Whistleblowing Gesetz HinSchG: Wissenswertes über das Hinweisgeberschutzgesetz

Das Hinweisgeberschutzgesetz, auch Whistleblowing Gesetz genannt, ist in Deutschland seit Juli 2023 gültig. Berühmte Fälle von Whistleblowing sind zum Beispiel der Fall Edward Snowden oder der Dieselskandal. Die hinweisgebenden Menschen haben mit ihrem Mut und ihrer Initiative Fälle von betrieblichen Straftaten aufdecken können.

Oftmals nehmen Beschäftigte in Unternehmen oder Behörden Missstände als Erste wahr und sind somit besonders wichtig, um Rechtsverstöße aufzudecken. Die Angst vor Repressalien führte jedoch oft zu einem Schweigen. Genau deswegen sind diese Hinweisgeber:innen nun durch ein Gesetz geschützt. Was dabei auf euch als Arbeitgeber:innen zukommt und was es beim Datenschutz zu beachten gilt, erklären wir euch in diesem Beitrag.

Themen in diesem Beitrag:

Was ist das Hinweisgeberschutzgesetz?

Am 02. Juli 2023 ist das Hinweisgeberschutzgesetz (HinSchG) bei uns in Deutschland in Kraft getreten. Es soll hinweisgebenden „natürlichen Personen“, sogenannten „Whistleblowern“, im beruflichen Kontext vor Repressalien schützen, wenn sie Missstände oder Verstöße in ihrem eigenen Arbeitsumfeld erkennen und diese durch einen Hinweis an eine dafür eingerichtete Meldestelle melden.

Das HinSchG soll die Hinweisgeber:innen wirksam vor eventuellen Benachteiligungen schützen, die sie gegebenenfalls vor einer Meldung abschrecken könnten. Benachteiligungen in dieser Hinsicht wären zum Beispiel: Abmahnungen, Disziplinarverfahren oder gar Mobbing. Damit dies nicht passiert, wurde dieses Gesetz eingeführt.

Wen schützt das HinSchG?

Wie der Name bereits vermuten lässt, geht es bei diesem Gesetz um hinweisgebende Personen. Aber was genau sind „Hinweisgebende“?

Als Hinweisgeber:in wird eine natürliche Person verstanden, die sowohl unethische, missbräuchliche oder illegale Zustände als auch Handlungen eines Unternehmens oder einer Organisation wahrnimmt und diese offenlegt. Normalerweise geschieht dies anonym an die Öffentlichkeit, die Meldestelle oder an die zuständige Behörde.

In den letzten Jahren haben diese sogenannten „Whistleblower“ eine zentrale Bedeutung beim Aufdecken von Betrug, Korruption und weiteren Gesetzesverstößen gespielt. Am weitesten bekannt sind womöglich die Fälle der Whistleblower Edward Snowden (Offenlegung von Überwachung und Spionage), Chelsea Manning (Offenlegung vertraulicher militärischer Dokumente) und Julian Assange (Wikileaks-Skandal).

Durch das HinSchG werden also Personen geschützt, die im Rahmen ihrer Berufstätigkeit bestimmte Kenntnisse über Verstöße gegen gesetzliche Vorschriften oder andere gesetzeswidrige Regelungen erlangen konnten und diese melden.

Beschäftigte gemäß § 3 HinSchG sind:

• Soldat:innen
• Auszubildende
• Praktikant:innen
• Arbeitnehmende, auch ehemalige Arbeitnehmer:innen und Bewerber:innen
• Lieferant:innen und deren Mitarbeiter:innen
• Auftragnehmer:innen
• Beamt:innen
• Zivildienstleistende
• Richter:innen (jedoch nicht im Ehrenamt)
• Leiharbeitnehmer:innen
• Solo-Selbstständige, Freiberufler:innen
• Anteilseigner:innen und Personen in Leitungsgremien
• Menschen mit Behinderung, die in einer entsprechenden Einrichtung tätig sind

Geschützt werden durch das Gesetz zudem auch Personen, die Hinweisgeber:innen unterstützen oder mit ihnen in Verbindung stehen (z. B. als Ehegatte/ -in oder Partner:in). Auch Personen, die zwar nicht selbst die Meldung erstatteten, jedoch Gegenstand der Meldung oder auf eine andere Art von der Meldung betroffen sind, werden geschützt.

