Hinweisgeberschutzgesetz: Pflichten, Fristen und Bußgelder für Unternehmen

Seit dem 2. Juli 2023 sind in Deutschland Arbeitgeber mit mindestens 50 Beschäftigten gesetzlich verpflichtet, eine interne Meldestelle nach dem Hinweisgeberschutzgesetz (HinSchG) bereitzustellen. Das HinSchG setzt die EU-Richtlinie 2019/1937 in deutsches Recht um. Dieser Leitfaden erklärt, wer betroffen ist, welche Fristen und Bußgelder gelten und wie Sie die Meldestelle rechtssicher — auch ausgelagert — betreiben.

Wer braucht ein Hinweisgebersystem?

Verpflichtet sind private und öffentliche Arbeitgeber ab 50 Beschäftigten (§ 12 HinSchG). Für Unternehmen mit 50 bis 249 Beschäftigten gilt die Pflicht seit dem 17. Dezember 2023. Im Finanzsektor — Banken, Versicherer, Vermögensverwalter — besteht die Pflicht unabhängig von der Größe; hier ist die BaFin zuständig.

Die Fristen: 7 Tage und 3 Monate

Nach § 17 HinSchG ist der Eingang einer Meldung innerhalb von 7 Tagen zu bestätigen, und innerhalb von 3 Monaten muss eine Rückmeldung über ergriffene oder geplante Maßnahmen erfolgen. Die Vertraulichkeit der hinweisgebenden Person ist während des gesamten Verfahrens zu wahren.

Bußgelder nach § 40 HinSchG

• Bis zu 50.000 € für das Behindern von Meldungen, Repressalien oder Verletzungen der Vertraulichkeit
• Bis zu 20.000 €, wenn keine interne Meldestelle eingerichtet wird
• Gegen das Unternehmen selbst kann das Bußgeld auf bis zu 500.000 € steigen

Repressalien gegen hinweisgebende Personen sind verboten (§ 36 HinSchG) — und im Streitfall liegt die Beweislast beim Arbeitgeber.

Interne oder externe Meldestelle — und darf man auslagern?

Das Gesetz sieht zwei Wege vor: die interne Meldestelle, die Sie selbst betreiben, und die externe Meldestelle des Bundes beim Bundesamt für Justiz (für den Finanzsektor die BaFin). Hinweisgebende dürfen frei wählen. § 14 HinSchG erlaubt ausdrücklich, die interne Meldestelle an einen externen Dienstleister auszulagern — die Verantwortung für die Folgemaßnahmen bleibt dabei beim Unternehmen.

Anonymität und Datenschutz

Das HinSchG empfiehlt, auch anonyme Meldungen zu bearbeiten (§ 16). Entscheidender als jede Zusage ist, dass die Anonymität technisch gesichert ist: keine Protokollierung von IP-Adressen, starke Verschlüsselung und ein pseudonymer Zwei-Wege-Dialog. Und wo die Daten liegen, entscheidet über das Schrems-II-Risiko: Nach dem EuGH-Urteil sind EU-Daten bei US-Anbietern dem CLOUD Act und FISA 702 ausgesetzt, selbst wenn sie in einem EU-Rechenzentrum gespeichert werden.

Was Whistlechannel anders macht

Whistlechannel ist ein EU-Unternehmen, hostet ausschließlich in Stockholm ohne US-Subunternehmer, protokolliert keine IP-Adressen und verschlüsselt mit AES-256. Die schlüsselfertige interne Meldestelle ist in 24 EU-Sprachen verfügbar, im Self-Service in Minuten eingerichtet und transparent bepreist ab 99 SEK/Monat — ohne Vertriebsgespräch und ohne Einrichtungsgebühr.