Digitales Hinweisgebersystem

Worum geht's?

Seit Inkrafttreten des Hinweisgeberschutzgesetzes (HinSchG) 2023 sind viele Unternehmen in Deutschland verpflichtet, sichere und vertrauliche Meldestellen für Whistleblower einzurichten und diese bei der Aufdeckung von unternehmensinternen Rechtsverstößen wirksam vor Repressalien zu schützen. Wer dem nicht nachkommt oder sogar versucht, die Meldungen zu verhindern, muss mit hohen Bußgeldern rechnen. Wir klären, was genau ein Hinweisgebersystem ist, wer zur Einrichtung verpflichtet ist und wie sich die Meldestelle gesetzeskonform organisieren lässt.

1. Was versteht man unter einem Hinweisgebersystem?

Ein Hinweisgebersystem, auch Whistleblowing-System genannt, ist eine organisatorische oder technische Lösung (z. B. eine Software), über die vor allem Angestellte, aber auch Bewerber, Praktikanten, freie Mitarbeiter, Leiharbeiter, Lieferanten, Geschäftspartner und andere berechtigte Personen Rechtsverstöße und Missstände in einem Unternehmen melden können – und zwar kostenlos, sicher und vertraulich.

Das Meldesystem sollen die hinweisgebenden Personen schützen und ihre Identität vertraulich behandeln. Je nach System können die Rechtsverstöße auch anonym gemeldet werden. Dabei geht es um illegale Aktivitäten wie z. B.

• Straftaten und Ordnungswidrigkeiten
• Korruption
• Datenschutzverstöße
• Verletzungen des Umwelt- und Arbeitsschutzes
• Steuerbetrug
• Verstöße gegen das Geldwäschegesetz
• verfassungsfeindliche Äußerungen von Beamten
• Compliance-Verstöße

Nach dem Gesetz steht es Hinweisgebern frei, ob sie Verstöße an eine interne oder eine externe Meldestelle melden. Interne Meldestellen werden von den Unternehmen selbst betrieben oder an Dienstleister ausgelagert. Externe Meldestellen wie das Bundesamt für Justiz und das Bundeskartellamt bieten eine unabhängige Anlaufstelle des Bundes.

Mit dem HinSchG wurde im Juli 2023 für viele Unternehmen die Einrichtung eines internen Meldesystems zur Pflicht. Wer der Vorgabe nicht nachkommt, riskiert hohe Bußgelder von bis zu 20.000 Euro.

2. Wer ist verpflichtet, ein Hinweisgebersystem einzuführen?

Grundsätzlich sind Unternehmen, die mindestens 50 Mitarbeiter beschäftigen, zur Einführung eines internen Meldesystems verpflichtet. Ob Voll- oder Teilzeitkraft spielt keine Rolle – und auch Auszubildende zählen mit.

Das HinSchG sieht folgende Regelungen vor:

• Unternehmen mit 50 bis 249 Beschäftigten können sich zusammenschließen und eine gemeinsame interne Meldestelle betreiben.
• Unternehmen ab 250 Mitarbeitenden brauchen eine eigene Whistleblowing-Lösung.
• Bestimmte Branchen wie Finanzinstitute, Börsenträger und Kapitalverwaltungsgesellschaften müssen die Pflicht unabhängig von der Mitarbeiterzahl erfüllen.

Eigene Angestellte sowie Leiharbeiter müssen sich an die interne Meldestelle wenden können. Für Dienstleister und Lieferanten kann die Meldestelle auf freiwilliger Basis offenstehen.

3. Welche Vorteile hat die Einführung einer internen Meldestelle für Unternehmen?

Ein Hinweisgebersystem ist für Unternehmen ab 50 Mitarbeitenden nicht nur gesetzliche Pflicht, sondern bringt auch Vorteile mit sich. Regelverstöße – ob von Mitarbeitern oder auch von Führungskräften – können für Unternehmen weitreichende Konsequenzen haben. Je nach Rechtsverstoß drohen z. B. Abmahnungen, DSGVO-Bußgelder, Strafanzeigen oder Vertrauensverluste bei Kunden, Geschäftspartnern und der Öffentlichkeit.

Für Unternehmen ist es daher entscheidend, mögliche Compliance-Verstöße frühzeitig intern zu erkennen und Schäden zu vermeiden, bevor externe Stellen eingeschaltet werden oder das Ganze an die Öffentlichkeit gelangt.

Auf der anderen Seite müssen die Wistleblower geschützt werden – denn wer bei der Meldung eines Rechtsverstoßes um seinen Arbeitsplatz fürchten oder andere persönliche Nachteile in Kauf nehmen muss, wird davon absehen, Missstände zu melden. Hier setzt das Meldesystem an: Es schützt die betroffenen Personen und stellt den Arbeitgebern ein wichtiges Instrument für Compliance und Risikominimierung bereit.

4. Wie funktioniert ein Hinweisgebersystem?

Viele Hinweisgebersysteme werden über eine Whistleblowing-Software eines Dienstleisters umgesetzt. Die einzige Möglichkeit ist das aber nicht. Es ist auch möglich, die Meldung von Rechtsverstößen per E-Mail, Post, über eine Hotline oder einen persönlichen Ansprechpartner zu ermöglichen.

Wer darf interne Meldestelle sein?

Welche Personen der Arbeitgeber mit der internen Meldestelle betraut, steht ihm grundsätzlich frei. § 15 HinSchG schreibt bei der Besetzung vor, dass die beauftragten Personen

• bei der Ausübung ihrer Tätigkeit unabhängig sein müssen.
• über die notwendige Fachkunde verfügen müssen.
• neben der Meldestelle andere Aufgaben und Pflichten übernehmen dürfen, sofern diese nicht zu Interessenkonflikten führen.

Juristisches Fachwissen ist empfehlenswert, aber keine zwingende Voraussetzung.

Ist es sinnvoll, eigene Mitarbeiter mit der internen Meldestelle zu beauftragen?

Wer eigene Mitarbeiter mit der Meldestelle betrauen möchte, hat es oft gar nicht so leicht. Betriebsratsmitglieder sollten aus Gründen eines eventuellen Interessenkonflikts kein Teil sein. Gleiches gilt für Geschäftsführung und Personalabteilung.

Hinzu kommt, dass Sie eigene Mitarbeitende entsprechend schulen müssen, damit diese die notwendige Fachkenntnis haben, die das Hinweisgeberschutzgesetz vorschreibt. Aus diesen Gründen kann es sich anbieten, das Hinweisgebersystem an einen Dienstleister outzusourcen.

Welche Vorteile hat das Outsourcen der Meldestelle an einen Dienstleister?

Übernimmt ein spezialisierter Anbieter – z. B. eine Kanzlei oder ein externer Datenschutzbeauftragter – die Aufgabe der internen Meldestelle, können Sie direkt auf dessen Fachkenntnis zugreifen und müssen nicht erst eigene Mitarbeitende schulen. Auch wird ihre Arbeitskraft nicht durch diese zusätzliche Aufgabe gebunden.

Ein digitales Hinweisgebersystem ermöglicht

• die vertrauliche Abgabe von Informationen über ein spezielles Online-Portal.
• die Wahl zwischen namentlicher und anonymer Meldung.
• eine sichere und verschlüsselte Kommunikation zwischen Whistleblower und Meldestelle.
• eine Dokumentation aller erfolgten Schritte zu Nachweiszwecken.

Wer als Unternehmen ein internes Hinweisgebersystem über einen spezialisierten Anbieter implementiert hat, kann sich auf einen standardisierten und gesetzeskonformen Prozess verlassen. Entscheidend ist natürlich die Wahl eines seriösen und professionellen Dienstleisters.

5. Wie läuft der Hinweisgeberprozess ab?

Unabhängig davon, ob Sie die Meldestelle intern mit eigenen Mitarbeitern besetzen oder an einen Dienstleister outsourcen, muss der Hinweisgeberprozess nach einer bestimmten Abfolge ablaufen, den § 17 HinSchG vorschreibt.

1. Schritt: Abgabe der Meldung

Alle Personen, die im Unternehmen beschäftigt sind, haben das Recht, Meldung zu machen. Das umschließt auch Auszubildende und Leiharbeiter. Die Meldestelle muss mindestens eine der folgenden Meldearten ermöglichen:

• online über ein digitales Hinweisgebersystem
• per verschlüsseltem E-Mail-Verkehr an eine spezielle E-Mail-Adresse
• telefonisch, z. B. über eine Hotline oder einen Anrufbeantworter
• schriftlich per Post
• persönlich im Gespräch mit einem Verantwortlichen der Meldestelle

2. Schritt: Eingangsbestätigung und Prüfung

Innerhalb von 7 Tagen nach der Meldung des vermeintlichen Rechtsverstoßes muss die Meldestelle deren Eingang bestätigen. Im Anschluss muss sie prüfen, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich nach § 2 HinSchG fällt und ob die Meldung stichhaltig ist. Während dieser Zeit hält sie mit der hinweisgebenden Person Kontakt.

3. Schritt: Maßnahmen ergreifen

Bewahrheitet sich der Vorwurf, werden entsprechende Handlungen eingeleitet, die Meldung bekanntgemacht und ggf. weitere Personen dazu angehört bzw. weiteren Hinweisen nachgegangen. Je nachdem, wie die internen Ermittlungen ausgehen, kann die interne Meldestelle

• das Verfahren mangels ausreichender Anhaltspunkte oder aus anderen sachlichen Gründen beenden.
• den Vorgang zur weiteren Prüfung an interne Ermittlungsstellen oder an eine zuständige Behörde weiterleiten.

4. Schritt: Rückmeldung an den Hinweisgeber

Innerhalb von drei Monaten ist die Meldestelle verpflichtet, sich bei der hinweisgebenden Person zum Stand des Verfahrens zurückzumelden und diese über geplante oder bereits ergriffene Maßnahmen sowie deren Gründe zu informieren. Die Rückmeldung darf aber nur erfolgen, wenn Ermittlungen dadurch nicht gefährdet und die Rechte der betroffenen Personen gewahrt bleiben.

