Was ist das Hinweisgeberschutzgesetz (HinSchG)?
Das Hinweisgeberschutzgesetz (HinSchG) ist die deutsche Umsetzung der EU-Whistleblowing-Richtlinie, die im Dezember 2021 vom Europäischen Parlament verabschiedet wurde. Diese legt EU-weit einen standardisierten Schutz für Hinweisgeber fest.
Das Hinweisgeberschutzgesetz verbietet jegliche Repressalien und Vergeltungsmaßnahmen gegenüber Hinweisgebenden.
Das Gesetz regelt den Schutz natürlicher Personen, die im Rahmen ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die internen oder externen Meldestellen weitergeben (= hinweisgebende Personen). Auch Personen, die Hinweisgeber unterstützen oder von der Meldung betroffen sind, fallen unter den Schutz des Gesetzes.
Das Hinweisgeberschutzgesetz auf einen Blick
- Unternehmen und öffentliche Einrichtungen ab 50 Mitarbeitenden sowie Gemeinden ab 10.000 Einwohnerinnen und Einwohnern müssen einen sicheren, internen Hinweisgeberkanal einführen.
- Das HinSchG gilt für Verstöße gegen EU-Recht und nationales Recht.
- Organisationen müssen die Identität der Betroffenen schützen und DSGVO-Vorgaben einhalten.
- Die Meldung muss mündlich oder schriftlich und auf Wunsch auch persönlich möglich sein.
- Die Meldestelle muss Hinweisgebenden den Eingang der Meldung innerhalb von sieben Tagen bestätigen.
- Die Meldestelle muss die hinweisgebende Person innerhalb von drei Monaten über ergriffene Folgemaßnahmen informieren.
- Unternehmen müssen Informationen über zuständige Aufsichtsbehörde(n) bereithalten.
Checkliste zum HinSchG
Die wichtigsten Schritte zur Erfüllung des neuen Gesetzes.
Das Hinweisgeberschutzgesetz im Detail: Die wichtigsten Fragen und Antworten
Viele Unternehmen und Kommunen fragen sich jetzt, ob sie vom Hinweisgeberschutzgesetz betroffen sind und was sie tun müssen, um es Compliance-konform umzusetzen. Wir beantworten die wichtigsten Fragen und Antworten.
Wer ist vom Hinweisgeberschutzgesetz betroffen?
Unternehmen mit über 250 Mitarbeitenden müssen bereits seit dem 2. Juli 2023 sichere Meldekanäle eingeführt haben. Die Bußgelder für das Fehlen eines internen Meldesystems können seit 2. Dezember 2023 fällig werden. Seit dem 17. Dezember 2023 fallen auch Unternehmen mit 50-249 Mitarbeitenden unter das Gesetz.
Für spezielle Bereiche, etwa die Finanzbranche, gilt die Pflicht zur Einrichtung einer internen Meldestelle unabhängig von der Zahl der Beschäftigten (§12 Absatz 3 HinSchG)
Gilt das Hinweisgeberschutzgesetz auch für Kommunen?
Ja, auch der öffentliche Sektor sowie Städte und Kommunen mit mehr als 10.000 Einwohnerinnen und Einwohnern fallen unter das Gesetz.
Wer kann hinweisgebende Person sein?
Arbeitnehmende, Beamte, Selbstständige, Gesellschafter, Praktikanten, Freiwillige, Mitarbeitende von Lieferanten sowie Personen, deren Arbeitsverhältnis bereits beendet ist oder noch nicht begonnen hat und sich in einem vorvertraglichen Stadium befindet.
Für welchen Anwendungsbereich bzw. welche Verstöße gilt das Hinweisgeberschutzgesetz?
Das deutsche Hinweisgeberschutzgesetz gilt für Hinweise auf Verstöße gegen europäisches UND nationales Recht. Es geht also über die Mindestanforderungen der EU-Whistleblower-Richtlinie hinaus und weitet den sachlichen Anwendungsbereich auf Verstöße gegen das nationale Recht aus. Damit will der deutsche Gesetzgeber Unsicherheit bei Whistleblowern vermeiden. Diese könnten sonst aus Angst, dass ihre Meldung doch nicht durch das Gesetz abgedeckt ist, von einer Meldung Abstand nehmen.
