Compliance-Blog #5: Hinweisgebersysteme – lästige Pflichtübung oder zentrale Säule des Compliance-Management-Systems?

Auch beinahe 3 Jahre nach Inkrafttreten des Hinweisgeberschutzgesetzes (HinSchG) wird diese Frage in der Unternehmenspraxis keineswegs so einhellig beantwortet, wie man meinen sollte.

Richtig implementiert und betrieben verschaffen Hinweisgebersysteme dem Unternehmen nicht nur Pflichterfüllung und Enthaftung, sondern einen Informationsvorsprung: Missstände werden früh sichtbar, können intern abgestellt und gegenüber Mitarbeitenden wie Behörden nachvollziehbar adressiert werden.

Hinweisgebersysteme sind damit mehr als die Erfüllung einer HinSchG‑Pflicht. Sie sind ein zentrales Governance‑Element im Compliance Management System (CMS), berühren Organpflichten der Geschäftsleitung und prägen die Ausgangslage für Internal Investigations und Unternehmensverteidigung. Entscheidend ist, wie der Meldekanal rechtlich, organisatorisch und technisch ausgestaltet wird – nicht, welches Schlagwort intern für ihn verwendet wird.

Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet seit dem 17.12.2023 auch Unternehmen ab 50 Beschäftigten dazu, interne Meldestellen einzurichten, über die Personen vertraulich Hinweise auf Rechtsverstöße abgeben können. Die Meldestelle kann intern verortet oder an Dritte – etwa Rechtsanwälte oder spezialisierte Dienstleister – ausgelagert werden, die Verantwortung für ordnungsgemäße Prozesse bleibt jedoch beim Unternehmen.

Neben dem HinSchG gelten die allgemeinen Organisations- und Überwachungspflichten der Geschäftsleiter, insbesondere nach § 93 AktG und § 43 GmbHG. Ein funktionierendes Hinweisgebersystem ist heute ein wesentlicher Baustein eines angemessenen CMS und wird im Krisenfall daraufhin überprüft, ob es tatsächlich geeignet war, relevante Verstöße zu erkennen und abzustellen. Hinzu treten datenschutzrechtliche Vorgaben (DSGVO, BDSG) sowie arbeitsrechtliche Grenzen, insbesondere beim Schutz vor Repressalien und beim Umgang mit Beschuldigten.

Aus der Sicht einer etwaig erforderlichen Unternehmensverteidigung ist es zudem wichtig, ein Höchstmaß an (allerdings begrenzt möglicher) Vertraulichkeit sicherzustellen und den Zugriff von Ermittlungsbehörden auf das Hinweisgebersystemen zumindest zu begrenzen. Dies dient nicht nur dem Schutze der Hinweisgeber, sondern auch zum Schutz des Unternehmens vor unkontrollierbaren Sanktionen (z.B. gem. § 30 OWiG) bzw. Vermögensabschöpfung (z.B. gem. § 73 ff. StGB) sowie Reputationsschäden.

1. Typische Fehler

In der Praxis zeigen sich einige typische Fehlentwicklungen, die die Funktion von Hinweisgebersystemen erheblich schwächen:

Software statt Struktur

Unternehmen beschaffen zunächst ein Hinweisgeber‑Tool und verschieben die Etablierung von Prozessen, Zuständigkeiten und Schnittstellen. Das führt zu ungeordneten Abläufen, nicht eingehaltenen Fristen und im Ernstfall zu lückenhafter Dokumentation.

„Nebenbei“-Meldestelle

Die Meldestelle wird etwa HR oder Legal zusätzlich übertragen, ohne ausreichende Ressourcen, Qualifizierung und klare Abgrenzung zu anderen Rollen. Vertraulichkeit, Unabhängigkeit und die saubere Trennung von Investigation und operativer Linie geraten dadurch schnell unter Druck.

Vorgesetzte als „Meldestelle“

Manche Unternehmen halten es für die beste Lösung, direkte Vorgesetzte als erste und einzige Ansprechpartner für Hinweise zu benennen. Diese seien ja schließlich „Linien-Verantwortliche“ und müssten sich daher doch sowieso um die Angelegenheit kümmern. Damit wird die gesetzlich geforderte unabhängige Meldestelle unterlaufen: Beschäftigte müssen gerade nicht denjenigen adressieren, der selbst Teil des Problems sein kann oder als „loyal zu den eigenen Leuten“ wahrgenommen wird. Aus der Sicht des Hinweisgebers sinkt die Hemmschwelle nicht, sondern steigt – und das Risiko, dass Hinweise „versanden“ oder informell bearbeitet werden, nimmt deutlich zu.

