HinSchG-Compliance-Leitfaden 2026: Pflichten, Fristen und Checkliste ab 50 Beschäftigten

Das Hinweisgeberschutzgesetz (HinSchG) gilt seit dem 2. Juli 2023. Es setzt die EU-Richtlinie 2019/1937 in deutsches Recht um. Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten und betreiben.

Wer ist verpflichtet?

Wer	Norm	Pflicht seit
Beschäftigungsgeber mit in der Regel mindestens 250 Beschäftigten	§ 12 Abs. 1, 2	2. Juli 2023
Private Beschäftigungsgeber mit 50 bis 249 Beschäftigten	§ 42 Abs. 1	17. Dezember 2023
Bestimmte Finanzunternehmen, etwa Kreditinstitute und Versicherer, jeder Größe	§ 12 Abs. 3	2. Juli 2023
Bund und Länder: Organisationseinheiten, die die obersten Behörden bestimmen	§ 12 Abs. 1	2. Juli 2023
Gemeinden und ihre Unternehmen	§ 12 Abs. 1	nach Landesrecht

Das Gesetz zählt Beschäftigte „in der Regel“ (§ 12 Abs. 2); von Vollzeitäquivalenten spricht es nicht. Zu den Beschäftigten gehören auch Auszubildende und arbeitnehmerähnliche Personen (§ 3 Abs. 8).

Was die interne Meldestelle leisten muss

• Meldungen in Textform und mündlich (§ 16 Abs. 3) Mündlich heißt per Telefon oder anderer Sprachübermittlung. Auf Wunsch ist ein persönliches Treffen zu ermöglichen.
• Nur Zuständige haben Zugriff (§ 16 Abs. 2) Eingehende Meldungen sehen nur die Personen, die sie entgegennehmen und bearbeiten, und ihre Unterstützer.
• Vertraulichkeit der Identität (§ 8) Das gilt für die hinweisgebende Person, für Beschuldigte und für weitere genannte Personen.
• Anonyme Meldungen bearbeiten, soweit möglich (§ 16 Abs. 1) Die Meldestelle „sollte“ anonyme Meldungen bearbeiten. Einen anonymen Kanal verlangt das Gesetz nicht.
• Kontakt halten und nachfragen (§ 17 Abs. 1 Nr. 3, 5) Rückfragen an die hinweisgebende Person müssen möglich sein.
• Unabhängig und fachkundig (§ 15) Die beauftragten Personen dürfen andere Aufgaben haben, aber keine Interessenkonflikte.
• Informieren (§ 7 Abs. 3, § 13 Abs. 2) Beschäftigte erhalten klare Informationen über das interne Verfahren und über externe Meldestellen.

Die Fristen im Überblick

Frist	Norm	Inhalt
7 Tage	§ 17 Abs. 1 Nr. 1	Eingang der Meldung bestätigen, spätestens nach sieben Tagen
3 Monate	§ 17 Abs. 2	Rückmeldung ab Eingangsbestätigung; ohne Bestätigung spätestens 3 Monate und 7 Tage nach Eingang
3 Jahre	§ 11 Abs. 5	Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht; länger nur, wenn erforderlich und verhältnismäßig

Für die Prüfung der Stichhaltigkeit nennt das Gesetz keine eigene Frist (§ 17 Abs. 1 Nr. 4).

Bußgelder nach § 40

Verstoß	Norm	Bis zu
Keine interne Meldestelle eingerichtet oder betrieben	§ 40 Abs. 2 Nr. 2	20.000 €
Meldung oder Kommunikation behindert	§ 40 Abs. 2 Nr. 1	50.000 €
Repressalie gegen die hinweisgebende Person	§ 40 Abs. 2 Nr. 3	50.000 €
Vertraulichkeit vorsätzlich oder leichtfertig verletzt	§ 40 Abs. 3	50.000 €
Vertraulichkeit fahrlässig verletzt	§ 40 Abs. 4	10.000 €

Das Bußgeld für eine fehlende Meldestelle gilt seit dem 1. Dezember 2023 (§ 42 Abs. 2). Bei Behinderung, Repressalie und Verletzung der Vertraulichkeit verweist § 40 Abs. 6 auf § 30 Abs. 2 Satz 3 OWiG. Gegen ein Unternehmen kann das Höchstmaß dann das Zehnfache betragen.

Was gemeldet werden kann

Der sachliche Anwendungsbereich steht in § 2. Geschützt sind vor allem Meldungen über:

• Straftaten (§ 2 Abs. 1 Nr. 1)
• Ordnungswidrigkeiten, soweit die Vorschrift Leben, Leib oder Gesundheit schützt oder die Rechte von Beschäftigten und ihren Vertretungsorganen (§ 2 Abs. 1 Nr. 2)
• Verstöße gegen bestimmte Vorschriften des Bundes, der Länder und der EU, etwa zu Geldwäsche, Produktsicherheit, Umweltschutz und Datenschutz (§ 2 Abs. 1 Nr. 3 ff.)

Ein bloßer Streit über Urlaub oder Arbeitszeit fällt nicht darunter, solange er keinen solchen Verstoß betrifft.

Was Software abdeckt und was nicht

Das Gesetz schreibt keine Technik vor. Software kann den Kanal in Textform, die Fristen und die Dokumentation tragen. So verteilt es sich bei OpenWhistle:

Pflicht	Norm	OpenWhistle
Kanal in Textform	§ 16 Abs. 3	Webformular, optional über Tor
Mündlicher Kanal	§ 16 Abs. 3	nicht in der Software; Leitfaden im Admin-Bereich
Zugriff nur für Zuständige	§ 16 Abs. 2	Rollen; Fallbearbeiter sehen nur ihre Fälle
Vertraulichkeit	§ 8	keine IP-Speicherung; Identität erst nach protokolliertem Grund sichtbar
7 Tage, 3 Monate	§ 17	Zähler im Dashboard, E-Mail-Erinnerung
Dokumentation, Löschung	§ 11	verschlüsselte Fallakte, Audit-Log; Löschung nach 1095 Tagen
Unabhängigkeit, Fachkunde	§ 15	Ihre Aufgabe

Checkliste in zehn Schritten

• Pflicht prüfen.In der Regel mindestens 50 Beschäftigte, oder ein Finanzunternehmen nach § 12 Abs. 3?
• Organisationsform wählen.Eigene Beschäftigte oder ein Dritter wie eine Ombudsperson (§ 14 Abs. 1). Bei 50 bis 249 Beschäftigten geht auch eine gemeinsame Stelle (§ 14 Abs. 2).
• Personen benennen.Unabhängig, ohne Interessenkonflikt, fachkundig (§ 15).
• Textkanal einrichten.Etwa mit OpenWhistle; die Anleitung zeigt die Installation.
• Telefon einrichten.Eine Nummer, die nur die Meldestelle erreicht. Aufzeichnen nur mit Einwilligung (§ 11 Abs. 2).
• Fristen überwachen.Sieben Tage für die Bestätigung, drei Monate für die Rückmeldung.
• Löschkonzept festlegen.Drei Jahre nach Abschluss wird gelöscht (§ 11 Abs. 5). In OpenWhistle ist das der Standard.
• Datenschutz dokumentieren.Verarbeitungsverzeichnis, Datenschutzhinweise und, bei jedem Dienstleister, ein Vertrag nach Art. 28 DSGVO.
• Betriebsrat beteiligen, falls vorhanden.Mitbestimmungsrechte nach § 87 Abs. 1 BetrVG können berührt sein.
• Beschäftigte informieren.Über den internen Weg und über externe Meldestellen (§ 7 Abs. 3, § 13 Abs. 2).

Häufige Fragen

Was passiert, wenn wir keine Meldestelle einrichten?

Das ist eine Ordnungswidrigkeit mit einem Bußgeld bis 20.000 € (§ 40 Abs. 2 Nr. 2, Abs. 6). Hinweisgeber können sich ohnehin jederzeit an eine externe Meldestelle wenden (§ 7 Abs. 1).

Können wir einen externen Anbieter beauftragen?

Ja. Ein Dritter kann die Aufgaben der internen Meldestelle übernehmen (§ 14 Abs. 1). Die Pflicht, einen Verstoß abzustellen, bleibt aber beim Beschäftigungsgeber. Mit dem Dienstleister brauchen Sie einen Vertrag nach Art. 28 DSGVO.

Gilt das HinSchG für jede Konzerngesellschaft?

Die Pflicht trifft jeden Beschäftigungsgeber einzeln (§ 12 Abs. 1). Mehrere private Beschäftigungsgeber mit 50 bis 249 Beschäftigten dürfen eine gemeinsame Stelle betreiben (§ 14 Abs. 2). Rückmeldung und Abhilfe bleiben bei jedem einzelnen. In OpenWhistle bekommt dafür jede Organisation einen eigenen Meldelink.

Weitere Ressourcen: Schritt-für-Schritt-Anleitung zur Installation · Kostenloses Hinweisgebersystem: was es wirklich kostet · Hinweisgebersystem-Anbieter im Vergleich 2026 · HinSchG Volltext (gesetze-im-internet.de)