HinSchG Konzern-Meldestelle: was zulässig ist (2026)

1. § 14 HinSchG: Konzern-Meldestelle

Zulässig ist die Konzern-Meldestelle in Deutschland als Auslegungsergebnis, nicht als ausdrücklich geregelter Fall: § 14 HinSchG trägt die Überschrift „Organisationsformen interner Meldestellen" — einen ausdrücklichen Konzern-Wortlaut enthält die Norm nicht. Nach § 14 Abs. 1 Satz 1 kann eine interne Meldestelle eingerichtet werden, indem „eine … beschäftigte Person, eine … Arbeitseinheit oder ein Dritter mit den Aufgaben einer internen Meldestelle betraut wird". Die Konzern-Lösung wird aus dieser „Dritter“-Variante abgeleitet: Eine andere Konzerngesellschaft (etwa die Konzernzentrale) kann als „Dritter" betraut werden. Dieselbe Variante trägt auch das klassische Outsourcing an eine Anwaltskanzlei oder eine Ombudsperson.

Wichtig: § 14 Abs. 1 Satz 2 stellt klar, dass die Betrauung eines Dritten „den betrauenden Beschäftigungsgeber nicht von der Pflicht [entbindet], selbst geeignete Maßnahmen zu ergreifen, um einen etwaigen Verstoß abzustellen". Die Verantwortung verbleibt also bei der Tochtergesellschaft. Eine echte „gemeinsame Stelle“ mehrerer Beschäftigungsgeber regelt separat § 14 Abs. 2 — und ist dort auf Unternehmen mit in der Regel 50 bis 249 Beschäftigten beschränkt. Für eine Tochter mit 300 Beschäftigten kommt § 14 Abs. 2 damit nicht in Betracht; die Konzern-Lösung stützt sich dann auf die Dritter-Variante des Absatzes 1.

Anknüpfungspunkt der Einrichtungspflicht ist der einzelne Beschäftigungsgeber, nicht die Gruppe: § 12 Abs. 1 Satz 1 HinSchG verpflichtet Beschäftigungsgeber, dafür zu sorgen, dass mindestens eine interne Meldestelle eingerichtet und betrieben wird; nach § 12 Abs. 2 gilt das für Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten. Unabhängig von der Beschäftigtenzahl trifft die Pflicht die in § 12 Abs. 3 HinSchG genannten Beschäftigungsgeber — dazu zählen unter anderem Wertpapierdienstleistungsunternehmen, Börsenträger, Institute nach dem Kreditwesengesetz und dem Wertpapierinstitutsgesetz, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen sowie Krypto- und Zahlungsdiensteinstitute. Eine kleine Versicherungs- oder Zahlungsdiensttochter mit 12 Beschäftigten kann damit einrichtungspflichtig sein, obwohl sie die 50er-Schwelle nicht erreicht.

Voraussetzungen der Konzern-Lösung (Dritter-Variante des § 14 Abs. 1):

• Betrauung einer anderen Konzerngesellschaft als „Dritter" nach § 14 Abs. 1 Satz 1 — die Einrichtungspflicht trifft nach § 12 Abs. 1 Satz 1 i. V. m. Abs. 2 HinSchG jeden Beschäftigungsgeber einzeln; die Betrauung muss deshalb jede betroffene Gesellschaft erfassen.
• Schriftliche Vereinbarung der teilnehmenden Unternehmen — sie belegt, dass die Meldestelle im Sinne des § 12 Abs. 1 Satz 1 HinSchG eingerichtet und betrieben wird; § 40 Abs. 2 Nr. 2 i. V. m. Abs. 6 HinSchG stellt das Fehlen einer eingerichteten und betriebenen internen Meldestelle unter Geldbuße bis 20.000 EUR.
• Delegationsvereinbarung mit definiertem Rückgabepunkt (Praxis, keine gesetzliche Formvorgabe) — Mindestregelungspunkte siehe FAQ „Wie setzen wir die Konzern-Lösung praktisch um?“
• Vertraulichkeit nach § 8 HinSchG gilt auch konzernintern — kein konzernweiter Lesezugriff auf Fallakten.
• Grenze der Vertragsgestaltung: § 39 HinSchG — Vereinbarungen, die die Rechte hinweisgebender oder sonst geschützter Personen einschränken, sind unwirksam.

