Hinweisgeberschutzgesetz (HinSchG): Pflichten, Fristen und Bußgelder für Unternehmen ab 50 Beschäftigten
Welche Verstöße das Gesetz überhaupt erfasst, ab wann eine interne Meldestelle Pflicht ist, welche Fristen für Eingangsbestätigung und Rückmeldung gelten, was das Repressalienverbot mit der Beweislast macht und welche Bußgelder je Tatbestand tatsächlich im Gesetz stehen.
Das Hinweisgeberschutzgesetz vom 31. Mai 2023 schützt Menschen, die im beruflichen Zusammenhang Verstöße melden. Für Betriebe hängt daran vor allem eine organisatorische Pflicht: Wer in der Regel mindestens 50 Beschäftigte hat, muss eine interne Meldestelle einrichten und betreiben. Dazu kommen feste Fristen, ein strenges Vertraulichkeitsgebot, eine Dokumentationspflicht und ein Repressalienverbot mit einer Beweislastregel, die für Arbeitgeber der schärfste Punkt des Gesetzes ist. Diese Seite geht den Gesetzestext durch und benennt zu jeder Zahl den Paragrafen, damit Sie nachprüfen können, was für Ihren Betrieb gilt.
Was das Hinweisgeberschutzgesetz regelt
Das Hinweisgeberschutzgesetz, kurz HinSchG, ist am 31. Mai 2023 ausgefertigt worden und am 2. Juli 2023 in Kraft getreten. § 41 gilt bereits seit dem 3. Juni 2023. Nach der amtlichen Standangabe auf gesetze-im-internet.de ist das Gesetz zuletzt durch Artikel 2 des Gesetzes vom 22. Juli 2026 (BGBl. 2026 I Nr. 223) geändert worden. Wer mit einer älteren Fassung arbeitet, sollte den Katalog in § 2 gegenprüfen, weil dort in der geltenden Fassung inzwischen auch Verstöße gegen die KI-Verordnung (EU) 2024/1689 stehen.
§ 1 Absatz 1 beschreibt den Zweck. Geschützt werden natürliche Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die im Gesetz vorgesehenen Meldestellen melden oder offenlegen. § 1 Absatz 2 stellt klar, dass auch Personen geschützt werden, die Gegenstand einer Meldung sind, und sonstige Betroffene. Das Gesetz ist damit keine Einbahnstraße zugunsten der meldenden Person.
Hintergrund ist die Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden. Für den betrieblichen Alltag ist das nur insofern wichtig, als der Anwendungsbereich in § 2 sehr stark an unionsrechtlichen Rechtsgebieten ausgerichtet ist. Wer den Katalog kennt, versteht auch, warum manche Themen erfasst sind und andere nicht.
Wer nach dem Gesetz Beschäftigter ist
§ 3 Absatz 8 zählt auf, wer als Beschäftigter gilt: Arbeitnehmerinnen und Arbeitnehmer, die zu ihrer Berufsbildung Beschäftigten, Beamtinnen und Beamte, Richterinnen und Richter mit Ausnahme der ehrenamtlichen, Soldatinnen und Soldaten, arbeitnehmerähnliche Personen einschließlich der in Heimarbeit Beschäftigten und Gleichgestellten sowie Menschen mit Behinderung, die in einer Werkstatt für behinderte Menschen oder bei einem anderen Leistungsanbieter nach § 60 SGB IX beschäftigt sind.
Beschäftigungsgeber ist nach § 3 Absatz 9 jede natürliche oder juristische Person des öffentlichen und des privaten Rechts, jede rechtsfähige Personengesellschaft und jede sonstige rechtsfähige Personenvereinigung, sofern dort mindestens eine Person beschäftigt ist. § 3 Absatz 10 grenzt davon die privaten Beschäftigungsgeber ab, also alle außer juristischen Personen des öffentlichen Rechts und solchen Stellen, die im Eigentum oder unter der Kontrolle einer juristischen Person des öffentlichen Rechts stehen. Diese Abgrenzung wird bei den Sonderregelungen in § 14 wieder wichtig.
Sachlicher Anwendungsbereich: welche Verstöße das Gesetz erfasst
Ein weit verbreitetes Missverständnis ist, das HinSchG erfasse jede Beschwerde aus dem Betrieb. Der sachliche Anwendungsbereich in § 2 ist enger und zugleich sehr detailliert. Er zählt in Absatz 1 elf Nummern auf, davon allein in Nummer 3 zwanzig Rechtsgebiete von Buchstabe a bis Buchstabe t, und ergänzt sie in Absatz 2 um zwei unionsrechtliche Auffangtatbestände.
Zwei Nummern tragen den größten Teil der Praxis. Nach § 2 Absatz 1 Nummer 1 sind alle strafbewehrten Verstöße erfasst, ohne weitere Einschränkung. Nach Nummer 2 sind bußgeldbewehrte Verstöße erfasst, allerdings nur soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Die Einschränkung in Nummer 2 ist der Punkt, an dem viele Zusammenfassungen unsauber werden.
Für einen technischen Betrieb heißt das: Ein Hinweis auf eine bewusst umgangene Schutzeinrichtung an einer Maschine oder auf nicht durchgeführte Prüfungen liegt regelmäßig im Bereich der Nummer 2, weil die einschlägigen Bußgeldvorschriften dem Schutz von Leben und Gesundheit dienen. Ein Hinweis auf eine unbeliebte Schichtplanung liegt außerhalb des Gesetzes. Ob eine konkrete Meldung in den Anwendungsbereich fällt, prüft nach § 17 Absatz 1 Nummer 2 die interne Meldestelle selbst.
