Was ist das Hinweisgeberschutzgesetz?
Das Hinweisgeberschutzgesetz regelt, wie Hinweise auf Rechtsverstöße in Unternehmen und Behörden gemeldet, bearbeitet und geschützt werden. Es setzt die Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, in deutsches Recht um. In Kraft ist es seit dem 2. Juli 2023.
§ 1 HinSchG schützt Personen, die im beruflichen Zusammenhang von Verstößen erfahren und diese melden oder offenlegen. Geschützt sind auch die Personen, die Gegenstand einer Meldung sind. Im Compliance-Management-System ist die interne Meldestelle der Kanal, über den solche Hinweise eingehen.
Wer muss eine interne Meldestelle einrichten?
Die Pflicht trifft nach § 12 Abs. 2 HinSchG Beschäftigungsgeber „mit jeweils in der Regel mindestens 50 Beschäftigten“. Maßgeblich ist die regelmäßige Beschäftigtenzahl, nicht ein Stichtag. Beschäftigungsgeber sind nach § 3 Abs. 9 HinSchG natürliche und juristische Personen sowie rechtsfähige Personengesellschaften und sonstige rechtsfähige Personenvereinigungen.
| Beschäftigungsgeber | Pflicht zur internen Meldestelle | Grundlage |
|---|---|---|
| Finanz- und Wertpapierbereich, z. B. Institute nach KWG, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen | seit dem 02.07.2023, unabhängig von der Beschäftigtenzahl | § 12 Abs. 3, § 42 Abs. 1 Satz 2 |
| private Beschäftigungsgeber mit in der Regel mindestens 250 Beschäftigten | seit dem 02.07.2023 | § 12 Abs. 1 und 2 |
| private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten | seit dem 17.12.2023 | § 42 Abs. 1 Satz 1 |
| öffentliche Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten | seit dem 02.07.2023; Gemeinden nach Maßgabe des Landesrechts | § 12 Abs. 1 Satz 2 bis 4, Abs. 2 |
| Beschäftigungsgeber mit in der Regel weniger als 50 Beschäftigten | keine Pflicht nach § 12 | § 12 Abs. 2 |
Für die Einordnung zählt also zuerst die Branche und erst danach die Beschäftigtenzahl. Die Schritte von der Pflichtprüfung bis zur Dokumentation enthält die Checkliste zur Einführung eines Hinweisgebersystems.
Welche Verstöße fallen unter das HinSchG?
Das HinSchG gilt nur für Meldungen über die Verstöße, die § 2 HinSchG aufzählt. Ein allgemeiner Beschwerdekanal ist die interne Meldestelle damit nicht. Zu den Kategorien des § 2 Abs. 1 gehören:
- strafbewehrte Verstöße (Nr. 1);
- bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift Leben, Leib, Gesundheit oder die Rechte von Beschäftigten und ihren Vertretungsorganen schützt (Nr. 2);
- Verstöße in benannten Rechtsbereichen, darunter Geldwäsche, Produktsicherheit, Umweltschutz und Datenschutz nach der Verordnung (EU) 2016/679 (DSGVO) (Nr. 3);
- Verstöße gegen das Vergaberecht ab den EU-Schwellenwerten (Nr. 4) und gegen das Kartellrecht (Nr. 8);
- Verstöße gegen die Verordnung (EU) 2024/1689, bekannt als KI-Verordnung (Nr. 10).
Für die Informationssicherheit ist der Anwendungsbereich eng. § 2 Abs. 1 Nr. 3 Buchst. q erfasst Verstöße gegen Vorschriften zur IT-Sicherheit nur bei besonders wichtigen und wichtigen Einrichtungen dreier Arten. Das sind Anbieter von Cloud-Computing-Diensten (Anlage 1 Nr. 6.1.4 BSIG) sowie Anbieter von Online-Marktplätzen und Online-Suchmaschinen (Anlage 2 Nr. 6.1.1 und 6.1.2 BSIG). Bei anderen Einrichtungen fällt ein Sicherheitsverstoß nur über eine andere Kategorie unter das Gesetz, etwa als Straftat nach Nr. 1.
Meldekanäle: mündlich oder in Textform, anonym freiwillig
Interne Meldekanäle müssen nach § 16 Abs. 3 HinSchG Meldungen „in mündlicher oder in Textform“ ermöglichen. Mündlich heißt per Telefon oder über eine andere Art der Sprachübermittlung. Auf Wunsch der hinweisgebenden Person ist innerhalb angemessener Zeit ein persönliches Treffen zu ermöglichen, mit ihrer Einwilligung auch per Bild- und Tonübertragung.
Offen stehen müssen die Kanäle den Beschäftigten und überlassenen Leiharbeitnehmerinnen und Leiharbeitnehmern (§ 16 Abs. 1 Satz 1). Der Beschäftigungsgeber kann sie für weitere Personen öffnen, die beruflich mit ihm in Kontakt stehen. Zugriff auf eingehende Meldungen dürfen nach § 16 Abs. 2 nur die zuständigen und die sie unterstützenden Personen haben.
Zur Anonymität sagt § 16 Abs. 1: Die interne Meldestelle „sollte“ auch anonym eingehende Meldungen bearbeiten. Eine Pflicht, die Kanäle für anonyme Meldungen auszulegen, besteht ausdrücklich nicht.
