Definition
Deutsches Gesetz zum Schutz von Whistleblowern (Umsetzung der EU-Whistleblower-Richtlinie 2019/1937). Verpflichtet Unternehmen ab 50 Mitarbeitern zu einem internen Meldekanal für Hinweise auf Rechtsverstöße. Schutz vor Repressalien (Kündigung, Versetzung, Diskreditierung), Beweislastumkehr und Bußgelder bis 50.000 €. Praktisch relevant für die ISO-27001-Klausel 7.4 (Kommunikation) und ISO-37001 (Antibestechung). In Kraft seit Juli 2023.
In der Praxis
Das Hinweisgeberschutzgesetz wird in vielen Häusern auf den Meldekanal reduziert: ein Tool gekauft, Link ins Intranet, Häkchen dran. Damit ist die halbe Pflicht verfehlt. Erstes Fehlerbild: der Kanal ohne Prozess. Das Gesetz verlangt fristgebundene Bearbeitung — Eingangsbestätigung innerhalb von sieben Tagen, Rückmeldung an die hinweisgebende Person innerhalb von drei Monaten; wer nur einen Briefkasten betreibt, ohne Verantwortliche, Verfahrensanweisung und Fristenüberwachung, ist nicht compliant. Zweites Fehlerbild: Vertraulichkeit auf dem Papier. Die Identität der meldenden Person ist zu schützen — das scheitert in der Praxis an zu großen Verteilerkreisen und neugierigen Führungskräften. Drittes Fehlerbild: der Schutz vor Repressalien wird unterschätzt. Das Gesetz dreht die Beweislast um: Kündigen Sie eine Person nach einer Meldung, müssen Sie beweisen, dass die Kündigung nichts mit der Meldung zu tun hatte — das ist personalrechtlich scharf. Und nutzen Sie die Synergien: Wer ein Compliance-Managementsystem nach ISO 37301 oder ein Antikorruptions-System nach ISO 37001 führt, hat die Strukturen für den Meldeprozess schon — das Gesetz ist ein Baustein des Compliance-Systems, kein Fremdkörper.
Verwandte Begriffe
Häufige Fragen zu HinSchG
Was unterscheidet die interne von der externen Meldestelle — und was müssen wir als Unternehmen bereitstellen?
Die interne Meldestelle ist die Einrichtung im Unternehmen selbst: eine Stelle, an die Beschäftigte Hinweise auf Rechtsverstöße geben können — persönlich, schriftlich oder über ein elektronisches System. Die externe Meldestelle ist die behördliche Anlaufstelle, beim Bund etwa das Bundesamt für Justiz; sie steht Hinweisgebern zusätzlich offen, ohne dass sie vorher intern melden müssen. Ihre Pflicht als Arbeitgeber betrifft die interne Stelle: Sie müssen sie einrichten und betreiben, mit geschulten Verantwortlichen, Vertraulichkeit und definierten Bearbeitungsfristen. Hinweisgeber haben die Wahl — wer zuerst extern meldet, ist genauso geschützt. Für die Praxis heißt das: Ein gut funktionierender interner Kanal ist auch in Ihrem Interesse, denn er gibt Ihnen die Chance, Verstöße abzustellen, bevor sie behördlich oder öffentlich werden (HinSchG, § 12).
Ab welcher Unternehmensgröße gilt das HinSchG, und was droht bei Verstoß?
Die Pflicht zur Einrichtung einer internen Meldestelle gilt für private Arbeitgeber mit in der Regel mindestens 50 Beschäftigten; für die Gruppe mit 50 bis 249 Beschäftigten galt eine Übergangsfrist bis zum 17. Dezember 2023 — seitdem sind alle erfasst. Kleinere Unternehmen sind nicht verpflichtet, dürfen aber freiwillig eine Stelle einrichten; bestimmte Branchen wie der Finanzsektor sind unabhängig von der Größe erfasst. Verstöße sind bußgeldbewehrt: Wer keine Meldestelle betreibt, Meldungen behindert oder Repressalien ausübt, riskiert empfindliche Geldbußen — je nach Verstoß bis zu fünfstelligen Beträgen und darüber. Hinzu kommt der zivilrechtliche Hebel: Bei Repressalien wie einer Kündigung nach einer Meldung greift die Beweislastumkehr zugunsten der hinweisgebenden Person. Prüfen Sie also nicht nur den Kanal, sondern Ihre arbeitsrechtlichen Prozesse im Umgang mit Meldungen (HinSchG, § 12).
Wie richten wir den Meldekanal und den Bearbeitungsprozess rechtssicher ein?
Beginnen Sie mit der Verfahrensanweisung: Wer nimmt Meldungen entgegen, wer entscheidet über Folgemaßnahmen, wer überwacht die Fristen — sieben Tage für die Eingangsbestätigung, drei Monate für die Rückmeldung an die meldende Person. Wählen Sie den Kanal passend zur Unternehmensgröße: Ein elektronisches System mit anonymer Zwei-Wege-Kommunikation ist der Standard, bei kleinen Einheiten kann eine benannte Vertrauensperson genügen — Hauptsache vertraulich und dokumentiert. Sichern Sie die Vertraulichkeit technisch und organisatorisch ab: Zugriff nur für die Bearbeitenden, keine Weitergabe der Identität ohne Zustimmung; das Gesetz regelt diesen Schutz ausdrücklich. Schulen Sie die Bearbeitenden und informieren Sie die Belegschaft aktiv — ein unbekannter Kanal ist ein toter Kanal. Und betten Sie den Prozess in Ihr Managementsystem ein: Dokumentenlenkung, interne Audits und Managementbewertung gelten auch hier; die Strukturen von ISO 37301 oder ISO 37001 passen dafür direkt (HinSchG, §§ 16 und 17 sowie § 8).