Hinweisgeberschutzgesetz: Interne Meldestelle in 5 Schritten einrichten
Ab 50 Beschäftigten ist ein interner Meldekanal Pflicht. Was das HinSchG verlangt, welche Fristen für Rückmeldungen gelten und wie Sie die Meldestelle praxistauglich aufsetzen.
Wen das HinSchG verpflichtet
Das Hinweisgeberschutzgesetz (HinSchG) setzt die EU-Whistleblower-Richtlinie um und verpflichtet Unternehmen ab 50 Beschäftigten, eine interne Meldestelle einzurichten. Für bestimmte Branchen, etwa Finanzdienstleister, gilt die Pflicht unabhängig von der Mitarbeiterzahl. Wer keinen Meldekanal betreibt, riskiert ein Bußgeld und verliert zugleich die Chance, Hinweise intern zu klären, bevor sie bei der externen Meldestelle des Bundesamts für Justiz landen.
Schritt 1: Zuständigkeit festlegen
Benennen Sie eine unabhängige Person oder Stelle, die die Meldestelle betreibt: eine interne Compliance-Funktion, ein Ombudsanwalt oder ein externer Dienstleister. Wichtig ist, dass die Person unabhängig arbeiten kann und keine Interessenkonflikte bestehen. Mehrere Konzerngesellschaften können eine gemeinsame Meldestelle nutzen.
Schritt 2: Meldekanäle öffnen
Der Kanal muss Meldungen in Textform und mündlich ermöglichen, auf Wunsch der hinweisgebenden Person auch in einem persönlichen Treffen. In der Praxis bewährt sich eine Kombination aus digitalem Meldesystem und Telefonoption. Anonyme Meldungen müssen Sie nicht zwingend ermöglichen, sollten sie aber bearbeiten, wenn sie eingehen.
Schritt 3: Fristen und Prozess definieren
- Eingangsbestätigung an die hinweisgebende Person spätestens nach 7 Tagen.
- Rückmeldung über ergriffene Folgemaßnahmen spätestens nach 3 Monaten.
- Vertraulichkeit der Identität der hinweisgebenden Person und betroffener Dritter wahren.
- Dokumentation der Meldung; Löschung in der Regel 3 Jahre nach Abschluss des Verfahrens.
Schritt 4: Repressalienverbot ernst nehmen
Das HinSchG verbietet jede Benachteiligung hinweisgebender Personen, von der Kündigung bis zur übergangenen Beförderung. Kommt es zum Streit, greift eine Beweislastumkehr: Das Unternehmen muss darlegen, dass eine Maßnahme nichts mit der Meldung zu tun hatte. Schulen Sie Führungskräfte entsprechend, bevor der erste Fall eintritt.
Schritt 5: Belegschaft informieren
Die Meldestelle wirkt nur, wenn sie bekannt und vertrauenswürdig ist. Veröffentlichen Sie klare Informationen zu Kanal, Zuständigkeit und Ablauf im Intranet und in der Datenschutzerklärung. Wer Hinweise vor dem Absenden anonymisieren möchte, kann Dokumente mit dem Whistleblower-Sanitizer von Metadaten und Klarnamen bereinigen.
Häufige Fragen
Ab wie vielen Mitarbeitern ist ein Meldekanal Pflicht?
Die interne Meldestelle ist ab 50 Beschäftigten Pflicht. Für bestimmte Unternehmen des Finanzsektors gilt die Pflicht unabhängig von der Beschäftigtenzahl. Unterhalb der Schwelle bleibt ein Meldekanal freiwillig, schafft aber Vertrauen und hält Hinweise im Haus.
Welche Fristen gelten für die Meldestelle?
Die Meldestelle muss den Eingang einer Meldung innerhalb von 7 Tagen bestätigen und der hinweisgebenden Person innerhalb von 3 Monaten eine Rückmeldung über geplante oder ergriffene Folgemaßnahmen geben.
Müssen anonyme Meldungen möglich sein?
Eine Pflicht, anonyme Meldekanäle einzurichten, besteht nach dem HinSchG nicht. Gehen anonyme Hinweise ein, sollten sie aber bearbeitet werden. Viele Unternehmen ermöglichen Anonymität freiwillig, weil sie die Meldebereitschaft deutlich erhöht.
Welche Bußgelder drohen ohne Meldestelle?
Wer entgegen der Pflicht keine interne Meldestelle einrichtet, riskiert ein Bußgeld von bis zu 20.000 Euro. Deutlich teurer sind Repressalien gegen hinweisgebende Personen: Hier drohen bis zu 50.000 Euro sowie Schadensersatzansprüche.
Weiterführende Artikel
Die 7 teuersten Compliance-Fehler deutscher KMU
Von der fehlenden LUCID-Registrierung bis zur verspäteten Datenpannen-Meldung: Diese sieben Versäumnisse kosten den Mittelstand regelmäßig fünf- bis siebenstellige Beträge.
HR & VerbraucherEntgelttransparenz: So bereiten Sie sich auf die Berichtspflicht vor
Was die EU-Richtlinie konkret fordert und wie Sie eine unerklärte Lohnlücke rechtzeitig erkennen.
CybersicherheitDatenpanne gemeldet: Der 72-Stunden-Fahrplan
Was in den ersten Stunden nach einer DSGVO-Datenpanne wirklich zählt — Schritt für Schritt.