HinSchG: Interne Meldestelle – Pflichten, Fristen, Bußgelder

Drei Jahre nach Inkrafttreten ist das Hinweisgeberschutzgesetz (HinSchG) in der Dauerprüfung angekommen: Alle Übergangsfristen sind längst abgelaufen, das Gesetz wurde zuletzt durch Artikel 2 des Gesetzes vom 22. Juli 2026 (BGBl. 2026 I Nr. 223) angepasst – und in der Praxis zeigt sich ein zweigeteiltes Bild. Während größere Unternehmen ihre Meldestellen meist sauber dokumentiert haben, hapert es im Mittelstand noch an den Grundlagen: Kanäle ohne Vertraulichkeitskonzept, Fristen, die niemand im Blick hat, und Führungskräfte, die das Repressalienverbot unterschätzen. Dabei ist das Risiko asymmetrisch: Wer keine funktionierende Meldestelle hat, erfährt von Missständen im Zweifel zuerst vom Bundesamt für Justiz – oder aus der Presse.

Wer braucht eine interne Meldestelle?

Die Pflicht zur Einrichtung einer internen Meldestelle besteht nach § 12 HinSchG für alle privaten und öffentlichen Beschäftigungsgeber, die in der Regel mindestens 50 Beschäftigte haben. Mitgezählt werden alle Beschäftigten – auch Teilzeitkräfte, Auszubildende und geringfügig Beschäftigte. Unternehmen ab 250 Beschäftigten waren bereits mit dem Inkrafttreten am 2. Juli 2023 verpflichtet, für Betriebe mit 50 bis 249 Beschäftigten endete die Übergangsfrist am 17. Dezember 2023. Es gibt also keine Schonfrist mehr.

Drei Sonderfälle sollten Sie kennen:

• Finanzsektor: Bestimmte Unternehmen – etwa Kreditinstitute, Zahlungsdienstleister und Kapitalverwaltungsgesellschaften – benötigen nach § 12 Abs. 3 HinSchG eine Meldestelle unabhängig von ihrer Beschäftigtenzahl.
• Konzerne: Ob eine zentrale Konzern-Meldestelle ausreicht, ist umstritten. Die herrschende Auslegung verlangt eine eigenständige Meldestelle pro Tochtergesellschaft ab 50 Beschäftigten; gemeinsames Personal und geteilte Prozesse sind dabei zulässig.
• Kleinbetriebe unter 50 Beschäftigten: nicht verpflichtet – aber zunehmend indirekt betroffen, weil größere Auftraggeber in Lieferantenverträgen einen Meldekanal verlangen. Unternehmen mit 50 bis 249 Beschäftigten dürfen sich zudem eine gemeinsame Meldestelle mit anderen Unternehmen teilen.

Was die Meldestelle leisten muss

Das Gesetz stellt an den Meldekanal selbst überschaubare, aber nicht verhandelbare Anforderungen. Nach § 16 HinSchG müssen Meldungen in Textform oder mündlich möglich sein, auf Wunsch der hinweisgebenden Person auch in einer persönlichen Zusammenkunft. Ein anonymer Meldekanal ist nicht vorgeschrieben – anonym eingehende Meldungen sollten aber bearbeitet werden, und in der Praxis gilt Anonymität als Best Practice, weil sie die Hemmschwelle deutlich senkt.

Kern des Systems ist die Vertraulichkeit (§ 8, § 16 HinSchG): Die Identität der meldenden Person darf nur den Personen bekannt werden, die für die Bearbeitung zuständig sind. Ein Verstoß dagegen ist bußgeldbewehrt – und zerstört genau das Vertrauen, für das die Meldestelle existiert. Die Meldestelle darf an Dritte ausgelagert werden (§ 14 HinSchG), etwa an eine Kanzlei oder eine Softwarelösung; die Verantwortung für die Erfüllung der Pflichten bleibt jedoch beim Unternehmen.

