Hinweisgeberschutzgesetz (HinSchG) für Unternehmen: Pflichten, Fristen & Umsetzung

Was ist das Hinweisgeberschutzgesetz?

Wer wird durch das Gesetz geschützt?

Welche Verstöße können gemeldet werden?

Welche Unternehmen sind betroffen?

Fristen im Überblick

Pflichten der Geschäftsführung

Interne oder externe Meldestelle?

Sind anonyme Meldungen Pflicht?

Schutz vor Repressalien

Vertraulichkeit und Datenschutz

Bußgelder und Haftung

Wie läuft eine Meldung ab?

Umsetzung in der Praxis

Häufige Fehler bei der Umsetzung

Häufige Fragen

Das Hinweisgeberschutzgesetz schafft erstmals einen einheitlichen rechtlichen Rahmen, um Menschen zu schützen, die im beruflichen Kontext Missstände melden. Hintergrund ist die EU-Richtlinie 2019/1937, die alle Mitgliedstaaten verpflichtet hat, nationale Schutzregelungen einzuführen. Deutschland hat diese Vorgaben mit dem HinSchG umgesetzt.

Der Grundgedanke ist einfach: Wer auf Korruption, Betrug, Datenschutzverstöße oder andere Rechtsbrüche hinweist, handelt im Interesse der Allgemeinheit – und darf dafür nicht bestraft werden. Gleichzeitig profitieren Unternehmen davon, Missstände früh und intern zu erfahren, bevor sie zu Schäden, Skandalen oder Ermittlungen führen.

Das Gesetz verlangt dafür im Kern zweierlei: Erstens müssen betroffene Organisationen einen sicheren, vertraulichen Meldekanal bereitstellen. Zweitens dürfen Hinweisgeber für eine in gutem Glauben abgegebene Meldung nicht benachteiligt werden.

Der geschützte Personenkreis ist bewusst weit gefasst. Geschützt ist nicht nur die Stammbelegschaft, sondern jede Person, die im beruflichen Zusammenhang Kenntnis von Verstößen erlangt. Dazu zählen:

• Arbeitnehmerinnen und Arbeitnehmer, auch in Teilzeit und befristet
• Auszubildende, Praktikanten und Werkstudierende
• Leiharbeitnehmerinnen und Leiharbeitnehmer
• Selbstständige, Freiberufler und Lieferanten
• Gesellschafter sowie Mitglieder von Geschäfts- und Aufsichtsorganen
• Bewerberinnen und Bewerber, die im Bewerbungsverfahren Informationen erhalten
• bereits ausgeschiedene Beschäftigte
• Personen, die Hinweisgeber unterstützen (z. B. Kolleginnen und Kollegen)

Wichtig: Der Schutz greift, solange die meldende Person zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass die Informationen der Wahrheit entsprechen. Es kommt also nicht darauf an, ob sich ein Verdacht am Ende bestätigt.

Das HinSchG deckt einen breiten, aber nicht unbegrenzten Bereich ab. Meldefähig sind insbesondere:

• Straftaten wie Diebstahl, Betrug, Untreue, Korruption oder Bestechung
• Ordnungswidrigkeiten, soweit sie dem Schutz von Leben, Leib, Gesundheit oder den Rechten von Beschäftigten dienen – etwa Verstöße gegen Arbeitsschutz, Arbeitszeit oder Mindestlohn
• Verstöße gegen Datenschutzrecht (DSGVO)
• Verstöße gegen EU-Recht in zahlreichen Bereichen, z. B. Geldwäsche, Produktsicherheit, Umweltschutz, Verbraucherschutz, Vergaberecht oder Finanzdienstleistungen
• Verhalten, das gegen weitere bußgeldbewehrte Vorschriften verstößt

Rein private Streitigkeiten oder allgemeine Unzufriedenheit fallen dagegen nicht unter den Schutz des Gesetzes. Im Zweifel sollte ein Hinweis aber immer aufgenommen und geprüft werden.