Was fällt unter das HinSchG?

Nicht jeder Verstoß gegen Vorschriften und Gesetze fällt unter das Hinweisgeberschutzgesetz. In § 2 HinSchG ist der geregelte Schutzbereich jedoch sehr weit gefasst und die hinweisgebende Person wird geschützt, wenn sie Verstöße gegen folgende Vorschriften meldet:

• Straftaten nach deutschem Recht, z. B. Betrug oder Diebstahl.
• Bußgeldbewehrte Verstöße, sofern diese dem Schutz von Leben, Gesundheit oder Arbeitnehmendenrechten dienen, beispielsweise Verstöße gegen das Mindestlohngesetz oder Verstöße gegen den Gesundheits- oder Arbeitsschutz.
• Verstöße im Umweltrecht, insbesondere im Bereich Strahlenschutz oder kerntechnische Sicherheit.
• Verletzungen des Datenschutzes und Verstöße gegen Vorschriften zur digitalen Sicherheit.
• Unregelmäßigkeiten bei öffentlichen Vergabeverfahren.
• Äußerungen von Beamt:innen, die einen Verstoß gegen die Pflicht zur Verfassungstreue darstellen.

Welche Verstöße können von Whistleblowern konkret gemeldet werden?

Das Hinweisgeberschutzgesetz nennt in § 2 HinSchG spezifische Tatbestände, die von Hinweisgeber:innen gemeldet werden dürfen. Dazu zählen unter anderem:

• Korruption
• Geldwäsche
• Menschenrechtsverletzungen
• Insiderhandel
• Datenmissbrauch
• Verstöße gegen das Mindestlohngesetz
• Verstöße im Arbeits- und Gesundheitsschutz
• Bestechung und Bestechlichkeit
• Weitere bestimmte Rechtsvorschriften auf Bundes-, Landes- oder EU-Ebene, die in § 2 des HinSchG beschrieben werden wie:
  • Vorgaben zur Produktsicherheit
  • Vorgaben zum Umweltschutz
  • Datenschutz
  • Vorschriften zur Geldwäsche-Bekämpfung

Wichtig ist hierbei auch: Ein rein privates Fehlverhalten fällt nicht unter das HinSchG.

Und welche Meldewege sieht das HinSchG vor?

Bei den Meldewegen unterscheidet die Gesetzgebung zwischen internen und externen Meldestellen:

• Interne Meldestellen: Selbst eingerichtete Stellen des Arbeitgebenden, an die sich die hinweisgebende Person wenden kann. Das können digitale Hinweisgebersysteme sein, wie beispielsweise über die Plattformanbieter:innen Navex oder EQS, oder aber eine intern ausgelegte Meldestelle, die durch eine qualifizierte Person betrieben wird.
• Externe Meldestellen: Diese Meldestellen werden digital vom Bund oder den Ländern betrieben und stehen allen hinweisgebenden Personen zur Verfügung. Hier ist der Link zur Hinweisgeberstelle des Bundesamtes für Justiz.

Neben diesen offiziellen Meldewegen erlaubt das HinSchG in Ausnahmefällen auch die Offenlegung von Informationen – etwa durch eine Veröffentlichung in der Presse. Dies ist jedoch laut § 32 HinSchG nur als „letztes Mittel“ zulässig, wenn:

• Nach einer externen Meldung keine ausreichenden Maßnahmen ergriffen wurden.
• Ein dringender Grund zur Annahme besteht, dass andernfalls Schäden eintreten können, die nicht mehr rückgängig gemacht werden können.

Warum wurde das Hinweisgeberschutzgesetz eingeführt?

Einige von euch werden bei Skandalen wie dem Dieselskandal (Abgas-Manipulation) oder den Panama Papers (Geldwäsche-Skandal) hellhörig. Das sind zwei der wahrscheinlich bekanntesten und umfangreichsten Fälle von Fehlverhalten von Unternehmen, die offengelegt wurden und dem öffentlichen Interesse in der EU geschadet haben. In diesen beiden Fällen sind die verursachte Schäden an Umwelt, Sicherheit und öffentlichen Finanzen nur dank der Initiativen von Whistleblowern aufgedeckt worden.