Voraussetzung: Es muss sich um Straftaten handeln oder um Ordnungswidrigkeiten, die Gesundheit/Leben gefährden oder die Rechte von Beschäftigten und deren Vertretern betreffen. Außerdem werden in §2 HinSchG Verstöße gegen weitere relevante Rechtsvorschriften benannt, zum Beispiel zur Bekämpfung von Geldwäsche, zur Produktsicherheit oder Vorgaben zum Umweltschutz.
Der Anwendungsbereich bleibt auf den beruflichen Kontext beschränkt. Hinweise über Verstöße fallen nur unter den Anwendungsbereich des Gesetzes, wenn sie sich auf den Arbeitgeber oder andere Stellen beziehen, mit dem der Hinweisgebende beruflich in Kontakt stand.
Was müssen Arbeitgeber zum Schutz von Hinweisgebern tun?
- §36 Hinweisgeberschutzgesetz regelt explizit: „Gegen hinweisgebende Personen gerichtete Repressalien sind verboten. Das gilt auch für die Androhung und den Versuch, Repressalien auszuüben.“
- Höchste Priorität hat die Vertraulichkeit (§8 Hinweisgeberschutzgesetz). Die Identität der hinweisgebenden Person sowie der Personen, die von der Meldung betroffen sind, genießen einen besonderen Schutz. Allein die Meldestellenbeauftragten, die für die Entgegennahme von Meldungen oder für das Ergreifen von Folgemaßnahmen zuständig sind, dürfen die Identität erfahren.
- Informationen über die Identität des Hinweisgebers dürfen an Gerichte und Strafverfolgungs- sowie Verwaltungsbehörden weitergegeben werden. Jedoch müssen die Betroffenen vorab schriftlich darüber informiert werden und die Gründe mitgeteilt werden.
Was bedeutet die Beweislastumkehr zu Gunsten des Hinweisgebers?
Wenn ein Whistleblower der Ansicht ist, dass er wegen seiner Meldung eine Benachteiligung erfahren hat, ist der Arbeitgeber in der Pflicht, dies zu widerlegen (§36 Absatz 2 Hinweisgeberschutzgesetz). Der Arbeitgeber muss somit zum Beispiel nachweisen, dass zwischen einer Kündigung einer Mitarbeiterin oder eines Mitarbeiters und der Meldung von Missständen keinerlei Verbindung besteht. Allerdings muss die betroffene Person substantiiert geltend machen, dass die Benachteiligung eine Repressalie ist.
Welche Meldestellen schreibt das Hinweisgeberschutzgesetz vor?
- Betroffene Arbeitgeber müssen einen sicheren, internen Meldekanal in ihrer Organisation einrichten, z.B. ein elektronisches Hinweisgebersystem, Mitarbeiterinnen und Mitarbeiter aus der Compliance-Abteilung oder eine Ombudsperson.
- Außerdem gibt es eine externe Meldestelle beim Bundesamt für Justiz (BfJ). Sie ist für Bund und Länder zuständig und nimmt Hinweise aus der Privatwirtschaft und dem Public Sektor an. In speziellen Zuständigkeitsbereichen fungieren die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) und das Bundeskartellamt (BKartA) als externe Meldestelle mit Sonderzuständigkeiten. Darüber hinaus können die Bundesländer eigene Meldestellen einrichten für Meldungen, die die jeweilige Landesverwaltung und Kommunalverwaltung betreffen (§20 HinSchG).
Welche Anforderungen müssen die Meldestellen erfüllen?
- Die internen und externen Meldekanäle müssen so ausgestaltet sein, dass Hinweise entweder mündlich oder schriftlich abgegeben werden können. Auf Wunsch muss die Meldungsabgabe auch persönlich möglich sein (§16 HinSchG).
- Nur Personen, die für die Entgegennahme und Bearbeitung der Meldungen zuständig sind oder dabei unterstützen, dürfen Zugriff auf die eingehenden Meldungen haben.
- Die Anforderungen der europäischen Datenschutzgrundverordnung (DSGVO) müssen eingehalten und umgesetzt werden.
Dürfen Unternehmen und Kommunen interne Meldestellen teilen oder outsourcen?
Für Organisationen zwischen 50 und 249 Mitarbeitenden sieht der Gesetzgeber vor, dass sich diese Hinweisgebersysteme teilen dürfen. Ebenso dürfen Gesellschaften/Konzerne, unabhängig von ihrer Größe, gemeinsame Meldekanäle nutzen. Hier kann die Mutter die Rolle der meldestellenbetreuenden Dritten übernehmen. Darüber hinaus ist es möglich, die Meldestelle an eine Einrichtung außerhalb der Firma, zum Beispiel eine Ombudsperson, auszulagern.
Kann der Hinweisgeber frei wählen, ob er sich an die interne oder externe Meldestelle wendet?
- Hinweisgeber haben zwar die freie Wahl, ob sie ihre Meldungen über die interne oder die externe Meldestelle abgeben möchten. Jedoch sieht das Gesetz vor, dass Meldestellen innerhalb von Organisationen vorrangig genutzt werden sollen.
- Unternehmen sollen Anreize zugunsten von internen Meldestellen schaffen, ohne jedoch die Abgabe von externen Meldungen zu behindern. Hierfür sollen sie klar verständliche und leicht zugängliche Informationen zur Abgabe interner Meldungen bereitstellen.
- Die externen Meldestellen sollen Hinweisgeber auch über die Möglichkeit einer Meldung innerhalb des Unternehmens informieren.
Darf ein Hinweisgeber auch an die Öffentlichkeit gehen?
Sollten die Hinweise eines Whistleblowers an die Meldestelle ohne Rückmeldung bleiben oder besteht ein hinreichender Grund für eine „Gefährdung des öffentlichen Interesses“, fallen Betroffene beim Gang an die Öffentlichkeit (über Presse, Medien und Social Media) ebenfalls unter den Schutz des Hinweisgebergesetzes.
„Rund 90 % aller Hinweisgeber versuchen zunächst intern, die beobachteten Missstände anzusprechen, bevor sie sich an Behörden, Medien oder die Öffentlichkeit wenden – vorausgesetzt, sie finden im Unternehmen geeignete Kanäle und eine offene Kultur vor. „
– FISCHER, EVA (2019): EU-KOMMISSION UND EUROPAPARLAMENT STREITEN ÜBER SCHUTZ VON WHISTLEBLOWERN
Müssen laut Hinweisgeberschutzgesetz anonyme Hinweise bearbeitet werden?
Das Gesetz verpflichtet zwar nicht dazu, aber empfiehlt den internen und externen Meldestellen, dass sie auch anonyme Hinweise bearbeiten sollen (§ 16).
Der Whistleblowing-Report 2021 zeigt, dass 73,2% der Hinweisgeber sich dafür entscheiden, anonym zu bleiben, wenn diese Option verfügbar ist.
Viele Organisationen haben die Vorteile anonymer Meldewege längst erkannt und nutzen diese, um die Zahl der wertvollen Meldungen durch Hinweisgeber zu erhöhen.
Welche Bearbeitungsfristen schreibt das Hinweisgeberschutzgesetz vor?
Das Gesetz sieht zwei Fristen zur Rückmeldung vor, die zwingend eingehalten und dokumentiert werden müssen:
- Eingangbestätigung: Die Meldestellen müssen innerhalb von sieben Tagen den Eingang der Meldung bestätigen.
- Folgemaßnahmen: Innerhalb von drei Monaten nach Eingang der Meldung muss die Meldestelle die Person über ergriffene Folgemaßnahmen informieren (z.B. die Einleitung interner Untersuchungen oder die Weitergabe der Meldung an die zuständige Behörde).
Expertenwissen in 7 Minuten: Aktueller Stand und To-Dos
Wie sollte ein Verfahren bei internen Meldungen laut §17 Hinweisgeberschutzgesetz ablaufen?
