Hinweisgebersystem nach HinSchG im Unternehmen: Meldestelle, Verfahren und Datenschutz

Ein Hinweisgebersystem im Unternehmen ist der organisatorische und technische Rahmen, in dem Beschäftigte und andere Personen Hinweise auf Rechtsverstöße vertraulich melden können und in dem diese Hinweise geprüft, bearbeitet und dokumentiert werden. Seit das Hinweisgeberschutzgesetz (HinSchG) gilt, müssen Beschäftigungsgeber ab einer bestimmten Größe eine interne Meldestelle einrichten und betreiben. Viele mittelständische Unternehmen haben das Thema zunächst als Formalie behandelt und einen Briefkasten oder ein Postfach bereitgestellt. In der Praxis genügt das selten: Die Meldestelle muss unabhängig und fachkundig arbeiten, Fristen einhalten, Vertraulichkeit sichern und Repressalien verhindern. Hinzu kommen datenschutzrechtliche Anforderungen, weil in Hinweisen regelmäßig personenbezogene Daten über Meldende, betroffene Personen und Dritte enthalten sind. Wer das System von Beginn an sorgfältig aufsetzt, spart späteren Korrekturaufwand. Dieser Beitrag richtet sich an Geschäftsführung, Compliance-Verantwortliche und Datenschutzkoordination. Er erläutert die Pflichten, die Gestaltung der Meldekanäle, den Ablauf eines Verfahrens, das Zusammenspiel mit dem Datenschutz und die häufigsten Fehler beim Aufbau eines solchen Systems.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechts- oder Steuerberatung dar und ersetzt nicht die Beratung durch qualifizierte Fachleute. Für verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an eine zugelassene Beratung.

Titelbild: Foto von Anastassia Anufrieva auf Unsplash.

Rechtlicher Rahmen und Anwendungsbereich

Das Hinweisgeberschutzgesetz setzt die europäische Whistleblower-Richtlinie in deutsches Recht um. Es schützt Personen, die im beruflichen Kontext Informationen über Verstöße erlangt haben und diese melden oder offenlegen. Der Gesetzestext ist über Gesetze im Internet abrufbar.

Der sachliche Anwendungsbereich ist in § 2 HinSchG geregelt und umfasst unter anderem Verstöße, die strafbewehrt sind, sowie bestimmte bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift dem Schutz von Leben, Leib, Gesundheit oder dem Schutz der Rechte von Beschäftigten dient. Darüber hinaus werden Verstöße gegen eine Vielzahl von Rechtsvorschriften erfasst, etwa im Bereich Produktsicherheit, Umweltschutz, Verbraucherschutz, Datenschutz und Sicherheit von Netz- und Informationssystemen. Die Reichweite im Einzelfall sollte anhand des Gesetzestextes geprüft werden.

Für die Pflicht zur Einrichtung einer internen Meldestelle ist die Beschäftigtenzahl maßgeblich. Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten sind verpflichtet. Kleinere Unternehmen sind von der Pflicht ausgenommen, können aber freiwillig eine Meldestelle einrichten und profitieren davon, wenn Hinweise sonst ungeordnet an Vorgesetzte oder externe Stellen gelangen.

Pflichten des Beschäftigungsgebers im Überblick

Pflicht	Inhalt	Praktische Folge
Interne Meldestelle	Einrichtung und Betrieb einer Stelle, die Meldungen entgegennimmt und bearbeitet	Benennung von Personen oder eines Dienstleisters, Ressourcen und Befugnisse
Meldekanäle	Meldung mündlich oder in Textform, auf Wunsch persönliche Zusammenkunft	Elektronisches System, Telefonnummer und Terminmöglichkeit
Vertraulichkeit	Schutz der Identität von Meldenden und betroffenen Personen	Zugriffsbeschränkung, Rollenkonzept, Protokollierung
Fristen	Eingangsbestätigung nach sieben Tagen, Rückmeldung nach höchstens drei Monaten	Fristenkontrolle im Fallmanagement
Dokumentation	Dauerhafte, vertraulichkeitsgewahrte Dokumentation der Meldungen	Aufbewahrung und Löschung nach festen Regeln
Repressalienverbot	Keine Benachteiligung wegen einer Meldung	Schulung von Führungskräften, Beweislastregel beachten

Die Einzelheiten ergeben sich aus den §§ 8 bis 18 sowie § 36 HinSchG. Die Tabelle fasst die Pflichten vereinfachend zusammen und ersetzt nicht die Prüfung des Gesetzestextes.