Doch Whistleblowing ist oft mit hohen persönlichen Risiken verbunden: Karriere, Ruf, finanzielle Sicherheit und Gesundheit stehen auf dem Spiel. Die Angst vor Repressalien hielt viele Menschen davon ab, Missstände zu melden – obwohl diese im öffentlichen Interesse liegen.

Um diesem Problem entgegenzuwirken, hat die EU 2019 die Whistleblowing-Richtlinie (EU 2019/1937) verabschiedet. Ziel der Richtlinie ist es, Verstöße besser aufzudecken, Hinweisgebende zu schützen und sichere Meldekanäle zu schaffen. Diese Vorgaben wurden in Deutschland am 12. Mai 2023 in nationales Recht überführt, das HinSchG wurde vom Bundesrat verabschiedet und trat final am 02. Juli 2023 in Kraft.

Und was ist das Ziel des HinSchG?

Das Hinweisgeberschutzgesetz verfolgt mehrere Ziele:

• Schutz von Hinweisgeber:innen vor negativen Konsequenzen wie Kündigungen oder Abmahnungen.
• Mehr Transparenz bei der Meldung und Bearbeitung von Verstößen.
• Erschaffen eines Frühwarnsystems für Unternehmen, um Missstände frühzeitig zu erkennen und zu beheben.
• Minimierung von bürokratischem Aufwand durch eine handhabbare Umsetzung für Unternehmen sowie Behörden.
• Aufdeckung und Verhinderung von Gesetzesverstößen, insbesondere in gesellschaftlich und wirtschaftlich relevanten Bereichen.

Ihr seht also, dass das Gesetz letztlich dazu beitragen soll, illegale Praktiken nicht nur schneller aufzudecken, sondern auch konsequent zu ahnden – unabhängig von der „Macht“, die das betroffene Unternehmen oder die Institution besitzt.

Wer ist verpflichtet eine interne Meldestelle einzurichten?

Alle Arbeitgeber:innen mit einer Beschäftigtenanzahl von 50 oder mehr Personen sind laut § 12 Abs. 1 und 2 des HinSchG dazu verpflichtet, eine interne Meldestelle als Hinweisgebersystem einzurichten. Bei Unternehmen mit weniger als 50 Mitarbeitenden besteht keine Verpflichtung zur Einrichtung einer internen Meldestelle.

Allerdings können auch Unternehmen mit weniger als 50 Mitarbeitenden unter § 12 Abs. 3 HinSchG zur Einrichtung einer Meldestelle verpflichtet sein, darunter insbesondere:

• Bestimmte Unternehmen der Finanzdienstleistungs- oder Versicherungsbranche, darunter beispielsweise Wertpapierdienstleister:innen oder Kapitalverwaltungsgesellschaften

Darüber hinaus haben privatrechtliche Arbeitgeber:innen mit 50 bis 249 Arbeitnehmenden gemäß § 14 Abs. 2 des HinSchG die Möglichkeit, sich zusammenzuschließen und eine interne Meldestelle als gemeinsame Einrichtung zu betreiben.

Wichtig zu wissen: Bei der Anzahl der Beschäftigten in einem Unternehmen wird jede:r Arbeitnehmer:in berücksichtigt. Das heißt, dass auch Teilzeitbeschäftigte oder Minijobber:innen als ganze Beschäftigte angesehen werden.

Was müsst ihr bei der Einrichtung und beim Betrieb einer internen Meldestelle beachten?

Auch bei der Einrichtung eines Meldekanals müsst ihr als Arbeitgeber:in wesentliche Punkte beachten, um rechtlich abgesichert zu bleiben:

• Erlaubte Meldekanäle
  Laut § 16 Abs. 3 HinSchG müssen Unternehmen verschiedene Meldewege anbieten. Eine ausschließliche Meldung in Schriftform (z. B. per Post oder Beschwerde-Briefkasten) ist nicht zulässig. Mögliche Kanäle sind:
  • Schriftliche Meldungen: Beispielsweise über IT-gestützte Hinweisgebersysteme wie eine Meldeplattform im Internet oder Intranet oder aber eine speziell für die Entgegennahme und Bearbeitung von Hinweisen nach dem HinSchG eingerichtete E-Mail-Adresse.
  • Mündliche Meldekanäle: Anrufbeantwortersysteme oder Whistleblower-Hotlines.
  • Persönliche Gespräche: Auf Wunsch des jeweiligen Hinweisgebenden sollte es auch möglich sein, Hinweise innerhalb eines angemessenen Zeitraums in einem persönlichen Treffen zu besprechen, das mit der Einwilligung des Hinweisgebenden auch in Form einer Videokonferenz erfolgen kann.

