Seit dem 2. Juli 2023 gilt in Deutschland das Hinweisgeberschutzgesetz (HinSchG). Es setzt die EU-Whistleblower-Richtlinie um. Wer im beruflichen Umfeld Verstöße beobachtet, muss sie über einen sicheren Kanal melden können, ohne Nachteile befürchten zu müssen. Repressalien gegen Hinweisgeber sind verboten. Welche Pflichten für Unternehmen gelten, was sich seit 2023 geändert hat und wie Sie Meldestelle und Abläufe aufsetzen, erfahren Sie in diesem Beitrag.
Stand des Hinweisgeberschutzgesetzes im Oktober 2026
Die EU-Richtlinie zum Schutz von Whistleblowern trat Ende 2019 in Kraft und hätte bis zum 17. Dezember 2021 umgesetzt sein müssen. Deutschland hat sie verspätet umgesetzt. Bundestag und Bundesrat haben das Hinweisgeberschutzgesetz im Mai 2023 nach einem Vermittlungsverfahren beschlossen, seit dem 2. Juli 2023 ist es in Kraft. Wegen der Verspätung hat der Europäische Gerichtshof Deutschland im März 2025 zur Zahlung von 34 Millionen Euro verurteilt.
Die Übergangsfristen sind abgelaufen. Unternehmen mit mindestens 250 Beschäftigten müssen seit dem 2. Juli 2023 eine interne Meldestelle betreiben, Unternehmen mit 50 bis 249 Beschäftigten seit dem 17. Dezember 2023. Seit dem 29. Juli 2026 erfasst das Gesetz außerdem Verstöße gegen die europäische KI-Verordnung (AI Act). Wer KI im Personalwesen einsetzt, sollte den Meldeweg deshalb auch in seiner KI-Richtlinie verankern.
Dieses Gesetz hat das Potenzial, die Art und Weise, wie Unternehmen mit internen und externen Meldungen umgehen, grundlegend zu verändern. Im Mittelpunkt steht der Schutz von Personen, die Verstöße im Unternehmen melden, indem sie vor Vergeltungsmaßnahmen geschützt werden. Daher sind Unternehmen aufgefordert, vertrauliche Meldekanäle einzurichten und sicherzustellen, dass das Personal ordnungsgemäß geschult wird, um dieses neue Paradigma zu verstehen und zu unterstützen.
Gemäß dem Gesetz sind Unternehmen verpflichtet, auf Meldungen innerhalb von drei Monaten zu reagieren, was eine rechtzeitige Untersuchung und angemessenes Handeln erfordert. Das Hinweisgeberschutzgesetz prägt somit die Unternehmenskultur hin zu mehr Offenheit und Verantwortung. Es ist ein Schritt in die richtige Richtung, um mehr Transparenz, Gerechtigkeit und Sicherheit am Arbeitsplatz zu gewährleisten.
Das Wichtigste zusammengefasst:
Unternehmen mit mindestens 50 Beschäftigten müssen eine interne Meldestelle betreiben, an die Hinweisgeber, sog. Whistleblower, rechtliche Verstöße melden können. Die Meldestelle bestätigt den Eingang einer Meldung innerhalb von 7 Tagen und gibt innerhalb von 3 Monaten nach der Eingangsbestätigung eine Rückmeldung zu den ergriffenen Maßnahmen.
Wer ist als Hinweisgeber definiert?
Unter dem Hinweisgeberschutzgesetz ist ein Hinweisgeber definiert als eine Person, die Informationen über mögliche oder tatsächliche Verstöße gegen das Gesetz meldet. Dies kann ein Mitarbeiter, ein Auftragnehmer, ein Praktikant oder sogar ein Stellenbewerber sein. Im Grunde genommen kann jede Person, die in engem Zusammenhang mit dem Unternehmen steht, als Hinweisgeber auftreten.
Ausschlaggebend ist letztendlich, dass der Whistleblower, egal ob aus dem Unternehmen oder extern, im Kontakt mit dem Unternehmen steht.
Dem Unternehmen steht es allerdings offen, ob die Meldekanäle nur dem eigenen Personal zugänglich sind oder auch auf externe Kontaktpersonen ausgeweitet werden.
HR Puls kennenlernen
Die HR Software für Recruiting, Personalverwaltung und Zeiterfassung.
Demo vereinbarenWas ist bei der Einrichtung und dem Betrieb interner Meldekanäle zu beachten?
- Die Vertraulichkeit des Hinweisgebers muss gewährleistet sein. Das bedeutet, dass die Identität des Hinweisgebers geschützt werden muss, es sei denn, er gibt seine ausdrückliche Zustimmung zur Offenlegung. Dies kann durch die Verwendung sicherer und verschlüsselter Kommunikationstechnologien erreicht werden. Vertraulichkeit heißt nicht Anonymität. Unternehmen müssen ihre Meldekanäle nicht so gestalten, dass anonyme Meldungen möglich sind. Anonym eingehende Meldungen soll die Meldestelle aber bearbeiten.
- Meldungen müssen in mündlicher oder schriftlicher Form sowie auf Wunsch in einem persönlichen Treffen ermöglicht werden. In der Praxis bedeutet das für Unternehmen die Einrichtung einer Whistleblower-Hotline, eines Beschwerde-Briefkasten oder eines IT-gestützten Hinweisgebersystems wie z.B. einen geschützten Bereich im Intranet oder der internen Kommunikationsplattform im Unternehmen.
