Arbeitsrecht

Whistleblowing: Das Hinweisgeberschutzgesetz

Welche Vorgaben das HinSchG beinhaltet und was Unternehmen jetzt tun müssen, erfahren Sie im nachfolgenden Text. 

1. Gesetzgebungsziel und aktueller Stand 

Das Hinweisgeberschutzgesetz (HinSchG) ist die deutsche Umsetzung der sog. EU-Whistleblower-Richtlinie (Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates der Europäischen Union vom 23. Oktober 2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden). 
Ziel des HinSchG ist der Schutz von Personen, die im Rahmen ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese melden. Das HinSchG verbietet jegliche Repressalien gegenüber hinweisgebenden Personen (sog. Whistleblowern) und verpflichtet Unternehmen, interne Meldestellen und sichere Kanäle für die Meldung von Missständen einzurichten. 
Das HinSchG wurde am 2. Juni 2023 im Bundesgesetzblatt verkündet und ist am 2. Juli 2023 in Kraft getreten.

2. Wer kann Hinweisgeber sein? 

Der Bereich der Personen, der nach dem HinSchG geschützt ist, ist weit gefasst und umfasst alle natürlichen Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese melden (hinweisgebende Personen), insbesondere: 
  • Beschäftigte, auch bereits ausgeschiedene Beschäftigte, Stellenbewerber, Praktikanten, Leiharbeitnehmer
  • Selbstständige, die Dienstleistungen erbringen, Freiberufler, Auftragnehmer, Unterauftragnehmer, Lieferanten und deren Mitarbeiter
  • Anteilseigner und Personen in Leitungsgremien
Hinweis: Nach § 16 Absatz 1 HinSchG müssen die internen Meldekanäle mindestens den eigenen Beschäftigten sowie Leiharbeitnehmern offenstehen, die dem Unternehmen überlassen sind. Die zur Einrichtung verpflichteten Unternehmen können selbst entscheiden, ob das Meldeverfahren darüber hinaus auch (außenstehenden) Personen, die im Kontakt zum Unternehmen stehen, offenstehen soll. Darüber hinaus werden auch Personen geschützt, die die hinweisgebende Person unterstützen sowie Personen, die zwar nicht selbst die Meldung erstatten, aber Gegenstand der Meldung oder sonst von der Meldung betroffen sind. 

3. Welche Verstöße können von Hinweisgebern gemeldet werden?

Nicht jede Meldung einer Verletzung von Rechtsvorschriften ist vom HinSchG umfasst. Der unter § 2 HinSchG geregelte Schutzbereich ist aber sehr weit gefasst. Hinweisgebende Personen genießen den Schutz des HinSchG, wenn sie Verstöße gegen folgende Vorschriften melden: 
  • Verstöße gegen Strafvorschriften: Dies umfasst jede Strafnorm nach deutschem Recht.
  • Verstöße, die mit einem Bußgeld bedroht sind (also Ordnungswidrigkeiten), wenn die verletzte Norm dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Darunter fallen beispielswese Vorschriften aus den Bereichen des Arbeits- und Gesundheitsschutzes, Verstöße gegen das Mindestlohngesetz oder Bußgeldvorschriften, die Verstöße gegen Aufklärungs- und Auskunftspflichten gegenüber Organen der Betriebsverfassung wie Betriebsräten sanktionieren.
  • Darüber hinaus sind alle Verstöße gegen Rechtsvorschriften des Bundes und der Länder umfasst, die zur Umsetzung bestimmter europäischer Regelungen getroffen wurden, sowie Verstöße gegen unmittelbar geltende EU-Rechtsakte in einer Vielzahl verschiedener Bereiche, etwa: Regelungen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, Vorgaben zur Produktsicherheit, Vorgaben zur Verkehrssicherheit, Vorgaben zur Beförderung gefährlicher Güter, Vorgaben zum Umwelt- und Strahlenschutz, Lebensmittel- und Futtermittelsicherheit, Qualitäts- und Sicherheitsstandards bei Arzneimitteln und Medizinprodukten, Regelungen des Verbraucherschutzes, Regelungen des Datenschutzes und der Sicherheit in der Informationstechnik, Regelungen des Vergaberechts, Regelungen zur Rechnungslegung bei Kapitalgesellschaften, Regelungen im Bereich des Wettbewerbsrechts etc.
Voraussetzung ist immer, dass sich die Verstöße auf den Beschäftigungsgeber/das Unternehmen oder eine andere Stelle beziehen müssen, mit dem oder mit der die hinweisgebende Person selbst in beruflichem Kontakt stand oder steht, § 3 Abs. 3 HinSchG. 

4. Welche Unternehmen müssen zu welchem Zeitpunkt interne Meldekanäle einrichtet haben?

Unternehmen mit in der Regel mindestens 250 Beschäftigten mussten die Vorgaben nach dem HinSchG spätestens bis zum 2. Juli 2023 umgesetzt haben. 
Für Unternehmen mit in der Regel 50 bis 249 Beschäftigten sah das HinSchG eine Einrichtungsfrist bis zum 17. Dezember 2023 vor. Diesen Unternehmen ist es zudem nach § 14 Absatz 2 HinSchG erlaubt, Ressourcen zu teilen und mit anderen Unternehmen eine „gemeinsame Meldestelle“ zu betreiben.
Kleine Unternehmen mit in der Regel bis zu 49 Beschäftigten sind von der Pflicht zur Einrichtung eines internen Meldekanals ausgenommen. Die Schutzvorschriften des HinSchG (insbesondere der Schutz vor Repressalien nach § 36 HinSchG) dürfte aber wohl auch in diesen kleinen Unternehmen gelten, wenn beispielsweise ein Arbeitnehmer einen Rechtsverstoß meldet.
Die Verpflichtung zur Umsetzung des Hinweisgeberschutzgesetzes gilt unabhängig von der Zahl der Beschäftigten für Unternehmen in bestimmten Branchen, z.B. Finanzdienstleistungsunternehmen oder Verischerungsunternehmen (vgl. Auflistung in § 12 Abs. 3 HinSchG).Diese Unternehmen müssen also bereits ab einem Beschäftigten einen internen Meldekanal einrichten.
Die Nichteinrichtung von internen Meldestellen kann hohe Bußgelder nach sich ziehen, vgl. unten Punkt 8. „Welche Sanktionen drohen bei Verstößen gegen das HinSchG?“

5. Was ist bei der Einrichtung und beim Betrieb interner Meldekanäle zu beachten?

Folgende zehn Punkte müssen berücksichtigt werden:
  • 1. Die internen Meldekanäle müssen nach § 16 Absatz 3 HinSchG Meldungen in mündlicher oder in Textform sowie auf Wunsch in persönlicher Weise ermöglichen
  • 2. Bei allen Meldewegen muss die Vertraulichkeit des Hinweisgebers sowie Dritter geschützt sein
  • 3. Bestimmung der Zuständigkeit innerhalb des Unternehmens mit einer sehr eingeschränkten Zugriffsrechte-Zuweisung
  • 4. Bearbeitungsfristen nach § 17 HinSchG müssen beachtet werden
  • 5. Von der im Unternehmen zuständigen Person oder Abteilung müssen ordnungsgemäße Folgemaßnahmen ergriffen werden, diese können nach § 18 HinSchG beispielsweise sein
  • 6. Dokumentation der Meldungen und Datenaufbewahrung
  • 7. Informationspflicht über Meldeverfahren
  • 8. Datenschutz
  • 9. Bei der Einrichtung des Verfahrens für interne Meldungen sind Mitbestimmungsrechtliche des Betriebsrats zu beachten
  • 10. Bei (internationalen) Konzernstrukturen

