HinSchG für arbeitsmedizinische Dienste: Pflichten, Fristen und digitale Umsetzung

Will Daniel · 01 Aug. 2026

Das Hinweisgeberschutzgesetz (HinSchG) hat seit seiner Einführung viele Organisationen vor neue Fragen gestellt. Für arbeitsmedizinische Dienste gilt das in besonderem Maß: Sie bewegen sich täglich an der Schnittstelle zwischen Gesundheitsschutz, Datenschutz und Arbeitsrecht. Wer hier Meldewege nicht korrekt einrichtet, riskiert nicht nur Bußgelder, sondern auch Vertrauensverluste bei Kundenunternehmen. Dieser Artikel erklärt, was das HinSchG konkret bedeutet, welche Pflichten daraus entstehen und wie Sie die Anforderungen Schritt für Schritt digital umsetzen.

Was ist das HinSchG und wen betrifft es?

Das Hinweisgeberschutzgesetz setzt die europäische Whistleblower-Richtlinie (EU 2019/1937) in deutsches Recht um. Es schützt Personen, die Verstöße gegen geltendes Recht in ihrem beruflichen Umfeld melden, vor Repressalien. Arbeitgeber und bestimmte Organisationen sind im Gegenzug verpflichtet, sichere Meldekanäle bereitzustellen.

Das Gesetz gilt für alle Arbeitgeber mit mindestens 50 Mitarbeitenden. Für Organisationen mit 250 oder mehr Beschäftigten bestand die Pflicht zur Einrichtung einer internen Meldestelle bereits seit dem Inkrafttreten des Gesetzes im Juli 2023. Kleinere Einheiten mit 50 bis 249 Beschäftigten erhielten eine Übergangsfrist bis Dezember 2023.

Für arbeitsmedizinische Dienste ist die Frage der Betroffenheit nicht immer auf den ersten Blick klar. Ein AMD, der als eigenständige Organisation mit entsprechender Mitarbeiterzahl agiert, fällt direkt unter das Gesetz. Gleichzeitig betreuen AMDs Kundenunternehmen, die ihrerseits eigene Meldepflichten haben. Beide Rollen müssen klar voneinander getrennt betrachtet werden.

Welche Pflichten entstehen für arbeitsmedizinische Dienste konkret?

Sobald ein AMD unter den Anwendungsbereich des HinSchG fällt, entstehen mehrere konkrete Handlungspflichten. Diese lassen sich in drei Kernbereiche gliedern:

Einrichtung einer internen Meldestelle: Der AMD muss einen sicheren Kanal bereitstellen, über den Beschäftigte Hinweise auf Rechtsverstöße anonym oder namentlich einreichen können. Das kann eine dedizierte Person, ein Team oder ein digitales System sein.
Vertraulichkeit und Datenschutz: Die Identität hinweisgebender Personen muss geschützt werden. Das gilt auch für Personen, die in einer Meldung erwähnt werden. Hier überschneidet sich das HinSchG direkt mit der DSGVO.
Rückmeldepflichten: Nach Eingang einer Meldung muss innerhalb von sieben Tagen eine Eingangsbestätigung erfolgen. Innerhalb von drei Monaten ist eine Rückmeldung über ergriffene Maßnahmen erforderlich.
Dokumentation: Alle Meldungen und die daraufhin eingeleiteten Schritte müssen nachvollziehbar dokumentiert werden, jedoch unter strikter Wahrung der Vertraulichkeit.

Für AMDs mit überbetrieblicher Struktur kommt eine weitere Herausforderung hinzu: Die Meldestelle muss organisatorisch so aufgestellt sein, dass Hinweise aus verschiedenen Mandanten oder Kundenunternehmen nicht vermischt werden. Das erfordert klare interne Prozesse und gegebenenfalls eine technische Trennung.

Fristen und Sanktionen: Was droht bei Verstößen?

Das HinSchG sieht bei Verstößen empfindliche Bußgelder vor. Wer keine interne Meldestelle einrichtet, obwohl er dazu verpflichtet ist, riskiert ein Bußgeld von bis zu 20.000 Euro. Wer aktiv Repressalien gegen Hinweisgebende unternimmt oder deren Identität unbefugt offenlegt, muss mit Bußgeldern von bis zu 50.000 Euro rechnen.

Darüber hinaus gilt: Hinweisgebende Personen genießen im Streitfall eine Beweislastumkehr. Das bedeutet, wenn ein Beschäftigter nach einer Meldung benachteiligt wird, muss der Arbeitgeber nachweisen, dass die Benachteiligung nichts mit der Meldung zu tun hatte. Das ist in der Praxis schwer zu belegen und macht präventives Handeln umso wichtiger.

Für arbeitsmedizinische Dienste, die Kundenunternehmen beraten, ergibt sich hier auch eine beratende Verantwortung: Wer Betriebe in Fragen des Gesundheitsschutzes unterstützt, wird zunehmend auch auf Compliance-Themen wie das HinSchG angesprochen. Wer die eigenen Pflichten kennt, kann Kundenunternehmen auch fundiert begleiten.

Digitale Meldestellen: Anforderungen und Auswahlkriterien

Eine digitale Meldestelle ist nicht zwingend vorgeschrieben, hat sich aber in der Praxis als zuverlässigste Lösung etabliert. Sie ermöglicht anonyme Kommunikation, automatische Fristüberwachung und revisionssichere Dokumentation. Wer auf papierbasierte oder rein telefonische Lösungen setzt, hat deutlich mehr manuellen Aufwand und ein höheres Fehlerrisiko.

Bei der Auswahl einer digitalen Meldestelle sollten folgende Kriterien geprüft werden:

Anonymität: Das System muss echte Anonymität gewährleisten, also keine IP-Adressen oder Metadaten speichern, die Rückschlüsse auf die meldende Person zulassen.
DSGVO-Konformität: Die Datenspeicherung muss auf Servern innerhalb der EU erfolgen. Auftragsverarbeitungsverträge müssen vorliegen.
Fristmanagement: Das System sollte automatisch Fristen für Eingangsbestätigung und Rückmeldung tracken und erinnern.
Zugriffskontrolle: Nur autorisierte Personen dürfen Meldungen einsehen. Für AMDs mit Mandantenstruktur ist eine klare Rollentrennung wichtig.
Revisionssicherheit: Alle Aktivitäten im System müssen protokolliert werden, ohne dass Inhalte nachträglich verändert werden können.

Viele Anbieter am Markt bieten spezialisierte Whistleblower-Software an. Alternativ lässt sich eine Meldestelle auch über einen externen Ombudsmann oder eine Anwaltskanzlei organisieren, was für kleinere AMDs eine pragmatische Option sein kann.

HinSchG in der Praxis umsetzen: Schritt für Schritt

Aufbauend auf den bisher erklärten Grundlagen lässt sich die praktische Umsetzung des HinSchG in einem strukturierten Prozess angehen. Das Ziel ist nicht Perfektion auf Anhieb, sondern ein funktionsfähiges, rechtssicheres System, das im Alltag tatsächlich genutzt wird.

Bestandsaufnahme: Prüfen Sie zunächst, ob Ihr AMD unter das Gesetz fällt. Zählen Sie alle Beschäftigten, einschließlich Teilzeitkräfte und befristet Angestellte, da das Gesetz auf die Gesamtzahl abstellt.
Verantwortliche benennen: Bestimmen Sie eine interne Person oder ein Team als Meldestelle. Diese Person muss unabhängig agieren können und darf nicht in Interessenkonflikte geraten. Alternativ kann eine externe Stelle beauftragt werden.
Meldekanal einrichten: Wählen Sie ein geeignetes System, digital oder organisatorisch, das die oben genannten Anforderungen erfüllt. Testen Sie es vor dem Go-live auf Funktionsfähigkeit und Anonymität.
Interne Kommunikation: Informieren Sie alle Beschäftigten über die Existenz der Meldestelle, den Ablauf und den Schutz, den das Gesetz bietet. Nur eine bekannte Meldestelle wird auch genutzt.
Prozesse dokumentieren: Legen Sie schriftlich fest, wie mit eingehenden Meldungen umgegangen wird: Wer prüft, wer entscheidet, wer kommuniziert. Das schützt auch die verantwortlichen Personen.
Regelmäßige Überprüfung: Das HinSchG ist kein einmaliges Projekt. Überprüfen Sie jährlich, ob Prozesse noch funktionieren, ob Zuständigkeiten aktuell sind und ob neue gesetzliche Anforderungen berücksichtigt werden müssen.

Ein häufiger Fehler in der Praxis ist, die Meldestelle einzurichten und dann nicht mehr aktiv zu kommunizieren. Beschäftigte, die nicht wissen, dass ein sicherer Kanal existiert, werden ihn nicht nutzen. Die Meldestelle entfaltet ihren Schutzeffekt nur dann, wenn sie bekannt und zugänglich ist.

Wie Vertinex bei der digitalen Umsetzung des HinSchG unterstützt

Compliance-Anforderungen wie das HinSchG treffen arbeitsmedizinische Dienste oft dann, wenn der Alltag ohnehin schon voll ist. Wir verstehen das, weil wir seit über zwei Jahrzehnten spezialisierte Software für genau dieses Umfeld entwickeln.

Mit unserer Arbeitsmedizin-Software Fabiola von Vertinex unterstützen wir AMDs dabei, digitale Prozesse rechtssicher und effizient zu gestalten. Was das konkret bedeutet:

Datenschutzkonforme Dokumentation nach DSGVO-Standard, die auch für sensible Meldeprozesse die nötige Sicherheitsgrundlage bietet
Mandantentrennung für überbetriebliche Dienste, sodass Daten verschiedener Kundenunternehmen sauber voneinander getrennt bleiben
Automatisierte Fristüberwachung und Wiedervorlagen, die auch im Kontext von Compliance-Prozessen zuverlässig funktionieren
Modularer Aufbau, der sich an die tatsächliche Größe und Struktur Ihres AMD anpassen lässt
ISO 27001-zertifizierte Informationssicherheit als Basis für alle digitalen Prozesse

Wenn Sie konkrete Fragen zur digitalen Umsetzung haben oder wissen möchten, wie unsere Software in Ihre bestehenden Abläufe passt, stehen wir gerne für ein Beratungsgespräch zur Verfügung.