Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Betrugsbekämpfung & Compliance · ACFE Swiss Chapter Board

Seit dem 2. Juli 2023 gilt in Deutschland das Hinweisgeberschutzgesetz (HinSchG). Es setzt die EU-Whistleblowing-Richtlinie um und verpflichtet viele Unternehmen, einen Whistleblowing-Kanal einzurichten, über den Beschäftigte und andere Personen Verstöße vertraulich melden können. Dieser Beitrag zeigt, welche Unternehmen betroffen sind, welche Anforderungen der Kanal erfüllen muss und wie Sie ihn rechtssicher einrichten.

Die rechtliche Grundlage: HinSchG und EU-Richtlinie

Die Richtlinie (EU) 2019/1937 verpflichtet die Mitgliedstaaten, Hinweisgeber zu schützen und interne Meldekanäle vorzuschreiben. In Deutschland ist das Hinweisgeberschutzgesetz die maßgebliche Grundlage. Es regelt, wer eine interne Meldestelle braucht, wie Meldungen zu bearbeiten sind und wie hinweisgebende Personen vor Repressalien geschützt werden.

Welche Unternehmen einen Whistleblowing-Kanal brauchen

Nach § 12 HinSchG müssen Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten eine interne Meldestelle einrichten und betreiben. Für Unternehmen mit 50 bis 249 Beschäftigten gilt die Pflicht seit dem 17. Dezember 2023. Bestimmte Unternehmen der Finanzbranche, etwa Kredit- und Finanzdienstleistungsinstitute, Wertpapierinstitute, Kapitalverwaltungsgesellschaften und Versicherungsunternehmen, sind unabhängig von ihrer Größe verpflichtet. Mehr dazu lesen Sie in unserem Beitrag, welche Unternehmen ein internes Hinweisgebersystem brauchen.

Wer Hinweise geben kann und was gemeldet werden darf

Hinweisgebende Personen sind alle, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben: Beschäftigte und Auszubildende, Leiharbeitnehmer, Bewerberinnen und Bewerber, ehemalige Beschäftigte, aber auch Selbstständige, Beschäftigte von Lieferanten sowie Anteilseigner und Organmitglieder. Geschützt sind insbesondere Meldungen über strafbewehrte Verstöße, über bestimmte bußgeldbewehrte Verstöße und über Verstöße gegen Vorschriften etwa zu Geldwäsche, Produktsicherheit, Umweltschutz, Verbraucherschutz oder Datenschutz.

Anforderungen an den Whistleblowing-Kanal nach HinSchG und EU-Richtlinie 2019/1937

Der Kanal muss mehr leisten als ein Postfach. Das HinSchG stellt insbesondere diese Anforderungen:

  • Meldewege: Meldungen müssen mündlich oder in Textform möglich sein; auf Wunsch ist innerhalb einer angemessenen Zeit ein persönliches Treffen zu ermöglichen (§ 16).
  • Vertraulichkeit: Die Identität der hinweisgebenden Person und der in der Meldung genannten Personen ist zu schützen; Zugriff haben nur die zuständigen Personen (§ 8 und § 16).
  • Anonyme Meldungen: Die Meldestelle sollte auch anonym eingehende Meldungen bearbeiten (§ 16).
  • Fristen: Eingangsbestätigung spätestens nach sieben Tagen, Rückmeldung zu den Folgemaßnahmen innerhalb von drei Monaten nach der Bestätigung (§ 17).
  • Unabhängigkeit und Fachkunde: Die zuständigen Personen arbeiten bei dieser Aufgabe unabhängig und verfügen über die notwendige Fachkunde (§ 15).
  • Dokumentation: Jede Meldung wird dauerhaft abrufbar und datenschutzkonform dokumentiert; die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht (§ 11).

Datenschutz im Whistleblowing-Kanal

Ein Whistleblowing-Kanal verarbeitet besonders sensible Daten. Die Verarbeitung ist nach § 10 HinSchG zulässig, soweit sie für die Aufgaben der Meldestelle erforderlich ist; die Vorgaben der DSGVO gelten weiterhin. Hat Ihr Unternehmen einen Datenschutzbeauftragten, sollte er bei der Auswahl und Einrichtung des Kanals eingebunden werden, etwa bei der Datenschutz-Folgenabschätzung, dem Berechtigungskonzept und den Löschfristen.

Whistleblowing-Kanal einrichten: Schritt für Schritt

  1. Zuständigkeit festlegen: Benennen Sie die Personen, die Meldungen entgegennehmen und bearbeiten, oder beauftragen Sie einen Dritten als interne Meldestelle.
  2. Meldewege bereitstellen: Richten Sie einen digitalen Kanal ein, der schriftliche und mündliche Meldungen sowie anonyme Meldungen ermöglicht.
  3. Verfahren beschreiben: Legen Sie in einer internen Richtlinie fest, wie Meldungen bestätigt, geprüft, dokumentiert und abgeschlossen werden.
  4. Betriebsrat einbinden: Besteht ein Betriebsrat, ist er bei der Einführung des Kanals in der Regel zu beteiligen.
  5. Informieren: Stellen Sie leicht zugängliche Informationen über den internen Kanal und die externen Meldestellen bereit, zum Beispiel im Intranet und auf Ihrer Website.
  6. Schulen und prüfen: Schulen Sie die zuständigen Personen und überprüfen Sie Fristen und Abläufe regelmäßig.