6. Welche Möglichkeiten der Meldung haben Hinweisgeber?

Es wird zwischen internen und externen Meldestellen unterschieden.
Die internen Meldestellen (§§ 12 bis 18 HinSchG) müssen in Unternehmen eingerichtet werden. 
Die externen Meldestellen müssen von der öffentlichen Hand eingerichtet werden (§§ 19 bis 31 HinSchG). Eine zentrale externe Meldestellen wurde beim Bundesamt für Justiz (BfJ) eingerichtet. Daneben werden die bestehenden Meldesysteme bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sowie beim Bundeskartellamt als weitere externe Meldestelle mit Sonderzuständigkeiten weitergeführt.
Weitere Informationen zu den externen Meldeverfahren des Bundes erhalten Sie auf der Internetseite des Bundesamts für Justiz. 
Den Ländern steht es frei, für die Meldungen, die die jeweiligen Landesverwaltung und die jeweiligen Kommunalverwaltungen betreffen, eigene externe Meldestellen einzurichten. 
Darüber hinaus existieren entsprechende Meldeverfahren für Meldungen an Organe, Einrichtungen und sonstige Stellen der Europäischen Union. Hierunter fallen externe Meldekanäle der Kommission, des Europäischen Amts für Betrugsbekämpfung (OLAF), der Europäischen Agentur für die Sicherheit des Seeverkehrs (EMSA), der Europäischen Agentur für Flugsicherheit (AESA), der Europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA) und der Europäischen Arzneimittel-Agentur (EMA). 
Der Hinweisgeber hat grundsätzlich die freie Wahl, ob er sich an eine interne Meldestelle des Unternehmens oder an eine externe Meldestelle der Behörden wendet. § 7 Abs. 1 Satz 2 HinSchG regelt jedoch einen Anreiz zur bevorzugten Nutzung der internen Meldekanäle im Unternehmen: Hinweisgeber sollten in den Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten, die Meldung an eine interne Meldestelle bevorzugen. 
Darüber hinaus können sich hinweisgebende Personen mit ihren Informationen über Verstöße auch an die Öffentlichkeit (etwa über Presse, Social Media oder sonstige Medien) wenden, dies jedoch nur unter den engen Voraussetzungen des § 32 HinSchG. Die hinweisgebende Person ist im Falle der Meldung eines Verstoßes an die Öffentlichkeit nur dann durch das HinSchG geschützt, wenn sie sich zuvor erfolglos an eine externe Meldestelle gewendet hat oder Gefahr für die Allgemeinheit droht. 

Tipp: Es dürfte im Eigeninteresse eines jeden Unternehmens sein, dass mögliche Verstöße im Unternehmen selbst aufdeckt werden und sich hinweisgebende Personen nicht an externe Meldestellen oder gar an die Öffentlichkeit wenden. Unternehmen sollten daher selbst Anreize für die Nutzung des internen Meldekanals setzen, indem sie den internen Meldekanal möglichst anwenderfreundlich ausgestalten, die Beschäftigten entsprechend informieren (siehe hierzu oben “Was ist bei der Einrichtung und beim Betrieb interner Meldekanäle zu beachten?”, dort unter 7.), diese dazu ermutigen, den internen Meldekanal zu nutzen und eingehende Meldungen höchst vertraulich behandeln. Zu beachten ist aber, dass Unternehmen die Abgabe von Meldungen an externe Meldestellen nicht behindern dürfen. 