Unklare Rechte- und Zugriffskonzepte

Technisch haben in vielen Unternehmen immer noch oft zu viele Personen Zugriff auf eingehende Hinweise; Berechtigungen sind nicht sauber dokumentiert, die Protokollierung ist unzureichend. Das gefährdet sowohl den Schutz von Hinweisgebern als auch die Position des Unternehmens, z.B. bei Datenschutz‑ und Aufsichtsbehörden. Sensible Informationen, die unstrukturiert im System gespeichert werden, können zudem auch Gegenstand von Durchsuchungen sein.

Fristen- und Dokumentationsdefizite

Rückmeldefristen nach HinSchG werden häufig nicht systematisch überwacht, eingehende Hinweise werden in E-Mail-Postfächern oder Excel‑Listen – nicht revisionssicher – verwaltet. Das Gleiche gilt für Entscheidungen und aus den Fällen abgeleitete Maßnahmen; diese sind im Nachhinein oft nicht nachvollziehbar – ein Problem für Haftung, Kommunikation und Unternehmensverteidigung.

Keine Verzahnung mit Internal Investigations und Unternehmensverteidigung

Hinweise, die zu internen Untersuchungen führen, werden immer noch zu oft ohne klaren Untersuchungs- und Verteidigungsplan behandelt. „Man schaut mal, was man herausfinden kann“ anstatt einem vorher festgelegten Prozess zu folgen.

Auch das kann haftungs- und verteidigungsseitig fatale Folgen haben. Besonders riskant ist auch hier ein reines „Tick-box-System“ oder „Schaufenster-Compliance“: formal eingerichtet, praktisch kaum genutzt oder sogar intern von Führungskräften bewusst abgewertet.

Dann erfährt das Unternehmen von gravierenden Missständen oft erst über Behörden, Medien oder Dritte – und vergibt die Chance, früh intern gegensteuern zu können.

2. Strategische Einordnung

Strategisch betrachtet ist ein Hinweisgebersystem ein „Frühwarnsystem“, das die Unternehmensleitung ernst nehmen sollte. Wer es klug einsetzt, für den ist es zudem ein weiteres Steuerungsinstrument im Rahmen der Corporate Governance. Es verschiebt den Zeitpunkt, zu dem die Geschäftsleitung von relevanten Verstößen erfährt, nach vorne – und eröffnet damit die Möglichkeit, Missstände aus eigener Initiative abzustellen, Geschäftsbeziehungen zu retten, Maßnahmen zu dokumentieren und die eigene Compliance-Kultur zu stärken.

Aus Sicht der Unternehmensverteidigung ist das System häufig Ausgangspunkt interner Untersuchungen. Jeder Hinweis kann – je nach Gewicht – zu Ermittlungen, Durchsuchungen oder arbeitsrechtlichen Maßnahmen führen. Das System muss daher so gestaltet sein, dass es einerseits eine effektive interne Aufklärung ermöglicht, andererseits Verteidigungsrechte wahrt und unnötige Selbstbelastung vermeidet. Eine klare Verhandlung der internen Schnittstellen zwischen Meldestelle, Compliance, Internal Investigations und Verteidigung sind dafür zentral.

ESG-Regulierung und Lieferkettensorgfaltspflichten erhöhen die strategische Bedeutung von Hinweisgerbersystemen zusätzlich. Viele ESG‑relevante Themen – etwa Menschenrechts‑ oder Umweltverstöße in der Lieferkette – werden zuerst über Hinweise sichtbar.

Unternehmen, die solche Hinweise strukturiert aufnehmen, bewerten und zu Abstellmaßnahmen nutzen, stärken nicht nur ihr Risikomanagement, sondern auch die Glaubwürdigkeit ihres ESG-Reportings gegenüber Kunden, Investoren und Aufsichtsbehörden.