Sechs Aufgaben und die Fristen nach § 17 HinSchG
Die interne Meldestelle hat nach § 17 Abs. 1 HinSchG sechs Aufgaben:
- den Eingang der Meldung bestätigen;
- prüfen, ob der Verstoß in den Anwendungsbereich nach § 2 fällt;
- mit der hinweisgebenden Person Kontakt halten;
- die Stichhaltigkeit der Meldung prüfen;
- bei Bedarf weitere Informationen anfordern;
- angemessene Folgemaßnahmen nach § 18 ergreifen.
| Schritt | Frist | Grundlage |
|---|---|---|
| Eingangsbestätigung | spätestens nach sieben Tagen | § 17 Abs. 1 Nr. 1 |
| Rückmeldung nach Eingangsbestätigung | innerhalb von drei Monaten nach der Bestätigung | § 17 Abs. 2 Satz 1 |
| Rückmeldung ohne Eingangsbestätigung | spätestens drei Monate und sieben Tage nach Eingang | § 17 Abs. 2 Satz 1 |
Die Rückmeldung nennt geplante und bereits ergriffene Folgemaßnahmen und ihre Gründe. Sie darf interne Nachforschungen nicht berühren und die Rechte gemeldeter Personen nicht beeinträchtigen (§ 17 Abs. 2 Satz 3). Beide Fristen knüpfen an Eingang oder Bestätigung an, nicht an den Abschluss der Prüfung.
Auslagerung an Dritte: Die Verantwortung bleibt beim Beschäftigungsgeber
Die Aufgaben der internen Meldestelle kann nach § 14 Abs. 1 HinSchG eine beschäftigte Person, eine Arbeitseinheit oder ein Dritter übernehmen. Dritter kann etwa eine Kanzlei oder ein Ombudsdienst sein. Die Betrauung eines Dritten entbindet den Beschäftigungsgeber nicht von der Pflicht, selbst geeignete Maßnahmen zu ergreifen, um einen Verstoß abzustellen.
Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten dürfen nach § 14 Abs. 2 gemeinsam eine Stelle einrichten und betreiben. Geteilt werden die Entgegennahme der Meldungen und die weiteren Verfahrensschritte. Die Pflicht, den Verstoß abzustellen, und die Rückmeldung an die hinweisgebende Person bleiben beim einzelnen Beschäftigungsgeber.
Interne oder externe Meldung: Die hinweisgebende Person wählt
Nach § 7 Abs. 1 HinSchG wählt die hinweisgebende Person, ob sie intern oder extern meldet. Die externe Meldestelle des Bundes ist nach § 19 HinSchG beim Bundesamt für Justiz eingerichtet.
Nach § 7 Abs. 3 sollen Beschäftigungsgeber Anreize für die interne Meldung schaffen. Klare und leicht zugängliche Informationen über das interne Verfahren müssen sie bereitstellen. Die Unterschiede beider Wege zeigt der Vergleich interne vs. externe Meldestelle.
Repressalienverbot mit Beweislastumkehr
Repressalien sind nach § 3 Abs. 6 HinSchG Handlungen oder Unterlassungen im beruflichen Zusammenhang, die auf eine Meldung reagieren. Sie fügen der hinweisgebenden Person einen ungerechtfertigten Nachteil zu oder können das. § 36 Abs. 1 HinSchG verbietet sie, einschließlich Androhung und Versuch.
§ 36 Abs. 2 kehrt die Beweislast um. Macht eine benachteiligte hinweisgebende Person geltend, der Nachteil sei eine Folge ihrer Meldung, wird eine Repressalie vermutet. Wer benachteiligt hat, muss dann beweisen, dass hinreichend gerechtfertigte Gründe vorlagen oder dass der Nachteil nicht auf der Meldung beruhte.
Welche Bußgelder sieht § 40 HinSchG vor?
§ 40 Abs. 6 HinSchG staffelt die Geldbußen in drei Rahmen. Gegen Unternehmen verweist § 40 Abs. 6 Satz 2 auf § 30 Abs. 2 Satz 3 OWiG, der das Höchstmaß für die dort genannten Tatbestände verzehnfacht.
| Tatbestand | Höchstbetrag nach § 40 Abs. 6 | Höchstbetrag gegen Unternehmen (§ 30 Abs. 2 Satz 3 OWiG) |
|---|---|---|
| Behindern einer Meldung (Abs. 2 Nr. 1) | 50.000 Euro | 500.000 Euro |
| Repressalie (Abs. 2 Nr. 3) | 50.000 Euro | 500.000 Euro |
| vorsätzliche oder leichtfertige Verletzung der Vertraulichkeit (Abs. 3) | 50.000 Euro | 500.000 Euro |
| Versuch in den Fällen des Abs. 2 Nr. 1 und 3 (Abs. 5) | 50.000 Euro | nicht ausdrücklich geregelt |
| wissentliche Offenlegung unrichtiger Informationen (Abs. 1) | 20.000 Euro | 20.000 Euro (Höchstmaß wie links, § 30 Abs. 2 Satz 2 OWiG) |
| keine interne Meldestelle eingerichtet und betrieben (Abs. 2 Nr. 2) | 20.000 Euro | 20.000 Euro (Höchstmaß wie links, § 30 Abs. 2 Satz 2 OWiG) |
| fahrlässige Verletzung der Vertraulichkeit (Abs. 4) | 10.000 Euro | 100.000 Euro |
Für die fehlende interne Meldestelle gilt der Verweis auf die Verzehnfachung nicht.