Hinweisgeberschutzgesetz (HinSchG): Pflichten für Unternehmen #
Deutschland hat die EU-Richtlinie 2019/1937 mit dem Hinweisgeberschutzgesetz (HinSchG) umgesetzt. Das Gesetz gilt seit dem 2. Juli 2023. Es verpflichtet Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, eine interne Meldestelle einzurichten, und schützt Personen, die Verstöße melden, vor Repressalien.
Das HinSchG in Kürze #
| Frage | Antwort |
|---|---|
| Seit wann gilt das Gesetz? | Seit dem 2. Juli 2023. Für private Arbeitgeber mit 50 bis 249 Beschäftigten gilt die Pflicht zur Meldestelle seit dem 17. Dezember 2023 (§ 42 Abs. 1). |
| Wer muss eine Meldestelle einrichten? | Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten (§ 12 Abs. 2); Unternehmen des Finanzsektors unabhängig von der Größe (§ 12 Abs. 3). |
| Welche Meldewege? | Mündlich oder in Textform, ein Weg genügt; auf Wunsch zusätzlich ein persönliches Treffen (§ 16 Abs. 3). |
| Welche Fristen? | Eingangsbestätigung spätestens nach 7 Tagen, Rückmeldung innerhalb von 3 Monaten (§ 17). |
| Anonyme Meldungen? | Sollen bearbeitet werden; eine Pflicht, anonyme Meldewege anzubieten, besteht nicht (§ 16 Abs. 1). |
| Wie lange aufbewahren? | Löschung drei Jahre nach Abschluss des Verfahrens, länger nur soweit erforderlich und verhältnismäßig (§ 11 Abs. 5). |
| Bußgeld ohne Meldestelle? | Bis 20 000 € (§ 40 Abs. 2 Nr. 2, Abs. 6). |
Einschlägiges Gesetz #
Wer muss eine interne Meldestelle einrichten #
Private Arbeitgeber mit mindestens 50 Beschäftigten müssen mindestens eine interne Meldestelle einrichten und betreiben (§ 12 Abs. 1 und 2). Für private Arbeitgeber mit 50 bis 249 Beschäftigten erlaubt das Gesetz eine gemeinsame interne Meldestelle.
Unabhängig von der Beschäftigtenzahl gilt die Pflicht nur für die in § 12 Abs. 3 genannten Unternehmen des Finanzsektors: Wertpapierdienstleistungsunternehmen, Kredit- und Wertpapierinstitute, Zahlungs- und Kryptowerte-Institute, Versicherungsunternehmen, Kapitalverwaltungsgesellschaften, Börsenträger und Datenbereitstellungsdienste. Anders als einige andere Mitgliedstaaten dehnt Deutschland diese Ausnahme nicht auf Verkehr oder Umwelt aus.
Für Bund, Länder und Gemeinden gelten eigene Regeln: Bei Gemeinden richtet sich die Pflicht nach dem jeweiligen Landesrecht (§ 12 Abs. 1 Satz 4).
Was kann nach dem HinSchG gemeldet werden? #
Den sachlichen Anwendungsbereich regelt § 2 HinSchG. Erfasst sind Informationen über:
- alle strafbewehrten Verstöße;
- bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift Leben, Leib oder Gesundheit oder die Rechte von Beschäftigten oder ihrer Vertretungsorgane schützt, etwa im Arbeits- und Gesundheitsschutz;
- Verstöße gegen Vorschriften in bestimmten Rechtsbereichen, unter anderem Geldwäscheprävention, Produktsicherheit, Verkehrssicherheit, Umweltschutz, Lebensmittelsicherheit, Verbraucherschutz und Datenschutz, außerdem Aktionärsrechte, die Abschlussprüfung bei Unternehmen von öffentlichem Interesse und die Rechnungslegung kapitalmarktorientierter Unternehmen;
- Verstöße gegen das Vergaberecht, gegen Steuerrecht für Körperschaften und Personenhandelsgesellschaften und gegen das Wettbewerbsrecht;
- Verstöße gegen den Digital Markets Act und gegen die KI-Verordnung (Verordnung (EU) 2024/1689);
- Äußerungen von Beamtinnen und Beamten, die gegen die Pflicht zur Verfassungstreue verstoßen.
