Compliance und Hinweisgeberschutz.

Das Hinweisgeberschutzgesetz, kurz HinSchG, ist die deutsche Umsetzung der EU-Whistleblower-Richtlinie 2019/1937. Es ist am 2. Juli 2023 in Kraft getreten und verpflichtet Unternehmen mit mindestens fünfzig Beschäftigten zur Einrichtung interner Meldestellen. Die Pflicht greift seit dem 17. Dezember 2023 vollständig auch für den Mittelstand mit fünfzig bis zweihundertneunundvierzig Beschäftigten. Über fünfzigtausend deutsche Unternehmen sind betroffen, und die Mehrheit hat die gesetzlichen Anforderungen nicht oder nicht vollständig umgesetzt.

Das Gesetz steht nicht isoliert. Es ist Teil einer breiteren Compliance-Welle, die mit dem Lieferkettensorgfaltspflichtengesetz, der CSRD-Berichtspflicht zur Nachhaltigkeit, der DSGVO und einer wachsenden Anzahl branchenspezifischer Compliance-Vorgaben den Mittelstand zunehmend in Regulierung einbettet. Wer als geschäftsführender Gesellschafter glaubt, die Compliance-Welle treffe nur die DAX-Konzerne, lebt in einer Illusion. Die Bußgeldhebel der jüngeren Gesetzgebung sind so dimensioniert, dass auch mittelständische Unternehmen in existenzgefährdende Beträge geraten können.

Dieser Beitrag erklärt die zentralen Anforderungen des HinSchG. Den Anwendungsbereich, die Pflicht zur internen Meldestelle, die formalen Anforderungen an Kanal und Bearbeitungsfristen, das Repressalienverbot, die Bußgeldtatbestände und die wirtschaftlichen Folgen von Verstößen. Er ordnet das HinSchG in den breiteren Rahmen eines Compliance-Management-Systems ein und zeigt, wie Mittelständler die Pflichten effizient und rechtssicher erfüllen, ohne die Strukturen einer Konzernabteilung aufbauen zu müssen.

Wer betroffen ist und welche Verstöße gemeldet werden können.

Das HinSchG verpflichtet Beschäftigungsgeber mit in der Regel mindestens fünfzig Beschäftigten zur Einrichtung interner Meldestellen. Maßgeblich ist die Beschäftigtenzahl im Inland, gerechnet einschließlich Leiharbeitnehmer und Auszubildender. Teilzeitkräfte zählen voll. Saisonarbeitskräfte werden anteilig berücksichtigt. Die Schwelle ist nicht starr, sondern bezieht sich auf den Regelbetrieb des Unternehmens.

Für Unternehmen ab zweihundertfünfzig Beschäftigten greift die Pflicht seit dem 2. Juli 2023, für mittelständische Unternehmen mit fünfzig bis zweihundertneunundvierzig Beschäftigten seit dem 17. Dezember 2023. Bestimmte Branchen sind unabhängig von der Beschäftigtenzahl betroffen, etwa Wertpapierdienstleister, Kapitalanlagegesellschaften, Versicherer und bestimmte Verkehrsunternehmen. Hier greift die Pflicht ab dem ersten Mitarbeiter.

Schutzberechtigt sind alle Personen, die im beruflichen Kontext Verstöße melden. Das umfasst nicht nur Beschäftigte, sondern auch Lieferanten, Dienstleister, Freelancer, Geschäftspartner, Praktikanten, ehemalige Mitarbeiter und Personen vor Beginn eines Arbeitsverhältnisses. Diese breite Schutzwirkung ist ein wesentliches Merkmal des deutschen HinSchG, das in einigen Punkten über die Mindestanforderungen der EU-Richtlinie hinausgeht.

Der sachliche Anwendungsbereich umfasst Verstöße gegen straf- und bußgeldbewährte Vorschriften, soweit sie das Leben, Leib oder Gesundheit oder die Rechte von Beschäftigten oder ihrer Vertretungsorgane schützen. Hinzu kommen Verstöße gegen eine breite Liste von EU- und nationalen Vorschriften zu Geldwäsche, Finanzdienstleistungen, Produktsicherheit, Umweltschutz, Verkehrssicherheit, Strahlenschutz, Lebensmittelsicherheit, Tierschutz, öffentlicher Gesundheit, Verbraucherschutz, Datenschutz, Netz- und Informationssicherheit, öffentliches Auftragswesen und Wettbewerbsrecht. Im Bereich des Steuerrechts sind insbesondere Steuerhinterziehung und Korruption erfasst.

Was technisch und organisatorisch verlangt wird.

Die interne Meldestelle ist das Herzstück der HinSchG-Pflichten. Sie muss eine Reihe formaler Anforderungen erfüllen, die in §§ 12 bis 18 HinSchG geregelt sind. Wer die Vorgaben nicht oder nur unvollständig umsetzt, riskiert Bußgelder und das volle Greifen externer Meldungen an die Behörden.

Die Meldestelle muss mehrere Meldewege bereitstellen. Mündliche Meldungen müssen möglich sein, schriftliche ebenfalls. Auf Wunsch des Hinweisgebers muss eine persönliche Zusammenkunft innerhalb angemessener Frist ermöglicht werden. Anonyme Meldungen sind nicht zwingend zu ermöglichen, werden aber empfohlen, weil sie in der Praxis die Akzeptanz und Nutzungsbereitschaft erheblich erhöhen. Wer auf die anonyme Meldemöglichkeit verzichtet, erhält in der Praxis deutlich weniger Hinweise und entwertet die Schutzwirkung des Systems.

Die Vertraulichkeit der Identität des Hinweisgebers ist absolut zu wahren. § 8 HinSchG verlangt, dass die Identität nur den Personen bekannt wird, die für die Bearbeitung der Meldung zuständig sind. Verstöße gegen die Vertraulichkeitspflicht sind nach § 40 HinSchG mit Bußgeldern bis zu zehntausend Euro bewehrt. In der Praxis ist die Vertraulichkeit der zentrale Vertrauensanker des Systems. Wenn auch nur ein einziger Vertraulichkeitsbruch im Unternehmen bekannt wird, verliert die Meldestelle dauerhaft ihre Wirksamkeit.

Die Bearbeitungsfristen sind in § 17 HinSchG verbindlich vorgegeben. Innerhalb von sieben Tagen nach Eingang muss dem Hinweisgeber der Empfang bestätigt werden. Innerhalb von drei Monaten muss eine Rückmeldung über die ergriffenen oder beabsichtigten Folgemaßnahmen erfolgen. Diese Fristen sind nicht verhandelbar und müssen organisatorisch verlässlich eingehalten werden. Wer sie verpasst, gibt dem Hinweisgeber das Recht, die externe Meldestelle des Bundesamtes für Justiz einzuschalten, mit allen Konsequenzen einer behördlichen Befassung.

Die Meldestelle muss von einer unabhängigen und fachkundigen Person geführt werden. Es kann eine interne Mitarbeiterin sein, etwa aus der Rechtsabteilung oder dem Personalwesen, oder eine externe Stelle wie eine Anwaltskanzlei. Bei mittelständischen Unternehmen ist die externe Lösung in der Praxis oft die bessere Wahl, weil sie Unabhängigkeit signalisiert und die anspruchsvolle Bearbeitung professionell erfolgt. Die Mehrkosten gegenüber einer internen Lösung liegen typischerweise bei zwei- bis viertausend Euro pro Jahr und sind im Verhältnis zu den Bußgeldrisiken vernachlässigbar.

Warum Reaktionen auf den Hinweisgeber besonders gefährlich sind.

Eine der wirtschaftlich folgenreichsten Vorschriften des HinSchG ist das Repressalienverbot in § 36 HinSchG. Es verbietet jede Form der Benachteiligung des Hinweisgebers im Zusammenhang mit der Meldung. Erfasst sind Kündigungen, Versetzungen, Abmahnungen, Beförderungsverhinderungen, schlechte Beurteilungen, Mobbing, Disziplinarmaßnahmen, Verweigerung von Schulungen oder Beförderungen, soziale Ausgrenzung und alle vergleichbaren Maßnahmen. Auch das Versäumnis einer üblichen Maßnahme, etwa einer regelmäßigen Gehaltserhöhung, kann als Repressalie qualifiziert werden.

Das HinSchG geht hier über das deutsche Arbeitsrecht weit hinaus. § 36 Abs. 2 HinSchG enthält eine Beweislastumkehr. Wenn ein Hinweisgeber substantiiert behauptet, eine Benachteiligung sei Folge einer Meldung, muss das Unternehmen beweisen, dass die Maßnahme aus anderen, hinreichend gerechtfertigten Gründen erfolgte. In der arbeitsgerichtlichen Praxis ist dieser Beweis selten zu führen, wenn die zeitliche Nähe zwischen Meldung und Maßnahme erkennbar ist.

Schadensersatzansprüche des Hinweisgebers nach § 37 HinSchG umfassen den Ersatz aller materiellen und immateriellen Schäden, einschließlich entgangener Karrierechancen und immaterieller Schäden für die psychische Belastung. Diese Ansprüche werden in der gerichtlichen Praxis zunehmend zugesprochen und liegen typischerweise im fünf- bis sechsstelligen Bereich, in einzelnen Fällen auch darüber.

Die praktische Konsequenz ist erheblich. Wer als Geschäftsführer oder Personalleiter nach einer Meldung Maßnahmen gegen den vermuteten Hinweisgeber plant, riskiert die Doppelbelastung von Bußgeld und Schadensersatz. Personalentscheidungen, die mit Meldungen in zeitlichem Zusammenhang stehen, sollten in der Phase nach einer Meldung grundsätzlich anwaltlich begleitet werden, um die Risiken zu kalibrieren.

Was bei welchem Verstoß droht.

Stand: Mai 2026. Die Bußgelder können nach allgemeinen Grundsätzen über die in § 30 OWiG geregelten Multiplikatoren auch gegen das Unternehmen selbst verhängt werden.

Die Bußgelder werden vom Bundesamt für Justiz festgesetzt. Bei der Bemessung im Einzelfall werden Schwere, Dauer und Folgen des Verstoßes sowie die wirtschaftliche Leistungsfähigkeit des Unternehmens berücksichtigt. Bei mittelständischen Unternehmen mit Jahresumsätzen ab fünfundzwanzig Millionen Euro werden die Höchstbeträge in der Praxis regelmäßig ausgeschöpft.

Eine in der Praxis oft übersehene Nebenfolge ist die Eintragung von Verstößen im Wettbewerbsregister und gegebenenfalls die öffentliche Bekanntmachung. Bei Mittelständlern mit öffentlichen Aufträgen oder mit Kunden aus dem regulierten Bereich kann diese Eintragung den Verlust laufender oder geplanter Geschäftsbeziehungen bedeuten, mit wirtschaftlichen Folgen, die das eigentliche Bußgeld bei weitem übersteigen.

Warum die isolierte HinSchG-Umsetzung nicht reicht.

Das HinSchG ist kein isoliertes Gesetz, sondern Teil eines breiteren Compliance-Rahmens. Wer es nur formal umsetzt, ohne die Verbindung zu Datenschutz, Arbeitsrecht, Strafrecht und Unternehmenshaftung herzustellen, hat die wesentliche Wirkung des Gesetzes verfehlt. Die Meldungen, die in die interne Meldestelle eingehen, sind regelmäßig Vorboten von Compliance-Risiken, deren Behandlung andere Rechtsgebiete betrifft.

Ein funktionsfähiges Compliance-Management-System für den Mittelstand umfasst sieben Elemente. Erstens. Eine klare Compliance-Strategie mit definierten Verantwortlichkeiten. Zweitens. Eine Risikoanalyse mit Identifikation der unternehmensspezifischen Compliance-Risiken. Drittens. Verbindliche Verhaltensgrundsätze, idealerweise als Code of Conduct schriftlich fixiert. Viertens. Die interne Meldestelle nach HinSchG. Fünftens. Regelmäßige Schulungen für die relevanten Personengruppen. Sechstens. Ein Kontrollsystem mit dokumentierter Überprüfung der Compliance-Maßnahmen. Siebtens. Eine klare Reaktionskette für identifizierte Verstöße.

Für mittelständische Unternehmen ist die Implementierung dieses Systems erheblich weniger aufwendig als oft befürchtet. Im Gegensatz zu DAX-Konzernen reicht eine schlanke Struktur mit klaren Zuständigkeiten und externer Begleitung in den meisten Fällen aus. Die Investition liegt in den ersten zwei Jahren typischerweise zwischen zwanzigtausend und sechzigtausend Euro, abhängig von Größe und Branche, und reduziert sich danach auf laufende Kosten von fünf- bis fünfzehntausend Euro pro Jahr.

Warum die Compliance-Welle den Mittelstand zunehmend erreicht.

Das HinSchG steht in einer Reihe weiterer Compliance-Vorgaben, die den Mittelstand zunehmend betreffen. Zwei Entwicklungen sind besonders relevant.

Das Lieferkettensorgfaltspflichtengesetz, kurz LkSG, gilt seit dem 1. Januar 2023 für Unternehmen ab dreitausend Mitarbeitern, seit dem 1. Januar 2024 ab tausend Mitarbeitern. Es verpflichtet zu menschenrechtlichen und umweltbezogenen Sorgfaltspflichten in der eigenen Lieferkette. Mittelständler unter tausend Mitarbeitern sind nicht direkt verpflichtet, aber durch ihre Großkunden mittelbar betroffen. Wer als Zulieferer eines LkSG-pflichtigen Unternehmens tätig ist, muss in der Regel selbst entsprechende Nachweise erbringen können. Die EU-Lieferkettenrichtlinie CSDDD wird diese Schwelle in den kommenden Jahren weiter absenken.

Die CSRD-Berichterstattung zur Nachhaltigkeit, geregelt durch die EU-Richtlinie 2022/2464, betrifft seit dem Geschäftsjahr 2024 große Kapitalgesellschaften und seit 2025 schrittweise weitere Unternehmen. Die Berichtspflicht umfasst soziale, umweltbezogene und Governance-Aspekte, einschließlich der Existenz eines wirksamen Hinweisgebersystems. Wer als Mittelständler vom LkSG oder von der CSRD betroffene Unternehmen beliefert, muss seine eigenen Compliance-Strukturen offenlegen können. Das HinSchG-Hinweisgebersystem ist hier eine notwendige Bedingung.

Die Konsequenz für den Mittelstand ist eindeutig. Die Compliance-Anforderungen werden in den kommenden Jahren weiter wachsen, nicht zurückgehen. Wer das HinSchG-System jetzt sauber aufsetzt, hat die Grundlage für die nächsten Compliance-Wellen geschaffen. Wer wartet, baut die Strukturen unter dem Druck einer Aufsichtsmaßnahme oder einer verlorenen Geschäftsbeziehung neu auf, mit deutlich höheren Kosten und unter ungünstigen Bedingungen.

Die richtige Reihenfolge zur HinSchG-konformen Implementierung.

Wer als Geschäftsführer oder Vorstand eines Unternehmens mit mindestens fünfzig Mitarbeitern die HinSchG-Pflichten noch nicht oder nur unvollständig umgesetzt hat, sollte folgende Schritte angehen.

Erstens. Bestandsaufnahme der bestehenden Compliance-Strukturen. Gibt es ein internes Meldesystem? Wer ist verantwortlich? Welche formalen Anforderungen sind erfüllt, welche nicht? Diese Bestandsaufnahme sollte schriftlich dokumentiert sein, um eine spätere Audit-Grundlage zu haben.

Zweitens. Entscheidung über die Trägerschaft der internen Meldestelle. Interne Lösung mit Mitarbeiter aus Rechtsabteilung oder Personal, oder externe Lösung mit Anwaltskanzlei oder spezialisierten Dienstleister. Bei mittelständischen Unternehmen mit weniger als zweihundert Mitarbeitern ist die externe Lösung in den meisten Fällen die bessere Wahl, weil sie Unabhängigkeit signalisiert und die rechtssichere Bearbeitung garantiert.

Dritten. Implementierung der technischen Plattform. Erforderlich sind mehrere Meldekanäle, anonyme Meldemöglichkeit empfehlenswert, Vertraulichkeitsschutz technisch sichergestellt, Bearbeitungsfristen automatisiert dokumentiert. Etablierte Anbieter bieten DSGVO-konforme Plattformen ab zwei- bis fünftausend Euro pro Jahr.

Viertens. Schulung der Führungskräfte und der zuständigen Mitarbeiter. Die Geschäftsführung, die Bereichsleiter und die Compliance-Verantwortlichen müssen die Anforderungen kennen, insbesondere das Repressalienverbot. Eine zweistündige Schulung pro Jahr mit Dokumentation ist der Mindeststandard.

Fünftens. Kommunikation an die Belegschaft. Das System funktioniert nur, wenn es bekannt ist. Eine schriftliche Mitteilung an alle Mitarbeiter, Aufnahme in das Mitarbeiterhandbuch, Information neuer Mitarbeiter im Onboarding und sichtbare Hinweise in den Geschäftsräumen sind die Grundausstattung.

Sechstens. Einbettung in das breitere Compliance-System. Verhaltensgrundsätze, Schulungsplan, Risikoanalyse und Kontrollsystem sollten parallel aufgesetzt werden. Die HinSchG-Meldestelle isoliert genügt nicht, sie ist die Spitze eines Eisbergs, dessen Unterbau ebenso wichtig ist.

Siebtens. Regelmäßige Überprüfung. Mindestens einmal jährlich sollte die Meldestelle auf Funktion, Bearbeitungsstand und Aktualität überprüft werden. Diese Überprüfung sollte schriftlich dokumentiert sein, um bei einer Aufsichtsmaßnahme die Sorgfalt belegen zu können.

Verfasst von der Rechtsanwaltskanzlei Weber · familum · Mai 2026