Vertraulichkeit nach § 8 HinSchG: wer die Identität erfahren darf
11. August 2026 · 9 Min. Lesezeit · HinweisPilot RedaktionDas Vertraulichkeitsgebot steht in § 8 HinSchG. Es schützt drei Gruppen: die hinweisgebende Person, sofern die Meldung Verstöße im Anwendungsbereich des Gesetzes betrifft oder sie das mit hinreichendem Grund annehmen durfte, die Personen, die Gegenstand der Meldung sind, und sonstige genannte Personen. Erfahren dürfen die Identität nur die für Entgegennahme und Folgemaßnahmen zuständigen Personen und ihre Unterstützer.
Die häufigste Frage an eine frisch eingerichtete Meldestelle kommt nicht von den Beschäftigten, sondern von der Geschäftsführung: „Erfahre ich, wer das gemeldet hat?“ Die Antwort steht in § 8 HinSchG, und sie lautet in aller Regel nein. Diese Vorschrift wird in Beratungsunterlagen oft mit § 16 HinSchG verwechselt, der etwas ganz anderes regelt. Dieser Beitrag nennt die richtige Fundstelle, zieht die Grenze des geschützten Kreises und zeigt, unter welchen Voraussetzungen § 9 HinSchG eine Weitergabe erlaubt.
Die richtige Fundstelle: § 8, nicht § 16
§ 8 HinSchG trägt die amtliche Überschrift „Vertraulichkeitsgebot“. Er ist die Vorschrift, an der die gesamte Vertraulichkeit hängt.
§ 16 HinSchG heißt „Meldekanäle für interne Meldestellen“ und sagt über die Identität der meldenden Person nichts. Er bleibt die richtige Fundstelle für die Form der Kanäle (Absatz 3), für die Beschränkung des Zugriffs (Absatz 2) und für die Soll-Vorgabe zu anonymen Meldungen (Absatz 1). Beides gehört zusammen, aber es sind zwei Vorschriften mit zwei Aufgaben.
Wer sich in einer Betriebsvereinbarung oder einem Aushang auf § 16 beruft, benennt für das Vertraulichkeitsgebot eine Norm, die es nicht enthält.
Im Streitfall ist das die erste Stelle, an der ein Anwalt ansetzt: Eine Meldestelle, die ihre eigene Rechtsgrundlage falsch zitiert, wirkt nicht so, als habe sie das Verfahren durchdrungen.
Geschützt sind drei Personengruppen, nicht nur die meldende Person
§ 8 Abs. 1 HinSchG schützt die Identität von drei Gruppen, und die zweite wird regelmäßig vergessen:
- die hinweisgebende Person, sofern die gemeldeten Informationen Verstöße betreffen, die in den Anwendungsbereich des HinSchG fallen, oder sie zum Zeitpunkt der Meldung hinreichenden Grund zu dieser Annahme hatte (welche Verstöße das sind, steht in HinSchG-Anwendungsbereich: welche Verstöße zählen),
- die Personen, die Gegenstand einer Meldung sind,
- sonstige in der Meldung genannte Personen.
Nur die erste Gruppe steht unter dieser Bedingung; für die beiden anderen nennt das Gesetz keine. Die zweite Gruppe ist der Grund, warum eine Meldung nicht im Kollegenkreis besprochen wird, auch nicht wohlmeinend. Im Schutzumfang macht § 8 zwischen den drei Gruppen keinen Unterschied; bei den Ausnahmen unterscheidet § 9 aber deutlich, dazu unten mehr. Eine Meldung, die sich als unbegründet erweist, darf keinen Ruf beschädigt haben.
Der Kreis derer, die die Identität erfahren dürfen, ist eng gezogen. Nach § 8 Abs. 1 Satz 2 darf sie ausschließlich den Personen bekannt werden, die für die Entgegennahme von Meldungen oder für das Ergreifen von Folgemaßnahmen zuständig sind, sowie den Personen, die sie bei der Erfüllung dieser Aufgaben unterstützen. Absatz 2 stellt klar, dass das Gebot unabhängig davon gilt, ob die Meldestelle für den Fall überhaupt zuständig ist.
