Das Hinweisgeberschutzgesetz (HinSchG) schützt Menschen, die Missstände in Unternehmen melden. Es gilt seit dem 2. Juli 2023 und verpflichtet Arbeitgeber ab 50 Beschäftigten, eine interne Meldestelle einzurichten. Meldungen müssen vertraulich behandelt, innerhalb von sieben Tagen bestätigt und binnen drei Monaten beantwortet werden. Fehlt die Meldestelle, drohen Bußgelder bis 20.000 Euro.
Hinweis: Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung. Fristen, Schwellenwerte und Bußgelder geben wir nach bestem Wissen und mit Quellen wieder — maßgeblich ist immer der aktuelle Gesetzestext (HinSchG) sowie die Hinweise des Bundesamts für Justiz. Stand: Juli 2026.
1. Was ist das Hinweisgeberschutzgesetz?
Das Hinweisgeberschutzgesetz (HinSchG) setzt die EU-Whistleblower-Richtlinie in deutsches Recht um. Es schützt Personen, die im beruflichen Umfeld auf Rechtsverstöße hinweisen — etwa auf Korruption, Betrug, Datenschutzverstöße oder Verstöße gegen Arbeitsschutz. Wer solche Missstände meldet, soll keine Nachteile fürchten müssen (Quelle: BGBl., IHK).
Kern des Gesetzes ist ein sicherer Meldeweg. Betroffene Unternehmen müssen eine interne Meldestelle einrichten, über die Beschäftigte vertraulich Hinweise abgeben können. Alternativ steht Meldenden eine externe Meldestelle beim Bundesamt für Justiz offen. Ziel ist, Missstände früh und intern zu klären, bevor sie an die Öffentlichkeit gelangen.
2. Ab wann gilt die Meldepflicht? (Schwellenwerte)
Maßgeblich ist die Zahl der Beschäftigten. Die Pflicht zur internen Meldestelle greift ab 50 Beschäftigten (vgl. § 12 HinSchG). Unternehmen ab 250 Beschäftigten waren sofort mit Inkrafttreten am 2. Juli 2023 verpflichtet, Firmen mit 50 bis 249 Beschäftigten hatten eine Übergangsfrist bis zum 17. Dezember 2023 (Quelle: IHK, BGBl.).
| Betriebsgröße | Verpflichtet | Wer ist gemeint? |
|---|---|---|
| Ab 250 Beschäftigten | seit 2. Juli 2023 | Große Unternehmen — Pflicht sofort mit Inkrafttreten des HinSchG. |
| 50 bis 249 Beschäftigte | seit 17. Dezember 2023 | Der breite Mittelstand — nach Ablauf der Übergangsfrist verpflichtet. |
| Finanzsektor | unabhängig von der Größe | Banken, Zahlungsdienstleister, Versicherer u. a. (§ 12 Abs. 3). |
| Unter 50 Beschäftigten | keine Pflicht | Kleinbetriebe — nicht zur internen Meldestelle verpflichtet. |
Eine Besonderheit: Bestimmte Unternehmen aus dem Finanzsektor — etwa Kreditinstitute, Zahlungsdienstleister und Versicherer — sind nach § 12 Absatz 3 HinSchG unabhängig von ihrer Beschäftigtenzahl verpflichtet. Firmen mit 50 bis 249 Beschäftigten dürfen zudem eine gemeinsame Meldestelle betreiben, um Aufwand zu bündeln.
3. Welche Pflichten hat die interne Meldestelle?
Wer eine interne Meldestelle betreibt, übernimmt einen festen Satz an Aufgaben. Sie reichen vom Bereitstellen des Kanals über den Schutz der Vertraulichkeit bis zur Rückmeldung an die hinweisgebende Person (Quelle: §§ 12–18 HinSchG):
- Meldekanal bereitstellen — einen erreichbaren internen Kanal für mündliche und schriftliche Meldungen einrichten.
- Vertraulichkeit wahren — die Identität der hinweisgebenden Person und betroffener Dritter schützen.
- Eingang bestätigen — den Eingang einer Meldung innerhalb von sieben Tagen bestätigen (§ 17 HinSchG).
