Der Kanal, der nicht anonym sein muss: Warum das Hinweisgeberschutzgesetz die fehlende Meldestelle milder ahndet als den Umgang mit der Meldung – und weshalb die eigentliche Haftung in einer Vermutungsregel steckt

Der Aufhänger: Die falsche Frage im Projektauftrag

Stell dir ein Unternehmen mit 140 Beschäftigten vor. Softwarenahe Dienstleistung, drei Standorte, ein Betriebsrat, eine Geschäftsführung, die Compliance ernst nimmt, sobald jemand sie daran erinnert. Im Herbst 2023 kommt die Erinnerung in Form einer Mandanteninformation der Steuerberatung: ab dem 17. Dezember brauche man ein Hinweisgebersystem.

Was daraufhin passiert, ist in tausenden Mittelständlern in dieser Variante passiert. Es wird ein Werkzeug beschafft. Ein Portal, ein Postfach, eine Telefonnummer, in besseren Fällen eine Software mit Fallakte. Jemand aus HR oder Recht wird benannt. Eine Seite im Intranet entsteht. Das Projekt gilt als erledigt, weil die Frage, mit der es gestartet wurde, beantwortet ist: Haben wir einen Meldekanal?

Das ist die falsche Frage. Nicht weil der Kanal unwichtig wäre, sondern weil das Gesetz sein Gewicht an einer anderen Stelle hat. Wer das Hinweisgeberschutzgesetz nach dem Verhältnis von Pflicht zu Sanktion liest, findet eine Staffel, die der Intuition widerspricht: Die Nichteinrichtung einer internen Meldestelle – die eine Pflicht, über die alle gesprochen haben – steht in § 40 Abs. 6 HinSchG in der mittleren Bußgeldstufe bis zwanzigtausend Euro. In der höchsten Stufe bis fünfzigtausend Euro stehen drei andere Dinge: die Behinderung einer Meldung, das Ergreifen einer Repressalie und der vorsätzliche oder leichtfertige Bruch der Vertraulichkeit.

Das Gesetz sanktioniert also nicht primär, dass der Kanal fehlt. Es sanktioniert schärfer, was mit einer Meldung geschieht, nachdem sie angekommen ist.

Und selbst diese Staffel ist nicht der eigentliche Hebel. Der steckt in § 36 Abs. 2 HinSchG: Erleidet eine hinweisgebende Person nach einer Meldung eine Benachteiligung und macht sie den Zusammenhang geltend, wird vermutet, dass es eine Repressalie war – und der Beschäftigungsgeber muss das Gegenteil beweisen. Ein Bußgeld bis zwanzigtausend Euro ist für ein Unternehmen mit 140 Beschäftigten ein Ärgernis. Eine Vermutung, die man nur mit Dokumenten aus der Zeit vor der Meldung widerlegen kann, ist ein Architekturproblem.

Dieser Artikel liest das HinSchG und die dahinterstehende Richtlinie (EU) 2019/1937 deshalb nicht als Beschaffungsanforderung, sondern als das, was sie für ein IT-System tatsächlich sind: eine Anforderung an Fristen, an Rollentrennung, an Nachweisbarkeit – und an eine Löschpflicht, die mit dem Beweisbedürfnis in Spannung steht.

Teil 1: Das Kernkonzept – zwei Rechtsakte, ein Verfahren

Die Richtlinie

Grundlage ist die Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23. Oktober 2019 über den Schutz von Personen, die Verstöße gegen das Unionsrecht melden. Veröffentlicht wurde sie am 26. November 2019; in Kraft trat sie nach den EUR-Lex-Metadaten am 16. Dezember 2019.

Ihr Grundgedanke ist nicht „Meldekanal", sondern Schutz. Die Richtlinie regelt in erster Linie, unter welchen Bedingungen eine meldende Person nicht haftet und nicht benachteiligt werden darf; der Kanal ist das Mittel, nicht der Zweck. Das lässt sich an Art. 21 Abs. 2 ablesen, der den Schutz als Haftungsausschluss formuliert: Wer nach der Richtlinie meldet, gilt nicht als Verletzer einer Offenlegungsbeschränkung und haftet für die Meldung nicht, sofern er hinreichenden Grund zu der Annahme hatte, dass die Meldung zur Aufdeckung eines Verstoßes erforderlich war. Art. 21 Abs. 7 zieht das bis in Verfahren wegen Verleumdung, Urheberrechtsverletzung, Verletzung von Geheimhaltungspflichten, Datenschutzverstößen und Verrat von Geschäftsgeheimnissen durch – mit einem ausdrücklichen Recht, die Meldung zur Abweisung der Klage geltend zu machen.

Erst darauf baut die Organisationspflicht auf. Art. 8 Abs. 1 verpflichtet die Mitgliedstaaten sicherzustellen, dass juristische Personen des privaten und öffentlichen Sektors Kanäle und Verfahren für interne Meldungen und für Folgemaßnahmen einrichten – „following consultation and in agreement with the social partners where provided for by national law", also unter Beteiligung der Sozialpartner, soweit das nationale Recht das vorsieht. Für den privaten Sektor gilt diese Pflicht nach Art. 8 Abs. 3 für Einrichtungen „with 50 or more workers".

Zwei Öffnungsklauseln sind für die Praxis wichtiger, als ihre Nummerierung vermuten lässt:

Art. 8 Abs. 6 erlaubt privaten Einrichtungen mit 50 bis 249 Beschäftigten, Ressourcen für die Entgegennahme von Meldungen und für Untersuchungen zu teilen – ausdrücklich „without prejudice to the obligations imposed upon such entities by this Directive to maintain confidentiality, to give feedback, and to address the reported breach". Die Pflichten zur Vertraulichkeit, zur Rückmeldung und zur Abhilfe bleiben also bei der einzelnen Einrichtung. Was geteilt werden darf, ist die Werkbank, nicht die Verantwortung.

Art. 8 Abs. 7 erlaubt den Mitgliedstaaten, nach einer Risikobewertung auch Einrichtungen mit weniger als 50 Beschäftigten zu verpflichten – mit Blick auf die Art der Tätigkeit und das Risiko insbesondere für Umwelt und öffentliche Gesundheit. Deutschland hat diese Option für kleine Unternehmen im Allgemeinen nicht gezogen; es hat aber über § 12 Abs. 3 HinSchG einen Sektor insgesamt von der Schwelle ausgenommen (dazu Teil 2).

Das deutsche Gesetz

Umgesetzt wurde das durch das Gesetz für einen besseren Schutz hinweisgebender Personen (Hinweisgeberschutzgesetz – HinSchG) vom 31. Mai 2023, veröffentlicht als BGBl. 2023 I Nr. 140. Es trat nach Art. 10 Abs. 2 des Gesetzes am 2. Juli 2023 in Kraft, § 41 bereits am 3. Juni 2023. Zum Abrufzeitpunkt dieses Artikels weist gesetze-im-internet.de als Stand aus: zuletzt geändert durch Artikel 9 Absatz 1 des Gesetzes vom 25. September 2026 (BGBl. 2026 I Nr. 275). Welche Änderung das war, ergibt sich aus der abgerufenen Seite nicht; ich habe sie daher nicht ausgewertet.

Der sachliche Anwendungsbereich ist in § 2 so gebaut, dass er zwei Kategorien von Verstößen unterschiedlich behandelt. Nach § 2 Abs. 1 Nr. 1 erfasst das Gesetz Meldungen über „Verstöße, die strafbewehrt sind" – ohne Einschränkung. Nach Nr. 2 dagegen nur solche „Verstöße, die bußgeldbewehrt sind, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient". Das ist eine praktisch bedeutsame Asymmetrie: Jede Straftat zählt, aber nicht jede Ordnungswidrigkeit. Hinzu kommen in § 2 Abs. 1 Nr. 3 bis 11 die unionsrechtlich definierten Sachgebiete sowie in Abs. 2 Verstöße gegen den Schutz der finanziellen Interessen der Union (Art. 325 AEUV) und gegen Binnenmarktvorschriften (Art. 26 Abs. 2 AEUV).

Für ein System heißt das: Der Anwendungsbereich ist keine Checkbox im Meldeformular. Ob eine Meldung unter das Gesetz fällt, ist das Ergebnis einer juristischen Subsumtion, die erst nach Eingang möglich ist – und die Fristen laufen ab Eingang.

Die freie Wahl, und was daran einseitig ist

§ 7 Abs. 1 HinSchG gibt der hinweisgebenden Person die Wahl zwischen interner Meldestelle und externer Meldestelle. Satz 2 formuliert eine Präferenz, aber nur als Empfehlung: Diese Personen „sollten" in den Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten, die interne Meldung bevorzugen. Satz 3 stellt klar, dass der Weg nach außen offenbleibt, wenn intern nicht abgeholfen wurde.

Die Gegenrichtung ist strikter formuliert. § 7 Abs. 3 verlangt von den verpflichteten Beschäftigungsgebern, Anreize für die interne Meldung zu schaffen und klare, leicht zugängliche Informationen über das interne Verfahren bereitzustellen – und zieht sofort die Grenze: „Die Möglichkeit einer externen Meldung darf hierdurch nicht beschränkt oder erschwert werden." Und § 7 Abs. 2 stellt ein eigenes Verbot auf: Es ist verboten, Meldungen oder die anschließende Kommunikation zwischen hinweisgebender Person und Meldestelle zu behindern oder dies zu versuchen.

Dieses Behinderungsverbot ist die Norm, die in Teil 5 in der höchsten Bußgeldstufe wieder auftaucht. Es ist weit gefasst: Behinderung ist nicht nur das Abschalten des Portals, sondern plausibel auch das Erschweren der Kommunikation – etwa ein Meldeweg, der ohne Firmenlogin nicht erreichbar ist, oder ein Verfahren, das jede Rückfrage über die Vorgesetzte leitet. Ich bin der Meinung, dass diese zweite Lesart dem Wortlaut entspricht; eine Entscheidung, die das für konkrete Systemgestaltungen bestätigt, habe ich in diesem Lauf nicht geprüft.

Teil 2: Wer verpflichtet ist – und ab wann

§ 12 Abs. 1 Satz 1 HinSchG ist knapp: „Beschäftigungsgeber haben dafür zu sorgen, dass bei ihnen mindestens eine Stelle für interne Meldungen eingerichtet ist und betrieben wird, an die sich Beschäftigte wenden können (interne Meldestelle)." Zwei Verben, und beide zählen: eingerichtet und betrieben. Ein Portal, das existiert, aber dessen Postfach niemand liest, erfüllt den Tatbestand nicht.

§ 12 Abs. 2 setzt die Schwelle: „Die Pflicht nach Absatz 1 Satz 1 gilt nur für Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten." Das Wort „jeweils" ist kein Füllwort – es bezieht die Schwelle auf den einzelnen Beschäftigungsgeber, nicht auf die Gruppe.

§ 12 Abs. 3 kehrt die Logik für einen Sektor um: „Abweichend von Absatz 2 gilt die Pflicht nach Absatz 1 Satz 1 unabhängig von der Zahl der Beschäftigten für" neun Kategorien, darunter Wertpapierdienstleistungsunternehmen, Institute im Sinne des § 1 Abs. 1b KWG, Kapitalverwaltungsgesellschaften, Unternehmen nach § 1 Abs. 1 VAG und Institute im Sinne des § 1 Abs. 3 ZAG. Für ein Finanz- oder Zahlungsdiensteunternehmen mit zwölf Beschäftigten gilt die Pflicht also vom ersten Tag an.

Die zwei Stichtage, die nicht derselbe sind

Hier liegt ein Detail, das in der Beratungsliteratur von 2023 oft zusammengezogen wurde, obwohl das Gesetz es trennt. § 42 HinSchG enthält zwei verschiedene Daten:

Die Sortierung dieser Daten ist das eigentlich Lehrreiche. Die Bußgeldvorschrift wurde auf den 1. Dezember 2023 anwendbar – also sechzehn Tage, bevor die Pflicht für die Gruppe mit 50 bis 249 Beschäftigten überhaupt zu laufen begann. Für Unternehmen ab 250 Beschäftigten, die seit dem 2. Juli 2023 verpflichtet waren, schloss § 42 Abs. 2 damit die Sanktionslücke zum 1. Dezember 2023; für die kleinere Gruppe lief die Pflicht erst ab dem 17. Dezember 2023 und war ab diesem Tag auch bußgeldbewehrt. Die beiden Daten gehören also zu zwei verschiedenen Adressatenkreisen – wer sie als einen Stichtag liest, datiert für eine der beiden Gruppen falsch.

Und die Richtlinie zeigt, wie eng ihre eigene Ausnahme war: Art. 26 Abs. 2 verschiebt nicht die Umsetzung der Richtlinie für kleinere Unternehmen, sondern nur „the obligation to establish internal reporting channels under Article 8(3)". Alles andere – Schutz vor Repressalien, Vertraulichkeit, Haftungsfreistellung – war bereits ab dem 17. Dezember 2021 umzusetzen, unabhängig von der Unternehmensgröße.

Die gemeinsame Stelle, und was sie nicht abnimmt

Die Verbundlösung steht in Deutschland nicht in § 12, sondern in § 14 Abs. 2 HinSchG: „Mehrere private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können für die Entgegennahme von Meldungen und für die weiteren nach diesem Gesetz vorgesehenen Maßnahmen eine gemeinsame Stelle einrichten und betreiben." Und dann der Satz, der die Konstruktion begrenzt: „Die Pflicht, Maßnahmen zu ergreifen, um den Verstoß abzustellen, und die Pflicht zur Rückmeldung an die hinweisgebende Person verbleiben bei dem einzelnen Beschäftigungsgeber."

Das ist die wörtliche Umsetzung des Art. 8 Abs. 6 der Richtlinie, und es hat eine unmittelbare Folge für jede Konzern- oder Verbundlösung: Der geteilte Dienst ist eine Annahmestelle, kein Fallinhaber. Wer eine zentrale Meldestelle für mehrere Gesellschaften baut, braucht pro Gesellschaft eine eigene, nachweisbare Zuordnung von Abhilfe und Rückmeldung – und damit eine Mandantentrennung im System, die nicht nur die Sichtbarkeit von Daten regelt, sondern die Zuständigkeit für Fristen.

Teil 3: Die Anonymitätslücke

Hier trifft der deutsche Gesetzgeber eine Entscheidung, die viele Systemeinführungen stillschweigend in die andere Richtung annehmen.

Die Richtlinie überlässt die Frage ausdrücklich den Mitgliedstaaten. Art. 6 Abs. 2 lautet: „Without prejudice to existing obligations to provide for anonymous reporting by virtue of Union law, this Directive does not affect the power of Member States to decide whether legal entities in the private or public sector and competent authorities are required to accept and follow up on anonymous reports of breaches." Die Richtlinie verlangt also keine anonymen Meldekanäle; sie lässt die Entscheidung offen und berührt bestehende unionsrechtliche Pflichten nicht.

Deutschland hat die Entscheidung in § 16 Abs. 1 HinSchG getroffen, und zwar in zwei Sätzen, deren Modalverben man einzeln lesen muss: „Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten. Es besteht allerdings keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen."

Das ist zweimal weniger als eine Pflicht. Satz 1 ist ein „sollte" – eine Obliegenheit ohne Durchsetzungsmechanik. Satz 2 schließt ausdrücklich aus, dass aus Satz 1 eine Gestaltungspflicht für den Kanal folgt. Wer in Deutschland ein Hinweisgebersystem ohne Anonymitätsfunktion betreibt, verstößt damit nicht gegen § 16 Abs. 1.

Nur: Das Risiko verschwindet damit nicht, es verschiebt sich. Art. 6 Abs. 3 der Richtlinie bestimmt, dass Personen, die anonym gemeldet oder offengelegt haben, „but who are subsequently identified and suffer retaliation", trotzdem den Schutz nach Kapitel VI genießen, sofern sie die Voraussetzungen des Abs. 1 erfüllen. Der Schutz hängt also nicht am Kanal, sondern an der Person. Ein System ohne Anonymitätsfunktion muss deshalb genau dasselbe aushalten wie eines mit: Es muss verhindern, dass die Identität einer meldenden Person weiter zirkuliert, als es das Verfahren erfordert.

Und genau diese Pflicht ist die scharf sanktionierte. § 8 Abs. 1 Satz 1 HinSchG begründet das Vertraulichkeitsgebot; § 40 Abs. 3 macht den vorsätzlichen oder leichtfertigen Verstoß zur Ordnungswidrigkeit; § 40 Abs. 6 ordnet ihn der höchsten Stufe bis fünfzigtausend Euro zu. Die Nichteinrichtung des Kanals liegt darunter.

Daraus folgt eine Architekturanforderung, die unabhängig von der Anonymitätsentscheidung gilt: Die Identität der hinweisgebenden Person ist ein eigenes Schutzgut mit eigener Zugriffskontrolle, nicht ein Feld im Datensatz des Falls. Fallbearbeitung, Untersuchung und Abhilfe müssen so weit wie möglich mit einem pseudonymisierten Fall arbeiten können – nicht, weil das Gesetz Anonymität verlangt, sondern weil es den Bruch der Vertraulichkeit härter ahndet als das Fehlen des ganzen Systems.

Teil 4: Die Uhr – sieben Tage, drei Monate, und eine Frist, die nicht wartet

Beide Rechtsakte legen identische Fristen fest, und sie legen sie so, dass Nichtstun sie nicht verlängert.

Art. 9 Abs. 1 Buchst. b der Richtlinie verlangt „acknowledgment of receipt of the report to the reporting person within seven days of that receipt". § 17 Abs. 1 Nr. 1 HinSchG setzt das um: Die interne Meldestelle „bestätigt der hinweisgebenden Person den Eingang einer Meldung spätestens nach sieben Tagen".

Für die inhaltliche Rückmeldung nennt Art. 9 Abs. 1 Buchst. f „a reasonable timeframe to provide feedback, not exceeding three months from the acknowledgment of receipt or, if no acknowledgement was sent to the reporting person, three months from the expiry of the seven-day period after the report was made". § 17 Abs. 2 HinSchG formuliert dasselbe: Rückmeldung „innerhalb von drei Monaten nach der Bestätigung des Eingangs der Meldung oder, wenn der Eingang nicht bestätigt wurde, spätestens drei Monate und sieben Tage nach Eingang der Meldung".

Dieser zweite Halbsatz ist die eigentliche Konstruktionsentscheidung. Die Drei-Monats-Frist knüpft an die Eingangsbestätigung an – aber wer nicht bestätigt, gewinnt keine Zeit, sondern verliert nur den Bezugspunkt und bekommt eine Höchstfrist aus Eingang plus sieben Tage plus drei Monate. Die Frist ist damit gegen die naheliegende Umgehung immunisiert: Man kann sie nicht durch Unterlassen der Bestätigung nach hinten schieben.

Und die Frist hat eine Folgewirkung außerhalb des Unternehmens. Art. 15 Abs. 1 Buchst. a der Richtlinie macht eine öffentliche Offenlegung schutzwürdig, wenn die Person zuvor intern und extern oder direkt extern gemeldet hat, „but no appropriate action was taken in response to the report within the timeframe referred to in point (f) of Article 9(1) or point (d) of Article 11(2)". Die drei Monate sind also nicht nur eine Serviceverpflichtung. Sie sind der Zeitraum, nach dessen Ablauf der Gang an die Öffentlichkeit seinen Schutz gewinnen kann.

Art. 15 Abs. 1 Buchst. b nennt zwei weitere Wege dorthin, die keine Frist brauchen: hinreichender Grund zu der Annahme, dass der Verstoß „may constitute an imminent or manifest danger to the public interest, such as where there is an emergency situation or a risk of irreversible damage", oder – bei externer Meldung – dass „there is a risk of retaliation or there is a low prospect of the breach being effectively addressed", etwa weil Beweise verborgen oder vernichtet werden könnten oder eine Behörde mit dem Verursacher zusammenwirkt.

Für ein System bedeutet die Fristenmechanik dreierlei. Erstens: Der Zeitstempel des Eingangs ist ein rechtlich relevantes Datum und muss fälschungssicher sein. Zweitens: Die Uhr braucht zwei Timer pro Fall, nicht einen, und der zweite hängt vom Ergebnis des ersten ab. Drittens: Eine überschrittene Drei-Monats-Frist ist nicht primär ein Bußgeldrisiko – sie ist die Voraussetzung, unter der dieselbe Information rechtlich geschützt in der Presse landen darf.

Teil 5: Die Bußgeldstaffel und das Gewicht an der unerwarteten Stelle

§ 40 HinSchG ist die Stelle, an der sich die Prioritäten des Gesetzgebers ablesen lassen – nicht an den Tatbeständen, sondern an deren Zuordnung zu den Stufen in Abs. 6.

Die Tatbestände:

• Abs. 1: wer wissentlich entgegen § 32 Abs. 2 eine unrichtige Information offenlegt.
• Abs. 2 Nr. 1: wer entgegen § 7 Abs. 2 eine Meldung oder die dort genannte Kommunikation behindert.
• Abs. 2 Nr. 2: wer entgegen § 12 Abs. 1 Satz 1 nicht dafür sorgt, dass eine interne Meldestelle eingerichtet ist und betrieben wird.
• Abs. 2 Nr. 3: wer entgegen § 36 Abs. 1 Satz 1, auch in Verbindung mit § 34, eine Repressalie ergreift.
• Abs. 3: wer vorsätzlich oder leichtfertig entgegen § 8 Abs. 1 Satz 1 die Vertraulichkeit nicht wahrt.
• Abs. 4: wer eine in Abs. 3 bezeichnete Handlung fahrlässig begeht.
• Abs. 5: der Versuch, in den Fällen des Abs. 2 Nr. 1 und 3.

Und die Zuordnung, wörtlich aus § 40 Abs. 6: Die Ordnungswidrigkeit kann „in den Fällen des Absatzes 2 Nummer 1 und 3, der Absätze 3 und 5 mit einer Geldbuße bis zu fünfzigtausend Euro, in den Fällen der Absätze 1 und 2 Nummer 2 mit einer Geldbuße bis zu zwanzigtausend Euro und in den übrigen Fällen mit einer Geldbuße bis zu zehntausend Euro geahndet werden."

Drei Beobachtungen, die sich aus der Tabelle selbst ergeben:

Erstens: Der Versuch, eine Meldung zu behindern oder eine Repressalie zu ergreifen, steht in derselben Stufe wie die vollendete Tat – bis fünfzigtausend Euro. Die vollendete Nichteinrichtung einer Meldestelle steht darunter. Ein gescheiterter Versuch, eine Meldung zu unterdrücken, ist nach dieser Staffel also mit einem höheren Rahmen bedroht als das vollständige Fehlen des Systems.

Zweitens: Die Nichteinrichtung ist die einzige Pflicht in dieser Liste, die ein Zustand ist und kein Verhalten. Alle Tatbestände der höchsten Stufe setzen eine Handlung gegenüber einer konkreten Person voraus. Das erklärt die Staffel, rechtfertigt sie aber nicht automatisch: Es gibt die höchste Stufe nur dort, wo bereits jemand gemeldet hat – und wer keinen Kanal betreibt, erzeugt seltener einen solchen Anlass. Ich bin der Meinung, dass darin ein Anreizproblem liegt; eine Untersuchung, die das empirisch für das HinSchG belegt, habe ich in diesem Lauf nicht gefunden.

Drittens: Die Richtlinie verlangt in Art. 23 Abs. 1 „effective, proportionate and dissuasive penalties" für vier Verhaltensweisen – Behinderung der Meldung (Buchst. a), Repressalien (Buchst. b), schikanöse Verfahren gegen geschützte Personen (Buchst. c) und den Bruch der Vertraulichkeit (Buchst. d). Die fehlende interne Meldestelle ist in Art. 23 Abs. 1 nicht genannt. Deutschland hat sie aus eigenem Antrieb bußgeldbewehrt und zugleich in die mittlere Stufe eingeordnet. Die deutsche Staffel folgt also, was die Gewichtung betrifft, der Prioritätenliste des Art. 23 – sie sanktioniert genau die vier dort genannten Verhaltensweisen am schärfsten. Umgekehrt verlangt Art. 23 Abs. 2 Sanktionen auch gegen hinweisgebende Personen, die wissentlich falsche Informationen melden oder offenlegen; das findet sich in § 40 Abs. 1 wieder.

