Die Inhalte dieses Beitrags sind nach bestem Wissen erstellt, ersetzen jedoch keine individuelle rechtliche Beratung. Für die Richtigkeit, Vollständigkeit und Aktualität der Angaben wird keine Gewähr übernommen. Für eine Bewertung Ihrer individuellen Situation wenden Sie sich bitte direkt an unsere Kanzlei.
Die Hinweisgeberschutzgesetz Umsetzung im Unternehmen ist für viele Geschäftsführungen und Personalabteilungen noch immer eine offene Baustelle. Dabei sind die gesetzlichen Fristen längst verstrichen und die zuständigen Behörden verfolgen Verstöße konsequenter als in den ersten Monaten nach Inkrafttreten. Als Kanzlei für Compliance begleiten wir Unternehmen dabei, ihre Meldestelle rechtssicher aufzubauen oder eine bestehende Lösung zu überprüfen. In diesem Beitrag erfahren Sie, wen das Gesetz betrifft, welche Fristen galten, wie ein rechtskonformer Meldeprozess aussieht und welche Konsequenzen bei Nichtumsetzung drohen.
Das Gesetz für einen besseren Schutz hinweisgebender Personen, kurz Hinweisgeberschutzgesetz (HinSchG), setzt die EU-Whistleblower-Richtlinie (EU) 2019/1937 in deutsches Recht um. Es ist am 2. Juli 2023 in Kraft getreten und regelt den Schutz von Personen, die im beruflichen Kontext Kenntnis von Rechtsverstößen erlangen und diese melden.
Verpflichtet sind nach § 12 Abs. 1 und 2 HinSchG Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten. Der Begriff Beschäftigungsgeber ist bewusst weiter gefasst als der klassische Arbeitgeberbegriff und erfasst auch öffentliche Stellen. Das Gesetz selbst legt keine feste Berechnungsmethode für die Beschäftigtenzahl fest. In der Praxis wird überwiegend nach Köpfen gezählt, sodass auch Teilzeitkräfte grundsätzlich mitzählen. Bei Grenzfällen, etwa schwankender Beschäftigtenzahl oder vielen geringfügig Beschäftigten, lohnt sich eine anwaltliche Einzelfallprüfung.
Eine wichtige Ausnahme betrifft Unternehmen der Finanzbranche. Nach § 12 Abs. 3 HinSchG müssen etwa Wertpapierdienstleister oder Kapitalverwaltungsgesellschaften unabhängig von ihrer Beschäftigtenzahl eine interne Meldestelle vorhalten. Wer zu diesen Bereichsausnahmen zählt, sollte dies frühzeitig mit rechtlicher Unterstützung klären, da die Schwellenwertregelung hier nicht greift.
Die Grenze von 50 Beschäftigten ist die zentrale Weichenstellung für die meisten Unternehmen außerhalb des Finanzsektors. Liegt Ihr Unternehmen dauerhaft unter diesem Wert, besteht keine gesetzliche Pflicht zur Einrichtung einer eigenen Meldestelle. Hinweisgebende Personen können sich in diesem Fall an die externe Meldestelle beim Bundesamt für Justiz wenden.
Sobald die Schwelle von 50 Beschäftigten erreicht oder überschritten wird, entsteht die Pflicht nach § 12 HinSchG unabhängig davon, ob es sich um eine GmbH, eine Personengesellschaft oder eine sonstige Organisationsform handelt. Konzernstrukturen mit mehreren rechtlich selbstständigen Gesellschaften müssen die Beschäftigtenzahl grundsätzlich pro Gesellschaft betrachten, nicht konzernweit, auch wenn das Gesetz hierzu keine ausdrückliche Konzernklausel enthält und sich diese Zuordnung mittelbar aus dem Begriff des Beschäftigungsgebers ergibt. Für die praktische Einordnung Ihrer konkreten Unternehmensstruktur empfiehlt sich eine anwaltliche Prüfung, da die Auslegung im Detail Fragen aufwirft, etwa bei Matrixorganisationen oder gemeinsamen Servicegesellschaften.
Auch kleinere Unternehmen sind gut beraten, freiwillig ein einfaches Meldesystem vorzuhalten. Das reduziert das Risiko, dass Beschäftigte mangels internen Kanals direkt extern oder öffentlich melden.