Als Unternehmer:in müsst ihr euch hierbei jedoch nicht festlegen, ihr könnt auch mehrere Meldekanäle gleichzeitig zur Verfügung stellen.

• Externe Dienstleister:innen als Meldestelle
  Ihr müsst als Arbeitgeber:innen die interne Meldestelle in eurem Betrieb nicht selbst betreiben. Laut § 14 Abs. 1 des HinSchG kann auch ein externe:r Anbieter:in beauftragt werden, beispielsweise:
  • Drittanbieter:innen von Hinweisgebersystemen wie z. B. EQS
  • Rechtsanwälte als Ombudspersonen (Externe und unabhängige Vertrauens-Person oder Behörde)

Dabei müssen diese externen Stellen sicherstellen, dass Unabhängigkeit, Vertraulichkeit und Datenschutz gewährleistet werden.

• Vertraulichkeit und Schutz der Hinweisgeber:in
  Die Identität der Hinweisgeber:innen und der betroffenen Personen muss geschützt werden. Laut § 8 des HinSchG gilt:
  • Es dürfen ausschließlich autorisierte Personen Zugriff auf die Meldungen haben.
  • Identitäten von Hinweisgeber:innen dürfen nur in Ausnahmefällen (z. B. auf Verlangen der Strafverfolgungsbehörden gemäß § 9 des HinSchG) offengelegt werden.
• Zuständigkeit innerhalb eines Unternehmens
  Innerhalb eines Unternehmens müssen sogenannte „Meldestellen-Beauftragte“ ernannt werden. Dies können:
  • Eine Einzelperson,
  • Ein Team,
  • Oder eine eigene Abteilung sein.

Wie setzt ihr das Hinweisgeberschutzgesetz in eurem Unternehmen um?

Damit euer Unternehmen die gesetzlichen Anforderungen des Hinweisgeberschutzgesetzes erfüllt und Hinweisgebende konsequent geschützt werden, solltet ihr als Arbeitgeber:innen folgende 6 Schritte umsetzen:

