Drei Funktionen in einer institutionalisierten Stelle.
Eine Meldestelle nach Hinweisgeberschutzgesetz ist mehr als nur ein Postkasten oder eine E-Mail-Adresse. Sie ist eine institutionalisierte Stelle für die Annahme, Plausibilitätsprüfung und Bearbeitung von Hinweisen auf Rechtsverstöße aus dem beruflichen Umfeld einer Organisation — mit dokumentationspflichtigem Verfahren, gesetzlich definierten Fristen und einem zentralen Schutzauftrag.
Sicherer Kanal für Hinweise
Beschäftigte und beruflich verbundene Personen können Hinweise auf strafrechtliche oder bestimmte ordnungsrechtliche Verstöße abgeben — in Textform, mündlich oder auf Ersuchen im persönlichen Treffen. Vertraulichkeit der Identität ist gesetzlich geschützt.
Prüfung und Folgemaßnahmen
Plausibilitätsprüfung des Sachverhalts, Bewertung der HinSchG-Relevanz, Eskalation an die zuständige interne Stelle, ggf. Verweis an externe Behörden, lückenlose Doku des Verfahrensgangs. Eingangsbestätigung binnen sieben Tagen, Rückmeldung binnen drei Monaten.
Repressalien-Verbot durchsetzen
Hinweisgebende Personen sind durch § 36 HinSchG vor jeder Form von Benachteiligung geschützt — Kündigung, Versetzung, Mobbing, Reputationsschaden. Beweislastumkehr zugunsten der hinweisgebenden Person; das Repressalienverbot ist Bußgeld-bewehrt.
Vom EU-Skandal-Reflex zum deutschen Pflicht-Gesetz.
Die heutige Pflicht ist kein deutscher Alleingang. Sie wurzelt in der EU-Whistleblower-Richtlinie 2019/1937, die als Reaktion auf Skandale wie LuxLeaks, die Panama Papers und Dieselgate verabschiedet wurde — alle entscheidend durch interne Hinweisgeber aufgedeckt. Deutschland hat die Umsetzung verspätet, aber dann mit harten Fristen nachgeholt:
EU-Whistleblower-Richtlinie 2019/1937 verabschiedet
Das Europäische Parlament und der Rat beschließen einen EU-weiten Mindeststandard zum Schutz hinweisgebender Personen — als unmittelbare Reaktion auf eine Reihe öffentlich gewordener Skandale, die ohne interne Hinweisgeber nie aufgedeckt worden wären.
Umsetzungs-Frist für EU-Mitgliedstaaten
Stichtag für die nationale Umsetzung der Richtlinie. Deutschland verpasst die Frist — ein erster Gesetzentwurf scheitert 2021 im Bundesrat, mehrere Anläufe folgen.
Bundestag und Bundesrat beschließen das HinSchG
Nach Vermittlungsverfahren und politischen Kompromissen passiert das „Gesetz für einen besseren Schutz hinweisgebender Personen“ (HinSchG) Bundestag und Bundesrat. Verkündung im Bundesgesetzblatt am 2. Juni 2023.
HinSchG tritt in Kraft
Pflicht zur Einrichtung einer internen Meldestelle ab diesem Tag für Beschäftigungsgeber mit 250 oder mehr Beschäftigten. Für den Finanzsektor gilt die Pflicht unabhängig von der Beschäftigtenzahl — und zwar bereits seit längerem aus den dortigen Spezialgesetzen.
Bußgeld-Geltung beginnt
Die Bußgeldvorschriften nach § 40 HinSchG werden scharf — Verstöße sind ab diesem Datum sanktionsfähig. Der Übergangsraum von rund fünf Monaten zwischen Inkrafttreten und Bußgeld-Geltung sollte den Aufbau ermöglichen.