2. Die EU-Kommissions-Beanstandung

Eine Beanstandung der Ableitung der Konzern-Meldestelle aus § 14 HinSchG durch die EU-Kommission ist nicht belegt: Ein Vertragsverletzungsverfahren gegen Deutschland zu § 14 HinSchG besteht nicht. Das deutsche Verfahren zur Richtlinie (EU) 2019/1937 war INFR(2022)0052 wegen verspäteter Umsetzung; es endete mit dem Urteil des EuGH vom 6. März 2025 in der Rechtssache C-149/23 (Pauschalbetrag 34 Mio. Euro) und wurde am 4. Juni 2026 eingestellt. Sachlicher Anknüpfungspunkt der Diskussion bleibt der Richtlinientext selbst, der die Pflicht an die juristische Person mit 50 oder mehr Arbeitnehmern knüpft.

Der Bezugspunkt in der Richtlinie ist Art. 8: Nach Art. 8 Abs. 1 RL (EU) 2019/1937 müssen juristische Personen des privaten und des öffentlichen Sektors interne Meldekanäle und -verfahren einrichten; nach Art. 8 Abs. 3 gilt diese Pflicht für juristische Personen des privaten Sektors mit 50 oder mehr Arbeitnehmern. Genau an dieser Anknüpfung an die juristische Person setzt die Kritik an der deutschen Umsetzung an.

Zum Stand 17. August 2026 ist § 14 HinSchG unverändert und es ist kein Vertragsverletzungsverfahren der EU-Kommission gegen Deutschland zu dieser Vorschrift anhängig — national ist die Konzern-Meldestelle nach § 14 damit legal; ob die reine Konzern-Auslagerung der Anknüpfung des Art. 8 RL (EU) 2019/1937 an die juristische Person in jeder Konstellation genügt, ist gerichtlich nicht geklärt. Praxisempfehlung: Vor einer Setup-Entscheidung den aktuellen Stand der Vertragsverletzungsverfahren bei der EU-Kommission abgleichen und das Ergebnis mit Datum in der Compliance-Dokumentation festhalten.

Für die Planung heißt das: Der Streitpunkt ist § 14 HinSchG. Die laufenden Verfahrenspflichten einer internen Meldestelle stehen in anderen Normen — Fristen in § 17 HinSchG, Vertraulichkeit in § 8 Abs. 1 HinSchG, Meldekanäle in § 16 Abs. 3 HinSchG, Fachkunde in § 15 Abs. 2 HinSchG — und sind unabhängig vom Organisationsmodell zu erfüllen. Praxisempfehlung (keine Rechtspflicht): Konzern-Compliance-Officer sollten Hybrid-Modelle — eigene Meldestelle der Tochter plus Konzern-Stelle als Dritter — statt einer reinen Konzern-Auslagerung verwenden, solange das Verfahren offen ist.

3. Drei Modelle im Vergleich

Empfohlen ist das Hybridmodell: Es hält die formale Meldestelle bei jeder Tochter — die Anknüpfung des Art. 8 RL (EU) 2019/1937 an die juristische Person — und bündelt die Bearbeitung zentral. Das Zentralmodell ist die Konstruktion, an der sich die Diskussion um diese Anknüpfung entzündet; ein Vertragsverletzungsverfahren dazu besteht nicht (Stand 17.08.2026). Das Dezentralmodell wirft die Frage nicht auf, verursacht den Aufwand aber je Gesellschaft. Die Verfahrenspflichten aus §§ 8, 15, 16 und 17 HinSchG sind in jedem dieser Modelle zu erfüllen; unterschiedlich ist, wo die formale Meldestelle sitzt und wer sie operativ betreibt. Konkrete Kostenbandbreiten nennt die FAQ „Was kostet eine Konzern-Meldestelle?“.

Zentral: Eine Meldestelle in der Konzernzentrale wird von allen Töchtern als „Dritter" nach § 14 Abs. 1 Satz 1 HinSchG betraut. Vorteil ist die gebündelte Fachkunde nach § 15 Abs. 2 HinSchG. Auch im Zentralmodell bleibt die Abhilfepflicht bei jeder betrauenden Tochter (§ 14 Abs. 1 Satz 2 HinSchG).

