Hinweisgeberschutzgesetz — Hinweisgeberschutz und interne Meldestelle

Inhalt in Kürze

• Das Hinweisgeberschutzgesetz (HinSchG) ist seit Juli 2023 in Kraft und verpflichtet alle Unternehmen ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle.
• Hinweisgeberinnen und Hinweisgeber sind durch das Repressalienverbot geschützt. Bei Benachteiligungen gilt die Beweislastumkehr zulasten des Arbeitgebers.
• Die Meldestelle muss Meldungen über Meldekanäle (schriftlich, mündlich, persönlich) entgegennehmen. Auch anonyme Meldungen müssen bearbeitet werden.
• frag.hugo übernimmt die externe Meldestellenfunktion für Hamburger Unternehmen — fachkundig, vertraulich und DSGVO-konform.

Das Hinweisgeberschutzgesetz – was Hamburger Unternehmen wissen müssen

Das Hinweisgeberschutzgesetz (HinSchG) ist seit Juli 2023 in Kraft und verpflichtet Unternehmen ab 50 Beschäftigten, eine interne Meldestelle einzurichten. Hinweisgebende Personen – umgangssprachlich Whistleblower – sollen jeden Verstoß gegen Gesetze und jeden Missstand melden können, ohne beruflich benachteiligt zu werden oder Repressalien befürchten zu müssen.

Für Hamburger Unternehmen ist das Gesetz besonders relevant: Die Hansestadt ist Sitz zahlreicher mittelständischer Unternehmen in Logistik, Handel, Finanzdienstleistung und Medien, die die 50-Mitarbeiter-Schwelle überschreiten und damit unter die Pflicht fallen. Die Einrichtung eines Hinweisgebersystems ist nicht nur gesetzliche Pflicht, sondern auch ein wirksames Instrument, um beruflich motivierte Missstände frühzeitig zu erkennen.

Wer fällt unter das HinSchG?

Die 50-Mitarbeiter-Schwelle

Jedes Unternehmen mit mindestens 50 Beschäftigten muss eine interne Meldestelle einrichten. Bei der Zählung werden berücksichtigt:

• Vollzeitkräfte
• Teilzeitkräfte (anteilig nach Köpfen, nicht Stunden)
• Befristet Beschäftigte
• Auszubildende
• Leiharbeitnehmer

Nicht gezählt werden: Organmitglieder (z. B. Geschäftsführer einer GmbH), freie Mitarbeiter und ehrenamtlich Tätige.

Sachlicher Anwendungsbereich

Das HinSchG schützt Meldungen über jeden Verstoß gegen:

• EU-Recht in bestimmten Bereichen (Datenschutz, Finanzdienstleistungen, Umweltschutz, Verbraucherschutz, Produktsicherheit, Lebensmittelsicherheit)
• Bestimmte nationale Vorschriften (Strafrecht, Ordnungswidrigkeitenrecht)
• Verfassungstreue von Beamten

Gerade der Bereich Datenschutz ist relevant: Wenn ein Mitarbeiter eine DSGVO-Verletzung oder einen anderen Missstand in Ihrem Unternehmen bemerkt, kann und darf er diese über die Meldestelle melden – und ist dabei als hinweisgebende Person geschützt.

Die interne Meldestelle

Anforderungen an die Meldestelle

Die interne Meldestelle muss:

• Unabhängig arbeiten – frei von Weisungen hinsichtlich der Bearbeitung von Meldungen
• Fachkundig besetzt sein – die mit der Bearbeitung betrauten Personen müssen die nötige Sachkunde haben
• Vertraulich arbeiten – die Identität des Hinweisgebers darf nur den zuständigen Personen bekannt sein
• Erreichbar sein – über mindestens einen Meldekanal (mündlich, schriftlich oder persönlich)

Wer kann die Meldestelle betreiben?

Interne Besetzung: Ein Mitarbeiter oder eine Abteilung wird als Meldestellenbeauftragter bestellt. Geeignet sind z. B. Compliance-Beauftragte, Datenschutzbeauftragte oder speziell geschulte Vertrauenspersonen. Wichtig: Die Person darf keinen Interessenkonflikt haben und muss unabhängig arbeiten können.

Externe Besetzung: Das HinSchG erlaubt die Beauftragung eines externen Dritten. Das ist besonders für KMU in Hamburg eine praktikable Lösung: Ein spezialisierter Dienstleister betreibt die Meldestelle, nimmt Meldungen entgegen, führt die Erstbewertung durch und informiert das Unternehmen über notwendige Folgemaßnahmen – unter Wahrung der Vertraulichkeit.

Gemeinsame Meldestelle: Unternehmen mit 50–249 Beschäftigten können eine gemeinsame Meldestelle mit anderen Unternehmen betreiben. Das teilt die Kosten und ist für kleinere Hamburger Unternehmen eine interessante Option.

Meldekanäle einrichten

Das Gesetz verlangt, dass Meldungen auf folgenden Wegen abgegeben werden können:

• Schriftlich: Über ein digitales Meldesystem, E-Mail oder Briefkasten
• Mündlich: Per Telefon-Hotline oder Sprachnachricht
• Persönlich: Auf Wunsch des Hinweisgebers ein persönliches Treffen

In der Praxis hat sich ein digitales Hinweisgebersystem bewährt: Es ermöglicht sichere, verschlüsselte Meldungen, anonyme Kommunikation zwischen Hinweisgeber und Meldestelle und eine nachvollziehbare Dokumentation des Bearbeitungsstandes.

Der Meldeprozess

Eingang und Entgegennahme der Meldung

Die Meldestelle muss die Entgegennahme jeder eingehenden Meldung sicherstellen und den Eingang innerhalb von sieben Tagen bestätigen. Der Hinweisgebenden Person wird eine Eingangsbestätigung mit einer anonymisierten Referenznummer zugestellt.

Prüfung der Stichhaltigkeit

Die Meldestelle prüft jede eingehend gemeldete Angelegenheit daraufhin, ob die Meldung in den sachlichen Anwendungsbereich fällt und ob der gemeldete Sachverhalt plausibel ist. Dies ist keine vollständige Untersuchung, sondern eine Erstbewertung.

Folgemaßnahmen

Je nach Ergebnis der Prüfung leitet die Meldestelle geeignete Folgemaßnahmen ein:

• Interne Untersuchung
• Weiterleitung an zuständige Abteilungen (Compliance, Recht, Geschäftsführung)
• Einleitung von Disziplinarmaßnahmen
• Meldung an zuständige Behörden (bei schwerwiegenden Verstößen)
• Einstellung des Verfahrens (bei offensichtlich unbegründeten Meldungen)

Rückmeldung an den Hinweisgeber

Innerhalb von drei Monaten nach Eingangsbestätigung muss die Meldestelle der hinweisgebenden Person die ergriffenen oder geplanten Folgemaßnahmen bestätigen. Die Abgabe einer Rückmeldung ist auch bei anonymen Meldungen erforderlich, sofern ein Kommunikationskanal besteht (z. B. über das digitale Hinweisgebersystem).

Schutz für Hinweisgeber

Das Kernstück des HinSchG ist der Schutz vor Repressalien. Hinweisgeber dürfen wegen ihrer Meldung nicht benachteiligt werden – weder direkt noch indirekt. Verboten sind insbesondere:

• Kündigung oder Nichtverlängerung des Vertrags
• Versagung einer Beförderung
• Gehaltskürzung oder Versetzung
• Einschüchterung, Mobbing oder Ausgrenzung
• Negative Leistungsbeurteilung als Reaktion auf die Meldung

Beweislastumkehr: Wenn ein Hinweisgeber eine Benachteiligung geltend macht, liegt die Beweislast beim Arbeitgeber. Das Unternehmen muss nachweisen, dass die Maßnahme nicht mit der Meldung zusammenhängt.

Anonyme Meldungen — digital und verschlüsselt

Das HinSchG verpflichtet Unternehmen zwar nicht, anonyme Meldekanäle einzurichten, verlangt aber, dass anonyme Meldungen bearbeitet werden, wenn sie eingehen. In der Praxis ist die Ermöglichung anonymer Meldungen dringend zu empfehlen:

• Anonymität senkt die Hemmschwelle für Meldungen erheblich
• Schwerwiegende Verstöße werden häufiger gemeldet
• Das Vertrauen der Belegschaft in die Meldestelle steigt
• Digitale Hinweisgebersysteme ermöglichen anonyme Dialoge zwischen Hinweisgeber und Meldestelle

Implementierung in fünf Schritten

Schritt 1: Bestandsaufnahme

Prüfen Sie, ob Ihr Unternehmen unter das HinSchG fällt (50+ Beschäftigte). Gibt es bereits informelle Meldekanäle? Bestehen Compliance-Strukturen, an die angeknüpft werden kann?

Schritt 2: Meldestellenmodell wählen

Intern, extern oder gemeinsam? Für viele Hamburger KMU ist die externe Lösung die effizienteste. Prüfen Sie die Optionen und wählen Sie das Modell, das zu Ihrer Unternehmensstruktur passt.

Schritt 3: Meldekanal einrichten

Wählen Sie ein digitales Hinweisgebersystem, das verschlüsselte Kommunikation, anonyme Meldungen und eine revisionssichere Dokumentation ermöglicht.

Schritt 4: Verfahrensordnung erstellen

Dokumentieren Sie den gesamten Meldeprozess: Zuständigkeiten, Fristen, Eskalationswege, Datenschutzregelungen und Archivierungsfristen. Diese Verfahrensordnung ist Ihre Grundlage bei einer Überprüfung.

Schritt 5: Mitarbeitende informieren

Informieren Sie alle Beschäftigten über die Meldestelle, die Meldekanäle und den Schutz für Hinweisgeber. Das kann über eine Mitarbeitermitteilung, das Intranet oder eine Informationsveranstaltung geschehen.

Hinweisgeberschutz und Datenschutz: Die Verbindung

Das HinSchG und die DSGVO stehen in einem engen Zusammenhang. Meldungen über Verstöße gegen den Datenschutz gehören zu den häufigsten Meldungen im Hinweisgebersystem. Gleichzeitig muss die Meldestelle selbst die DSGVO einhalten:

• Vertraulichkeit der Identität des Hinweisgebers ist gesetzlich geschützt — die Meldestelle darf die Identität nur den befugten Personen offenlegen
• Datensparsamkeit: Meldungen dürfen nur so lange gespeichert werden, wie es für die Bearbeitung erforderlich ist (3 Jahre nach Abschluss des Verfahrens, sofern keine andere Rechtsgrundlage vorliegt)
• Informationspflichten: Die Meldestelle muss Beschäftigte über die Verarbeitung ihrer Daten im Meldeprozess informieren

Als externer Datenschutzbeauftragter und Meldestellenbeauftragter kennt Nils beide Seiten — Datenschutz und Hinweisgeberschutz aus einer Hand.

Bußgelder und Konsequenzen bei Verstößen

Das HinSchG sieht folgende Bußgelder vor:

• Bis 20.000 €: Keine oder keine funktionierende interne Meldestelle eingerichtet
• Bis 50.000 €: Behinderung einer Meldung oder Nichtbearbeitung einer Meldung
• Bis 100.000 €: Repressalien gegen Hinweisgeber
• Bis 50.000 €: Verstoß gegen die Vertraulichkeitspflicht

Die externen Meldestellen (Bundesamt für Justiz, in Hamburg auch die Freie und Hansestadt Hamburg) existieren parallel. Wenn Beschäftigte keinen internen Kanal vorfinden, melden sie direkt extern — mit potenziell größerem Schaden für das Unternehmen.

Beruflich motivierte Verstöße erkennen und handeln

Viele Verstöße werden von Personen gemeldet, die den Missstand in ihrem beruflich relevanten Umfeld beobachtet haben. Das HinSchG stellt sicher, dass hinweisgebende Personen für die Abgabe ihrer Meldung keine beruflichen Nachteile erleiden. Die Meldestelle des Hinweisgebersystems nimmt alle Meldungen vertraulich entgegen und bearbeitet sie fristgerecht.

Hinweisgeberschutz in der Hansestadt Hamburg: Schutz von Personen sicherstellen

In der Hansestadt Hamburg sind zahlreiche Unternehmen vom Hinweisgeberschutzgesetz betroffen. Seit Juli 2023 ist das Hinweisgeberschutzgesetz in Kraft und verpflichtet Unternehmen ab 50 Beschäftigten, eine interne Meldestelle einzurichten. Der Hinweisgeberschutz gewährleistet den Schutz von Personen, die Verstöße und Missstände melden — Arbeitnehmer und Beschäftigte sind vor beruflichen Nachteilen geschützt. Die EU-Richtlinie 2019/1937 bildet die Grundlage des HinSchG und stellt sicher, dass Informationen über Verstöße vertraulich behandelt werden. Der Anwendungsbereich umfasst Meldungen zu Datenschutz, Geldwäsche, Verbraucherschutz und weiteren Bereichen des Bundes und der Länder sowie des EU-Rechts. Ein professionelles Hinweisgebersystem mit anonymen Meldekanälen senkt die Hemmschwelle für hinweisgebende Personen und ermöglicht die fristgerechte Bearbeitung eingehender Hinweise. Der Schutz für Hinweisgeber und die Vertraulichkeit der Meldungen sind das Kernstück des Gesetzes.

Nächste Schritte

Die Einrichtung einer internen Meldestelle ist Pflicht – und eine Chance. Unternehmen, die Hinweise ernst nehmen, erfahren frühzeitig von Problemen und können reagieren, bevor Schäden entstehen.

Hugo DSB unterstützt Hamburger Unternehmen bei der Umsetzung des Hinweisgeberschutzgesetzes – von der Auswahl des richtigen Meldestellenmodells bis zur datenschutzkonformen Gestaltung des Meldeprozesses.

Buchen Sie ein kostenloses Erstgespräch und setzen Sie das Hinweisgeberschutzgesetz in Ihrem Unternehmen rechtssicher um.