Pflicht erweitert auf 50+ Beschäftigte
Die Pflicht zur Einrichtung einer internen Meldestelle erweitert sich auf alle Beschäftigungsgeber mit 50 oder mehr Beschäftigten. Damit fällt der ganze deutsche Mittelstand in den Anwendungsbereich — eine Schwelle, die bei vielen Unternehmen unbemerkt überschritten wurde.
Vier Konstellationen — und in jeder gilt die Pflicht uneingeschränkt.
Die Frage „sind wir verpflichtet?“ beantwortet sich nicht allein über die Beschäftigtenzahl. Branche, Konzernstruktur und Spezialgesetze schaffen weitere Pflicht-Konstellationen — manche davon greifen unabhängig von der Größe.
Tier 1 · große Unternehmen
250 + Beschäftigte
Pflicht seit 2. Juli 2023
Mit Inkrafttreten des HinSchG sofort verpflichtet. Bußgeld-Geltung ab 1. Dezember 2023, also nach einer Übergangsfrist von fünf Monaten.
Tier 2 · Mittelstand
50 + Beschäftigte
Pflicht seit 17. Dezember 2023
Erweiterung auf den Mittelstand. Die Schwelle wird bei vielen Unternehmen unbemerkt überschritten — Leiharbeitende und Auszubildende zählen mit.
Tier 3 · Branchen-Pflicht
Finanzsektor
unabhängig von Größe
Kredit- und Finanzdienstleistungsinstitute, Wertpapierinstitute, Versicherer, Kapitalverwaltungsgesellschaften und weitere — Pflicht aus dem KWG, WpHG, VAG und Spezialgesetzen, teils älter als das HinSchG.
Tier 4 · Konzern
Jede Tochter einzeln
jur. Person als Maßstab
Innerhalb eines Konzerns wird jede juristische Person separat betrachtet. Eine Konzern-Meldestelle ist möglich, ersetzt aber nicht die jeweilige interne Meldestelle der Tochter über 50 Beschäftigte.
Welche Hinweise tatsächlich ins HinSchG fallen — und welche nicht.
Nicht jeder Verdacht und nicht jede Beschwerde löst die HinSchG-Pflichten aus. § 2 HinSchG legt den sachlichen Anwendungsbereich klar fest — er ist breit, aber nicht beliebig. Was im Anwendungsbereich liegt, löst Plausibilitätsprüfung, Folgemaßnahmen, Fristwahrung und Repressalien-Schutz aus.
Kern-Bereich
Strafrechtliche Verstöße
Betrug, Untreue, Korruption, Bestechung, Steuerhinterziehung, Geldwäsche-Verstöße — der mit Abstand häufigste Anlass von HinSchG-Meldungen.
Kern-Bereich
Bußgeld-bewehrte Verstöße
Soweit sie dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten dienen — Arbeitsschutz und vergleichbares.
EU-Recht
Geldwäsche & Terrorismusfinanzierung
Verstöße gegen das Geldwäschegesetz und EU-Vorgaben zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung.
EU-Recht
Datenschutz & IT-Sicherheit
DSGVO-Verstöße, ePrivacy, Verstöße gegen NIS2-Pflichten zur Netz- und Informationssicherheit.
EU-Recht
Verbraucher- & Produktsicherheit
Verstöße gegen Produktsicherheits-, Verbraucherschutz- und Lebensmittelsicherheits-Vorgaben.
EU-Recht
Umwelt- & Strahlenschutz
Verstöße gegen Umwelt-, Strahlen- und Tierschutz-Recht — inklusive der Vorgaben zur nuklearen Sicherheit.
EU-Recht
Verkehrssicherheit
Verstöße gegen die Vorgaben zur Sicherheit im Straßen-, Schienen-, Luft- und Schiffsverkehr — inklusive Fahrzeugzulassung und Personenbeförderung.
EU-Recht
Öffentliche Vergabe
Verstöße gegen das Vergaberecht und gegen das EU-Beihilfen-Recht im Bereich öffentlicher Aufträge und Zuwendungen.