Der Gesetzgeber hat die Umsetzung gestaffelt nach Unternehmensgröße vorgesehen, geregelt in der Übergangsvorschrift des § 42 HinSchG. Unternehmen mit in der Regel mindestens 250 Beschäftigten mussten ihre interne Meldestelle bereits zum Inkrafttreten des Gesetzes am 2. Juli 2023 eingerichtet haben. Für Beschäftigungsgeber mit 50 bis 249 Beschäftigten galt eine verlängerte Frist bis zum 17. Dezember 2023.
Beide Fristen sind inzwischen deutlich überschritten. Für die Praxis bedeutet das: Es gibt keine Schonfrist mehr, auf die sich Unternehmen berufen könnten. Wer heute noch keine funktionsfähige Meldestelle betreibt, befindet sich in einem laufenden Rechtsverstoß, nicht in einer Übergangsphase.
Seit der HinSchGOWiZustV vom 9. April 2025 verfolgt und ahndet zudem das Bundesamt für Justiz Ordnungswidrigkeiten nach § 40 HinSchG, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt, etwa bei der externen Meldestelle des Bundes. Für die meisten privaten Unternehmen bleiben daneben die zuständigen Landesbehörden im Blick, sodass sich an der grundsätzlichen Zuständigkeitsverteilung für die Privatwirtschaft nur punktuell etwas geändert hat.
Die bloße Existenz eines Meldekanals reicht nicht aus. Nach § 12 Abs. 4 HinSchG müssen Sie der Meldestelle die notwendigen Befugnisse einräumen, damit sie ihre Aufgaben tatsächlich wahrnehmen kann. Praktisch bedeutet das:
Erstens benötigen Sie eine schriftliche Meldestellen-Policy, die Zuständigkeiten, Vertraulichkeit und den Ablauf einer Meldung klar beschreibt. Zweitens müssen die mit der Meldestelle betrauten Personen über die notwendige Fachkunde verfügen und unabhängig handeln können, ohne dass andere Aufgaben zu Interessenkonflikten führen. Drittens brauchen Sie einen technisch und organisatorisch abgesicherten Meldekanal, mündlich, schriftlich oder digital, der die Vertraulichkeit der Identität von hinweisgebender Person und betroffenen Personen wahrt.
Viele Unternehmen entscheiden sich für ein digitales Hinweisgebersystem mit anonymem Postfach, weil dies die Meldebereitschaft erfahrungsgemäß erhöht, auch wenn eine anonyme Entgegennahme gesetzlich nicht zwingend vorgeschrieben ist. Wichtig ist in jedem Fall eine saubere Dokumentation, da Aufsichtsbehörden im Zweifel konkrete Prozessabläufe und keine bloße Absichtserklärung sehen wollen.
Ist eine Meldung eingegangen, greifen feste Fristen aus § 17 HinSchG. Der Eingang ist der hinweisgebenden Person innerhalb von sieben Tagen zu bestätigen. Anschließend muss die Meldestelle innerhalb von drei Monaten nach dieser Bestätigung eine Rückmeldung geben, welche Folgemaßnahmen geplant oder bereits ergriffen wurden und aus welchen Gründen. Wurde keine Eingangsbestätigung erteilt, läuft die Rückmeldefrist von drei Monaten und sieben Tagen ab dem Zugang der Meldung.
Während des gesamten Verfahrens gilt ein strenges Vertraulichkeitsgebot für die Identität der hinweisgebenden Person und der Personen, die Gegenstand der Meldung sind. Jede Meldung ist außerdem zu dokumentieren, wobei die Dokumentation nach § 11 HinSchG grundsätzlich drei Jahre nach Abschluss des Verfahrens zu löschen ist.
Nach § 7 HinSchG haben hinweisgebende Personen zudem ein Wahlrecht zwischen interner und externer Meldestelle. Ein unattraktiver oder intransparenter interner Kanal führt in der Praxis häufig dazu, dass Beschäftigte direkt extern melden, etwa beim Bundesamt für Justiz, was für das Unternehmen mit weniger Kontrolle über den Verlauf verbunden ist.