Teil 6: Die Beweislastumkehr – wo die Haftung wirklich entsteht

§ 36 HinSchG trägt die Überschrift „Verbot von Repressalien; Beweislastumkehr", und der zweite Teil dieser Überschrift ist für ein Unternehmen der teuerste Satz des Gesetzes.

Abs. 1: „Gegen hinweisgebende Personen gerichtete Repressalien sind verboten. Das gilt auch für die Androhung und den Versuch, Repressalien auszuüben."

Abs. 2, in zwei Schritten: „Erleidet eine hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit und macht sie geltend, diese Benachteiligung infolge einer Meldung oder Offenlegung nach diesem Gesetz erlitten zu haben, so wird vermutet, dass diese Benachteiligung eine Repressalie für diese Meldung oder Offenlegung ist. In diesem Fall hat die Person, die die hinweisgebende Person benachteiligt hat, zu beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen basierte oder dass sie nicht auf der Meldung oder Offenlegung beruhte."

Die Richtlinie formuliert das in Art. 21 Abs. 5 im Grundsatz gleich: Steht fest, dass die Person gemeldet oder offengelegt hat und einen Nachteil erlitten hat, „it shall be presumed that the detriment was made in retaliation", und „it shall be for the person who has taken the detrimental measure to prove that that measure was based on duly justified grounds".

Zwei Unterschiede im Detail sind es wert, nebeneinandergelegt zu werden. Die Richtlinie stellt auf das Feststehen von Meldung und Nachteil ab; das deutsche Recht knüpft die Vermutung an die Benachteiligung plus das Geltendmachen des Zusammenhangs durch die hinweisgebende Person. Und das deutsche Recht gibt dem Beschäftigungsgeber zwei Entlastungswege statt einem: hinreichend gerechtfertigte Gründe – oder dass die Benachteiligung nicht auf der Meldung beruhte. Ob dieser zweite Weg praktisch leichter ist, ist eine Frage der Rechtsprechung, die ich hier nicht geprüft habe.

Für die Praxis ist die Konsequenz unabhängig von diesen Feinheiten dieselbe, und sie ist zeitlich: Die Entlastung muss aus Material kommen, das vor der Meldung entstanden ist. Eine Leistungsbeurteilung, die nach dem Eingang einer Meldung erstmals Kritik dokumentiert, taugt kaum als Beweis dafür, dass die Nichtbeförderung nichts mit der Meldung zu tun hatte. Eine Beurteilung, die zwei Jahre lang dieselbe Kritik dokumentiert hat, taugt dafür sehr gut.

Das ist keine juristische, sondern eine Datenanforderung: lückenlose, zeitlich verankerte, nicht nachträglich veränderbare Personalentscheidungsspuren. Wer Entscheidungen über Beförderung, Versetzung, Befristung, Bonus und Kündigung in einem System führt, dessen Historie sich überschreiben lässt, hat im Streitfall genau dann kein Beweismittel, wenn er es braucht. Der Tag, an dem eine Meldung eingeht, ist der Tag, an dem jede bereits bestehende Dokumentation an Wert gewinnt und jede neue an Glaubwürdigkeit verliert.

Teil 7: Vierunddreißig Millionen Euro – und warum sie nicht beim Unternehmen landen

Am 6. März 2025 hat der Gerichtshof der Europäischen Union über fünf Vertragsverletzungsverfahren zur Whistleblower-Richtlinie entschieden. Die Pressemitteilung des Gerichtshofs Nr. 29/25 vom selben Tag – ein ausdrücklich nicht bindendes Dokument für Medienzwecke – nennt die Verfahren und die Beträge:

Deutschland zahlt damit den höchsten Pauschalbetrag, und zwar ohne tägliches Zwangsgeld; die Pressemitteilung hält fest, dass die Staaten einen Pauschalbetrag an die Kommission zu zahlen haben und dass Estland, „if it has still not transposed the directive", zusätzlich das tägliche Zwangsgeld trifft. Als maßgebliche Frist nennt Fußnote 3 der Pressemitteilung: „In accordance with Article 26 of that directive, Member States were obliged to adopt the provisions necessary for its application by 17 December 2021 at the latest." Die EUR-Lex-Eintragung zu C-149/23 bezeichnet die Entscheidung als „Judgment of the Court (Sixth Chamber) of 6 March 2025" und führt in der Gegenstandszeile Art. 258 AEUV, Art. 26 Abs. 1 und 3 der Richtlinie sowie Art. 260 Abs. 3 AEUV als Grundlage des Pauschalbetrags auf. Ein früheres Urteil derselben Verfahrensreihe gegen Polen (C-147/23) datiert die Pressemitteilung auf den 25. April 2024.

Nun die Einordnung, die in Berichterstattung oft verloren geht: Diese 34 Millionen Euro sind keine Unternehmenssanktion. Es ist eine Sanktion gegen die Bundesrepublik Deutschland für die verspätete Umsetzung und Mitteilung – getragen aus dem Bundeshaushalt, nicht von Beschäftigungsgebern. Der Betrag ist für ein Unternehmen nicht als Haftungsrisiko relevant, sondern als Signal: Die Kommission hat diese Richtlinie bis in das Sanktionsverfahren nach Art. 260 Abs. 3 AEUV verfolgt, und der Gerichtshof hat die Verzögerung mit dem höchsten Betrag der fünf Verfahren belegt.

Der Vergleich der Beträge hat daneben eine Lesart, die man vorsichtig formulieren muss. Die Reihenfolge Deutschland – Tschechien – Ungarn – Estland – Luxemburg entspricht grob der Reihenfolge der Wirtschaftsgröße, und die Gegenstandszeile zu C-149/23 nennt ausdrücklich das Thema „Automatic application of a coefficient for seriousness" – der Gerichtshof hat sich also mit der Methodik der Betragsbemessung befasst. Ich bin der Meinung, dass sich die Abstände zwischen den fünf Beträgen damit nicht allein aus der Dauer der Verzögerung erklären lassen; welche Faktoren der Gerichtshof im Einzelnen wie gewichtet hat, steht in den Urteilsgründen, die ich in diesem Lauf nicht abgerufen habe.

Teil 8: Die Löschpflicht gegen das Beweisbedürfnis

An dieser Stelle laufen zwei Pflichten des Gesetzes aufeinander zu, und das Ergebnis ist kein Widerspruch, aber eine Spannung, die man bewusst auflösen muss.

§ 11 Abs. 1 HinSchG verlangt die Dokumentation: Die zuständigen Personen „dokumentieren alle eingehenden Meldungen in dauerhaft abrufbarer Weise unter Beachtung des Vertraulichkeitsgebots (§ 8)". § 11 Abs. 5 setzt dann eine Frist: „Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht." Und Satz 2 öffnet sie wieder: „Die Dokumentation kann länger aufbewahrt werden, um die Anforderungen nach diesem Gesetz oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist."

Die Richtlinie macht es in Art. 18 Abs. 1 ohne festen Zeitraum: Aufzeichnungen über jede eingegangene Meldung sind zu führen, und „Reports shall be stored for no longer than it is necessary and proportionate in order to comply with the requirements imposed by this Directive, or other requirements imposed by Union or national law". Deutschland hat daraus eine Regelfrist mit Ausnahme gemacht; die Richtlinie kennt nur den Maßstab.

Die Spannung entsteht mit § 36 Abs. 2. Eine Repressalienvermutung kann auch vier Jahre nach Abschluss eines Meldeverfahrens greifen – arbeitsrechtliche Nachteile haben lange Vorlaufzeiten, und die Vermutung knüpft nicht an eine Frist. Wer dann die Akte nach § 11 Abs. 5 Satz 1 gelöscht hat, muss ohne sie beweisen, dass die Benachteiligung andere Gründe hatte.

Satz 2 ist der Ausweg, aber kein bequemer: Die längere Aufbewahrung muss „erforderlich und verhältnismäßig" sein, und das ist eine Entscheidung, die man pro Fall begründen und dokumentieren muss – nicht eine Einstellung, die man global auf „nie löschen" setzt. Praktisch heißt das: Die Löschfrist gehört in das System als Vorgang mit Begründungsfeld, nicht als Cronjob.

Und eine Trennung hilft dabei erheblich. Zu löschen ist die Dokumentation des Meldeverfahrens. Die Historie der Personalentscheidungen, auf die die Entlastung nach § 36 Abs. 2 tatsächlich angewiesen ist, ist eine andere Datenhaltung mit eigenen Fristen. Wer beides vermischt – also die Leistungsbeurteilungen in die Fallakte legt –, löscht mit der Fallakte seine Verteidigung.

Teil 9: Der empirische Hintergrund – wie Hinweise tatsächlich ankommen

Die Rechtspflicht sagt nichts darüber, ob Meldekanäle wirken. Dazu gibt es Zahlen, und sie sind mit unterschiedlicher Belastbarkeit zu haben.

Die Association of Certified Fraud Examiners veröffentlicht mit „Occupational Fraud 2026: A Report to the Nations" die vierzehnte Ausgabe ihrer Erhebung. Von der ACFE-Seite selbst, die ich in diesem Lauf abgerufen habe, stammen diese Angaben: 2.402 reale Fälle, Daten aus 143 Ländern und Gebieten, 22 Branchenkategorien; die Befragung lief von Juli 2025 bis September 2025, erfasst wurden Untersuchungen, die seit Januar 2024 stattgefunden haben; von 10.276 Antworten waren 2.402 verwertbar. Ebenfalls von der ACFE-Seite: Die häufigsten Wege, auf denen Hinweise eingehen, sind webbasierte Formulare mit 46 %, E-Mail mit 34 % und Telefon mit 23 %.

Der oft zitierte Befund, dass Hinweise die häufigste Entdeckungsart für Betrug im Unternehmen sind, ließ sich in diesem Lauf nicht gegen die Primärquelle prüfen: Das PDF des ACFE-Berichts ist für automatisierte Abrufe gesperrt. Mehrere Sekundärzusammenfassungen nennen übereinstimmend 43 % Entdeckung durch Hinweis, gefolgt von interner Revision mit 15 % und Management-Review mit 13 %, sowie einen Medianschaden von 104.000 US-Dollar und eine Mediandauer von zwölf Monaten; dieselben Zusammenfassungen berichten für Organisationen mit formalem Meldemechanismus einen Medianschaden von 100.000 gegenüber 150.000 US-Dollar und eine Mediandauer von elf gegenüber siebzehn Monaten. Diese Zahlen gebe ich ausdrücklich als Sekundärangaben weiter, nicht als geprüfte Werte.

Die eine Zahl, die aus der Primärquelle belastbar ist – der Vorrang webbasierter Kanäle vor E-Mail und Telefon –, trägt für sich schon eine Gestaltungsaussage: Der Kanal, über den Hinweise am häufigsten eingehen, ist derjenige, der am leichtesten eine Fallnummer, einen Zeitstempel und eine Rückkanalfunktion ohne Identitätspreisgabe mitbringen kann. Ein Postfach kann das nicht; ein Telefonat auch nicht ohne Protokoll.

Teil 10: Ein Framework für die Praxis – sechs Eigenschaften, die aus dem Gesetzestext folgen

Nicht aus Best Practice, sondern jeweils aus einer benennbaren Norm:

Der Unterschied zur üblichen Checkliste ist, dass keine dieser sechs Eigenschaften im Beschaffungsprozess auffällt. Jedes Hinweisgeberportal auf dem Markt erfüllt das Merkmal „Meldekanal vorhanden". Die sechs oben entscheiden darüber, ob das System im Streitfall etwas beweist.

Faktenprüfung

Geprüft wurden 94 Aussagen dieses Artikels gegen Primärquellen, die in diesem Lauf abgerufen wurden: den Volltext des HinSchG auf gesetze-im-internet.de (Einzelnormseiten zu §§ 2, 7, 11, 12, 14, 16, 17, 36, 40, 42 sowie die Gesamtausgabe), den Volltext der Richtlinie (EU) 2019/1937 in der auf legislation.gov.uk veröffentlichten Fassung des EU-Rechtsakts, die Pressemitteilung Nr. 29/25 des Gerichtshofs der Europäischen Union und die EUR-Lex-Eintragung zu C-149/23 sowie die Berichtsseite der ACFE. 17 Aussagen wurden korrigiert oder abgeschwächt.

Die drei wichtigsten Korrekturen:

1. Der Entwurf ordnete die fehlende interne Meldestelle der höchsten Bußgeldstufe bis 50.000 Euro zu. § 40 Abs. 6 HinSchG weist sie der mittleren Stufe bis 20.000 Euro zu; die 50.000-Euro-Stufe trifft Behinderung, Repressalie, vorsätzlichen oder leichtfertigen Vertraulichkeitsbruch und den Versuch. Diese Korrektur hat die Kernaussage des Artikels verändert und wurde in Aufhänger, Teil 5, Tabelle und Erkenntnis nachgezogen.
2. Der Entwurf datierte das Sanktionsurteil gegen Deutschland auf den 25. April 2024. Nach der Pressemitteilung Nr. 29/25 ist es der 6. März 2025; der 25. April 2024 ist das Urteil gegen Polen (C-147/23).
3. Der Entwurf nannte die Amtsblattfundstelle der Richtlinie mit L-Nummer und Seite. Diese Angabe stand auf keiner in diesem Lauf abgerufenen Seite und wurde gestrichen; genannt wird nur das aus den EUR-Lex-Metadaten belegte Veröffentlichungsdatum. Ebenso wurde die Angabe korrigiert, die Ressourcenteilung für 50 bis 249 Beschäftigte stehe in Art. 8 Abs. 7 – sie steht in Art. 8 Abs. 6 – und der Satz, anonyme Meldekanäle seien unionsrechtlich vorgeschrieben, wurde auf den tatsächlichen Gehalt des Art. 6 Abs. 2 zurückgeführt.

Hinweis: Automatisierte KI-Prüfung gegen Primärquellen; keine menschliche Fachprüfung. Dieser Artikel ist eine fachliche Darstellung des Regelungsstands und keine Rechtsberatung.

Erkenntnis zum Mitnehmen

Zwei Dinge sind aus dem Gesetzestext mitzunehmen, und beide verschieben den Fokus weg vom Meldekanal.

Die erste: Die Bußgeldstaffel des § 40 Abs. 6 HinSchG setzt das Gewicht nicht auf die Existenz des Kanals, sondern auf das Verhalten gegenüber einer Person, die ihn benutzt hat. Behinderung, Repressalie und vorsätzlicher Vertraulichkeitsbruch stehen bis 50.000 Euro, ebenso der bloße Versuch der ersten beiden; die fehlende Meldestelle steht bis 20.000 Euro. Das entspricht der Prioritätenliste des Art. 23 Abs. 1 der Richtlinie, in der die fehlende Meldestelle überhaupt nicht vorkommt.

Die zweite, und sie ist die unbequemere: Das eigentliche Haftungsrisiko ist kein Bußgeld, sondern die Vermutungsregel des § 36 Abs. 2. Nach einer Meldung ist jede Benachteiligung im beruflichen Zusammenhang vermutlich eine Repressalie, und der Beschäftigungsgeber trägt die Beweislast für das Gegenteil. Diese Vermutung lässt sich nur mit Material widerlegen, das vor der Meldung entstanden ist – und § 11 Abs. 5 verlangt zugleich, die Verfahrensdokumentation drei Jahre nach Abschluss zu löschen, mit Verlängerung nur, soweit sie erforderlich und verhältnismäßig ist.

Der praktische Handlungsanstoß daraus ist technisch und in einer Woche machbar. Nimm das vorhandene Hinweisgebersystem und beantworte drei Fragen aus dem System heraus, nicht aus der Erinnerung: Erstens, kann es für jede eingegangene Meldung den Eingangszeitstempel, das Datum der Eingangsbestätigung und die daraus folgende Drei-Monats-Frist ausgeben – und was passiert, wenn nie bestätigt wurde? Zweitens, kann ein Fall bearbeitet werden, ohne dass der Klarname der hinweisgebenden Person im Bearbeitungspfad sichtbar wird, und ist jeder Zugriff auf diese Identität protokolliert? Drittens, wo liegt die Historie der Personalentscheidungen – in derselben Akte wie das Meldeverfahren oder getrennt davon, und ist sie änderungsfest?

Die Lücken, die dabei sichtbar werden, sind die Arbeitsliste. Was dabei nicht zur Arbeitsliste gehört, ist die Anonymitätsfunktion: Sie ist in Deutschland nach § 16 Abs. 1 Satz 2 HinSchG ausdrücklich nicht verpflichtend – wohl aber der Schutz der Identität derjenigen, die sich zu erkennen gegeben haben.

Reflexionsfrage

Der deutsche Gesetzgeber hat sich in § 16 Abs. 1 HinSchG gegen eine Pflicht zu anonymen Meldekanälen entschieden, obwohl Art. 6 Abs. 2 der Richtlinie ihm die Entscheidung offenließ – und obwohl Art. 6 Abs. 3 eine nachträglich identifizierte anonyme Person ausdrücklich weiter schützt.

Das erzeugt eine Wahl, die jedes Unternehmen für sich trifft. Ein anonymer Kanal senkt die Schwelle für die Meldung, erschwert aber die Sachverhaltsaufklärung, weil Rückfragen am Informationsstand der Erstmeldung hängen bleiben, und er öffnet einen Weg für Meldungen, deren Motiv sich nicht prüfen lässt. Ein identifizierter Kanal erlaubt saubere Aufklärung, verlangt von der meldenden Person aber genau das Vertrauen, dessen Fehlen der Grund für die ganze Gesetzgebung war.

Wie würdest du das für eine Organisation entscheiden, die du heute verantwortest? Und ändert sich deine Antwort, wenn du sie nicht als die Person formulierst, die das Verfahren betreibt, sondern als die Person, die am Montagmorgen entscheiden muss, ob sie etwas meldet, das ihre direkte Vorgesetzte betrifft?

Querverweise im Vault

• Psychologische Sicherheit: Die verborgene Kraft hinter leistungsstarken Teams – die psychologische Vorbedingung dessen, was das HinSchG rechtlich erzwingen will. Ein Meldekanal in einem Team, in dem das Ansprechen von Problemen Kosten hat, bleibt ungenutzt, und kein Bußgeldrahmen ändert das.
• Die 38 Zeugen, die es nie gab: Der Bystander-Effekt zwischen Laborbefund und Videoevidenz – die andere Seite derselben Frage: Was hält Menschen davon ab, bei beobachtetem Unrecht zu handeln? Die Beweislastumkehr des § 36 Abs. 2 ist der Versuch, einen Teil dieser Kosten vom Beobachter auf die Organisation zu verlagern.
• NIS2 und was sie für mittelständische IT-Beratungsunternehmen in Deutschland wirklich bedeutet – dieselbe Bauform: eine Pflicht mit Schwellenwert, deren Erfüllung man belegen können muss, und eine Umsetzung, die in Deutschland später kam als die europäische Frist.
• Die dokumentierte Ausrede: Warum die Ausnahme im Barrierefreiheitsstärkungsgesetz keine Arbeit erspart, sondern sie verlagert – und weshalb die Pflicht, Normänderungen nachzuführen, derzeit auf eine Norm zeigt, die es rechtlich noch nicht gibt – der direkte Verwandte in der Bußgeldsystematik: auch dort liegt das Gewicht der Staffel nicht dort, wo die öffentliche Diskussion es vermutet.
• Der Algorithmus als Richter: Artikel 22 DSGVO, das SCHUFA-Urteil und das Recht auf eine menschliche Entscheidung – die Nachbarschaft bei der Beweislast: In beiden Regimen muss die Seite erklären, die die Information hat, nicht die, die den Nachteil erleidet.
• Wenn die IT nicht ausfallen darf: DORA und die digitale operationale Resilienz des Finanzsektors – derselbe Sektor, der in § 12 Abs. 3 HinSchG unabhängig von der Beschäftigtenzahl verpflichtet ist, und derselbe europäische Reflex, Finanzunternehmen aus Größenschwellen herauszunehmen.
• Sicherheit ab Werk: Der EU Cyber Resilience Act und das Ende des unsicheren Produkts – das dritte Beispiel dafür, dass eine europäische Pflicht praktisch an der Frage hängt, ob das eigene System die passenden Metadaten und Zeitstempel führt.

Quellen und zum Weiterlesen

1. Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23. Oktober 2019 über den Schutz von Personen, die Verstöße gegen das Unionsrecht melden. Veröffentlichung nach EUR-Lex-Metadaten am 26.11.2019, erstes Inkrafttreten 16.12.2019. Geprüft wurden Art. 6 Abs. 2 und 3, Art. 8 Abs. 1, 3, 6, 7 und 9, Art. 9 Abs. 1 Buchst. b und f, Art. 15, Art. 18 Abs. 1, Art. 21 Abs. 1, 2, 5 und 7, Art. 23, Art. 26 Abs. 1 bis 3 und Art. 27 – im Volltext der auf legislation.gov.uk veröffentlichten Fassung des EU-Rechtsakts, da die EUR-Lex-Volltextseiten automatisierte Abrufe ablehnen. legislation.gov.uk/eudr/2019/1937 · EUR-Lex-Eintrag
2. Hinweisgeberschutzgesetz (HinSchG) – Gesetz für einen besseren Schutz hinweisgebender Personen vom 31. Mai 2023 (BGBl. 2023 I Nr. 140); Ausfertigungsdatum 31.05.2023, in Kraft nach Art. 10 Abs. 2 des Gesetzes am 2.7.2023, § 41 am 3.6.2023; Stand der abgerufenen Fassung: zuletzt geändert durch Art. 9 Abs. 1 des Gesetzes vom 25.9.2026 (BGBl. 2026 I Nr. 275). Geprüft wurden §§ 2, 7, 11, 12, 14, 16, 17, 36, 40 und 42. gesetze-im-internet.de/hinschg · § 40 HinSchG · § 42 HinSchG
3. Gerichtshof der Europäischen Union: Pressemitteilung Nr. 29/25, Luxemburg, 6. März 2025 – Urteile in den Verfahren C-149/23 (Kommission/Deutschland), C-150/23 (Luxemburg), C-152/23 (Tschechische Republik), C-154/23 (Estland) und C-155/23 (Ungarn); Pauschalbeträge und das tägliche Zwangsgeld gegen Estland; Fußnote 3 zur Umsetzungsfrist 17. Dezember 2021; Fußnote 1 zum Urteil gegen Polen (C-147/23) vom 25. April 2024. Ausdrücklich „Unofficial document for media use, not binding on the Court of Justice". curia.europa.eu, cp250029en.pdf
4. EUR-Lex: Eintrag zu CELEX 62023CJ0149 – „Judgment of the Court (Sixth Chamber) of 6 March 2025. European Commission v Federal Republic of Germany"; Gegenstandszeile mit Art. 258 AEUV, Art. 26 Abs. 1 und 3 der Richtlinie (EU) 2019/1937, Art. 260 Abs. 3 AEUV und dem Stichwort „Automatic application of a coefficient for seriousness". Der Urteilsvolltext wurde in diesem Lauf nicht abgerufen. eur-lex.europa.eu, 62023CJ0149
5. Association of Certified Fraud Examiners: Occupational Fraud 2026: A Report to the Nations, 14. Ausgabe – 2.402 verwertbare Fälle aus 143 Ländern und Gebieten, 22 Branchenkategorien, Befragung Juli bis September 2025, erfasste Untersuchungen seit Januar 2024, 10.276 Antworten; Meldewege für Hinweise: webbasiert 46 %, E-Mail 34 %, Telefon 23 %. Geprüft wurde die ACFE-Berichtsseite; das Berichts-PDF selbst ist für automatisierte Abrufe gesperrt, weshalb die Angaben zur Entdeckungsart (43 % durch Hinweis), zum Medianschaden und zum Vergleich mit und ohne Meldemechanismus hier nur als Sekundärangaben wiedergegeben werden. acfe.com/rttn

← All articles