Das Hinweisgeberschutzgesetz (HinSchG) ist seit Juli 2023 in Kraft, seit dem 17. Dezember 2023 gilt die Pflicht zur internen Meldestelle für alle Unternehmen ab 50 Beschäftigten. Zweieinhalb Jahre später sehen wir in Audits immer noch dasselbe Muster: Es gibt eine E-Mail-Adresse namens compliance@…, ein PDF im Intranet — und niemanden, der im Ernstfall weiß, was zu tun ist.
Was das Gesetz tatsächlich verlangt
- Meldekanäle, über die Beschäftigte Verstöße mündlich, schriftlich und auf Wunsch persönlich melden können — vertraulich, auch gegenüber der eigenen Führungskraft.
- Fristen: Eingangsbestätigung binnen 7 Tagen, Rückmeldung zum Stand binnen 3 Monaten.
- Vertraulichkeitsgebot: Die Identität der hinweisgebenden Person ist zu schützen — organisatorisch und technisch.
- Repressalienverbot mit Beweislastumkehr: Wird eine hinweisgebende Person danach benachteiligt, muss der Arbeitgeber beweisen, dass es keine Vergeltung war.
Bei Verstößen drohen Bußgelder — vor allem aber droht der praktische Schaden: Wer intern keine funktionierende Meldestelle hat, treibt Hinweisgeber zur externen Meldestelle des Bundesamts für Justiz oder gleich in die Öffentlichkeit.
Die drei häufigsten Fehler aus unserer Prüfpraxis
1. Die Meldestelle ist nicht unabhängig
Wenn die Meldung bei genau der Person landet, über deren Bereich sie sich beschwert, ist die Vertraulichkeit strukturell verletzt. Die beauftragte Person braucht Unabhängigkeit und darf keinen Interessenkonflikten unterliegen — deshalb wird die Rolle oft extern vergeben, analog zum externen Datenschutzbeauftragten.
2. Der Kanal ist technisch unsauber
Ein ungeschütztes Postfach auf einem US-Cloud-Mailserver ist kein vertraulicher Meldekanal. Wir haben für diesen Zweck eine eigene, selbst gehostete Meldeplattform entwickelt, die anonyme Zwei-Wege-Kommunikation erlaubt — die Rückfrage an eine anonyme Person ist im Ernstfall Gold wert, weil die meisten Erstmeldungen unvollständig sind.
3. Niemand hat den Prozess geübt
Fristen, Dokumentation, Abgrenzung zum Datenschutz (die Meldung enthält fast immer personenbezogene Daten Dritter!) — das muss vor der ersten echten Meldung geklärt sein, nicht währenddessen.
Schnell-Check: Können Ihre Beschäftigten heute vertraulich melden, ohne dass die IT oder der Vorgesetzte mitlesen kann? Gibt es eine benannte, geschulte Person mit Vertretungsregel? Ist die 7-Tage-Bestätigung organisatorisch sichergestellt? Dreimal Ja = solide. Sonst: Handlungsbedarf.
Fazit
Die Meldestelle ist keine Compliance-Dekoration, sondern ein Frühwarnsystem — richtig betrieben erfährt die Geschäftsführung von Problemen, bevor es die Aufsichtsbehörde tut. Wer sie mit dem Datenschutz aus einer Hand organisiert, spart doppelte Strukturen: Beides lebt von Vertraulichkeit, sauberer Dokumentation und einem neutralen Dritten.