HinSchG vs. internationale Whistleblower-Gesetze

Zum Umfang dieses Vergleichs: Schwerpunkt sind die Richtlinie (EU) 2019/1937 und ihre Umsetzungen in Deutschland (HinSchG) und Österreich (HSchG) — mit Fundstellen, Fristen und Betriebsparametern. Das Vereinigte Königreich und die USA werden eingeordnet, nicht vollständig dargestellt; die Schweiz ist nicht Gegenstand dieses Vergleichs.

Hauptartikel: HinSchG: Interne Meldestelle einrichten — Pflicht ab 50 Beschäftigten, Meldekanäle, Verfahrensfristen, Vertraulichkeit, Repressalienschutz und DSGVO-Pflichten der Meldestelle.

1. EU-Richtlinie 2019/1937

Die Richtlinie (EU) 2019/1937 ist ein Mindeststandard, den Deutschland und Österreich unterschiedlich ausfüllen: Deutschland geht beim sachlichen Anwendungsbereich (§ 2 Abs. 1 HinSchG) und beim Beweisrecht (§ 36 Abs. 2 HinSchG) über die Richtlinie hinaus (Abschnitt 2); strenger als das deutsche Recht ist Österreich bei der Aufbewahrungsdauer (fünf Jahre, § 8 Abs. 11 HSchG) und bei der ausdrücklichen Entschädigung für die persönliche Beeinträchtigung (§ 20 Abs. 1 letzter Satz und Abs. 2 HSchG) — beim Anwendungsbereich und beim Beweismaß bleibt Österreich dagegen hinter dem deutschen Recht zurück (Abschnitt 3). Bei den Kernpflichten laufen beide Umsetzungen weitgehend parallel. Verbindlich vorgegeben sind interne Meldekanäle in juristischen Personen des privaten Sektors ab 50 Arbeitnehmern (Art. 8 Abs. 1 und Abs. 3), eine Eingangsbestätigung binnen sieben Tagen (Art. 9 Abs. 1 Buchst. b), eine Rückmeldung binnen höchstens drei Monaten (Art. 9 Abs. 1 Buchst. f), der Schutz der Identität der hinweisgebenden Person (Art. 16 Abs. 1) sowie ein Verbot jeder Form von Repressalien einschließlich Androhung und Versuch (Art. 19). Wie weit ein Mitgliedstaat darüber hinausgeht, bleibt ihm überlassen.

Anonyme Meldekanäle sind weder in Deutschland noch in Österreich verpflichtend: Weder die EU-Richtlinie noch das deutsche HinSchG verlangen sie. Nach § 16 Abs. 1 Satz 4 und 5 HinSchG (interne Meldestelle) und § 27 Abs. 1 Satz 3 und 4 HinSchG (externe Meldestelle) „sollte“ die Meldestelle auch anonym eingehende Meldungen bearbeiten — „es besteht allerdings keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen“. Verbreiteter Irrtum: Der vielfach zitierte Stichtag 01.01.2025 für anonyme Meldekanäle stammt aus einem früheren Gesetzentwurf, der nicht Gesetz geworden ist — weder das HinSchG noch seine Übergangsvorschrift § 42 HinSchG enthalten ihn.

Drei Vorgaben der Richtlinie werden in Konzernprojekten regelmäßig übersehen. Erstens die Meldewege: Hinweisgebende Personen können extern melden, nachdem sie zuerst intern gemeldet haben, oder direkt extern (Art. 10); in Deutschland weist § 7 Abs. 1 HinSchG dieses Wahlrecht ausdrücklich der hinweisgebenden Person zu, in Österreich schützt § 6 Abs. 1 HSchG Hinweise an interne wie an externe Stellen gleichermaßen. Zweitens der Schadensersatz: Für Schäden geschützter Personen ist nach Maßgabe des nationalen Rechts vollständiger Schadensersatz zu leisten (Art. 21 Abs. 8). Drittens die Unverzichtbarkeit: Die Rechte aus der Richtlinie können nicht durch Vereinbarung, Regelung oder Beschäftigungsbedingung — einschließlich einer Schiedsvereinbarung vor Entstehen der Streitigkeit — ausgeschlossen oder eingeschränkt werden (Art. 24); in Deutschland setzt § 39 HinSchG das um.

2. Deutschland: Wo das HinSchG über den EU-Mindeststandard hinausgeht

Das HinSchG geht vor allem im sachlichen Anwendungsbereich und beim Beweisrecht über die Richtlinie hinaus. Nach § 2 Abs. 1 Nr. 1 bis 3 HinSchG gilt das Gesetz für Meldungen und Offenlegungen über strafbewehrte Verstöße, über bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient, sowie über sonstige Verstöße gegen zahlreiche aufgezählte Bundes-, Landes- und EU-Rechtsvorschriften. Die Richtlinie selbst erfasst dagegen nur die in ihrem Anhang genannten Unionsrechtsbereiche sowie Verstöße gegen die finanziellen Interessen der Union und gegen Binnenmarktvorschriften einschließlich Wettbewerbs- und Beihilferecht (Art. 2 Abs. 1).

Beim Repressalienschutz kehrt § 36 Abs. 2 HinSchG die Beweislast vollständig um: Erleidet eine hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit und macht sie geltend, diese infolge einer Meldung oder Offenlegung erlitten zu haben, wird vermutet, dass die Benachteiligung eine Repressalie ist — dann muss der Benachteiligende beweisen, dass sie auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte. Der österreichische Standard bleibt mit der Glaubhaftmachung nach § 23 HSchG dahinter zurück.

Nicht jede HinSchG-Regel geht über die Richtlinie hinaus — zwei Punkte werden in Umsetzungsprojekten dennoch regelmäßig falsch verstanden. Erstens die Meldekanäle: § 16 Abs. 3 Satz 1 HinSchG verlangt, dass interne Meldekanäle Meldungen „in mündlicher oder in Textform“ ermöglichen — insoweit besteht ein Wahlrecht des Beschäftigungsgebers, beide Formen sind nicht zwingend parallel vorzuhalten. Wird der mündliche Kanal gewählt, muss er per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein (Satz 2). Zwingend hinzu kommt allein die persönliche Zusammenkunft auf Ersuchen der hinweisgebenden Person innerhalb angemessener Zeit (Satz 3; mit deren Einwilligung auch per Bild- und Tonübertragung, Satz 4). Drei parallele Kanäle sind verbreitete Best Practice und senken das Streitrisiko, sind aber keine gesetzliche Pflicht.

Zweitens der Schutz der Gegenseite: Nach § 38 HinSchG ist die hinweisgebende Person zum Ersatz des Schadens verpflichtet, der aus einer vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen entstanden ist; in diesen Fällen entfällt zudem der Schutz der Identität (§ 9 Abs. 1 HinSchG). Umgekehrt kann die hinweisgebende Person für die Beschaffung der gemeldeten Informationen nicht verantwortlich gemacht werden, sofern die Beschaffung nicht als solche eine eigenständige Straftat darstellt (§ 35 HinSchG).

3. Österreich HinweisgeberInnenschutzgesetz (HSchG) 2023

Das österreichische HSchG setzt dieselbe Richtlinie um, weicht aber unter anderem in vier Punkten spürbar vom deutschen HinSchG ab: engerer sachlicher Anwendungsbereich, andere externe Stelle, schwächerer Beweisstandard und niedrigerer Strafrahmen (Beträge und Zuständigkeit in Abschnitt 4). Die Kernpflichten laufen dagegen parallel — die Fundstellen im Einzelnen zeigt die Vergleichstabelle in Abschnitt 1.

Anwendungsbereich: § 3 Abs. 3 i. V. m. Abs. 4 und 5 HSchG erfasst Hinweise auf Verletzungen in den EU-Bereichen — öffentliches Auftragswesen, Finanzdienstleistungen und Geldwäscheverhinderung, Produktsicherheit, Verkehrssicherheit, Umweltschutz, Strahlenschutz, Lebensmittel- und Futtermittelsicherheit, öffentliche Gesundheit, Verbraucherschutz, Datenschutz — zuzüglich der Korruptionsdelikte nach §§ 302 bis 309 StGB. Sämtliche Straftaten wie im deutschen Recht sind damit nicht abgedeckt. Praktische Folge für Konzerne: Eine Meldung, die in Deutschland unter § 2 HinSchG fällt, kann in Österreich außerhalb des HSchG liegen — das Fallbearbeitungs-Playbook braucht deshalb eine Zuordnungsprüfung je Rechtsraum (Ablauf in Abschnitt 5).

Externe Stelle und Fristen: Zuständig ist das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (BAK) für alle Hinweise auf Rechtsverletzungen bei Rechtsträgern des privaten oder öffentlichen Sektors (§ 15 Abs. 1 HSchG); sektorale Sonderzuständigkeiten gehen vor, unter anderem Finanzmarktaufsicht (FMA), Bundeswettbewerbsbehörde und Abschlussprüferaufsichtsbehörde (§ 15 Abs. 2 HSchG). Die externe Stelle bestätigt den Eingang binnen sieben Kalendertagen (§ 9 Abs. 1 HSchG) und gibt spätestens drei Monate, in hinreichend begründeten Fällen spätestens sechs Monate nach Einlangen bekannt, zu welchen Ergebnissen sie gelangt ist (§ 17 Abs. 6 HSchG).

Beweisstandard: Beim Nachweis einer Vergeltung genügt in Österreich die Glaubhaftmachung — eine Vergeltung ist nicht anzunehmen, wenn eine höhere Wahrscheinlichkeit für ein anderes Motiv spricht, das die handelnde Person ihrerseits glaubhaft zu machen hat (§ 23 HSchG). Die Rechtsfolgen regelt § 20 HSchG: Vergeltungsmaßnahmen sind rechtsunwirksam, ausdrücklich genannt sind Suspendierung, Kündigung, Herabstufung, Versagung einer Beförderung, Aufgabenverlagerung, Entgeltminderung, Disziplinarmaßnahmen und der Entzug einer Lizenz (§ 20 Abs. 1 HSchG). Wer eine Vergeltungsmaßnahme zu verantworten hat, schuldet Wiederherstellung des rechtmäßigen Zustandes, Ersatz des Vermögensschadens und eine Entschädigung für die erlittene persönliche Beeinträchtigung (§ 20 Abs. 1 letzter Satz und Abs. 2 HSchG) — anders als § 37 HinSchG kennt Österreich damit einen ausdrücklichen immateriellen Entschädigungsanspruch.

4. Sanktionen und Bußgeld-Zuständigkeit in Deutschland und Österreich

Der deutsche Bußgeldrahmen ist nach Tatbeständen gestaffelt (bis 500.000 EUR) und wird — im Rahmen der HinSchGOWiZustV, siehe unten — vom Bundesamt für Justiz verfolgt, der österreichische ist einheitlich (bis 40.000 EUR) und liegt bei der Bezirksverwaltungsbehörde. In Deutschland reicht die Geldbuße je nach Verstoß von 10.000 bis 50.000 EUR gegen natürliche Personen; für juristische Personen ist über § 30 Abs. 2 Satz 3 OWiG eine Verzehnfachung möglich — bis 500.000 EUR. Ausgenommen ist der Tatbestand der fehlenden internen Meldestelle: Für ihn ordnet § 40 Abs. 6 Satz 2 HinSchG die Verzehnfachung nicht an, dort bleibt es bei 20.000 EUR.

Die Tabelle zeigt drei praxisrelevante Tatbestände des § 40 HinSchG im Überblick; die Aufzählung ist nicht abschließend.

Österreich: Wer eine geschützte Person bei einer Hinweisgebung behindert oder unter Druck setzt, eine Vergeltungsmaßnahme setzt, die Vertraulichkeit nach §§ 7 oder 17 Abs. 1 HSchG verletzt oder wissentlich einen falschen Hinweis gibt, begeht eine Verwaltungsübertretung und ist von der Bezirksverwaltungsbehörde mit Geldstrafe bis zu 20.000 EUR, im Wiederholungsfall bis zu 40.000 EUR zu bestrafen (§ 24 HSchG). Einen gesonderten höheren Satz für juristische Personen wie in Deutschland sieht das HSchG nicht vor.

