Hinweisgeberschutzgesetz: Was ist zu tun?

Zuletzt aktualisiert am 1. Juni 2026

Endlich wird nun auch Deutschland ein Hinweisgeberschutzgesetz entwickelt. Es könnte im Mai 2023 in Kraft treten. Das Gesetz soll sogenannte Whistleblower vor Repressalien schützen, wenn sie auf Korruption, Betrug, Umweltschädigung oder anderen Missständen im eigenen Unternehmen hinweisen.

Was Arbeitgeber laut dem aktuellen Entwurf beachten müssen, erfahren Sie hier.

Wann schützt das Hinweisgeberschutzgesetz?

Das Hinweisgeberschutzgesetz schützt natürliche Personen, die durch ihre berufliche Tätigkeit Informationen über Verstöße erlangt haben und diese melden. Für die Meldung sieht das Gesetz bestimmte Meldestellen vor. Neben den hinweisgebenden Personen (Whistleblower) werden auch Personen geschützt, die von der Meldung des Hinweises betroffen sind (zum Beispiel weil es in dem Hinweis um sie geht).

Das Hinweisgeberschutzgesetz ist bei Hinweisen anzuwenden, die Verstöße gegen deutsches oder europäisches Recht beinhalten. Es geht dabei vor allem um Verstöße, die straf- oder bußgeldbewehrt sind, aber auch um solche, die gegen Rechtsvorschriften zur Produkt- und Verkehrssicherheit, zum Umweltschutz, zur Regelung von Verbraucherrechten, zum Schutz der Privatsphäre und Sicherheit der Informationstechnik und so weiter verstoßen. Damit hat das Gesetz einen sehr weiten Anwendungsbereich. Ausnahmen gelten nur im Bereich von Verschlusssachen und bei Schweigepflichten.

Das Hinweisgeberschutzgesetz regelt zudem, dass der hinweisgebenden Person kein Nachteil in Form von Vergeltungsmaßnahmen oder Repressalien durch die Meldung entstehen darf. Wird das Hinweisgeberschutzgesetz nicht eingehalten, drohen Sanktionen und Schadensersatzforderungen.

Was sind Meldestellen?

Für hinweisgebende Personen müssen sogenannte Meldestellen zur Verfügung stehen. Das Hinweisgeberschutzgesetz unterscheidet zwischen internen und externen Meldestellen. Interne Meldestellen werden vom Beschäftigungsgeber selbst eingerichtet, externe dagegen vom Staat. Jede hinweisgebende Person kann sich selbst entscheiden, ob sie den Hinweis bei einer internen oder externen Stelle abgibt.

Eine hinweisgebende Person muss die Meldung schriftlich oder mündlich (telefonisch, persönlich oder über eine andere Art der Sprachübermittlung) abgeben können. Die Meldestelle ist dann verpflichtet, die Meldung zu bearbeiten.

Die Meldestellen müssen die Meldung laufend vertraulich behandeln. Das heißt insbesondere, dass sowohl die Identität der hinweisgebenden Person als auch die aller Personen, die in der Meldung vorkommen oder die diese betrifft, vertraulich zu behandeln ist.

Außerdem müssen die Meldestellen die eingehende Meldung dokumentieren und Rückmeldung über Eingang, getroffene Maßnahmen und Ergebnis der Meldung bereitstellen.

Wann muss ich eine interne Meldestelle einrichten?

Die Einrichtung von internen Meldestellen ist Pflicht des Beschäftigungsgebers. Diese Pflicht trifft ihn, wenn er in der Regel mindestens 50 Beschäftigte beschäftigt oder es sich um eines der in § 12 III Hinweisgeberschutzgesetz aufgeführten Unternehmen handelt (vor allem Unternehmen aus den Bereich Kreditwesen, Wertpapierdienstleistung, Kapitalverwaltung und Versicherungsaufsicht).

Beschäftigungsgeber können natürliche oder juristische Personen sein, sowie andere rechtsfähige Personenvereinigungen. Zu Beschäftigten zählen nicht nur gewöhnliche Arbeitnehmer, sondern auch Auszubildende, Beamte, Richter, Soldaten und so weiter.

Größere Unternehmen (50 – 249 Mitarbeiter) dürfen sich auch Meldekanäle teilen.

Wie richte ich eine interne Meldestelle ein?

Zur Einrichtung einer internen Meldestelle kann der Beschäftigungsgeber sowohl Mitarbeiter als auch Externe mit dieser Aufgabe beauftragen. Die Aufgaben der internen Meldestelle dürfen dabei nicht zu einem Interessenskonflikt bei der jeweiligen ausübenden Person führen.

