HinSchG für Banken + Finanzdienstleister: BaFin-Spezifika

Hauptartikel: HinSchG: Interne Meldestelle einrichten — der vollständige Pillar-Artikel zum Thema.

1. BaFin-MaRisk-Pflicht ab 1 MA

Die BaFin-Mindestanforderungen an das Risikomanagement (MaRisk) auf Grundlage von § 25a Abs. 1 KWG verlangen ein Hinweisgeberverfahren unabhängig von der Beschäftigtenzahl. Das ist jedoch nicht strenger als das HinSchG: Nach § 12 Abs. 3 HinSchG gilt die Pflicht zur Einrichtung und zum Betrieb einer internen Meldestelle für Institute im Sinne des § 1 Abs. 1b KWG und Wertpapierinstitute (§ 2 Abs. 1 WpIG), Wertpapierdienstleistungsunternehmen, Börsenträger, Kapitalverwaltungsgesellschaften (§ 17 Abs. 1 KAGB), Versicherungsunternehmen nach § 1 Abs. 1 VAG sowie Zahlungs- und Kryptodienstleister ohnehin unabhängig von der Zahl der Beschäftigten — die 50-Beschäftigten-Schwelle des § 12 Abs. 2 HinSchG greift für diese Unternehmen also gar nicht erst. Die aufsichtsrechtliche Hinweisgeber-Anforderung tritt parallel daneben und ergänzt die Ausgestaltungs- und Prüfpflichten; sie verschärft die HinSchG-Schwelle nicht.

Was Einrichtung und Betrieb in Deutschland konkret verlangen: mindestens eine interne Meldestelle (§ 12 Abs. 1 Satz 1 HinSchG), Meldekanäle in mündlicher oder in Textform mit persönlicher Zusammenkunft auf Ersuchen (§ 16 Abs. 3 HinSchG — Einzelheiten in den FAQ), die notwendige Fachkunde der beauftragten Personen (§ 15 Abs. 2 HinSchG) und die Information der Beschäftigten über die Meldewege (§ 13 HinSchG). Wird die interne Meldestelle nicht eingerichtet und betrieben, ist das eine Ordnungswidrigkeit mit einer Geldbuße bis 20.000 Euro (§ 40 Abs. 2 Nr. 2 i. V. m. Abs. 6 HinSchG; Einordnung in Abschnitt 8). Praxisempfehlung: Beschluss der Geschäftsleitung, Bestellung der beauftragten Person mit Unabhängigkeitserklärung und eine Verfahrensordnung mit den Fristen aus Abschnitt 4 dokumentieren — die Pflicht hängt hier an keiner Größenschwelle; in einer Prüfung zählt, was Sie zum Betrieb der Meldestelle belegen können.

2. Meldedaten in der Risikosteuerung: die Vertraulichkeitsgrenze

Whistleblower-Daten dürfen in die Risikosteuerung einfließen, aber nur ohne Identitätsbezug — § 8 Abs. 1 HinSchG begrenzt den Kreis derjenigen, denen die Identität bekannt werden darf, ausschließlich auf die für Entgegennahme und Folgemaßnahmen zuständigen und die sie unterstützenden Personen (ausführlich in Abschnitt 5). Für die Risiko-Datenaggregation bei Banken bedeutet das: Whistleblower-Daten gehen in die Risiko-Bewertung ein, die identifizierenden Angaben bleiben außen vor.

Praxisempfehlung: Auswertungen für die Risikosteuerung so aufsetzen, dass sie ohne identifizierende Angaben auskommen — Kennzahlen wie Fallzahl, Verstoßkategorie und Bearbeitungsdauer getrennt von der Fallakte führen, Zugriffe protokollieren und den Kreis der Berechtigten nach dem Need-to-know-Prinzip festlegen.

Abgrenzung: Die aufsichtsrechtlichen Bezugspunkte dieses Artikels — MaRisk und § 25a KWG, § 23 VAG, BCBS 239 sowie die DORA-Schnittstelle für IT-Vorfall-Meldungen (Verordnung (EU) 2022/2554, anwendbar seit 17. Januar 2025) — stammen aus dem Aufsichtsrecht bzw. aus aufsichtlichen Standards. Dieser Beitrag vertieft die Pflichten aus dem deutschen HinSchG und dem österreichischen HSchG; für die Ausgestaltung der aufsichtsrechtlichen Anforderungen sind die Aufsichtsregelwerke selbst maßgeblich.

3. Sektor-spezifische Verstöße melden

Meldefähig sind im Finanzsektor vor allem Verstöße gegen das KWG, gegen das Marktmissbrauchsrecht (MAR) einschließlich Marktmanipulation und Insiderhandel sowie Geldwäscheverdacht nach dem GwG.

Ob eine Meldung den gesetzlichen Hinweisgeberschutz auslöst, entscheidet allerdings der sachliche Anwendungsbereich des jeweiligen Gesetzes, nicht die Branchenzugehörigkeit. In Deutschland gilt das HinSchG für Meldungen über strafbewehrte Verstöße, über bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient, sowie über sonstige Verstöße gegen zahlreiche aufgezählte Bundes-, Landes- und EU-Rechtsvorschriften (§ 2 Abs. 1 Nr. 1 bis 3 HinSchG). Der Bereich Finanzdienstleistungen ist zudem im Anhang der Richtlinie (EU) 2019/1937 ausdrücklich genannt (Art. 2 Abs. 1). In Österreich ist der Bereich enger: Das HSchG erfasst unter anderem Finanzdienstleistungen und Geldwäscheverhinderung sowie Korruptionsdelikte nach den §§ 302 bis 309 StGB, nicht aber sämtliche Straftaten wie das deutsche Recht (§ 3 Abs. 3 HSchG). Praxisempfehlung: Den Katalog der meldefähigen Verstöße in der Verfahrensordnung ausformulieren und im Eingangs-Screening festhalten, ob eine Meldung in den Anwendungsbereich fällt — außerhalb greift der gesetzliche Schutz nicht.

4. BaFin als externe Meldestelle

Für Finanzdienstleister ist die BaFin die zuständige externe Meldestelle: § 21 HinSchG bestimmt sie zur besonderen externen Meldestelle für den Finanzsektor; sie betreibt dafür eine eigene Whistleblower-Hotline, und die hinweisgebende Person kann frei zwischen der internen Meldestelle und der BaFin wählen (zur Anbieterseite der internen Meldestelle: Externe Meldestelle im Anbieter-Vergleich).

Im HinSchG ist dieses Nebeneinander systematisch angelegt: Die externe Meldestelle des Bundes beim Bundesamt für Justiz ist organisatorisch vom übrigen Zuständigkeitsbereich getrennt und immer dann zuständig, soweit nicht eine besondere externe Meldestelle zuständig ist (§ 19 Abs. 1 und Abs. 4 HinSchG) — neben der BaFin ist das für Wettbewerbsrecht und DMA das Bundeskartellamt (§ 22 HinSchG). Praktisch heißt das für Institute: Soweit die BaFin als besondere externe Meldestelle zuständig ist, landet die externe Meldung dort und nicht beim Bundesamt für Justiz; dessen Auffangzuständigkeit greift erst darüber hinaus. Das Wahlrecht zwischen interner und externer Meldung steht allein der hinweisgebenden Person zu (§ 7 Abs. 1 HinSchG); Meldungen oder die anschließende Kommunikation zu behindern, ist verboten (§ 7 Abs. 2 HinSchG). Eine externe Meldestelle ersetzt die interne deshalb nicht. In Österreich ist das BAK externe Stelle, soweit nicht eine besondere Stelle zuständig ist (§ 15 Abs. 1 HSchG) — im Finanzbereich die FMA, siehe Abschnitt 7.

Alle Angaben der folgenden Tabelle sind gesetzliche Fristen; die Spalte Rechtsraum trennt die deutschen und die österreichischen Fundstellen.

5. Geldwäscheverdacht: die HinSchG-Spur sauber trennen

Bei Geldwäscheverdacht laufen zwei Spuren parallel: die Meldung an die interne HinSchG-Meldestelle und die geldwäscherechtliche Spur über den Geldwäschebeauftragten (FIU). Die geldwäscherechtliche Meldepflicht besteht eigenständig neben der HinSchG-Meldung; dieser Beitrag vertieft sie nicht, er behandelt die HinSchG-Spur.

Für diese gilt in Deutschland eine feste Vorgabe: Die Meldestellen haben die Vertraulichkeit der Identität der hinweisgebenden Person, der von einer Meldung betroffenen Personen und der sonstigen in der Meldung genannten Personen zu wahren; die Identität darf ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden (§ 8 Abs. 1 HinSchG). Ein Verstoß dagegen ist bußgeldbewehrt (Abschnitt 8). Praxisempfehlung: Für Fälle mit zwei Verfahrensspuren vorab festlegen, wer die Meldung entgegennimmt, wer die Folgemaßnahmen verantwortet und welche Angaben ohne Identitätsbezug weitergegeben werden; jede Übergabe protokollieren. In Österreich ist für Geldwäscheverdacht die Geldwäschemeldestelle als besondere Stelle vorgesehen (§ 15 Abs. 2 Z 5 HSchG); der Identitätsschutz folgt dort aus § 7 HSchG (Abschnitt 7).

6. Schadensersatz-Höhe

Eine gesetzliche Pauschale gibt es nicht: Nach § 37 Abs. 1 HinSchG ist bei einem Verstoß gegen das Repressalienverbot der Verursacher verpflichtet, der hinweisgebenden Person den daraus entstehenden Schaden zu ersetzen — Umfang und Nachweis richten sich nach allgemeinem Schadensrecht. § 37 Abs. 2 HinSchG stellt klar, dass daraus kein Anspruch auf Begründung eines Beschäftigungs-, Berufsausbildungs- oder anderen Vertragsverhältnisses und kein Anspruch auf beruflichen Aufstieg folgt.

Was das Risiko treibt, ist die Beweislast: Erleidet die hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit und macht sie geltend, diese infolge der Meldung erlitten zu haben, wird vermutet, dass die Benachteiligung eine Repressalie ist; dann muss der Benachteiligende beweisen, dass sie auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte (§ 36 Abs. 2 HinSchG). Das LAG Niedersachsen hat dieses zweistufige Prüfschema mit Urteil vom 11.11.2024 (7 SLa 306/24) bestätigt. Praxisempfehlung: Für jede personelle Maßnahme nach einer Meldung den Entscheidungsgrund und seine Unabhängigkeit von der Meldung dokumentieren. In Österreich sind Vergeltungsmaßnahmen rechtsunwirksam; geschuldet sind die Wiederherstellung des rechtmäßigen Zustandes, der Ersatz des Vermögensschadens und eine Entschädigung für die erlittene persönliche Beeinträchtigung (§ 20 Abs. 1 letzter Satz und Abs. 2 HSchG), und die hinweisgebende Person muss die Vergeltung nur glaubhaft machen (§ 23 HSchG).

7. Österreich: HSchG statt HinSchG — FMA statt BaFin

Dieser Artikel beschreibt die deutsche Rechtslage. Für österreichische Institute gilt stattdessen das HinweisgeberInnenschutzgesetz (HSchG):

• Ebenfalls unabhängig von der Beschäftigtenzahl: Nach § 3 Abs. 2 i.V.m. § 11 Abs. 1 HSchG besteht die Pflicht zum internen Hinweisgebersystem im Bereich Finanzdienstleistungen, Finanzprodukte, Finanzmärkte sowie Verhinderung von Geldwäsche und Terrorismusfinanzierung ohne Rücksicht auf die Zahl der Arbeitnehmerinnen und Arbeitnehmer.
• Externe Stelle ist die FMA, nicht das BAK: Soweit die Finanzmarktaufsichtsbehörde aufgrund der in § 2 FMABG aufgezählten Rechtsakte zuständig ist, besteht keine Zuständigkeit des Bundesamts zur Korruptionsprävention und Korruptionsbekämpfung (§ 15 Abs. 2 Z 4 HSchG); für Geldwäscheverdacht gilt die Geldwäschemeldestelle (§ 15 Abs. 2 Z 5 HSchG).
• Fristen: Eingangsbestätigung spätestens nach sieben Kalendertagen (§ 9 Abs. 1 HSchG), Rückmeldung zu Folgemaßnahmen spätestens drei Monate nach Entgegennahme (§ 13 Abs. 9 HSchG).
• Sanktionen: Verwaltungsübertretung, Geldstrafe bis 20.000 EUR, im Wiederholungsfall bis 40.000 EUR, verhängt durch die Bezirksverwaltungsbehörde (§ 24 HSchG) — eine Verzehnfachung gegenüber juristischen Personen wie nach § 30 OWiG kennt das österreichische Recht hier nicht.
• Vertraulichkeit: Die Identität der hinweisgebenden Person ist von internen, externen und beauftragten Stellen zu schützen; das gilt auch für alle Informationen, aus denen sie direkt oder indirekt abgeleitet werden kann. Wird der Inhalt eines Hinweises anderen als den zuständigen Mitarbeitern bekannt, ist diesen die Bekanntgabe des Inhalts oder der Identität untersagt (§ 7 Abs. 1 und Abs. 2 HSchG).
• Schutzbeginn: Der Schutz besteht ab Abgabe des Hinweises an eine interne oder externe Stelle, wenn die hinweisgebende Person hinreichende Gründe für die Wahrheit des Hinweises und dafür annehmen konnte, dass er in den Geltungsbereich des Gesetzes fällt (§ 6 Abs. 1 HSchG).
• Datenschutz: Eine Datenschutz-Folgenabschätzung ist entbehrlich (§ 8 Abs. 13 HSchG i.V.m. Art. 35 Abs. 10 DSGVO); die Aufbewahrung beträgt fünf Jahre (§ 8 Abs. 11 HSchG).

8. Bußgelder und Verjährung in Deutschland

Verstöße gegen das HinSchG sind in Deutschland Ordnungswidrigkeiten mit nach Tatbestand gestaffelten Höchstbeträgen (§ 40 HinSchG). Gegen juristische Personen ist die Verzehnfachung nach § 30 Abs. 2 Satz 3 OWiG möglich — für die fehlende interne Meldestelle ordnet § 40 Abs. 6 Satz 2 HinSchG sie jedoch ausdrücklich nicht an. Die folgenden Beträge sind die gesetzlichen Höchstbeträge; die österreichischen Strafrahmen nennt Abschnitt 7.

Die Verfolgungsverjährung knüpft an die angedrohte Höchstbuße an: drei Jahre bei den mit mehr als 15.000 Euro bedrohten Tatbeständen, also den 50.000-Euro- und den 20.000-Euro-Fällen (§ 31 Abs. 2 Nr. 1 OWiG), und zwei Jahre beim fahrlässigen Vertraulichkeitsverstoß mit einer Höchstbuße von 10.000 Euro (§ 31 Abs. 2 Nr. 2 OWiG). Für Verfolgung und Ahndung ist seit dem 15. April 2025 das Bundesamt für Justiz zuständig, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt (§ 1 HinSchGOWiZustV, BGBl. 2025 I Nr. 111); außerhalb dieses Geschäftsbereichs bleibt es bei den allgemeinen Zuständigkeitsregeln. Praxisempfehlung: Aufbewahrungs- und Löschkonzepte an der Drei-Jahres-Marke ausrichten — sie deckt die längere Verjährung ebenso wie die Löschfrist von drei Jahren nach Abschluss des Verfahrens (§ 11 Abs. 5 HinSchG).