Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Anti-Fraud & Compliance · Vorstand ACFE Swiss Chapter
Seit dem 2. Juli 2023 gilt in Deutschland das Hinweisgeberschutzgesetz (HinSchG). Es setzt die Richtlinie (EU) 2019/1937 um. Die Pflicht zum Hinweisgebersystem trifft seitdem jedes Unternehmen mit in der Regel mindestens 50 Beschäftigten. Bestimmte Unternehmen der Finanzbranche sind unabhängig von ihrer Größe verpflichtet. Das Gesetz nennt dieses System interne Meldestelle. Dieser Beitrag zeigt, wer betroffen ist, seit wann die Pflicht gilt und welche Bußgelder drohen.
Wenn Sie schnell einen rechtskonformen Kanal brauchen: Das Hinweisgebersystem von Trusty ist in wenigen Minuten eingerichtet, ab 49 EUR pro Monat. Welche Anforderungen das HinSchG im Einzelnen an den Kanal stellt, lesen Sie in unserem Überblick Anforderungen an den Whistleblowing-Kanal.
Was ist ein internes Hinweisgebersystem?
Ein internes Hinweisgebersystem ist der Meldeweg, über den Beschäftigte Hinweise auf Verstöße vertraulich an eine zuständige Stelle im Unternehmen richten. Das HinSchG nennt diese Stelle interne Meldestelle (§ 12 HinSchG). Sie betreibt die Meldekanäle, führt das Verfahren und ergreift Folgemaßnahmen (§ 13 HinSchG).
Hinweisgebende Personen sind nach § 1 HinSchG natürliche Personen, die bei ihrer beruflichen Tätigkeit oder im Vorfeld davon Informationen über Verstöße erlangt haben. Der interne Kanal muss mindestens den eigenen Beschäftigten und überlassenen Leiharbeitnehmern offenstehen. Ihr Unternehmen kann ihn zusätzlich für Personen öffnen, die beruflich mit ihm in Kontakt stehen, etwa Beschäftigte von Lieferanten (§ 16 Abs. 1 HinSchG).
Hinweisgebersystem: Pflicht ab 50 Beschäftigten
Die Pflicht zum Hinweisgebersystem gilt, wenn Ihr Unternehmen in der Regel mindestens 50 Beschäftigte hat (§ 12 Abs. 1 und 2 HinSchG). Es muss dann eine interne Meldestelle einrichten und betreiben. Maßgeblich ist die Zahl der in der Regel Beschäftigten, also der übliche Personalstand.
Die Rechtsform spielt keine Rolle. Beschäftigungsgeber im Sinne des Gesetzes sind natürliche Personen, juristische Personen des öffentlichen und des privaten Rechts, rechtsfähige Personengesellschaften und sonstige rechtsfähige Personenvereinigungen (§ 3 Abs. 9 HinSchG). Neben GmbH und AG fallen damit auch Vereine, rechtsfähige Stiftungen und Genossenschaften unter die Regel, sobald sie die Schwelle erreichen.
Zu den Beschäftigten zählen nach § 3 Abs. 8 HinSchG unter anderem Arbeitnehmerinnen und Arbeitnehmer, Auszubildende, Beamtinnen und Beamte sowie arbeitnehmerähnliche Personen. Für Bund und Länder bestimmen die obersten Behörden die zuständigen Organisationseinheiten. Für Gemeinden und Gemeindeverbände richtet sich die Pflicht nach Landesrecht (§ 12 Abs. 1 HinSchG).
Seit wann gilt die Pflicht?
Beide Übergangsfristen sind abgelaufen, die Pflicht zum Hinweisgebersystem gilt heute ohne Einschränkung. Für Unternehmen mit mindestens 250 Beschäftigten und für die Finanzunternehmen nach § 12 Abs. 3 HinSchG besteht sie seit dem Inkrafttreten des Gesetzes am 2. Juli 2023. Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten mussten ihre interne Meldestelle erst ab dem 17. Dezember 2023 einrichten (§ 42 Abs. 1 HinSchG). Das Bußgeld für eine fehlende Meldestelle kann seit dem 1. Dezember 2023 verhängt werden (§ 42 Abs. 2 HinSchG).