Dezentral: Jede Gesellschaft richtet nach § 12 Abs. 1 Satz 1 HinSchG eine eigene interne Meldestelle ein und betreibt sie selbst. Das entspricht der Anknüpfung des Art. 8 Abs. 1 und 3 RL (EU) 2019/1937 an die juristische Person. Der Aufwand fällt je Gesellschaft an: Meldekanäle nach § 16 Abs. 3 HinSchG, Fachkunde nach § 15 Abs. 2 HinSchG, Fristenüberwachung nach § 17 HinSchG und ein eigenes Vertraulichkeitskonzept nach § 8 Abs. 1 HinSchG.

Hybrid: Der Aufwand je Tochter beschränkt sich auf die formale Einrichtung, die lokale Anlaufstelle und die Belegschaftsinformation; Fallbearbeitung, Fristenmanagement und Dokumentation laufen zentral (Aufbau: Abschnitt 4). Der Initial-Setup-Aufwand liegt dabei höher als im Zentralmodell.

Welche Gesellschaft welche Pflicht trifft, entscheidet der Adressat der jeweiligen Norm: § 12 Abs. 1 Satz 1 und Abs. 2 HinSchG sprechen den Beschäftigungsgeber an, § 14 Abs. 1 Satz 2 HinSchG den betrauenden Beschäftigungsgeber, §§ 8 und 17 HinSchG sowie § 16 Abs. 1 Satz 4 HinSchG die interne Meldestelle; die Fachkunde nach § 15 Abs. 2 HinSchG betrifft die mit den Aufgaben betrauten Personen. Die Wahl des Modells verschiebt die Arbeit, nicht den Adressaten.

4. Das Hybridmodell — Praxis-Empfehlung

Das Hybridmodell ist eine Praxis-Empfehlung, keine gesetzliche Vorgabe: Es kombiniert die formale Meldestelle je Tochtergesellschaft mit der operativen Bearbeitung in der Konzernzentrale. Aufbau:

1. Konzern-Meldestelle in der Zentrale — operativ tätig, fachlich qualifiziertes Team. Warum zentral: § 15 Abs. 2 HinSchG verlangt die notwendige Fachkunde der betrauten Personen — eine juristische Ausbildung fordert das Gesetz nicht. Praxisüblich sind Schulungen im Umfang von 5 bis 8 Unterrichtseinheiten; das ist ein Erfahrungswert, keine gesetzliche Vorgabe.
2. Lokale Anlaufstelle pro Tochter — formell eingerichtet, kann eine Person (HR-Leitung, Compliance-Officer) oder eine externe Vertrauensperson sein. § 14 Abs. 1 Satz 1 HinSchG nennt genau diese Formen: beschäftigte Person, Arbeitseinheit oder Dritter. Der Kanal-Mindeststandard folgt aus § 16 Abs. 3 HinSchG: Meldungen in mündlicher oder in Textform (Satz 1), mündlich per Telefon oder anderer Sprachübermittlung (Satz 2), und zwingend eine persönliche Zusammenkunft auf Ersuchen innerhalb angemessener Zeit (Satz 3). Textform, Telefon und persönliches Gespräch parallel anzubieten ist verbreiteter Praxisstandard, nicht Gesetzespflicht. Anonyme Meldungen sollte die interne Meldestelle bearbeiten (§ 16 Abs. 1 Satz 4 HinSchG); eine Pflicht, die Kanäle für die anonyme Abgabe zu öffnen, besteht nach Satz 5 ausdrücklich nicht.
3. Delegationsvertrag zwischen Tochter und Konzern-Zentrale — operative Bearbeitung wird an Zentrale delegiert, formelle Verantwortung bleibt bei Tochter. Die Mindestregelungspunkte des Vertrags stehen in der FAQ zur praktischen Umsetzung.
4. Joint-Controller-Vereinbarung nach Art. 26 DSGVO für Datenaustausch. Ergänzend gehören dazu: ein Auftragsverarbeitungsvertrag mit dem IT-Dienstleister der Meldeplattform nach Art. 28 Abs. 1 und 3 DSGVO — nach Art. 28 Abs. 1 DSGVO darf der Verantwortliche nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO (für deutsche Gesellschaften; zur AT-Abweichung siehe Abschnitt 5); die Reaktionsfrist des Art. 12 Abs. 3 DSGVO von einem Monat (verlängerbar um zwei Monate) für Betroffenenanträge; und die Löschfrist von drei Jahren nach Abschluss des Verfahrens (§ 11 Abs. 5 HinSchG).
5. Wahlfreiheit für Hinweisgeber — kann sich an lokale Anlaufstelle ODER zentrale Konzern-Meldestelle wenden; das Wahlrecht zwischen interner und externer Meldung (§ 7 Abs. 1 und Abs. 2 HinSchG) steht ohnehin allein der hinweisgebenden Person zu. Externe Meldestelle des Bundes ist das Bundesamt für Justiz (§ 19 Abs. 1 HinSchG), daneben bestehen besondere externe Meldestellen bei der BaFin (§ 21 HinSchG) und beim Bundeskartellamt (§ 22 HinSchG — Wettbewerbsrecht und Digital Markets Act).

