Das Hinweisgeberschutzgesetz gilt in Deutschland seit 2023. Es setzt die EU-Richtlinie 2019/1937 in deutsches Recht um, und für die meisten mittelständischen Arbeitgeber läuft es auf eine konkrete Pflicht hinaus: eine interne Meldestelle betreiben, über die bestimmte Verstöße gemeldet werden können, und mit dem, was dort eingeht, ordentlich umgehen.

Dieser Beitrag ist eine allgemeine Orientierung für Personal- und Compliance-Verantwortliche und keine Rechtsberatung. Für Ihren konkreten Fall fragen Sie bitte eine Anwältin oder einen Anwalt.

Für welche Unternehmen die Pflicht gilt

Die Pflicht trifft Arbeitgeber mit 50 oder mehr Beschäftigten. Größere Unternehmen mussten zuerst liefern; seit dem 17. Dezember 2023 gilt sie ab 50 Beschäftigten. In einzelnen Branchen, vor allem in Teilen des Finanzsektors, ist eine Meldestelle unabhängig von der Beschäftigtenzahl vorgeschrieben.

Unternehmen mit 50 bis 249 Beschäftigten dürfen Ressourcen für den Betrieb der Meldestelle mit anderen Unternehmen teilen. Eine gemeinsame Lösung im Konzern oder zwischen kleineren Unternehmen ist damit möglich. Die Verantwortung für Folgemaßnahmen und für das Abstellen des Verstoßes bleibt bei dem Unternehmen, um das es in der Meldung geht.

Was gemeldet werden kann

Das Gesetz deckt nicht jede Beschwerde über den Arbeitsalltag ab. Erfasst sind Straftaten, bestimmte Ordnungswidrigkeiten, insbesondere solche zum Schutz von Leben, Leib und Gesundheit oder der Rechte von Beschäftigten und ihren Vertretungen, sowie Verstöße gegen eine aufgezählte Reihe von EU-Vorschriften, etwa im Datenschutz, in der Produktsicherheit, im Umweltschutz, im Vergaberecht und im Finanzbereich. Geschützt sind nicht nur Festangestellte: Auch Bewerbende, ehemalige Beschäftigte, Leiharbeitskräfte und Beschäftigte von Lieferanten fallen darunter.

In der Praxis nehmen die meisten Unternehmen ohnehin ein breiteres Spektrum an Meldungen entgegen. Wer gerade etwas beobachtet hat, kann die rechtliche Einordnung nicht vorab leisten. Das zu klären ist Aufgabe der Meldestelle.

Was die Meldestelle können muss

Meldungen in Textform oder mündlich entgegennehmen, auf Wunsch der hinweisgebenden Person auch in einer persönlichen Zusammenkunft innerhalb angemessener Zeit.
Den Eingang der Meldung innerhalb von sieben Tagen bestätigen.
Von Personen betrieben werden, die in dieser Funktion unabhängig und frei von Interessenkonflikten sind.
Prüfen, ob die Meldung in den Anwendungsbereich des Gesetzes fällt, den Kontakt zur hinweisgebenden Person halten und bei Bedarf nachfragen.
Folgemaßnahmen ergreifen: interne Untersuchung, Abgabe an die zuständige interne Stelle, Abschluss des Verfahrens oder Abgabe an eine zuständige Behörde.
Der hinweisgebenden Person innerhalb von drei Monaten nach der Eingangsbestätigung eine Rückmeldung geben, in der die geplanten oder bereits ergriffenen Folgemaßnahmen und die Gründe dafür genannt werden.

An den Fristen scheitern die meisten Meldestellen. Sieben Tage und drei Monate sind kurz, sobald ein Fall um Urlaub und Krankheit herum organisiert werden muss. Benennen Sie deshalb eine Vertretung vor der ersten Meldung, nicht danach.

Vertraulichkeit der Identität

Die Identität der hinweisgebenden Person ist vertraulich zu behandeln. Derselbe Schutz gilt für die in der Meldung genannten Personen und für weitere Betroffene. Nur die Personen, die die Meldestelle betreiben, und diejenigen, die sie dabei unterstützen, dürfen erfahren, wer gemeldet hat. Das Gesetz lässt eine Durchbrechung nur in eng umrissenen Fällen zu, etwa gegenüber Strafverfolgungsbehörden.

Im Alltag ist das weniger eine Frage der Richtlinie als eine Frage der Zugriffe. Ein gemeinsames Postfach, das die IT öffnen kann, eine Fallliste auf einem Netzlaufwerk, ein Ausdruck auf dem Schreibtisch: Jeder dieser Wege bringt den Namen zu jemandem, der ihn nicht haben darf.

Das Verbot von Repressalien

Wer im Rahmen des Gesetzes meldet, darf deswegen nicht benachteiligt werden. Als Repressalie kommen Kündigung, Abmahnung, Versetzung, verweigerte Beförderung, eine schlechtere Beurteilung oder eine abgelehnte Weiterbildung in Betracht. Das Gesetz kehrt zudem die Beweislast um: Erleidet eine hinweisgebende Person eine berufliche Benachteiligung und macht sie geltend, dass es sich um eine Repressalie handelt, muss der Arbeitgeber nachweisen, dass die Maßnahme andere Gründe hatte.

Für die Personalarbeit folgt daraus eine sehr praktische Konsequenz. Personalentscheidungen zu einer Person, die gemeldet hat, müssen laufend und mit Datum dokumentiert werden. Eine Entscheidung, die lange vor der Meldung vorbereitet wurde, lässt sich gut begründen, wenn die Akte das zeigt, und kaum, wenn sie es nicht zeigt.

Dokumentation und Löschung

Meldungen sind in dauerhaft abrufbarer Weise zu dokumentieren, unter Wahrung der Vertraulichkeit. Eine mündliche Meldung darf nur mit Einwilligung der hinweisgebenden Person aufgezeichnet werden. Andernfalls wird sie als Wortprotokoll oder Zusammenfassung festgehalten, und die hinweisgebende Person erhält Gelegenheit, die Aufzeichnung zu prüfen und zu bestätigen.

Die Dokumentation ist drei Jahre nach Abschluss des Verfahrens zu löschen. Sie darf länger aufbewahrt werden, soweit das erforderlich und verhältnismäßig ist, etwa solange ein Rechtsstreit läuft. Legen Sie Ihre Aufbewahrungsregel schriftlich fest, bevor der erste Fall eingeht. Hinterher, mit der Akte einer konkreten Person vor sich, entscheidet es sich deutlich schlechter.

Anonyme Meldungen

Das Gesetz verlangt nicht, den Meldekanal so zu gestalten, dass anonyme Meldungen technisch möglich sind. Es sieht aber vor, dass anonym eingehende Meldungen bearbeitet werden sollen. Die meisten Unternehmen gehen weiter und lassen anonyme Meldungen ausdrücklich zu. Dafür gibt es zwei Gründe.

Der erste ist schlicht: Wer fürchtet, erkannt zu werden, meldet anonym oder gar nicht, und eine Meldung, die nie eingeht, lässt sich auch nicht aufklären. Der zweite ist die externe Meldestelle beim Bundesamt für Justiz. Hinweisgebende Personen dürfen zwischen intern und extern frei wählen. Wer als Unternehmen zuerst selbst von einem Problem erfahren möchte, muss der einfachere und sicherere Weg sein.

Der übliche Einwand lautet, bei anonymen Meldungen könne man nicht nachfragen. Das stimmt nur, wenn es keinen Rückweg gibt. Ein Kanal, über den eine anonyme hinweisgebende Person zurückkommt, eine Rückfrage liest und beantwortet, entkräftet den Einwand weitgehend. Er macht außerdem die Rückmeldung nach drei Monaten im anonymen Fall überhaupt erst möglich.

Eigenes Team, Ombudsperson oder Software

Sie dürfen die Meldestelle mit eigenen Beschäftigten betreiben oder einen Dritten damit beauftragen. Drei Aufstellungen sind üblich, und viele Unternehmen kombinieren sie.

Eigene Stelle im Haus

Am günstigsten im Start und am nächsten am Geschäft. Das trägt, wenn jemand in dieser Rolle tatsächlich unabhängig sein kann und das Unternehmen groß genug ist, dass die zuständige Person nicht gegen die eigene Führungskraft ermittelt. Meist übernehmen Compliance, Recht oder HR die Aufgabe. Wenn HR sie übernimmt, planen Sie die Fälle ein, in denen es um HR geht.

Externe Ombudsperson

In der Regel eine Anwältin oder ein Anwalt, die Meldungen entgegennehmen und den Sachverhalt weitergeben. Stark bei Distanz und Vertrauen und sinnvoll für kleinere Unternehmen ohne eigene Compliance-Funktion. Es kostet pro Fall, und Sie brauchen weiterhin einen internen Prozess für alles, was nach der Übergabe passiert.

Hinweisgebersystem als Software

Ein Meldeportal deckt Eingang, Fristen, Falldokumentation und Zugriffsnachweis ab und liefert von den drei Varianten am zuverlässigsten die Nachweise, die Sie später brauchen. Entscheiden tut es nichts. Sie brauchen weiterhin benannte, geschulte Bearbeitende und eine Vertretung.

Kurze Checkliste für den Aufbau

Festlegen, wer die Meldestelle ist, und eine Vertretung benennen.
Kanäle festlegen: Textform, mündlich und auf Wunsch eine persönliche Zusammenkunft.
Den Prozess schriftlich festhalten, mit der Sieben-Tage- und der Drei-Monats-Frist darin.
Entscheiden, ob anonyme Meldungen möglich sind, und das öffentlich kommunizieren.
Aufbewahrungs- und Löschregeln festlegen.
Den Betriebsrat früh einbinden, wo es einen gibt, da ein Hinweisgebersystem in der Regel Mitbestimmungsrechte berührt.
Den Beschäftigten sagen, dass es den Kanal gibt, wofür er da ist und was mit einer Meldung passiert.
Die Bearbeitenden schulen und vor dem Start einen Testfall durchspielen.

Wie Persohap damit umgeht

Meldungen lassen sich in Persohap anonym abgeben. Das Konto der meldenden Person bleibt mit dem Fall verknüpft, damit sie ihn verfolgen und Rückfragen beantworten kann. Ihr Name wird der Bearbeitung jedoch nie angezeigt und taucht in keiner Antwort auf. Beim Absenden benennt die meldende Person genau, wer über die Administratoren hinaus den Fall sehen darf. Diese Freigabe wird in diesem Moment eingefroren: Eine spätere Umstrukturierung oder eine neue Führungskraft erhält nie Zugriff.

Die Anfrage nach einem Fall, den jemand nicht sehen darf, wird mit „nicht gefunden“ beantwortet, denn „verboten“ würde bereits bestätigen, dass es den Fall gibt. Jeder Zugriff, auch der rein lesende, wird in ein nur anfügbares Zugriffsprotokoll geschrieben, das Administratoren einsehen können. Beweisdateien werden auf Schadsoftware geprüft und beim Fall abgelegt, nicht bei einer Person. Die Daten liegen in Frankfurt am Main.

Zum Speak-Up-Meldekanal