7. Wie werden Hinweisgeber geschützt?

Das HinSchG will hinweisgebende Personen dazu ermutigen, auf Missstände in Unternehmen und Behörden aufmerksam zu machen. Daher genießen hinweisgebende Personen umfangreichen Schutz vor Repressalien, ihnen kommt eine Beweislastumkehr zugute, sie können ggf. Schadensersatzansprüche geltend machen und genießen Haftungsprivilegien: 
  • Zentrales Element ist das in § 36 Absatz 1 HinSchG verankerte Verbot von Repressalien: Unternehmen müssen beachten, dass sämtliche Repressalien einschließlich der Androhung und des Versuchs von Repressalien untersagt sind. Verboten sind insbesondere: Suspendierung, Kündigung, Herabstufung oder Versagung von Beförderung, Nötigung, Einschüchterung, Mobbing oder Aussetzung, aber auch Nichtverlängerung befristeter Arbeitsverträge, Rufschädigung, Entzug einer Lizenz oder Genehmigung, negative Leistungsbeurteilung etc.Repressalien sind nicht nur verboten, sondern werden auch mit hohen Bußgeldern geahndet (siehe hierzu unten “Welche Sanktionen drohen bei Verstößen gegen das HinSchG?”). 
  • Um die Durchsetzbarkeit von Ansprüchen gegen Repressalien gegen den Schädiger zu verbessern, enthält das HinSchG in § 36 Abs. 2 eine Beweislastumkehr zugunsten der geschützten Person. Bisher musste der Hinweisgeber den Zusammenhang zwischen Meldung und Benachteiligung im Streitfall nachweisen. Künftig muss das Unternehmen den (abweichenden) Grund für eine vermeintliche Benachteiligung darlegen und ggf. beweisen, wenn die Benachteiligung nach der Meldung erfolgt. Künftig wird also der Arbeitgeber darlegen und beweisen müssen, dass etwa zwischen einer Kündigung eines Mitarbeiters und einer vorhergehenden Meldung durch den Mitarbeiter keinerlei Verbindung besteht. Die Beweislastumkehrregelung gilt jedoch mit der kleinen Einschränkung, dass die hinweisgebende Person selbst aktiv werden und geltend machen muss, dass sie die Benachteiligung infolge der Meldung erlitten hat.  
Tipp: Vor dem Hintergrund der geregelten Beweislastumkehr sollten Personalverantwortliche künftig die Gründe für arbeitsrechtliche Maßnahmen sorgfältig dokumentieren! 
  • Bei einem Verstoß gegen das Repressalienverbot hat die hinweisgebende Person nach § 37 Absatz 1 HinSchG einen Anspruch auf Schadensersatz. Immateriellen Schadensersatz (also Schmerzensgeld) kann die hinweisgebende Person allerdings nicht verlangen. 
Um diesen Schutz zu genießen, muss der Hinweis zutreffend sein und die Meldung muss Verstöße treffen, die in den Anwendungsbereich des § 2 HinSchG fallen (siehe hierzu oben unter “Welche Verstöße können von Hinweisgebern gemeldet werden?”). Ausreichend ist aber nach § 33 Abs. 1 Nummer 2 HinSchG auch, wenn der Hinweisgeber zum Zeitpunkt der Meldung oder Offenlegung hinreichenden Grund zu solcher Annahme hatte. Zudem darf die Beschaffung der Information nicht als solche oder der Zugriff auf die Information nicht als solcher eine eigenständige Straftat darstellen. Wenn diese Voraussetzungen vorliegen, kann der Hinweisgeber gemäß § 35 HinSchG nicht verantwortlich gemacht werden. 
Ein Schutz für Hinweisgeber besteht nicht, wenn es sich um eine vorsätzliche oder grob fahrlässige Falschmeldung handelt. In solchen Fällen ist der bösgläubige Hinweisgeber nach § 38 HinSchG sogar zum Ersatz des dadurch entstehenden Schadens verpflichtet.

8. Welche Sanktionen drohen bei Verstößen gegen das HinSchG?

Verstöße gegen die wesentlichen Vorgaben des HinSchG werden nach § 40 HinSchG als Ordnungswidrigkeiten mit einer Geldbuße geahndet. Die Höhe des Bußgeldrahmens hängt vom jeweiligen Verstoß ab:
  • Mit einem Bußgeld in Höhe von bis zu 50.000 Euro kann belegt werden, wer eine Meldung oder die darauffolgende Kommunikation verhindert (oder dies versucht), wer eine verbotene Repressalie ergreift (oder dies versucht) oder wer vorsätzlich oder leichtfertig das Vertraulichkeitsgebot missachtet.Der Bußgeldrahmen bis zu 50.000 Euro gilt für die Unternehmensverantwortlichen. Für die Unternehmen selbst (juristische Personen und Personenvereinigungen) kann sich in bestimmten Konstellationen im Zusammenhang mit der Verhinderung einer Meldung oder bei einem Verstoß gegen das Vertraulichkeitsgebot der Bußgeldrahmen aufgrund des Verweises auf § 30 Absatz 2 Satz 3 des Gesetzes über Ordnungswidrigkeiten verzehnfachen und somit bis zu 500.000 Euro betragen.  Wenn fahrlässig das Vertraulichkeitsgebot missachtet wird, droht ein Bußgeld in Höhe bis zu 10.000 Euro.
  • Für Unternehmen, die ihrer Pflicht zur Einführung und zum Betrieb einer internen Meldestelle nicht nachkommen, droht eine Geldbuße in Höhe bis zu 20.000 Euro.