- Meldung prüfen und Rückmeldung geben — spätestens nach drei Monaten über ergriffene Maßnahmen informieren.
- Repressalien verbieten — hinweisgebende Personen dürfen wegen einer Meldung nicht benachteiligt werden.
- Dokumentieren — Meldungen unter Beachtung der Vertraulichkeit und der Löschfristen aufbewahren (§ 11 HinSchG).
Der wichtigste Grundsatz ist die Vertraulichkeit: Nur die für die Bearbeitung zuständigen Personen dürfen die Identität einer meldenden Person kennen. Ein Verstoß dagegen ist nicht nur ein Vertrauensbruch, sondern kann auch mit einem Bußgeld geahndet werden.
- In Kraft seit2. Juli 2023
- Pflicht ab50 Beschäftigten (interne Meldestelle)
- Bußgeldrahmenbis 20.000 € bei fehlender Meldestelle
- Rückmeldefristen7 Tage Eingang · 3 Monate Ergebnis
Quellen: HinSchG (gesetze-im-internet.de, §§ 12, 17, 40), Bundesamt für Justiz, IHK. Stand: Juli 2026 — Angaben ohne Gewähr. Alle Belege im Abschnitt Quellen & offizielle Informationen.
4. Welche Fristen gelten für die Bearbeitung?
Das Gesetz gibt der Meldestelle klare Reaktionszeiten vor. Nach Eingang einer Meldung muss die Meldestelle den Empfang innerhalb von sieben Tagen bestätigen. Spätestens nach drei Monaten muss sie der hinweisgebenden Person Rückmeldung über geplante oder bereits ergriffene Folgemaßnahmen geben (vgl. § 17 HinSchG).
Diese Fristen sind der Grund, warum ein loser Prozess selten trägt. Wer Meldungen über ein E-Mail-Postfach abwickelt, verliert leicht den Überblick. Ein strukturierter Ablauf mit Erinnerungen und dokumentiertem Status stellt sicher, dass keine Frist verstreicht — und liefert im Zweifel den Nachweis, dass Sie richtig gehandelt haben.
5. Was droht bei Verstößen? (Bußgeldrahmen)
Verstöße gegen das HinSchG sind Ordnungswidrigkeiten. Verfolgt und geahndet werden sie in weiten Teilen vom Bundesamt für Justiz (BfJ). Die Bußgeldhöhe hängt vom Verstoß ab und ist in § 40 HinSchG gestaffelt (Quelle: BfJ, § 40 HinSchG):
| Verstoß | Bußgeldrahmen |
|---|---|
| Behinderung einer Meldung, Repressalien, Bruch der Vertraulichkeit | bis 50.000 € |
| Keine oder nicht funktionsfähige interne Meldestelle (§ 12 Abs. 1) | bis 20.000 € |
| Sonstige Ordnungswidrigkeiten | bis 10.000 € |
Wichtig für die Praxis: Das Fehlen einer internen Meldestelle ist erst seit dem 1. Dezember 2023 bußgeldbewehrt. Die konkrete Bemessung im Einzelfall liegt bei der Behörde und hängt unter anderem von Schwere und Vorsatz ab. Verlassen Sie sich daher nicht auf eine Faustregel, sondern richten Sie die Meldestelle rechtzeitig ein.
6. Meldekanal digital & DSGVO-konform umsetzen
Ein tragfähiger Meldekanal muss zwei Dinge zugleich leisten: Er muss für Beschäftigte niederschwellig erreichbar sein und zugleich die Identität der meldenden Person konsequent schützen. Beides gelingt selten mit einem E-Mail-Alias. In der Praxis setzen Unternehmen daher auf eine eigenständige Meldeplattform, die den Zugriff auf die zuständige Stelle begrenzt und jeden Schritt protokolliert.
Aus Datenschutzsicht kommt es auf drei Punkte an: klar geregelte Zugriffsrechte, eine lückenlose Protokollierung und definierte Löschfristen für die Meldedaten. Nach § 11 HinSchG dürfen Meldungen grundsätzlich nur so lange gespeichert werden, wie es für die Bearbeitung erforderlich ist. Datensparsamkeit ist also nicht nur DSGVO-Pflicht, sondern auch gesetzlicher Auftrag des HinSchG.
- Zugriff auf Meldungen strikt auf die zuständigen Personen begrenzen.
- Jeden Bearbeitungsschritt nachvollziehbar protokollieren.
- Löschfristen und Aufbewahrung sauber definieren (§ 11 HinSchG).
- Anonyme Meldungen ermöglichen, um mehr Hinweise zu erhalten.
7. In fünf Schritten zur internen Meldestelle
Die größte Hürde ist selten das Gesetz selbst, sondern die saubere Einbettung in vorhandene Abläufe: Wer bearbeitet Meldungen, wo werden sie dokumentiert, wie greifen Fristen und Systeme ineinander? Mit über 20 Jahren E-Commerce-Erfahrung richten wir genau diese Prozesse so ein, dass sie im Alltag tragen. So gehen Sie vor:
Betroffenheit und Zuständigkeit klären
Prüfen Sie, ob Sie die Schwelle von 50 Beschäftigten erreichen und wer die Meldestelle intern verantwortet — oder ob Sie sie auslagern.
Meldekanal digital aufsetzen
Richten Sie einen erreichbaren, vertraulichen Kanal ein. Eine dedizierte Plattform trennt Meldungen sauber vom normalen E-Mail-Postfach.
DSGVO-konform absichern
Legen Sie Zugriffsrechte, Protokollierung und Löschfristen fest. Nur berechtigte Personen dürfen eine Meldung einsehen.
Fristen prozessual verankern
Die 7-Tage-Bestätigung und die 3-Monats-Rückmeldung gehören in einen festen Ablauf — mit Erinnerungen, damit keine Frist verstreicht.
In die Systemlandschaft einbinden
Verbinden Sie die Meldeplattform mit Ihren übrigen Systemen, damit Dokumentation und Nachweise ohne Doppelpflege entstehen.
Praktisch heißt das: Statt eine isolierte Insellösung zu betreiben, binden wir die Meldeplattform per individueller Datenintegration an Ihre bestehenden Systeme an — so entstehen Dokumentation und Nachweise ohne Doppelpflege. Die interne Meldestelle wird damit Teil eines durchdachten Compliance-Prozesses, nicht ein weiteres loses Postfach.
8. Fazit: So stellen Sie sich richtig auf
Das Hinweisgeberschutzgesetz ist für Unternehmen ab 50 Beschäftigten keine Kür, sondern Pflicht — und bußgeldbewehrt. Die Kette ist klar: Betroffenheit prüfen, einen vertraulichen Meldekanal digital aufsetzen, ihn DSGVO-konform absichern, Fristen prozessual verankern und die Plattform in Ihre Systemlandschaft einbinden. Wer das sauber aufsetzt, erfüllt nicht nur die Pflicht, sondern stärkt auch das Vertrauen im Betrieb.
Wir helfen Ihnen, den Meldekanal als durchdachten digitalen Prozess aufzusetzen — von der Auswahl der Plattform bis zur DSGVO-konformen Anbindung an Ihre Systeme. Wie sich solche Pflichten in eine größere Strategie einfügen, zeigt unser Leitfaden zur Digitalisierung im Mittelstand. Eine weitere Sorgfaltspflicht, die parallel viele Betriebe betrifft, behandeln wir im Artikel zum Lieferkettengesetz.
Hinweis: Dieser Artikel ist allgemeine Information und ersetzt keine Rechtsberatung. Die genannten Schwellenwerte, Fristen und Bußgelder entsprechen dem Stand Juli 2026 und können sich ändern. Für Ihren konkreten Fall ziehen Sie bitte den aktuellen Gesetzestext (HinSchG), die Hinweise des Bundesamts für Justiz oder eine fachkundige Rechtsberatung heran.
9. Häufige Fragen zum Hinweisgeberschutzgesetz
Ab wie vielen Mitarbeitern gilt das Hinweisgeberschutzgesetz?
Die Pflicht zur internen Meldestelle greift ab 50 Beschäftigten. Firmen mit 50 bis 249 Beschäftigten hatten bis zum 17. Dezember 2023 Zeit, ab 250 galt sie sofort mit Inkrafttreten. Einige Finanzunternehmen sind unabhängig von der Größe verpflichtet (Quelle: § 12 HinSchG, IHK).
Seit wann gilt das Hinweisgeberschutzgesetz?
Das Hinweisgeberschutzgesetz (HinSchG) ist am 2. Juli 2023 in Kraft getreten. Es setzt die EU-Whistleblower-Richtlinie in deutsches Recht um. Für Unternehmen mit bis zu 249 Beschäftigten galt eine Übergangsfrist bis zum 17. Dezember 2023 (Quelle: BGBl., IHK).
Was passiert, wenn keine Meldestelle eingerichtet ist?
Fehlt eine funktionsfähige interne Meldestelle nach § 12 Absatz 1, droht ein Bußgeld von bis zu 20.000 Euro. Bußgeldbewehrt ist dieser Verstoß seit dem 1. Dezember 2023. Verfolgt werden Ordnungswidrigkeiten vom Bundesamt für Justiz (Quelle: § 40 HinSchG, BfJ).
Muss der Meldekanal anonyme Meldungen zulassen?
Das Gesetz verpflichtet nicht ausdrücklich dazu, anonyme Meldungen zu ermöglichen, empfiehlt es aber. Viele Unternehmen lassen anonyme Hinweise bewusst zu, weil sie so mehr Meldungen erhalten und dem Schutzgedanken des Gesetzes gerecht werden. Prüfen Sie den aktuellen Gesetzesstand im Einzelfall (Quelle: § 16 HinSchG).
Welche Fristen gelten für die Bearbeitung einer Meldung?
Die Meldestelle bestätigt den Eingang einer Meldung innerhalb von sieben Tagen. Spätestens nach drei Monaten muss sie der hinweisgebenden Person Rückmeldung über ergriffene oder geplante Maßnahmen geben. Diese Rückmeldefristen sind in § 17 HinSchG geregelt (Quelle: § 17 HinSchG).
Darf ich die Meldestelle auslagern?
Ja, Sie dürfen die interne Meldestelle an einen Dritten übertragen, etwa an einen externen Dienstleister, eine Kanzlei oder eine Softwarelösung. Die Verantwortung für die Umsetzung der Pflichten bleibt jedoch beim Unternehmen. Auch ein Betrieb bleibt für die Vertraulichkeit verantwortlich (Quelle: § 14 HinSchG).
Wie setze ich das Hinweisgeberschutzgesetz DSGVO-konform um?
Ein digitaler Meldekanal muss die Identität der hinweisgebenden Person schützen und Zugriffe protokollieren. Datensparsamkeit, Löschfristen und klare Zugriffsrechte sind Pflicht. In der Praxis lösen das Unternehmen mit einer eigenständigen Meldeplattform, die sauber an bestehende Prozesse angebunden ist.
10. Quellen & offizielle Informationen
Die Angaben in diesem Beitrag stützen sich auf folgende offizielle und fachliche Quellen (Stand Juli 2026). Externe Links öffnen in einem neuen Tab.
- Hinweisgeberschutzgesetz (HinSchG) — gesetze-im-internet.de — amtlicher Gesetzestext (BMJ/juris).
- § 12 HinSchG — Pflicht zur Einrichtung interner Meldestellen — Schwelle von 50 Beschäftigten und Sonderfälle des Finanzsektors.
- § 17 HinSchG — Verfahren bei internen Meldungen — Bestätigung binnen 7 Tagen, Rückmeldung binnen 3 Monaten.
- § 40 HinSchG — Bußgeldvorschriften — gestaffelte Rahmen bis 10.000, 20.000 bzw. 50.000 Euro.
- Bundesamt für Justiz — Geldbußen nach dem HinSchG — zuständige Behörde für die Verfolgung von Ordnungswidrigkeiten nach § 40.
- IHK Berlin — Das Hinweisgeberschutzgesetz — Fristen, Übergangsregelung und Praxishinweise für Unternehmen.