Die Pflicht zur internen Meldestelle richtet sich in erster Linie nach der Beschäftigtenzahl – einige Branchen sind jedoch unabhängig davon verpflichtet:

• Unternehmen ab 50 Beschäftigten müssen eine interne Meldestelle einrichten und betreiben (§ 12 Abs. 1 HinSchG).
• Finanzunternehmen und geldwäscherechtlich verpflichtete Unternehmen sind unabhängig von ihrer Beschäftigtenzahl betroffen.
• Kommunen – insbesondere mit mehr als 10.000 Einwohnern – sowie weitere öffentliche Stellen fallen ebenfalls unter das Gesetz.

Unternehmen mit 50 bis 249 Beschäftigten dürfen ihre Meldestelle gemeinsam mit anderen Unternehmen der Gruppe betreiben oder an einen Dritten auslagern – das senkt den Aufwand erheblich.

Die Umsetzungsfristen sind bereits abgelaufen – betroffene Unternehmen ohne Meldestelle befinden sich seither im rechtswidrigen Zustand:

• Seit 2. Juli 2023: Pflicht für Unternehmen ab 250 Beschäftigten.
• Seit 17. Dezember 2023: Pflicht für Unternehmen mit 50 bis 249 Beschäftigten (zuvor galt eine Übergangsfrist nach § 42 HinSchG).

Daneben gelten für jede einzelne Meldung laufende Bearbeitungsfristen:

• Innerhalb von 7 Tagen muss der Eingang einer Meldung bestätigt werden.
• Innerhalb von 3 Monaten muss die Meldestelle der hinweisgebenden Person eine Rückmeldung über ergriffene oder geplante Folgemaßnahmen geben (§ 17 HinSchG).

Wer diese Fristen versäumt, riskiert nicht nur Unzufriedenheit der Hinweisgeber, sondern auch Bußgelder.

Die Verantwortung für eine funktionierende Meldestelle liegt bei der Unternehmensleitung. Diese Pflichten umfasst der laufende Betrieb:

• Meldestelle einrichten und betreiben. Ab 50 Beschäftigten ist eine interne Meldestelle verpflichtend – betrieben durch eigene fachkundige Mitarbeitende oder einen beauftragten Dritten.
• Zuständige, unabhängige Person benennen. Die Meldestelle muss von einer fachkundigen Person geführt werden, die unabhängig und frei von Interessenkonflikten arbeitet.
• Sichere Meldekanäle bereitstellen. Meldungen müssen mündlich und in Textform möglich sein; auf Wunsch der hinweisgebenden Person auch in einem persönlichen Treffen. Alle Kanäle müssen vor unbefugtem Zugriff geschützt sein.
• Vertraulichkeit wahren. Die Identität der hinweisgebenden Person darf nur mit deren ausdrücklicher Zustimmung offengelegt werden (§ 8 HinSchG).
• Fristen einhalten. Eingangsbestätigung binnen 7 Tagen, Rückmeldung binnen 3 Monaten.
• Vorgänge dokumentieren. Jede Meldung ist datenschutzkonform zu dokumentieren und in der Regel drei Jahre nach Abschluss des Verfahrens zu löschen.
• Hinweisgeber vor Repressalien schützen. Es müssen Strukturen bestehen, die Vergeltungsmaßnahmen verhindern.
• Belegschaft informieren und schulen. Mitarbeitende müssen wissen, dass es die Meldestelle gibt und wie sie genutzt wird; die zuständigen Personen müssen geschult sein.
• Wirksamkeit überprüfen. Die Geschäftsführung muss die Meldestelle regelmäßig kontrollieren. Bei unterlassener Aufsicht drohen Haftungsrisiken nach § 130 OWiG.

Das Gesetz lässt Ihnen die Wahl, wie Sie die Meldestelle betreiben. Beide Wege sind rechtskonform – sie unterscheiden sich in Aufwand, Kontrolle und Kosten.

Beim Outsourcing (externe Meldestelle) übernimmt der Dienstleister den vollständigen Betrieb, während Sie bei der eigenen Plattform (PaaS) die Meldestelle intern durch Ihre eigenen Mitarbeitenden betreiben. Auch die Bearbeitung der Hinweise unterscheidet sich: Im Outsourcing-Modell erfolgt sie durch externe Compliance-Experten, beim PaaS-Modell durch Ihre eigene Compliance-Abteilung.