Interne Meldestelle: Aufbau und Besetzung

Die interne Meldestelle kann mit eigenen Personen besetzt oder an einen Dritten übertragen werden, etwa an eine Rechtsanwaltskanzlei oder einen spezialisierten Dienstleister. Unternehmen mit weniger als 250 Beschäftigten dürfen eine gemeinsame Meldestelle betreiben. Unabhängig vom Modell trägt der Beschäftigungsgeber die Verantwortung dafür, dass Verstöße abgestellt werden.

Anforderungen an die Personen

• Unabhängigkeit bei der Ausübung der Tätigkeit: Die Personen dürfen keinen Weisungen unterliegen, die ihre Entscheidung über Meldungen beeinflussen.
• Fachkunde: Notwendig sind Kenntnisse im Umgang mit Meldungen, in der Sachverhaltsermittlung sowie im Datenschutz und im Arbeitsrecht.
• Interessenkonflikte: Andere Aufgaben sind zulässig, solange sie keine Interessenkonflikte auslösen. Eine Besetzung mit der Geschäftsführung selbst oder mit der Personalleitung ist deshalb kritisch zu prüfen.
• Vertretung: Für Urlaub und Krankheit muss eine Vertretung benannt sein, damit Fristen eingehalten werden.

Eigenbetrieb oder externe Meldestelle

Beim Eigenbetrieb behält das Unternehmen die Kontrolle über Informationen und Abläufe, trägt aber den Aufwand für Schulung, Technik und Vertretung. Eine externe Meldestelle entlastet das Unternehmen und stärkt wegen der Distanz oft das Vertrauen der Beschäftigten. Sie erfordert klare vertragliche Regelungen zu Weisungsrechten, Datenschutz und Informationsfluss. Der Auftragnehmer verarbeitet in der Regel personenbezogene Daten im Auftrag, sodass ein Vertrag nach Art. 28 DSGVO erforderlich sein kann.

Meldekanäle gestalten

Das Gesetz verlangt, dass Meldungen mündlich oder in Textform abgegeben werden können. Auf Ersuchen der hinweisgebenden Person ist eine persönliche Zusammenkunft innerhalb angemessener Zeit zu ermöglichen. Die Kanäle müssen so gestaltet sein, dass nur die zuständigen Personen Zugriff haben.

• Elektronisches Hinweisgebersystem mit verschlüsselter Übertragung und der Möglichkeit, über ein geschütztes Postfach mit der meldenden Person zu kommunizieren.
• Telefonische Meldemöglichkeit mit klar benannter Erreichbarkeit und Regeln zur Aufzeichnung, die nur mit Einwilligung zulässig ist.
• Persönliche Zusammenkunft mit einer geschützten Terminvergabe, die keine Rückschlüsse für Kollegen zulässt.
• Zugang für Personen außerhalb des Unternehmens, etwa Leiharbeitnehmer, Lieferanten oder Bewerber, soweit sie im beruflichen Kontext Informationen erlangt haben.

Anonyme Meldungen sollen nach dem Gesetz bearbeitet werden, eine Pflicht zur Einrichtung eines anonymen Kanals besteht nicht. In der Praxis erhöht ein Kanal, der anonyme Rückfragen erlaubt, die Meldebereitschaft und die Qualität der Hinweise deutlich.

Ablauf eines Verfahrens Schritt für Schritt

1. Eingang: Die Meldung wird erfasst, mit einer Fallnummer versehen und vertraulich abgelegt.
2. Eingangsbestätigung: Spätestens nach sieben Tagen erhält die meldende Person eine Bestätigung.
3. Erstprüfung: Die Meldestelle prüft, ob der Anwendungsbereich eröffnet ist und ob der Hinweis plausibel erscheint.
4. Kontakt: Bei Bedarf werden Rückfragen gestellt, um den Sachverhalt zu präzisieren.
5. Folgemaßnahmen: Die Meldestelle ergreift angemessene Maßnahmen, etwa interne Untersuchung, Abgabe an die zuständige Stelle oder Einstellung des Verfahrens mangels Anhaltspunkten.
6. Rückmeldung: Innerhalb von drei Monaten nach der Eingangsbestätigung wird über geplante oder ergriffene Maßnahmen informiert, soweit dies Rechte Dritter nicht beeinträchtigt.
7. Abschluss und Dokumentation: Ergebnis, Maßnahmen und Löschfristen werden festgehalten.

Zwischen den Schritten sind Interessen der betroffenen Person zu wahren. Die Unschuldsvermutung gilt auch im internen Verfahren, und Vorwürfe dürfen nicht an Dritte gelangen, die nicht beteiligt sind.

Vertraulichkeit und Schutz vor Repressalien

Die Identität der hinweisgebenden Person sowie der in der Meldung genannten Personen unterliegt dem Vertraulichkeitsgebot. Ausnahmen bestehen nur in eng umrissenen Fällen, etwa auf Anordnung in Strafverfahren. Die Zahl der Personen, die Zugang zu Meldungen haben, sollte daher klein gehalten und über ein Rollenkonzept dokumentiert werden.

Das Gesetz verbietet Repressalien gegen hinweisgebende Personen, also Kündigung, Abmahnung, Versagen einer Beförderung oder andere Benachteiligungen. Erleidet eine hinweisgebende Person nach einer Meldung eine Benachteiligung, wird vermutet, dass diese eine Repressalie darstellt, sofern die Person dies geltend macht. Der Arbeitgeber muss in diesem Fall nachweisen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen beruhte. Dieses Beweislastprinzip macht die Dokumentation personeller Entscheidungen besonders wichtig.

Führungskräfte sollten geschult werden, wie sie reagieren, wenn ihnen Hinweise direkt zugetragen werden. Sie sollten auf die Meldestelle verweisen und keine eigenen Ermittlungen anstellen.

Datenschutz im Hinweisgebersystem

In Hinweisen werden personenbezogene Daten verarbeitet, teils besonderer Kategorien. Das Hinweisgeberschutzgesetz enthält eine eigene Befugnis zur Verarbeitung für die Aufgabenerfüllung der Meldestelle. Daneben gelten die Grundsätze der Datenschutz-Grundverordnung, insbesondere Zweckbindung, Datenminimierung und Speicherbegrenzung.

• Aufnahme der Verarbeitung in das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO).
• Prüfung, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, insbesondere bei umfangreichen oder sensiblen Verfahren.
• Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Anbietern des Meldesystems.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, etwa Verschlüsselung, Zugriffskontrolle und Protokollierung.
• Löschkonzept: Die Dokumentation der Meldungen ist grundsätzlich drei Jahre nach Abschluss des Verfahrens zu löschen, sofern nicht eine längere Aufbewahrung erforderlich und verhältnismäßig ist.
• Information der Betroffenen nach Art. 13 und 14 DSGVO unter Beachtung der gesetzlichen Beschränkungen, wenn der Zweck der Aufklärung dadurch gefährdet würde.

Hinweisgebende und betroffene Personen haben Betroffenenrechte. Die Auskunft kann jedoch eingeschränkt werden, soweit dies zum Schutz der Identität der meldenden Person erforderlich ist. Die Abwägung sollte mit dem Datenschutzbeauftragten abgestimmt werden.

