Das deutsche HinSchG, erklärt

Deutschlands eigenes Gesetz, nicht nur die Richtlinie mit deutschem Etikett

Die EU-Hinweisgeberschutzrichtlinie — Richtlinie (EU) 2019/1937 — verpflichtet Unternehmen mit 50 oder mehr Mitarbeitenden EU-weit, ihren Beschäftigten einen geschützten, internen Weg zu bieten, um Fehlverhalten zu melden; die vollständige Grundlage, auf der jeder Mitgliedstaat aufbaut, finden Sie unter die Richtlinie, erklärt.

Deutschland hat die Richtlinie durch das Hinweisgeberschutzgesetz (HinSchG) umgesetzt — in Kraft seit dem 2. Juli 2023. Es übernimmt die zentralen Mechanismen der Richtlinie unverändert: denselben 50-Beschäftigten-Schwellenwert dafür, wer überhaupt einen Kanal braucht (siehe der 50-Beschäftigten-Schwellenwert, erklärt), dieselbe 7-Tage-Bestätigungs- und 3-Monats-Rückmeldefrist, dieselbe breite Liste verbotener Repressalien. Ein eigenes Kapitel verdient es an den Stellen, an denen es über die Mindestvorgaben der Richtlinie hinausgeht oder etwas regelt, das die Richtlinie jedem Mitgliedstaat selbst zu entscheiden überlässt.

Die zweistufige Frist — und eine separate für Bußgelder

Das HinSchG galt für Unternehmen mit 250 oder mehr Beschäftigten ab dem Moment seines Inkrafttretens, dem 2. Juli 2023. Kleinere Unternehmen — 50 bis 249 Beschäftigte — erhielten dieselbe verlängerte Frist, die die Richtlinie selbst erlaubt (Art. 26(2)): Die Pflicht, einen Kanal eingerichtet zu haben, gilt für sie ab dem 17. Dezember 2023.

Die Bußgeldvorschriften laufen nach einer eigenen Uhr. Die Sanktionen nach § 40 wurden erst ab dem

1. Dezember 2023 durchsetzbar, unabhängig von der Unternehmensgröße — eine bewusste Übergangsfrist, damit ein Unternehmen, das die Juli-Frist überschritten hatte, nicht sofort einem Bußgeld für eine Lücke ausgesetzt war, die es noch nicht hatte schließen können.

Wo ein Verstoß tatsächlich teuer wird

§ 40 legt vier separate Höchstbußgelder fest, nicht eine Zahl, die alles abdeckt:

• Bis zu 50.000 € — für die Behinderung einer Meldung oder der Folgekommunikation mit einer meldenden Person, oder für Repressalien (oder deren Versuch) gegen jemanden, der eine Meldung abgegeben hat.
• Bis zu 50.000 € — für einen vorsätzlichen oder leichtfertigen Verstoß gegen die Pflicht, die Identität einer meldenden Person vertraulich zu behandeln.
• Bis zu 20.000 € — schlicht dafür, keinen konformen internen Meldekanal eingerichtet zu haben. Das ist das Bußgeld, das die meisten Unternehmen vor Augen haben, wenn sie an "Bußgeld für Nichteinhaltung" denken — tatsächlich ist es aber das kleinste der vier.
• Bis zu 10.000 € — für einen lediglich fahrlässigen (nicht vorsätzlichen) Vertraulichkeitsverstoß.

Für ein Unternehmen statt eine Einzelperson können diese Obergrenzen deutlich höher ausfallen: Fällt ein Verstoß in eine der Kategorien, die auf § 30(2) des Ordnungswidrigkeitengesetzes verweisen, kann das Bußgeld gegen das Unternehmen selbst bis zum Zehnfachen der Einzelperson-Obergrenze betragen — bis zu 500.000 € für die schwerwiegendsten Verstöße. Die Zahl, die man sich merken sollte, ist nicht "50.000 € im schlimmsten Fall" — sondern dass die Obergrenze für ein Unternehmen deutlich höher liegt als die üblicherweise zitierte Zahl.