Für die Einrichtung einer internen Meldestelle bietet es sich an, eine Webapp zu nutzen. Diese sind einfach zu verwalten und rund um die Uhr verfügbar. Die Kapazitäten sind quasi unbegrenzt, vor allem hinsichtlich möglicher Anzahl an Benutzern und gleichzeitigen Meldungen. Mitarbeiter können hier anonym Hinweise abgeben. Eine Webapp als Meldestelle kann immer auf dem neusten Stand bezüglich Datenschutz und IT-Sicherheit gehalten werden. So ist eine Webapp eine leichte, effektive und transparente Unterstützung bei der Umsetzung des Hinweisgeberschutzgesetzes.

Was sind externe Meldestellen?

Die externe Meldestelle nach dem Hinweisgeberschutzgesetz richtet der Bund ein. Beschäftigte können frei wählen, an welche Meldestelle sie sich zuerst wenden. Hinsichtlich der Aufgaben und Strukturen gleichen sie im Wesentlichen den internen Meldestellen.

Tipps für die Praxis

Auch wenn das Hinweisgeberschutzgesetz Stand Dezember 2022 noch durch den Bundesrat gehen muss und damit erst etwa im März 2023 in Kraft treten wird, sollten sich Unternehmen frühzeitig um die Einrichtung konformer Meldestellen kümmern. Der Aufwand sollte nicht unterschätzt werden.

Das Hinweisgeberschutzgesetz ist in Kraft

Das Hinweisgeberschutzgesetz (HinSchG) ist am 2. Juli 2023 in Kraft getreten. Für Unternehmen mit 50 bis 249 Beschäftigten galt eine verlängerte Übergangsfrist bis zum 17. Dezember 2023. Seit diesem Datum müssen alle Unternehmen mit mindestens 50 Beschäftigten über eine funktionsfähige interne Meldestelle verfügen. Die Umsetzung in der Praxis zeigt, dass viele Unternehmen die Anforderungen noch nicht vollständig erfüllen.

Anforderungen an die interne Meldestelle im Detail

Die interne Meldestelle muss bestimmte gesetzliche Anforderungen erfüllen, die über die bloße Einrichtung hinausgehen. Die mit der Aufgabe betraute Person muss über die erforderliche Fachkunde verfügen. Das Gesetz verlangt ausdrücklich, dass die Meldestelle unabhängig arbeiten kann und keinen Weisungen unterliegt, die ihre Tätigkeit beeinträchtigen könnten.

Der Meldekanal muss sowohl mündliche als auch schriftliche Meldungen ermöglichen. Auf Wunsch des Hinweisgebers muss auch eine persönliche Zusammenkunft möglich sein. Anonyme Meldungen müssen zwar nicht zwingend ermöglicht werden, das Gesetz empfiehlt jedoch ausdrücklich, anonyme Meldekanäle einzurichten. In der Praxis hat sich gezeigt, dass die Bereitschaft zur Meldung deutlich höher ist, wenn Anonymität gewährleistet wird.

Fristen und Verfahrensablauf bei Meldungen

Das HinSchG legt konkrete Fristen fest, die bei der Bearbeitung von Meldungen einzuhalten sind. Innerhalb von sieben Tagen nach Eingang der Meldung muss dem Hinweisgeber eine Eingangsbestätigung zugesandt werden. Innerhalb von drei Monaten nach der Eingangsbestätigung muss eine Rückmeldung über die ergriffenen oder geplanten Folgemaßnahmen erfolgen.

Die Meldestelle muss die Stichhaltigkeit der Meldung prüfen und angemessene Folgemaßnahmen ergreifen. Dazu können interne Untersuchungen, die Einleitung von Disziplinarmaßnahmen, die Weitergabe an zuständige Behörden oder die Einstellung des Verfahrens gehören. Die gesamte Kommunikation und alle Maßnahmen sind sorgfältig zu dokumentieren.

Datenschutz und Hinweisgeberschutz: Schnittstellen und Konflikte

Zwischen dem Hinweisgeberschutzgesetz und der DSGVO bestehen wichtige Schnittstellen. Die Meldestelle verarbeitet personenbezogene Daten sowohl des Hinweisgebers als auch der Personen, die Gegenstand der Meldung sind. Diese Verarbeitung muss DSGVO-konform erfolgen. Die Rechtsgrundlage ergibt sich in der Regel aus Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) in Verbindung mit dem HinSchG.

