Hinweisgeberschutzgesetz für KMU

Was ist das Hinweisgeberschutzgesetz?

Das Hinweisgeberschutzgesetz (HinSchG) schützt Beschäftigte, die auf Rechtsverstöße im Unternehmen hinweisen. Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen dafür eine interne Meldestelle einrichten und betreiben (§ 12 HinSchG); für Betriebe mit 50 bis 249 Beschäftigten gilt das seit dem 17. Dezember 2023. Dieser Artikel zeigt, was das praktisch bedeutet und wo kleine Unternehmen oft unsicher sind.

Was die interne Meldestelle leisten muss

• Vertraulichkeit: Identität des Hinweisgebers muss geschützt werden
• Zugänglichkeit: Meldungen in Textform und mündlich, auf Wunsch auch ein persönliches Treffen (§ 16 Abs. 3)
• Fristen: Eingangsbestätigung nach spätestens sieben Tagen, Rückmeldung innerhalb von drei Monaten (§ 17)
• Dokumentation: Jede Meldung wird dokumentiert und drei Jahre nach Abschluss des Verfahrens gelöscht (§ 11)
• Schutz: Keine Repressalien gegen die meldende Person (§ 36)

Die pragmatische Lösung

Für die technische Seite der Meldestelle gibt es drei übliche Wege: ein externer Dienstleister oder eine Kanzlei, die Meldungen entgegennimmt; eine Software, die den Kanal stellt, während eine eigene Person die Meldungen bearbeitet; oder ein eigenes Postfach mit streng begrenztem Zugriff. Welcher Weg passt, hängt von Größe, Budget und davon ab, ob Sie intern eine geeignete Person haben.

Was bei Verstößen droht

In drei Schritten zur internen Meldestelle

1. Zuständige Person benennen: unabhängig und fachkundig (§ 15), mit Vertretung. Das kann eine interne Vertrauensperson sein oder eine externe Stelle. Wer selbst Teil vieler Vorgänge ist, etwa die Geschäftsführung, ist dafür meist ungeeignet.
2. Kanal einrichten: zum Beispiel den Tarif Meldestelle 14 Tage kostenlos testen. Die benannte Person erhält die Rolle „Meldestelle“ mit Zwei-Faktor-Anmeldung; erst dann lässt sich der Kanal einschalten. Den mündlichen Meldeweg legen Sie zusätzlich fest.
3. Belegschaft informieren: Aushang im Betrieb, E-Mail an alle, QR-Code im Pausenraum. Erklären Sie, wer Meldungen liest, wie die Identität geschützt ist und dass der externe Meldeweg zu den Behörden daneben offen bleibt.

HinSchG-Meldung, Kummerkasten oder Hotline?

In vielen KMU werden drei Dinge vermischt: allgemeines Mitarbeiterfeedback, internes Beschwerdemanagement und das Hinweisgeberschutzgesetz. Das ist verständlich, aber gefährlich. Denn nicht jede Rückmeldung ist automatisch eine HinSchG-Meldung – und nicht jeder informelle Kanal erfüllt die gesetzlichen Mindestanforderungen. Wer sauber unterscheiden kann, baut die richtige Lösung schneller und günstiger auf.

Das HinSchG zielt auf Meldungen zu Rechtsverstößen. Für alles andere, was im Betrieb stört, ist ein allgemeiner Feedbackkanal da. Viele KMU fahren gut mit beidem: einem einfachen Kanal für den Alltag und einem getrennten, eng begrenzten Weg für die Meldestelle. Den Unterschied erklärt der Beitrag Kummerkasten oder Hinweisgebersystem.

Minimalanforderungen für KMU

Viele Verantwortliche befürchten ein großes Compliance-Projekt. In der Praxis braucht ein Unternehmen mit 50 bis 249 Mitarbeitenden vor allem einen klar definierten Mindeststandard. Er muss nicht aufwendig sein, aber verlässlich funktionieren. Eine Tabelle, ein geteiltes Postfach oder ein improvisierter Ablauf reichen dafür oft nicht, weil sich Zugriffe und Fristen schwer kontrollieren lassen.

• Vertraulichkeit organisatorisch absichern: nur wenige benannte Personen dürfen Zugriff haben
• Eingang nachvollziehbar dokumentieren: Datum, Status, weitere Schritte
• Fristen beherrschbar machen: Eingangsbestätigung und Folgerückmeldung im Kalender verankern
• Verantwortlichkeiten festlegen: wer prüft, wer eskaliert, wer dokumentiert?
• Benachteiligungsverbot ernst nehmen: Schutz vor Repressalien ist kein Formalismus

Empfohlener Ablauf bei eingehenden Hinweisen

1. Eingang bestätigen: sofern möglich innerhalb der vorgesehenen Frist und ohne unnötige Details preiszugeben
2. Relevanz prüfen: Handelt es sich um einen HinSchG-Fall, um allgemeines Feedback oder um eine arbeitsrechtliche Beschwerde?
3. Zuständigkeit sichern: nur die definierte Stelle erhält Zugriff auf den Vorgang
4. Maßnahmen dokumentieren: Prüfung, Interviews, Sicherung von Unterlagen, Eskalation
5. Sachstand rückmelden: transparent, sachlich und fristgerecht

Am wichtigsten ist der zweite Schritt, die Trennung von Hinweis, Beschwerde und allgemeinem Unmut. Wer alles in denselben Topf wirft, verliert den Überblick; wer vorsortiert, spart Zeit und behandelt jeden Fall auf dem richtigen Weg.

Häufige Einwände aus dem Mittelstand

Beispiel: 65 Beschäftigte, keine Compliance-Abteilung

Ausgedachtes Beispiel, kein konkreter Kundenfall.

Angenommen, ein Handwerksbetrieb mit 65 Beschäftigten will seine Meldestelle ohne externe Ombudsstelle aufbauen. Er könnte einen digitalen Kanal einrichten, eine interne Vertrauensperson mit Vertretung benennen und einmal im Monat prüfen, ob alle Fristen eingehalten sind. Das wäre schlank und trotzdem nachvollziehbarer als eine Sammeladresse im Büro.

Wie sich eine Meldestelle von allgemeinem Beschwerdemanagement unterscheidet, steht im Beitrag Beschwerdemanagement einführen.

Wie Dokumentation in KMU schlank bleibt

Viele KMU schrecken vor dem Thema Dokumentation zurück, weil sie sofort an komplizierte Compliance-Akten denken. In der Praxis braucht es vor allem einen klaren Mindeststandard: Wann ging der Hinweis ein? Wer hat ihn gesichtet? Welche Einschätzung wurde getroffen? Welche Maßnahmen wurden veranlasst? Wann erfolgte die Rückmeldung? Diese Struktur ist schlank genug für den Alltag und gleichzeitig belastbar genug für Nachvollziehbarkeit.

Hier helfen digitale Systeme gerade kleineren Unternehmen. Die Verantwortung bleibt bei der Meldestelle, aber Fristen, Status und Vorgänge sind an einem Ort sichtbar. Das reduziert das Risiko, dass Hinweise in persönlichen Postfächern, Chatverläufen oder Papiernotizen verloren gehen. Für KMU ohne eigene Compliance-Abteilung ist das oft der entscheidende Unterschied zwischen „formal vorhanden“ und „praktisch funktionsfähig“.

Wie Unternehmen den Meldekanal intern bekannt machen

Ein Hinweisgebersystem wird nicht allein durch seine Existenz wirksam. Mitarbeitende müssen verstehen, wofür der Kanal da ist, welche Themen er abdeckt und wie ihre Vertraulichkeit geschützt wird. Schlechte Kommunikation erzeugt zwei gegenteilige Probleme: Entweder wird der Kanal aus Unsicherheit gar nicht genutzt – oder er wird für alle denkbaren Anliegen genutzt, ohne sinnvolle Trennung nach Schwere und Zuständigkeit.

1. Zweck erklären: Rechtsverstöße, Missstände, sensible Hinweise klar benennen
2. Schutz erläutern: Vertraulichkeit, Zugriff, Benachteiligungsverbot verständlich machen
3. Abgrenzen: nicht jedes Alltagsthema ist automatisch ein HinSchG-Fall
4. Kontaktwege sichtbar machen: QR-Code, Link, Ansprechpartner, ggf. FAQ

Kanal, Zugriffe und Information der Belegschaft gehören zusammen. Was Kummerkasten dabei technisch übernimmt, steht auf der Seite Interne Meldestelle; die Tarife stehen auf der Preisseite.