Deutschland · Whistleblowing

Hinweisgeberschutzgesetz (HinSchG). Whistleblowing-Pflichten für Unternehmen.

Seit dem 2. Juli 2023 gilt in Deutschland das HinSchG. Unternehmen mit in der Regel mindestens 50 Beschäftigten brauchen eine interne Meldestelle; das Gesetz regelt Fristen und Vertraulichkeit und ahndet Verstöße mit Bußgeld. Zu jeder Pflicht steht der Paragraf.

Demo anfragen Pflichten nach Paragraf

ab 50: Beschäftigten: Pflicht zur internen Meldestelle (§ 12)
7 Tage: bis zur Eingangsbestätigung (§ 17 Abs. 1)
3 Monate: für die Rückmeldung nach Bestätigung (§ 17 Abs. 2)
20.000 €: Bußgeld, wenn die Meldestelle fehlt (§ 40)

Pflicht	Regelung	§
Wer eine Meldestelle braucht	Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen mindestens eine interne Meldestelle einrichten und betreiben.	§ 12 Abs. 1 und 2 HinSchG
Finanzsektor	Unabhängig von der Zahl der Beschäftigten verpflichtet sind unter anderem Wertpapierdienstleistungsunternehmen, Institute nach dem KWG, Kapitalverwaltungsgesellschaften und Versicherungsunternehmen.	§ 12 Abs. 3 HinSchG
Übergangsfrist	Private Beschäftigungsgeber mit 50 bis 249 Beschäftigten mussten ihre Meldestelle erst ab dem 17. Dezember 2023 einrichten.	§ 42 Abs. 1 HinSchG
Geschützte Personen	Natürliche Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld davon Informationen über Verstöße erlangt haben und sie melden oder offenlegen.	§ 1 Abs. 1 HinSchG
Meldekanäle	Interne Meldekanäle müssen Meldungen in mündlicher oder in Textform ermöglichen; mündlich per Telefon oder einer anderen Art der Sprachübermittlung. Auf Ersuchen ist in angemessener Zeit eine persönliche Zusammenkunft zu ermöglichen, mit Einwilligung auch per Video.	§ 16 Abs. 3 HinSchG
Zugriff	Nur die für Entgegennahme und Bearbeitung zuständigen Personen und ihre Unterstützung dürfen Zugriff auf eingehende Meldungen haben.	§ 16 Abs. 2 HinSchG
Anonyme Meldungen	Die interne Meldestelle sollte auch anonyme Meldungen bearbeiten. Eine Pflicht, Kanäle für anonyme Meldungen einzurichten, besteht nicht.	§ 16 Abs. 1 HinSchG
Bestätigung	Der Eingang einer Meldung ist der hinweisgebenden Person spätestens nach sieben Tagen zu bestätigen.	§ 17 Abs. 1 Nr. 1 HinSchG
Rückmeldung	Innerhalb von drei Monaten nach der Bestätigung, ohne Bestätigung spätestens drei Monate und sieben Tage nach Eingang, erhält die hinweisgebende Person eine Rückmeldung.	§ 17 Abs. 2 HinSchG
Vertraulichkeit	Die Identität der hinweisgebenden Person, der gemeldeten und der sonst genannten Personen darf nur den Zuständigen und den sie unterstützenden Personen bekannt werden.	§ 8 Abs. 1 HinSchG
Dokumentation	Alle eingehenden Meldungen werden dauerhaft abrufbar dokumentiert. Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht, länger nur, soweit erforderlich und verhältnismäßig.	§ 11 Abs. 1 und 5 HinSchG
Dritte und gemeinsame Stelle	Die Aufgaben können einem Dritten übertragen werden; das entbindet nicht davon, selbst gegen Verstöße vorzugehen. Private Beschäftigungsgeber mit 50 bis 249 Beschäftigten können eine gemeinsame Stelle betreiben.	§ 14 Abs. 1 und 2 HinSchG
Externe Meldestellen	Beim Bundesamt für Justiz besteht die externe Meldestelle des Bundes, daneben sind BaFin und Bundeskartellamt für ihre Bereiche zuständig. Hinweisgebende Personen dürfen wählen, sollten intern aber bevorzugen, wo das wirksam ist.	§ 7 Abs. 1, §§ 19, 21, 22 HinSchG
Repressalien	Repressalien sind verboten, auch ihre Androhung. Nach einer Benachteiligung wird vermutet, dass sie eine Repressalie war; wer benachteiligt hat, muss das Gegenteil beweisen und haftet auf Schadensersatz.	§ 36 Abs. 1 und 2, § 37 Abs. 1 HinSchG
Bußgelder	Wer keine interne Meldestelle einrichtet und betreibt, riskiert ein Bußgeld bis 20.000 €. Ordnungswidrig ist auch, Meldungen zu behindern, Repressalien zu ergreifen oder die Vertraulichkeit zu verletzen.	§ 40 Abs. 2, 3 und 6 HinSchG

Rechtsstand: Hinweisgeberschutzgesetz vom 31. Mai 2023 (BGBl. 2023 I Nr. 140), zuletzt geändert durch Art. 9 Abs. 1 des Gesetzes vom 25. September 2026, nach gesetze-im-internet.de.

Ist ein Hinweisgebersystem in Deutschland Pflicht?

Ja, für Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten (§ 12 Abs. 1 und 2 HinSchG). Sie müssen mindestens eine interne Meldestelle einrichten und betreiben. Für private Beschäftigungsgeber mit 50 bis 249 Beschäftigten gilt das seit dem 17. Dezember 2023 (§ 42 Abs. 1).

Im Finanzsektor, etwa für Wertpapierdienstleistungsunternehmen, Institute nach dem KWG und Versicherungsunternehmen, besteht die Pflicht unabhängig von der Zahl der Beschäftigten (§ 12 Abs. 3).

Reicht ein E-Mail-Postfach als interne Meldestelle?

Das HinSchG schreibt keine bestimmte Technik vor. Jeder Meldekanal muss aber die Vorgaben erfüllen: Meldungen mündlich oder in Textform ermöglichen (§ 16 Abs. 3), den Zugriff auf die Zuständigen beschränken (§ 16 Abs. 2), die Identität vertraulich halten (§ 8), jede Meldung dokumentieren (§ 11) und die Fristen von sieben Tagen und drei Monaten einhalten (§ 17).

Ob ein Postfach das leistet, hängt davon ab, wer Zugriff hat und wie Fristen und Dokumentation organisiert sind. Fristen überwacht ein Postfach nicht von selbst.

Müssen anonyme Meldungen möglich sein?

Nein. Die interne Meldestelle sollte anonym eingehende Meldungen zwar bearbeiten, eine Pflicht, die Meldekanäle für anonyme Meldungen einzurichten, besteht aber nicht (§ 16 Abs. 1 HinSchG).

Wer anonyme Meldungen zulässt, braucht einen Weg für Rückfragen und die Rückmeldung nach § 17, ohne die Identität zu erfahren.

Dürfen wir die interne Meldestelle auslagern oder mit anderen teilen?

Ja. Die Aufgaben der internen Meldestelle können einem Dritten übertragen werden, etwa einer Kanzlei oder einem Dienstleister. Der Beschäftigungsgeber bleibt aber verpflichtet, selbst gegen einen Verstoß vorzugehen (§ 14 Abs. 1 HinSchG).

Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können außerdem eine gemeinsame Stelle betreiben. Abhilfe und Rückmeldung bleiben dann beim einzelnen Beschäftigungsgeber (§ 14 Abs. 2).

Welche Bußgelder drohen nach dem HinSchG?

Wer keine interne Meldestelle einrichtet und betreibt, handelt ordnungswidrig; das Bußgeld beträgt bis zu 20.000 € (§ 40 Abs. 2 Nr. 2, Abs. 6 HinSchG).

Ordnungswidrig handelt außerdem, wer Meldungen behindert, Repressalien ergreift oder die Vertraulichkeit vorsätzlich oder leichtfertig verletzt (§ 40 Abs. 2 Nr. 1 und 3, Abs. 3); dafür sieht § 40 Abs. 6 höhere Bußgelder vor.

Wie lange wird eine Meldung dokumentiert?

Die interne Meldestelle dokumentiert jede eingehende Meldung dauerhaft abrufbar und vertraulich (§ 11 Abs. 1 HinSchG). Gelöscht wird die Dokumentation drei Jahre nach Abschluss des Verfahrens; länger nur, wenn es nach dem HinSchG oder anderen Vorschriften erforderlich und verhältnismäßig ist (§ 11 Abs. 5).

Dürfen sich Hinweisgebende direkt an das Bundesamt für Justiz wenden?

Ja. Hinweisgebende Personen können wählen, ob sie intern oder extern melden (§ 7 Abs. 1 HinSchG). Sie sollten die interne Meldestelle bevorzugen, wenn dort wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten.

Die externe Meldestelle des Bundes ist beim Bundesamt für Justiz eingerichtet (§ 19 Abs. 1). Für ihre Bereiche sind außerdem die BaFin (§ 21) und das Bundeskartellamt (§ 22) zuständig.

Wer muss bei einer Benachteiligung was beweisen?

Macht eine hinweisgebende Person geltend, wegen ihrer Meldung benachteiligt worden zu sein, wird vermutet, dass die Benachteiligung eine Repressalie ist. Wer benachteiligt hat, muss beweisen, dass dafür hinreichend gerechtfertigte Gründe bestanden oder kein Zusammenhang mit der Meldung besteht (§ 36 Abs. 2 HinSchG). Bei einem Verstoß gegen das Repressalienverbot ist der entstandene Schaden zu ersetzen (§ 37 Abs. 1).

Die Übersicht gibt den Inhalt des Hinweisgeberschutzgesetzes vereinfacht wieder und ist keine Rechtsberatung. Verbindlich ist der Gesetzestext; die rechtliche Bewertung im Einzelfall verbleibt beim Beschäftigungsgeber.

Meldungen in Textform

Über ein Meldeportal im Erscheinungsbild Ihres Unternehmens, wahlweise anonym oder mit Namen.
Fristen nach § 17 im Blick

Bestätigung und Rückmeldung laufen als Fristen in der Fallakte mit.
Rückfragen ohne Namen

Der anonyme Zwei-Wege-Dialog erlaubt Rückfragen, ohne dass die hinweisgebende Person sich zu erkennen gibt.