Interne Meldestelle selbst betreiben oder auslagern?

Sie können die interne Meldestelle mit eigenen Beschäftigten besetzen oder einen Dritten damit beauftragen, etwa eine Ombudsperson oder einen spezialisierten Anbieter (§ 14 HinSchG). Eine externe Lösung bringt oft mehr Distanz und Fachkunde. Die Pflicht, Verstöße abzustellen, bleibt in beiden Fällen beim Unternehmen. Entscheidend ist, dass der Kanal die gesetzlichen Anforderungen erfüllt und die Beschäftigten wissen, dass es ihn gibt und wie sie ihn nutzen.

Interner Kanal und externe Meldestelle

Hinweisgebende Personen können wählen, ob sie sich an die interne Meldestelle oder an eine externe Meldestelle wenden (§ 7 HinSchG). Die externe Meldestelle des Bundes ist beim Bundesamt für Justiz eingerichtet; für ihre Aufsichtsbereiche sind zusätzlich die BaFin und das Bundeskartellamt zuständig. Unternehmen sollen Anreize schaffen, dass zuerst intern gemeldet wird. Ein gut erreichbarer, vertrauenswürdiger interner Kanal ist deshalb der beste Weg, Hinweise früh im eigenen Haus zu erhalten.

Schutz vor Repressalien und Bußgelder

Repressalien gegen hinweisgebende Personen sind verboten, ebenso deren Androhung und der Versuch (§ 36 HinSchG). Erleidet eine hinweisgebende Person nach einer Meldung eine Benachteiligung im Beruf, wird vermutet, dass es sich um eine Repressalie handelt; das Unternehmen muss dann das Gegenteil beweisen. Wer keine interne Meldestelle einrichtet und betreibt, riskiert ein Bußgeld von bis zu 20.000 Euro. Für das Behindern von Meldungen, Repressalien oder Verstöße gegen das Vertraulichkeitsgebot sieht § 40 HinSchG Bußgelder von bis zu 50.000 Euro vor; gegen Unternehmen kann sich dieser Höchstbetrag nach § 40 Abs. 6 HinSchG in Verbindung mit § 30 OWiG verzehnfachen.

Die Vorteile eines Whistleblowing-Kanals

Ein Whistleblowing-Kanal ist nicht nur eine Pflicht, sondern auch ein Vorteil. Sie erfahren früh von Problemen, können intern aufklären, bevor Schäden oder öffentliche Berichte entstehen, und stärken das Vertrauen von Beschäftigten, Kunden und Geschäftspartnern. Zudem unterstützt der Kanal andere Pflichten, etwa das Beschwerdeverfahren nach dem Lieferkettensorgfaltspflichtengesetz.

Fazit

Für Unternehmen ab 50 Beschäftigten ist der Whistleblowing-Kanal Pflicht, und das HinSchG legt genau fest, wie er funktionieren muss: vertrauliche Meldewege, klare Fristen, eine saubere Dokumentation und Schutz vor Repressalien. Mit Software für Ihren Whistleblowing-Kanal von Trusty erfüllen Sie diese Anforderungen ohne IT-Projekt, ab 49 EUR pro Monat.

Passende Lektüre: Hinweisgeber-Untersuchungen: Pflichten und Grenzen für Manager und Die Bedeutung eines verschlüsselten Meldekanals.

Häufig gestellte Fragen

In Deutschland das Hinweisgeberschutzgesetz (HinSchG), das die Richtlinie (EU) 2019/1937 umsetzt. Es verpflichtet Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, eine interne Meldestelle einzurichten und zu betreiben.

Er berät bei der datenschutzkonformen Einrichtung des Kanals, etwa bei der Datenschutz-Folgenabschätzung, den Zugriffsrechten und den Löschfristen. Die Verarbeitung personenbezogener Daten in der Meldestelle ist nach § 10 HinSchG zulässig, soweit sie für ihre Aufgaben erforderlich ist.

Beides ist möglich. Eine externe Verwaltung, etwa durch einen von spezialisierten Anbietern bereitgestellten Kanal, kann für größere Objektivität sorgen. In beiden Fällen muss der Kanal alle rechtlichen Vorgaben erfüllen, und die Mitarbeitenden müssen wissen, dass er existiert und wie er genutzt wird.

Der Kanal macht Probleme früh sichtbar, stärkt Vertrauen und Unternehmenskultur und hilft, Bußgelder und Reputationsschäden zu vermeiden. Er unterstützt außerdem andere Pflichten, etwa das Beschwerdeverfahren nach dem Lieferkettensorgfaltspflichtengesetz.

Die interne Meldestelle bestätigt den Eingang einer Meldung spätestens nach sieben Tagen und gibt der hinweisgebenden Person innerhalb von drei Monaten nach der Bestätigung eine Rückmeldung zu den geplanten und ergriffenen Folgemaßnahmen.

WHISTLEBLOWING-SOFTWARE
AB 49 EUR PRO MONAT

Trusty Whistleblowing: ein Meldekanal, der der EU-Hinweisgeberrichtlinie entspricht, in wenigen Minuten live, ohne IT-Projekt. Ab 49 EUR pro Monat, 7 Tage kostenlos testen.

Kostenlosen Test starten →