• 1. Einrichtung einer internen Meldestelle
  Unternehmen mit 50 oder mehr Beschäftigten sind seit dem 17. Dezember 2023 dazu verpflichtet eine interne Meldestelle einzurichten. Diese muss, wie vorab beschrieben, HinSchG konform sein:
  • Sicheren Meldekanal festlegen: Die Meldestelle muss schriftliche, mündliche und persönliche Hinweise ermöglichen.
  • Verantwortliche Person oder Abteilung bestimmen: Alternativ könnt ihr externe Dienstleister:innen beauftragen. Tipp: Unternehmen mit 50 bis 249 Beschäftigten können eine gemeinsame Meldestelle mit anderen Firmen betreiben (§ 14 HinSchG).
  • Meldestelle offen kommunizieren: Mitarbeitende müssen wissen, wo und wie sie Hinweise abgeben können.
• 2. Vertraulichkeit sicherstellen
  Ihr seid als Arbeitgeber:in dazu verpflichtet, Hinweisgebende und betroffene Personen vor Repressalien zu schützen:
  • Zugriff auf Meldungen beschränken: Nur autorisierte Personen dürfen sie einsehen und bearbeiten.
  • Vertraulichkeitsverpflichtung sicherstellen: Mitarbeitende mit Zugang zur Meldestelle müssen eine schriftliche Vertraulichkeitsverpflichtung unterzeichnen.
  • Datenschutz (DSGVO) einhalten: Persönliche Daten dürfen nur für die Bearbeitung der Meldung genutzt werden.
  • Anonyme Meldungen ermöglichen: So senkt ihr die Hemmschwelle für Hinweisgebende.
• 3. Schulung und Sensibilisierung der Mitarbeitenden
  Die beste Meldestelle nützt nichts, wenn eure Mitarbeitenden sie nicht kennen oder ihr nicht vertrauen. Hier gilt:
  • Meldewege kommunizieren: Kommuniziert offen über die Meldewege (z. B. per E-Mail, Intranet, Betriebsversammlungen).
  • Mitarbeiter:innenschulungen: Schult eure Mitarbeitenden, damit sie ihre Rechte als Hinweisgeber:innen kennen.
  • Trainings: Trainiert die zuständigen Personen, die Meldungen entgegennehmen und bearbeiten.
• 4. Definition eines standardisierten Verfahrens für Meldungen
  Ein klarer Ablauf hilft, Hinweise schnell und rechtskonform zu bearbeiten:
  • Information über Eingang geben: Eingangsbestätigung innerhalb von 7 Tagen an den Hinweisgebenden senden (§ 17 HinSchG).
  • Prüfung und Bewertung: Eingegangene Meldungen überprüfen und bewerten (z. B. Relevanz, Plausibilität).
  • Maßnahmen bestimmen: Geeignete Maßnahmen einleiten (z. B. interne Untersuchungen, Weiterleitung an zuständige Behörden).
  • Information über Ergebnis geben: Das Ergebnis der Bearbeitung innerhalb von 3 Monaten dem Hinweisgebenden mitteilen (§ 18 HinSchG).
• 5. Rechtskonforme Dokumentation von Meldungen
  Alle eingegangenen Hinweise müssen sicher archiviert und nachvollziehbar dokumentiert werden:
  • Speicherung: Jede eingehende Meldung sollte mindestens 3 Jahre gespeichert werden (§ 11 HinSchG).
  • Dokumentation: Erfasst alle Maßnahmen und Ergebnisse in internen Protokollen.
  • Datenschutz gewährleisten: Gewährleistet Datenschutz durch den Schutz vor Zugriff oder Einsicht durch unbefugte Personen.
• 6. Regelmäßige Prüfung und Optimierung des Hinweisgebersystems
  Eine kontinuierliche Verbesserung ist essenziell, damit eurer Hinweisgebersystem effektiv bleibt:
  • Akzeptanz prüfen: Holt euch dafür Feedback von euren Mitarbeiter:innen ein, um die Akzeptanz des Systems zu prüfen.
  • Analyse: Analysiert Bearbeitungszeiten und Abläufe, um eventuelle Schwachstellen zu finden.
  • Anpassungen: Passt euer System kontinuierlich an neue gesetzliche Anforderungen an.

Ihr als Arbeitgeber:innen seid somit nicht nur zur Einrichtung einer internen Meldestelle verpflichtet, ihr müsst auch sicherstellen, dass die Vertraulichkeit gewahrt wird, klare Abläufe geschaffen werden und euer System regelmäßig überprüft und optimiert wird. Nur so stellt ihr sicher, dass das Hinweisgebersystem effektiv umgesetzt und euer Unternehmen rechtlich abgesichert ist.

Welche Rolle spielt die DSGVO beim Hinweisgeberschutzgesetz?

Bei der Einführung eines internen Hinweisgebersystems spielt der Datenschutz eine entscheidende Rolle. Die 2018 in Kraft getretene europäische Datenschutzgrundverordnung (DSGVO) hat auch auf den Umgang mit Hinweisgeber:innen einen Einfluss.

Pflichten nach DSGVO

Als Arbeitgeber:innen seid ihr durch die DSGVO verpflichtet sicherzustellen, dass:

• Die Daten vertraulich behandelt werden – sowohl die Identität des Hinweisgebenden als auch die der betroffenen Person.
• Nur notwendige Daten verarbeitet werden, also keine überflüssigen Informationen gespeichert oder weitergegeben werden.
• Betroffene Personen über eine Meldung informiert werden. Insbesondere Beschuldigte müssen über eine Meldung gegen sie in Kenntnis gesetzt werden (Artikel 14 DSGVO).

Diese Informationspflicht stellt Unternehmer:innen jedoch vor eine Herausforderung: Bei strikter Anwendung der DSGVO müsste der beschuldigten Person der Name des Hinweisgebenden mitgeteilt werden. Das würde jedoch die Vertraulichkeit untergraben und eine abschreckende Wirkung auf potenzielle Whistleblower projizieren.