Pflicht unabhängig von der Größe: die Finanzbranche
Für bestimmte Unternehmen der Finanzbranche besteht die Pflicht zum Hinweisgebersystem auch mit weniger als 50 Beschäftigten (§ 12 Abs. 3 HinSchG). Dazu gehören:
- Wertpapierdienstleistungsunternehmen und Datenbereitstellungsdienste nach dem Wertpapierhandelsgesetz,
- Börsenträger nach dem Börsengesetz,
- Institute nach dem Kreditwesengesetz und nach dem Wertpapierinstitutsgesetz,
- Gegenparteien im Sinne der Verordnung (EU) 2015/2365 über Wertpapierfinanzierungsgeschäfte,
- Kapitalverwaltungsgesellschaften nach dem Kapitalanlagegesetzbuch,
- Versicherungsunternehmen nach dem Versicherungsaufsichtsgesetz, mit Ausnahme bestimmter Unternehmen mit Sitz in einem anderen EU- oder EWR-Staat,
- Institute nach dem Kryptomärkteaufsichtsgesetz und nach dem Zahlungsdiensteaufsichtsgesetz.
Für diese Unternehmen galt keine Übergangsfrist.
Gemeinsame Meldestelle oder externer Dienstleister?
Ihr Unternehmen kann die interne Meldestelle mit einer eigenen Person oder einem Team besetzen. Es kann auch einen Dritten beauftragen, etwa eine Ombudsperson oder einen spezialisierten Anbieter (§ 14 Abs. 1 HinSchG). Bei einer Auslagerung bleibt es verpflichtet, geeignete Maßnahmen zu ergreifen, um einen festgestellten Verstoß abzustellen.
Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle einrichten und betreiben (§ 14 Abs. 2 HinSchG). Die Pflicht, Verstöße abzustellen und der hinweisgebenden Person Rückmeldung zu geben, bleibt dabei bei jedem einzelnen Unternehmen.
Was die interne Meldestelle leisten muss
Ein Postfach allein genügt nicht. Das HinSchG legt fest, wie die Meldestelle arbeitet:
- Meldewege: Die Kanäle müssen Meldungen in mündlicher Form oder in Textform ermöglichen. Auf Wunsch ist innerhalb angemessener Zeit ein persönliches Treffen anzubieten (§ 16 Abs. 3).
- Fristen: Der Eingang wird spätestens nach sieben Tagen bestätigt. Innerhalb von drei Monaten nach der Bestätigung erhält die hinweisgebende Person eine Rückmeldung zu den Folgemaßnahmen (§ 17).
- Vertraulichkeit: Die Identität der hinweisgebenden Person und der in der Meldung genannten Personen ist zu schützen (§ 8).
- Anonyme Meldungen: Die Meldestelle sollte auch anonym eingehende Meldungen bearbeiten. Eine Pflicht, anonyme Meldungen technisch zu ermöglichen, besteht nicht (§ 16 Abs. 1).
- Unabhängigkeit und Fachkunde: Die zuständigen Personen handeln unabhängig und verfügen über die notwendige Fachkunde (§ 15).
- Dokumentation: Jede Meldung wird dauerhaft abrufbar dokumentiert. Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht (§ 11).
- Information: Beschäftigte erhalten klare und leicht zugängliche Informationen über das interne Verfahren und über externe Meldeverfahren (§ 7 Abs. 3, § 13 Abs. 2).
Die Einzelheiten erläutern wir in unserem Beitrag zum Whistleblowing-Kanal in Unternehmen.
Welche Bußgelder drohen ohne Hinweisgebersystem?
Verletzt Ihr Unternehmen die Pflicht zum Hinweisgebersystem, liegt eine Ordnungswidrigkeit vor. Das ist der Fall, wenn es nicht dafür sorgt, dass eine interne Meldestelle eingerichtet ist und betrieben wird. Das Bußgeld beträgt bis zu 20.000 Euro (§ 40 Abs. 2 Nr. 2 und Abs. 6 HinSchG). Bis zu 50.000 Euro drohen, wenn Meldungen behindert, Repressalien ergriffen oder die Vertraulichkeit vorsätzlich oder leichtfertig verletzt wird (§ 40 Abs. 2 Nr. 1 und 3, Abs. 3). Gegen das Unternehmen selbst kann die Geldbuße in diesen Fällen bis zu 500.000 Euro betragen, wenn eine Leitungsperson den Verstoß begangen hat: § 40 Abs. 6 Satz 2 HinSchG verweist auf § 30 Abs. 2 Satz 3 OWiG, der das Höchstmaß der Geldbuße verzehnfacht. Für eine fehlende interne Meldestelle gilt diese Verzehnfachung nicht.
Hinzu kommt das zivilrechtliche Risiko. Repressalien gegen hinweisgebende Personen sind verboten, ebenso deren Androhung und der Versuch (§ 36 Abs. 1 HinSchG). Macht eine hinweisgebende Person geltend, dass sie nach einer Meldung beruflich benachteiligt wurde, wird eine Repressalie vermutet. Ihr Unternehmen muss dann beweisen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen beruhte oder nicht mit der Meldung zusammenhing (§ 36 Abs. 2). Bei einem Verstoß gegen das Verbot ist der entstandene Schaden zu ersetzen (§ 37 Abs. 1).
Was gilt für Unternehmen mit weniger als 50 Beschäftigten?
Unternehmen mit in der Regel weniger als 50 Beschäftigten unterliegen keiner Pflicht zum Hinweisgebersystem, sofern sie nicht unter § 12 Abs. 3 HinSchG fallen. Das Gesetz gilt für sie trotzdem. Ihre Beschäftigten können sich jederzeit an eine externe Meldestelle wenden, zum Beispiel an die externe Meldestelle des Bundes beim Bundesamt für Justiz (§ 7 und § 19 HinSchG). Auch das Verbot von Repressalien gilt unabhängig von der Unternehmensgröße.
Ein freiwilliger interner Kanal sorgt dafür, dass Hinweise zuerst im eigenen Haus ankommen. Mehr dazu lesen Sie in unserem Beitrag über Mindestanforderungen für nicht verpflichtete Einrichtungen.
Wie Trusty Sie unterstützt
Mit der Whistleblowing-Software von Trusty erfüllen Sie die Pflicht zum Hinweisgebersystem ohne IT-Projekt. Hinweise gehen vertraulich und auf Wunsch anonym ein, und jede Meldung wird nachvollziehbar bearbeitet und dokumentiert. Der Kanal ist in wenigen Minuten einsatzbereit, ab 49 EUR pro Monat.
Häufige Fragen
Ein Meldeweg, über den Beschäftigte und andere Personen mit beruflichem Kontakt Hinweise auf Verstöße vertraulich an eine interne Meldestelle richten. Das HinSchG regelt, wie diese Stelle Meldungen entgegennimmt, prüft, bearbeitet und dokumentiert.
Nach § 12 HinSchG alle Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, unabhängig von der Rechtsform. Bestimmte Finanzunternehmen, etwa Kredit- und Wertpapierinstitute, Kapitalverwaltungsgesellschaften und Versicherungsunternehmen, sind unabhängig von ihrer Größe verpflichtet.
Ja. Fehlt die interne Meldestelle, droht nach § 40 Abs. 2 Nr. 2 HinSchG ein Bußgeld von bis zu 20.000 Euro. Für das Behindern von Meldungen und für Repressalien sieht das Gesetz Bußgelder von bis zu 50.000 Euro vor. Gegen das Unternehmen selbst sind in diesen Fällen über § 30 OWiG bis zu 500.000 Euro möglich.
Verstöße früh zu erkennen und intern abzustellen, hinweisgebende Personen durch Vertraulichkeit vor Repressalien zu schützen und Meldungen in einem geordneten Verfahren mit festen Fristen zu bearbeiten.
Seit dem 17. Dezember 2023 (§ 42 HinSchG). Für Unternehmen ab 250 Beschäftigten gilt die Pflicht seit dem Inkrafttreten des Gesetzes am 2. Juli 2023.
AB 49 EUR PRO MONAT
Trusty Whistleblowing: ein Meldekanal, der die EU-Hinweisgeberschutzrichtlinie erfüllt, in Minuten einsatzbereit und ohne IT-Projekt. Ab 49 EUR pro Monat, 7 Tage kostenlos testen.