile fürchten müssen.

Ab wann bin ich verpflichtet?

Entscheidend ist die Zahl der Beschäftigten:

• Ab 50 Beschäftigten muss jedes Unternehmen eine interne Meldestelle einrichten. Seit dem 17. Dezember 2023 gilt das auch für kleinere Unternehmen mit 50 bis 249 Beschäftigten, für die zunächst eine Übergangsfrist bestand.
• Unternehmen der Finanz- und Wertpapierbranche (etwa Kreditinstitute, Wertpapierdienstleister und Versicherer) sind größenunabhängig verpflichtet – hier greift die Pflicht unabhängig von der Beschäftigtenzahl.

Unternehmen mit 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle mit anderen Unternehmen betreiben und so Ressourcen bündeln.

Die wichtigsten Fristen

Ein Meldekanal reicht nicht – er muss aktiv und fristgerecht bearbeitet werden. Das HinSchG schreibt zwei Fristen vor:

1. Eingangsbestätigung binnen 7 Tagen: Die Meldestelle muss den Eingang einer Meldung spätestens nach sieben Tagen bestätigen.
2. Rückmeldung binnen 3 Monaten: Innerhalb von drei Monaten nach der Eingangsbestätigung muss die hinweisgebende Person über die ergriffenen Folgemaßnahmen informiert werden.

Zusätzlich gilt eine Dokumentationspflicht: Alle Meldungen sind zu dokumentieren und die Aufzeichnungen grundsätzlich drei Jahre aufzubewahren.

Vertraulichkeit und Schutz vor Repressalien

Zwei Prinzipien machen das Gesetz wirksam. Zum einen das Vertraulichkeitsgebot: Die Identität der hinweisgebenden Person – und der von der Meldung betroffenen Personen – muss geschützt bleiben und darf nur einem eng begrenzten, befugten Personenkreis bekannt sein.

Zum anderen das Repressalienverbot. Benachteiligungen wegen einer berechtigten Meldung – etwa Kündigung, Abmahnung, Versetzung oder das Vorenthalten einer Beförderung – sind unzulässig. Besonders wichtig ist die Beweislastumkehr: Erleidet eine hinweisgebende Person nach einer Meldung eine Benachteiligung, wird vermutet, dass diese eine Repressalie war. Das Unternehmen muss dann beweisen, dass die Maßnahme nichts mit der Meldung zu tun hatte.

Erleidet eine hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit, so wird vermutet, dass diese Benachteiligung eine Repressalie für die Meldung ist. – § 36 Abs. 2 HinSchG (sinngemäß)

Verstöße können teuer werden: Wer die Einrichtung eines Meldekanals unterlässt oder eine Meldung behindert, muss mit Bußgeldern von bis zu 50.000 Euro rechnen.

Wer die Meldestelle führen darf

§ 15 HinSchG stellt zwei Anforderungen an die Personen, die mit den Aufgaben der internen Meldestelle betraut sind.

Sie sind bei der Ausübung ihrer Tätigkeit unabhängig. Sie dürfen daneben andere Aufgaben wahrnehmen – aber nur, solange dabei keine Interessenkonflikte entstehen. Und der Arbeitgeber hat sicherzustellen, dass sie über die notwendige Fachkunde verfügen.

Der Interessenkonflikt ist der Punkt, an dem interne Lösungen scheitern. Wer die Personalverantwortung trägt, kann eine Meldung über eine Führungskraft nicht unbefangen bearbeiten. Ebenso problematisch sind die Geschäftsführung selbst und die Leitung der Fachabteilung, über die gemeldet werden könnte.

Eine Vertretungsregelung schreibt das Gesetz nicht vor. Nur laufen die Fristen des § 17 weiter – bei Urlaub, Krankheit und Elternzeit. Wer nur eine Person benennt, hat die Meldestelle eingerichtet, aber nicht betriebsfähig gemacht.

Anonyme Meldungen: die Rechtslage überrascht

Viele Unternehmen gehen davon aus, anonyme Meldekanäle seien vorgeschrieben. Das trifft nicht zu.

§ 16 HinSchG verlangt Meldekanäle für mündliche und schriftliche Meldungen, zu denen nur befugte Personen Zugang haben. Eine Verpflichtung, die Kanäle so zu gestalten, dass anonyme Meldungen möglich sind, besteht ausdrücklich nicht. Und für die Bearbeitung anonym eingehender Meldungen formuliert das Gesetz nur ein „sollte” – kein „muss”.

Warum sich die anonyme Variante trotzdem lohnt, hat wenig mit Recht und viel mit Praxis zu tun: Wer sich nicht zu erkennen geben möchte, geht nicht weg, sondern woanders hin – zur externen Meldestelle des Bundes, zur zuständigen Aufsichtsbehörde, im ungünstigsten Fall an die Öffentlichkeit. Der Kanal, den Sie nicht anbieten, verschwindet nicht; er liegt nur außerhalb Ihres Hauses. Worauf es bei der technischen Umsetzung ankommt, behandelt der Beitrag zur Meldesoftware für Hinweisgeber.

Das Repressalienverbot und die Beweislastumkehr

Der kritischste Moment für ein Unternehmen ist nicht die Meldung, sondern das, was danach geschieht.

§ 36 HinSchG verbietet Repressalien gegen hinweisgebende Personen – ausdrücklich auch deren Androhung und den Versuch. Und die Vorschrift enthält eine Regelung, die im Streitfall den Ausschlag gibt: Erleidet eine hinweisgebende Person nach einer Meldung eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit, wird vermutet, dass diese Benachteiligung eine Repressalie ist.

Widerlegen muss das der Arbeitgeber. Er trägt die Beweislast dafür, dass die Maßnahme auf hinreichend gerechtfertigten Gründen beruhte oder nicht auf der Meldung.

Praktisch folgt daraus dreierlei: Personalentscheidungen, die eine hinweisgebende Person betreffen, brauchen eine Begründung, die vor der Meldung entstanden und dokumentiert ist. Der Kreis der Mitwissenden sollte klein bleiben. Und die Meldestelle gehört organisatorisch von der Personalführung getrennt – diese Trennung ist kein Formalismus, sondern Ihr Beweismittel.

Dokumentation und Löschung

Meldungen sind zu dokumentieren, und zwar in dauerhaft abrufbarer Weise. Ebenso klar ist das Ende: Die Dokumentation ist drei Jahre nach Abschluss des Verfahrens zu löschen (§ 11 HinSchG). Nicht früher, und nicht dauerhaft.

Diese Frist wird regelmäßig übersehen, weil sie erst Jahre nach dem eigentlichen Vorgang greift. Wer sie nicht in ein Löschkonzept aufnimmt, behält Unterlagen über einen abgeschlossenen Vorgang – mit personenbezogenen Daten von Hinweisgebern und Beschuldigten.

Intern oder extern lösen?

Neben den internen Meldestellen der Unternehmen gibt es externe Meldestellen beim Bund und in einzelnen Ländern. Hinweisgebende Personen haben die freie Wahl, ob sie sich intern oder extern melden. Genau darin liegt der eigentliche Anreiz für Unternehmen: Ein gut erreichbarer, vertrauenswürdiger interner Kanal sorgt dafür, dass Missstände zuerst im Haus landen und dort geklärt werden können – statt bei einer Behörde oder in der Öffentlichkeit.

So richten Sie einen Meldekanal ein

Ein rechtssicherer Meldekanal muss mündliche und schriftliche Meldungen ermöglichen und auf Wunsch auch ein persönliches Treffen. Anonyme Meldungen sollen ebenfalls möglich sein und bearbeitet werden. Wichtig ist außerdem eine unparteiische, fachkundige Person, die die Meldungen bearbeitet und keinem Interessenkonflikt unterliegt.

Sie sind unsicher, ob Ihr Unternehmen betroffen ist oder ob Ihr Kanal die gesetzlichen Anforderungen erfüllt? Unser digitaler Meldekanal erfüllt alle Vorgaben des HinSchG – vertraulich, fristgerecht und mit revisionssicherer Dokumentation. Eine erste Einschätzung Ihrer Betroffenheit erhalten Sie in unter einer Minute über den kostenlosen Compliance-Check. Den passenden Umfang stellen Sie sich im Meldestellen-Konfigurator zusammen. Mehr Grundlagenwissen finden Sie auf unserer Themenseite Hinweisgeberschutz. Warum es sich lohnt, den Meldekanal gemeinsam mit Datenschutz und Arbeitsschutz bei einem Anbieter zu bündeln, lesen Sie unter Compliance aus einer Hand.