Verstöße gegen das HinSchG können nach § 40 HinSchG mit Bußgeldern geahndet werden, die sich nach Art und Schwere des Verstoßes staffeln. Für die Nichteinrichtung oder den Nichtbetrieb einer internen Meldestelle drohen Bußgelder bis zu 20.000 Euro. Wer eine Meldung oder die anschließende Kommunikation behindert, eine verbotene Repressalie ergreift oder die Vertraulichkeit vorsätzlich oder leichtfertig verletzt, muss mit Bußgeldern bis zu 50.000 Euro rechnen. Über die Verweisung auf § 30 Ordnungswidrigkeitengesetz kann sich das Höchstmaß gegenüber dem Unternehmen als juristische Person zudem deutlich erhöhen.
Hinzu kommt ein zivilrechtliches Risiko. Ergreift ein Unternehmen eine Repressalie gegen eine hinweisgebende Person, etwa in Form einer Kündigung oder Versetzung, gilt nach § 36 Abs. 2 HinSchG eine Vermutung zugunsten der hinweisgebenden Person, dass die nachteilige Maßnahme eine Repressalie darstellt. Das Unternehmen muss dann darlegen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen beruhte oder nicht im Zusammenhang mit der Meldung stand. Bei einem Verstoß gegen das Repressalienverbot ist der Verursacher zudem nach § 37 HinSchG zum Ersatz des daraus entstehenden Schadens verpflichtet. Neben dem finanziellen Risiko sollte auch das Reputationsrisiko nicht unterschätzt werden, wenn Meldungen mangels funktionierender interner Struktur an externe Stellen oder die Öffentlichkeit gelangen.
Neben der internen Meldestelle im Unternehmen sieht das Gesetz in den §§ 19 bis 31 HinSchG externe Meldestellen vor, zentral beim Bundesamt für Justiz sowie mit Sonderzuständigkeiten bei der BaFin und dem Bundeskartellamt. Hinweisgebende Personen können frei wählen, welchen Weg sie nutzen. Eine Offenlegung von Informationen etwa gegenüber der Presse bleibt dagegen nach § 32 HinSchG ein letztes Mittel für eng begrenzte Ausnahmefälle, etwa wenn nach einer externen Meldung keine angemessenen Folgemaßnahmen ergriffen wurden.
Für Unternehmen folgt daraus eine klare strategische Überlegung. Ein gut aufgebauter, vertrauenswürdiger interner Kanal erhöht die Wahrscheinlichkeit, dass Beschäftigte zunächst intern melden. Das gibt der Geschäftsführung die Möglichkeit, Sachverhalte selbst aufzuklären, bevor externe Stellen eingeschaltet werden. Eine Meldestelle, die nur auf dem Papier existiert oder als unsicher wahrgenommen wird, erreicht das Gegenteil.
Prüfen Sie zunächst, ob Ihr Unternehmen die Schwelle von 50 Beschäftigten erreicht oder ob eine bereichsspezifische Pflicht unabhängig von der Beschäftigtenzahl besteht. Existiert bereits eine Meldestelle, lohnt sich eine Überprüfung anhand der aktuellen Anforderungen an Fachkunde, Unabhängigkeit und Dokumentation. Fehlt eine Meldestelle vollständig, sollten Sie den Aufbau zeitnah angehen, da jeder Tag ohne rechtskonforme Lösung ein laufendes Bußgeldrisiko bedeutet.
Wir unterstützen Sie bei der rechtssicheren Ausgestaltung Ihrer Meldestellen-Policy, bei der Klärung von Zuständigkeiten und bei der Bewertung, ob Ihr bestehendes System den gesetzlichen Anforderungen entspricht.
Die Hinweisgeberschutzgesetz Umsetzung im Unternehmen ist keine Kür mehr, sondern eine seit Ende 2023 fällige Pflicht mit spürbaren Bußgeldrisiken bei Nichtbeachtung. Wenn Sie unsicher sind, ob Ihre Meldestelle den gesetzlichen Anforderungen entspricht, oder noch keine eingerichtet haben, sprechen Sie uns an. Vereinbaren Sie einen Termin und wir prüfen gemeinsam mit Ihnen den Status Ihres Unternehmens.
Teilen
