Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Anti-Fraud & Compliance · Vorstand ACFE Swiss Chapter
Stiftungen arbeiten oft gemeinnützig und mit hohem ethischen Anspruch. Rechtlich gelten für sie beim Hinweisgebersystem dieselben Regeln wie für Unternehmen. Ein Hinweisgebersystem ist für Stiftungen Pflicht, wenn sie in der Regel mindestens 50 Beschäftigte haben. Sie müssen dann nach dem Hinweisgeberschutzgesetz (HinSchG) eine interne Meldestelle einrichten und betreiben.
Dieser Beitrag erklärt, wann die Pflicht greift, wer bei der Schwelle mitzählt und wie Ihre Stiftung den Kanal rechtssicher umsetzt. Welche Anforderungen das Gesetz im Einzelnen an den Kanal stellt, lesen Sie im Überblick Anforderungen an den Whistleblowing-Kanal.
Warum ein Hinweisgebersystem für Stiftungen wichtig ist
Stiftungen verwalten Vermögen, vergeben Fördermittel und genießen oft steuerliche Vorteile. Spender, Förderpartner und Aufsichtsbehörden erwarten deshalb besondere Integrität. Ein Hinweisgebersystem hilft Stiftungen, Fehlverwendung von Mitteln, Interessenkonflikte, Korruption oder Datenschutzverstöße früh zu erkennen.
Der Kanal schützt zugleich die Stiftung selbst. Hinweisgebende Personen sollen die interne Meldung bevorzugen, wenn intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten (§ 7 Abs. 1 HinSchG). Ohne internen Kanal gehen Hinweise direkt an Behörden.
Die Rechtslage: Stiftungen als Beschäftigungsgeber
Das HinSchG knüpft die Pflicht an den Beschäftigungsgeber, nicht an die Rechtsform. Beschäftigungsgeber sind unter anderem juristische Personen des öffentlichen und des privaten Rechts (§ 3 Abs. 9 HinSchG). Rechtsfähige Stiftungen des bürgerlichen Rechts und Stiftungen des öffentlichen Rechts fallen damit unter das Gesetz.
Nach § 12 Abs. 1 und 2 HinSchG muss jeder Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten eine interne Meldestelle einrichten und betreiben. Für Stiftungen mit 50 bis 249 Beschäftigten gilt die Pflicht seit dem 17. Dezember 2023 (§ 42 Abs. 1). Eine Sonderregel für gemeinnützige Organisationen enthält das Gesetz nicht.
Anforderungen an das Hinweisgebersystem der Stiftung
Das Hinweisgebersystem muss für Stiftungen dieselben Vorgaben erfüllen wie für jedes Unternehmen:
- Meldungen in mündlicher Form oder in Textform, auf Wunsch ein persönliches Treffen (§ 16 Abs. 3),
- Vertraulichkeit der Identität der hinweisgebenden Person und der Betroffenen (§ 8),
- Eingangsbestätigung spätestens nach sieben Tagen und Rückmeldung innerhalb von drei Monaten (§ 17),
- unabhängige und fachkundige Bearbeitung (§ 15),
- Dokumentation und Löschung drei Jahre nach Abschluss des Verfahrens (§ 11),
- klare und leicht zugängliche Informationen über interne und externe Meldeverfahren (§ 7 Abs. 3, § 13 Abs. 2).
Anonyme Meldungen sollte die Meldestelle ebenfalls bearbeiten. Eine Pflicht, anonyme Meldungen technisch zu ermöglichen, besteht nicht (§ 16 Abs. 1).
Wer zählt bei der Schwelle von 50 Beschäftigten?
Maßgeblich sind die Beschäftigten im Sinne des § 3 Abs. 8 HinSchG, etwa Arbeitnehmerinnen und Arbeitnehmer, Auszubildende und arbeitnehmerähnliche Personen. Ehrenamtlich Tätige nennt das Gesetz in dieser Aufzählung nicht. Entscheidend ist die Zahl der in der Regel Beschäftigten, also der übliche Personalstand der Stiftung.
Stiftungen mit 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle mit anderen privaten Beschäftigungsgebern dieser Größe betreiben (§ 14 Abs. 2 HinSchG). Die Pflicht, Verstöße abzustellen und Rückmeldung zu geben, bleibt bei der Stiftung.
Hinweisgebersystem für Stiftungen: Förderpartner und Dritte einbeziehen
Stiftungen arbeiten eng mit Förderempfängern, Projektpartnern und Dienstleistern zusammen. Das Gesetz verlangt, dass der interne Kanal den eigenen Beschäftigten und überlassenen Leiharbeitnehmern offensteht. Ihre Stiftung kann ihn zusätzlich für Personen öffnen, die beruflich mit ihr in Kontakt stehen (§ 16 Abs. 1 HinSchG).
Gerade für Stiftungen, die Fördermittel vergeben, ist das sinnvoll: Hinweise auf Fehlverwendung kommen oft von außen. Ein Hinweisgebersystem, das Stiftungen auch für Partner öffnen, schafft einen geordneten Weg für solche Meldungen. Legen Sie in Ihrer Richtlinie fest, wer den Kanal nutzen darf.
Kleine Stiftungen unter 50 Beschäftigten
Stiftungen mit weniger als 50 Beschäftigten müssen keine interne Meldestelle einrichten. Ihre Beschäftigten können sich aber an externe Meldestellen wenden, etwa an die externe Meldestelle des Bundes beim Bundesamt für Justiz. Der Schutz vor Repressalien gilt auch hier.
Ein freiwilliges Hinweisgebersystem ist deshalb auch für kleine Stiftungen sinnvoll. Mehr dazu lesen Sie in unserem Beitrag zum Hinweisgeberschutzgesetz unter 50 Mitarbeitern.
Schritte zur Einführung in der Stiftung
- Schwelle prüfen: Ermitteln Sie die Zahl der in der Regel Beschäftigten.
- Zuständigkeit festlegen: Benennen Sie unabhängige, fachkundige Personen oder beauftragen Sie einen Dritten, etwa eine Ombudsperson (§ 14 Abs. 1 HinSchG).
- Kanal einrichten: Stellen Sie einen digitalen Meldeweg bereit, der Meldungen in Textform und mündlich ermöglicht.
- Verfahren regeln: Halten Sie Ablauf, Fristen und Dokumentation in einer internen Richtlinie fest.
- Gremien einbinden: Informieren Sie Vorstand und Stiftungsrat und regeln Sie, wie mit Hinweisen gegen Organmitglieder umgegangen wird.
- Informieren: Machen Sie den Kanal für Beschäftigte und, wenn gewünscht, für Förderpartner und Dienstleister bekannt.
Folgen bei Verstößen
Fehlt das vorgeschriebene Hinweisgebersystem, drohen Stiftungen Bußgelder. Richtet eine verpflichtete Stiftung keine interne Meldestelle ein oder betreibt sie keine, droht ein Bußgeld von bis zu 20.000 Euro (§ 40 Abs. 2 Nr. 2, Abs. 6 HinSchG). Das Behindern von Meldungen, Repressalien und die vorsätzliche oder leichtfertige Verletzung der Vertraulichkeit können mit bis zu 50.000 Euro geahndet werden.
Gegen das Unternehmen selbst kann die Geldbuße in diesen Fällen bis zu 500.000 Euro betragen, wenn eine Leitungsperson den Verstoß begangen hat: § 40 Abs. 6 Satz 2 HinSchG verweist auf § 30 Abs. 2 Satz 3 OWiG, der das Höchstmaß der Geldbuße verzehnfacht. Für eine fehlende interne Meldestelle gilt diese Verzehnfachung nicht. Hinzu kommen Schadensersatzansprüche nach Repressalien (§ 37) und ein erheblicher Reputationsschaden.
Weiterführende Lektüre: Hinweisgeberschutz nach dem HinSchG, Pflicht zum Hinweisgebersystem und Hinweisgebersystem für Vereine und Verbände.
Häufig gestellte Fragen
Ja, wenn die Stiftung in der Regel mindestens 50 Beschäftigte hat (§ 12 HinSchG). Stiftungen sind als juristische Personen Beschäftigungsgeber im Sinne des Gesetzes.
Ja. Das HinSchG enthält keine Ausnahme für gemeinnützige Organisationen. Entscheidend ist allein die Zahl der in der Regel Beschäftigten.
§ 3 Abs. 8 HinSchG nennt ehrenamtlich Tätige nicht als Beschäftigte. Gezählt werden etwa Arbeitnehmer, Auszubildende und arbeitnehmerähnliche Personen.
Bis zu 20.000 Euro, wenn keine interne Meldestelle eingerichtet oder betrieben wird, und bis zu 50.000 Euro bei Repressalien oder Behinderung von Meldungen. Gegen die Stiftung als juristische Person sind in den letztgenannten Fällen über § 30 OWiG bis zu 500.000 Euro möglich.
AB 49 EUR PRO MONAT
Trusty Whistleblowing: ein Meldekanal, der der EU-Hinweisgeberrichtlinie entspricht, in wenigen Minuten live, ohne IT-Projekt. Ab 49 EUR pro Monat, 7 Tage kostenlos testen.