Das Hinweisgeberschutzgesetz (HinSchG) trat am 2. Juli 2023 in Kraft und setzt die EU-Whistleblower-Richtlinie in deutsches Recht um. Es verpflichtet Beschäftigungsgeber ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle, schützt hinweisgebende Personen vor Repressalien und sieht abgestufte Bußgelder bis zu 50.000 Euro für Unternehmensverantwortliche und über § 30 Abs. 2 Satz 3 OWiG bis zu 500.000 Euro für juristische Personen vor. Mit Ablauf der Übergangsfristen Ende 2023 ist das Gesetz vollständig sanktionsbewehrt — die Aufsichtspraxis hat sich in der Zwischenzeit verfestigt. Wir fassen zusammen, was Beschäftigungsgeber konkret umsetzen müssen, welche Fristen für die Bearbeitung gelten, wo die häufigsten Umsetzungsfehler liegen — und ordnen die immer wieder kursierenden Falschdarstellungen zur angeblichen Pflicht für anonyme Meldungen rechtlich ein.
Hinweisgeberschutzgesetz (HinSchG)
Das Gesetz für einen besseren Schutz hinweisgebender Personen — die deutsche Umsetzung der EU-Whistleblower-Richtlinie (Richtlinie (EU) 2019/1937). Es verpflichtet Beschäftigungsgeber ab in der Regel 50 Beschäftigten, eine interne Meldestelle einzurichten und sie mit einer fachkundigen Person zu besetzen (§§ 12, 14, 15 HinSchG). Es schützt Personen, die Verstöße im sachlichen Anwendungsbereich des § 2 HinSchG melden, vor Repressalien (§§ 33–37 HinSchG). Verstöße werden als Ordnungswidrigkeiten nach § 40 HinSchG mit Bußgeldern von bis zu 50.000 Euro für Unternehmensverantwortliche und über § 30 Abs. 2 Satz 3 OWiG bis zu 500.000 Euro für juristische Personen sanktioniert.
Wer ist betroffen — und seit wann?
Das HinSchG bindet zwei Gruppen: Beschäftigungsgeber des öffentlichen Sektors (Behörden, Anstalten und Körperschaften des öffentlichen Rechts) sowie private Beschäftigungsgeber ab in der Regel 50 Beschäftigten. In bestimmten regulierten Branchen — insbesondere Finanzdienstleister, Wertpapierinstitute, Kapitalverwaltungs-Gesellschaften und Versicherungen — gilt die Pflicht nach § 12 Abs. 3 HinSchG ohne Beschäftigtengrenze. Mit Ablauf der Übergangsfristen Ende 2023 sind alle Pflichten vollständig wirksam; ein Aufschub-Spielraum besteht nicht mehr.
02.07.2023
HinSchG in Kraft — Pflicht für Beschäftigungsgeber ab 250 Beschäftigten sofort wirksam
01.12.2023
Bußgeldvorschriften des § 40 HinSchG voll wirksam — Sanktionen seither verfolgbar
17.12.2023
Pflicht erstreckt sich auf Beschäftigungsgeber von 50 bis 249 Beschäftigten
Quelle: HinSchG vom 31. Mai 2023, BGBl. 2023 I Nr. 140; ergänzt durch HinSchGOWiZustV vom 9. April 2025 (Verfolgungs-Zuständigkeit beim Bundesamt für Justiz).
Was ist eine Meldung im Sinne des HinSchG — und was nicht?
Der sachliche Anwendungsbereich ist in § 2 HinSchG abschließend geregelt — und enger gefasst, als der Alltagssprachgebrauch erwarten lässt. Geschützt sind Meldungen über Verstöße, die strafrechtlich relevant sind oder bestimmte bußgeldbewehrte Verstöße zum Schutz von Leben, Leib, Gesundheit oder Beschäftigtenrechten betreffen, sowie Verstöße in den unionsrechtlich harmonisierten Bereichen wie Geldwäsche, Finanzdienstleistung, Datenschutz, Produkt- und Lebensmittelsicherheit, Vergabe- und Wettbewerbsrecht. Reine Beschwerden ohne Rechtsverstoß-Bezug fallen nicht unter den Schutz — und können entsprechend auch nicht über die Meldestelle den arbeitsrechtlichen Schutzmechanismus auslösen.
Keine schutzwürdige Meldung im Sinne HinSchG
- Reine Beschwerde über Vorgesetzte ohne Rechtsverstoß-Bezug
- Persönliche Differenzen oder Konflikte ohne Verstoß-Substanz
- Wissentlich unrichtige Behauptung — sogar bußgeldbewehrt nach § 40 Abs. 1 HinSchG
- Hinweise zur nationalen oder öffentlichen Sicherheit (§ 5 HinSchG)
- Mandatsgeheimnis, ärztliche Schweigepflicht, Verschluss-Sachen (§ 5)
- Verstöße ausschließlich im rein privaten Verhältnis ohne beruflichen Bezug
Schutzwürdige Meldung nach § 2 HinSchG
- Strafrechtlich relevante Verstöße — Korruption, Untreue, Betrug, Steuerhinterziehung
- Bußgeldbewehrte Verstöße zum Schutz von Leben, Leib, Gesundheit oder Beschäftigtenrechten
- Geldwäsche, Finanzdienstleistung, Produkt- und Lebensmittelsicherheit
- Datenschutz, Verbraucherschutz, Umweltschutz, IT-Sicherheit
- EU-Vergabe-, Wettbewerbs- und Steuerrecht
- Verstöße gegen das Diskriminierungsverbot im Beschäftigungs-Kontext
Was Sie als Beschäftigungsgeber umsetzen müssen
Die operative Pflicht zerfällt in sechs Bausteine, die ineinandergreifen. Wer einen einzelnen davon weglässt — etwa die formelle Bestellung mit dokumentierter Fachkunde oder die technische Wahrung der Vertraulichkeit — riskiert nicht nur Bußgelder, sondern auch den Verlust der Glaubwürdigkeit gegenüber der Belegschaft. Das ist die eigentliche Hürde: Eine Meldestelle, der niemand vertraut, wird nicht genutzt — Hinweise wandern stattdessen direkt zur externen Meldestelle des Bundes oder, im schlechteren Fall, an die Öffentlichkeit.
Interne Meldestelle einrichten
Die interne Meldestelle muss als eigene Arbeitseinheit oder durch einen beauftragten Dritten betrieben werden. § 14 Abs. 1 HinSchG stellt beide Wege ausdrücklich gleich — die externe Beauftragung ist also keine Notlösung, sondern eine vom Gesetzgeber ausdrücklich vorgesehene Option. Eine Konzern-Lösung ist nach jüngerer EU-Kommissions-Sichtweise zulässig, sofern jede pflichtige Tochter formell ihre eigene Meldestelle hat — die Bearbeitung kann konsolidiert in einer Konzernfunktion liegen.
Meldekanäle in drei Formen einrichten
Nach § 16 Abs. 3 HinSchG müssen Meldungen in mündlicher Form (telefonisch oder über andere Sprachübermittlung), in Textform sowie auf Verlangen in einer persönlichen Zusammenkunft entgegengenommen werden können. Klassische „Kummerkasten“-Lösungen oder einfache Melde-E-Mail-Adressen erfüllen die Vertraulichkeits- und Bearbeitungs-Anforderungen nicht durchgängig. Stand der Praxis ist ein Hinweisgebersystem mit verschlüsseltem Rückkanal — auch um die in § 16 Abs. 1 vorgesehene Bearbeitung anonymer Meldungen sauber abzubilden.
Fachkundige Person bestellen
§ 15 HinSchG verlangt, dass die mit den Aufgaben der Meldestelle betrauten Personen die notwendige Fachkunde besitzen — Rechtskenntnisse zu HinSchG, DSGVO und arbeitsrechtlichen Schutzmechanismen sowie Bearbeitungs- und Vertraulichkeits-Praxis. Die Fachkunde ist dokumentiert nachzuweisen und durch regelmäßige Fortbildung aktuell zu halten. Eine pauschale Selbst-Erklärung der Geschäftsführung („Frau X kennt sich aus“) trägt im Bußgeld-Verfahren nicht.
Vertraulichkeit technisch und organisatorisch sichern
§ 8 HinSchG verlangt strikte Wahrung der Identität der hinweisgebenden Person, der von der Meldung betroffenen Personen und sonstiger Genannter — auch innerhalb der Organisation. Konkret heißt das: getrennte Datenhaltung von der HR- und IT-Linie, dokumentierte Zugriffsrechte, technische Mandantentrennung im Hinweisgebersystem, Eskalations-Pfade an die Geschäftsleitung ohne Umweg über die zu prüfende Linie. Verstöße gegen das Vertraulichkeitsgebot sind nach § 40 Abs. 3 HinSchG bußgeldbewehrt.
Bearbeitungs-Fristen einhalten
§ 17 HinSchG legt zwei zentrale Fristen fest: Erstens muss der hinweisgebenden Person der Eingang der Meldung innerhalb von sieben Tagen bestätigt werden. Zweitens muss innerhalb von drei Monaten ab Eingangs-Bestätigung eine Rückmeldung über geplante oder ergriffene Folgemaßnahmen erfolgen. Beide Fristen sind verbindlich — und ihre Versäumnis verliert in der Belegschaft die Glaubwürdigkeit der Meldestelle, lange bevor sich ein Bußgeld-Verfahren überhaupt entfaltet.
Mitarbeiter-Information dokumentiert sicherstellen
Nach § 13 HinSchG sind klare und leicht zugängliche Informationen über die internen Meldewege, die externen Meldestellen des Bundes und die einschlägigen EU-Meldeverfahren bereitzustellen. Die Belegschaft muss wissen, an wen sie sich wendet, was mit ihrer Meldung passiert und welche Schutzmechanismen vor Repressalien greifen. Wer diese Information unterlässt oder versteckt, treibt Hinweise an der internen Meldestelle vorbei — direkt zur externen Meldestelle des Bundes.
Wie hoch die Bußgelder wirklich sind
Der Bußgeldrahmen des § 40 HinSchG ist abgestuft, nicht pauschal. Häufig liest man in Beratungsmaterial die Zahl „bis zu 20.000 Euro“ — das ist die unterste Ebene und gilt nur für das Nichtbetreiben der Meldestelle selbst. Die schwerwiegenderen Verstöße — Behinderung von Meldungen, Repressalien gegen hinweisgebende Personen, vorsätzlicher Vertraulichkeitsbruch — sind mit dem doppelten Rahmen versehen. Und für juristische Personen verzehnfacht sich der Höchstrahmen über den Verweis auf § 30 OWiG.
20.000 €
Bußgeld für Nichtbetreiben einer internen Meldestelle (§ 40 Abs. 2 Nr. 2 HinSchG)
50.000 €
Bußgeld für Behinderung von Meldungen, Repressalien oder vorsätzlichen Vertraulichkeitsbruch
500.000 €
Maximaler Rahmen für juristische Personen über die OWiG-Verzehnfachung
Quelle: § 40 HinSchG i.V.m. § 30 Abs. 2 Satz 3 OWiG; HinSchGOWiZustV vom 9. April 2025.
Sonderfälle — Konzern, regulierte Branchen, kleinere Unternehmen
Konzern-Lösung. § 14 Abs. 1 HinSchG erlaubt grundsätzlich eine konzernweit konsolidierte Meldestelle, sofern jede pflichtige Tochter formell ihre eigene interne Meldestelle hat. Die EU-Kommission hat die Konzern-Auslagerung 2021 zwischenzeitlich kritisiert, der deutsche Gesetzgeber im Vermittlungsverfahren aber bestätigt. Praxistauglich ist eine Konstruktion, in der jede pflichtige Gesellschaft formell bestellt, die operative Bearbeitung aber in einer Konzern-Compliance- oder externen Funktion gebündelt wird — mit sauberer Mandantentrennung im System und je Tochter dokumentierten Berichts-Pfaden.
Branchen-Pflicht ohne Größengrenze. Finanzdienstleister, Wertpapierinstitute, Kapitalverwaltungs-Gesellschaften, bestimmte Versicherer und weitere regulierte Häuser sind nach § 12 Abs. 3 HinSchG ohne Beschäftigtengrenze zur Meldestelle verpflichtet — auch ein Finanzdienstleister mit fünfzehn Mitarbeitenden ist betroffen. Aufsichtsrechtliche Anforderungen aus VAIT, BAIT, MaRisk oder DORA überlagern sich hier mit der HinSchG-Pflicht und verlangen häufig eine zusätzliche personelle Trennung der Funktion.
Kleinere Unternehmen unter 50 Beschäftigten. Sie sind grundsätzlich nicht zur Einrichtung einer internen Meldestelle verpflichtet — die Schutzrechte für hinweisgebende Personen nach §§ 33 ff. HinSchG gelten dennoch. Wer als kleinerer Beschäftigungsgeber Repressalien ergreift, etwa mit einer Kündigung oder Versetzung als Reaktion auf eine Meldung, riskiert Bußgelder bis zu 50.000 Euro und zivilrechtliche Schadensersatz-Ansprüche. Auch ohne Pflicht zur Meldestelle ist also eine geordnete Aufstellung sinnvoll — alternativ steht die Meldestelle des Bundes zur Verfügung.
Anonyme Meldungen — Pflicht oder nicht?
Eine in Beratungs-Blogs und Compliance-Podcasts beharrlich kursierende Darstellung lautet: Anonyme Meldungen seien seit dem 1. Januar 2025 zwingend zu ermöglichen. Diese Aussage ist rechtlich unzutreffend. § 16 Abs. 1 Satz 4 HinSchG verlangt nur, dass anonyme Meldungen bearbeitet werden sollen, sofern sie eingehen. Satz 5 stellt im Anschluss ausdrücklich klar, dass keine Verpflichtung besteht, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen. Eine ursprünglich für 2025 vorgesehene strikte Pflicht wurde im Vermittlungsverfahren wieder abgeschwächt. Praktisch raten wir dennoch zur technischen Ermöglichung anonymer Meldungen — wer sie nicht zulässt, treibt Hinweise zur externen Meldestelle des Bundes oder direkt an die Öffentlichkeit. Die Best-Practice ist also breiter als die Pflicht.
Wo die häufigsten Umsetzungsfehler liegen
Aus der Beratungs-Praxis kristallisieren sich vier wiederkehrende Fehler heraus, die im Audit oder im Bußgeld-Verfahren regelmäßig auffallen.
Briefkasten oder einfache Melde-E-Mail als Meldekanal. Beides erfüllt die Vertraulichkeits-Anforderungen des § 8 HinSchG nicht durchgängig — ein klassischer Briefkasten ist nicht geschützt vor Einsicht durch Unbefugte, eine einfache E-Mail-Adresse hinterlässt Metadaten, die die Identität verraten können. Aufsichtsbehörden und Gerichte erwarten heute ein verschlüsseltes Hinweisgebersystem mit Mandantentrennung und Pseudonym-Rückkanal.
Beauftragter ohne dokumentierte Fachkunde. Eine pauschale Erklärung der Geschäftsführung, die bestellte Person sei „erfahren“ oder „eingearbeitet“, trägt nicht. § 15 HinSchG verlangt eine dokumentierte Fachkunde — typischerweise nachgewiesen durch ein einschlägiges Fachkunde-Zertifikat, kontinuierliche Fortbildung und eine schriftlich dokumentierte Bestellungs-Urkunde mit Aufgaben-Profil.
HR-Leitung oder Geschäftsführung als Beauftragter. Formal nicht ausgeschlossen, in der Praxis problematisch. Wenn die HR-Leitung sowohl für Personalmaßnahmen als auch für die Bearbeitung von Hinweisen über genau diese Personalmaßnahmen zuständig ist, fehlt die organisatorische Distanz, die § 15 Abs. 1 HinSchG zumindest implizit verlangt. Die Belegschaft erkennt diesen Konflikt regelmäßig — und meidet die interne Meldestelle.
Versäumnis der Bearbeitungs-Fristen. Die 7-Tage-Eingangsbestätigung wird in Urlaubs- oder Krankheitszeiten gerne übersehen — ein Versäumnis, das den hinweisgebenden Person den Eindruck der Untätigkeit vermittelt und in der Folge die externe Meldestelle wahrscheinlicher macht. Die Drei-Monats-Rückmeldung wird häufig „verschoben“, weil die Untersuchung noch läuft — auch das entspricht nicht der Norm: Es genügt eine ehrliche Statusmeldung, eine Verschleppung dagegen ist bußgeldbewehrt.
Checkliste — was Sie jetzt prüfen sollten
- Beschäftigtenzahl und Branche eindeutig eingeordnet — sind Sie nach § 12 HinSchG pflichtig?
- Interne Meldestelle existiert formell und ist mit fachkundiger Person besetzt
- Fachkunde nach § 15 HinSchG ist dokumentiert nachgewiesen — Zertifikat, Fortbildung, Bestellungs-Urkunde
- Drei Meldekanäle nach § 16 HinSchG sind eingerichtet — schriftlich, telefonisch, persönlich auf Verlangen
- Vertraulichkeit nach § 8 HinSchG ist technisch und organisatorisch gesichert — getrennte Datenhaltung, dokumentierte Zugriffsrechte
- Bearbeitungs-Fristen aus § 17 HinSchG sind als SLA hinterlegt und werden überwacht
- Mitarbeiter-Information ist aktiv kommuniziert — nicht versteckt im Intranet
- Verfahrensanweisung zur Bearbeitung ist dokumentiert; Vertretung ist namentlich benannt
- DSGVO-Konformität ist geklärt — Verarbeitungsverzeichnis, Lösch- und Aufbewahrungsfristen nach § 11 HinSchG
Häufig gestellte Fragen
Müssen anonyme Meldungen technisch ermöglicht werden?
Nein, technisch nicht zwingend. § 16 Abs. 1 Satz 4 HinSchG verlangt lediglich, dass anonyme Meldungen bearbeitet werden sollen, wenn sie eingehen. Satz 5 stellt klar: Eine Pflicht, die Meldekanäle so zu gestalten, dass anonyme Meldungen technisch ermöglicht werden, besteht nicht. Mehrere Beratungs-Blogs verbreiten weiter „Pflicht ab 1. Januar 2025″ — diese Darstellung beruht auf einer Zwischen-Fassung, die im finalen Gesetzgebungsverfahren wieder abgeschwächt wurde. Best Practice und gelebte Compliance-Praxis ist die technische Ermöglichung dennoch — sie senkt die Hemmschwelle und reduziert das Risiko, dass Hinweise zur externen Meldestelle wandern.
Kann die Funktion an einen externen Dienstleister vergeben werden?
Ja, ausdrücklich. § 14 Abs. 1 HinSchG sieht vor, dass die interne Meldestelle entweder durch eine eigene Arbeitseinheit oder durch einen beauftragten Dritten betrieben werden kann. Beide Wege sind gleichwertig — die externe Beauftragung ist also keine Notlösung, sondern eine vom Gesetzgeber ausdrücklich vorgesehene Option, gerade für mittelständische Beschäftigungsgeber, die intern weder die Fachkunde noch die organisatorische Distanz aufbauen können oder wollen.
Welche Fristen sind unbedingt einzuhalten?
Zwei Fristen sind nach § 17 HinSchG verbindlich. Erstens: Die hinweisgebende Person erhält innerhalb von sieben Tagen eine Eingangs-Bestätigung. Zweitens: Innerhalb von drei Monaten ab Eingangs-Bestätigung erhält sie eine Rückmeldung über geplante oder ergriffene Folgemaßnahmen. „Rückmeldung“ heißt nicht „abgeschlossene Untersuchung“ — eine ehrliche Status-Information genügt der Norm, das Verschleppen einer Antwort genügt ihr nicht.
Was passiert, wenn keine Meldungen eingehen?
In vielen Beschäftigungsgebern — gerade im kleineren Mittelstand — gehen pro Jahr nur wenige oder keine Meldungen ein. Das ist statistisch erwartbar und kein Hinweis auf einen unwirksamen Kanal. Pflichtig zu betreiben bleibt die Meldestelle dennoch: Erreichbarkeit, Aktualität der Verfahrensanweisungen, Mitarbeiter-Schulung, jährliche Tätigkeits-Dokumentation. Geprüft wird im Bußgeld-Verfahren die Existenz und Funktionsfähigkeit, nicht das Volumen.
Wir sind unter 50 Beschäftigte — sind wir vollständig außen vor?
Nicht vollständig. Die Pflicht zur Einrichtung einer internen Meldestelle nach § 12 HinSchG greift erst ab 50 Beschäftigten — die Schutzrechte für hinweisgebende Personen nach §§ 33 ff. HinSchG gelten jedoch in jedem Beschäftigungsverhältnis. Wer als kleinerer Beschäftigungsgeber auf eine Meldung mit einer Kündigung, Versetzung oder anderen Repressalie reagiert, riskiert Bußgelder bis zu 50.000 Euro und zivilrechtliche Schadensersatz-Ansprüche, einschließlich immaterieller Schäden nach § 37 HinSchG. In regulierten Branchen wie Finanzdienstleistung gilt die Pflicht zur Meldestelle ohnehin ohne Beschäftigtengrenze.
Können Datenschutzbeauftragter und Meldestellenbeauftragter dieselbe Person sein?
Ja, beide Funktionen sind kombinierbar — gerade im mittelständischen Umfeld ist das eine effiziente Aufstellung. Die Funktionen verzahnen sich inhaltlich, weil Meldedaten regelmäßig personenbezogen sind und die DSGVO-Konformität der Bearbeitung mitgeprüft wird. Wo aufsichtsrechtliche Vorgaben oder Konzern-Standards eine personelle Trennung verlangen — etwa im Finanzsektor — sollten die Funktionen mit unterschiedlichen Personen besetzt und die Schnittstelle vertraglich definiert werden.