In der Praxis stehen drei Betriebsmodelle zur Auswahl. Die interne Stelle mit eigenem Personal (etwa in der Rechtsabteilung oder der Compliance-Funktion) ist am nächsten am Geschehen, erfordert aber geschultes Personal und eine belastbare Vertretungsregelung. Dieexterne Ombudsstelle – häufig eine Kanzlei – bringt Fachwissen und eine hohe wahrgenommene Unabhängigkeit mit, kostet aber laufende Honorare. Softwarebasierte Meldekanäle schließlich bilden Fristen, Vertraulichkeit und Löschung technisch ab und skalieren gut im Konzern; die inhaltliche Prüfung muss dennoch beim Unternehmen liegen. Viele Unternehmen kombinieren beides: Software als Kanal, benannte Verantwortliche als Prüfer. Für die Software gilt datenschutzrechtlich außerdem: Auftragsverarbeitung prüfen, Serverstandort klären, Zugriffskonzept dokumentieren.

Fristen und Dokumentation: der operative Takt

Nach § 17 HinSchG muss die Meldestelle den Eingang innerhalb von sieben Tagen bestätigen und der hinweisgebenden Person spätestens drei Monate nach Ablauf dieser Frist eine Rückmeldung zu ergriffenen und geplanten Folgemaßnahmen geben. Beides klingt simpel, scheitert aber in der Praxis an Urlaubsvertretungen und unklaren Zuständigkeiten – die Fristen laufen auch, wenn die zuständige Person nicht da ist.

Parallel gilt eine Dokumentationspflicht (§ 11 HinSchG): Meldungen sind unter Wahrung der Vertraulichkeit aufzubewahren und drei Jahre nach Abschluss des Verfahrens zu löschen. Wer mit einer Software arbeitet, sollte prüfen, ob Löschfristen automatisiert abgebildet werden; wer mit E-Mail und Aktenordner arbeitet, braucht einen dokumentierten Löschprozess. Datenschutzrechtlich ist der Kanal ohnehin ein sensibler Verarbeitungsvorgang – Zugriffsrechte, Protokollierung und Datensparsamkeit gehören ins Konzept, nicht in den Anhang.

Was geschützt ist – und was nicht

Der sachliche Anwendungsbereich (§ 2 HinSchG) umfasst Straftaten, bestimmte Ordnungswidrigkeiten und Verstöße gegen eine lange Liste von EU-Regelwerken – etwa zu Geldwäsche, Datenschutz, Produktsicherheit, Umwelt- und Verbraucherschutz. Das Gesetz setzt damit die EU-Whistleblower-Richtlinie (EU) 2019/1937 um und geht an einzelnen Stellen über sie hinaus.

Wichtig für die Erwartungssteuerung: Reine arbeitsrechtliche Beschwerden sind nicht geschützt. Mobbing-Vorwürfe, Konflikte mit Vorgesetzten oder Unzufriedenheit mit einer Beurteilung fallen nicht unter das HinSchG – dafür bleiben Betriebsvereinbarungen, AGG und allgemeines Arbeitsrecht zuständig. In der Praxis landen solche Fälle trotzdem im Meldekanal; die Meldestelle braucht daher einen sauberen Prozess, um HinSchG-Fälle von HR-Themen zu trennen, ohne den Schutz der meldenden Person zu gefährden.

Wen das Gesetz schützt: mehr Personen als gedacht

Der Schutz des HinSchG gilt nicht nur für die eigene Belegschaft. Erfasst sind unter anderem auch Bewerberinnen und Bewerber, ehemalige Beschäftigte, Leiharbeitnehmende, Selbstständige und Mitarbeitende von Zulieferern oder Dienstleistern – kurz: nahezu alle, die im beruflichen Umfeld des Unternehmens von einem Missstand erfahren können. Praktisch relevant wird das, wenn etwa die Buchhaltung eines externen Dienstleisters Unstimmigkeiten in der Abrechnung bemerkt oder ein Zeitarbeitender Sicherheitsmängel am Arbeitsplatz meldet.

Geschützt sind dabei drei Ebenen: die meldende Person selbst, Personen, die sie bei der Meldung unterstützen, und Personen, die mit ihr in Verbindung stehen (etwa Kolleginnen oder Angehörige, die sonst indirekt unter Druck geraten könnten). Für die Meldestelle heißt das: Auch die Frage,wer gemeldet hat, ist vertraulich zu behandeln – und Maßnahmen gegenüber Unterstützerinnen und Unterstützern fallen ebenso unter das Repressalienverbot.

Intern oder extern melden – warum der interne Weg der erste sein sollte

Hinweisgebende Personen sind nach dem HinSchG nicht verpflichtet, zuerst intern zu melden. Der Schutz gilt auch, wenn sie sich unmittelbar an eine externe Meldestelle wenden – neben dem Bundesamt für Justiz etwa an sektorspezifische Stellen wie die BaFin für den Finanzsektor. Für Unternehmen ist das die eigentliche Steuerungsgröße: Jede Meldung, die intern eingeht, kann intern aufgeklärt und abgestellt werden. Jede Meldung, die extern landet, startet ein behördliches Verfahren, auf das das Unternehmen keinen Einfluss mehr hat.

Die Konsequenz daraus ist kommunikativ, nicht technisch: Die Meldestelle muss den Beschäftigten als erste Anlaufstelle bekannt und glaubwürdig sein. Wer den Kanal im Intranet versteckt, auf Hinweise nicht reagiert oder Fristen verstreichen lässt, trainiert die Belegschaft auf den externen Weg. Umgekehrt zeigt die Erfahrung aus der Beratungspraxis: Unternehmen mit gut sichtbarer, schnell reagierender Meldestelle erhalten den überwiegenden Teil der Hinweise intern – und können Fristen, Kommunikation und Folgemaßnahmen selbst steuern.

Repressalienverbot und Beweislastumkehr: der schärfste Punkt des Gesetzes

§ 36 HinSchG verbietet jede Benachteiligung wegen einer Meldung – von der Kündigung über die Versetzung bis zur vorenthaltenen Beförderung. Entscheidend ist die Beweislastumkehr: Bestreitet das Unternehmen einen Zusammenhang zwischen Meldung und Maßnahme, muss es beweisen, dass die Maßnahme auf ausreichenden anderen Gründen beruht. Für Arbeitgeber ist das eine Umkehrung der üblichen Logik – und der Grund, warum Personalmaßnahmen gegenüber Personen, die zuvor gemeldet haben, besonders sorgfältig dokumentiert werden sollten.

Hinzu kommt ein Dienstleistungsrisiko: Wer als Führungskraft eine Meldung „aussitzt“ oder der meldenden Person Konsequenzen androht, bewegt sich im Bußgeldbereich und setzt das Unternehmen zusätzlich dem § 36-Risiko aus. Schulungen der Führungsebene sind hier kein Nice-to-have, sondern Risikosteuerung.

Neben dem Bußgeld droht Zivilrecht: Nach § 37 HinSchG ist zum Schadensersatz verpflichtet, wer das Repressalienverbot verletzt – neben dem Bußgeld droht also eine zivilrechtliche Inanspruchnahme durch die hinweisgebende Person selbst. Das macht Dokumentation und saubere, meldungsneutrale Personalprozesse zur wichtigsten Verteidigungslinie.

Bußgelder: überschaubar im Kern, scharf in der Spitze

Der Bußgeldrahmen des § 40 HinSchG ist gestaffelt: Das fehlende oder untätige Meldestelle kostet bis zu 20.000 Euro; das Behindern von Meldungen, Repressalien oder vorsätzliche Vertraulichkeitsverletzungen bis zu 50.000 Euro. Über § 30 OWiG kann sich das Höchstmaß für das Unternehmen selbst auf bis zu 500.000 Euro erhöhen.

Sachlich eingeordnet: Das Bußgeld ist selten der größte Schaden. Wer keine funktionierende interne Stelle hat, treibt Hinweise zwangsläufig zur externen Meldestelle beim Bundesamt für Justiz – und verliert damit die Kontrolle über Zeitpunkt und Kontext der Aufklärung. Die Reputationskosten einer öffentlichen Meldung übersteigen jedes Bußgeld.

Häufige Praxisfehler – und wie Sie sie vermeiden

Aus Audits und Beratungsmandaten lassen sich fünf Fehler immer wieder beobachten:

• Der E-Mail-Verteiler als „Meldestelle“: Ein Postfach, auf das mehrere Personen Vollzugriff haben, erfüllt die Vertraulichkeitsanforderung praktisch nie. Ohne Zugriffskonzept und Protokollierung ist es zudem datenschutzrechtlich angreifbar.
• Keine Vertretung: Die 7-Tage-Frist läuft auch während Urlaub, Krankheit oder Elternzeit der zuständigen Person. Ohne dokumentierte Vertretung ist jeder August ein Bußgeld-Risiko.
• Die Konzernlösung ohne Tochterblick: Eine zentrale Holding-Meldestelle, die die 50+-Töchter nicht abdeckt, verfehlt die herrschende Auslegung des § 12 – und fällt bei der ersten Beschwerde an das BfJ auf.
• Löschfrist vergessen: Meldungen, die nach drei Jahren noch im System liegen, sind ein klassischer Prüfpunkt. Die Löschung gehört in den Prozess, nicht auf die Jahresendliste.
• Eingerichtet und vergessen: Eine Meldestelle, über die nie gesprochen wird, erzeugt Misstrauen. Fehlende Meldungen sind kein Qualitätsmerkmal – sie können ebenso bedeuten, dass niemand dem Kanal vertraut.

In fünf Schritten zur belastbaren Meldestelle

• 1. Betroffenheit dokumentieren: Beschäftigtenzahl (inklusive Teilzeit und Minijobs) und Konzernstruktur prüfen; bei Töchtern ab 50 Beschäftigten eigene Stellen einrichten.
• 2. Betriebsmodell festlegen: Eigenbetrieb, gemeinsame Meldestelle im Verbund (nur 50–249 Beschäftigte) oder Auslagerung nach § 14 – in jedem Fall schriftlich, mit Zuständigkeiten und Vertretungsregelung.
• 3. Fristen technisch sichern: 7-Tage- und 3-Monats-Takt mit Erinnerungen und Vertretungen abbilden; Löschfrist nach § 11 automatisieren oder als dokumentierten Prozess etablieren.
• 4. Führungsebene schulen: Repressalienverbot, Beweislastumkehr und Vertraulichkeit sind Führungsthemen – ein zweistündiges Training mit Beleg reicht für den Anfang.
• 5. Bekanntmachen und testen: Der beste Kanal nützt nichts, wenn niemand ihn kennt. Intranet, Onboarding und ein jährlicher Testlauf mit Probemeldung gehören dazu.

Einordnung: Die Meldestelle als Baustein im Compliance-System

Das HinSchG steht nicht allein. Wer dem LkSG unterfällt, muss ohnehin ein Beschwerdeverfahren betreiben – beide Kanäle lassen sich sinnvoll auf einer Plattform zusammenführen, solange Vertraulichkeit und Zuständigkeiten sauber getrennt bleiben. Und auch beim NIS2-Umsetzungsgesetz zeigt sich dasselbe Muster wie hier: Der Gesetzgeber verlangt getaktete Meldeprozesse mit klaren Fristen und nachweisbarer Verantwortung. Unternehmen, die ihre internen Meldewege einmal zentral und revisionssicher aufsetzen, bedienen mehrere Regelwerke gleichzeitig.

Fazit

Das HinSchG ist kein Gesetz mehr in der Einführungsphase – es ist Dauerzustand mit abgelaufenen Fristen und aktiver Bußgeldschiene. Die gute Nachricht: Die Anforderungen sind begrenzt und gut dokumentiert, und der Aufwand hält sich in Grenzen – für die meisten Mittelständler ist das ein Projekt von Wochen, nicht von Quartalen.

Entscheidend ist nicht das Tool, sondern die Glaubwürdigkeit: Eine Meldestelle, die vertraulich arbeitet, Fristen hält und sichtbar reagiert, wird genutzt – und macht das Unternehmen besser. Eine, die nur auf dem Papier existiert, erzeugt genau das Risiko, das sie vermeiden soll. Wer Betroffenheit, Kanal, Fristen, Schulung und Bekanntheit sauber aufsetzt, erfüllt nicht nur eine Pflicht – sondern bekommt ein Frühwarnsystem, das Missstände intern klärt, bevor sie extern eskalieren.