Anonyme Meldungen: empfohlen, nicht verpflichtend

Das HinSchG verlangt nicht, dass ein interner Kanal anonyme Meldungen entgegennimmt — § 16 verwendet "sollte", nicht "muss": Ein Kanal sollte auch anonyme Meldungen bearbeiten können, aber es gibt keine Sanktion für einen Kanal, der nur identifizierte Meldungen entgegennimmt. Das ist keine Lücke, die die Richtlinie in die eine oder andere Richtung erzwingt — Art. 6(2) der Richtlinie selbst überlässt die Anonymitätsfrage jedem Mitgliedstaat, und Deutschland hat sich für Empfehlung statt Pflicht entschieden.

Das macht anonyme Meldungen hier zu einem echten Unterscheidungsmerkmal, nicht nur zu einem Compliance-Häkchen. Provoxis behandelt es nicht als optional: Anonyme Meldungen sind für jede meldende Person immer aktiviert, ohne Einstellungsmöglichkeit — siehe anonyme vs. identifizierte Meldung, erklärt dafür, wie das mechanisch funktioniert.

Reicht eine E-Mail-Adresse?

Ja, wenn sie richtig eingerichtet ist. § 16(2) verlangt, dass die Meldekanäle so gestaltet sind, dass nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen Personen und die sie dabei unterstützenden Personen Zugriff auf eingehende Meldungen haben. IHK-Leitfäden nennen eine eigens für die Entgegennahme und Bearbeitung von Hinweisen nach dem HinSchG eingerichtete E-Mail-Adresse als zulässigen Kanal für Meldungen in Textform. Ein rein schriftlicher Kanal ist erlaubt: Nach der Gesetzesbegründung genügt es, wenn Meldungen entweder mündlich oder in Textform möglich sind. Auf Wunsch muss aber eine persönliche Zusammenkunft ermöglicht werden (§ 16(3)). Ein allgemeines Personal-Postfach, auf das auch IT-Administratoren, Archive und Weiterleitungsregeln zugreifen, erfüllt § 16(2) nicht. Siehe „Reicht eine E-Mail-Adresse als Meldekanal nach dem HinSchG?“ dafür, was ein Postfach leisten muss, und „Google Forms als Hinweisgebersystem: Geht das?“ für die Alternative mit einem Formular.

Ihr Betriebsrat hat ein Wörtchen mitzureden, wie es gebaut wird — nicht ob

Das ist keine rein deutsche Eigenheit — Artikel 8(1) der Richtlinie selbst verlangt von den Mitgliedstaaten, sicherzustellen, dass interne Kanäle nach Konsultation der Sozialpartner eingerichtet werden, soweit das nationale Recht dies vorsieht (siehe was ein konformer Kanal tatsächlich erfordert für diese EU-weite Grundlage). Deutschland setzt das über einen bereits bestehenden Mechanismus um, nicht über eine neue, HinSchG-spezifische Einrichtung: Hat Ihr Unternehmen einen Betriebsrat, hat dieser hier wahrscheinlich ein echtes, durchsetzbares Mitspracherecht — eines, das leicht übersehen wird, weil der Text des HinSchG selbst es nicht erwähnt. Deutsche Gerichte haben bestätigt, dass das Mitbestimmungsrecht des Betriebsrats nach § 87(1) Nr. 1 des Betriebsverfassungsgesetzes sich auch darauf erstreckt, wie ein interner Meldekanal ausgestaltet und betrieben wird — etwa das Meldeverfahren, wer Fälle bearbeitet, und ob er intern oder extern durch einen externen Anbieter betrieben wird. Ob überhaupt ein Kanal existiert, steht nicht zur Verhandlung — das regelt bereits § 12 HinSchG —, aber die Einzelheiten des Wie generell schon. Eine deutsche Tochtergesellschaft, die einen Kanal einrichtet, ohne den Betriebsrat beim "Wie" einzubeziehen, überspringt einen Schritt, der, wenn er angefochten wird, von einem Arbeitsgericht tatsächlich rückgängig gemacht werden kann.

