Interne Meldestelle einrichten: Meldekanal, Fristen und Verfahren nach dem HinSchG
Ab 50 Beschäftigten muss im Betrieb eine interne Meldestelle eingerichtet sein und betrieben werden. Diese Seite zeigt, wer sie betreiben darf, welche Meldekanäle das Gesetz verlangt, welche Fristen laufen und wie ein Betrieb mit 50 bis 250 Beschäftigten das Verfahren aufsetzt.
Das Hinweisgeberschutzgesetz (HinSchG) verlangt in § 12 Absatz 1 Satz 1, dass Beschäftigungsgeber dafür sorgen, dass bei ihnen mindestens eine Stelle für interne Meldungen eingerichtet ist und betrieben wird. Nach Absatz 2 gilt das für Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten. Die Pflicht ist damit klar umrissen, die Umsetzung wird trotzdem oft komplizierter dargestellt, als das Gesetz sie beschreibt. Diese Seite geht die Anforderungen am Wortlaut durch: wer die Meldestelle betreiben darf, was ein Meldekanal können muss, was das Gesetz zur Anonymität wirklich sagt, welche Fristen für Eingangsbestätigung und Rückmeldung gelten und welche Dokumentation zu führen ist. Den Rechtsrahmen des Gesetzes insgesamt, also Anwendungsbereich, Schutz der hinweisgebenden Person und Repressalienverbot, behandelt die Übersichtsseite zum Hinweisgeberschutzgesetz.
Wer eine interne Meldestelle einrichten muss
§ 12 Absatz 1 Satz 1 HinSchG formuliert die Pflicht so: Beschäftigungsgeber haben dafür zu sorgen, dass bei ihnen mindestens eine Stelle für interne Meldungen eingerichtet ist und betrieben wird, an die sich Beschäftigte wenden können. Das Gesetz nennt diese Stelle die interne Meldestelle. Zwei Dinge stehen also nebeneinander: einrichten und betreiben. Eine Mailadresse anzulegen und danach niemanden dafür zuständig zu machen, erfüllt den zweiten Teil nicht.
Die Größenschwelle steht in § 12 Absatz 2: Die Pflicht gilt nur für Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten. Wer darunter liegt, muss keine interne Meldestelle einrichten. Freiwillig ist das möglich und in vielen Betrieben sinnvoll, eine gesetzliche Pflicht folgt daraus jedoch nicht.
Wer als Beschäftigter zählt, ergibt sich aus § 3 Absatz 8 HinSchG. Die Aufzählung nennt Arbeitnehmerinnen und Arbeitnehmer, die zu ihrer Berufsbildung Beschäftigten, Beamtinnen und Beamte, Richterinnen und Richter mit Ausnahme der ehrenamtlichen, Soldatinnen und Soldaten, arbeitnehmerähnliche Personen einschließlich der in Heimarbeit Beschäftigten sowie Menschen mit Behinderung, die in einer Werkstatt oder bei einem anderen Leistungsanbieter nach § 60 SGB IX beschäftigt sind. Eine Umrechnung von Teilzeitkräften auf Vollzeitstellen sieht das HinSchG nicht vor. Auszubildende sind nach Nummer 2 ausdrücklich mitzuzählen, was in kleineren Betrieben über die Schwelle entscheiden kann.
| Betriebsgröße | Was gilt | Fundstelle |
|---|---|---|
| unter 50 Beschäftigte | Keine Pflicht zur internen Meldestelle. Eine freiwillige Einrichtung ist möglich. | Umkehrschluss aus § 12 Abs. 2 |
| in der Regel 50 bis 249 Beschäftigte | Pflicht zur internen Meldestelle. Zusätzlich erlaubt: eine gemeinsame Stelle mehrerer privater Beschäftigungsgeber. | § 12 Abs. 1 und 2, § 14 Abs. 2 |
| ab 250 Beschäftigten | Pflicht zur internen Meldestelle. Die gemeinsame Stelle nach § 14 Abs. 2 steht dieser Gruppe nach dem Wortlaut nicht offen. | § 12 Abs. 1 und 2, § 14 Abs. 2 |
| Finanz- und Versicherungssektor | Pflicht unabhängig von der Zahl der Beschäftigten, unter anderem für Kreditinstitute, Wertpapierinstitute, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen, Börsenträger sowie Institute nach dem Kryptomärkteaufsichtsgesetz und dem Zahlungsdiensteaufsichtsgesetz. | § 12 Abs. 3 Nr. 1 bis 9 |
Was in der Regel mindestens 50 Beschäftigte bedeutet
Das Gesetz stellt auf die regelmäßige Beschäftigtenzahl ab, nicht auf einen zufälligen Stichtag. Maßgeblich ist die normale Personalstärke des Betriebs über einen längeren Zeitraum, also der Zustand, der den Betrieb im Allgemeinen kennzeichnet. Ein kurzfristiger Ausschlag nach oben durch eine Saisonspitze führt für sich genommen nicht in die Pflicht, ein kurzfristiger Ausschlag nach unten befreit umgekehrt nicht davon. Eine Rechenformel dafür enthält das HinSchG nicht.
Leiharbeitnehmerinnen und Leiharbeitnehmer stehen nicht in der Aufzählung des § 3 Absatz 8. § 16 Absatz 1 Satz 1 nennt sie aber ausdrücklich als Personengruppe, die sich über den internen Meldekanal an die Meldestelle wenden können muss. Ob sie bei der Schwelle von 50 mitzählen, beantwortet der Gesetzeswortlaut nicht. Wer knapp an der Grenze liegt, sollte diese Frage im Einzelfall klären lassen.
Seit wann die Pflicht besteht
Das HinSchG ist am 2. Juli 2023 in Kraft getreten. § 42 Absatz 1 gab privaten Beschäftigungsgebern mit in der Regel 50 bis 249 Beschäftigten Zeit bis zum 17. Dezember 2023, ihre interne Meldestelle einzurichten. Für die in § 12 Absatz 3 genannten Unternehmen des Finanzsektors galt diese Erleichterung nicht. § 42 Absatz 2 stellte außerdem klar, dass der Bußgeldtatbestand für das Fehlen der Meldestelle erst ab dem 1. Dezember 2023 anzuwenden ist. Beide Übergangsfristen sind abgelaufen, die Pflicht gilt heute uneingeschränkt.
Die Zählung der Beschäftigten und die Bewertung von Konzern- oder Mehrbetriebsstrukturen hängen vom Einzelfall ab. Diese Seite gibt den Gesetzeswortlaut wieder und ersetzt keine Prüfung Ihrer konkreten Struktur.
Wer die Meldestelle betreiben darf
§ 14 Absatz 1 Satz 1 HinSchG lässt drei Wege zu. Eine interne Meldestelle kann eingerichtet werden, indem eine beim Beschäftigungsgeber beschäftigte Person, eine aus mehreren beschäftigten Personen bestehende Arbeitseinheit oder ein Dritter mit den Aufgaben einer internen Meldestelle betraut wird. Damit ist die häufigste Frage im Mittelstand beantwortet: Eine externe Ombudsperson oder ein Dienstleister ist ausdrücklich zulässig, es muss keine eigene Abteilung aufgebaut werden.
Satz 2 zieht dabei eine wichtige Grenze. Die Betrauung eines Dritten entbindet den betrauenden Beschäftigungsgeber nicht von der Pflicht, selbst geeignete Maßnahmen zu ergreifen, um einen etwaigen Verstoß abzustellen. Auslagern lässt sich also die Entgegennahme und Bearbeitung der Meldung, die Verantwortung für die Abhilfe im Betrieb bleibt beim Unternehmen.
Für Betriebe mit 50 bis 249 Beschäftigten enthält § 14 Absatz 2 die praktisch wertvollste Regel des ganzen Abschnitts. Mehrere private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können für die Entgegennahme von Meldungen und für die weiteren nach diesem Gesetz vorgesehenen Maßnahmen eine gemeinsame Stelle einrichten und betreiben. Mehrere Unternehmen dürfen sich eine Meldestelle also tatsächlich teilen. Satz 2 hält fest, was trotzdem bei jedem Einzelnen bleibt: die Pflicht, Maßnahmen zur Abstellung des Verstoßes zu ergreifen, und die Pflicht zur Rückmeldung an die hinweisgebende Person.
| Organisationsform | Zulässig nach | Was dafür spricht | Worauf zu achten ist |
|---|---|---|---|
| Eigene beschäftigte Person, etwa aus Compliance, Recht oder Personal | § 14 Abs. 1 Satz 1 | Kennt den Betrieb, kurze Wege zur Aufklärung, keine laufenden Fremdkosten | Unabhängigkeit und Freiheit von Interessenkonflikten nach § 15 Abs. 1, Fachkunde nach § 15 Abs. 2, Vertretung bei Urlaub und Krankheit |
| Arbeitseinheit aus mehreren Beschäftigten | § 14 Abs. 1 Satz 1 | Vertretung ist eingebaut, Aufgaben lassen sich verteilen | Der Zugriff bleibt nach § 16 Abs. 2 auf die zuständigen und die unterstützenden Personen beschränkt |
| Gemeinsame Stelle mehrerer Unternehmen | § 14 Abs. 2 (nur 50 bis 249 Beschäftigte, private Beschäftigungsgeber) | Aufwand und Kosten teilen sich, Fachkunde muss nur einmal aufgebaut werden | Abhilfe und Rückmeldung verbleiben nach § 14 Abs. 2 Satz 2 bei jedem einzelnen Unternehmen |
| Dritter, etwa externe Ombudsperson oder Dienstleister | § 14 Abs. 1 Satz 1 | Abstand zur Geschäftsleitung, oft leichter als vertraulich wahrgenommen, Fachkunde eingekauft | Der Beschäftigungsgeber bleibt nach § 14 Abs. 1 Satz 2 selbst zur Abstellung des Verstoßes verpflichtet; laufende Kosten |
Unabhängigkeit, Interessenkonflikte und Fachkunde nach § 15
§ 15 Absatz 1 Satz 1 bestimmt, dass die mit den Aufgaben einer internen Meldestelle beauftragten Personen bei der Ausübung ihrer Tätigkeit unabhängig sind. Satz 2 erlaubt ausdrücklich, dass sie neben dieser Tätigkeit andere Aufgaben und Pflichten wahrnehmen. Die Meldestelle muss also keine Vollzeitrolle sein. Satz 3 setzt die Grenze: Es ist sicherzustellen, dass derartige Aufgaben und Pflichten nicht zu Interessenkonflikten führen.
Genau an dieser Stelle scheitern viele schnelle Lösungen. Wer die Personalleitung mit der Meldestelle betraut, muss damit rechnen, dass eine Meldung gerade Vorgänge aus dem Personalbereich betrifft. Dasselbe gilt für die Geschäftsführung selbst und für Vorgesetzte, über die gemeldet werden könnte. Die saubere Antwort darauf ist entweder eine Person ohne operative Verantwortung im Konfliktbereich oder eine Vertretungsregel für genau diese Fälle.
In kleinen Betrieben lässt sich ein Interessenkonflikt oft nicht durch eine zweite interne Person auflösen, weil praktisch jede Führungskraft selbst Gegenstand einer Meldung sein kann. Dann ist die externe Ombudsperson nach § 14 Absatz 1 Satz 1 — etwa eine Rechtsanwältin oder ein spezialisierter Dienstleister — regelmäßig der sauberste Weg: Sie steht außerhalb der Weisungskette und wird als vertraulicher wahrgenommen. Die Pflicht zur Abstellung des Verstoßes bleibt nach § 14 Absatz 1 Satz 2 beim Unternehmen.
Unabhängig vom gewählten Modell zählt die technische Trennung. § 16 Absatz 2 verlangt, dass nur die für Entgegennahme und Bearbeitung zuständigen Personen Zugriff auf eingehende Meldungen haben. Das schließt die Leitungsebene ausdrücklich ein: Auch die Inhaberin oder der Inhaber sollte Inhalt und Identität einer Meldung nicht einsehen können, sondern höchstens anonymisierte Kennzahlen zum Bearbeitungsstand. Eine Zugriffsbeschränkung, die nur auf dem Papier steht, aber technisch nicht durchgesetzt wird, verfehlt das Vertraulichkeitsgebot des § 8.
§ 15 Absatz 2 Satz 1 verpflichtet den Beschäftigungsgeber, dafür Sorge zu tragen, dass die beauftragten Personen über die notwendige Fachkunde verfügen. Ein bestimmter Abschluss oder ein vorgeschriebener Lehrgang steht nicht im Gesetz. Verlangt ist das Wissen, das für die Aufgabe gebraucht wird, also Kenntnis des Anwendungsbereichs nach § 2, des Verfahrens nach § 17, der Folgemaßnahmen nach § 18 sowie des Vertraulichkeitsgebots und der Dokumentationspflichten.
Die Befugnisse nach § 12 Absatz 4
§ 12 Absatz 4 Satz 1 verpflichtet die nach Absatz 1 Satz 1 verpflichteten Beschäftigungsgeber, der internen Meldestelle die notwendigen Befugnisse zu erteilen, um ihre Aufgaben wahrzunehmen, insbesondere um Meldungen zu prüfen und Folgemaßnahmen zu ergreifen. Eine Meldestelle, die für jede Nachfrage in einer Abteilung erst um Erlaubnis bitten muss, kann die Stichhaltigkeit einer Meldung nach § 17 Absatz 1 Nummer 4 kaum prüfen. Diese Befugnisse gehören deshalb schriftlich in die Bestellung, zusammen mit der Vertretungsregel.
Ob ein konkreter Interessenkonflikt vorliegt und welche Fachkunde im Einzelfall notwendig ist, lässt sich nur mit Blick auf die jeweilige Organisation beurteilen. Sicherio nimmt diese Bewertung nicht ab.
Der Meldekanal: was § 16 verlangt und was nicht
§ 16 HinSchG regelt die Anforderungen an den internen Meldekanal. Absatz 1 Satz 1 verlangt, dass die nach § 12 verpflichteten Beschäftigungsgeber Meldekanäle einrichten, über die sich Beschäftigte und dem Beschäftigungsgeber überlassene Leiharbeitnehmerinnen und Leiharbeitnehmer an die internen Meldestellen wenden können, um Informationen über Verstöße zu melden. Satz 3 stellt es frei, den Kanal darüber hinaus auch natürlichen Personen zu öffnen, die im Rahmen ihrer beruflichen Tätigkeit mit dem Unternehmen in Kontakt stehen. Lieferanten, Kunden oder Handwerker müssen also nicht zugelassen werden, dürfen es aber.
Absatz 2 verlangt, dass die Meldekanäle so zu gestalten sind, dass nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen sowie die sie dabei unterstützenden Personen Zugriff auf die eingehenden Meldungen haben. Das ist die technische und organisatorische Seite des Vertraulichkeitsgebots. Ein geteiltes Funktionspostfach, in das die halbe Verwaltung schauen kann, erfüllt diese Anforderung nicht.
Absatz 3 Satz 1 beschreibt die Form: Interne Meldekanäle müssen Meldungen in mündlicher oder in Textform ermöglichen. Der Wortlaut verknüpft die beiden Formen mit oder. Satz 2 präzisiert, dass mündliche Meldungen per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein müssen. Satz 3 ergänzt die persönliche Zusammenkunft: Auf Ersuchen der hinweisgebenden Person ist für eine Meldung innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft mit einer zuständigen Person der internen Meldestelle zu ermöglichen. Nach Satz 4 kann diese Zusammenkunft mit Einwilligung der hinweisgebenden Person auch im Wege der Bild- und Tonübertragung erfolgen.
| Lösung | Deckt ab | Stärken | Schwächen |
|---|---|---|---|
| Eigenes Postfach mit eingeschränktem Zugriff, plus Telefonnummer der zuständigen Person | Textform nach § 16 Abs. 3 Satz 1 und mündliche Meldung nach Satz 2 | Sofort verfügbar, keine zusätzlichen Lizenzkosten, vertraute Technik | Zugriffsbeschränkung nach § 16 Abs. 2 muss aktiv eingerichtet und geprüft werden. Fristen aus § 17 laufen manuell. Anonyme Abgabe ist praktisch nicht möglich, was das Gesetz allerdings auch nicht verlangt |
| Webformular auf der eigenen Website, plus Rückrufmöglichkeit | Textform, mit ergänzender Telefonnummer auch die mündliche Meldung | Niedrige Hürde, auch für Externe nach § 16 Abs. 1 Satz 3 öffenbar, anonyme Abgabe technisch machbar | Erfordert saubere Zugriffsrechte und ein Postfach, das nicht in der allgemeinen Website-Mail landet |
| Spezialisierte Hinweisgeber-Software | Textform, meist mit Sprachnachricht und anonymem Rückkanal | Fristen, Dokumentation und Zugriffsrechte sind im Werkzeug angelegt, anonymer Dialog ist möglich | Laufende Kosten, Einführungsaufwand, zusätzlicher Auftragsverarbeiter im Verzeichnis der Verarbeitungstätigkeiten |
| Externe Ombudsperson, häufig eine Kanzlei | Mündliche Meldung, Textform und persönliche Zusammenkunft nach § 16 Abs. 3 Satz 3 | Deutlicher Abstand zur Geschäftsleitung, Fachkunde nach § 15 Abs. 2 ist eingekauft | Laufende Kosten. Die Pflicht zur Abstellung des Verstoßes bleibt nach § 14 Abs. 1 Satz 2 im Unternehmen |
Was das Gesetz zur Anonymität wirklich sagt
Diese Stelle wird häufig strenger dargestellt, als sie im Gesetz steht. § 16 Absatz 1 Satz 4 lautet: Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten. Satz 5 lautet: Es besteht allerdings keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen.
Der Gesetzgeber hat hier also bewusst zwei verschiedene Formulierungen gewählt. Für die Bearbeitung anonym eingegangener Meldungen steht ein Sollen im Text, für die technische Ermöglichung anonymer Meldungen steht ausdrücklich keine Verpflichtung. Ein Betrieb muss demnach kein anonymes Meldesystem beschaffen. Wenn eine anonyme Meldung dennoch eingeht, etwa als Brief ohne Absender, ist sie nach dem Sollen des Satzes 4 zu bearbeiten.
Wer trotzdem einen anonymen Kanal anbietet, tut das aus praktischen Gründen und nicht wegen einer gesetzlichen Anordnung. Die Erfahrung aus der Praxis spricht dafür, dass Anonymität die Hemmschwelle senkt und interne Meldungen wahrscheinlicher macht, was wiederum § 7 Absatz 3 Satz 1 entgegenkommt: Dort sollen Beschäftigungsgeber Anreize dafür schaffen, dass sich hinweisgebende Personen vor einer externen Meldung zunächst an die interne Meldestelle wenden. Das bleibt eine unternehmerische Entscheidung.
Kanal-Optionen im Vergleich
Das Gesetz schreibt kein bestimmtes Werkzeug vor. Entscheidend ist, dass die Anforderungen aus § 16 Absätze 1 bis 3 erfüllt sind und dass das Verfahren nach § 17 mit seinen Fristen tatsächlich läuft. Die folgende Gegenüberstellung ordnet die gängigen Wege ein.
Die Bewertung der Optionen ist eine praktische Einordnung, keine Rechtsauskunft. Welcher Weg zu Ihrem Betrieb passt, hängt von Größe, Struktur und vorhandener Technik ab.
Das Verfahren nach § 17 und die beiden Fristen
§ 17 Absatz 1 listet sechs Aufgaben der internen Meldestelle auf. Sie bestätigt der hinweisgebenden Person den Eingang einer Meldung spätestens nach sieben Tagen. Sie prüft, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich nach § 2 fällt. Sie hält mit der hinweisgebenden Person Kontakt. Sie prüft die Stichhaltigkeit der eingegangenen Meldung. Sie ersucht die hinweisgebende Person erforderlichenfalls um weitere Informationen. Und sie ergreift angemessene Folgemaßnahmen nach § 18.
Die zweite Frist steht in § 17 Absatz 2 Satz 1. Die interne Meldestelle gibt der hinweisgebenden Person innerhalb von drei Monaten nach der Bestätigung des Eingangs der Meldung eine Rückmeldung. Wurde der Eingang nicht bestätigt, gilt spätestens drei Monate und sieben Tage nach Eingang der Meldung. Die Uhr für die drei Monate startet also an der Eingangsbestätigung, und wer sie versäumt, verschiebt den Endtermin nicht nach hinten.
Was in die Rückmeldung gehört, sagt Satz 2: die Mitteilung geplanter sowie bereits ergriffener Folgemaßnahmen sowie die Gründe für diese. Satz 3 zieht die Grenze dafür. Eine Rückmeldung darf nur insoweit erfolgen, als dadurch interne Nachforschungen oder Ermittlungen nicht berührt und die Rechte der Personen, die Gegenstand einer Meldung sind oder in ihr genannt werden, nicht beeinträchtigt werden. Ein laufendes Verfahren muss also nicht offengelegt werden, die Frist selbst bleibt davon unberührt.
| Zeitpunkt | Was zu tun ist | Fundstelle |
|---|---|---|
| Eingang der Meldung | Meldung dokumentieren, Zugriff auf die zuständigen und unterstützenden Personen beschränken | § 11 Abs. 1, § 16 Abs. 2 |
| spätestens nach 7 Tagen | Eingang gegenüber der hinweisgebenden Person bestätigen | § 17 Abs. 1 Nr. 1 |
| danach laufend | Anwendungsbereich nach § 2 prüfen, Stichhaltigkeit prüfen, Kontakt halten, bei Bedarf weitere Informationen anfordern | § 17 Abs. 1 Nr. 2 bis 5 |
| auf Ersuchen, innerhalb angemessener Zeit | Persönliche Zusammenkunft ermöglichen, mit Einwilligung auch per Bild- und Tonübertragung | § 16 Abs. 3 Satz 3 und 4 |
| im Verlauf des Verfahrens | Angemessene Folgemaßnahmen ergreifen, etwa interne Untersuchung, Verweis an eine andere zuständige Stelle, Abschluss des Verfahrens oder Abgabe an eine zuständige Behörde | § 17 Abs. 1 Nr. 6, § 18 |
| innerhalb von 3 Monaten nach der Eingangsbestätigung | Rückmeldung mit geplanten und bereits ergriffenen Folgemaßnahmen und deren Gründen | § 17 Abs. 2 Satz 1 und 2 |
| ohne Eingangsbestätigung: 3 Monate und 7 Tage nach Eingang | Rückmeldung spätestens zu diesem Zeitpunkt | § 17 Abs. 2 Satz 1 |
| 3 Jahre nach Abschluss des Verfahrens | Dokumentation löschen, sofern keine längere Aufbewahrung erforderlich und verhältnismäßig ist | § 11 Abs. 5 |
Folgemaßnahmen nach § 18
§ 18 zählt auf, was die interne Meldestelle als Folgemaßnahme insbesondere tun kann. Sie kann interne Untersuchungen beim Beschäftigungsgeber durchführen und betroffene Personen und Arbeitseinheiten kontaktieren. Sie kann die hinweisgebende Person an andere zuständige Stellen verweisen. Sie kann das Verfahren aus Mangel an Beweisen oder aus anderen Gründen abschließen. Und sie kann das Verfahren zwecks weiterer Untersuchungen an eine intern für Ermittlungen zuständige Arbeitseinheit oder an eine zuständige Behörde abgeben.
Das Wort insbesondere zeigt, dass die Liste nicht abschließend ist. Für die Praxis ist vor allem Nummer 3 wichtig: Ein Verfahren darf abgeschlossen werden, wenn sich der Verdacht nicht erhärtet. Wichtig bleibt, dass dieser Abschluss dokumentiert wird und in die Rückmeldung nach § 17 Absatz 2 einfließt.
Fristen bei anonymen Meldungen
Wenn eine Meldung ohne jeden Rückkanal eingeht, lässt sich weder der Eingang bestätigen noch eine Rückmeldung geben. Beide Pflichten aus § 17 richten sich dem Wortlaut nach an die hinweisgebende Person und setzen einen Weg zu ihr voraus. Die inhaltliche Bearbeitung, die § 16 Absatz 1 Satz 4 als Sollen formuliert, bleibt davon unberührt. Systeme mit anonymem Postfach lösen das, weil die hinweisgebende Person antworten kann, ohne ihre Identität preiszugeben.
Die Fristen gelten je Meldung. Wie sie im Einzelfall zu berechnen sind, insbesondere bei Meldungen kurz vor Betriebsferien oder bei einem Zuständigkeitswechsel, sollte im Verfahren vorab geregelt werden.
Vertraulichkeit und Dokumentation
§ 8 Absatz 1 Satz 1 verpflichtet die Meldestellen, die Vertraulichkeit der Identität von drei Personengruppen zu wahren: der hinweisgebenden Person, sofern die gemeldeten Informationen Verstöße im Anwendungsbereich des Gesetzes betreffen oder sie zum Zeitpunkt der Meldung hinreichenden Grund zu dieser Annahme hatte, der Personen, die Gegenstand einer Meldung sind, und der sonstigen in der Meldung genannten Personen. Satz 2 schließt den Kreis: Die Identität darf ausschließlich den Personen bekannt werden, die für die Entgegennahme von Meldungen oder für das Ergreifen von Folgemaßnahmen zuständig sind, sowie den sie dabei unterstützenden Personen.
Das Vertraulichkeitsgebot schützt also nicht nur den Hinweisgeber. Auch die Person, über die gemeldet wird, fällt darunter, und zwar bevor irgendetwas geklärt ist. Nach § 8 Absatz 2 gilt das Gebot unabhängig davon, ob die Meldestelle für die eingehende Meldung überhaupt zuständig ist.
Die Ausnahmen stehen in § 9. Absatz 2 erlaubt die Weitergabe der Identität der hinweisgebenden Person unter anderem in Strafverfahren auf Verlangen der Strafverfolgungsbehörden, aufgrund einer Anordnung in einem nachfolgenden Verwaltungsverfahren einschließlich Bußgeldverfahren oder aufgrund einer gerichtlichen Entscheidung. Die hinweisgebende Person ist vorab zu informieren, und die Gründe sind ihr schriftlich oder elektronisch darzulegen. Über diese Fälle hinaus ist eine Weitergabe nach Absatz 3 nur zulässig, wenn sie für Folgemaßnahmen erforderlich ist und die hinweisgebende Person zuvor eingewilligt hat, wobei die Einwilligung für jede einzelne Weitergabe gesondert und in Textform vorliegen muss.
Was dokumentiert werden muss
§ 11 Absatz 1 verlangt, dass die für die Entgegennahme zuständigen Personen alle eingehenden Meldungen in dauerhaft abrufbarer Weise unter Beachtung des Vertraulichkeitsgebots dokumentieren. Für telefonische Meldungen und Meldungen über andere Arten der Sprachübermittlung regelt Absatz 2, dass eine dauerhaft abrufbare Tonaufzeichnung oder ein Wortprotokoll nur mit Einwilligung der hinweisgebenden Person erfolgen darf. Fehlt diese Einwilligung, ist die Meldung durch eine Zusammenfassung ihres Inhalts zu dokumentieren, die das Gesetz Inhaltsprotokoll nennt.
Für die persönliche Zusammenkunft nach § 16 Absatz 3 gilt Absatz 3: Mit Zustimmung der hinweisgebenden Person darf eine vollständige und genaue Aufzeichnung erstellt und aufbewahrt werden, entweder als Tonaufzeichnung in dauerhaft abrufbarer Form oder als Wortprotokoll. Absatz 4 gibt der hinweisgebenden Person Gelegenheit, das Protokoll zu überprüfen, gegebenenfalls zu korrigieren und durch Unterschrift oder in elektronischer Form zu bestätigen. Wird eine Tonaufzeichnung zur Anfertigung eines Protokolls verwendet, ist sie zu löschen, sobald das Protokoll fertiggestellt ist.
Die Löschfrist in § 11 Absatz 5
Absatz 5 Satz 1 ist eindeutig: Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht. Satz 2 lässt eine längere Aufbewahrung zu, um die Anforderungen nach diesem Gesetz oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist. Die drei Jahre laufen ab dem Abschluss des Verfahrens, nicht ab dem Eingang der Meldung. Praktisch heißt das, dass jeder Vorgang ein festgehaltenes Abschlussdatum braucht, weil sonst der Startpunkt der Löschfrist fehlt.
Datenschutz
§ 10 HinSchG erlaubt den Meldestellen die Verarbeitung personenbezogener Daten, soweit dies zur Erfüllung ihrer Aufgaben nach den §§ 13 und 24 erforderlich ist. Abweichend von Artikel 9 Absatz 1 DSGVO ist auch die Verarbeitung besonderer Kategorien personenbezogener Daten zulässig, wenn sie zur Aufgabenerfüllung erforderlich ist; die Meldestelle hat in diesem Fall spezifische und angemessene Maßnahmen zur Wahrung der Interessen der betroffenen Person vorzusehen. Wer ein externes System einsetzt, führt es außerdem als Verarbeitungstätigkeit und braucht in der Regel einen Vertrag zur Auftragsverarbeitung.
Die datenschutzrechtliche Ausgestaltung des Meldeverfahrens sollte mit der oder dem Datenschutzbeauftragten abgestimmt werden. Diese Seite behandelt den Datenschutz nur, soweit das HinSchG ihn selbst regelt.
Beschäftigte informieren: zwei getrennte Pflichten
Hier lohnt der genaue Blick, weil zwei Vorschriften mit ähnlichem Wortlaut unterschiedliche Dinge verlangen. § 7 Absatz 3 Satz 2 HinSchG betrifft das eigene Verfahren: Beschäftigungsgeber, die nach § 12 Absatz 1 und 3 zur Einrichtung interner Meldestellen verpflichtet sind, stellen für Beschäftigte klare und leicht zugängliche Informationen über die Nutzung des internen Meldeverfahrens bereit. Satz 1 derselben Vorschrift formuliert davor als Sollen, dass diese Beschäftigungsgeber Anreize dafür schaffen, dass sich hinweisgebende Personen vor einer Meldung an eine externe Meldestelle zunächst an die interne Meldestelle wenden.
§ 13 Absatz 2 betrifft dagegen den externen Weg: Die internen Meldestellen halten für Beschäftigte klare und leicht zugängliche Informationen über externe Meldeverfahren gemäß Unterabschnitt 3 und einschlägige Meldeverfahren von Organen, Einrichtungen oder sonstigen Stellen der Europäischen Union bereit. Der Betrieb muss seine Beschäftigten also auch darüber informieren, dass sie sich an eine externe Meldestelle wenden können.
§ 7 Absatz 3 Satz 3 zieht dazu die Grenze. Die Möglichkeit einer externen Meldung darf durch die Anreize für den internen Weg nicht beschränkt oder erschwert werden. Eine Information, die den externen Weg verschweigt oder ihn als illoyal darstellt, geht damit über das hinaus, was das Gesetz zulässt.
Wo die Information hingehört
Das Gesetz schreibt keinen bestimmten Ort vor, es verlangt klare und leicht zugängliche Informationen. Im Betriebsalltag heißt das in der Regel mehr als eine Stelle: im Intranet oder im Personalhandbuch, als Aushang dort, wo Beschäftigte ohne eigenen Rechnerzugang arbeiten, und einmal aktiv beim Onboarding. Eine Information, die nur beim Eintritt einmal unterschrieben wurde und danach nirgends mehr auffindbar ist, wird dem Wort leicht zugänglich schwer gerecht.
- Wer die interne Meldestelle ist und wie sie erreichbar ist, mit Telefonnummer und Adresse für Meldungen in Textform.
- Welche Formen der Meldung möglich sind, einschließlich der persönlichen Zusammenkunft auf Ersuchen nach § 16 Absatz 3 Satz 3.
- Wie das Verfahren abläuft, mit den Fristen aus § 17: Eingangsbestätigung spätestens nach sieben Tagen, Rückmeldung innerhalb von drei Monaten.
- Wie die Vertraulichkeit der Identität nach § 8 gewahrt wird und in welchen Fällen § 9 eine Weitergabe zulässt.
- Ob anonyme Meldungen möglich sind und wie mit ihnen umgegangen wird.
- Der Hinweis auf das externe Meldeverfahren nach § 13 Absatz 2, insbesondere auf die externe Meldestelle des Bundes beim Bundesamt für Justiz (§ 19 Absatz 1).
- Der Hinweis auf das Verbot von Repressalien und darauf, dass Meldungen oder die anschließende Kommunikation nach § 7 Absatz 2 nicht behindert werden dürfen.
In acht Schritten aufsetzen: ein Weg für Betriebe mit 50 bis 250 Beschäftigten
Der Aufwand für die Einrichtung wird oft überschätzt, der Aufwand für den laufenden Betrieb oft unterschätzt. Die Einrichtung ist ein Projekt von wenigen Tagen. Was danach zählt, ist, dass die Fristen aus § 17 auch dann eingehalten werden, wenn im Jahr nur eine einzige Meldung eingeht und die zuständige Person seit anderthalb Jahren nicht mehr daran gedacht hat.
| Schritt | Was konkret zu tun ist | Bezug |
|---|---|---|
| 1. Betroffenheit klären | Beschäftigte nach § 3 Abs. 8 zählen und die regelmäßige Personalstärke festhalten. Prüfen, ob eine Branche aus § 12 Abs. 3 einschlägig ist, dann gilt die Pflicht unabhängig von der Größe. | § 12 Abs. 2 und 3, § 3 Abs. 8 |
| 2. Organisationsform entscheiden | Eigene Person, Arbeitseinheit, gemeinsame Stelle mit anderen Unternehmen der Größenklasse 50 bis 249 oder ein Dritter. Kosten, Nähe zum Betrieb und wahrgenommene Unabhängigkeit gegeneinander abwägen. | § 14 Abs. 1 und 2 |
| 3. Person schriftlich betrauen | Bestellung mit Aufgaben, Befugnissen und Vertretungsregel. Unabhängigkeit festhalten, mögliche Interessenkonflikte benennen und für diese Fälle eine Vertretung festlegen. | § 12 Abs. 4, § 14 Abs. 1, § 15 Abs. 1 |
| 4. Fachkunde herstellen | Anwendungsbereich nach § 2, Verfahren nach § 17, Folgemaßnahmen nach § 18, Vertraulichkeit nach §§ 8 und 9 sowie Dokumentation nach § 11 durchgehen. Teilnahme an einer Schulung dokumentieren. | § 15 Abs. 2 |
| 5. Meldekanal einrichten | Mindestens Textform oder mündliche Meldung nach § 16 Abs. 3 Satz 1 bereitstellen, telefonische Erreichbarkeit sicherstellen und die Zugriffsrechte auf die zuständigen und unterstützenden Personen beschränken. | § 16 Abs. 1 bis 3 |
| 6. Verfahren schriftlich festlegen | Ablauf von Eingang bis Abschluss festhalten, mit Fristenlauf, Vorlage für die Eingangsbestätigung, Vorlage für die Rückmeldung, Regeln für die Dokumentation und Vertretungsfall. | § 17, § 18, § 11 |
| 7. Beschäftigte informieren | Information über die Nutzung des internen Meldeverfahrens bereitstellen und zusätzlich über das externe Meldeverfahren informieren. Ort und Datum der Veröffentlichung festhalten. | § 7 Abs. 3 Satz 2, § 13 Abs. 2 |
| 8. Betrieb sichern | Wiedervorlagen für die Sieben-Tage- und die Drei-Monats-Frist einrichten, jährlich prüfen, ob Zuständigkeit und Erreichbarkeit noch stimmen, und die Löschfrist von drei Jahren je abgeschlossenem Vorgang nachhalten. | § 17 Abs. 1 und 2, § 11 Abs. 5 |
Mitbestimmung nicht vergessen
Das HinSchG selbst regelt keine Beteiligung des Betriebsrats. Unabhängig davon können bei der Einführung eines Meldesystems Mitbestimmungsrechte nach dem Betriebsverfassungsgesetz berührt sein, insbesondere wenn eine technische Einrichtung eingesetzt wird oder Regeln zum Verhalten der Beschäftigten aufgestellt werden. Wo ein Betriebsrat besteht, gehört diese Prüfung an den Anfang des Projekts und nicht ans Ende. Der konkrete Umfang der Beteiligung sollte arbeitsrechtlich geklärt werden.
Der Punkt, an dem es in der Praxis kippt
Meldungen kommen selten. In einem Betrieb mit 80 Beschäftigten vergehen leicht zwei Jahre ohne einen einzigen Vorgang. Genau deshalb ist die Sieben-Tage-Frist die kritische Stelle. Wer erst nachschlagen muss, wie das Verfahren geht, verliert davon schnell die Hälfte. Eine vorbereitete Vorlage für die Eingangsbestätigung und eine Wiedervorlage, die beim Eingang automatisch gesetzt wird, kosten einmal eine halbe Stunde und lösen genau dieses Problem.
Bußgeld: was § 40 tatsächlich vorsieht
Die Beträge in § 40 Absatz 6 sind Obergrenzen für den jeweiligen Tatbestand, keine Regelbeträge. Kursierende Pauschalzahlen zum HinSchG treffen häufig den falschen Absatz.
§ 40 Absatz 2 Nummer 2 HinSchG enthält einen eigenen Bußgeldtatbestand für das Fehlen der Meldestelle. Ordnungswidrig handelt danach, wer entgegen § 12 Absatz 1 Satz 1 nicht dafür sorgt, dass eine interne Meldestelle eingerichtet ist und betrieben wird. Der Rahmen dafür steht in Absatz 6 Satz 1: In den Fällen der Absätze 1 und 2 Nummer 2 kann die Ordnungswidrigkeit mit einer Geldbuße bis zu zwanzigtausend Euro geahndet werden.
Deutlich höher liegt der Rahmen bei den übrigen Tatbeständen. Wer entgegen § 7 Absatz 2 eine Meldung oder die anschließende Kommunikation behindert (§ 40 Absatz 2 Nummer 1), wer entgegen § 36 Absatz 1 Satz 1 eine Repressalie ergreift (Nummer 3) oder wer vorsätzlich oder leichtfertig die Vertraulichkeit nach § 8 Absatz 1 Satz 1 nicht wahrt (Absatz 3), kann mit einer Geldbuße bis zu fünfzigtausend Euro belegt werden. Für die fahrlässige Verletzung der Vertraulichkeit nach Absatz 4 bleibt es beim Auffangrahmen von zehntausend Euro. Nach Absatz 5 kann bereits der Versuch in den Fällen des Absatzes 2 Nummer 1 und 3 geahndet werden.
Ein Detail, das in Zusammenfassungen fast immer fehlt: § 40 Absatz 6 Satz 2 erklärt § 30 Absatz 2 Satz 3 des Gesetzes über Ordnungswidrigkeiten für anwendbar, allerdings ausdrücklich nur in den Fällen des Absatzes 2 Nummer 1 und 3 sowie der Absätze 3 und 4. Diese Vorschrift verzehnfacht das Höchstmaß der Geldbuße gegen ein Unternehmen. Der Tatbestand des fehlenden Meldekanals in Absatz 2 Nummer 2 ist von dieser Verweisung nicht erfasst.
| Tatbestand | Obergrenze | Fundstelle |
|---|---|---|
| Keine interne Meldestelle eingerichtet und betrieben | bis 20.000 Euro | § 40 Abs. 2 Nr. 2, Abs. 6 Satz 1 |
| Behinderung einer Meldung oder der anschließenden Kommunikation | bis 50.000 Euro, Versuch ahndbar | § 40 Abs. 2 Nr. 1, Abs. 5, Abs. 6 Satz 1 |
| Repressalie gegen eine hinweisgebende Person | bis 50.000 Euro, Versuch ahndbar | § 40 Abs. 2 Nr. 3, Abs. 5, Abs. 6 Satz 1 |
| Vertraulichkeit vorsätzlich oder leichtfertig nicht gewahrt | bis 50.000 Euro | § 40 Abs. 3, Abs. 6 Satz 1 |
| Vertraulichkeit fahrlässig nicht gewahrt | bis 10.000 Euro | § 40 Abs. 4, Abs. 6 Satz 1 |
| Wissentliche Offenlegung unrichtiger Informationen entgegen § 32 Abs. 2 | bis 20.000 Euro | § 40 Abs. 1, Abs. 6 Satz 1 |
Warum die 20.000 Euro selten das eigentliche Risiko sind
Der Bußgeldrahmen für das Fehlen der Meldestelle ist im Vergleich zu anderen Compliance-Themen niedrig. Das eigentliche Risiko liegt woanders. Ohne internen Kanal steht der hinweisgebenden Person nach § 7 Absatz 1 der Weg zur externen Meldestelle des Bundes beim Bundesamt für Justiz weiterhin offen, und der Betrieb erfährt von dem Vorgang möglicherweise erst durch die Behörde. Wer nicht einmal weiß, dass ein Problem gemeldet wurde, kann es auch nicht abstellen, bevor es größer wird.
Hinzu kommt der Rahmen für Repressalien. Wenn eine Meldung an der Führungslinie vorbei nirgends erfasst wird und die betroffene Person danach Nachteile erlebt, landet der Fall schnell bei § 36 und damit bei einem deutlich höheren Bußgeldrahmen, zuzüglich der Beweislastregel des § 36 Absatz 2 im arbeitsgerichtlichen Verfahren.
Ob und in welcher Höhe ein Bußgeld verhängt wird, entscheidet die zuständige Behörde nach den Umständen des Einzelfalls. Die genannten Beträge sind die gesetzlichen Höchstbeträge.
Verwandte Themen
Meldekanal, Fristen und Dokumentation an einer Stelle
Mit dem Hinweisgeberschutz-Modul von Sicherio nehmen Sie Meldungen über einen zugriffsbeschränkten Kanal entgegen, sehen zu jedem Vorgang die Sieben-Tage- und die Drei-Monats-Frist aus § 17 HinSchG und halten die Dokumentation nach § 11 mit Abschlussdatum und Löschfrist fest. Die inhaltliche Bewertung einer Meldung bleibt bei Ihrer Meldestelle, Sicherio gibt dem Verfahren die Struktur.
Häufige Fragen
Zum Inhalt dieser Seite
Die hier dargestellten Informationen beruhen auf einer sorgfältigen Auswertung öffentlich zugänglicher Rechts- und Fachquellen zum Stand vom 29. Juli 2026. Sie sollen einen ersten Überblick über die jeweilige Fachthematik geben und die eigenverantwortliche Orientierung erleichtern.
Die Inhalte stellen keine Rechts- oder Fachberatung im Einzelfall dar und ersetzen nicht die Prüfung durch eine qualifizierte Fachkraft — etwa einen Rechtsanwalt mit Schwerpunkt Arbeitsrecht. Für die konkrete Anwendung auf Ihren Betrieb ist eine individuelle fachliche Bewertung erforderlich.
Trotz sorgfältiger Recherche können sich Gesetzeslagen, Normen und behördliche Auslegungen ändern. Wir übernehmen keine Gewähr für die Vollständigkeit, Richtigkeit und Aktualität der dargestellten Informationen.
Hinweise auf Fehler oder veraltete Angaben nehmen wir gerne unter kontakt@sicherio.de entgegen.
Mehr zu unserem Vorgehen: Redaktionelle Grundsätze