- Der Meldekanal muss von unabhängigen und objektiven Personen betrieben werden. Dazu wird ein Meldestellenbeauftragter bestimmt, der den Eingang der Meldung innerhalb von 7 Tagen bestätigen muss. Dies kann interne Mitarbeiter einschließen, solange sie nicht in einem Interessenkonflikt stehen. Alternativ können Unternehmen externe Dienstleister beauftragen. Kleine Unternehmen können sich hier auch Ressourcen teilen und eine gemeinsame Meldestelle einrichten.
- Datenschutz ist in diesem Zusammenhang essenziell. Alle personenbezogenen Daten des Hinweisgebers sowie der beschuldigten Personen müssen DSGVO-konform aufbewahrt werden. Dies lässt sich am einfachsten mit einem softwaregestützten Meldeverfahren umsetzen.
Die Einrichtung und der Betrieb interner Meldekanäle erfordern sorgfältige Planung und Umsetzung. Es ist wichtig, dass Unternehmen die Anforderungen des Hinweisgeberschutzgesetzes ernst nehmen und effektive Meldekanäle einrichten, die das Vertrauen der Mitarbeiter gewinnen und die Einhaltung der gesetzlichen Vorschriften sicherstellen.
Bußgelder bei Verstößen gegen das Hinweisgeberschutzgesetz
Die Nichtbeachtung des Hinweisgeberschutzgesetzes kann für Unternehmen erhebliche Konsequenzen haben. Der Gesetzgeber hat eine Reihe von Sanktionen vorgesehen, um sicherzustellen, dass die Unternehmen die Vorschriften des Gesetzes ernst nehmen und umsetzen.
- Wer eine Meldung behindert oder Repressalien ergreift, riskiert ein Bußgeld von bis zu 50.000 Euro. Das gilt auch für vorsätzliche oder leichtfertige Verstöße gegen das Vertraulichkeitsgebot.
- Gegen Unternehmen kann das Höchstmaß in diesen Fällen auf das Zehnfache steigen, also auf bis zu 500.000 Euro.
- Bei fahrlässigem Umgang mit der vertraulichen Behandlung von Hinweisgebern sind Sanktionen bis 10.000 EUR vorgesehen.
- Missachtet ein Unternehmen die Pflicht zur Einführung sowie dem Betrieb einer Meldestelle werden bis zu 20.000 EUR fällig.
Dieses Bußgeld kann seit dem 1. Dezember 2023 verhängt werden. Unternehmen mit 50 bis 249 Beschäftigten müssen eine Meldestelle seit dem 17. Dezember 2023 betreiben.
Es ist außerdem wichtig zu beachten, dass diese Bußgelder nicht nur eine fehlende Meldestelle betreffen, sondern auch den unrechtmäßigen Umgang mit Hinweisgebern, wie etwa Vergeltungsmaßnahmen oder Diskriminierung.
Neben den direkten finanziellen und rechtlichen Konsequenzen haben Verstöße gegen das Hinweisgeberschutzgesetz erhebliche Auswirkungen auf den Ruf eines Unternehmens. In einer Zeit, in der Transparenz und ethisches Handeln immer wichtiger werden, schädigt der Verstoß gegen das Hinweisgeberschutzgesetz das Vertrauen von Kunden, Mitarbeitern und der breiten Öffentlichkeit in das Unternehmen erheblich.
Was Unternehmen jetzt prüfen sollten
Die Anforderungen des Hinweisgeberschutzgesetzes können zunächst überwältigend erscheinen, aber mit einer klaren Checkliste können Unternehmen sicherstellen, dass sie alle erforderlichen Schritte unternehmen. Hier sind die wichtigsten Punkte, die jedes Unternehmen berücksichtigen sollte:
1. Informieren Sie sich: Machen Sie sich mit den spezifischen Anforderungen des Hinweisgeberschutzgesetzes vertraut und suchen Sie gegebenenfalls rechtlichen Rat.
2. Einrichtung von Meldekanälen: Stellen Sie sicher, dass Sie sichere und vertrauliche Meldekanäle einrichten, die allen Mitarbeitern und betroffenen Personen zugänglich sind. Achten Sie vor allem auf DSGVO-Konformität. Am einfachsten lässt sich dies über eine Integration Ihrer HR Software oder bestehendem Intranet lösen.
3. Schulung der Mitarbeiter: Informieren und schulen Sie Ihre Mitarbeiter über ihre Rechte und Pflichten im Rahmen des Hinweisgeberschutzgesetzes. Stellen Sie sicher, dass sie wissen, wie sie Verstöße melden können und dass sie vor Vergeltungsmaßnahmen geschützt sind.
4. Prozesse zur Untersuchung von Meldungen: Legen Sie klare Verfahren für den Umgang mit gemeldeten Verstößen fest. Dies sollte eine zeitnahe Untersuchung und angemessene Maßnahmen zur Lösung des Problems umfassen. Beachten Sie dabei die Fristen von 7 Tagen bzw. 3 Monaten.
5. Überwachung und Überprüfung: Überwachen Sie die Einhaltung des Hinweisgeberschutzgesetzes in Ihrem Unternehmen und überprüfen Sie regelmäßig Ihre Richtlinien und Verfahren, um sicherzustellen, dass sie effektiv sind und den gesetzlichen Anforderungen entsprechen.