Entsprechend fällt der interne Aufwand beim Outsourcing minimal aus, während er bei der eigenen Plattform gering bis mittel ist. Bei der Kontrolle über die Daten liegt diese im Outsourcing-Modell beim Dienstleister (selbstverständlich DSGVO-konform), beim PaaS-Modell dagegen vollständig bei Ihnen.

Daraus ergibt sich auch, für wen sich welches Modell eignet: Das Outsourcing ist ideal für Unternehmen ohne eigene Compliance-Struktur, die eigene Plattform (PaaS) für Unternehmen, die bereits über eine interne Compliance verfügen.

Ja, das ist ausdrücklich zulässig. Sie können den Betrieb an einen unabhängigen Dritten – etwa einen spezialisierten Dienstleister oder Ombudsmann – übertragen. Die Pflicht, einen gemeldeten Verstoß tatsächlich abzustellen, bleibt allerdings bei Ihrem Unternehmen (§ 16 Abs. 1 HinSchG).

Meldestellen sollen auch anonym eingehende Meldungen bearbeiten (§ 16 HinSchG). Eine zwingende Pflicht, technische Kanäle für anonyme Meldungen bereitzustellen, besteht zwar nicht – die Bearbeitung anonymer Hinweise ist aber gesetzlich vorgesehen und dringend zu empfehlen.

Der Grund ist praktisch: Die Angst vor Entdeckung ist die größte Hürde für Hinweisgeber. Wer anonyme Meldungen ermöglicht, erhöht die Zahl und Qualität der Hinweise deutlich – und erfährt von Missständen, die sonst unentdeckt blieben. Eine gute digitale Plattform erlaubt dabei sogar einen anonymen Dialog: Rückfragen sind möglich, ohne dass die Identität preisgegeben wird.

Hinweisgeber sind gesetzlich vor jeder Form der Benachteiligung geschützt. Verboten sind insbesondere Kündigung, Abmahnung, Versetzung, Gehaltskürzung, Mobbing oder die Verweigerung einer Beförderung, wenn sie als Reaktion auf eine Meldung erfolgen.

Besonders wichtig ist die Beweislastumkehr (§ 36 HinSchG): Erleidet eine hinweisgebende Person nach einer Meldung eine Benachteiligung, wird vermutet, dass diese eine Repressalie ist. Der Arbeitgeber muss dann nachweisen, dass die Maßnahme nichts mit der Meldung zu tun hatte. Für Unternehmen bedeutet das: Personalentscheidungen rund um Hinweisgeber müssen besonders sorgfältig dokumentiert und begründet sein.

Das Vertraulichkeitsgebot ist das Herzstück des Gesetzes. Die Identität der hinweisgebenden Person, der betroffenen Personen und Dritter muss geschützt werden und darf nur in eng begrenzten Ausnahmefällen offengelegt werden (§ 8 HinSchG).

Gleichzeitig gelten die Vorgaben der DSGVO: Meldungen müssen verschlüsselt übertragen, sicher gespeichert und nach Abschluss des Verfahrens – in der Regel nach drei Jahren – gelöscht werden. Eine professionelle Meldeplattform erfüllt diese Anforderungen technisch von Haus aus, inklusive Hosting in Deutschland und revisionssicherer Dokumentation.

Verstöße gegen das HinSchG sind bußgeldbewehrt (§ 40 HinSchG). Zuständig für Verfolgung und Ahndung ist das Bundesamt für Justiz.

• Bis zu 20.000 €, wenn keine interne Meldestelle eingerichtet oder betrieben wird (§ 40 Abs. 2 Nr. 2 i. V. m. Abs. 6 HinSchG).
• Bis zu 50.000 €, wenn eine Meldung behindert wird, Repressalien gegen Hinweisgeber ergriffen werden oder die Vertraulichkeit vorsätzlich bzw. leichtfertig verletzt wird.
• Für Unternehmen als juristische Personen kann sich die Geldbuße über § 30 OWiG auf das Zehnfache – bis zu 500.000 € – erhöhen.