Externe Meldestellen und Wahlrecht der hinweisgebenden Person

Hinweisgebende Personen haben ein Wahlrecht zwischen interner und externer Meldung. Als zentrale externe Meldestelle ist beim Bundesamt für Justiz eine Stelle eingerichtet, daneben bestehen Meldestellen für bestimmte Bereiche, etwa bei der Finanzaufsicht und beim Bundeskartellamt. Das Gesetz sieht vor, dass die interne Meldung bevorzugt werden sollte, wenn intern wirksam gegen den Verstoß vorgegangen werden kann und keine Repressalien befürchtet werden.

Für Unternehmen bedeutet dies: Je besser das interne System funktioniert, desto geringer ist die Wahrscheinlichkeit, dass Hinweise unmittelbar bei Behörden landen. Ein vertrauenswürdiges internes Verfahren ist daher auch aus wirtschaftlicher Sicht sinnvoll, weil es dem Unternehmen die Möglichkeit gibt, Verstöße selbst aufzuklären und abzustellen.

Sanktionen und Haftungsrisiken

Das Gesetz sieht Bußgelder vor, unter anderem für das Behindern von Meldungen, für das Ergreifen von Repressalien und für den Verstoß gegen das Vertraulichkeitsgebot. Auch das Unterlassen der Einrichtung einer erforderlichen Meldestelle kann mit einem Bußgeld belegt werden. Die Höhe richtet sich nach dem Einzelfall und der Regelung in § 40 HinSchG. Neben Bußgeldern bestehen Schadensersatzrisiken gegenüber hinweisgebenden Personen, wenn Repressalien nachgewiesen werden.

Für die Geschäftsführung kommt ein organisatorisches Risiko hinzu. Wer Hinweise nicht ordnungsgemäß behandelt, verliert die Chance, Verstöße früh zu erkennen, und muss mit Folgen rechnen, wenn ein Verstoß später öffentlich wird. Die Dokumentation eines ordnungsgemäßen Verfahrens ist daher auch ein Nachweis sorgfältiger Unternehmensführung.

Einbindung in das Compliance-Management

Ein Hinweisgebersystem steht nicht für sich, sondern ergänzt die übrigen Bausteine des Compliance-Managements. Die Erkenntnisse aus Meldungen liefern Hinweise auf Schwachstellen in Prozessen, Richtlinien und Kontrollen. Sie sollten daher in anonymisierter Form an die Verantwortlichen für Risikomanagement, Datenschutz und Informationssicherheit zurückgespielt werden. Häufen sich Meldungen zu einem Bereich, ist dies ein Anlass, Abläufe und Führungsverhalten dort zu überprüfen.

Auch die Schulung gehört dazu. Regelmäßige Hinweise, dass Meldungen erwünscht sind und geschützt werden, stärken die Kultur, in der Probleme früh angesprochen werden. Die Geschäftsführung sollte den Stellenwert des Verfahrens ausdrücklich bestätigen und dafür sorgen, dass Meldungen nicht als Illoyalität verstanden werden.

Häufige Fehler und Stolperfallen

• Briefkasten ohne Verfahren: Es gibt einen Kanal, aber keine Zuständigkeiten, Fristen und Dokumentation.
• Fehlende Unabhängigkeit: Die Meldestelle ist mit Personen besetzt, die in Interessenkonflikte geraten können oder Weisungen der Geschäftsführung unterliegen.
• Unklare Kommunikation: Die Beschäftigten wissen nicht, dass es die Meldestelle gibt, wie sie funktioniert und wie sie geschützt werden.
• Datenschutz als Nachgedanke: Verarbeitungsverzeichnis, Löschkonzept und Auftragsverarbeitungsvertrag werden erst nach dem Start erstellt.
• Ermittlungen durch Vorgesetzte: Führungskräfte versuchen, Hinweise selbst aufzuklären, und gefährden damit Vertraulichkeit und Beweislage.
• Fristversäumnis: Eingangsbestätigung und Rückmeldung werden nicht überwacht, insbesondere bei Urlaub oder Krankheit der zuständigen Person.