- Die Meldestelle muss alle eingehenden Meldungen in dauerhaft abrufbarere Weise vertraulich dokumentieren (§11 HinSchG).
- Sie muss dem Whistleblower innerhalb von sieben Tagen bestätigen, dass sie seinen Hinweis erhalten hat.
- Die Meldestelle hält Kontakt zum Hinweisgeber und bittet ihn gegebenenfalls um weitere Informationen.
- Sie prüft, ob der der gemeldete Verstoß in den Anwendungsbereich des Hinweisgeberschutzgesetzes fällt und ob die Meldung stichhaltig ist.
- Nach der Prüfung ergreift die Organisation angemessene Folgemaßnahmen nach §18 Hinweisgeberschutzgesetz und stößt gegebenenfalls interne Untersuchungen an.
- Die Meldestelle gibt dem Hinweisgeber innerhalb von drei Monaten Rückmeldung über die ergriffenen oder geplanten Folgemaßnahmen.
Welche Sanktionen und Schadensersatzansprüche drohen?
- Im Falle der Nichteinhaltung der gesetzlichen Anforderungen sieht das Gesetz Sanktionen gegen natürliche und juristische Personen vor (§ 40).
- Verstöße sollen als Ordnungswidrigkeiten nach § 30 OWiG mit einer Geldbuße geahndet werden. Darunter fallen z.B. das Behindern von Meldungen oder das Ergreifen von Repressalien, aber auch das wissentliche Offenlegen unrichtiger Informationen. Es drohen dann Bußgelder bis zu 50.000 €.
- Es besteht Schadensersatzanspruch für Vermögensschäden der hinweisgebenden Person. Ein immaterieller Schadensersatz ist jedoch nicht vorgesehen.
- Personen, die falsche Informationen weitergeben – vorsätzlich oder grob fahrlässig – müssen für den entstandenen Schaden aufkommen.
Best Practices zur Umsetzung des Hinweisgeberschutzgesetzes
1: Wählen Sie die passenden internen Meldekanäle aus
Das Hinweisgeberschutzgesetz macht keine Vorgaben über die konkrete Art des Meldesystems. Möglichkeiten sind zum Beispiel ein Briefkasten, ein spezielles E-Mail-Konto, eine Telefonnummer, eine Ombudsperson oder ein digitales Hinweisgebersystem. Die meisten Organisationen entscheiden sich für die Einführung einer digitalen Plattform, da sich damit die gesetzlichen Anforderungen am besten und effizientesten umsetzen lassen. Laut einer aktuellen Umfrage, setzen bereits 73 % der befragten europäischen Unternehmen im privaten Sektor auf ein digitales Hinweisgebersystem.
2: Führen Sie ein digitales Hinweisgebersystem ein
Der professionelle Einsatz von digitalen Hinweisgebersystemen kann präventiv viele Verbrechen und Skandale verhindern oder aufklären. Auch für mittelständische und kleine Firmen gibt es bereits kostengünstige Lösungen. Oftmals wird ein digitales System auch mit einer Ombudsperson von einer externen Kanzlei kombiniert.
Wenn Sie bereits ein Hinweisgebersystem innerhalb eines Compliance-Management-Systems etabliert haben, sollten Sie dieses auf die Vorgaben des Hinweisgeberschutzgesetzes anpassen, damit es allen Dokumentations- und Informationspflichten entspricht.
3: Definieren Sie Prozesse für das Meldeverfahren
Legen Sie bereits im Vorfeld fest, welche Person oder welches Team die eingehenden Hinweise bearbeiten soll und was mit diesen passiert. Welche Maßnahmen erfolgen? Am besten dokumentieren Sie die Prozesse in einer Whistleblowing Policy, die Sie in Ihrer Organisation veröffentlichen.
4: Kommunikation ist das A und O
Informieren Sie die Belegschaft auf allen relevanten Kanälen über das neue Hinweisgebersystem. Berichten Sie zum Beispiel in der Mitarbeiterzeitschrift, im Intranet oder Newslettern darüber und begleiten Sie die Einführung mit Flyern, Social-Media-Kampagnen oder Videos. Je besser Sie kommunizieren und je leichter die Hinweisgeberkanäle zugänglich sind, desto erfolgreicher werden diese auch genutzt.
5: Etablieren Sie eine Speak–up-Kultur
Ermutigen Sie Mitarbeitende dazu, Compliance-Verstöße zu melden, und stellen Sie klar, dass Whistleblowing kein „Verpetzen“, sondern im Interesse der Organisation ist. Die Praxis zeigt außerdem, dass ein Hinweisgebersystem insbesondere dann erfolgreich ist, wenn es in eine offene und transparente Speak–up-Kultur eingebettet ist.
Warum ist Hinweisgeberschutz so wichtig für Unternehmen?
Auf den ersten Blick mag die Umsetzung des Hinweisgeberschutzgesetzes zunächst einmal lästig wirken. Tatsächlich bringt es aber viele Vorteile für Unternehmen. Denn indem sie sicheres Whistleblowing ermöglichen und Hinweisgeber schützen, können sie Compliance-Verstöße und Missstände frühzeitig aufdecken und gegensteuern, bevor großer Schaden entsteht.
Die Kassiererin im Supermarkt, die merkt, dass der Filialleiter verdorbene Lebensmittel umetikettiert; der Buchhalter, der entdeckt, dass der CEO seine privaten Reisen über das Firmenkonto finanziert – beide stellen sich vermutlich die gleiche Frage: Sollen sie den Missstand melden? In der Vergangenheit hatten es Hinweisgeber nicht leicht und mussten Repressalien befürchten. Außerdem wurden sie häufig als „Denunzianten“ stigmatisiert.
Genau hier setzt das neue Gesetz an: Es soll Whistleblower zukünftig vor Repressalien wie Kündigung, Abmahnung, Versagung einer Beförderung, geänderte Aufgabenübertragung, Rufschädigung, Disziplinarmaßnahmen, Diskriminierung oder Mobbing schützen.
Ein weiter Weg: das Gesetzgebungsverfahren zum Hinweisgeberschutzgesetz
Das Hinweisgeberschutzgesetz war also längst überfällig. Doch der Weg dorthin war weit. Immer wieder scheiterten Entwürfe und es kam zu Rückschlägen. Das Gesetzgebungsverfahren liest sich wie ein Krimi. Die wichtigsten Meilensteine im Überblick:
-
Dezember 2019: Die EU-Whistleblowing-Richtlinie tritt in Kraft
Bis Dezember 2021 haben die Mitgliedsstaaten Zeit, sie in nationales Recht zu überführen. -
Ende 2020: Erster Entwurf zum Hinweisgeberschutzgesetz gescheitert
Die Große Koalition kann sich lange Zeit nicht auf einen nationalen Entwurf einigen. Der erste Gesetzentwurf der damaligen Justizministerin Christine Lambrecht wird Ende 2020 von CDU/CSU gekippt. Begründung: Den deutschen Unternehmen sollten keine weiteren Mehrbelastungen während der Corona-Pandemie zugemutet werden. -
November 2021: Die Ampelregierung positioniert sich Pro-Whistleblower-Schutz
Ein Jahr später, im November 2021, verständigt sich die nun regierende Ampel-Koalition darauf, die EU-Whistleblower-Richtlinie „rechtssicher und praktikabel“ umzusetzen. Sie positioniert sich klar pro Whistleblower-Schutz. Dennoch verstreicht die Frist im Dezember 2021 ohne deutsche Umsetzung der Richtlinie. Ein Grund hierfür war sicherlich auch der Ukraine-Krieg, der drei Monate später ausbrechen sollte. -
Februar 2022: EU klagt gegen Deutschland
Die Folge der verstrichenen Frist ist ein Vertragsverletzungsverfahren, das die EU-Kommission im Februar 2022 unter anderem gegen Deutschland und Österreich einleitet. -
April 2022: Bundesjustizministerium veröffentlicht neuen Gesetzesentwurf
Die Klage der EU zeigt Wirkung: Kurz darauf lässt Justizminister Dr. Marco Buschmann einen zweiten Gesetzentwurf ausarbeiten, der sich inhaltlich stark am ersten Entwurf orientierte. -
Dezember 2022: Bundestag verabschiedet den Entwurf
Die Bundesregierung beschließt diesen Entwurf, und das deutsche Gesetzgebungsverfahren nimmt seinen weiteren Lauf. Im Dezember 2022 verabschiedet der Bundestag den Entwurf in zweiter und dritter Lesung. Alle Zeichen stehen auf baldigen Hinweisgeberschutz in Deutschland. -
Februar 2023: Hinweisgeberschutzgesetz im Bundesrat gescheitert
Doch dann der erneute Rückschlag: Der Bundesrat lehnt den Entwurf ab. Einige der CDU und CSU geführten Bundesländer verweigern ihre Zustimmung im Bundesrat aufgrund diverser Vorbehalte. Dadurch fehlt die benötigte Mehrheit für das zustimmungspflichtige Gesetz. Die Begründungen hierfür fielen unterschiedlich aus: Ein Unionsvertreter argumentierte mit der zu großen Belastung für die kleinen und mittleren Unternehmen und forderte mehr Augenmaß. Ein weiterer Kritikpunkt zielte auf den Anwendungsbereich ab, der über die Vorgaben der EU hinausging. Ein weiteres Regierungsmitglied warnte vor einer möglichen Missbrauchsgefahr des Gesetzes. -
März 2023: Neuer Entwurf zum Hinweisgeberschutzgesetz
Die Ampel-Koalition antwortet darauf mit einem juristischen Kniff: Sie spaltet den Entwurf in zwei Teile und bringt diese separat in den Bundestag ein. Einer der Entwürfe ist nach Auffassung der Koalitions-Fraktion nicht zustimmungspflichtig, denn Beamte und Gemeinden der Länder sind aus dem Anwendungsbereich ausgenommen. Ein Ergänzungsgesetz enthält separate Regelungen für Länder- und Kommunalbeamte. Einige Sachverständige sehen hier jedoch die Gefahr eines Verfassungskonflikts. -
April 2023: Die Bundesregierung ruft den Vermittlungsausschuss an
Ein Vermittlungsausschuss zum Hinweisgeberschutzgesetz kann sich schließlich auf einen zustimmungsfähigen Kompromiss einigen. - Mai 2023: Bundestag und Bundesrat verabschieden das Hinweisgeberschutzgesetz
- 2. Juli 2023: Das Hinweisgeberschutzgesetz tritt in Kraft
Hinweisgeberschutzgesetz-Kritik: die größten Streitpunkte
Beim ersten Entwurf des Hinweisgeberschutzgesetzes missfiel der Union der Vorstoß der SPD, das Gesetz über die Vorgaben der EU hinaus auf das deutsche Recht auszuweiten. Sie warf dem ehemaligen Koalitionspartner SPD vor, der deutschen Wirtschaft eine Mehrbelastung während der Pandemie zuzumuten. Die Union forderte daher, das deutsche Hinweisgeberschutzgesetz auf die Vorgaben der EU-Whistleblowing-Richtlinie zu beschränken.
Auch seitens von NGOs gab es Kritik. Transparency International Deutschland e.V. sah an einigen Stellen großen Verbesserungsbedarf, vor allem beim Umgang mit Meldungen ohne Klarnamen. Die Meldestellen werden nach HinSchG nicht zur Bearbeitung von anonymen Hinweisen verpflichtet, dies wird jedoch im Gesetz empfohlen.
Annegret Falter, Vorsitzende des Whistleblower-Netzwerks begrüßte den vorigen Entwurf zwar als großen Fortschritt, sah aber einige Schutzlücken für Hinweisgebende, vor allem im Bereich von Verschlusssachen. Laut Entwurf schützt das Gesetz dann nur die Meldungen, „wenn sie sich auf die unterste Geheimhaltungsstufe beziehen, Straftaten betreffen und absolut behördenintern bleiben“.