Zuständigkeit in Deutschland: Die Hinweisgeberschutzgesetz-Ordnungswidrigkeiten-Zuständigkeitsverordnung (HinSchGOWiZustV) vom 9. April 2025 wurde im BGBl. 2025 I Nr. 111 verkündet (ausgegeben am 14. April 2025) und ist seit dem 15. April 2025 in Kraft. § 1 HinSchGOWiZustV überträgt die Verfolgung und Ahndung von Ordnungswidrigkeiten nach § 40 HinSchG auf das Bundesamt für Justiz — allerdings nur, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt; außerhalb dieses Geschäftsbereichs bleibt es bei den allgemeinen Zuständigkeitsregeln. In Österreich verhängt die Bezirksverwaltungsbehörde die Strafe (§ 24 HSchG); eine Entsprechung zur HinSchGOWiZustV gibt es dort nicht.

5. Konzerne mit deutschen und österreichischen Gesellschaften: was je Rechtsraum abweicht

Zwischen DE und AT weichen vier Betriebsparameter gesetzlich ab: Anwendungsbereich, Beweismaß, Aufbewahrungsdauer und Datenschutz-Folgenabschätzung. Eine Konzern-Lösung muss alle Jurisdiktionen abdecken; ein einheitlicher Konzern-Mindeststandard genügt dafür nicht. Rechtlich gilt für jeden Rechtsträger sein nationales Recht: Österreichische Rechtsträger fallen nicht unter das deutsche HinSchG, sondern unter das HSchG. Als konzernweiter Standard bietet sich — als Praxisempfehlung, nicht als gesetzliche Vorgabe — je Einzelvorgabe die strengere Regel an: überwiegend das HinSchG, bei Aufbewahrungsdauer und immaterieller Entschädigung das HSchG. Die Einrichtungspflicht knüpft dabei an den einzelnen Beschäftigungsgeber an — in Deutschland an Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten (§ 12 Abs. 1 Satz 1 i. V. m. Abs. 2 HinSchG), in Österreich an Unternehmen mit 50 oder mehr Arbeitnehmern (§ 3 Abs. 1 i. V. m. § 11 Abs. 1 HSchG).

Auslagerung ist erlaubt, entlastet aber nicht vollständig: § 14 Abs. 1 Satz 1 HinSchG gestattet, die Aufgaben der internen Meldestelle einem Dritten zu übertragen — etwa einer Anwaltskanzlei oder Ombudsperson. Die Pflicht, geeignete Maßnahmen zur Abstellung eines Verstoßes zu ergreifen, bleibt jedoch beim Beschäftigungsgeber selbst (§ 14 Abs. 1 Satz 2 HinSchG). Ein Vertragsverletzungsverfahren der EU-Kommission gegen Deutschland zu dieser Konzern-Auslagerungslösung besteht nicht; das deutsche Verfahren zur Richtlinie (EU) 2019/1937 war INFR(2022)0052 wegen verspäteter Umsetzung und endete mit dem EuGH-Urteil C-149/23 vom 6. März 2025 (Pauschalbetrag 34 Mio. Euro). Stand 17. August 2026: Verfahren am 4. Juni 2026 eingestellt, das HinSchG wurde in § 14 nicht geändert. Praxisempfehlung (keine gesetzliche Vorgabe): Hybridmodell mit eigener Meldestelle je Tochtergesellschaft plus Konzernstelle als Dritter statt reiner Konzern-Auslagerung.

Größe ist nicht das einzige Kriterium: In Deutschland gilt die Pflicht für die in § 12 Abs. 3 HinSchG genannten Beschäftigungsgeber unabhängig von der Zahl der Beschäftigten — dazu zählen unter anderem Wertpapierdienstleistungsunternehmen, Börsenträger, Institute nach KWG und Wertpapierinstitutsgesetz, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen sowie Krypto- und Zahlungsdiensteinstitute. Eine kleine Finanz-Tochter im Konzern kann also zur Einrichtung einer internen Meldestelle verpflichtet sein, obwohl sie die 50er-Schwelle nicht erreicht.

Wie wird gezählt: In Deutschland gilt für die 50er-Schwelle die Köpfe-Zählung, keine Vollzeit-Äquivalente (§ 12 Abs. 1 Satz 1 i. V. m. Abs. 2 HinSchG). Nach der verbreiteten Zählpraxis — keine ausdrückliche gesetzliche Aufzählung — zählen Vollzeit-, Teilzeit- und befristet Beschäftigte, Auszubildende, geringfügig Beschäftigte, Praktikanten sowie Leiharbeitnehmer ab sechs Monaten voll; selbstständige Subunternehmer zählen in der Regel nicht. Für österreichische Rechtsträger ist die Zählweise gesondert zu klären — dieser Artikel wertet dazu keine Quelle aus.

Zwei Betriebsdetails weichen gesetzlich voneinander ab: die Aufbewahrungsdauer der Dokumentation und die Datenschutz-Folgenabschätzung für die Meldestelle — Dauer, Erforderlichkeit und Fundstellen stehen in der folgenden Tabelle.

Praxisempfehlung (keine gesetzliche Vorgabe): Im Fallbearbeitungs-Tool zwei getrennte Datumsfelder führen (Einlangen/Eingang und Bestätigung); die 3-Monats-Uhr für AT-Rechtsträger an das Einlangensdatum hängen, für DE an das Bestätigungsdatum.

Zuordnungsprüfung je Rechtsraum — die vier Schritte, mit denen ein eingehender Hinweis im Fallbearbeitungs-Playbook einem Regime zugeordnet wird (Praxisablauf, keine gesetzliche Vorgabe):

1. Rechtsträger und Sitz der betroffenen Gesellschaft bestimmen — die Einrichtungspflicht knüpft an den einzelnen Beschäftigungsgeber an, nicht an den Konzern. Verantwortlich: interne Meldestelle, am Eingangstag, spätestens vor der Eingangsbestätigung.
2. Sachlichen Anwendungsbereich prüfen: § 2 Abs. 1 HinSchG für deutsche, § 3 Abs. 3 i. V. m. Abs. 4 und 5 HSchG für österreichische Rechtsträger. Verantwortlich: interne Meldestelle, am Eingangstag, spätestens vor der Eingangsbestätigung.
3. Fällt der Sachverhalt bei einer österreichischen Tochter nicht unter § 3 Abs. 3 HSchG, die Behandlung nach interner Richtlinie festlegen. Ob der gesetzliche Schutz greift, ist gesondert zu prüfen: Nach § 6 Abs. 1 HSchG ist geschützt, wer hinreichende Gründe für die Wahrheit des Hinweises und dafür hatte, dass dieser in den Geltungsbereich des Gesetzes fällt. Verantwortlich: interne Meldestelle mit der zuständigen Fachfunktion/Rechtsabteilung.
4. Frist- und Aufbewahrungsregime des jeweiligen Rechtsraums setzen: Rückmeldung nach § 17 Abs. 2 HinSchG beziehungsweise § 13 Abs. 9 HSchG, Aufbewahrung drei Jahre (§ 11 Abs. 5 HinSchG) beziehungsweise fünf Jahre (§ 8 Abs. 11 HSchG). Als Eintrag im Fristenkalender mit Wiedervorlage.

6. UK Public Interest Disclosure Act 1998

Das Vereinigte Königreich schützt Hinweisgeber seit 1998 über den Public Interest Disclosure Act (PIDA) — die älteste der hier verglichenen Whistleblower-Gesetzgebungen. Die Einzelvorschriften des PIDA sind in diesem Artikel nicht ausgewertet; maßgeblich ist der amtliche Volltext (Quellenblock).

7. US Sarbanes-Oxley + Dodd-Frank

Das US-Recht arbeitet mit einem anderen Mechanismus als HinSchG und HSchG: Neben Sarbanes-Oxley (2002) setzt Dodd-Frank (2010) mit dem SEC Whistleblower Program (Dodd-Frank Section 922) auf eine finanzielle Belohnung — Whistleblower können danach 10 bis 30 % der Strafe erhalten. Die Richtlinie (EU) 2019/1937 setzt stattdessen auf das Repressalienverbot (Art. 19) und auf vollständigen Schadensersatz nach Maßgabe des nationalen Rechts (Art. 21 Abs. 8); siehe FAQ. Die Einzelvorschriften von SOX und Dodd-Frank sind in diesem Artikel nicht ausgewertet; maßgeblich ist die amtliche Quelle (Quellenblock).