Praxis-Rhythmus (keine gesetzliche Frist): Eine dokumentierte jährliche Wirksamkeits-Selbstprüfung je Tochter — Fristeinhaltung, Vertraulichkeit, Schulungsstand — ist Best-Practice für das Geschäftsführungs-Reporting; eine gesetzliche Prüfpflicht folgt daraus nicht. Ebenfalls Praxis und nicht Gesetz: den Fachkunde-Nachweis der betrauten Personen nicht älter als drei Jahre zu halten.

5. Konzern-Meldestelle in AT/CH

Zulässig ist die ausgelagerte oder gemeinsame interne Stelle in Österreich ausdrücklich (§ 13 Abs. 4 HSchG); in der Schweiz gibt es kein eigenes Whistleblower-Schutzgesetz — eine Konzern-Meldestelle ist möglich, aber ohne den Schutz vor arbeitsrechtlichen Folgen, den DE und AT vorsehen.

Österreich: Das österreichische HinweisgeberInnenschutzgesetz (HSchG) regelt die gemeinsame bzw. ausgelagerte interne Stelle in § 13 Abs. 4 HSchG: Unternehmen können „jeweils die Aufgaben der internen Stelle auf eine gemeinsame Stelle übertragen"; mit diesen Aufgaben können „auch Dritte beauftragt werden". Die Rechte und Pflichten der internen Stelle gelten dabei auch für die beauftragte Stelle. Das entspricht funktional der deutschen „Dritter“-Variante des § 14 Abs. 1 HinSchG und ist keine strengere Sonderregelung — die Eigenverantwortung der Tochter bleibt in beiden Rechtsordnungen bestehen.

Für eine österreichische Tochter gilt durchgehend österreichisches Recht (Fundstellen in der Tabelle). Entscheidungsrelevant ist der engere sachliche Anwendungsbereich: § 3 Abs. 3 HSchG erfasst die EU-Bereiche plus Korruptionsdelikte nach den §§ 302 bis 309 StGB, § 2 Abs. 1 Nr. 1 bis 3 HinSchG dagegen sämtliche strafbewehrten Verstöße. Praxisfolge: Wer konzernweit dieselbe Fallannahme-Regel fährt, nimmt in Österreich auch Hinweise außerhalb des gesetzlichen Anwendungsbereichs entgegen — diese Entscheidung sollte bewusst getroffen und in der Konzernrichtlinie festgehalten werden.

Die folgende Übersicht stellt die beiden Rechtsräume gegenüber; die deutschen und die österreichischen Fundstellen gelten jeweils nur für den eigenen Rechtsraum.