Ein Hinweisgebersystem ist nur so wirksam wie das Vertrauen der Beschäftigten, dass eine Meldung ernst genommen wird und folgenlos für sie bleibt.

Einführung im Mittelstand: Vorgehen

Für die Einführung genügt ein überschaubares Projekt. Zunächst wird geprüft, ob die Pflicht besteht und welches Betriebsmodell passt. Anschließend werden Personen benannt, Kanäle ausgewählt und ein Verfahrenshandbuch erstellt, das Zuständigkeiten, Fristen, Dokumentation und Löschung regelt. Besteht ein Betriebsrat, sind Mitbestimmungsrechte zu prüfen, insbesondere wenn technische Einrichtungen eingesetzt werden, die zur Überwachung geeignet sind.

Die Information der Beschäftigten ist ein zentraler Erfolgsfaktor. Sie sollte verständlich erklären, wer Hinweise geben kann, wie dies geschieht und welcher Schutz besteht. Geeignet sind Aushänge, Intranet, Einführungsunterlagen für neue Mitarbeitende und eine kurze Schulung für Führungskräfte. Nach etwa einem Jahr sollte das Verfahren ausgewertet werden: Wie viele Meldungen gingen ein, wie lange dauerte die Bearbeitung, und wo traten Schwierigkeiten auf? Die Auswertung erfolgt anonymisiert, damit keine Rückschlüsse auf einzelne Personen möglich sind.

Checkliste für die Umsetzung

1. Prüfen, ob die Pflicht zur Einrichtung einer internen Meldestelle besteht.
2. Betriebsmodell festlegen: eigene Meldestelle, externe Meldestelle oder gemeinsame Stelle.
3. Personen benennen, Unabhängigkeit und Fachkunde dokumentieren, Vertretung regeln.
4. Meldekanäle einrichten: elektronisch, telefonisch und persönlich.
5. Verfahrenshandbuch mit Fristen, Zuständigkeiten und Dokumentationspflichten erstellen.
6. Rollen- und Berechtigungskonzept für den Zugriff auf Meldungen festlegen.
7. Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsvertrag und Löschkonzept erstellen.
8. Datenschutz-Folgenabschätzung prüfen und Betriebsrat beteiligen, soweit erforderlich.
9. Beschäftigte und Führungskräfte informieren und schulen.
10. Jährliche Auswertung und Überprüfung des Verfahrens einplanen.

FAQ

Wer muss ein Hinweisgebersystem einrichten?
Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten sind verpflichtet, eine interne Meldestelle einzurichten und zu betreiben. Kleinere Unternehmen können dies freiwillig tun. Maßgeblich sind die Vorschriften des Hinweisgeberschutzgesetzes.

Welche Fristen gelten für die interne Meldestelle?
Die meldende Person erhält spätestens nach sieben Tagen eine Eingangsbestätigung. Innerhalb von drei Monaten nach der Bestätigung ist eine Rückmeldung zu geben, welche Maßnahmen geplant oder ergriffen wurden, soweit dies Rechte Dritter nicht beeinträchtigt.

Muss ein anonymer Meldekanal angeboten werden?
Eine Pflicht zur Einrichtung eines anonymen Kanals besteht nicht. Anonym eingehende Meldungen sollen jedoch bearbeitet werden. In der Praxis erhöht ein Kanal mit anonymer Rückfrage die Meldebereitschaft.

Darf die Meldestelle an einen Dienstleister übertragen werden?
Ja. Die interne Meldestelle kann einem Dritten übertragen werden, etwa einer Kanzlei oder einem spezialisierten Anbieter. Die Verantwortung für das Abstellen von Verstößen bleibt beim Unternehmen, und datenschutzrechtliche Verträge sind abzuschließen.

Wie lange dürfen Hinweise gespeichert werden?
Die Dokumentation wird grundsätzlich drei Jahre nach Abschluss des Verfahrens gelöscht. Eine längere Aufbewahrung ist nur zulässig, soweit sie erforderlich und verhältnismäßig ist, etwa wegen laufender Verfahren.