Hinweisgeberschutzgesetz: Was Unternehmen ab 50 Mitarbeitenden jetzt umsetzen müssen

Was die Meldestelle leisten muss

• Vertrauliche Entgegennahme von Meldungen — schriftlich, mündlich und auf Wunsch im persönlichen Gespräch.
• Eingangsbestätigung innerhalb von sieben Tagen.
• Rückmeldung über ergriffene Maßnahmen innerhalb von drei Monaten.
• Absolute Vertraulichkeit der Identität des Hinweisgebers, auch gegenüber der beschuldigten Person.
• Schutz vor Vergeltungsmaßnahmen wie Entlassung, Abmahnung, Versetzung oder Diskriminierung.
• Dokumentation aller eingegangenen Meldungen über mehrere Jahre.
• Möglichkeit anonymer Meldungen, auch wenn keine Pflicht zur Bearbeitung anonymer Hinweise besteht.
• Eine benannte verantwortliche Person oder ein Dienstleister, der die Meldestelle betreibt.

Nicht jede interne Beschwerde fällt unter das Gesetz: Es gilt für Hinweise auf Verstöße gegen EU-Recht und bestimmte nationale Gesetze — darunter Strafrecht, Arbeitsrecht, Umweltrecht, Verbraucherschutz, Datenschutz und Finanzmarktregulierung.

Drei Umsetzungswege

• Externe Ombudsperson, typischerweise ein Rechtsanwalt — für kleinere Unternehmen die einfachste Variante, Vertraulichkeit ist über das Mandatsverhältnis abgesichert, aber laufende Kosten und externe Abhängigkeit.
• Digitale Meldestellenlösung als verschlüsselte, DSGVO-konforme Plattform mit anonymer Meldefunktion, Dokumentation und Fristenmanagement — für mittlere und größere Unternehmen meist die praktikablere Wahl.
• Selbst entwickelte oder selbst gehostete Lösung — maximale Kontrolle, aber mehr technischer Aufwand und eine sorgfältige DSGVO-Prüfung nötig.

Bei einer intern besetzten Meldestelle ohne externen Dienstleister muss die verantwortliche Person die absolute Vertraulichkeit der Hinweisgeberidentität garantieren können — auch gegenüber der Geschäftsführung. Das ist organisatorisch anspruchsvoll; für viele kleinere und mittlere Unternehmen ist eine externe Ombudsperson oder ein zertifizierter digitaler Dienstleister die praktisch sicherere Wahl.

Einrichtung Schritt für Schritt

• Pflicht prüfen: Die Gesamtmitarbeiterzahl im Jahresdurchschnitt ist relevant; Teilzeitkräfte werden anteilig, Leiharbeitnehmende nach Beschäftigungsdauer gezählt.
• Umsetzungsweg festlegen: je nach Unternehmensgröße zwischen externer Ombudsperson und digitalem System abwägen.
• DSGVO-konforme Umsetzung sicherstellen: Rechtsgrundlage, Eintrag im Verzeichnis der Verarbeitungstätigkeiten, technische Schutzmaßnahmen; bei externem Dienstleister ist ein Auftragsverarbeitungsvertrag Pflicht.
• Mitarbeitende informieren und schulen: aktiv, verständlich, nicht nur im Kleingedruckten der Arbeitsverträge.
• Prozesse dokumentieren und testen: wer empfängt Meldungen, wer bearbeitet sie, wie werden Fristen überwacht — ein Testlauf zeigt, ob alles funktioniert.

Sanktionen bei Nichterfüllung

Wer den Meldekanal trotz Pflicht nicht einrichtet, begeht eine Ordnungswidrigkeit — das Gesetz sieht dafür Bußgelder bis 20.000 Euro vor. Wer Hinweisgebende aktiv benachteiligt oder ihre Identität ohne Zustimmung weitergibt, riskiert deutlich höhere Bußgelder bis in den sechsstelligen Bereich.