Schweiz: Kein eigenes Whistleblower-Schutzgesetz. Geltend sind Art. 321a OR (Vertraulichkeitspflicht) und Art. 336 OR (missbräuchliche Kündigung). Konzern-Meldestelle möglich, aber kein Schutz vor arbeitsrechtlichen Folgen wie in DE/AT. Datenschutzseitig braucht die CH-Tochter kein Transfer-Instrument für Drittländer: Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), Übermittlungen an die CH-Tochter brauchen weder Standardvertragsklauseln noch ein Framework. Praxisfolge: CH-Tochter in die Joint-Controller-Vereinbarung nach Art. 26 DSGVO aufnehmen, nicht in das SCC-Paket für Drittländer. Da der Repressalienschutz der §§ 36, 37 HinSchG bzw. §§ 20, 23 HSchG dort nicht greift, ist die Zusage an CH-Hinweisgeber vertraglich zu regeln, wenn sie gelten soll.

6. 6-Schritte-Checkliste Konzern-Aufbau

Der Aufbau einer Konzern-Lösung folgt sechs Schritten — von der Kartierung der Gesellschaften bis zur Belegschaftsinformation. Reihenfolge und Umsetzungsvorschläge sind Praxisempfehlung; die genannten §§-Fundstellen bezeichnen die jeweilige gesetzliche Grundlage.

1. Konzernstruktur kartieren: alle juristischen Personen mit ≥50 MA identifizieren — Pflicht-Tatbestand HinSchG. Gezählt wird nach Köpfen, nicht nach Vollzeit-Äquivalenten (§ 12 Abs. 2 HinSchG). Zusätzlich sind die Gesellschaften zu markieren, die nach § 12 Abs. 3 HinSchG unabhängig von der Beschäftigtenzahl einrichtungspflichtig sind. Für österreichische Gesellschaften gilt die Schwelle von 50 Arbeitnehmern nach § 3 Abs. 1 i. V. m. § 11 Abs. 1 HSchG.
2. Modell wählen: Hybrid empfohlen; Risiko-Abwägung Zentral vs. Dezentral. Entscheidungsgrundlage sind die Zahl der einrichtungspflichtigen Gesellschaften, der Umstand, dass zu § 14 HinSchG kein Vertragsverletzungsverfahren anhängig ist (Stand 17.08.2026), und die Frage, wo die Fachkunde nach § 15 Abs. 2 HinSchG realistisch aufgebaut werden kann.
3. Konzernrichtlinie aufsetzen: Verfahren, Verantwortlichkeiten, Eskalation, Rückmeldungs-Workflows. Die Richtlinie sollte die gesetzlichen Fristen des § 17 HinSchG operationalisieren; die Grenze des § 39 HinSchG und das Wahlrecht nach § 7 Abs. 1 HinSchG sind zu beachten (Abschnitt 1).
4. Lokale Anlaufstellen benennen: pro Tochter mind. 1 Person, mit Schulung nach § 15 Abs. 2. Fachkunde nachweisen und dokumentieren; Erreichbarkeit über die Kanäle des § 16 Abs. 3 HinSchG.
5. Joint-Controller- + DSFA-Vereinbarung: DSGVO-Schnittstelle. Für eine österreichische Tochter ist die DSFA nach § 8 Abs. 13 HSchG i. V. m. Art. 35 Abs. 10 DSGVO entbehrlich, die Aufbewahrung beträgt dort 5 Jahre (§ 8 Abs. 11 HSchG).
6. Belegschaftsinformation: § 7 Abs. 3 Satz 2 HinSchG (klare und leicht zugängliche Informationen über das interne Meldeverfahren) und § 13 Abs. 2 HinSchG (Informationen über externe Meldeverfahren) — beide Meldewege (lokal + Konzern) dokumentiert kommunizieren. Zu den externen Verfahren gehören das Bundesamt für Justiz (§ 19 Abs. 1 HinSchG) sowie die besonderen Stellen bei BaFin (§ 21) und Bundeskartellamt (§ 22); für österreichische Gesellschaften das BAK (§ 15 Abs. 1 HSchG) mit den sektoralen Sonderzuständigkeiten nach § 15 Abs. 2 HSchG (u. a. Finanzmarktaufsicht, Bundeswettbewerbsbehörde, Abschlussprüferaufsichtsbehörde).

Zählhilfe für Schritt 1 — Köpfe-Zählung nach § 12 Abs. 2 HinSchG, keine Vollzeit-Äquivalente: