Das Gesetz gilt. Ihr Meldesystem vielleicht nicht.Hinweisgeberschutz zwei Jahre nach Inkrafttreten: Wer wirklich compliant ist — und wer sich in falscher Sicherheit wiegt.

Ein Gesetz mit Anlaufproblemen — und langen Armen

Das Hinweisgeberschutzgesetz ist seit Juli 2023 in Kraft. Es war ein langer Weg: Die EU-Whistleblower-Richtlinie hätte bis Dezember 2021 umgesetzt sein sollen — Deutschland brauchte anderthalb Jahre länger, bis das Vertragsverletzungsverfahren der Kommission den notwendigen Druck erzeugte. Das Ergebnis ist ein Gesetz, das umfassender ist, als viele Unternehmen zunächst angenommen haben, und dessen Vollzug nach einer verhaltenen Anfangsphase nun spürbar anzieht.

Die erste Reaktion vieler Unternehmen war pragmatisch: eine Meldehotline einrichten, eine E-Mail-Adresse benennen, einen Beauftragten nominieren — fertig. Compliance-Haken gesetzt.

Das Problem: In den meisten Fällen reicht das nicht. Und die Behörden beginnen, genauer hinzusehen.

Was das HinSchG tatsächlich verlangt

Der Kern des Gesetzes ist bekannt — Unternehmen ab 50 Mitarbeitern müssen interne Meldestellen einrichten, über die Hinweisgeber Verstöße gegen bestimmte Rechtsvorschriften melden können. Aber die Anforderungen an diese Meldestellen sind erheblich präziser, als die meisten Umsetzungen es widerspiegeln.

Erstens, die Kanalanforderungen. Die interne Meldestelle muss es ermöglichen, Hinweise sowohl schriftlich als auch mündlich abzugeben — auf ausdrücklichen Wunsch des Hinweisgebers auch persönlich. Eine reine E-Mail-Adresse oder ein Webformular erfüllt das nicht vollständig. Das Mündlichkeitsgebot wird in der Praxis am häufigsten übersehen.

Zweitens, die Vertraulichkeitspflicht. Die Identität des Hinweisgebers und alle Informationen, aus denen seine Identität abgeleitet werden könnte, sind strikt vertraulich zu behandeln. Das klingt selbstverständlich — ist es organisatorisch aber nicht. Wer die Meldestelle intern betreibt und die eingehenden Meldungen direkt an die Rechtsabteilung oder den HR-Bereich weitergibt, schafft möglicherweise genau jene Transparenz, die das Gesetz verhindern will.

Drittens, die Unabhängigkeitsanforderung. Die Person oder Stelle, die die Meldungen entgegennimmt und bearbeitet, muss bei der Ausübung ihrer Tätigkeit unabhängig sein. Das ist bei internen Lösungen, bei denen der Compliance-Beauftragte gleichzeitig der Vorgesetzte potenzieller Hinweisgeber ist, strukturell schwer zu gewährleisten.

Viertens, die Reaktionspflichten. Das HinSchG sieht klare Fristen vor: Eingangsbestätigung innerhalb von sieben Tagen, Rückmeldung über ergriffene Maßnahmen innerhalb von drei Monaten. Diese Fristen müssen dokumentiert eingehalten werden — nicht nur der guten Ordnung halber, sondern weil sie im Prüfungsfall nachgewiesen werden müssen.

Fünftens, der sachliche Anwendungsbereich. Das Gesetz schützt Hinweise auf Verstöße gegen eine definierte Liste von Rechtsgebieten — EU-Recht in bestimmten Bereichen, deutsches Straf- und Ordnungswidrigkeitenrecht, und bereichsspezifische nationale Regelungen. Die interne Meldestelle muss also in der Lage sein zu beurteilen, ob ein eingehender Hinweis überhaupt in den Schutzbereich fällt — und das setzt juristische Kompetenz voraus, die eine rein administrative Hotline nicht mitbringt.

Die häufigsten Fehler in der Praxis

Zwei Jahre Erfahrung mit dem HinSchG in der Beratungspraxis zeigen ein wiederkehrendes Muster. Die technische Lösung — Meldekanal, Formular, Hotline — ist meist vorhanden. Die organisatorische und rechtliche Substanz dahinter ist es häufig nicht.

Das fängt bei der Beauftragten-Funktion an. In vielen Unternehmen ist die Compliance-Funktion mit dem HinSchG-Beauftragten identisch, der Beauftragte sitzt in der Rechtsabteilung oder im HR-Bereich, und eine echte Unabhängigkeit ist strukturell nicht gewährleistet. Im Prüfungsfall ist das ein Problem.

Es geht weiter bei der Dokumentation. Wer hat wann was gemeldet? Welche Maßnahmen wurden ergriffen? Wurden die Fristen eingehalten? Diese Dokumentation fehlt regelmäßig oder ist so fragmentiert, dass sie in einer Behördenprüfung nicht tragfähig wäre.

Und es endet bei der Schulung. Das HinSchG schützt nicht nur Hinweisgeber, die eine interne Meldestelle nutzen — es schützt auch solche, die externe Meldestellen des Bundesamts für Justiz oder der Aufsichtsbehörden nutzen, oder die an die Öffentlichkeit gehen, wenn bestimmte Voraussetzungen erfüllt sind. Führungskräfte, die auf eine Meldung mit Druck, Kündigung oder anderen Repressalien reagieren, machen sich nach § 36 HinSchG schadensersatzpflichtig — persönlich. Das wissen erschreckend wenige.

Vollzug zieht an: Was Behörden und Gerichte bereits zeigen

Die Anfangsphase des HinSchG war von Zurückhaltung geprägt — auf Seiten der Unternehmen und auf Seiten der Behörden. Diese Phase ist vorbei.

Das Bundesamt für Justiz als zuständige externe Meldestelle auf Bundesebene hat seinen Betrieb aufgenommen und nimmt Meldungen entgegen. Die Landesbehörden folgen sukzessive. Erste Bußgeldverfahren gegen Unternehmen, die keine interne Meldestelle eingerichtet haben oder deren Meldesystem die gesetzlichen Mindestanforderungen nicht erfüllt, sind eingeleitet.

Das Bußgeld für Unternehmen, die es versäumen, eine konforme interne Meldestelle einzurichten oder zu betreiben, beträgt bis zu 20.000 Euro pro Verstoß. Das Bußgeld für aktive Behinderung von Meldungen oder Repressalien gegen Hinweisgeber liegt bei bis zu 50.000 Euro. Zivilrechtliche Schadensersatzansprüche von Hinweisgebern, die trotz gesetzlichem Schutz benachteiligt wurden, kommen hinzu und sind in der Höhe nicht gedeckelt.

Das ist kein abstraktes Risiko mehr.

Warum externe oder hybride Lösungen sinnvoller sind als reine Inhouse-Systeme

Die Entscheidung zwischen einer vollständig internen, einer vollständig externen und einer hybriden Meldestellen-Lösung ist für viele Unternehmen noch nicht abschließend getroffen — oder wurde aus Kostengründen zugunsten der internen Variante entschieden, ohne die Anforderungen vollständig zu prüfen.

Externe Ombudsleute oder auf Hinweisgeberschutz spezialisierte Anwaltskanzleien bieten eine Lösung, die die Unabhängigkeitsanforderung strukturell erfüllt. Sie sind teurer als eine interne Lösung — aber günstiger als ein Bußgeld oder ein Repressalien-Schadensersatzfall.

Hybride Lösungen, bei denen die technische Infrastruktur intern betrieben wird, die rechtliche Bearbeitung aber an einen unabhängigen Externen übergeben wird, sind für mittelständische Unternehmen oft der pragmatischste Ansatz.

In jedem Fall gilt: Die Entscheidung sollte auf einer bewussten rechtlichen Bewertung beruhen, nicht auf der günstigsten verfügbaren Softwarelösung.

Ein abgeschlossenes Projekt, kein Dauerthema

Ein HinSchG-konformes Meldesystem aufzubauen oder ein bestehendes nachzubessern ist in seiner Grundstruktur ein klar abgrenzbares Projekt: Bestandsaufnahme des bestehenden Systems, Gap-Analyse gegen die gesetzlichen Anforderungen, Entscheidung über Lösungsarchitektur, Implementierung, Dokumentationsstandards, Schulung der relevanten Führungskräfte — fertig.

Das erfordert juristische Kompetenz im Compliance- und Arbeitsrecht, Erfahrung mit der Ausgestaltung interner Kontrollsysteme und die Fähigkeit, interne Stakeholder — HR, Legal, Geschäftsführung — zu koordinieren und zu einem Ergebnis zu führen.

Das ist eine Projektaufgabe. Kein Dauerauftrag. Kein Kanzleimandat, das monatlich Stunden produziert. Ein Projektjurist mit entsprechender Erfahrung kann diese Aufgabe von der Analyse bis zur übergabefähigen Dokumentation in wenigen Wochen führen — und hinterlässt ein System, das trägt.

Fazit: Wer eine Hotline hat, hat noch kein Meldesystem

Das Hinweisgeberschutzgesetz ist kein Thema, das mit einer technischen Lösung erledigt ist. Es ist ein organisatorisches und rechtliches Projekt, das strukturelle Unabhängigkeit, dokumentierte Prozesse, juristische Beurteilungskompetenz und geschulte Führungskräfte erfordert.

Wer das unterschätzt, hat nicht nur ein Compliance-Problem. Er hat ein Haftungsproblem — für das Unternehmen und für die Personen, die mit der Meldestelle befasst sind.

Das Gesetz gilt. Das Meldesystem sollte es auch.