Whistleblowing im Unternehmen – Was Kreative und Unternehmer wissen sollten

Ein Mitarbeiter beobachtet, wie Kollegen beim Bauprojekt Sicherheitsregeln ignorieren – meldet er das intern, riskiert er Repressalien? Oder ist er geschützt?

Solche Fragen stellen sich in vielen Unternehmen – vom Handwerksbetrieb bis zur Agentur. Mit dem Inkrafttreten des Hinweisgeberschutzgesetzes (HinSchG) am 2. Juli 2023 ist das Thema Whistleblowing nicht länger ein Tabu. Spätestens seit Mitte 2024 gelten die neuen Vorgaben für alle verpflichteten Unternehmen – die Übergangsfristen sind ausgelaufen.

In diesem Beitrag erfahren Sie:

• Was das Hinweisgeberschutzgesetz regelt
• Welche Unternehmen jetzt aktiv werden müssen
• Welche Meldungen zulässig sind – und welche nicht
• Welche Rechte Hinweisgeber haben
• Und wie interne Meldesysteme gestaltet sein müssen

Was ist Whistleblowing – und warum jetzt?

Whistleblowing, im Gesetz meist als Hinweisgabe bezeichnet, bedeutet: Personen melden Missstände im Unternehmen – etwa Verstöße gegen Gesetze oder interne Regeln. Beispiele:

• Mobbing durch Vorgesetzte
• Datenschutzverletzungen
• Verstöße gegen das Arbeitsschutzrecht
• Veruntreuung oder Betrug
• Verstöße gegen Produktsicherheits- oder Umweltvorgaben

Ziel des Hinweisgeberschutzgesetzes ist es, Hinweisgeber vor Repressalien zu schützen – etwa Kündigung, Mobbing oder Versetzung. Entscheidend: Die Meldung muss auf begründetem Verdacht beruhen, nicht auf bloßem Hörensagen oder böser Absicht.

Wer darf überhaupt melden?

Überraschend für viele: Hinweisgeber können nicht nur aktuelle Mitarbeiter sein. Auch folgende Personen fallen unter den Schutz des Gesetzes:

• Ehemalige Beschäftigte
• Bewerber:innen
• Dienstleister, Zulieferer oder Freiberufler
• Praktikant:innen

Der Schutz greift also immer dann, wenn ein beruflicher Bezug zum Unternehmen besteht – auch jenseits klassischer Arbeitsverhältnisse.

Welche Verstöße sind meldefähig?

Das Gesetz listet zahlreiche Bereiche auf, bei denen Hinweisgeber aktiv werden dürfen, z. B.:

• Verstöße gegen Arbeitsschutz und Mindestlohn
• Verstöße gegen DSGVO oder IT-Sicherheitsstandards
• Geldwäsche, Wettbewerbsverzerrung oder Korruption
• Missachtung von Verkehrssicherheits- oder Produktsicherheitsvorgaben

Wichtig: Die Hinweise müssen nicht juristisch wasserdicht sein. Auch rechtliche Laien dürfen melden – selbst wenn sich ein Hinweis später als unbegründet herausstellt. Nur wer bewusst falsche Meldungen abgibt, riskiert Sanktionen.

Interne oder externe Meldung? Das Wahlrecht des Hinweisgebers

Hinweisgeber dürfen frei wählen, ob sie sich an eine interne oder eine externe Meldestelle wenden. Es besteht keine Pflicht, zunächst die interne Stelle zu nutzen.

Interne Meldestelle

Unternehmen mit mindestens 50 Beschäftigten sind verpflichtet, einen internen Meldekanal einzurichten. Dieser muss:

• schriftliche, mündliche oder persönliche Meldungen ermöglichen
• vertraulich, sicher und datenschutzkonform sein
• innerhalb von 7 Tagen den Eingang bestätigen
• innerhalb von 3 Monaten Rückmeldung über Maßnahmen geben

Auch externe Dienstleister – etwa spezialisierte Kanzleien – können als interne Meldestellen fungieren. Für Unternehmen mit bis zu 249 Mitarbeitenden ist sogar ein gemeinschaftliches System mit anderen Betrieben zulässig.

Externe Meldestelle

Die zentrale externe Meldestelle ist beim Bundesamt für Justiz angesiedelt. Hier können Hinweisgeber auch dann Meldung erstatten, wenn:

• keine interne Meldestelle besteht
• Zweifel an der Unabhängigkeit der internen Stelle bestehen
• schwerwiegende Verstöße vermutet werden

Auch Beratung im Vorfeld ist hier möglich – etwa zur Einschätzung, ob ein Verstoß tatsächlich vorliegt.

Und was ist mit Anonymität?

Das Gesetz verpflichtet Unternehmen nicht dazu, eine anonyme Meldung zu ermöglichen – aber: anonyme Hinweise müssen bearbeitet werden, wenn sie eingehen. Eine sichere Ausgestaltung und vertrauenswürdige Prozesse sind deshalb in der Praxis ratsam.

Welche Pflichten haben Unternehmen konkret?

Neben der Einrichtung des Meldekanals sind Unternehmen u. a. verpflichtet:

• Vertraulichkeit sicherzustellen
• Hinweisgeberdaten nur mit Zustimmung weiterzugeben
• dokumentarisch festzuhalten, wie mit Hinweisen umgegangen wurde (max. 3 Jahre Aufbewahrung)
• Beschäftigte über externe Meldestellen zu informieren (z. B. über das Intranet oder Aushänge)

Je nach Unternehmensstruktur kann auch eine Beteiligung des Betriebsrats erforderlich sein – insbesondere bei der Einführung technischer Systeme.

Und wenn nichts eingerichtet wird?

Wer trotz Verpflichtung keine interne Meldestelle einrichtet, riskiert Bußgelder von bis zu 20.000 Euro.

Weitere Sanktionen:

• Verstoß gegen Vertraulichkeit: bis zu 50.000 Euro (fahrlässig: 10.000 Euro)
• Repressalien gegen Hinweisgeber: ebenfalls bußgeldbewehrt
• Bei schwerwiegenden Verstößen: Sanktionen bis 500.000 Euro möglich

Warum sich Unternehmen mit dem Thema befassen sollten

Das Hinweisgebersystem ist nicht nur Pflicht – sondern auch Chance. Es hilft, interne Missstände frühzeitig zu erkennen, Risiken zu minimieren und Vertrauen aufzubauen. Unternehmen, die glaubwürdig kommunizieren und professionell auf Hinweise reagieren, stärken ihre Compliance-Kultur – und schützen sich selbst vor Image- und Haftungsschäden.

🎧 Weiterführende Informationen im Podcast

In der aktuellen Folge des Podcasts „Kaffeerecht“ sprechen wir ausführlich über das Hinweisgeberschutzgesetz, typische Stolperfallen, technische Anforderungen und Praxisbeispiele:

Fazit: Jetzt handeln – und richtig umsetzen

Das Hinweisgeberschutzgesetz betrifft viele Unternehmen – und das unmittelbar. Wer jetzt klare Prozesse, klare Zuständigkeiten und sichere Kanäle schafft, ist nicht nur rechtlich auf der sicheren Seite, sondern sendet auch ein wichtiges Signal: Hinsehen lohnt sich.