Wie kann die Anonymität der Hinweisgebenden trotz DSGVO gewahrt bleiben?

Damit der oben beschriebene Konflikt gelöst wird, gibt es verschiedene datenschutzkonforme Lösungen:

• Anonymisierung der Meldungen: Wenn Hinweise grundsätzlich anonym verarbeitet werden, liegt kein Personenbezug vor, die DSGVO greift also nicht.
• Einsatz sicherer Whistleblower-Systeme: Bestimmte Hinweisgebersysteme ermöglichen verschlüsselte und anonyme Meldungen, sodass die Identität geschützt bleibt.
• Eingeschränkte Informationspflicht: Unternehmen können die beschuldigte Person darüber informieren, dass eine Meldung vorliegt, ohne die Identität des Hinweisgebenden offenzulegen.
• Technische und organisatorische Maßnahmen: Beispielsweise pseudonymisierte Meldungen oder gesicherte Meldekanäle, die nur einer autorisierten Stelle zugänglich sind.

Bei der Einführung eines Hinweisgebersystems in eurem Unternehmen lohnt es sich frühzeitig Datenschutz-Expert:innen oder externe Meldestellen einzubinden. Auf diese Weise könnt ihr die Anforderungen der DSGVO bestmöglich umsetzen.

Was passiert bei Nichteinhaltung der gesetzlichen Vorgaben?

Unternehmen, die gegen das Hinweisgeberschutzgesetz (HinSchG) verstoßen, müssen mit empfindlichen Bußgeldern und Reputationsschäden rechnen. Seit dem 1. Dezember 2023 gilt die Nichteinhaltung als Ordnungswidrigkeit und kann geahndet werden:

• Fehlende interne Meldestelle: Unternehmen mit 50 oder mehr Beschäftigten, die keine interne Meldestelle einrichten, riskieren ein Bußgeld von bis zu 20.000 Euro.
• Behinderung oder Benachteiligung von Hinweisgebenden: Wer Whistleblower durch Repressalien einschüchtert oder daran hindert, Meldungen abzugeben, kann mit einer Strafe von bis zu 50.000 Euro belegt werden.
• Verstoß gegen die Vertraulichkeitspflicht: Die unrechtmäßige Offenlegung der Identität eines Hinweisgebenden oder einer betroffenen Person kann ebenfalls mit bis zu 50.000 Euro geahndet werden.

Neben den genannten finanziellen Sanktionen drohen auch Imageschäden. Unternehmen, die Hinweisgeber:innen nicht ausreichend schützen oder eingehende Meldungen nicht ernst nehmen, setzen ihre Glaubwürdigkeit und das Vertrauen der Mitarbeitenden aufs Spiel. Zudem haben Hinweisgebende laut § 7 HinSchG das Recht, sich auch direkt an externe Behörden zu wenden. Wer keine funktionierende interne Meldestelle anbietet, verliert somit die Möglichkeit, Verstöße intern zu klären, bevor sie öffentlich oder behördlich untersucht werden.

Konsequent absichern mit der Arbeitssicherheit Sofort

Das Wichtigste in eurem Unternehmen ist der Schutz eurer Mitarbeiter:innen. Daher solltet ihr euch als Arbeitgeber:innen über die gesetzlichen Vorgaben bewusst sein. Das Hinweisgeberschutzgesetz sorgt dafür, dass eure Mitarbeitenden geschützt sind, wenn sie auf Missstände hinweisen. Eure Verantwortung liegt darin, sichere Arbeitsbedingungen zu schaffen und rechtliche Risiken zu minimieren.

Wir von der Arbeitssicherheit Sofort stehen euch dabei zur Seite. Ob Gefährdungsbeurteilungen, die Einhaltung von DGUV-Richtlinien oder weitere Maßnahmen zur Arbeitssicherheit – wir helfen euch, euer Unternehmen gesetzeskonform abzusichern. Sichert euch jetzt unser unverbindliches Beratungsangebot. Wir freuen uns auf eure Anfrage!

Beitragsbild: © Adobe Stock, JackF

Weitere Themen aus diesem Artikel

• Compliance
• DGUV