Eine Beschäftigte meldet über das Intranet einen Verdacht auf Mehrfachabrechnung. Die Meldung landet im Postfach der Geschäftsführung, die den Namen im Leitungskreis weitergibt, weil sie den Sachverhalt schnell klären will. Drei Wochen später ist der Name im Außendienst bekannt. Das Hinweisgeberschutzgesetz macht genau diesen Weg zur Ordnungswidrigkeit: Die Identität einer hinweisgebenden Person gehört allein der Meldestelle.
Das Hinweisgeberschutzgesetz (HinSchG) setzt seit dem 2. Juli 2023 die EU-Richtlinie 2019/1937 in deutsches Recht um. Es verpflichtet Beschäftigungsgeber, eine interne Meldestelle einzurichten, und schützt Personen, die Verstöße melden, vor Repressalien. Diese Seite ordnet das Gesetz entlang der fünf Fragen, an denen eine Meldestelle im Alltag scheitert oder besteht: Fristen, Vertraulichkeit, Zugriff im Notfall, Weitergabe und Löschung.
Wer ist betroffen?
Jeder Beschäftigungsgeber ab in der Regel 50 Beschäftigten braucht eine interne Meldestelle (§ 12 HinSchG). Gezählt wird je Beschäftigungsgeber, nicht je Konzern; eine Konzerngesellschaft kann die Meldestelle aber als beauftragter Dritter für andere betreiben (§ 14 Abs. 1). Private Beschäftigungsgeber mit 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle mit anderen einrichten (§ 14 Abs. 2).
Melden dürfen Beschäftigte, Leiharbeitskräfte und alle, die im beruflichen Zusammenhang Informationen über Verstöße erlangt haben: Selbstständige, Beschäftigte von Lieferanten, Bewerbende, ehemalige Beschäftigte. Gemeldet werden können Straftaten, bestimmte Ordnungswidrigkeiten und Verstöße gegen einen langen Katalog von Rechtsbereichen (§ 2), vom Umweltschutz über die Produktsicherheit bis zum Datenschutz.
Frage 1: Welche Fristen gelten?
Die Meldestelle bestätigt den Eingang spätestens nach sieben Tagen und gibt spätestens drei Monate danach eine Rückmeldung (§ 17 HinSchG). Wurde der Eingang nicht bestätigt, endet die Rückmeldefrist drei Monate und sieben Tage nach dem Eingang. Dazwischen liegen vier Pflichten, die keine Frist haben und trotzdem jede Meldung tragen: den Anwendungsbereich prüfen, Kontakt halten, die Stichhaltigkeit prüfen und angemessene Folgemaßnahmen ergreifen.
Die Rückmeldung nennt geplante und ergriffene Folgemaßnahmen samt Gründen. Sie darf interne Ermittlungen nicht berühren und die Rechte der gemeldeten oder genannten Personen nicht beeinträchtigen (§ 17 Abs. 2 Satz 3). Eine Verlängerung der Frist sieht das Gesetz nicht vor.
Außerhalb Deutschlands gelten die Fristen des jeweiligen Umsetzungsgesetzes. Frankreich und Griechenland zählen die Eingangsbestätigung in Arbeitstagen, Österreich lässt die Rückmeldefrist mit dem Eingang beginnen, Tschechien und Ungarn verlangen die Rückmeldung nach 30 Tagen.
Frage 2: Wer darf die Identität kennen?
Die Identität der hinweisgebenden Person darf ausschließlich den Personen bekannt werden, die für die Entgegennahme von Meldungen oder für Folgemaßnahmen zuständig sind, und den Personen, die sie dabei unterstützen (§ 8 Abs. 1 HinSchG). Das Gebot schützt auch die Personen, die Gegenstand der Meldung sind, und alle sonstigen genannten Personen. Es gilt selbst dann, wenn die Meldestelle für die Meldung gar nicht zuständig ist (§ 8 Abs. 2).
Für die Praxis heißt das: Die Geschäftsführung, die Personalabteilung und die IT-Administration sind nicht automatisch im Kreis. Wer eine Meldung sieht, braucht eine Rolle in der Meldestelle. Ein Postfach, auf das mehrere Personen Zugriff haben, oder ein Ticketsystem mit Admin-Sicht auf alle Tickets verletzt das Gebot, sobald jemand außerhalb der Meldestelle hineinsehen kann.
Die Meldestelle ist bei ihrer Tätigkeit unabhängig und darf keine Interessenkonflikte haben (§ 15 Abs. 1). Dazu kommt die notwendige Fachkunde, für die der Beschäftigungsgeber sorgt (§ 15 Abs. 2). Eine Person, die selbst in einer Meldung genannt wird, bearbeitet diese Meldung nicht.
Frage 3: Was passiert, wenn die Meldestelle ausfällt?
Einen Notzugang regelt das Gesetz nicht. Es verlangt, die interne Meldestelle zu betreiben (§ 12 Abs. 1) und ihre Fristen zu halten. Fällt die Meldestelle aus, prallen zwei Pflichten aufeinander: die Frist der Meldung und das Vertraulichkeitsgebot. Liegt die zuständige Person im Krankenhaus und ist die Vertretung im Urlaub, läuft die Siebentagesfrist trotzdem.
Die saubere Antwort ist eine Vertretung, die ihren Namen verdient, und für den seltenen Fall, dass beide ausfallen, ein geregelter Notzugang: Eine Person aus der Leitung wird befristet als zuständige Person der Meldestelle eingetragen, mit dokumentiertem Anlass, einer Wartezeit, in der die Meldestelle widersprechen kann, und einem Protokoll jedes Zugriffs. Damit gehört sie für diese Zeit zum Kreis des § 8.
Frage 4: Wann darf die Identität weitergegeben werden?
Die Weitergabe der Identität ist die Ausnahme und braucht einen der Gründe des § 9 HinSchG. Das Gesetz kennt zwei Wege:
- Pflicht zur Weitergabe (§ 9 Abs. 2): in Strafverfahren auf Verlangen der Strafverfolgungsbehörden, auf Anordnung in einem nachfolgenden Verwaltungsverfahren oder aufgrund einer gerichtlichen Entscheidung. Die Meldestelle informiert die hinweisgebende Person vorab und nennt ihr die Gründe, es sei denn, die Behörde oder das Gericht hat mitgeteilt, dass das die Ermittlungen gefährden würde.
- Weitergabe mit Einwilligung (§ 9 Abs. 3): wenn die Weitergabe für Folgemaßnahmen erforderlich ist und die Person zuvor eingewilligt hat. Die Einwilligung muss für jede einzelne Weitergabe gesondert und in Textform vorliegen.
Wer vorsätzlich oder grob fahrlässig falsch meldet, verliert den Schutz der Identität (§ 9 Abs. 1). Für die Personen, die Gegenstand einer Meldung sind, gelten eigene Ausnahmen (§ 9 Abs. 4).
Frage 5: Wann wird gelöscht?
Die Dokumentation einer Meldung wird drei Jahre nach Abschluss des Verfahrens gelöscht (§ 11 Abs. 5 HinSchG). Länger aufbewahren darf die Meldestelle sie nur, soweit das nach diesem oder einem anderen Gesetz erforderlich und verhältnismäßig ist, etwa solange ein Gerichtsverfahren läuft.
Dokumentiert wird jede Meldung dauerhaft abrufbar (§ 11 Abs. 1). Bei telefonischen Meldungen ist eine Tonaufzeichnung oder ein Wortprotokoll nur mit Einwilligung zulässig, sonst schreibt die zuständige Person ein Inhaltsprotokoll (§ 11 Abs. 2). Die hinweisgebende Person bekommt Gelegenheit, das Protokoll zu prüfen, zu korrigieren und zu bestätigen (§ 11 Abs. 4); eine Tonaufzeichnung, aus der das Protokoll entstanden ist, wird gelöscht, sobald das Protokoll fertig ist.
Nach der Löschung bleibt ein Nachweis ohne personenbezogene Daten sinnvoll: Kennung, Abschluss, Frist und Zeitpunkt der Löschung. Er belegt, dass die Frist eingehalten wurde, ohne den Inhalt zu bewahren.
Mapping zu ISO 27001
Die ISO/IEC 27002:2022 nennt den vertraulichen Meldekanal ausdrücklich: Unter der Kontrolle zu den Verantwortlichkeiten der Leitung gehört ein vertraulicher Kanal für Meldungen über Verstöße gegen Richtlinien und Verfahren der Informationssicherheit („Whistleblowing“). Wer ein ISMS betreibt, deckt mit der internen Meldestelle nach dem HinSchG diesen Punkt mit ab.
Direkt relevante Kontrollen:
- A.5.4 Verantwortlichkeiten der Leitung: vertraulicher Meldekanal als Teil der Leitungsaufgabe.
- A.5.31 Rechtliche und vertragliche Anforderungen: das HinSchG im Rechtskataster.
- A.5.33 Schutz von Aufzeichnungen: dauerhaft abrufbare, unveränderliche Dokumentation mit Löschfrist.
- A.5.34 Datenschutz und PII: Verarbeitung besonderer Kategorien in der Meldestelle, Eintrag im Verzeichnis der Verarbeitungstätigkeiten.
- A.6.8 Meldung von Sicherheitsereignissen: der Meldeweg für Sicherheitsereignisse und der Hinweisgeberkanal ergänzen sich.
Typische Audit-Befunde
- Meldestelle ohne Vertretung. Eine einzige benannte Person, keine Regel für Urlaub und Krankheit; die Siebentagesfrist hängt an einer Person.
- Postfach mit zu vielen Lesern. Die Meldeadresse ist ein Gruppenpostfach, auf das auch die IT-Administration Zugriff hat.
- Rückmeldung fehlt oder verrät zu viel. Keine Rückmeldung nach drei Monaten, oder eine Rückmeldung, die die befragten Personen nennt.
- Weitergabe ohne Beleg. Der Name ging an die Personalabteilung, eine Einwilligung in Textform liegt nicht vor.
- Keine Löschung. Meldungen aus 2023 liegen unverändert im Postfach, niemand kennt das Datum ihres Abschlusses.
So setzt Cenedril die fünf Fragen um
Das Benutzerhandbuch beschreibt die Bedienung im Einzelnen: Meldestelle einrichten und benennen, Meldung entgegennehmen und prüfen, Zugriff und Notzugang, Folgemaßnahmen und Rückmeldung und Aufbewahrung und Löschung.
Quellen
- HinSchG-Volltext (gesetze-im-internet.de): amtliche Fassung
- Richtlinie (EU) 2019/1937: europäische Vorgabe für das HinSchG
- Externe Meldestelle des Bundes (Bundesamt für Justiz): externe Meldestelle