Ein etwas weiterer Anwendungsbereich als der Text der Richtlinie selbst

§ 2 definiert, was das HinSchG tatsächlich abdeckt, und es reicht in einem bestimmten, wissenswerten Punkt etwas weiter als die eigene Grundlage der Richtlinie: Es behandelt einen Verstoß gegen die Informations- oder Konsultationspflichten eines Unternehmens gegenüber seinem Betriebsrat selbst als meldefähigen Verstoß, nicht nur als etwas, worüber ein Betriebsrat separat informiert wird. Hat Ihr Unternehmen einen Betriebsrat, ist das eine weitere Kategorie, die Gegenstand einer Meldung sein kann.

Drei externe Meldestellen, nicht eine

Möchte ein Beschäftigter außerhalb des Unternehmens eskalieren, hängt die richtige Adresse davon ab, worum es in der Meldung geht. Das Bundesamt für Justiz betreibt die allgemeine externe Meldestelle für die meisten Themen. Zwei Aufsichtsbehörden betreiben ihre eigenen, getrennten Kanäle für Meldungen, die in ihren jeweiligen Zuständigkeitsbereich fallen: die BaFin für Verstöße im Bereich der Finanzaufsicht, und das Bundeskartellamt für Verstöße gegen das Wettbewerbsrecht und den Digital Markets Act. Eine Meldung zum falschen Thema, die an die falsche Stelle geschickt wird, scheitert nicht — die Behörden stimmen sich untereinander ab —, aber die Aufteilung zu kennen hilft einer meldenden Person (oder einem Fallbearbeiter, der sie berät), schneller ans Ziel zu kommen.

Rechtsgrundlage

• § 40 HinSchG — die Bußgeldvorschriften und ihre vier separaten Höchstbeträge.
• § 42 HinSchG — die Übergangsregelung, die den 1. Dezember 2023 als Datum festlegt, ab dem die Bußgeldvorschriften durchsetzbar werden.
• § 16 HinSchG — anonyme Meldungen als empfohlen ("sollte"), nicht verpflichtend (§ 16(1)); Zugriff nur für die Zuständigen und die sie Unterstützenden (§ 16(2)); mündliche oder schriftliche Meldungen (laut Gesetzesbegründung, BT-Drs. 20/3442, S. 81, genügt eine der beiden Formen) sowie eine persönliche Zusammenkunft auf Wunsch (§ 16(3)).
• IHK-Leitfaden zum HinSchG — nennt eine eigens für HinSchG-Meldungen eingerichtete E-Mail-Adresse als zulässigen Kanal.
• § 12 HinSchG — die Pflicht, eine interne Meldestelle einzurichten, die außerhalb des Mitbestimmungsrechts des Betriebsrats steht.
• § 87(1) Nr. 1, Betriebsverfassungsgesetz (BetrVG) — das Mitbestimmungsrecht des Betriebsrats bei Verhaltensregeln am Arbeitsplatz, von der deutschen Rechtsprechung auf die Ausgestaltung und den Betrieb eines internen Meldekanals ausgeweitet.
• Art. 8(1), Richtlinie (EU) 2019/1937 — die EU-weite Grundlage, die eine Konsultation der Sozialpartner verlangt, die Deutschland über das BetrVG statt über einen neuen Mechanismus umsetzt.
• § 2 HinSchG — der sachliche Anwendungsbereich, einschließlich Verstößen gegen Informations- und Konsultationspflichten gegenüber dem Betriebsrat.
• § 19 HinSchG und die Zuständigkeitsseite des Bundesamts für Justiz — die Aufteilung zwischen der Bundesmeldestelle, der BaFin und dem Bundeskartellamt.
• Art. 26(2), Richtlinie (EU) 2019/1937 — die verlängerte Umsetzungsfrist, der die eigene 50–249-Beschäftigten-Frist des HinSchG folgt.