| Bereich | Was erfasst ist | Fundstelle |
|---|---|---|
| Straftaten | Verstöße, die strafbewehrt sind, ohne weitere Einschränkung | § 2 Abs. 1 Nr. 1 |
| Ordnungswidrigkeiten | nur soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient | § 2 Abs. 1 Nr. 2 |
| Geldwäsche und Terrorismusfinanzierung | einschließlich Geldwäschegesetz und VO (EU) 2015/847 | § 2 Abs. 1 Nr. 3 Buchst. a |
| Produktsicherheit und Produktkonformität | Vorgaben zur Produktsicherheit und -konformität | § 2 Abs. 1 Nr. 3 Buchst. b |
| Gefahrgut | sichere Beförderung gefährlicher Güter auf der Straße, per Eisenbahn und per Binnenschiff | § 2 Abs. 1 Nr. 3 Buchst. g |
| Umweltschutz | Vorgaben zum Umweltschutz | § 2 Abs. 1 Nr. 3 Buchst. h |
| Lebensmittel, Futtermittel, Tierschutz | unter anderem Lebensmittel- und Futtermittelsicherheit, Pflanzenschutzmittel, Tiergesundheit und Tierschutz im dort genannten Umfang | § 2 Abs. 1 Nr. 3 Buchst. k |
| Verbraucherschutz | Verbraucherrechte in Verträgen zwischen Unternehmern und Verbrauchern, Preisangaben, unlautere geschäftliche Handlungen | § 2 Abs. 1 Nr. 3 Buchst. n |
| Datenschutz | Schutz personenbezogener Daten im Anwendungsbereich der DSGVO gemäß deren Artikel 2 | § 2 Abs. 1 Nr. 3 Buchst. p |
| Vergaberecht | Vergabe öffentlicher Aufträge und Konzessionen ab Erreichen der jeweils maßgeblichen EU-Schwellenwerte | § 2 Abs. 1 Nr. 4 |
| Steuerrecht | steuerliche Rechtsnormen für Körperschaften und Personenhandelsgesellschaften sowie missbräuchliche Gestaltungen | § 2 Abs. 1 Nr. 6 und 7 |
| Kartellrecht | Artikel 101 und 102 AEUV sowie die in § 81 Abs. 2 Nr. 1, 2 Buchst. a und Nr. 5 sowie Abs. 3 GWB genannten Vorschriften | § 2 Abs. 1 Nr. 8 |
| KI-Verordnung | Verstöße gegen Vorschriften der Verordnung (EU) 2024/1689 | § 2 Abs. 1 Nr. 10 |
| EU-Finanzinteressen und Binnenmarkt | Verstöße gegen den Schutz der finanziellen Interessen der EU (Art. 325 AEUV) und gegen Binnenmarktvorschriften (Art. 26 Abs. 2 AEUV) | § 2 Abs. 2 |
Was ein Verstoß im Sinne des Gesetzes ist
§ 3 Absatz 2 definiert Verstöße als Handlungen oder Unterlassungen im Rahmen einer beruflichen, unternehmerischen oder dienstlichen Tätigkeit, die rechtswidrig sind und Vorschriften oder Rechtsgebiete betreffen, die in den sachlichen Anwendungsbereich nach § 2 fallen. Dazu können auch missbräuchliche Handlungen oder Unterlassungen gehören, die dem Ziel oder dem Zweck dieser Regelungen zuwiderlaufen.
Es muss dabei nichts bewiesen sein. § 3 Absatz 3 lässt begründete Verdachtsmomente ausdrücklich genügen und erfasst auch Verstöße, die sehr wahrscheinlich erfolgen werden, sowie Versuche der Verschleierung. Für den Schutz der meldenden Person kommt es nach § 33 Absatz 1 darauf an, dass sie zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass die Informationen der Wahrheit entsprechen und in den Anwendungsbereich fallen.
Vorrangige Sonderregelungen
§ 4 Absatz 1 zählt Vorschriften auf, die dem HinSchG vorgehen, darunter § 6 Absatz 5 und § 53 des Geldwäschegesetzes. § 5 regelt den Vorrang von Sicherheitsinteressen sowie von Verschwiegenheits- und Geheimhaltungspflichten, § 6 das Verhältnis zu sonstigen Verschwiegenheitspflichten. Wer in einem regulierten Umfeld arbeitet, sollte diese drei Paragrafen vor dem Aufbau einer Meldestelle mitlesen, weil sie den Anwendungsbereich im Einzelfall verschieben können.
Der Katalog in § 2 ist hier verkürzt dargestellt. Die Nummer 3 umfasst zwanzig Buchstaben, von denen nur die für gewerbliche Betriebe praktisch häufigsten aufgeführt sind. Ob eine konkrete Meldung in den Anwendungsbereich fällt, ist eine Prüfung des Einzelfalls am Wortlaut des Gesetzes.
Die Pflicht zur internen Meldestelle ab 50 Beschäftigten
§ 12 Absatz 1 Satz 1 verlangt von Beschäftigungsgebern, dafür zu sorgen, dass bei ihnen mindestens eine Stelle für interne Meldungen eingerichtet ist und betrieben wird, an die sich Beschäftigte wenden können. § 12 Absatz 2 begrenzt diese Pflicht auf Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten.
Zwei Wörter in Absatz 2 tragen viel Gewicht. Das Wort jeweils knüpft die Zählung an den einzelnen Beschäftigungsgeber. In einer Unternehmensgruppe zählt damit jede Gesellschaft für sich, nicht der Konzern als Ganzes. Das Wort in der Regel stellt auf den normalen Personalstand ab, nicht auf einen Stichtag. Kurzfristige Spitzen oder Täler verschieben die Schwelle nicht automatisch.
Das Gesetz nennt für die Zählung keine Umrechnung auf Vollzeitäquivalente und keine anteilige Berücksichtigung von Teilzeitkräften. Maßgeblich ist der Begriff der Beschäftigten aus § 3 Absatz 8. Leiharbeitnehmerinnen und Leiharbeitnehmer stehen dort nicht, sie werden in § 16 Absatz 1 aber ausdrücklich als Personen genannt, die den internen Meldekanal nutzen können. Wer nahe an der Schwelle liegt, sollte die Zählung für den eigenen Betrieb fachlich klären lassen.
§ 12 Absatz 4 ergänzt eine Pflicht, die in der Praxis oft übersehen wird: Der Beschäftigungsgeber erteilt der internen Meldestelle die notwendigen Befugnisse, um ihre Aufgaben wahrzunehmen, insbesondere um Meldungen zu prüfen und Folgemaßnahmen zu ergreifen. Eine Meldestelle ohne Befugnisse erfüllt die Pflicht nicht.
| Konstellation | Was gilt | Fundstelle |
|---|---|---|
| Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten | Pflicht, mindestens eine interne Meldestelle einzurichten und zu betreiben | § 12 Abs. 1 Satz 1 i. V. m. Abs. 2 |
| Beschäftigungsgeber unter dieser Schwelle | keine Pflicht aus § 12 Absatz 1 Satz 1; eine freiwillige Einrichtung ist möglich, dann gelten für den Betrieb der Stelle die Vorgaben des Gesetzes | Umkehrschluss aus § 12 Abs. 2 |
| Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten | dürfen für die Entgegennahme von Meldungen und die weiteren Maßnahmen eine gemeinsame Stelle einrichten und betreiben; die Pflicht, den Verstoß abzustellen, und die Pflicht zur Rückmeldung bleiben beim einzelnen Beschäftigungsgeber | § 14 Abs. 2 |
| Wertpapierdienstleistungsunternehmen, Datenbereitstellungsdienste, Börsenträger, Institute nach KWG und WpIG, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen, Institute nach KMAG und ZAG sowie weitere dort genannte Stellen | Pflicht gilt unabhängig von der Zahl der Beschäftigten | § 12 Abs. 3 Nr. 1 bis 9 |
| Bund und Länder als Beschäftigungsgeber | die obersten Bundes- oder Landesbehörden bestimmen die Organisationseinheiten, bei denen die Meldestelle eingerichtet wird | § 12 Abs. 1 Satz 2 und 3 |
| Gemeinden und Gemeindeverbände sowie von ihnen kontrollierte Stellen | Pflicht nach Maßgabe des jeweiligen Landesrechts | § 12 Abs. 1 Satz 4 |
Wer die Meldestelle betreiben darf
§ 14 Absatz 1 Satz 1 lässt drei Organisationsformen zu. Die Aufgaben können einer beim Beschäftigungsgeber beschäftigten Person übertragen werden, einer aus mehreren Beschäftigten bestehenden Arbeitseinheit oder einem Dritten. Der Dritte kann eine externe Kanzlei sein, ein Ombudsmann oder ein spezialisierter Dienstleister.
Satz 2 zieht dabei eine klare Grenze: Die Betrauung eines Dritten entbindet den betrauenden Beschäftigungsgeber nicht von der Pflicht, selbst geeignete Maßnahmen zu ergreifen, um einen etwaigen Verstoß abzustellen. Die Meldestelle nach außen zu geben verlagert also den Kanal, nicht die Verantwortung für die Abhilfe.
Unabhängigkeit, Fachkunde und Interessenkonflikte
§ 15 Absatz 1 verlangt, dass die mit den Aufgaben einer internen Meldestelle beauftragten Personen bei der Ausübung ihrer Tätigkeit unabhängig sind. Sie dürfen daneben andere Aufgaben wahrnehmen, es ist dabei aber sicherzustellen, dass diese nicht zu Interessenkonflikten führen. Genau daran scheitern in der Praxis viele Zuordnungen, etwa wenn die Personalleitung die Meldestelle übernimmt und dieselbe Person über Kündigungen entscheidet.
§ 15 Absatz 2 verpflichtet den Beschäftigungsgeber, dafür Sorge zu tragen, dass die beauftragten Personen über die notwendige Fachkunde verfügen. Das Gesetz schreibt kein bestimmtes Zertifikat und keinen bestimmten Lehrgang vor. Es verlangt, dass die Person das Verfahren und den Anwendungsbereich beherrscht.
Die Übergangsfristen sind abgelaufen
§ 42 Absatz 1 gab privaten Beschäftigungsgebern mit in der Regel 50 bis 249 Beschäftigten Zeit bis zum 17. Dezember 2023, ihre interne Meldestelle einzurichten. Für die in § 12 Absatz 3 genannten Stellen galt diese Erleichterung nicht. § 42 Absatz 2 bestimmt, dass der Bußgeldtatbestand für eine fehlende Meldestelle, also § 40 Absatz 2 Nummer 2, erst ab dem 1. Dezember 2023 anzuwenden ist. Beide Daten liegen in der Vergangenheit, eine Schonfrist gibt es heute nicht mehr.
Die Zählung der Beschäftigten im konkreten Betrieb, insbesondere bei Teilzeit, befristeten Verhältnissen, Leiharbeit und verbundenen Unternehmen, ist eine Frage des Einzelfalls. § 12 Absatz 2 nennt lediglich das Merkmal jeweils in der Regel mindestens 50 Beschäftigte und verweist über § 3 Absatz 8 auf den Beschäftigtenbegriff.
Interne oder externe Meldestelle: das Wahlrecht liegt beim Hinweisgeber
§ 7 Absatz 1 Satz 1 stellt es der meldenden Person frei, ob sie sich an eine interne Meldestelle nach § 12 oder an eine externe Meldestelle nach den §§ 19 bis 24 wendet. Ein Vorrang der internen Meldung besteht rechtlich nicht. Satz 2 formuliert lediglich eine Empfehlung: In Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und keine Repressalien zu befürchten sind, sollte die interne Meldung bevorzugt werden. Satz 3 hält fest, dass der Weg nach außen offen bleibt, wenn einem intern gemeldeten Verstoß nicht abgeholfen wurde.
Für einen Betrieb folgt daraus ein sachliches Eigeninteresse. Ein interner Kanal, der funktioniert und dem die Belegschaft vertraut, sorgt dafür, dass ein Hinweis zuerst im Haus landet und dort geprüft und abgestellt werden kann. Ein Kanal, der nicht existiert oder dem niemand traut, führt dazu, dass derselbe Hinweis direkt beim Bundesamt für Justiz oder bei einer anderen zuständigen Stelle ankommt. Das ist der praktische Kern des Themas, unabhängig von jeder Bußgelddrohung.
§ 7 Absatz 3 macht daraus sogar eine eigene Pflicht. Beschäftigungsgeber, die nach § 12 Absatz 1 und 3 zur Einrichtung interner Meldestellen verpflichtet sind, sollen Anreize dafür schaffen, dass sich hinweisgebende Personen vor einer externen Meldung zunächst an die interne Meldestelle wenden. Sie stellen für Beschäftigte klare und leicht zugängliche Informationen über die Nutzung des internen Meldeverfahrens bereit. Die Möglichkeit einer externen Meldung darf dadurch nicht beschränkt oder erschwert werden.
§ 7 Absatz 2 verbietet ausdrücklich, Meldungen oder die auf eine Meldung folgende Kommunikation zwischen hinweisgebender Person und Meldestelle zu behindern oder dies auch nur zu versuchen. Dieser Tatbestand ist nach § 40 Absatz 2 Nummer 1 bußgeldbewehrt und liegt im höchsten Rahmen des Gesetzes.
Welche externen Meldestellen es gibt
§ 19 Absatz 1 errichtet die externe Meldestelle des Bundes beim Bundesamt für Justiz, organisatorisch getrennt vom übrigen Zuständigkeitsbereich der Behörde. Nach § 19 Absatz 4 ist sie zuständig, soweit nicht eine externe Meldestelle nach den §§ 20 bis 23 zuständig ist. § 20 erlaubt jedem Land, eine eigene externe Meldestelle für Meldungen einzurichten, die die Landes- und Kommunalverwaltung betreffen. § 21 macht die Bundesanstalt für Finanzdienstleistungsaufsicht zur zuständigen externen Meldestelle für die dort genannten Bereiche, § 22 das Bundeskartellamt.
§ 13 Absatz 2 verlangt von der internen Meldestelle, für Beschäftigte klare und leicht zugängliche Informationen über die externen Meldeverfahren bereitzuhalten. Der Verweis nach außen gehört also zum internen Verfahren dazu.
Offenlegung gegenüber der Öffentlichkeit
Der dritte Weg ist die Offenlegung, also nach § 3 Absatz 5 das Zugänglichmachen von Informationen über Verstöße gegenüber der Öffentlichkeit. § 32 Absatz 1 lässt den Schutz des Gesetzes hier nur unter engen Voraussetzungen greifen. Entweder wurde zuvor extern gemeldet und es wurden innerhalb der Fristen des § 28 Absatz 4 keine geeigneten Folgemaßnahmen ergriffen oder es gab keine Rückmeldung darüber. Oder es bestand hinreichender Grund zu der Annahme, dass der Verstoß eine unmittelbare oder offenkundige Gefährdung des öffentlichen Interesses darstellen kann, dass im Fall einer externen Meldung Repressalien zu befürchten sind oder dass Beweismittel unterdrückt werden könnten.
§ 32 Absatz 2 verbietet das Offenlegen unrichtiger Informationen über Verstöße. Wer wissentlich dagegen verstößt, handelt nach § 40 Absatz 1 ordnungswidrig.
Meldekanal, Verfahren und Fristen
§ 16 Absatz 1 verpflichtet die nach § 12 zur Einrichtung verpflichteten Beschäftigungsgeber, Meldekanäle einzurichten, über die sich Beschäftigte und dem Beschäftigungsgeber überlassene Leiharbeitnehmerinnen und Leiharbeitnehmer an die interne Meldestelle wenden können. Der Kanal darf zusätzlich für natürliche Personen geöffnet werden, die im Rahmen ihrer beruflichen Tätigkeit mit dem Betrieb in Kontakt stehen, also etwa für Lieferanten oder Kunden.
Zur Anonymität sagt § 16 Absatz 1 zwei unterschiedliche Dinge in zwei aufeinanderfolgenden Sätzen. Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten. Es besteht allerdings keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen. Eine Pflicht zum anonymen Kanal gibt es also nicht, eine Empfehlung zur Bearbeitung anonymer Meldungen schon.
§ 16 Absatz 3 legt die Formen fest. Interne Meldekanäle müssen Meldungen in mündlicher oder in Textform ermöglichen. Mündliche Meldungen müssen per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein. Auf Ersuchen der hinweisgebenden Person ist innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft zu ermöglichen, mit ihrer Einwilligung auch im Wege der Bild- und Tonübertragung. § 16 Absatz 2 verlangt, dass nur die zuständigen und die sie unterstützenden Personen Zugriff auf die eingehenden Meldungen haben.
Der Verfahrensablauf steht in § 17 Absatz 1. Die interne Meldestelle bestätigt den Eingang, prüft, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich nach § 2 fällt, hält Kontakt mit der hinweisgebenden Person, prüft die Stichhaltigkeit der Meldung, ersucht erforderlichenfalls um weitere Informationen und ergreift angemessene Folgemaßnahmen nach § 18.
| Schritt | Frist | Fundstelle |
|---|---|---|
| Eingangsbestätigung durch die interne Meldestelle | spätestens nach sieben Tagen | § 17 Abs. 1 Nr. 1 |
| Rückmeldung durch die interne Meldestelle | innerhalb von drei Monaten nach der Bestätigung des Eingangs; wurde der Eingang nicht bestätigt, spätestens drei Monate und sieben Tage nach Eingang der Meldung | § 17 Abs. 2 Satz 1 |
| Persönliche Zusammenkunft auf Ersuchen | innerhalb einer angemessenen Zeit | § 16 Abs. 3 Satz 3 |
| Eingangsbestätigung durch eine externe Meldestelle | umgehend, spätestens jedoch sieben Tage nach Eingang; sie entfällt bei ausdrücklichem Verzicht oder wenn sie den Schutz der Identität beeinträchtigen würde | § 28 Abs. 1 |
| Rückmeldung durch eine externe Meldestelle | innerhalb einer angemessenen Zeit, spätestens nach drei Monaten; bei umfangreicher Bearbeitung sechs Monate, die Gründe für die Verlängerung sind mitzuteilen | § 28 Abs. 4 |
| Löschung der Dokumentation | drei Jahre nach Abschluss des Verfahrens; eine längere Aufbewahrung ist zulässig, solange sie zur Erfüllung von Anforderungen erforderlich und verhältnismäßig ist | § 11 Abs. 5 |
Was in der Rückmeldung stehen muss
§ 17 Absatz 2 Satz 2 beschreibt den Inhalt: Die Rückmeldung umfasst die Mitteilung geplanter sowie bereits ergriffener Folgemaßnahmen und die Gründe für diese. Satz 3 zieht eine Grenze. Eine Rückmeldung darf nur insoweit erfolgen, als dadurch interne Nachforschungen oder Ermittlungen nicht berührt und die Rechte der Personen, die Gegenstand einer Meldung sind oder in ihr genannt werden, nicht beeinträchtigt werden.
Die Drei-Monats-Frist beginnt nach dem Wortlaut mit der Eingangsbestätigung. Wer die Bestätigung liegen lässt, verkürzt sich die eigene Bearbeitungszeit nur um sieben Tage und riskiert zugleich, den ersten Schritt des Verfahrens zu verfehlen. Beide Fristen laufen ab Eingang der Meldung und nicht ab dem Zeitpunkt, an dem jemand im Haus sie zur Kenntnis nimmt.
Welche Folgemaßnahmen möglich sind
§ 18 nennt vier Beispiele. Die interne Meldestelle kann interne Untersuchungen durchführen und betroffene Personen und Arbeitseinheiten kontaktieren, die hinweisgebende Person an andere zuständige Stellen verweisen, das Verfahren aus Mangel an Beweisen oder aus anderen Gründen abschließen oder es zwecks weiterer Untersuchungen an eine intern zuständige Arbeitseinheit oder an eine zuständige Behörde abgeben. Die Aufzählung ist mit dem Wort insbesondere eingeleitet und damit nicht abschließend.
Die genannten Fristen geben den Wortlaut der §§ 16, 17, 28 und 11 wieder. Wie sie im konkreten Fall zu berechnen sind, insbesondere bei Wochenenden, Feiertagen und mehrstufigen Meldewegen, ist eine Frage des Einzelfalls.
Vertraulichkeit und Dokumentation
§ 8 Absatz 1 verpflichtet die Meldestellen, die Vertraulichkeit der Identität von drei Personengruppen zu wahren: der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, und der sonstigen in der Meldung genannten Personen. Bei der hinweisgebenden Person gilt das, sofern die gemeldeten Informationen Verstöße im Anwendungsbereich des Gesetzes betreffen oder sie zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass dies der Fall sei.
Satz 2 ist der operativ härteste Satz des ganzen Abschnitts. Die Identität dieser Personen darf ausschließlich den Personen bekannt werden, die für die Entgegennahme von Meldungen oder für das Ergreifen von Folgemaßnahmen zuständig sind, sowie den sie dabei unterstützenden Personen. Ein Meldeeingang in einem allgemeinen Postfach, auf das mehrere Abteilungen Zugriff haben, verstößt gegen diese Vorgabe. § 8 Absatz 2 stellt außerdem klar, dass das Vertraulichkeitsgebot unabhängig davon gilt, ob die Meldestelle für die eingehende Meldung überhaupt zuständig ist.
§ 9 regelt die Ausnahmen. Nach Absatz 1 wird die Identität einer Person, die vorsätzlich oder grob fahrlässig unrichtige Informationen meldet, nicht nach dem Gesetz geschützt. Nach Absatz 2 darf die Identität an die zuständige Stelle weitergegeben werden in Strafverfahren auf Verlangen der Strafverfolgungsbehörden, aufgrund einer Anordnung in einem nachfolgenden Verwaltungsverfahren einschließlich Bußgeldverfahren, aufgrund einer gerichtlichen Entscheidung sowie in den dort genannten Fällen durch die Bundesanstalt für Finanzdienstleistungsaufsicht und das Bundeskartellamt. Die Meldestelle hat die hinweisgebende Person vorab zu informieren und ihr die Gründe schriftlich oder elektronisch darzulegen, es sei denn, die Ermittlungen würden dadurch gefährdet.
Über diese Fälle hinaus ist eine Weitergabe nach § 9 Absatz 3 nur zulässig, wenn sie für Folgemaßnahmen erforderlich ist und die hinweisgebende Person zuvor eingewilligt hat. Die Einwilligung muss für jede einzelne Weitergabe gesondert und in Textform vorliegen. Eine pauschale Einwilligung im Meldeformular erfüllt diese Anforderung nicht.
Dokumentationspflicht und Löschfrist
§ 11 Absatz 1 verlangt, dass die für die Entgegennahme zuständigen Personen alle eingehenden Meldungen in dauerhaft abrufbarer Weise dokumentieren, und zwar unter Beachtung des Vertraulichkeitsgebots aus § 8. Bei telefonischen Meldungen oder Meldungen mittels einer anderen Art der Sprachübermittlung darf eine dauerhaft abrufbare Tonaufzeichnung oder ein Wortprotokoll nach Absatz 2 nur mit Einwilligung der hinweisgebenden Person erstellt werden. Fehlt die Einwilligung, ist ein Inhaltsprotokoll zu erstellen, also eine Zusammenfassung des Inhalts durch die verantwortliche Person.
§ 11 Absatz 4 gibt der hinweisgebenden Person Gelegenheit, das Protokoll zu überprüfen, gegebenenfalls zu korrigieren und durch Unterschrift oder in elektronischer Form zu bestätigen. Wird eine Tonaufzeichnung zur Anfertigung eines Protokolls verwendet, ist sie zu löschen, sobald das Protokoll fertiggestellt ist.
§ 11 Absatz 5 setzt die Löschfrist: Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht. Länger aufbewahrt werden darf sie, um Anforderungen nach dem HinSchG oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist. Wer also aus einem anderen Grund zur Aufbewahrung verpflichtet ist, muss den Fall begründen und dokumentieren können.
Datenschutz
§ 10 erlaubt den Meldestellen die Verarbeitung personenbezogener Daten, soweit dies zur Erfüllung ihrer Aufgaben nach den §§ 13 und 24 erforderlich ist. Abweichend von Artikel 9 Absatz 1 DSGVO ist auch die Verarbeitung besonderer Kategorien personenbezogener Daten zulässig, wenn dies zur Aufgabenerfüllung erforderlich ist. In diesem Fall hat die Meldestelle spezifische und angemessene Maßnahmen zur Wahrung der Interessen der betroffenen Person vorzusehen, wobei § 22 Absatz 2 Satz 2 BDSG entsprechend anzuwenden ist.
Die datenschutzrechtliche Ausgestaltung eines Meldesystems, insbesondere Verarbeitungsverzeichnis, Löschkonzept und die Einbindung eines Auftragsverarbeiters, erfordert eine eigene Prüfung. § 10 HinSchG regelt nur die Befugnis zur Verarbeitung.
Repressalienverbot und Beweislastumkehr nach § 36
§ 36 Absatz 2 kehrt die Beweislast um. Erleidet eine hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit und macht sie geltend, diese Benachteiligung infolge einer Meldung erlitten zu haben, wird vermutet, dass die Benachteiligung eine Repressalie ist. Beweisen muss dann der Arbeitgeber, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte.
§ 36 Absatz 1 Satz 1 verbietet gegen hinweisgebende Personen gerichtete Repressalien. Satz 2 zieht die Androhung und den Versuch mit ein. Repressalien sind nach § 3 Absatz 6 Handlungen oder Unterlassungen im Zusammenhang mit der beruflichen Tätigkeit, die eine Reaktion auf eine Meldung oder Offenlegung sind und durch die der hinweisgebenden Person ein ungerechtfertigter Nachteil entsteht oder entstehen kann. Der Wortlaut erfasst also auch Unterlassungen und auch Nachteile, die erst entstehen können.
Praktisch bedeutet die Vermutungsregel aus Absatz 2, dass jede Personalmaßnahme, die nach einer Meldung ergeht, in einem gerichtlichen Verfahren erklärungsbedürftig wird. Kündigung, Versetzung, entzogene Aufgaben, eine schlechtere Beurteilung, eine verweigerte Beförderung: In all diesen Fällen liegt die Darlegungs- und Beweislast beim Arbeitgeber, wenn die betroffene Person den Zusammenhang mit ihrer Meldung geltend macht. Wer Personalentscheidungen nachvollziehbar und mit Datum dokumentiert, ist an dieser Stelle deutlich besser aufgestellt als jemand, der sie mündlich trifft.
§ 37 Absatz 1 knüpft an einen Verstoß gegen das Repressalienverbot einen Schadensersatzanspruch. Absatz 2 begrenzt ihn: Ein Verstoß begründet keinen Anspruch auf Begründung eines Beschäftigungsverhältnisses, eines Berufsausbildungsverhältnisses oder eines anderen Vertragsverhältnisses und auch keinen Anspruch auf einen beruflichen Aufstieg. Umgekehrt haftet nach § 38 die hinweisgebende Person für den Schaden aus einer vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen.
Wann der Schutz überhaupt greift
Die §§ 35 bis 37 sind nach § 33 Absatz 1 nur anwendbar, wenn drei Voraussetzungen zusammenkommen. Erstens muss intern nach § 17, extern nach § 28 gemeldet oder nach § 32 offengelegt worden sein. Zweitens muss die hinweisgebende Person zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme gehabt haben, dass die Informationen der Wahrheit entsprechen. Drittens müssen die Informationen Verstöße betreffen, die in den Anwendungsbereich des Gesetzes fallen, oder sie muss hinreichenden Grund zu der Annahme gehabt haben, dass dies der Fall sei.
§ 34 dehnt den Schutz aus. Er gilt entsprechend für Personen, die die hinweisgebende Person vertraulich unterstützen, für Dritte, die mit ihr in Verbindung stehen und im beruflichen Zusammenhang Repressalien erlitten haben, sowie für juristische Personen und Personengesellschaften, die mit ihr rechtlich verbunden sind oder für die sie tätig ist. § 35 schließt außerdem die rechtliche Verantwortlichkeit für die Beschaffung der gemeldeten Informationen aus, sofern die Beschaffung nicht als solche eine eigenständige Straftat darstellt.
Abweichende Vereinbarungen sind unwirksam
§ 39 erklärt Vereinbarungen für unwirksam, die die nach dem Gesetz bestehenden Rechte hinweisgebender Personen oder sonst geschützter Personen einschränken. Klauseln in Arbeitsverträgen, Aufhebungsverträgen oder Verschwiegenheitsvereinbarungen, die eine Meldung nach dem HinSchG untersagen oder erschweren sollen, laufen an dieser Stelle ins Leere. Wer Vertragsmuster im Haus verwendet, sollte sie daraufhin einmal durchsehen lassen.
Ob eine konkrete Personalmaßnahme eine Repressalie im Sinne des § 36 darstellt und wie die Vermutungsregel im Prozess wirkt, entscheidet sich im Einzelfall vor dem Arbeitsgericht. Diese Seite gibt den Gesetzeswortlaut wieder und ersetzt keine arbeitsrechtliche Prüfung.
Bußgelder nach § 40: die Höhen unterscheiden sich je Tatbestand
Die im Umlauf befindliche Angabe, eine fehlende interne Meldestelle koste bis zu 50.000 Euro, gibt § 40 nicht her. § 40 Absatz 6 Satz 1 ordnet den Tatbestand der fehlenden Meldestelle, also Absatz 2 Nummer 2, dem Rahmen bis zu zwanzigtausend Euro zu. Der Rahmen bis zu fünfzigtausend Euro gilt für andere Tatbestände.
§ 40 kennt vier Ordnungswidrigkeitentatbestände und einen Versuchstatbestand. Nach Absatz 1 handelt ordnungswidrig, wer wissentlich entgegen § 32 Absatz 2 eine unrichtige Information offenlegt. Nach Absatz 2 handelt ordnungswidrig, wer eine Meldung oder die dort genannte Kommunikation behindert (Nummer 1), wer nicht dafür sorgt, dass eine interne Meldestelle eingerichtet ist und betrieben wird (Nummer 2), oder wer eine Repressalie ergreift (Nummer 3). Absatz 3 erfasst die vorsätzliche oder leichtfertige Verletzung des Vertraulichkeitsgebots, Absatz 4 die fahrlässige Verletzung. Absatz 5 stellt den Versuch in den Fällen des Absatzes 2 Nummer 1 und 3 unter Ahndung.
Die Zuordnung der Beträge steht in § 40 Absatz 6 Satz 1. Bis zu fünfzigtausend Euro gelten in den Fällen des Absatzes 2 Nummer 1 und 3 sowie der Absätze 3 und 5. Bis zu zwanzigtausend Euro gelten in den Fällen der Absätze 1 und 2 Nummer 2. In den übrigen Fällen, also bei der fahrlässigen Verletzung des Vertraulichkeitsgebots nach Absatz 4, liegt der Rahmen bei bis zu zehntausend Euro.
Satz 2 desselben Absatzes bringt die zweite Ebene ins Spiel. § 30 Absatz 2 Satz 3 des Gesetzes über Ordnungswidrigkeiten ist in den Fällen des Absatzes 2 Nummer 1 und 3 sowie der Absätze 3 und 4 anzuwenden. Diese Vorschrift bestimmt, dass sich das Höchstmaß der Geldbuße verzehnfacht, wenn ein Gesetz auf sie verweist. Gegen eine juristische Person oder eine Personenvereinigung kann die Geldbuße in diesen Fällen also das Zehnfache des jeweiligen Rahmens erreichen. Der Tatbestand der fehlenden Meldestelle steht in dieser Aufzählung nicht.
| Tatbestand | Fundstelle | Rahmen | Gegen juristische Personen (§ 30 Abs. 2 Satz 3 OWiG) |
|---|---|---|---|
| Eine Meldung oder die auf sie folgende Kommunikation behindern | § 40 Abs. 2 Nr. 1 i. V. m. § 7 Abs. 2 | bis 50.000 Euro | verzehnfacht, also bis 500.000 Euro |
| Eine Repressalie ergreifen | § 40 Abs. 2 Nr. 3 i. V. m. § 36 Abs. 1 Satz 1, auch i. V. m. § 34 | bis 50.000 Euro | verzehnfacht, also bis 500.000 Euro |
| Das Vertraulichkeitsgebot vorsätzlich oder leichtfertig verletzen | § 40 Abs. 3 i. V. m. § 8 Abs. 1 Satz 1 | bis 50.000 Euro | verzehnfacht, also bis 500.000 Euro |
| Versuch der Behinderung oder der Repressalie | § 40 Abs. 5 i. V. m. Abs. 2 Nr. 1 und 3 | bis 50.000 Euro | Absatz 5 ist im Verweis des § 40 Abs. 6 Satz 2 nicht ausdrücklich genannt |
| Wissentlich eine unrichtige Information offenlegen | § 40 Abs. 1 i. V. m. § 32 Abs. 2 | bis 20.000 Euro | kein Verweis auf § 30 Abs. 2 Satz 3 OWiG |
| Nicht dafür sorgen, dass eine interne Meldestelle eingerichtet ist und betrieben wird | § 40 Abs. 2 Nr. 2 i. V. m. § 12 Abs. 1 Satz 1 | bis 20.000 Euro | kein Verweis auf § 30 Abs. 2 Satz 3 OWiG |
| Das Vertraulichkeitsgebot fahrlässig verletzen | § 40 Abs. 4 i. V. m. Abs. 3 | bis 10.000 Euro (übrige Fälle) | verzehnfacht, also bis 100.000 Euro |
Was aus der Verteilung folgt
Die Systematik des Gesetzgebers ist an dieser Stelle eindeutig. Das reine Organisationsversäumnis, also die fehlende Meldestelle, liegt im mittleren Rahmen und ohne die Vervielfachung für juristische Personen. Teuer wird das Verhalten gegenüber einer Person, die tatsächlich gemeldet hat: Behinderung, Repressalie und Vertraulichkeitsbruch stehen im höchsten Rahmen und sind zusätzlich über § 30 Absatz 2 Satz 3 OWiG verzehnfachbar.
Für einen Betrieb bedeutet das, dass der Aufbau eines Meldekanals der kleinere Teil der Aufgabe ist. Der größere Teil ist die Frage, wie das Haus mit einer eingegangenen Meldung umgeht, wer die Identität kennt und wie Personalentscheidungen danach getroffen und begründet werden.
Neben dem Bußgeld
Das Bußgeld ist nicht die einzige Folge. § 37 begründet einen Schadensersatzanspruch der hinweisgebenden Person bei einem Verstoß gegen das Repressalienverbot, unabhängig von einem Bußgeldverfahren. Und eine Meldung, die mangels funktionierendem internen Kanal direkt bei einer externen Meldestelle landet, führt nach den §§ 29 und 30 dazu, dass eine Behörde Auskünfte verlangen und das Verfahren an eine zuständige Stelle abgeben kann.
Die genannten Beträge sind die im Gesetz festgelegten Obergrenzen, keine Regelbeträge. Wie eine Geldbuße im Einzelfall bemessen wird, richtet sich nach den allgemeinen Vorschriften des Gesetzes über Ordnungswidrigkeiten.
Was ein Betrieb ab 50 Beschäftigten konkret aufsetzen muss
Der Aufwand hält sich in Grenzen, wenn die Reihenfolge stimmt. Zuerst wird geklärt, ob und für welche Gesellschaft die Pflicht überhaupt gilt. Dann wird die Meldestelle besetzt und mit Befugnissen ausgestattet. Erst danach geht es um Kanal, Formulare und Kommunikation an die Belegschaft.
Warum das Thema nicht bei der Einrichtung endet
Eine interne Meldestelle ist ein laufender Betrieb, kein Projekt mit Abschlussdatum. § 12 Absatz 1 Satz 1 spricht von einrichten und betreiben. Die Pflichten, die tatsächlich Geld kosten können, hängen alle am Betrieb: Fristen einhalten, Vertraulichkeit wahren, dokumentieren, löschen, keine Repressalien. Ein Meldeformular auf der Website ohne dahinterliegendes Verfahren erfüllt keine dieser Pflichten.
- Schwelle je Gesellschaft prüfen: § 12 Absatz 2 stellt auf jeweils in der Regel mindestens 50 Beschäftigte ab. In einer Gruppe zählt jede Gesellschaft für sich. Zusätzlich prüfen, ob einer der Fälle des § 12 Absatz 3 vorliegt, dann gilt die Pflicht unabhängig von der Beschäftigtenzahl.
- Meldestelle besetzen und Interessenkonflikte ausschließen: § 15 Absatz 1 verlangt unabhängige Aufgabenwahrnehmung. Eine Doppelrolle mit der Personalleitung sollte vor der Besetzung durchdacht werden.
- Fachkunde sicherstellen und festhalten: § 15 Absatz 2 verlangt die notwendige Fachkunde. Eine Schulung und ihre Dokumentation sind der einfachste Nachweis.
- Befugnisse schriftlich erteilen: § 12 Absatz 4 verlangt ausdrücklich, dass die Meldestelle Meldungen prüfen und Folgemaßnahmen ergreifen kann. Das gehört in die Bestellung, nicht in eine mündliche Absprache.
- Meldekanal einrichten, der mündlich und in Textform funktioniert: § 16 Absatz 3 verlangt beides, dazu die persönliche Zusammenkunft auf Ersuchen. Der Zugriff muss nach § 16 Absatz 2 auf die zuständigen Personen beschränkt sein.
- Fristen operativ verankern: sieben Tage bis zur Eingangsbestätigung nach § 17 Absatz 1 Nummer 1, drei Monate bis zur Rückmeldung nach § 17 Absatz 2. Beide Fristen laufen ab Eingang, deshalb braucht es eine Wiedervorlage und keine Erinnerung im Kopf.
- Dokumentation und Löschkonzept aufsetzen: § 11 Absatz 1 verlangt dauerhaft abrufbare Dokumentation, Absatz 5 die Löschung drei Jahre nach Abschluss des Verfahrens. Beides sollte im selben System liegen wie die Meldung selbst.
- Information an die Beschäftigten bereitstellen: § 7 Absatz 3 verlangt klare und leicht zugängliche Informationen über das interne Verfahren, § 13 Absatz 2 zusätzlich Informationen über die externen Meldeverfahren. Beides gehört ins Intranet oder ans schwarze Brett.
- Vorgehen für Personalmaßnahmen nach einer Meldung festlegen: wegen der Vermutungsregel in § 36 Absatz 2 sollte jede Maßnahme, die eine meldende Person betrifft, mit Datum und sachlicher Begründung dokumentiert werden.
- Bei 50 bis 249 Beschäftigten die gemeinsame Stelle nach § 14 Absatz 2 prüfen: Sie senkt den Aufwand für die Entgegennahme. Abhilfe und Rückmeldung bleiben trotzdem im eigenen Haus.
Verwandte Themen
Meldungen entgegennehmen, Fristen einhalten, Nachweise sammeln
Mit dem Hinweisgeberschutz-Modul von Sicherio richten Sie einen internen Meldekanal ein, sehen zu jeder Meldung die Sieben-Tage- und die Drei-Monats-Frist aus § 17 HinSchG mitlaufen und führen die Dokumentation an einer Stelle, mit einem Zugriff, der auf die zuständigen Personen beschränkt bleibt. Die fachliche Bewertung einer Meldung und die Entscheidung über Folgemaßnahmen bleiben bei Ihnen, Sicherio gibt dem Verfahren die Struktur.
Häufige Fragen
Zum Inhalt dieser Seite
Die hier dargestellten Informationen beruhen auf einer sorgfältigen Auswertung öffentlich zugänglicher Rechts- und Fachquellen zum Stand vom 29. Juli 2026. Sie sollen einen ersten Überblick über die jeweilige Fachthematik geben und die eigenverantwortliche Orientierung erleichtern.
Die Inhalte stellen keine Rechts- oder Fachberatung im Einzelfall dar und ersetzen nicht die Prüfung durch eine qualifizierte Fachkraft — etwa einen Rechtsanwalt mit Schwerpunkt Arbeitsrecht. Für die konkrete Anwendung auf Ihren Betrieb ist eine individuelle fachliche Bewertung erforderlich.
Trotz sorgfältiger Recherche können sich Gesetzeslagen, Normen und behördliche Auslegungen ändern. Wir übernehmen keine Gewähr für die Vollständigkeit, Richtigkeit und Aktualität der dargestellten Informationen.
Hinweise auf Fehler oder veraltete Angaben nehmen wir gerne unter kontakt@sicherio.de entgegen.
Mehr zu unserem Vorgehen: Redaktionelle Grundsätze