9. Checkliste: Was müssen Unternehmen jetzt tun?

Unternehmen mit mindestens 250 Beschäftigten müssen die obigen Vorgaben spätestens bis zum 2. Juli 2023 umgesetzt haben. Unternehmen mit 50 bis 249 Beschäftigten bis zum 17. Dezember 2023. Seit dem 1. Dezember 2023 drohen Sanktionen in Form von Bußgeldern. 
Checkliste – Folgende Punkte sollten betroffene Unternehmen jetzt klären:
  • GAP-Analyse: Existiert im Unternehmen bereits ein Hinweisgebersystem? Wenn ja, besteht Anpassungsbedarf?
  • Welche Kanäle sollen eingerichtet werden? Telefonisch, E-Mail, webbasierte Lösung, Ombudsperson? Soll eine webbasierte Lösung gewählt werden, die auch anonyme Meldungen ermöglicht (ist nicht Pflicht)? 
  • Soll der interne Meldekanal nur den eigenen Beschäftigten sowie überlassenen Leiharbeitnehmern offenstehen oder allen Personen, die im Rahmen ihrer beruflichen Tätigkeit mit dem Unternehmen in Kontakt stehen?
  • Wie sollen Mitarbeiter und ggf. sonstige hinweisgebende Personen über mögliche Meldestellen informiert werden? Unternehmenswebsite, Unternehmens-Intranet, Schwarzes Brett?
  • Wie soll die Vertraulichkeit sichergestellt werden?
  • Wer soll innerhalb des Unternehmens zuständig sein für die Entgegennahme und Bearbeitung der Hinweise? Wer erhält die eingeschränkten Zugriffsrechte? Es darf jedenfalls nicht passieren, dass bei Eingang eines Hinweises erstmal im Unternehmen an verschiedenen Stellen nachgefragt wird, wer sich weiter um die Meldung kümmert, da dies mit dem Vertraulichkeitsgebot nicht vereinbar wäre.
  • Wie soll bei Eingang einer Meldung konkret vorgegangen werden? Wer versendet fristgerecht die Eingangsbestätigung an den Hinweisgeber, wer entscheidet über Folgemaßnahmen und wer gibt dem Hinweisgeber fristgerecht eine Rückmeldung?
  • Sind die Personen im Unternehmen, die für die Entgegennahme und Bearbeitung der Hinweise zuständig sein werden, unabhängig und ausreichend qualifiziert für diese Aufgabe? Besteht bei den zuständigen Personen ausreichend juristische Expertise, um eingehende Meldungen zu bearbeiten? Benötigen diese Personen eine Schulung?
  • Soll ein externer Dienstleister mit der Entgegennahme und ggf. Bearbeitung von Meldungen beauftragt werden? Aktuell bieten sehr viele Berater und Verkäufer von Softwarelösungen ihre Dienste an.
  • Wie wird die Meldung und die Kommunikation mit dem Hinweisgeber dokumentiert?
  • Wie macht man das Hinweisgebersystem Hinweisgebern einerseits so schmackhaft, dass sie sich mit Meldungen nicht gleich an externe Behörden oder gar an die Öffentlichkeit wenden, sondern den internen Meldekanal nutzen, aber andererseits auch so, dass von missbräuchlichen Beschwerden und Denunziantentum abgeschreckt wird?
  • Wie kann der interne Meldekanal datenschutzkonform implementiert werden? Datenschutzrechtliche Fragen mit Datenschutzbeauftragtem klären und ggf. weitere Fachbereiche wie Personal, Recht und Compliance in den Prozess einbinden.
  • Welche Mitbestimmungsrechte des Betriebsrats kommen in Betracht? Der Betriebsrat sollte frühzeitig eingebunden werden. 
  • Bei Konzernstrukturen: Soll das Hinweisgebersystem bei einer anderen Konzerngesellschaft eingerichtet werden? Nach dem deutschen HinSchG wäre dies möglich. 
  • Sind die Personalverantwortlichen bzw. ist die Personalabteilung auf die verschärften Beweislastregeln vorbereitet? Sie werden künftig beweisen müssen, dass nicht der Hinweis zu der jeweiligen arbeitsrechtlichen Maßnahme geführt hat, sondern dass es dafür andere Gründe gab. Eine entsprechende Dokumentation von Gründen für arbeitsrechtliche Sanktionen ist insofern anzuraten.
Dieser Artikel soll – als Service Ihrer IHK Schleswig-Holstein– nur erste Hinweise geben und erhebt daher keinen Anspruch auf Vollständigkeit. Obwohl dieser Artikel mit größtmöglicher Sorgfalt erstellt wurde, kann eine Haftung für die inhaltliche Richtigkeit nicht übernommen werden.
Stand: Februar 2024