Hinzu kommt: Das Fehlen einer Meldestelle gilt als Dauerordnungswidrigkeit und kann wiederholt geahndet werden. Geschäftsführung und Meldestellenbeauftragte tragen persönliche Haftungsrisiken, etwa bei verletzter Aufsichtspflicht (§ 130 OWiG). Daneben drohen zivilrechtliche Schadensersatzansprüche benachteiligter Hinweisgeber sowie – oft am teuersten – Reputationsschäden, wenn Missstände öffentlich werden, bevor das Unternehmen sie intern aufklären konnte.

Ein typischer Ablauf in einer rechtskonformen Meldestelle sieht so aus:

1. Eingang der Meldung – schriftlich, mündlich oder anonym über den Meldekanal.
2. Eingangsbestätigung – innerhalb von 7 Tagen an die hinweisgebende Person.
3. Prüfung der Stichhaltigkeit – die Meldestelle bewertet den Hinweis und hält bei Bedarf vertraulich Rücksprache.
4. Folgemaßnahmen – interne Untersuchung, Weiterleitung an zuständige Stellen oder Abschluss des Verfahrens.
5. Rückmeldung – innerhalb von 3 Monaten erhält die hinweisgebende Person eine Information über die ergriffenen Maßnahmen.
6. Dokumentation – der gesamte Vorgang wird datenschutzkonform festgehalten und fristgerecht gelöscht.

Eine rechtssichere Meldestelle ist schneller umgesetzt, als viele Unternehmen annehmen. In drei Schritten sind Sie betriebsbereit:

1. Modell wählen – externe Meldestelle (Outsourcing) oder eigene Plattform (PaaS), passend zu Ihrer Unternehmensgröße und Compliance-Struktur.
2. Einrichtung – Ihr digitaler Meldekanal ist in wenigen Tagen startklar, ohne IT-Projekt.
3. Betrieb – wir unterstützen Sie technisch und inhaltlich, von der Eingangsbestätigung bis zur fristgerechten Rückmeldung.

Als anwaltlich geprüfter Compliance-Partner sorgen wir für eine rechtskonforme, DSGVO-sichere und benutzerfreundliche Umsetzung – mit Hosting in Deutschland und revisionssicherer Dokumentation, bereits ab 29 € pro Monat.

• Gar keine Meldestelle einrichten in der Annahme, „bei uns passiert sowas nicht" – das Fehlen allein ist bereits bußgeldbewehrt.
• Keine anonymen Meldungen zulassen – senkt die Zahl der Hinweise drastisch.
• Fristen nicht im Blick – die 7-Tage- und 3-Monats-Fristen werden ohne System leicht versäumt.
• Vertraulichkeit nicht technisch absichern – einfache E-Mail-Postfächer erfüllen die Anforderungen nicht.
• Belegschaft nicht informieren – eine Meldestelle, die niemand kennt, erfüllt ihren Zweck nicht.
• Personalmaßnahmen gegen Hinweisgeber schlecht dokumentieren – wegen der Beweislastumkehr ein erhebliches Risiko.

Ab welcher Größe braucht mein Unternehmen eine Meldestelle?
Grundsätzlich ab 50 Beschäftigten. Finanzunternehmen, geldwäscherechtlich verpflichtete Unternehmen und Kommunen sind unabhängig von der Beschäftigtenzahl betroffen.

Wie hoch sind die Bußgelder?
Bis zu 20.000 € für eine fehlende Meldestelle, bis zu 50.000 € bei Behinderung, Repressalien oder Vertraulichkeitsverstößen – für Unternehmen über § 30 OWiG bis zu 500.000 €.

Darf ich die Meldestelle auslagern?
Ja. Die Aufgabe darf an einen Dritten übertragen werden. Die Pflicht, gemeldete Verstöße abzustellen, bleibt beim Unternehmen.

Sind anonyme Meldungen Pflicht?
Meldestellen sollen anonyme Meldungen bearbeiten. Eine zwingende technische Pflicht besteht nicht, die Möglichkeit ist aber vorgesehen und dringend empfohlen.

Was kostet eine Meldestelle?
Eine rechtssichere Meldestelle gibt es bei uns ab 29 € pro Monat, gestaffelt nach Unternehmensgröße. Alle Tarife ansehen

Zuletzt aktualisiert: 26.06.26. Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung.