HinSchG für KMU: was ist praktisch zu tun?

Kurz und knapp

Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, eine interne Meldestelle einzurichten und zu betreiben (§ 12 Abs. 1 und 2 HinSchG). Bestimmte Unternehmen des Finanzsektors, etwa Kreditinstitute, Wertpapierinstitute, Versicherungsunternehmen, Kapitalverwaltungsgesellschaften sowie Zahlungs- und Kryptowerte-Institute, trifft die Pflicht unabhängig von der Beschäftigtenzahl (§ 12 Abs. 3 HinSchG). Für Unternehmen ab 250 Beschäftigten gilt das seit dem 2. Juli 2023, für private Beschäftigungsgeber mit 50 bis 249 Beschäftigten seit dem 17. Dezember 2023 (§ 42 Abs. 1 HinSchG). Wer keine interne Meldestelle einrichtet und betreibt, riskiert ein Bußgeld bis 20.000 € (§ 40 Abs. 2 Nr. 2, Abs. 6 HinSchG). Die Pflicht ist mit überschaubarem Aufwand erfüllbar (geschützter Meldekanal, Eingangsbestätigung, Bearbeitungs-Workflow), aber sie ist eine Pflicht, kein „nice to have".

Was das HinSchG verlangt

Das Gesetz setzt die EU-Whistleblower-Richtlinie (EU) 2019/1937 in deutsches Recht um. Es schützt Personen, die Verstöße gegen bestimmte Rechtsnormen melden, und verpflichtet bestimmte Beschäftigungsgeber, einen sicheren Meldeweg einzurichten.

Geschützte Meldungen umfassen Verstöße gegen (§ 2 HinSchG):

• alle strafbewehrten Vorschriften (§ 2 Abs. 1 Nr. 1).
• bußgeldbewehrte Vorschriften, soweit sie dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dienen (§ 2 Abs. 1 Nr. 2).
• Vorschriften des Bundes, der Länder und der EU in den in § 2 Abs. 1 Nr. 3 aufgezählten Bereichen, etwa Geldwäsche, Produktsicherheit, Umweltschutz, Lebensmittelsicherheit, Verbraucherschutz und Datenschutz.
• steuerliche Vorschriften für Körperschaften und Personenhandelsgesellschaften (§ 2 Abs. 1 Nr. 6 und 7) sowie kartellrechtliche Vorschriften (§ 2 Abs. 1 Nr. 8).

Nicht erfasst sind arbeitsrechtliche Beschwerden wie Mobbing-Vorwürfe oder die Bewertung von Vorgesetzten, soweit sie keinen straf- oder bußgeldbewehrten Verstoß im Sinne des § 2 betreffen. Dafür gelten weiterhin BetrVG, AGG und allgemeines Arbeitsrecht.

Ab welcher Mitarbeiterzahl gilt die Pflicht?

§ 12 Abs. 2 und § 42 Abs. 1 HinSchG staffeln die Pflicht nach Beschäftigtenzahl:

• Ab 50 Beschäftigten: Pflicht zur Einrichtung einer internen Meldestelle.
• 50–249 Beschäftigte (private Beschäftigungsgeber): Pflicht gilt seit dem 17. Dezember 2023 (vorher Übergangsfrist nach § 42 Abs. 1). Für die Finanzunternehmen nach § 12 Abs. 3 galt diese Übergangsfrist nicht.

• 250+ Beschäftigte: Pflicht gilt seit dem 2. Juli 2023.

Maßstab ist die Zahl der Beschäftigten „in der Regel" (§ 12 Abs. 2 HinSchG). Als Beschäftigte gelten nach § 3 Abs. 8 HinSchG unter anderem Arbeitnehmerinnen und Arbeitnehmer sowie die zu ihrer Berufsbildung Beschäftigten. Mehrere private Beschäftigungsgeber mit 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle betreiben (§ 14 Abs. 2 HinSchG). Bei Konzernen ist umstritten, ob eine zentrale Konzern-Meldestelle als beauftragter „Dritter" (§ 14 Abs. 1 HinSchG) für alle Töchter genügt. Die Pflicht, Maßnahmen gegen einen Verstoß zu ergreifen, bleibt in jedem Fall beim einzelnen Beschäftigungsgeber (§ 14 Abs. 1 Satz 2 HinSchG).

Unternehmen mit weniger als 50 Beschäftigten sind, außer im Finanzsektor nach § 12 Abs. 3, nicht zur Einrichtung verpflichtet. Eine freiwillige Meldestelle ist möglich, etwa wenn ein Auftraggeber sie vertraglich verlangt.

Welche Meldekanäle sind zulässig?

§ 16 Abs. 3 HinSchG verlangt, dass interne Meldekanäle Meldungen mündlich (per Telefon oder andere Sprachübermittlung) oder in Textform ermöglichen und auf Ersuchen der hinweisgebenden Person eine persönliche Zusammenkunft. Zugriff auf die Meldungen dürfen nur die zuständigen und sie unterstützenden Personen haben (§ 16 Abs. 2 HinSchG).

Praktisch akzeptierte Umsetzungen:

• E-Mail-Postfach mit eingeschränktem Zugriff auf zwei Personen, einfachste Variante, datenschutzrechtlich aber heikel (Server-Logs, Mailprovider).
• Web-Formular auf eigener Website mit Pseudonymisierungsoption; die Kosten richten sich nach dem jeweiligen Anbieterangebot.

• Telefon-Hotline mit eigener Nummer. Dokumentiert wird mit einem Inhaltsprotokoll; eine Tonaufzeichnung oder ein Wortprotokoll ist nur mit Einwilligung der hinweisgebenden Person zulässig (§ 11 Abs. 2 HinSchG).
• Externe Ombudsperson, etwa eine Anwaltskanzlei, als beauftragter Dritter nach § 14 Abs. 1 HinSchG.
• Persönliche Zusammenkunft auf Wunsch, kein eigener „Kanal", sondern eine zusätzliche Pflicht.

Anonyme Meldungen: Nach § 16 Abs. 1 Satz 4 und 5 HinSchG sollte die interne Meldestelle auch anonym eingehende Meldungen bearbeiten. Eine Pflicht, die Meldekanäle so zu gestalten, dass sie anonyme Meldungen ermöglichen, besteht ausdrücklich nicht.

Bearbeitungs-Fristen

§ 17 HinSchG ist strikt formuliert:

• 7 Tage nach Eingang: Empfangsbestätigung an den Hinweisgeber.
• 3 Monate nach Empfangsbestätigung: Rückmeldung an den Hinweisgeber über getroffene Maßnahmen.

Ein eigener Bußgeldtatbestand für die Überschreitung dieser Fristen findet sich in § 40 HinSchG nicht; verpflichtend sind sie trotzdem. Wurde der Eingang nicht bestätigt, läuft die Rückmeldefrist spätestens drei Monate und sieben Tage nach Eingang ab (§ 17 Abs. 2 Satz 1 HinSchG). Die 3-Monats-Frist heißt nicht „Sachverhalt abschließend geklärt", sondern: Die Rückmeldung umfasst geplante sowie bereits ergriffene Folgemaßnahmen und die Gründe dafür (§ 17 Abs. 2 Satz 2 HinSchG), etwa Anhörung, externe Begutachtung oder Einleitung disziplinarischer Schritte.

Dokumentationspflicht (§ 11 HinSchG):

• alle eingehenden Meldungen dauerhaft abrufbar und unter Wahrung der Vertraulichkeit dokumentieren (§ 11 Abs. 1)
• bei telefonischen Meldungen: Wortprotokoll oder Tonaufzeichnung nur mit Einwilligung, sonst Inhaltsprotokoll (§ 11 Abs. 2)
• Löschung drei Jahre nach Abschluss des Verfahrens (§ 11 Abs. 5 Satz 1)
• längere Aufbewahrung nur, soweit sie zur Erfüllung des HinSchG oder anderer Rechtsvorschriften erforderlich und verhältnismäßig ist (§ 11 Abs. 5 Satz 2)

Beschwerde- und externe Meldestellen

§§ 19–24 HinSchG schaffen externe Meldestellen. Hinweisgeber können wählen, ob sie sich an diese oder an die interne Meldestelle wenden (§ 7 Abs. 1 HinSchG):

• Externe Meldestelle des Bundes beim Bundesamt für Justiz (BfJ), zuständig, soweit keine andere externe Meldestelle zuständig ist (§ 19 Abs. 4 HinSchG).
• BaFin, für die in § 21 HinSchG genannten Finanzmarkt- und Geldwäsche-Verstöße.
• Bundeskartellamt, für kartellrechtliche Hinweise (§ 22 HinSchG).
• Externe Meldestellen der Länder, die jedes Land optional für Meldungen zur eigenen Landes- und Kommunalverwaltung einrichten kann (§ 20 HinSchG).

Wichtig für KMU: Beschäftigungsgeber sollen Anreize schaffen, dass sich Hinweisgeber zuerst an die interne Meldestelle wenden (§ 7 Abs. 3 HinSchG). Existiert keine oder funktioniert sie erkennbar nicht, bleibt nur der externe Weg; eine Offenlegung gegenüber der Öffentlichkeit ist unter den Voraussetzungen des § 32 HinSchG geschützt.

Sanktionen bei Verstößen

§ 40 Abs. 6 HinSchG staffelt die Bußgelder in drei Stufen:

In den Fällen des § 40 Abs. 2 Nr. 1 und 3 sowie Abs. 3 und 4 ist § 30 Abs. 2 Satz 3 OWiG anzuwenden, bei Verbandsgeldbußen verzehnfacht sich damit das Höchstmaß. Zusätzlich:

• Zivilrechtliche Schadensersatzansprüche des Hinweisgebers bei Repressalien (§ 37 HinSchG), Beweislastumkehr zugunsten des Hinweisgebers (§ 36 Abs. 2 HinSchG).
• Reputationsrisiko bei externer Eskalation: Wer intern kein Gehör findet, wendet sich eher an eine externe Meldestelle; unter den Voraussetzungen des § 32 HinSchG ist auch die Offenlegung gegenüber der Öffentlichkeit geschützt.

Praxis-Tipps für KMU

Tipp 1, Klein anfangen, aber konform. Ein DSGVO-konformes Web-Formular plus eine schriftliche Verfahrensanweisung ist eine schlanke Lösung. Weil § 16 Abs. 3 HinSchG auch mündliche Meldungen per Telefon oder Sprachübermittlung verlangt, gehört ein solcher Weg dazu. Spätere Skalierung (Hotline, App-Variante) ist additiv möglich.

Tipp 2, Verantwortliche klar benennen. § 15 HinSchG verlangt, dass die mit der Meldestelle beauftragten Personen unabhängig sind und über die notwendige Fachkunde verfügen. Bei KMU oft die Compliance-Verantwortliche oder die HR-Leitung, vorausgesetzt, keine Interessenkonflikte (kein Vorgesetzter über typische Hinweisgeber-Bereiche).

Tipp 3, Belegschaft informieren. Die schönste Meldestelle nützt nichts, wenn niemand sie kennt. § 7 Abs. 3 Satz 2 HinSchG verlangt klare und leicht zugängliche Informationen über das interne Meldeverfahren, § 13 Abs. 2 HinSchG solche über die externen Meldeverfahren; eine Intranet-Seite plus Aushang plus Onboarding-Erwähnung deckt das ab.

Tipp 4, Externe Ombudsperson erwägen. § 14 Abs. 1 HinSchG erlaubt, einen Dritten, etwa eine externe Anwaltsperson, mit den Aufgaben der Meldestelle zu betrauen. Das lagert die rechtliche Erstbewertung aus; die Kosten richten sich nach dem jeweiligen Angebot.

Tipp 5, Drill-Übung einplanen. Regelmäßig eine simulierte Meldung durchspielen: Frist-Einhaltung, Vertraulichkeit, Folge-Schritte. So fallen Lücken auf, bevor ein echter Fall eingeht.

FAQ

Wir haben 45 Beschäftigte, brauchen wir eine Meldestelle? Nein, sofern das Unternehmen nicht zu den Finanzunternehmen nach § 12 Abs. 3 HinSchG gehört. Eine freiwillige Einrichtung kann sinnvoll sein, etwa wenn Kundenverträge sie verlangen.

Reicht eine E-Mail-Adresse als Meldekanal? Nein. § 16 Abs. 3 HinSchG verlangt neben der Textform auch mündliche Meldungen per Telefon oder einer anderen Art der Sprachübermittlung und auf Wunsch eine persönliche Zusammenkunft. Zudem dürfen nur die zuständigen und unterstützenden Personen Zugriff haben (§ 16 Abs. 2). Liegt das Postfach beim allgemeinen IT-Dienstleister mit Lesezugriff, ist das nicht gewährleistet.

Müssen wir anonyme Meldungen entgegennehmen? Eine Pflicht, anonyme Meldungen technisch zu ermöglichen, besteht nicht (§ 16 Abs. 1 Satz 5 HinSchG). Gehen sie dennoch ein, sollte die interne Meldestelle sie bearbeiten (§ 16 Abs. 1 Satz 4 HinSchG).

Was, wenn der Hinweis sich als haltlos erweist? Geschützt ist, wer zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass die Informationen der Wahrheit entsprechen (§ 33 Abs. 1 Nr. 2 HinSchG). Wer vorsätzlich oder grob fahrlässig unrichtige Informationen meldet, haftet für den daraus entstandenen Schaden (§ 38 HinSchG). Bei gutgläubiger Fehleinschätzung bleibt der Schutz bestehen.

Können wir die Meldestelle outsourcen? Ja. § 14 Abs. 1 HinSchG erlaubt, einen Dritten, etwa einen Dienstleister oder eine Ombudsperson, mit den Aufgaben der internen Meldestelle zu betrauen. Die Pflicht, selbst geeignete Maßnahmen gegen einen Verstoß zu ergreifen, bleibt beim Beschäftigungsgeber (§ 14 Abs. 1 Satz 2).

Was kostet die Einrichtung? Das hängt vom Einzelfall ab: Softwarelösungen und externe Ombudspersonen berechnen laut Angebot, hinzu kommt die interne Arbeitszeit je Meldung. Ein Preisvergleich mehrerer Angebote lohnt sich, bevor die Entscheidung zwischen interner Stelle und externer Ombudsperson fällt.

Wie unterscheidet sich HinSchG von DSGVO-Auskunftsrecht? HinSchG bezieht sich auf Hinweise zu Rechtsverstößen. DSGVO-Auskünfte beziehen sich auf die eigenen personenbezogenen Daten der anfragenden Person. Beide Mechanismen können parallel auflaufen und müssen sauber unterschieden werden, weil die Schutzpflichten verschieden sind.

Muss das Geschäftsführerinnen-Postfach das Meldepostfach sein? Nein, und es sollte es auch nicht sein. Die Meldestelle muss unabhängig agieren. Vorgesetzte der typischen Hinweisgeber-Bereiche sind als Empfänger ungeeignet.

Diese Einordnung beruht auf dem Hinweisgeberschutzgesetz, Stand: 18.09.2026. Eine konkrete Einzelfallprüfung ersetzt sie nicht.