Ein Verstoß im Sinne des Gesetzes muss rechtswidrig sein (§ 3 Abs. 2). Ein Verstoß gegen eine interne Richtlinie allein, ohne Rechtsverstoß, fällt nicht darunter. Ein Unternehmen kann seinen Meldekanal trotzdem auch für solche Hinweise öffnen.
Ausgenommen sind nach § 5 unter anderem Informationen zur nationalen Sicherheit, Verschlusssachen (mit engen Ausnahmen), das richterliche Beratungsgeheimnis sowie die Verschwiegenheitspflichten von Rechtsanwälten, Notaren, Ärzten und anderen Berufsgeheimnisträgern.
Wer ist geschützt? #
Geschützt sind natürliche Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben (§ 1 Abs. 1). Das sind nicht nur Beschäftigte, sondern zum Beispiel auch Bewerberinnen und Bewerber, Leiharbeitskräfte, Selbständige oder Beschäftigte von Lieferanten. Geschützt sind außerdem Personen, die Gegenstand einer Meldung sind oder von ihr betroffen sind (§ 1 Abs. 2).
Der Schutz greift, wenn die Person intern oder extern gemeldet hat und zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass die Informationen wahr sind und in den Anwendungsbereich fallen (§ 33). Die hinweisgebende Person kann frei wählen, ob sie sich an die interne oder an eine externe Meldestelle wendet (§ 7 Abs. 1).
| Schutz | Regelung |
|---|---|
| Verbot von Repressalien, auch ihrer Androhung und ihres Versuchs | § 36 Abs. 1 |
| Beweislastumkehr: Erleidet die Person nach einer Meldung eine Benachteiligung, wird vermutet, dass es eine Repressalie ist. Der Arbeitgeber muss das Gegenteil beweisen. | § 36 Abs. 2 |
| Schadensersatz bei Repressalien (kein Anspruch auf Einstellung oder Beförderung) | § 37 |
| Keine Haftung für die Beschaffung der gemeldeten Informationen, sofern diese nicht selbst eine Straftat ist | § 35 Abs. 1 |
Anforderungen an die interne Meldestelle #
- Wer die Meldestelle sein kann: eine beschäftigte Person, eine Arbeitseinheit aus mehreren Beschäftigten oder ein Dritter, zum Beispiel eine Ombudsperson oder eine Kanzlei (§ 14 Abs. 1). Die Pflicht, einen Verstoß abzustellen, bleibt immer beim Arbeitgeber.
- Unabhängigkeit und Fachkunde: Die zuständigen Personen sind bei ihrer Tätigkeit unabhängig. Sie dürfen andere Aufgaben haben, solange daraus kein Interessenkonflikt entsteht. Der Arbeitgeber sorgt für die notwendige Fachkunde (§ 15) und erteilt der Meldestelle die nötigen Befugnisse (§ 12 Abs. 4).
- Meldewege: Meldungen müssen mündlich oder in Textform möglich sein. Nach der Gesetzesbegründung (BT-Drs. 20/3442, S. 81) genügt einer der beiden Wege; für externe Meldestellen verlangt das Gesetz dagegen beide. Mündliche Meldungen müssen per Telefon oder einer anderen Art der Sprachübermittlung möglich sein. Auf Wunsch ist innerhalb angemessener Zeit ein persönliches Treffen anzubieten, mit Einwilligung auch per Video (§ 16 Abs. 3).
- Zugriff: Nur die für Meldungen zuständigen Personen und ihre Unterstützer dürfen Zugriff auf eingehende Meldungen haben (§ 16 Abs. 2).
- Wer melden kann: mindestens Beschäftigte und Leiharbeitskräfte. Der Kanal kann auch für andere Personen geöffnet werden, die beruflich mit dem Unternehmen in Kontakt stehen, etwa Mitarbeitende von Lieferanten (§ 16 Abs. 1).
- Anonyme Meldungen: Die Meldestelle sollte auch anonyme Meldungen bearbeiten. Eine Pflicht, die Meldekanäle für anonyme Meldungen auszulegen, besteht nicht (§ 16 Abs. 1). Mehr zum Unterschied zwischen anonymen und vertraulichen Meldungen.
- Information der Beschäftigten: klare und leicht zugängliche Informationen über das interne Verfahren (§ 7 Abs. 3) und über externe Meldestellen (§ 13 Abs. 2).
Fristen und Ablauf nach einer Meldung #
| Schritt | Frist |
|---|---|
| Eingangsbestätigung an die hinweisgebende Person | spätestens nach 7 Tagen (§ 17 Abs. 1 Nr. 1) |
| Rückmeldung zu geplanten und ergriffenen Folgemaßnahmen und ihren Gründen | innerhalb von 3 Monaten nach der Eingangsbestätigung; ohne Bestätigung spätestens 3 Monate und 7 Tage nach Eingang (§ 17 Abs. 2) |
Das Gesetz spricht von sieben Tagen, nicht von Werktagen. Zwischen Eingang und Rückmeldung prüft die Meldestelle, ob der Verstoß in den Anwendungsbereich fällt und ob die Meldung stichhaltig ist. Sie hält Kontakt mit der hinweisgebenden Person und fragt bei Bedarf nach weiteren Informationen (§ 17 Abs. 1).
Mögliche Folgemaßnahmen nach § 18 sind interne Untersuchungen, der Verweis an eine andere zuständige Stelle, der Abschluss des Verfahrens mangels Beweisen oder die Abgabe an eine interne Ermittlungseinheit oder eine Behörde. Die Rückmeldung darf interne Ermittlungen und die Rechte der betroffenen Personen nicht beeinträchtigen (§ 17 Abs. 2).
Vertraulichkeit und Dokumentation #
Vertraulichkeit (§ 8). Die Meldestelle wahrt die Identität der hinweisgebenden Person, der Personen, die Gegenstand der Meldung sind, und aller anderen genannten Personen. Nur die zuständigen Personen und ihre Unterstützer dürfen diese Identität kennen. Das gilt auch, wenn die Meldestelle für die Meldung gar nicht zuständig ist.
Ausnahmen (§ 9). Die Identität der hinweisgebenden Person darf zum Beispiel in Strafverfahren auf Verlangen der Strafverfolgungsbehörden oder aufgrund einer gerichtlichen Entscheidung weitergegeben werden. Für Folgemaßnahmen ist eine Weitergabe nur mit einer Einwilligung in Textform zulässig, gesondert für jede einzelne Weitergabe. Die Identität einer Person, die vorsätzlich oder grob fahrlässig unrichtige Informationen meldet, ist nicht geschützt.
Dokumentation (§ 11).
- Alle eingehenden Meldungen werden in dauerhaft abrufbarer Weise dokumentiert.
- Bei telefonischen Meldungen ist eine Tonaufzeichnung oder ein Wortprotokoll nur mit Einwilligung zulässig. Sonst wird ein Inhaltsprotokoll erstellt.
- Die hinweisgebende Person darf das Protokoll prüfen, korrigieren und bestätigen.
- Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht. Länger darf sie nur aufbewahrt werden, solange dies nach dem HinSchG oder anderen Rechtsvorschriften erforderlich und verhältnismäßig ist.
Gemeinsame Meldestelle und Konzern #
Gemeinsame Meldestelle. Mehrere private Arbeitgeber mit in der Regel 50 bis 249 Beschäftigten können eine gemeinsame Stelle einrichten. Die Pflicht, den Verstoß abzustellen, und die Rückmeldung an die hinweisgebende Person bleiben beim einzelnen Arbeitgeber (§ 14 Abs. 2).
Konzern. Das Gesetz selbst regelt Konzerne nicht. Nach der Gesetzesbegründung (BT-Drs. 20/3442, S. 79) kann eine andere Konzerngesellschaft, etwa die Muttergesellschaft, als „Dritter“ im Sinne des § 14 Abs. 1 die Aufgaben der Meldestelle für mehrere Konzernunternehmen übernehmen. Dabei gelten drei Bedingungen:
- Die Verantwortung, einen Verstoß abzustellen, bleibt bei der jeweiligen Tochtergesellschaft.
- Meldungen müssen in der Arbeitssprache der Tochtergesellschaft möglich sein.
- Die zentrale Stelle darf keine zusätzlichen Hürden für hinweisgebende Personen schaffen.
Betriebsrat und Datenschutz #
Führt ein Unternehmen eine softwaregestützte Meldestelle ein, kann der Betriebsrat ein Mitbestimmungsrecht haben, insbesondere nach § 87 Abs. 1 Nr. 1 und Nr. 6 BetrVG. Meldungen enthalten personenbezogene Daten. Prüfen Sie deshalb auch, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist. Mehr dazu: DSGVO und Hinweisgebermeldungen.
Bußgelder und Durchsetzung #
Deutschland ahndet eine fehlende interne Meldestelle mit einem Bußgeld, allerdings mit einem niedrigeren Höchstbetrag als häufig angegeben. Die Bußgeldtatbestände stehen in § 40 HinSchG; § 40 Abs. 6 staffelt sie in drei Stufen:
| Tatbestand | Höchstbetrag |
|---|---|
| Behinderung einer Meldung oder der darauf folgenden Kommunikation (§ 40 Abs. 2 Nr. 1), Repressalien (Nr. 3), vorsätzlicher oder leichtfertiger Verstoß gegen die Vertraulichkeit (Abs. 3), Versuch der Behinderung oder der Repressalie (Abs. 5) | 50 000 € |
| Nichteinrichtung bzw. Nichtbetrieb einer internen Meldestelle (Abs. 2 Nr. 2); wissentliche Offenlegung unrichtiger Informationen (Abs. 1) | 20 000 € |
| Übrige Fälle, insbesondere fahrlässige Verletzung der Vertraulichkeit (Abs. 4) | 10 000 € |
Gegenüber juristischen Personen erklärt § 40 Abs. 6 den § 30 Abs. 2 Satz 3 OWiG für Behinderung, Repressalien und vorsätzliche wie fahrlässige Vertraulichkeitsverstöße für anwendbar; der Bußgeldrahmen verzehnfacht sich damit, bei den 50 000-€-Tatbeständen auf bis zu 500 000 €. Für die fehlende interne Meldestelle und die wissentliche Falschmeldung gilt diese Erhöhung nicht. Das Bußgeld für die fehlende interne Meldestelle ist erst seit dem 1. Dezember 2023 anzuwenden (§ 42 Abs. 2), die übrigen Bußgelder seit Inkrafttreten des Gesetzes am 2. Juli 2023.
Eine ehrliche Einschätzung der Durchsetzung. Häufig wird für die fehlende interne Meldestelle ein Bußgeld von 50 000 € genannt. Das Gesetz sieht dafür 20 000 € vor, und die Verzehnfachung bleibt Behinderung, Repressalien und Vertraulichkeitsverstößen vorbehalten. Das größere gesetzliche Risiko liegt deshalb im Umgang mit Meldungen, sobald ein Meldekanal besteht, und nicht im bloßen Fehlen eines solchen.
Externe Meldestelle #
Die externe Meldestelle des Bundes beim Bundesamt für Justiz ist die zentrale staatliche Meldestelle auf Bundesebene. Daneben sind die BaFin und das Bundeskartellamt externe Meldestellen für ihre Bereiche, und die Länder können eigene externe Meldestellen für ihre Verwaltungen einrichten. Arbeitgeber sollen Anreize dafür schaffen, dass Beschäftigte zuerst intern melden. Die externe Meldung dürfen sie aber weder beschränken noch erschweren (§ 7 Abs. 3).
Datenschutzaufsicht #
Bei Beschwerden über die Verarbeitung personenbezogener Daten im privaten Bereich ist regelmäßig die jeweilige Landesdatenschutzbehörde zuständig. Die Beschwerdehinweise des BfDI erklären diese Aufteilung.
Umsetzung in sechs Schritten #
- Pflicht prüfen: in der Regel mindestens 50 Beschäftigte; im Finanzsektor ohne Schwelle.
- Meldestelle besetzen: intern, als gemeinsame Stelle (50 bis 249 Beschäftigte), bei einer Konzerngesellschaft oder bei einem Dritten. Unabhängigkeit, Fachkunde und Befugnisse sicherstellen.
- Meldewege einrichten: mündlich oder in Textform, persönliches Treffen auf Wunsch, Zugriff nur für Zuständige. Entscheiden, ob anonyme Meldungen möglich sein sollen.
- Betriebsrat und Datenschutz einbinden: Mitbestimmung klären, Datenschutz-Folgenabschätzung prüfen.
- Beschäftigte informieren: über das interne Verfahren und über die externen Meldestellen.
- Verfahren festlegen: Eingangsbestätigung in 7 Tagen, Rückmeldung in 3 Monaten, Dokumentation und Löschung nach drei Jahren.
Amtliche Quellen #
- HinSchG — amtlicher Gesetzestext
- Gesetzentwurf mit Begründung, BT-Drs. 20/3442
- Bundesamt für Justiz — externe Meldestelle
- BfDI — Beschwerden bei Datenschutzbehörden
Häufige Fragen #
Was bedeutet HinSchG? #
HinSchG ist die Abkürzung für das Hinweisgeberschutzgesetz, das „Gesetz für einen besseren Schutz hinweisgebender Personen“. Es setzt die EU-Richtlinie 2019/1937 in deutsches Recht um. Es schützt Personen, die Verstöße melden, und verpflichtet Arbeitgeber ab 50 Beschäftigten zu einer internen Meldestelle.
Seit wann gilt das HinSchG? #
Seit dem 2. Juli 2023. Private Arbeitgeber mit 50 bis 249 Beschäftigten mussten ihre interne Meldestelle erst ab dem 17. Dezember 2023 einrichten. Das Bußgeld für eine fehlende Meldestelle gilt seit dem 1. Dezember 2023.
Was regelt § 2 HinSchG? #
§ 2 legt fest, welche Verstöße unter das Gesetz fallen: alle Straftaten, bestimmte Ordnungswidrigkeiten zum Schutz von Leben, Gesundheit und Beschäftigtenrechten sowie Verstöße in Bereichen wie Geldwäsche, Produktsicherheit, Umweltschutz, Verbraucherschutz, Datenschutz, Vergabe-, Steuer- und Wettbewerbsrecht und der KI-Verordnung.
Müssen Unternehmen anonyme Meldungen ermöglichen? #
Nein. Die interne Meldestelle soll anonym eingehende Meldungen bearbeiten, aber es besteht keine Pflicht, die Meldekanäle so zu gestalten, dass anonyme Meldungen möglich sind (§ 16 Abs. 1).
Welche Fristen gelten nach einer Meldung? #
Die Meldestelle bestätigt den Eingang spätestens nach 7 Tagen. Innerhalb von 3 Monaten nach der Bestätigung gibt sie eine Rückmeldung zu den geplanten und ergriffenen Folgemaßnahmen (§ 17).
Wie lange darf eine Meldung aufbewahrt werden? #
Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht. Sie darf nur länger aufbewahrt werden, wenn das nach dem HinSchG oder anderen Rechtsvorschriften erforderlich und verhältnismäßig ist (§ 11 Abs. 5).
Welches Bußgeld droht ohne interne Meldestelle? #
Bis zu 20 000 € (§ 40 Abs. 2 Nr. 2, Abs. 6). Höhere Bußgelder bis 50 000 €, gegen Unternehmen bis 500 000 €, gelten für die Behinderung von Meldungen, für Repressalien und für vorsätzliche oder leichtfertige Verstöße gegen die Vertraulichkeit.
Darf ein externer Dienstleister die Meldestelle betreiben? #
Ja. Ein Dritter, etwa eine Ombudsperson, eine Kanzlei oder eine andere Konzerngesellschaft, kann mit den Aufgaben der internen Meldestelle betraut werden. Die Pflicht, einen Verstoß abzustellen, bleibt beim Arbeitgeber (§ 14 Abs. 1).
Zuletzt aktualisiert: