Haftung der internen Meldestelle

(MB) Am 2. Juli 2023 wurde die EU-Richtlinie 2019/1937 in das deutsche Recht umgesetzt, als das Hinweisgeberschutzgesetz (HinSchG) in Kraft trat. Eine wesentliche Verpflichtung des HinSchG ist in § 12 HinSchG festgelegt. Dieser besagt, dass Beschäftigungsgeber (einschließlich Behörden, Betriebe, Gerichte, usw.) sicherstellen müssen, dass mindestens eine interne Meldestelle eingerichtet und betrieben wird. Fraglich ist, wer für Rechtsverstöße der internen Meldestelle verantwortlich gemacht werden kann.

Aufgaben der internen Meldestelle

Die Aufgaben der internen Meldestelle, gem. § 13 HinSchG, umfassen den Betrieb von Meldekanälen gem. § 16 HinSchG, die Durchführung von Verfahren gem. § 17 HinSchG und die Umsetzung von Folgemaßnahmen gem. § 18 HinSchG. 

Die Verfahrungsführung gem. § 17 HinSchG beinhaltet gem. Abs. 1 folgende Schritte:

  • Innerhalb von max. sieben Tagen muss eine Eingangsbestätigung an die hinweisgebende Person erfolgen;
  • Es ist zu prüfen, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich gem. § 2 HinSchG fällt;
  • Die Meldestelle hält Kontakt mit der hinweisgebenden Person
  • Die Stichhaltigkeit der eingegangenen Meldung wird überprüft
  • Sofern erforderlich wird die hinweisgebende Person um weitere Informationen gebeten;
  • Angemessene Folgemaßnahmen werden ergriffen

Zusätzlich fordert § 17 Abs. 1 HinSchG, dass der hinweisgebenden Person innerhalb von drei Monaten nach Bestätigung des Eingangs der Meldung bzw. spätestens drei Monate und sieben Tage nach Eingang der Meldung eine Rückmeldung gegeben werden muss.

Als Folgemaßnahmen kommen gem. § 18 HinSchG insbesondere folgendes in Betracht:

  • Durchführung von internen Untersuchungen bei dem Beschäftigungsgeber oder der jeweiligen Organisationseinheit;
  • Kontaktierung von betroffenen Personen und Arbeitseinheiten;
  • Die hinweisgebende Person an andere zuständige Stellen verweisen;
  • Abschluss des Verfahrens aus Mangel an Beweisen oder aus anderen Gründen;
  • Abgabe des Verfahrens zwecks weiterer Untersuchungen

Rechtsfolgen bei Verstößen

Interne Meldestellen, sind in ihrer Tätigkeit gem. § 8 HinSchG dazu verpflichtet die Vertraulichkeit der Identität folgender Personen zu wahren:

  • Der hinweisgebenden Person;
  • Der Personen, die Gegenstand einer Meldung sind;
  • Der sonstigen in der Meldung genannten Personen.

Das Vertraulichkeitsgebot gilt nach § 8 Abs. 2 HinSchG sogar dann, wenn die interne Meldestelle nicht für die Bearbeitung der eingehenden Meldung verantwortlich ist. Ein Verstoß gegen dieses Gebot stellt eine Ordnungswidrigkeit gem. § 40 Abs. 3 und 4 HinSchG dar, die nach § 40 Abs. 6 HinSchG mit einer Geldstrafe von bis zu 50.000 EUR geahndet werden kann.

Zusätzlich könnte ein Verstoß zivilrechtliche (§§ 280 Abs. 1, 241 Abs. 2 BGB) und deliktische (§ 823 Abs. 1 und 2 iVm § 8, 9 HinSchG) Schadenersatzansprüche als Konsequenz haben. In Bezug auf die deliktische Haftung ist zu beachten, dass das Verschulden der internen Meldestelle nicht nach § 278 S. 1 BGB dem Beschäftigungsgeber zugerechnet werden kann. Stattdessen eröffnet § 831 Abs. 1 S. 2 BGB-Beschäftigungsgebern die Möglichkeit, sich zu entlasten. D.h. dass der Beschäftigungsgeber nicht schadenersatzpflichtig nach § 831 Abs. 1 S. 1 BGB ist, wenn die im Geschäftsverkehr erforderlichen Sorgfaltspflichten erfüll wurden oder wenn der entstandene Schaden auch bei Einhaltung dieser Sorgfaltspflichten aufgetreten wäre.

Kein Kündigungsschutz nach dem HinSchG

Im Hinblick auf die Besetzung der interne Meldestelle ist zu beachten, dass das HinSchG im Gegensatz zum Datenschutzrecht, welches interne Datenschutzbeauftragte schützt, keinen speziellen Kündigungsschutz vorsieht. Wenn Unternehmen ihre interne Meldestelle mit eigenen Mitarbeitern besetzen, könnten diese in ein für sie ungewohntes Aufgabengebiet geraten und sich dabei dem Risiko aussetzen, dass bei Fehlern oder “unbequemen Entscheidungen” arbeitsrechtliche Konsequenzen drohen. Zum Schutz des Mitarbeitenden besteht die Möglichkeit, eine Zusatzvereinbarung abzuschließen, die dem Mitarbeitenden einen Schutz ähnlich dem eines Kündigungsschutzes gewährt.

Handlungsempfehlung

Es wird deutlich, dass die rechtmäßige Ausübung der internen Meldestelle nicht nur im Interesse der Unternehmen, sondern auch im Interesse der internen Meldestelle selbst liegen sollte.

Wenn Sie planen, Ihre interne Meldestelle mit eigenen Mitarbeitenden zu besetzen, sind folgende Punkte zu beachten.

  • Eine sorgfältige Auswahl des Personals für die interne Meldestelle ist unerlässlich;
  • Stellen Sie sicher, dass die interne Meldestelle über das gem. § 15 Abs. 2 HinSchG erforderliche Fachwissen verfügt;
  • Stellen Sie sicher, dass Vertraulichkeit und Verschwiegenheit von allen Beteiligten gewahrt werden z.B. durch eine Vertraulichkeitserklärung;
  • Erwägen Sie den Abschluss einer D&O-Versicherung, um mögliche Fehler der internen Meldestelle abzusichern;
  • Schließen sie potenzielle Interessenkonflikte aus, um die Integrität der Meldestelle zu gewährleisten

Sofern sie ihre interne Meldestelle nicht intern besetzen möchten, ist eine Auslagerung der Meldestelle zulässig und bietet folgende Vorteile:

  • Expertise

Eine beauftragte Meldestelle verfügt in der Regel über spezialisiertes Fachwissen, sodass Meldungen mit einer höheren Geschwindigkeit und Qualität bearbeitet werden können

  • Entlastung der internen Ressourcen

Die Auslagerung der Meldestelle kann dazu beitragen, interne Ressourcen zu entlasten. Dadurch können Unternehmen ihre Energien und Ressourcen verstärkt auf ihre Kernkompetenzen richten

  • Größere Vertraulichkeit und Unabhängigkeit

Durch Auslagerung der Meldestelle können Unternehmen die Unabhängigkeit der Meldestelle unterstreichen und somit die Vertraulichkeit erhöhen. Mitarbeitende können stärkeres Vertrauen in diese haben, da sie sicher sein können, dass die Meldestelle neutral und unabhängig agiert.

  • Einfachere Beweisführung

Wenn ein Beschäftigungsgeber sich mit dem Vorwurf konfrontiert sieht, Repressalien gegen die hinweisgebende Person ergriffen zu haben, so kann durch die ausgelagerte Besetzung leichter der Nachweis erbracht werden, dass der Beschäftigungsgeber keinerlei Informationen zum Hinweisgeber, sondern nur die erforderlichen Informationen zum konkreten Sachverhalt und der beschuldigten Person erhalten hat. Unbegründete oder unplausible Meldungen sind dann sowohl dem Beschäftigungsgeber als auch der sonstigen Belegschaft nicht bekannt. Auch berechtigte Meldungen werden nur wenn unbedingt notwendig oder mit Einwilligung des Hinweisgebers unter konkreter Benennung des Hinweisgebers an den Beschäftigungsgeber weitergegeben.

Gerne sind wir Ihnen bei der Umsetzung der Anforderungen des Hinweisgeberschutzgesetzes behilflich. Zu unserem Angebot gehören:

Für ein kostenloses Erstgespräch stehen wir Ihnen per Telefon (05221 87282-23) und E-Mail (meldestelle@audatis.de) zur Verfügung. Alternativ können sie unser Kontaktformular nutzen.

Homeoffice ist aus der modernen Arbeitswelt kaum noch wegzudenken. Es ermöglicht mehr Flexibilität und kann die Vereinbarkeit von Beruf und…

Combined Shape

Hybride Arbeitsmodelle sind in vielen Unternehmen längst fester Bestandteil des Arbeitsalltags. Was zunächst als pandemiebedingte Übergangslösung…

Combined Shape

Google reCAPTCHA steht vor einem Wandel bei der Verarbeitung personenbezogener Daten. Zuvor war Google selbst Verantwortlicher für die Daten, die bei…

Combined Shape

24.03.2026 Blog | Unternehmen, Datenschutz

LinkedIn ist für viele Unternehmen heute ein unverzichtbares Tool zur Akquise, zur Außendarstellung der Marke und vor allem zum Recruiting. Doch diese…

Combined Shape

LinkedIn bietet Unternehmen verschiedene Möglichkeiten, Bewerbungen effizient zu strukturieren und eine Vorauswahl an Bewerbern zu treffen.

Neben…

Combined Shape

Am 12. September 2025 ist der EU-Data Act in Kraft getreten, dabei handelt es sich um eine Verordnung, die den Umgang mit Daten in der europäischen…

Combined Shape

Digitale Plattformen stehen zunehmend im Fokus der Datenschutzaufsichtsbehörden. Insbesondere datengetriebene Geschäftsmodelle, die auf…

Combined Shape

17.12.2025 Blog | Datenschutz, Cybersecurity, Informationssicherheit

Durch das NIS-2-Umsetzungsgesetz entstehen weitreichende Pflichten, die Unternehmen dazu veranlassen, ihre Informationssicherheitsstrukturen,…

Combined Shape

Endlich weniger Klicks und mehr Kontrolle: Mit „Consenter“ wurde erstmals in Deutschland ein Dienst offiziell anerkannt, der die Verwaltung von…

Combined Shape

Vor dem Arbeitsgericht in Düsseldorf wurde ein Fall behandelt, welcher die Frage aufwirft, inwieweit Verzögerungen, unklare Kommunikation und…

Combined Shape

Europa steht möglicherweise vor einer tiefgreifenden Verschiebung seiner digitalen Grundrechtsarchitektur - weitreichender, als es der offizielle…

Combined Shape

Die irische Datenschutzaufsichtsbehörde (Data Protection Commission, DPC) hat einem Datenhändler den sofortigen Verkauf präziser Standortdaten…

Combined Shape