EU-Recht
Finanzdienstleistungen & Steuern
Verstöße gegen Wertpapier-, Finanzdienstleistungs- und bestimmte Bereiche des Steuerrechts (Körperschaftsteuer-Vermeidung).
Drei Tatbestand-Stufen, ein Multiplikator — und plötzlich steht eine halbe Million im Raum.
In vielen Wettbewerber-Posts liest man die Zahl „20.000 Euro“ als Bußgeld-Obergrenze. Das stimmt für eine einzige Tat-Konstellation. Vorsätzliche Behinderung einer Meldung, Repressalien gegen die hinweisgebende Person oder leichtfertiger Vertraulichkeits-Bruch — das sind die teureren Tatbestände. Und für juristische Personen verzehnfacht § 30 Abs. 2 S. 3 OWiG die Höchstsumme.
§ 30 Abs. 2 S. 3 OWiG — für juristische Personen verzehnfacht sich der Höchstbetrag der Geldbuße bei vorsätzlicher Begehung. Aus den 50.000 € Höchstgrenze für die natürliche Person werden bis zu 500.000 € für das Unternehmen.
Reputationsschaden, Schadensersatz-Ansprüche der hinweisgebenden Person nach § 37 HinSchG und persönliche Haftungsfragen der Geschäftsleitung kommen ggf. obendrauf — und sind in der Praxis häufig die teurere Konsequenz.
Die neun Pflicht-Anforderungen an die interne Meldestelle.
§ 17 HinSchG ist das operative Herzstück. Neun Anforderungen, die jede interne Meldestelle nachweislich erfüllen muss — und die zusammen erklären, warum eine bloße E-Mail-Adresse oder ein Postkasten die Pflicht nicht erfüllen kann.
Meldekanäle in Textform und mündlich
Meldungen müssen sowohl in Textform (E-Mail, Web-Formular) als auch mündlich (Telefon, Sprachübermittlung) abgegeben werden können. Auf Ersuchen der hinweisgebenden Person ist außerdem ein persönliches Treffen zu ermöglichen.
Vertraulichkeit der Identität wahren
Die Identität der hinweisgebenden Person und aller in der Meldung genannten Personen ist gegen unbefugten Zugriff zu schützen — technisch und organisatorisch. Verletzung ist Bußgeld-bewehrt.
Eingangsbestätigung binnen 7 Tagen
An die hinweisgebende Person, sofern eine Kontaktmöglichkeit besteht. Versäumte Frist ist nicht heilbar.
Anwendungsbereich nach § 2 prüfen
Bewertung, ob der gemeldete Sachverhalt einen Verstoß im sachlichen Anwendungsbereich des § 2 HinSchG darstellt. Nicht jede Meldung ist HinSchG-relevant — diese Trennung ist juristische Arbeit.
Mit hinweisgebender Person Kontakt halten
Während des laufenden Verfahrens. Rückfragen, Zwischenstände, Klärungsbedarf — alles wird über den geschützten Kanal kommuniziert, damit die Vertraulichkeit gewahrt bleibt.
Stichhaltigkeit der Meldung prüfen
Inhaltliche Bewertung des Sachverhalts: Liegt ein hinreichender Anfangsverdacht vor? Sind die Aussagen plausibel und nachvollziehbar? Diese Prüfung entscheidet, ob eine vertiefte Untersuchung folgt.
Angemessene Folgemaßnahmen ergreifen
Bei stichhaltiger Meldung: interne Untersuchung (§ 18 Nr. 1), Verweis an zuständige Stelle (§ 18 Nr. 2), Verfahrensabschluss aus Mangel an Beweisen (§ 18 Nr. 3) oder Weitergabe an interne Untersuchungs-Einheit oder zuständige Behörde (§ 18 Nr. 4). Alle Schritte werden dokumentiert.
Rückmeldung binnen 3 Monaten
An die hinweisgebende Person, gerechnet ab der Eingangsbestätigung — oder spätestens drei Monate und sieben Tage nach Eingang der Meldung, falls keine Eingangsbestätigung erfolgte. Inhalt: geplante oder bereits ergriffene Folgemaßnahmen mit Begründung.
Dokumentation, Aufbewahrung 3 Jahre
Schriftliche oder dauerhafte elektronische Dokumentation jeder Meldung und der ergriffenen Maßnahmen. Aufbewahrungsfrist drei Jahre nach Verfahrensabschluss; längere Frist nur, wenn andere Rechtsvorschriften das erfordern.
Was zwischen Tag 0 und Tag 90 passieren muss.
Die Pflicht-Architektur des § 17 HinSchG ist eine Zeitachse — mit harten Fristen, an deren Einhaltung Bußgelder hängen. Wer eine Meldung am Montagmorgen entgegennimmt, weiß auf den Tag genau, was bis Sonntag der nächsten Woche und was bis drei Monate später passieren muss.
Meldung geht ein
Aufnahme & Vertraulichkeits-Sicherung
In Textform, mündlich oder auf Ersuchen in einem persönlichen Treffen. Identität wird sofort vertraulich geführt — Zugriff nur durch die zur Bearbeitung beauftragten Personen.
§ 16 Abs. 3, § 8 Abs. 1 HinSchG
spätestens Tag 7
Eingangsbestätigung
Bestätigung an die hinweisgebende Person über den Eingang der Meldung — innerhalb von sieben Tagen. Diese Frist ist hart und Bußgeld-bewehrt.
§ 17 Abs. 1 Nr. 1 HinSchG
laufend
Anwendungsbereich, Stichhaltigkeit, Folgemaßnahmen
Prüfung, ob der Sachverhalt im Anwendungsbereich des § 2 fällt und ob die Aussagen stichhaltig sind. Bei Bedarf Rückfragen an die hinweisgebende Person, dann Eskalation: interne Untersuchung, Verweis an zuständige Stelle, ggf. Verfahrensabschluss — alles dokumentiert.
§ 17 Abs. 1 Nr. 2–6 i. V. m. § 18 HinSchG
spätestens Tag 90
Rückmeldung an Hinweisgeber
Rückmeldung über die ergriffenen oder geplanten Folgemaßnahmen — innerhalb von drei Monaten ab der Eingangsbestätigung, oder spätestens drei Monate und sieben Tage nach Eingang der Meldung. Auch bei laufenden Untersuchungen muss zumindest der Stand zurückgemeldet werden.
§ 17 Abs. 2 HinSchG
Eine überraschend breite Gruppe — und alle sind ab Tag eins geschützt.
Wenn von „Beschäftigten“ die Rede ist, denken viele zuerst an die Stammbelegschaft. Das HinSchG zieht den Personen-Kreis aber deutlich weiter. § 1 i. V. m. § 3 HinSchG schützt jeden, der im beruflichen Umfeld einer Organisation Informationen über Rechtsverstöße erlangt — mit Repressalienverbot nach § 36, das alle erfasst:
Praktische Folge: Ein Bewerber, der im Vorstellungsgespräch von zweifelhaften Praktiken erfährt und das später meldet, ist genauso geschützt wie ein 30-jähriger Stammbeleg. Eine ehemalige Mitarbeiterin, die zwei Jahre nach ihrem Ausscheiden eine Meldung abgibt, ebenso. Repressalien gegen jede dieser Personen sind nach § 36 HinSchG ausdrücklich verboten — und für die Geschäftsleitung Bußgeld-bewehrt.
Drei verbreitete Falschannahmen — und was tatsächlich im Gesetz steht.
Die HinSchG-Beratungs-Landschaft ist voll von Halb-Wahrheiten. Drei davon begegnen uns in fast jedem Erstgespräch — und alle drei führen, wenn man ihnen folgt, in eine Compliance-Lücke. Direkt aus dem Gesetzestext korrigiert:
„Wir müssen anonyme Meldungen entgegennehmen — sonst sind wir nicht HinSchG-konform.“
Das Gesetz formuliert eine Soll-Vorschrift, keine Pflicht. Anonyme Meldungen sollen bearbeitet werden, müssen es aber nicht. Wer einen anonymen Kanal anbietet, geht über die Pflicht hinaus — wer keinen anbietet, ist trotzdem konform.
§ 16 Abs. 1 S. 4 und 5 HinSchG
„Bei mangelhafter Meldestelle drohen 20.000 Euro Bußgeld — das ist überschaubar.“
20.000 € ist die Höchstgrenze für die natürliche Person bei einem einzigen Tatbestand. Für juristische Personen verzehnfacht § 30 OWiG die Summe. Bei vorsätzlicher Behinderung einer Meldung steigt die obere Grenze auf 500.000 € — plus Reputations- und Haftungs-Risiken.
§ 40 HinSchG · § 30 Abs. 2 S. 3 OWiG
„Eine E-Mail-Adresse für Hinweise reicht aus, das ist unsere Meldestelle.“
Eine bloße E-Mail-Adresse erfüllt nicht die Anforderungen aus § 17. Pflicht sind: Vertraulichkeits-Sicherung, Meldewege in Textform und mündlich, fristgerechte Eingangsbestätigung, dokumentierte Anwendungsbereichs- und Stichhaltigkeits-Prüfung, fristgerechte Rückmeldung, Folgemaßnahmen — und ein vollständig auditfester Doku-Pfad.
§§ 16, 17, 18 HinSchG
Eine externe Meldestelle löst den Konflikt, der intern fast immer entsteht.
§ 14 HinSchG erlaubt ausdrücklich die Auslagerung der internen Meldestelle an einen externen Dritten. In der Praxis ist das für mittelständische Unternehmen häufig die wirtschaftlich und juristisch tragfähigere Variante — aus Gründen, die weniger mit Kosten als mit Strukturen zu tun haben.
Die Person, die meldet, kennt den Empfänger persönlich.
- Loyalitätskonflikt: HR und Compliance sind organisatorisch im Unternehmen verankert und stehen in Berichtslinien zur Geschäftsleitung.
- Vertraulichkeitszweifel: hinweisgebende Personen melden seltener oder gar nicht, weil sie befürchten, dass die Identität intern bekannt wird.
- Kapazitätsengpass: Plausibilitätsprüfung, juristische Bewertung, Dokumentation, Fristwahrung — eine HR-Stelle, die das nebenbei macht, gerät unter Druck.
- Audit-Risiko: Bei einer Aufsichtprüfung steht und fällt die Konformität an der Doku-Tiefe — und an der Trennung zwischen Meldungs-Bearbeitung und arbeitgeberischer Aufsicht.
Strukturelle Unabhängigkeit, juristische Tiefe, klare Verantwortung.
- Strukturelle Unabhängigkeit: keine Berichtslinie zur Geschäftsleitung, keine arbeitgeberische Aufsicht — die Meldung wird außerhalb der internen Hierarchie bearbeitet.
- Vertrauensvorsprung: hinweisgebende Personen melden in der Praxis häufiger, wenn sie wissen, dass die Erst-Bearbeitung außerhalb des Unternehmens stattfindet.
- Juristische Tiefe: Plausibilitätsprüfung, § 2-Anwendungsbereichs-Bewertung und Frist-Management durch geschulte Fachkraft mit Vertretungs-Reserve.
- Audit-Festigkeit: die Meldestellen-Funktion ist klar abgegrenzt, dokumentationstechnisch sauber geführt und im Audit-Fall direkt belegbar.
Jetzt Beratungsgespräch vereinbaren!
Wir beraten Sie gerne zum Thema Interne Meldestelle für Hinweisgeber. Kontaktieren Sie uns einfach per E-Mail oder Telefon oder nutzen Sie unser Kontaktformular!
Lieber telefonisch? +49 8912414 9000
Vielen Dank — Ihre Anfrage ist bei uns eingegangen. Wir melden uns zeitnah bei Ihnen.