Damit ist die Eingangsfrage beantwortet: Die Geschäftsführung gehört nur dann zum Kreis, wenn sie selbst die Meldestelle führt. Das ist bei kleineren Beschäftigungsgebern eine reale Konstellation und zugleich der Grund, warum die Auslagerung an eine externe Stelle erwogen wird. Die Abwägung steht in Interne oder externe Meldestelle.
Die Ausnahmen des § 9 HinSchG
Vertraulichkeit ist kein absolutes Schweigen. § 9 HinSchG regelt die Ausnahmen, und er ist feiner gebaut, als er auf den ersten Blick wirkt: Er trennt nach Absätzen und vor allem danach, um wessen Identität es geht.
§ 9 Abs. 1 nimmt den Schutz von Personen, die vorsätzlich oder grob fahrlässig unrichtige Informationen über Verstöße melden. Die Schwelle liegt hoch: Ein Irrtum in gutem Glauben reicht nicht.
§ 9 Abs. 2 erlaubt die Weitergabe der Identität der hinweisgebenden Person an die zuständige Stelle in fünf Fällen:
| Anlass | An wen |
|---|---|
| Strafverfahren, auf Verlangen | Strafverfolgungsbehörden |
| Anordnung in einem der Meldung nachfolgenden Verwaltungsverfahren, einschließlich verwaltungsbehördlicher Bußgeldverfahren | die anordnende Stelle |
| Gerichtliche Entscheidung | das Gericht |
| Nur wenn die Bundesanstalt für Finanzdienstleistungsaufsicht selbst als externe Meldestelle nach § 21 handelt | ihre zuständigen Fachabteilungen, bei Vorgängen nach § 109a WpHG zusätzlich die dort genannten Stellen |
| Nur wenn das Bundeskartellamt selbst als externe Meldestelle nach § 22 handelt | seine zuständigen Fachabteilungen, in den Fällen des § 49 Abs. 2 Satz 2 und Abs. 4 sowie § 50d GWB die jeweils zuständige Wettbewerbsbehörde |
Die letzten beiden Zeilen sind für eine betriebliche interne Meldestelle keine Handlungsoption. Das Gesetz räumt sie ausdrücklich nur der BaFin und dem Bundeskartellamt ein, und auch nur, soweit diese selbst als externe Meldestelle nach § 21 oder § 22 HinSchG tätig werden. Für eine interne Meldestelle im Unternehmen bleiben die ersten drei Fälle.
An die Fälle des Absatzes 2 knüpft eine Pflicht, die im Alltag der Meldestelle am wichtigsten ist: Die Meldestelle hat die hinweisgebende Person vorab über die Weitergabe zu informieren, und mit dieser Information sind ihr zugleich die Gründe schriftlich oder elektronisch darzulegen. Die Unterrichtung unterbleibt nur dann, wenn die Strafverfolgungsbehörde, die zuständige Behörde oder das Gericht der Meldestelle mitgeteilt hat, dass die Information die Ermittlungen, Untersuchungen oder Gerichtsverfahren gefährden würde (§ 9 Abs. 2 Satz 3 HinSchG). Eine eigene Einschätzung der Meldestelle genügt dafür nicht.
Über Absatz 2 hinaus erlaubt § 9 Abs. 3 HinSchG die Weitergabe, wenn sie für Folgemaßnahmen erforderlich ist und die hinweisgebende Person zuvor eingewilligt hat. Die Einwilligung muss für jede einzelne Weitergabe gesondert und in Textform vorliegen; eine pauschale Zustimmung zu Beginn des Verfahrens genügt nicht. Das ist der Weg, auf dem eine interne Meldestelle eine Rückfrage im Fachbereich rechtmäßig stellen kann.
Für die Personen, die Gegenstand der Meldung sind, und für sonstige genannte Personen gilt nicht Absatz 2, sondern § 9 Abs. 4 HinSchG. Er zählt acht Gründe auf und ist damit deutlich weiter. Für die interne Meldestelle ist Nummer 2 der wichtigste: Sie darf deren Identität weitergeben, soweit das im Rahmen interner Untersuchungen bei dem jeweiligen Beschäftigungsgeber oder in der jeweiligen Organisationseinheit erforderlich ist. Nummer 3 erlaubt es, soweit es für das Ergreifen von Folgemaßnahmen erforderlich ist. Eine Untersuchung, die den Namen der beschuldigten Person nicht nennen darf, verlangt das Gesetz also nicht.
Was das für den Betrieb der Meldestelle heißt
Das Vertraulichkeitsgebot bricht selten an einer großen Entscheidung. Es bricht an Kleinigkeiten im Ablauf:
- Der Zugriff auf das Postfach Ein geteiltes Funktionspostfach, auf das die halbe Verwaltung zugreifen kann, hebelt § 8 aus. § 16 Abs. 2 HinSchG verlangt die Beschränkung des Zugriffs nicht ohne Grund.
- Die Erinnerungsmail Eine Fristenerinnerung, die den Meldungstext mitschickt, trägt die Inhalte aus der Meldestelle heraus. Eine Erinnerung braucht ein Aktenzeichen und ein Datum, nicht den Sachverhalt.
- Die Rückfrage im Fachbereich „Ist bei euch etwas mit den Abrechnungen im März?“ ist bereits eine Angabe, aus der sich die Person erschließen lässt, wenn nur drei Leute die Abrechnungen machen. Wer den Fachbereich wirklich braucht, geht den Weg des § 9 Abs. 3 HinSchG: Einwilligung in Textform, gesondert für diese eine Weitergabe.
- Die interne Notiz Arbeitsnotizen zur Bewertung sind kein Bestandteil der Akte, den jemand außerhalb der Meldestelle sehen sollte. Sie verlassen sie nicht.
Der Bußgeldrahmen unterstreicht das Gewicht: Nach § 40 HinSchG reicht er bis 50.000 € bei einer vorsätzlichen oder leichtfertigen Verletzung der Vertraulichkeit, bei Behinderung einer Meldung und bei Repressalien. Eine fahrlässige Verletzung der Vertraulichkeit ist mit bis zu 10.000 € bewehrt, eine fehlende interne Meldestelle mit bis zu 20.000 €. Das sind Höchstbeträge, keine Regelbußen. Die Fehler, die dorthin führen, stehen in Interne Meldestelle: Fehler und Bußgelder nach § 40 HinSchG, das Repressalienverbot in Repressalienverbot § 36 HinSchG.
HinweisPilot ist auf diese Trennung gebaut: Die Fristenwächter mailen an die Meldestelle, und keine dieser Mails enthält den Meldungstext. Interne Notizen bleiben in der Meldestelle. Der anonyme Kanal läuft über einen Zugangscode statt über eine Mailadresse, damit auch der Rückkanal keine Identität preisgibt; wie sich ein solcher Fall bearbeiten lässt, steht in Anonyme Meldung bearbeiten.
Häufige Fragen
Wo steht das Vertraulichkeitsgebot im HinSchG?
In § 8 HinSchG, amtliche Überschrift „Vertraulichkeitsgebot“. Häufig wird stattdessen § 16 HinSchG zitiert; der trägt die Überschrift „Meldekanäle für interne Meldestellen“ und regelt Kanalform, Zugriffsbeschränkung und die Soll-Vorgabe zu anonymen Meldungen, nicht die Identität.
Darf die Geschäftsführung erfahren, wer gemeldet hat?
Nur, wenn sie selbst zu den Personen gehört, die für die Entgegennahme der Meldung oder für Folgemaßnahmen zuständig sind, oder diese unterstützt. § 8 HinSchG zieht den Kreis genau so eng. Bei kleineren Beschäftigungsgebern ist das ein realer Grund, die Meldestelle auszulagern.
Wann darf die Identität der hinweisgebenden Person weitergegeben werden?
§ 9 Abs. 2 HinSchG nennt fünf Fälle: in Strafverfahren auf Verlangen der Strafverfolgungsbehörden, aufgrund einer Anordnung in einem nachfolgenden Verwaltungsverfahren einschließlich verwaltungsbehördlicher Bußgeldverfahren, aufgrund gerichtlicher Entscheidung sowie zwei Fälle, die allein die Bundesanstalt für Finanzdienstleistungsaufsicht und das Bundeskartellamt betreffen, wenn diese selbst als externe Meldestelle nach § 21 oder § 22 handeln. Für eine betriebliche interne Meldestelle bleiben die ersten drei. Daneben erlaubt § 9 Abs. 3 die Weitergabe, wenn sie für Folgemaßnahmen erforderlich ist und die hinweisgebende Person zuvor gesondert und in Textform eingewilligt hat. Die Meldestelle muss vorab informieren und dabei die Gründe schriftlich oder elektronisch darlegen; davon ist nur abzusehen, wenn die Strafverfolgungsbehörde, die zuständige Behörde oder das Gericht ihr mitgeteilt hat, dass die Information die Ermittlungen, Untersuchungen oder Gerichtsverfahren gefährden würde.
Gilt die Vertraulichkeit auch für die beschuldigte Person?
Ja. § 8 HinSchG schützt die Identität der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, und sonstiger in der Meldung genannter Personen gleichermaßen. Bei den Ausnahmen unterscheidet das Gesetz aber: Für beschuldigte und sonstige genannte Personen gilt nicht § 9 Abs. 2, sondern § 9 Abs. 4 HinSchG mit acht Weitergabegründen. Die interne Meldestelle darf ihre Identität unter anderem weitergeben, soweit das im Rahmen interner Untersuchungen bei dem Beschäftigungsgeber erforderlich ist oder für das Ergreifen von Folgemaßnahmen gebraucht wird. Eine Meldung, die sich als unbegründet erweist, darf trotzdem keinen Ruf beschädigt haben.
Muss die Meldestelle vor einer Weitergabe immer informieren?
Ja, in den Fällen des § 9 Abs. 2 HinSchG ist die hinweisgebende Person vorab zu informieren, und mit der Information sind ihr zugleich die Gründe schriftlich oder elektronisch darzulegen. Davon ist nur abzusehen, wenn die Strafverfolgungsbehörde, die zuständige Behörde oder das Gericht der Meldestelle mitgeteilt hat, dass die Information die Ermittlungen, Untersuchungen oder Gerichtsverfahren gefährden würde. Eine eigene Vermutung der Meldestelle trägt das nicht.
Was kostet eine Verletzung der Vertraulichkeit?
§ 40 HinSchG sieht für eine vorsätzliche oder leichtfertige Verletzung der Vertraulichkeit einen Bußgeldrahmen bis 50.000 Euro vor, ebenso für die Behinderung einer Meldung und für Repressalien. Eine fahrlässige Verletzung ist mit bis zu 10.000 Euro bewehrt, eine fehlende interne Meldestelle mit bis zu 20.000 Euro. Es handelt sich in allen Fällen um Höchstbeträge und nicht um Regelbußen.
Das Wichtigste in Kürze
Das Vertraulichkeitsgebot steht in § 8 HinSchG. Es schützt drei Gruppen: die hinweisgebende Person, sofern die Meldung Verstöße im Anwendungsbereich des Gesetzes betrifft oder sie das mit hinreichendem Grund annehmen durfte, die Personen, die Gegenstand der Meldung sind, und sonstige genannte Personen. Erfahren dürfen die Identität nur die für Entgegennahme und Folgemaßnahmen zuständigen Personen und ihre Unterstützer.
§ 9 HinSchG regelt die Ausnahmen und trennt dabei nach Personengruppen. Für die hinweisgebende Person nennt Absatz 2 fünf Fälle, von denen eine interne Meldestelle nur Strafverfahren, nachfolgendes Verwaltungsverfahren und gerichtliche Entscheidung erreichen kann; Absatz 3 erlaubt die Weitergabe für Folgemaßnahmen mit gesonderter Einwilligung in Textform. Für beschuldigte und sonstige genannte Personen gilt Absatz 4 mit acht Gründen, darunter die interne Untersuchung. In den Fällen des Absatzes 2 ist die hinweisgebende Person vorab zu unterrichten, es sei denn, Behörde oder Gericht haben eine Gefährdung mitgeteilt; Absatz 4 kennt keine solche Pflicht.
Im Alltag bricht die Vertraulichkeit an Zugriffsrechten, Erinnerungsmails, Rückfragen im Fachbereich und internen Notizen. § 40 HinSchG stellt eine vorsätzliche oder leichtfertige Verletzung mit bis zu 50.000 Euro unter Bußgeld, als Höchstbetrag.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Ausgestaltung der internen Meldestelle im Einzelfall bleibt Aufgabe des Beschäftigungsgebers – wenden Sie sich dafür an fachkundige Beratung.