Ein Spannungsfeld ergibt sich beim Auskunftsrecht nach Art. 15 DSGVO. Die beschuldigte Person hat grundsätzlich ein Recht auf Auskunft über die zu ihrer Person verarbeiteten Daten. Dieses Recht kann jedoch nach § 29 Abs. 1 BDSG eingeschränkt sein, wenn die Auskunft die Rechte und Freiheiten anderer Personen, insbesondere des Hinweisgebers, beeinträchtigen würde. Die Abwägung zwischen dem Auskunftsrecht des Beschuldigten und dem Schutz des Hinweisgebers muss im Einzelfall sorgfältig vorgenommen werden.

Die Aufbewahrung von Meldungen und zugehörigen Unterlagen ist nach dem HinSchG auf drei Jahre nach Abschluss des Verfahrens begrenzt. Danach sind die Daten zu löschen, sofern keine anderweitige Aufbewahrungspflicht besteht. Ein vollständiges Datenschutzkonzept sollte diese Löschfristen berücksichtigen.

Sanktionen bei Verstößen gegen das HinSchG

Das HinSchG sieht empfindliche Sanktionen vor. Bußgelder von bis zu 50.000 Euro drohen bei der Behinderung von Meldungen, bei Repressalien gegen Hinweisgeber oder bei Verstößen gegen die Vertraulichkeitspflicht. Die Nichterrichtung einer internen Meldestelle kann mit Bußgeldern bis zu 20.000 Euro geahndet werden.

Außerdem haben Hinweisgeber, die Repressalien ausgesetzt werden, Anspruch auf Schadensersatz. Das Gesetz enthält eine Beweislastumkehr: Wenn der Hinweisgeber glaubhaft macht, dass eine Benachteiligung im zeitlichen Zusammenhang mit einer Meldung steht, muss der Arbeitgeber beweisen, dass die Benachteiligung nicht auf der Meldung beruhte. Dies stärkt die Position der Hinweisgeber erheblich.

Für die Umsetzung des Hinweisgeberschutzgesetzes in Ihrem Unternehmen empfehlen wir die Zusammenarbeit mit einem erfahrenen externen Datenschutzbeauftragten, der die Schnittstellen zwischen Datenschutz und Hinweisgeberschutz kennt und Sie bei der rechtskonformen Ausgestaltung unterstützt.

Auslagerung der Meldestelle an externe Dritte

Das HinSchG erlaubt ausdrücklich die Beauftragung eines Dritten mit dem Betrieb der internen Meldestelle. Diese Möglichkeit nutzen insbesondere kleinere und mittlere Unternehmen, die nicht über die personellen Ressourcen verfügen, eine eigene Meldestelle qualifiziert zu besetzen. Externe Anbieter können professionelle Meldekanäle bereitstellen, die technisch und organisatorisch auf dem neuesten Stand sind und die Vertraulichkeitsanforderungen des Gesetzes erfüllen.

Bei der Auswahl eines externen Anbieters sollten Unternehmen darauf achten, dass dieser über nachgewiesene Fachkunde im Bereich Compliance und Datenschutz verfügt. Der Anbieter muss die Vertraulichkeit der Meldungen gewährleisten und technisch sicherstellen, dass die Identität des Hinweisgebers geschützt bleibt. Die Verarbeitung personenbezogener Daten durch den externen Anbieter erfordert zudem den Abschluss eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.

Hinweisgeberschutz als Teil einer vollständigen Compliance-Kultur

Die Einrichtung einer Meldestelle allein genügt nicht, um den Anforderungen des Hinweisgeberschutzgesetzes gerecht zu werden. Wichtig ist die Etablierung einer Unternehmenskultur, in der Hinweise auf Missstände als wertvoller Beitrag zur Verbesserung angesehen werden und nicht als Denunziation. Führungskräfte müssen diese Kultur vorleben und aktiv kommunizieren, dass Hinweisgeber geschützt werden und keine Repressalien zu befürchten haben.

Regelmäßige Schulungen und Informationsveranstaltungen zum Hinweisgeberschutzgesetz sind ebenso wichtig wie die technische Infrastruktur. Mitarbeiter müssen wissen, welche Kanäle ihnen zur Verfügung stehen, welche Arten von Verstößen gemeldet werden können und wie der Meldeprozess abläuft. Nur wenn die Meldestelle aktiv beworben und das Vertrauen der Mitarbeiter gewonnen wird, kann das Hinweisgeberschutzgesetz seinen Zweck erfüllen und zur Aufdeckung von Missständen beitragen.

Eine große Erleichterung stellt dabei eine entsprechende Webapp dar. Diesen Service bieten wir Ihnen natürlich neben vielen weiteren Dienstleistungen im Bereich Datenschutz und Datensicherheit ebenfalls an. Kontaktieren Sie uns hier, um sich unverbindlich über die Möglichkeiten zu informieren. Unser Team an Experten berät Sie gerne!