3. Handlungsempfehlungen – Was wir empfehlen

Unsere Handlungsempfehlungen lauten wie folgt:

a) Governance und Rollen klar definieren

Im ersten Schritt sollte ein Unternehmen die Governance des Hinweisgebersystems sauber festlegen. Zentrale Weichenstellung ist dabei die Entscheidung, ob die Meldestelle intern, extern – etwa anwaltlich – oder in einem Hybridmodell betrieben wird und welche Folgen dies für Unabhängigkeit, Ressourcen, Vertraulichkeit und Verteidigungsaspekte hat.

Diese Entscheidung gehört nicht in eine informelle „Nebenaufgabe“, sondern muss sich in klar formulierten Zuständigkeiten, Eskalationswegen und Vertretungsregelungen niederschlagen, idealerweise verankert in Geschäftsordnungen, die auch für die Geschäftsleitung und – soweit vorhanden – Aufsichtsgremien verbindlich sind.

b) HinSchG-Anforderungen systematisch abbilden

Auf dieser Grundlage sind die gesetzlichen Vorgaben des HinSchG in konkrete Richtlinien und Prozesse zu übersetzen. Dazu zählen insbesondere die Ausgestaltung der Meldekanäle, die Sicherung der Vertraulichkeit, die Einhaltung der Rückmeldefristen, die Anforderungen an Dokumentation und Aktenführung sowie der Schutz vor Repressalien gegenüber Hinweisgebern. Parallel müssen die datenschutzrechtlichen Anforderungen aus DSGVO und BDSG – Rechtsgrundlagen, Speicher‑ und Löschkonzepte, Betroffenenrechte, technische und organisatorische Maßnahmen – sauber integriert und gegebenenfalls branchenspezifische Sonderregeln, etwa im Finanz‑ oder Gesundheitssektor, berücksichtigt werden.

c) Technische Ausgestaltung mit „Verteidigungsbrille“

Die Auswahl und Konfiguration der technischen Lösung sollte von Beginn an mit einer „Verteidigungsbrille“ erfolgen. Erforderlich ist eine Lösung mit belastbarer Verschlüsselung, fein abgestufter Rechtevergabe, revisionssicherer Protokollierung, strukturierter Fallverwaltung und tragfähigen Export‑ und Reporting-Optionen.

Gleichzeitig empfiehlt es sich, zwischen im System vorgehaltenen Basisinformationen (gemeldeter Sachverhalt) einerseits und vertieften, verteidigungsrelevanten Auswertungen (Ermittlungsstrategie und -ergebnisse, Unternehmensverteidigung) andererseits zu trennen; Letztere sollten in gesonderten Mandatsakten geführt werden.

In vielen Konstellationen ist der ergänzende Einsatz externer anwaltlicher Meldestellen sinnvoll, um die Vertraulichkeit zu steigern.

d) Prozessablauf vom Hinweis bis zum Fallabschluss definieren

Die Wirksamkeit des Systems entscheidet sich an der Prozesskette vom Eingang des Hinweises bis zum Fallabschluss. Unternehmen sollten hierfür Kriterien für eine strukturierte Erstbewertung (Plausibilität, Schweregrad, betroffene Rechtsgebiete, Dringlichkeit) definieren und festlegen, ab welchen Schwellenwerten eine interne Untersuchung einzuleiten ist.

Der Untersuchungsrahmen muss regeln, wer in welcher Rolle ermittelt, welche Methoden zulässig sind, wie Ergebnisse dokumentiert werden und in welcher Form Berichte an Geschäftsleitung und Aufsichtsgremien erfolgen. Am Ende stehen Entscheidungen über konkrete Maßnahmen – von Compliance- und Organisationsmaßnahmen über arbeitsrechtliche Schritte bis hin zu etwaiger Behördenkommunikation – sowie eine nachvollziehbare Dokumentation, dass identifizierte Missstände tatsächlich und nachweisbar behoben wurden.

e) Vertrauen mittels Kommunikation und Schulung herstellen

Flankierend sollten Kommunikation und Schulung konsequent darauf ausgerichtet sein, Vertrauen in das System zu schaffen. Mitarbeitende und Führungskräfte benötigen ein klares Verständnis von Zweck, Ablauf und Schutzmechanismen des Hinweisgebersystems, einschließlich seiner Grenzen, um den Kanal als ernstzunehmende Option wahrzunehmen.

Dazu gehört auch, sich in der internen Kommunikation bewusst von abwertenden Begriffen wie „Petz‑Hotline“ zu lösen und stattdessen die gemeinsame Zielsetzung zu betonen, Missstände frühzeitig intern aufzugreifen und zu lösen, bevor externe Eskalationen entstehen. Regelmäßige, aggregierte Berichte zu Volumen, Kategorien und Bearbeitungsdauern von Hinweisen sollten Bestandteil des Compliance‑Reportings an Geschäftsleitung und Aufsichtsgremien sein und so die Steuerungsfunktion des Systems sichtbar machen.

f) Regelmäßiges Review und Krisenübungen

Schließlich braucht ein Hinweisgebersystem einen strukturierten Review-Mechanismus. Bewährt haben sich regelmäßige – in der Praxis häufig jährliche oder anlassbezogene – Überprüfungen, in denen rechtliche Entwicklungen, technische Anpassungsbedarfe und sonstige Lehren aus konkreten Fällen ausgewertet und in Richtlinien sowie Prozesse überführt werden.

Ergänzend sollten Unternehmen Krisenszenarien – etwa massenhafte Hinweise, kritische Medienberichte, parallele Durchsuchungen oder belastende Lieferkettenmeldungen – in Übungen durchspielen, um das Zusammenspiel von Meldestelle, Compliance, Verteidigung, HR und Kommunikation zu testen und zu verhindern, dass im Ernstfall unter Zeitdruck unkoordinierte Entscheidungen getroffen werden.

4. Positionierung – wie Pragal Rechtsanwälte Ihr Unternehmen begleitet

Pragal Rechtsanwälte begleitet Unternehmen bei der Implementierung von Hinweisgebersystemen mit einer einzigartigen Synergie: der langjährigen Inhouse-Erfahrung von Rechtsanwältin Konrad u.a. als Compliance-Officerin und dem Blickwinkel von Rechtsanwalt Dr. Pragal als erfahrener Strafverteidiger mit dem besonderen Schwerpunkt der Unternehmensverteidigung.

Kristina Konrad ist aufgrund ihrer langjährigen Inhouse-Erfahrung Expertin in der Implementierung von Hinweisgebersystemen, sie kennt die Fallstrike im Aufsetzen entsprechender Prozesse und bei der Bearbeitung von Hinweisen. Sie legt Wert auf klare Governance‑Strukturen, praktikable Prozesse und eine Dokumentation, die Organpflichten und Behördenerwartungen im Blick hat, aber auch die hinweisgebenden oder von Hinweisen betroffene Personen im Blick hat.

Dr. Oliver Pragal bringt die Perspektive des Unternehmensverteidigers ein: Er bewertet Hinweisprozesse und interne Untersuchungen mit Blick auf Ermittlungsrisiken, Durchsuchungsszenarien und die optimale Positionierung gegenüber Strafverfolgungsbehörden.

Im Dezernat Compliance und Investigations werden so Governance‑Strukturen, technische Lösungen und Verteidigungsstrategie von Anfang an „gemeinsam gedacht“, damit Hinweisgebersysteme im Alltag funktionieren und in der Krise tragen – statt zur bloßen Pflichtübung zu werden.

5. Fazit

Hinweisgebersysteme sind heute unverzichtbar – rechtlich, strategisch und unternehmenskulturell. Sie sind nicht der „Pranger“, als der sie in manchen Debatten immer noch manchmal (und sei es nur „im Scherz“) dargestellt werden, sondern ein Instrument, das dem Unternehmen die Möglichkeit gibt, Missstände selbst und frühzeitig zu erkennen, abzustellen und daraus zu lernen.

Für Geschäftsleitung und Aufsichtsgremien ist entscheidend, das System nicht als Pflichtaufgabe, sondern als Teil der eigenen Governance‑ und Verteidigungsstrategie zu verstehen.

Wer Governance, Prozesse und Verteidigung von Beginn an integriert „zusammendenkt“, schafft ein Hinweisgebersystem, das nicht nur „HinSchG‑konform“ ist, sondern praxisnah und vertrauensbildend ist – und damit einen spürbaren Beitrag zur Stabilität der Unternehmensführung und positiven Compliance-Kultur leistet.

Wir unterstützen Sie gerne dabei, ein rechtssicheres und krisenfestes Hinweisgebersystem zu etablieren.

Kontakt

FAQ: Häufige Fragen zu Hinweisgebersystemen