6. Woher bekomme ich ein Hinweisgebersystem – und wie teuer ist das?

Als Unternehmen können Sie eine interne Meldestelle mit eigenen Mitarbeitenden besetzen, externe Dienstleister wie z. B. einen Anwalt beauftragen oder auf spezialisierte digitale Hinweisgebersysteme zurückgreifen.

Digitale Lösungen wie Legaltrust bieten Ihnen folgende Vorteile:

• geschütztes digitales Hinweisgeberportal
• individuelle Konfiguration und rechtssichere Integration in Ihre Unternehmensprozesse
• Schulung und Sensibilisierung von Meldestellenbeauftragten und Mitarbeitenden
• rechtskonforme Bearbeitung, Prüfung, Dokumentation und Kommunikation im Meldeverfahren
• Nachweisführung zur Erfüllung gesetzlicher Pflichten gegenüber Aufsichtsbehörden

Die Kosten des Hinweisgebersystems hängen von der gewählten Lösung ab. Das eRecht24 Partnerunternehmen Legaltrust bietet Ihnen eine interne Meldestelle mit rechtskonformer Bearbeitung, Dokumentation und Rückmeldung gemäß gesetzlichen Vorgaben schon ab 149 EUR im Monat (zzgl. Umsatzsteuer).

7. Welche Pflichten müssen Unternehmen noch beachten?

Im Zusammenhang mit dem Hinweisgeberschutz haben Unternehmen datenschutzrechtliche und organisatorische Pflichten, die Sie kennen und beachten sollten.

Vertraulichkeit sichern

• Hinweisgebende Personen müssen die Möglichkeit haben, sicher und vertraulich zu melden.
• Der Zugang zu den Meldungen sollte auf die zuständigen Personen beschränkt werden.
• Die betrauten Personen müssen fachkundig sein und dürfen nicht in Interessenkonflikte verwickelt sein.

DSGVO-konforme Datenverarbeitung

• Personenbezogene Daten dürfen nur im Rahmen des Notwendigen verarbeitet werden.
• Die Datenverarbeitung muss rechtmäßig, transparent und zweckgebunden erfolgen.
• Die Rechte der betroffenen Personen sind zu wahren, wenn der Hinweis z. B. konkrete Mitarbeitende betrifft.

Datenschutzerklärung bereitstellen

• Ihr Hinweisgebersystem braucht eine eigene Datenschutzerklärung, die die betroffenen Personen über die Verarbeitung ihrer Daten und ihre Rechte informiert. Eine Integration in die Datenschutzerklärung der Website ist nicht üblich.
• Zu den wichtigsten Inhalten gehören: Verantwortlicher für die Datenverarbeitung, Datenkategorien, Zweck und Dauer der Verarbeitung, Rechtsgrundlage, Empfänger der Daten, Betroffenenrechte, ein Hinweis zum Datenschutzbeauftragten etc.
• Stellen Sie die Datenschutzerklärung leicht zugänglich bereit.

Zugriff und Dokumentation

• Alle Schritte im Hinweisgebersystem müssen nachvollziehbar und revisionssicher dokumentiert werden.
• Schützen Sie das System durch technische und organisatorische Maßnahmen (Zugriffsbeschränkungen, Verschlüsselung, Protokollierung etc.).
• Schulen Sie nicht nur Meldestellenbeauftragte, sondern auch alle anderen Mitarbeiter regelmäßig zum Hinweisgeber- und Datenschutz.

8. Fazit: So setzen Sie Ihr Hinweisgebersystem rechtssicher um

Unternehmen, die mindestens 50 Mitarbeitende beschäftigten, müssen ein internes Hinweisgebermeldesystem einführen, über das Arbeitnehmer Missstände im Unternehmen melden können. Die Einführung bietet neben der gesetzlichen Pflicht auch die Chance, Transparenz und Vertrauen fest in der Unternehmenskultur zu verankern.

Digitale Lösungen wie das Hinweisgebersystem unseres Partners Legaltrust gewährleisten eine rechtssichere und DSGVO-konforme Bearbeitung und Dokumentation von Meldungen, erlauben eine sichere, verschlüsselte Kommunikation und unterstützen Sie als Arbeitgeber bei der Umsetzung Ihrer Pflichten.

9. FAQ: Häufig gestellte Fragen zum Hinweisgebersystem

• Zurück zur Übersicht: "Datenschutz"
• Was müssen Unternehmen nach der DSGVO intern regeln?
• Google Analytics
• Google Consent Mode
• Datenschutz bei Zoom
• Datenschutz bei Videokonferenzen
• Datenschutz von Mitarbeiterdaten
• Formulare
• Pur-Abo-Modell für Content-Unternehmen
• Rechtliches für Agenturen und Webdesigner
• Betroffenenanfrage