Hinweisgeberschutzgesetz (HinSchG): Pflichten, Fristen und Umsetzung 2026
Seit dem 2. Juli 2023 in Kraft, alle Übergangsfristen abgelaufen: Das HinSchG – auch Whistleblower-Gesetz genannt – verpflichtet Unternehmen ab 50 Beschäftigten zu einer internen Meldestelle. Pflichten, Fristen, Bußgelder und Umsetzung im Überblick.
Was ist das Hinweisgeberschutzgesetz?
Das Hinweisgeberschutzgesetz (vollständig: „Gesetz für einen besseren Schutz hinweisgebender Personen“) schützt Menschen, die Rechtsverstöße aus ihrem beruflichen Umfeld melden – sogenannte Hinweisgeber oder Whistleblower. Es setzt die EU-Whistleblower-Richtlinie (2019/1937) in deutsches Recht um und ist seit dem 2. Juli 2023 in Kraft.
Der Kern des Gesetzes: Unternehmen müssen sichere Meldewege schaffen, Meldungen vertraulich behandeln und fristgerecht bearbeiten – und dürfen Hinweisgeber unter keinen Umständen benachteiligen. Gemeldet werden können vor allem Straftaten und bestimmte Ordnungswidrigkeiten, etwa Verstöße gegen Arbeitsschutz, Datenschutz, Umwelt- oder Verbraucherschutzrecht (§ 2 HinSchG – sachlicher Anwendungsbereich). Den vollständigen Gesetzestext finden Sie in unserer HinSchG-Übersicht, Paragraf für Paragraf.
Alle Übergangsfristen sind inzwischen abgelaufen – die Pflichten gelten heute vollumfänglich. Dieser Leitfaden erklärt, wer betroffen ist, welche Pflichten und Fristen gelten, welche Bußgelder drohen und wie Sie das Gesetz Schritt für Schritt umsetzen.
Unternehmen mit mindestens 50 Beschäftigten müssen eine interne Meldestelle betreiben – Finanzdienstleister sogar unabhängig von der Größe. Die letzte Übergangsfrist endete am 17. Dezember 2023 (§ 12 HinSchG).
Meldungen sind innerhalb von 7 Tagen zu bestätigen; spätestens nach 3 Monaten erhält der Hinweisgeber eine Rückmeldung zu den Folgemaßnahmen (§ 17 HinSchG). Jede Meldung wird dokumentiert und die Dokumentation drei Jahre nach Abschluss gelöscht (§ 11 HinSchG).
Fehlende Meldestelle: bis 20.000 €. Repressalien, Behinderung von Meldungen oder Vertraulichkeitsverstöße: bis 50.000 € – bei juristischen Personen verzehnfacht auf bis zu 500.000 € (§ 40 HinSchG i. V. m. § 30 OWiG).
Aktueller Stand 2026: Alle Fristen sind abgelaufen
| Datum | Was gilt seitdem |
|---|---|
| 2. Juli 2023 | HinSchG in Kraft; Meldestellen-Pflicht für Unternehmen ab 250 Beschäftigten |
| 1. Dezember 2023 | Bußgeld für fehlende interne Meldestelle anwendbar |
| 17. Dezember 2023 | Ende der Übergangsfrist – Pflicht gilt auch für Unternehmen mit 50–249 Beschäftigten |
| Heute (2026) | Pflichten gelten vollumfänglich; Verstöße sind bußgeldbewehrt |
Für wen gilt das HinSchG?
Die Pflicht zur internen Meldestelle gilt für alle privaten und öffentlichen
Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten (§ 12 HinSchG). Dabei zählen
alle Beschäftigten mit – auch Teilzeitkräfte, Auszubildende, Praktikanten, geringfügig Beschäftigte
und Geschäftsführer.
- Unternehmen mit 50–249 Beschäftigten dürfen eine gemeinsame Meldestelle mit
anderen Unternehmen betreiben – etwa im Konzernverbund oder über einen externen Dienstleister. - Finanzdienstleister (z. B. Wertpapierdienstleistungsunternehmen,
Kapitalverwaltungsgesellschaften) benötigen eine Meldestelle unabhängig von der
Beschäftigtenzahl. - Kommunen richten sich nach Landesrecht; Gemeinden unter 10.000 Einwohnern können
ausgenommen sein.
Auch wer knapp unter der 50er-Grenze liegt, profitiert von einem freiwilligen Meldekanal: Er hält
Meldungen im Haus, statt sie zu Behörden oder in die Öffentlichkeit zu treiben.
Unternehmen, die die Meldestellen-Pflicht bis heute nicht umgesetzt haben, riskieren nicht nur ein Bußgeld: Beschäftigte können sich jederzeit direkt an die externe Meldestelle des Bundes wenden – Behörden erfahren dann vor dem eigenen Unternehmen von einem Missstand.
Diese Pflichten haben Unternehmen nach dem HinSchG
- Interne Meldestelle betreiben (§ 12): mit Meldekanälen, über die Beschäftigte Verstöße mündlich, in Textform oder auf Wunsch persönlich melden können – wie das praktisch geht, zeigt unser Leitfaden Interne Meldestelle einrichten.
- Vertraulichkeit wahren (§ 16): Die Identität des Hinweisgebers darf nur den Personen bekannt werden, die für die Bearbeitung zuständig sind.
- Fristen einhalten (§ 17): Eingangsbestätigung spätestens nach 7 Tagen, Rückmeldung über ergriffene Folgemaßnahmen spätestens nach 3 Monaten.
- Dokumentieren (§ 11): Jede Meldung ist zu dokumentieren; die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht (längere Aufbewahrung nur, wenn erforderlich und verhältnismäßig).
- Fachkunde sicherstellen (§ 15): Die mit der Meldestelle betrauten Personen müssen unabhängig sein und über die notwendige Fachkunde nach § 15 HinSchG verfügen.
- Über externe Meldewege informieren (§ 13): Beschäftigte müssen klare, leicht zugängliche Informationen zur externen Meldestelle des Bundes erhalten.
Interne oder externe Meldestelle: Wohin melden Hinweisgeber?
Hinweisgeber haben die freie Wahl (§ 7 HinSchG): Sie können sich an die interne Meldestelle ihres Unternehmens wenden – oder direkt an eine externe Meldestelle des Bundes.
Interne Meldestelle
Die interne Meldestelle ist der Meldekanal im eigenen Unternehmen – betrieben von einer unabhängigen internen Stelle oder einem beauftragten Dienstleister. Nur eine interne Meldestelle, der Beschäftigte tatsächlich vertrauen, sorgt dafür, dass Hinweise zuerst im Haus landen. Genau deshalb lohnt sich ein professionell aufgesetzter, vertraulicher Meldekanal.
Externe Meldestelle des Bundes
Die externe Meldestelle beim Bundesamt für Justiz nimmt Meldungen zentral entgegen (für Spezialfälle: BaFin und Bundeskartellamt). Das Gesetz wünscht sich zwar, dass intern zuerst gemeldet wird, wenn intern wirksam gegen den Verstoß vorgegangen werden kann – erzwingen lässt sich das aber nicht.
Sind anonyme Meldungen Pflicht?
Nein. Das HinSchG verpflichtet Unternehmen nicht, anonyme Meldekanäle anzubieten (§ 16 Abs. 1 HinSchG). Anonym eingehende Meldungen sollten aber bearbeitet werden. In der Praxis ist ein anonymer Meldekanal trotzdem der Standard geworden: Er senkt die Hemmschwelle, stärkt das Vertrauen der Beschäftigten und hält kritische Hinweise im Unternehmen. Ein digitales Hinweisgebersystem ermöglicht anonyme Meldungen samt anonymem Rückkanal – das ist mit Telefon-Hotline oder E-Mail-Postfach praktisch nicht machbar.
HinSchG umsetzen: In 5 Schritten zur internen Meldestelle
- Zuständigkeit festlegen: Benennen Sie eine unabhängige interne Person (z. B. Compliance, HR, Datenschutz) – oder lagern Sie die Aufgabe an einen Dritten aus, etwa eine Ombudsperson als Meldestelle (§ 14 HinSchG).
- Meldekanal einrichten: Ein digitales Hinweisgebersystem erfüllt alle Anforderungen an Vertraulichkeit, Dokumentation und Fristenverwaltung – ohne Medienbrüche.
- Betriebsrat beteiligen: Über die Einführung der Meldestelle ist der Betriebsrat zu informieren. Bei einem elektronischen System besteht ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG) – die Einführung selbst ist gesetzliche Pflicht und kann nicht per Betriebsvereinbarung ausgeschlossen werden.
- Fachkunde aufbauen: Schulen Sie die zuständigen Personen – z. B. mit unserem Fachkunde-Kurs nach § 15 HinSchG.
- Prozesse dokumentieren und kommunizieren: Legen Sie Bearbeitungsabläufe, Fristen und Verantwortlichkeiten fest, informieren Sie die Beschäftigten über interne und externe Meldewege – und halten Sie alles DSGVO-konform fest.
So schützt das Gesetz Hinweisgeber
Hinweisgeber, die in gutem Glauben melden, sind umfassend geschützt: Repressalien wie Kündigung, Abmahnung, Versetzung oder Mobbing sind verboten (§ 36 HinSchG).
Nach § 36 HinSchG gilt eine Beweislastumkehr: Der Arbeitgeber muss beweisen, dass eine Kündigung oder andere Maßnahme nichts mit der Meldung zu tun hatte. Gelingt das nicht, drohen Schadensersatzansprüche (§ 37 HinSchG) – zusätzlich zum Bußgeld.
Bußgelder: Das kostet ein Verstoß gegen das HinSchG
| Verstoß | Bußgeld (§ 40 HinSchG) |
|---|---|
| Keine interne Meldestelle eingerichtet | bis zu 20.000 € |
| Meldung behindert / Repressalien ergriffen / Vertraulichkeit verletzt | bis zu 50.000 € |
| Dieselben Verstöße durch juristische Personen | Verzehnfachung möglich – bis zu 500.000 € (§ 30 OWiG) |
Das Bußgeld ist dabei selten der größte Schaden: Ungeklärte Missstände, die extern oder öffentlich gemeldet werden, kosten Reputation, Aufträge und im Zweifel deutlich mehr als jede Compliance-Lösung.
Häufige Fragen zum Hinweisgeberschutzgesetz
Was ist das Hinweisgeberschutzgesetz einfach erklärt?
Das Hinweisgeberschutzgesetz (HinSchG) ist das deutsche Whistleblower-Gesetz. Es verpflichtet Unternehmen ab 50 Beschäftigten, eine vertrauliche interne Meldestelle für Hinweise auf Rechtsverstöße zu betreiben, und schützt Hinweisgeber vor Kündigung und anderen Repressalien.
Ab wann gilt das Hinweisgeberschutzgesetz?
Das HinSchG ist seit dem 2. Juli 2023 in Kraft. Für Unternehmen mit 50 bis 249 Beschäftigten endete die Übergangsfrist am 17. Dezember 2023. Seitdem gilt die Meldestellen-Pflicht ausnahmslos für alle Unternehmen ab 50 Beschäftigten.
Für wen gilt das HinSchG?
Für alle privaten und öffentlichen Beschäftigungsgeber mit mindestens 50 Beschäftigten. Für bestimmte Finanzdienstleister gilt die Pflicht unabhängig von der Unternehmensgröße. Mitgezählt werden alle Beschäftigten – auch Teilzeitkräfte, Auszubildende und Geschäftsführer.
Sind anonyme Meldungen nach dem HinSchG Pflicht?
Nein. Es besteht keine Pflicht, anonyme Meldekanäle anzubieten. Anonym eingehende Meldungen sollten aber bearbeitet werden. In der Praxis gilt ein anonymer Meldekanal als Best Practice, weil er die Hemmschwelle für Hinweise deutlich senkt.
Welche Strafen drohen bei Verstößen gegen das HinSchG?
Wer keine interne Meldestelle betreibt, riskiert ein Bußgeld von bis zu 20.000 €. Für das Behindern von Meldungen, Repressalien gegen Hinweisgeber oder Vertraulichkeitsverstöße drohen bis zu 50.000 € – bei juristischen Personen kann sich das Höchstmaß auf bis zu 500.000 € verzehnfachen.
Muss der Betriebsrat bei der Einführung beteiligt werden?Element #6
Ja. Der Betriebsrat ist über die Einführung der Meldestelle zu informieren; bei elektronischen Systemen hat er ein Mitbestimmungsrecht nach § 87 BetrVG. Die Einführung selbst ist gesetzliche Pflicht und kann nicht per Betriebsvereinbarung ausgeschlossen werden.
Parlabox hilft Unternehmen die Anforderungen des HinSchG zu erfüllen.
HinSchG-Pflichten in wenigen Minuten erfüllen
Parlabox ist das digitale Hinweisgebersystem für die interne Meldestelle nach HinSchG: anonyme und vertrauliche Meldungen, Ende-zu-Ende-Verschlüsselung, Fristen- und Fallmanagement, DSGVO-konformes Hosting in Deutschland – ab 33 €/Monat.