HinSchG für Anwaltskanzleien: Berufsrecht + Schweigepflicht

Hauptartikel: HinSchG: Interne Meldestelle einrichten — Einrichtung der internen Meldestelle in acht Schritten, mit Verfahrensfristen, Datenschutzpflichten und 30-Punkte-Checkliste.

1. Schwellenwert ab 50 MA

Die Pflicht zur internen Meldestelle greift ab in der Regel 50 Beschäftigten (§ 12 Abs. 1 Satz 1 i. V. m. Abs. 2 HinSchG); mitgezählt werden Berufsträger und nicht-anwaltliches Personal gleichermaßen, weshalb Mittel- und Großkanzleien praktisch immer betroffen sind.

Wie gezählt wird: Gezählt werden Köpfe, nicht Vollzeit-Äquivalente: Vollzeit-, Teilzeit- und befristet Beschäftigte, Auszubildende, geringfügig Beschäftigte, Praktikantinnen und Praktikanten sowie Leiharbeitnehmer ab sechs Monaten zählen voll; selbstständige Subunternehmer zählen in der Regel nicht. Die Übergangsfrist des § 42 HinSchG für Beschäftigungsgeber mit 50 bis 249 Beschäftigten lief am 17. Dezember 2023 ab; § 40 Abs. 2 Nr. 2 HinSchG ist seit dem 1. Dezember 2023 anwendbar.

Sanktion, Zuständigkeit und Österreich: Wer in Deutschland keine interne Meldestelle einrichtet und betreibt, handelt ordnungswidrig — Geldbuße bis 20.000 Euro (§ 40 Abs. 2 Nr. 2 i. V. m. Abs. 6 HinSchG). Die Verzehnfachung für juristische Personen nach § 30 Abs. 2 Satz 3 OWiG ordnet § 40 Abs. 6 Satz 2 HinSchG ausdrücklich nur für § 40 Abs. 2 Nr. 1 und 3 sowie Abs. 3 und 4 an, nicht für die fehlende Meldestelle. Für Verfolgung und Ahndung von Ordnungswidrigkeiten nach § 40 HinSchG ist seit dem 15. April 2025 das Bundesamt für Justiz zuständig, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt (§ 1 HinSchGOWiZustV). Für Kanzleien in Österreich gilt dieselbe Schwelle: Unternehmen mit 50 oder mehr Arbeitnehmern müssen ein internes Hinweisgebersystem einrichten (§ 3 Abs. 1, § 11 Abs. 1 HSchG).

2. § 203 StGB: Verschwiegenheitspflicht vs. Hinweisgeber-Pflicht

Das Mandantengeheimnis bleibt auch im Verdachtsfall geschützt: Eine hinweisgebende Person kann ein Mandantengeheimnis nicht unter Berufung auf das HinSchG offenbaren, weil die anwaltliche Verschwiegenheitspflicht vorgeht (§ 5 Abs. 2 Nr. 3 HinSchG).

Rechtsgrundlage: Der Vorrang folgt aus § 5 Abs. 2 Nr. 3 HinSchG — eine Meldung oder Offenlegung fällt nicht in den Anwendungsbereich des Gesetzes, wenn ihr die Pflicht zur Wahrung der Verschwiegenheit durch Rechtsanwälte entgegensteht. § 5 Abs. 2 Nr. 5 HinSchG erstreckt das auf Personen, die an der beruflichen Tätigkeit der Berufsgeheimnisträger mitwirken (Kanzleipersonal). § 8 HinSchG regelt demgegenüber nur das Vertraulichkeitsgebot der Meldestelle und ist nicht die Grundlage des Verschwiegenheits-Vorrangs.

Was § 8 HinSchG stattdessen verlangt: Die Meldestellen haben in Deutschland die Vertraulichkeit der Identität der hinweisgebenden Person, der von einer Meldung betroffenen Personen und der sonstigen in der Meldung genannten Personen zu wahren; die Identität darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden (§ 8 Abs. 1 HinSchG). Praxisempfehlung für die Umsetzung im Kanzleibetrieb: Need-to-know im Team der Meldestelle, verschlüsselte Speicherung der Meldungen und ein Audit-Trail aller Zugriffe. Verlangt eine beschuldigte Person Auskunft nach Art. 15 DSGVO, ist die verbreitete Praxislösung eine geschwärzte Antwort mit Aufschiebung nach § 29 BDSG.

