Hinweisgeberschutzgesetz, Deutschlands Whistleblower-Gesetz

Das Hinweisgeberschutzgesetz (HinSchG) ist das deutsche Whistleblower-Gesetz. Es schützt Menschen, die berufliche Verstöße melden, vor Vergeltung. Es überführt die EU-Richtlinie 2019/1937 in deutsches Recht und geht in mehreren Punkten über deren Mindestvorgaben hinaus. Das Gesetz ist seit dem 2. Juli 2023 in Kraft. Es verpflichtet Unternehmen und Behörden, einen sicheren Meldeweg einzurichten. Im Folgenden erklären wir, für wen es gilt, was Sie vorbereiten müssen und welche Bußgelder drohen.

Wer muss das Hinweisgeberschutzgesetz einhalten?

Die Pflicht beginnt bei 50 Beschäftigten. Jeder Arbeitgeber mit in der Regel 50 oder mehr Beschäftigten muss eine interne Meldestelle einrichten und betreiben. Die Beschäftigtenzahl entscheidet, nicht die Rechtsform: Sie gilt für GmbHs, Vereine, Stiftungen und Behörden gleichermaßen.

Manche Arbeitgeber sind unabhängig von ihrer Größe erfasst. Dazu zählen Wertpapierdienstleister, Kreditinstitute, Kapitalverwaltungsgesellschaften, Versicherungen und weitere Akteure des Finanzsektors. Bei ihnen gilt die Pflicht schon ab dem ersten Beschäftigten.

Kleinere Unternehmen erhielten mehr Zeit. Arbeitgeber mit 50 bis 249 Beschäftigten mussten ihre interne Meldestelle erst bis zum 17. Dezember 2023 einrichten. Größere Unternehmen waren schon mit dem Inkrafttreten am 2. Juli 2023 in der Pflicht. Mehrere private Arbeitgeber dieser Größe dürfen außerdem eine gemeinsame Meldestelle betreiben, um Aufwand zu teilen.

Wie richten Sie die interne Meldestelle ein?

Der interne Meldeweg ist die erste Anlaufstelle. Das Gesetz möchte, dass Beschäftigte ihn zuerst nutzen, wenn intern wirksam gegen den Verstoß vorgegangen werden kann und keine Vergeltung droht. Er muss eigenen Beschäftigten und überlassenen Leiharbeitnehmern offenstehen und kann auf weitere Personen erweitert werden, die beruflich mit dem Arbeitgeber zu tun haben.

Die Meldestelle muss mehrere Anforderungen erfüllen:

• Meldungen in Textform und mündlich ermöglichen, mündlich per Telefon oder Sprachnachricht;
• auf Wunsch eine persönliche Zusammenkunft anbieten;
• die Vertraulichkeit des Hinweisgebers und der genannten Personen wahren;
• eine fachkundige Person betrauen, die unabhängig und frei von Interessenkonflikten arbeitet;
• jede Meldung dauerhaft dokumentieren und die Dokumentation drei Jahre nach Abschluss des Verfahrens löschen;
• personenbezogene Daten gemäß der DSGVO verarbeiten.

Anonyme Meldungen sind ein Sonderfall. Die Meldestelle soll auch anonym eingehende Meldungen bearbeiten. Eine Pflicht, den Kanal technisch für anonyme Meldungen zu öffnen, schreibt das Gesetz jedoch nicht vor. Wer anonyme Meldungen zulässt, gewinnt das Vertrauen der Belegschaft und erfährt früher von Problemen.

Das Verfahren ist nicht dasselbe wie das Werkzeug. Der Kanal legt die Abläufe fest, doch das System muss zuverlässig sein, Daten sicher speichern und den Zugriff strikt begrenzen. Wemoral erfüllt als Whistleblowing-System diese Anforderungen. Sie führen es ein, ohne ein Werkzeug von Grund auf zu bauen. Wenn Sie bei null anfangen, helfen wir mit einer Vorlage für eine Whistleblowing-Richtlinie und einer Anleitung zur Einrichtung des Systems.

Welche Verstöße können gemeldet werden?

Der Anwendungsbereich ist bewusst weit gefasst. Deutschland ist über die EU-Vorgaben hinausgegangen. Über die Meldestelle können Sie unter anderem Folgendes melden:

• alle strafbewehrten Verstöße, also Handlungen, die einen Straftatbestand erfüllen;
• bußgeldbewehrte Verstöße, soweit sie Leben, Leib, Gesundheit oder die Rechte von Beschäftigten schützen;
• Verstöße gegen zahlreiche Rechtsgebiete: Geldwäsche, Produktsicherheit, Umweltschutz, Datenschutz (DSGVO), Lebensmittelsicherheit, Vergaberecht, Steuerrecht sowie Wettbewerbs- und Kartellrecht.

Der Katalog wächst weiter. Der Gesetzgeber hat den Anwendungsbereich seit dem Inkrafttreten erweitert. Seit Ende 2025 zählen unter anderem Verstöße gegen die Vorgaben für digitale Märkte und für Kryptowerte dazu.

Einige Bereiche bleiben ausgenommen. Das Gesetz erfasst keine Informationen, die die nationale Sicherheit oder Verschlusssachen betreffen. Geschützt bleiben außerdem das anwaltliche und ärztliche Berufsgeheimnis sowie das richterliche Beratungsgeheimnis.

Wer kann Hinweisgeber sein?

Nicht nur der fest angestellte Beschäftigte. Ein Hinweisgeber ist jede natürliche Person, die im Rahmen ihrer beruflichen Tätigkeit von einem Verstoß erfährt und ihn meldet. Wir erläutern dies ausführlich in unserem Beitrag dazu, wer ein Whistleblower ist. Nach dem Gesetz kann dies sein:

• die Arbeitnehmerin und der Arbeitnehmer, auch in der Berufsausbildung;
• die Beamtin und der Beamte, Richterinnen und Richter sowie Soldatinnen und Soldaten;
• die arbeitnehmerähnliche Person, etwa in Heimarbeit;
• der Mensch mit Behinderung, der in einer Werkstatt beschäftigt ist;
• der überlassene Leiharbeitnehmer sowie Personen im Vorfeld einer Tätigkeit, etwa Bewerber.

Der Schutz erstreckt sich auch auf Personen, die den Hinweisgeber unterstützen, sowie auf nahestehende Kollegen und Angehörige, die deswegen Repressalien erleiden könnten.

Wie wird der Hinweisgeber geschützt?

Das Herzstück des Gesetzes ist der Schutz vor Repressalien. Der Schutz greift mit der Meldung oder der Offenlegung. Es gibt eine Bedingung: Der Hinweisgeber muss zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme gehabt haben, dass die Informationen zutrafen und in den Anwendungsbereich des Gesetzes fielen. Wer hingegen vorsätzlich oder grob fahrlässig falsche Informationen meldet, ist nicht geschützt und haftet für den daraus entstehenden Schaden.

Verbot von Repressalien

Repressalien sind verboten. Eine Repressalie ist jeder ungerechtfertigte Nachteil im beruflichen Umfeld, der auf eine Meldung folgt: Kündigung, Abmahnung, Versagung einer Beförderung, Versetzung, Gehaltskürzung, Mobbing oder eine schlechte Beurteilung. Das Verbot erfasst auch die Androhung und den Versuch solcher Maßnahmen.

Umkehr der Beweislast

Der Hinweisgeber muss die Repressalie nicht beweisen. Erleidet er nach einer Meldung einen Nachteil, wird vermutet, dass dieser Nachteil eine Vergeltung ist. Dann muss der Arbeitgeber beweisen, dass die Maßnahme auf anderen, gerechtfertigten Gründen beruhte. Verletzt er das Verbot, schuldet er dem Hinweisgeber Schadensersatz.

„Erleidet eine hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit und macht sie geltend, diese Benachteiligung infolge einer Meldung oder Offenlegung nach diesem Gesetz erlitten zu haben, so wird vermutet, dass diese Benachteiligung eine Repressalie für diese Meldung oder Offenlegung ist.“
§ 36 Absatz 2 des Hinweisgeberschutzgesetzes

Rechte, die nicht abdingbar sind

Die Rechte des Hinweisgebers lassen sich nicht vertraglich aushebeln. Vereinbarungen, die diese Rechte einschränken, sind unwirksam, ob sie im Arbeitsvertrag, in einer Verschwiegenheitsklausel oder in einem Aufhebungsvertrag stehen. Eine Klausel, die das Melden untersagt, hält vor Gericht nicht stand.

Meldewege

Das Gesetz stellt drei Wege bereit, denselben Verstoß zu melden:

Der Hinweisgeber hat die freie Wahl zwischen intern und extern. Das Gesetz empfiehlt, zuerst intern zu melden, schreibt es aber nicht vor. Das Bundesamt für Justiz betreibt die zentrale externe Meldestelle des Bundes. Auch sie bestätigt den Eingang innerhalb von sieben Tagen und gibt innerhalb von drei Monaten eine Rückmeldung, bei umfangreichen Fällen innerhalb von sechs Monaten. Eine Offenlegung gegenüber der Öffentlichkeit ist nur geschützt, wenn die Meldestelle nicht rechtzeitig reagiert hat oder eine unmittelbare Gefahr für das öffentliche Interesse besteht.

Welche Bußgelder sieht das Gesetz vor?

Verstöße gegen das Gesetz sind teuer. Die Höhe richtet sich danach, wie schwer der Verstoß wiegt. Der Gesetzgeber hatte zunächst bis zu 100.000 € vorgesehen, im Vermittlungsausschuss wurde der Rahmen jedoch auf 50.000 € gesenkt.

Für Unternehmen vervielfacht sich der Rahmen. Über den Verweis auf § 30 des Gesetzes über Ordnungswidrigkeiten kann sich das Höchstbußgeld gegen eine juristische Person verzehnfachen. Aus 50.000 € werden so bis zu 500.000 €, etwa wenn die Leitung eine Meldung behindert oder die Vertraulichkeit bricht.

Drei Jahre nach dem Stichtag ist die Frage nicht mehr, ob das Hinweisgeberschutzgesetz gilt, sondern ob Ihr Meldeweg einer Prüfung standhält. Das Bundesamt für Justiz verhängt die Bußgelder, und eine fehlende oder scheinbare Meldestelle fällt spätestens dann auf, wenn ein Beschäftigter sich extern beschwert. Sehen Sie in unserer Liste der Whistleblowing-Gesetze nach Land, wie sich Deutschland in das übrige Europa einfügt, und richten Sie eine Meldestelle ein, die mehr ist als ein Kästchen auf einer Checkliste.