Sanktion und Österreich: Ein vorsätzlicher Vertraulichkeitsverstoß ist in Deutschland mit Geldbuße bis 50.000 Euro bedroht, ein fahrlässiger bis 10.000 Euro (§ 40 Abs. 3 bzw. Abs. 4, jeweils i. V. m. Abs. 6 Satz 1 HinSchG); gegen juristische Personen ist über § 30 Abs. 2 Satz 3 OWiG eine Verzehnfachung auf bis zu 500.000 Euro möglich. In Österreich schützt § 7 Abs. 1 und 2 HSchG die Identität der hinweisgebenden Person einschließlich aller Informationen, aus denen sie direkt oder indirekt abgeleitet werden kann; wird der Inhalt eines Hinweises anderen als den zuständigen Mitarbeitern bekannt, ist diesen die Bekanntgabe untersagt.

3. Ausgelagerte interne Meldestelle empfohlen

Bei Anwaltskanzleien besonders: Betrauung eines Dritten nach § 14 Abs. 1 HinSchG (Ombudsperson bzw. unabhängige Anwaltskanzlei) mit den Aufgaben der internen Meldestelle reduziert das Insider-Risiko.

Begriff sauber halten: Eine beauftragte Ombudsperson/Kanzlei bleibt rechtlich die interne Meldestelle in ausgelagerter Form. „Externe Meldestellen“ im Sinne des HinSchG sind ausschließlich die staatlichen Stellen nach §§ 19 bis 23 HinSchG — externe Meldestelle des Bundes beim Bundesamt für Justiz (§ 19), externe Meldestellen der Länder (§ 20), BaFin (§ 21), Bundeskartellamt (§ 22) und weitere Stellen (§ 23).

Was die Auslagerung nicht abnimmt: § 14 Abs. 1 Satz 1 HinSchG erlaubt, die Aufgaben der internen Meldestelle einem Dritten zu übertragen; nach Satz 2 bleibt der Beschäftigungsgeber selbst verpflichtet, geeignete Maßnahmen zur Abstellung eines Verstoßes zu ergreifen. Die Kanzlei behält damit die Verantwortung für die Abstellung des Verstoßes, auch wenn Entgegennahme und Fallbearbeitung außer Haus liegen. Verarbeitet der Dritte dabei personenbezogene Daten im Auftrag, ist ein Auftragsverarbeitungsvertrag mit dem Mindestinhalt des Art. 28 Abs. 3 DSGVO erforderlich.

Das Wahlrecht liegt nicht bei der Kanzlei: In Deutschland entscheidet allein die hinweisgebende Person, ob intern oder extern gemeldet wird (§ 7 Abs. 1 HinSchG); Meldungen oder die anschließende Kommunikation zu behindern, ist verboten (§ 7 Abs. 2 HinSchG). Wendet sich jemand an die staatliche externe Meldestelle, bestätigt diese den Eingang spätestens sieben Tage nach Eingang und gibt spätestens nach drei Monaten Rückmeldung; bei umfangreicher Bearbeitung sind es sechs Monate, wobei die Gründe für die Verlängerung mitzuteilen sind (§ 28 Abs. 1 und Abs. 4 HinSchG). In Österreich umfasst der Schutz ebenfalls Hinweise an interne wie an externe Stellen (§ 6 Abs. 1 HSchG).

Kanzlei-Verbünde mit mehreren Gesellschaften: Ein Vertragsverletzungsverfahren der Europäischen Kommission gegen Deutschland zur Konzern-Auslagerung nach § 14 HinSchG besteht nicht. Das deutsche Verfahren zur Richtlinie (EU) 2019/1937 war INFR(2022)0052 wegen verspäteter Umsetzung; es endete mit dem EuGH-Urteil C-149/23 vom 6. März 2025 (Pauschalbetrag 34 Mio. Euro) und wurde am 4. Juni 2026 eingestellt. Stand 17. August 2026 ist § 14 HinSchG unverändert. Praxisempfehlung für Verbünde: statt reiner Konzern-Auslagerung ein Hybridmodell aus eigener Meldestelle je Gesellschaft und gemeinsamer Stelle als Dritter.

4. Warum das beA kein HinSchG-Meldekanal ist

Nutzen Sie das besondere elektronische Anwaltspostfach (beA, § 31a BRAO) nicht als HinSchG-Meldekanal — es dient einem anderen Zweck; der Meldekanal nach § 16 Abs. 3 HinSchG gehört in eine separate Meldestellen-Software.

Warum ein Anwaltspostfach den Meldekanal nicht ersetzt (Praxisbegründung): Die interne Meldestelle muss den Beschäftigten offenstehen (§ 12 Abs. 1 Satz 1 i. V. m. Abs. 2 HinSchG) — in Kanzleien also auch dem nicht-anwaltlichen Personal. Hinzu kommen die persönliche Zusammenkunft auf Ersuchen der hinweisgebenden Person (§ 16 Abs. 3 Satz 3 HinSchG) und das Zugriffsmodell des § 8 Abs. 1 HinSchG, nach dem die Identität ausschließlich den zuständigen und den sie unterstützenden Personen bekannt werden darf. Ein Postfach mit anderem Zweck bildet diese drei Anforderungen nicht ab.

Was der separate Kanal leisten muss: § 16 Abs. 3 Satz 1 HinSchG verlangt in Deutschland, dass interne Meldekanäle Meldungen in mündlicher oder in Textform ermöglichen — der Beschäftigungsgeber hat insoweit ein Wahlrecht, beide Formen sind nicht zwingend parallel vorzuhalten. Wird der mündliche Kanal gewählt, muss er per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein (Satz 2). Zwingend hinzu kommt allein die persönliche Zusammenkunft auf Ersuchen der hinweisgebenden Person innerhalb einer angemessenen Zeit (Satz 3); mit deren Einwilligung ist auch Bild- und Tonübertragung zulässig (Satz 4). Eine gesetzliche Tagesfrist für dieses Gespräch enthält § 16 Abs. 3 HinSchG nicht — verbreitete Praxisempfehlung ist ein Terminangebot binnen 14 Tagen. Drei parallele Kanäle (Textform, Telefon, persönlich) sind gängige Praxis, aber keine gesetzliche Pflicht.

Anonyme Meldungen: Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten (§ 16 Abs. 1 Satz 4 HinSchG). Eine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen, besteht nach Satz 5 ausdrücklich nicht; der vielfach zitierte Stichtag 1. Januar 2025 stammt aus einem Gesetzentwurf, der nicht Gesetz geworden ist, und die Übergangsvorschrift § 42 HinSchG enthält ihn nicht. Praxisempfehlung für Kanzleien: ein Web-Formular ohne Login plus anonymer Rückkanal.

5. BRAO § 43a: Verschwiegenheit und Repressalienschutz

Die anwaltliche Verschwiegenheitspflicht des § 43a BRAO gilt neben dem HinSchG unverändert weiter — die Anwalts-Berufspflichten bleiben unberührt, und deshalb darf ein Anwalt nur eingeschränkt „whistleblowern“. Wo diese Grenze verläuft, folgt aus dem in Abschnitt 2 hergeleiteten Vorrang: § 5 Abs. 2 Nr. 3 HinSchG nimmt eine Meldung vom Anwendungsbereich aus, wenn ihr die Pflicht zur Wahrung der anwaltlichen Verschwiegenheit entgegensteht; § 5 Abs. 2 Nr. 5 HinSchG erstreckt das auf mitwirkendes Kanzleipersonal.

Zwei Fragen zur Zuordnung (Praxisempfehlung, keine gesetzliche Zuordnungsregel): Erstens: Betrifft die Meldung mandatsbezogene Informationen, die der anwaltlichen Verschwiegenheit unterliegen? Dann fällt sie nach § 5 Abs. 2 Nr. 3 HinSchG — bei mitwirkendem Personal nach Nr. 5 — aus dem Anwendungsbereich, und die Schutzrechte des Gesetzes greifen für diese Meldung nicht. Zweitens: Betrifft sie einen kanzleiinternen Verstoß ohne Mandatsbezug, etwa im Beschäftigungsverhältnis? Dann greifen die Schutzrechte, soweit die Meldung in den sachlichen Anwendungsbereich des § 2 HinSchG fällt; welche das im Einzelnen sind, steht im folgenden Absatz. Wann diese Zuordnung im Ablauf zu dokumentieren ist, steht in Abschnitt 6 bei Schritt 3.

Was das HinSchG davon unabhängig vorsieht: Soweit eine Meldung in den Anwendungsbereich des Gesetzes fällt (§ 2 HinSchG), greifen die Schutzrechte auch im Kanzleibetrieb. § 36 Abs. 1 HinSchG verbietet gegen hinweisgebende Personen gerichtete Repressalien einschließlich Androhung und Versuch. Erleidet eine hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit und macht sie geltend, diese infolge der Meldung erlitten zu haben, wird vermutet, dass es sich um eine Repressalie handelt; der Benachteiligende muss dann beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte (§ 36 Abs. 2 HinSchG). Wer verstößt, schuldet Ersatz des daraus entstehenden Schadens (§ 37 Abs. 1 HinSchG); einen Anspruch auf Begründung eines Beschäftigungsverhältnisses oder auf beruflichen Aufstieg begründet der Verstoß nicht (§ 37 Abs. 2 HinSchG). Vereinbarungen, die die nach dem Gesetz bestehenden Rechte einschränken, sind unwirksam (§ 39 HinSchG).

Dokumentation und Österreich: Für Deutschland hat das Landesarbeitsgericht Niedersachsen mit Urteil vom 11. November 2024 (7 SLa 306/24) das zweistufige Prüfschema bestätigt. Praxisempfehlung: für jede Personalmaßnahme nach einer Meldung — Abmahnung, Versetzung, Kündigung — den von der Meldung unabhängigen Grund dokumentieren. In Österreich sind Maßnahmen, die in Vergeltung eines berechtigten Hinweises erfolgt sind, rechtsunwirksam (§ 20 Abs. 1 HSchG); die hinweisgebende Person muss die Vergeltung nur glaubhaft machen, und eine Vergeltung ist nicht anzunehmen, wenn eine höhere Wahrscheinlichkeit für ein anderes Motiv spricht, das die handelnde Person ihrerseits glaubhaft zu machen hat (§ 23 HSchG). Die verantwortliche Person schuldet Wiederherstellung des rechtmäßigen Zustandes, Ersatz des Vermögensschadens und Entschädigung für die erlittene persönliche Beeinträchtigung (§ 20 Abs. 1 letzter Satz und Abs. 2 HSchG).

6. Praxis-Implementierung

1) Ausgelagerte interne Meldestelle (Dritter nach § 14 Abs. 1 HinSchG) bei spezialisierter Anwaltskanzlei — Einzelheiten in Abschnitt 3. 2) Schulung Anwälte + Personal. 3) BRAO-konformer Untersuchungs-Workflow. 4) RAK-Konsultation bei Verdacht auf Berufsrechts-Verstoß.

Zu Schritt 2 — Fachkunde und Information: § 15 Abs. 2 HinSchG verlangt für die mit den Aufgaben der internen Meldestelle beauftragten Personen die notwendige Fachkunde; eine juristische Ausbildung schreibt die Vorschrift nicht vor. Üblicher Schulungsumfang in der Praxis: fünf bis acht Unterrichtseinheiten zu Verfahren, Vertraulichkeit, DSGVO-Schnittstelle, Repressalienschutz und Sachverhaltsaufklärung. Über die Meldewege ist die Belegschaft nach § 13 HinSchG zu informieren — in Kanzleien typischerweise über Intranet und Aushang.

Zu Schritt 3 — Zuordnung zuerst, dann die zwei Fristen: BRAO-konform heißt in der Praxis zuerst: die Zuordnungs-Prüfung aus Abschnitt 5 im Fallakt festhalten, bevor Ermittlungshandlungen beginnen, und die Meldeakte getrennt von der Mandatsakte führen, damit die Zugriffsgrenze des § 8 Abs. 1 HinSchG eingehalten bleibt. Erst danach laufen die Fristen der Verfahrensordnung: In Deutschland bestätigt die interne Meldestelle der hinweisgebenden Person den Eingang der Meldung spätestens nach sieben Tagen (§ 17 Abs. 1 Nr. 1 HinSchG). Innerhalb von drei Monaten nach der Eingangsbestätigung folgt die Rückmeldung mit den geplanten und bereits ergriffenen Folgemaßnahmen und deren Gründen; wurde der Eingang nicht bestätigt, läuft die Frist drei Monate und sieben Tage ab Eingang (§ 17 Abs. 2 HinSchG). Die Dokumentation ist drei Jahre nach Abschluss des Verfahrens zu löschen (§ 11 Abs. 5 HinSchG); eine längere Aufbewahrung ist nur zulässig, soweit sie rechtlich erforderlich ist. In Österreich beträgt die Aufbewahrung fünf Jahre (§ 8 Abs. 11 HSchG). Praxisempfehlung: eine jährliche Wirksamkeits-Selbstprüfung dokumentieren — Frist-Einhaltung, Vertraulichkeit, Schulungsstand. Eine gesetzliche Audit-Pflicht besteht dafür in Deutschland nicht.

Zu Schritt 4 — wann die Rechtsanwaltskammer einzuschalten ist (Praxisempfehlung): Auslöser ist ein gemeldeter Sachverhalt, der Berufspflichten eines Berufsträgers betrifft, nicht ein rein arbeitsrechtlicher oder allgemeiner Compliance-Verstoß. Ansprechpartner ist die zuständige Rechtsanwaltskammer. Das HinSchG-Verfahren läuft davon unabhängig weiter: Die Fristen des § 17 HinSchG — sieben Tage Eingangsbestätigung, drei Monate Rückmeldung — bleiben einzuhalten, und § 8 Abs. 1 HinSchG gilt unverändert: Die Identität darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden.

Bewusst unrichtige Meldungen: § 38 HinSchG verpflichtet die hinweisgebende Person zum Ersatz des Schadens, der aus einer vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen entstanden ist; in diesen Fällen entfällt auch der Schutz ihrer Identität (§ 9 Abs. 1 HinSchG).

Datenschutz-Beiwerk: Die Verarbeitungstätigkeit „Meldestelle“ gehört in das Verzeichnis der Verarbeitungstätigkeiten; hinzu kommen Datenschutzhinweise für hinweisgebende und für beschuldigte Personen sowie ein eigenes Konzept technischer und organisatorischer Maßnahmen. In Deutschland ist für die Meldestelle eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen; in Österreich ist sie nach § 8 Abs. 13 HSchG i. V. m. Art. 35 Abs. 10 DSGVO entbehrlich.

7. Österreich: HSchG statt HinSchG

Dieser Beitrag beschreibt die deutsche Rechtslage (HinSchG, BRAO, § 203 StGB, beA). Für Kanzleien in Österreich gilt stattdessen das HinweisgeberInnenschutzgesetz (HSchG). Ohne Pendant sind dabei nur die deutschen Institutionen als solche (BRAO, beA, Bundesamt für Justiz): Ein anwaltliches Berufsrecht mit Kammerdisziplin existiert in Österreich sehr wohl — Rechtsanwaltsordnung (RAO) und Disziplinarstatut für Rechtsanwälte und Rechtsanwaltsanwärter, die das HSchG in § 4 Abs. 1 Z 6 und Z 12 ausdrücklich als vorrangige Materiengesetze nennt (das HSchG greift dort nur, soweit die Angelegenheit nicht schon in diesen Gesetzen geregelt ist). Und auch der sachliche Kern dieses Artikels — der Vorrang der anwaltlichen Verschwiegenheit — hat ein österreichisches Gegenstück.

8. Fristen und Sanktionen: Deutschland und Österreich im Direktvergleich

Die Kernpflichten laufen weitgehend parallel — 50er-Schwelle, 7-Tage-Eingangsbestätigung, 3-Monats-Rückmeldung und Identitätsschutz gelten in beiden Rechtsordnungen; unterschiedlich sind der sachliche Anwendungsbereich, die staatliche externe Stelle, die Aufbewahrungsdauer, die Beweisregel bei Repressalien und der Sanktionsrahmen. Jede Angabe der folgenden Tabelle ist eine gesetzliche Vorgabe mit der jeweils genannten Fundstelle; Praxisempfehlungen sind nicht Teil der Tabelle und im übrigen Artikel ausdrücklich als solche gekennzeichnet.