HinSchG-Leitfaden 2026: Pflichten, Bußgelder für 50+ MA-Unternehmen

Dieser Leitfaden gibt den Überblick: wer eine interne Meldestelle braucht, wie sie arbeitet, welche Fristen und Sanktionen gelten und wo Österreich abweicht. Die Umsetzung Schritt für Schritt steht in der Anleitung Interne Meldestelle einrichten, alle Artikel im HinSchG-Themenbereich.

1. Was ist das Hinweisgeberschutzgesetz?

Das Hinweisgeberschutzgesetz (HinSchG) setzt die Richtlinie (EU) 2019/1937 um. Es schützt natürliche Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an eine Meldestelle melden oder offenlegen (§ 1 Abs. 1). Geschützt sind auch Personen, die Gegenstand einer Meldung oder von ihr betroffen sind (§ 1 Abs. 2).

Das Gesetz vom 31.05.2023 (BGBl. 2023 I Nr. 140) gilt seit 02.07.2023. Eine eigenständige „HinSchG-Novelle 2026" gibt es nicht; geändert wurde es über andere Gesetze, zuletzt durch Art. 2 des KI-Durchführungsgesetzes vom 22.07.2026. Den Änderungsstand zeigt der Artikel HinSchG-Updates 2024–2026.

Welche Verstöße gemeldet werden können, regelt § 2 Abs. 1 HinSchG, insbesondere:

• strafbewehrte Verstöße (Nr. 1)
• bußgeldbewehrte Verstöße, soweit die Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient (Nr. 2)
• Verstöße gegen aufgezählte Vorschriften etwa zu Geldwäsche, Produktsicherheit, Umweltschutz, Lebensmittelsicherheit, Verbraucherschutz, Datenschutz und IT-Sicherheit (Nr. 3) sowie gegen Vergaberecht (Nr. 4), von § 4d FinDAG erfasste Vorschriften (Nr. 5), Steuerrecht (Nr. 6 und 7), Kartellrecht (Nr. 8) und das Gesetz über digitale Märkte (Nr. 9)
• Verstöße gegen die KI-Verordnung (EU) 2024/1689 (Nr. 10, seit 29.07.2026); die bisherige Nr. 10 ist jetzt Nr. 11

Ob eine Meldung darunter fällt, prüft die interne Meldestelle als eigenen Verfahrensschritt (§ 17 Abs. 1 Nr. 2). Davon hängt der Schutz ab: Die §§ 35 bis 37 greifen, wenn die Informationen in den Anwendungsbereich fallen oder die hinweisgebende Person hinreichenden Grund zu dieser Annahme hatte (§ 33 Abs. 1 Nr. 3).

2. Wer ist betroffen — die Schwelle von 50 Beschäftigten

2.1 Die reguläre Schwelle

Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten müssen dafür sorgen, dass mindestens eine interne Meldestelle eingerichtet ist und betrieben wird (§ 12 Abs. 1 Satz 1, Abs. 2 HinSchG). Für private Beschäftigungsgeber mit 50 bis 249 Beschäftigten galt das ab 17.12.2023 (§ 42 Abs. 1), das Bußgeld für die fehlende Meldestelle ist seit 01.12.2023 anwendbar (§ 42 Abs. 2). Maßgeblich ist die regelmäßige Beschäftigtenzahl, nicht ein einzelner Stichtag.

Betroffenheit und Modellwahl vertieft der Artikel Hinweisgebersystem ab 50 Mitarbeitenden, die Zählung die Anleitung unter Pflicht ab 50 Beschäftigten.

2.2 Pflicht unabhängig von der Größe

§ 12 Abs. 3 Nr. 1 bis 9 HinSchG zählt abschließend auf, für wen die Schwelle nicht gilt: Wertpapierdienstleistungsunternehmen, Datenbereitstellungsdienste, Börsenträger, Institute nach KWG und Wertpapierinstitutsgesetz, Gegenparteien nach Art. 3 Nr. 2 der Verordnung (EU) 2015/2365, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen nach § 1 Abs. 1 VAG mit der dort geregelten Ausnahme sowie Krypto- und Zahlungsinstitute. Kanzleien, Notariate und Wirtschaftsprüfungsgesellschaften stehen nicht in der Liste; für sie gilt die Schwelle von 50.

2.3 Gemeinsame Stelle und Konzern

Private Beschäftigungsgeber mit 50 bis 249 Beschäftigten dürfen eine gemeinsame Stelle betreiben; Abhilfe und Rückmeldung bleiben beim einzelnen Beschäftigungsgeber (§ 14 Abs. 2). Wird eine Konzerngesellschaft als Dritter betraut, muss der betrauende Beschäftigungsgeber Verstöße weiterhin selbst abstellen (§ 14 Abs. 1 Satz 2). Ein Verfahren zu § 14 ist nicht anhängig (Stand 17.08.2026): Das Vertragsverletzungsverfahren INFR(2022)0052 betraf die verspätete Umsetzung, endete mit dem EuGH-Urteil C-149/23 vom 06.03.2025 (Pauschalbetrag 34 Mio. Euro) und wurde am 04.06.2026 eingestellt. Mehr unter Konzern-Meldestelle nach § 14 und Hybridmodell im Konzern.

3. Die interne Meldestelle (§§ 12 bis 15)

Die interne Meldestelle betreibt die Meldekanäle, führt das Verfahren und ergreift Folgemaßnahmen (§ 13 Abs. 1 HinSchG); sie informiert zudem über externe Meldeverfahren (§ 13 Abs. 2). Der Beschäftigungsgeber erteilt ihr die nötigen Befugnisse (§ 12 Abs. 4).

• Unabhängigkeit (§ 15 Abs. 1): Die beauftragten Personen sind bei ihrer Tätigkeit unabhängig (§ 15 Abs. 1 Satz 1) und dürfen andere Aufgaben wahrnehmen, etwa in HR oder Compliance, solange keine Interessenkonflikte entstehen.
• Fachkunde (§ 15 Abs. 2): Der Beschäftigungsgeber sorgt für die notwendige Fachkunde. Eine bestimmte Schulung oder einen schriftlichen Fachkundenachweis schreibt das Gesetz nicht vor.
• Vertraulichkeit (§ 8): Die Identität der Beteiligten darf nur den Zuständigen und ihren Unterstützern bekannt werden; Umsetzung im Vertraulichkeitskonzept.
• Dokumentation (§ 11): Meldungen werden dauerhaft abrufbar dokumentiert und drei Jahre nach Abschluss des Verfahrens gelöscht (§ 11 Abs. 5).

Eine schriftliche Verfahrensordnung verlangt § 15 nicht. Sie ist aber das zentrale Praxis- und Nachweisinstrument; eine Gliederung zeigt die Vorlage zur Verfahrensanweisung, die Einrichtung die Anleitung in acht Schritten. Für die Fachkunde gibt es das E-Learning Hinweisgeberschutz mit eigenem Pfad für Meldestelle und Führung.

4. Meldekanäle (§ 16)

Die Meldekanäle müssen Beschäftigten und überlassenen Leiharbeitnehmern offenstehen und dürfen für weitere Personen mit beruflichem Kontakt geöffnet werden (§ 16 Abs. 1 Satz 1 und 3 HinSchG).

• Form: Meldungen müssen in mündlicher oder in Textform möglich sein; mündlich per Telefon oder anderer Sprachübermittlung (§ 16 Abs. 3 Satz 1 und 2).
• Zusammenkunft: Auf Ersuchen ist innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft zu ermöglichen, mit Einwilligung auch per Bild- und Tonübertragung (Satz 3 und 4). Eine feste Tagesfrist nennt das deutsche Gesetz nicht.
• Zugriff: nur für die Zuständigen und ihre Unterstützer (§ 16 Abs. 2).
• Anonym: Die Meldestelle sollte anonyme Meldungen bearbeiten; eine Pflicht, die Kanäle dafür zu gestalten, besteht nicht (§ 16 Abs. 1 Satz 4 und 5). Siehe Anonyme Meldung (Soll-Vorgabe § 16 Abs. 1).

Eine E-Mail-Adresse allein reicht deshalb nicht: Die Zusammenkunft auf Ersuchen muss möglich und der Zugriff auf die Zuständigen beschränkt sein. Kombinationen zeigt die Anleitung unter Meldekanäle.

5. Fristen und Vertraulichkeit

Die Rückmeldung darf interne Ermittlungen und die Rechte der Betroffenen nicht beeinträchtigen (§ 17 Abs. 2 Satz 3). Das Vertraulichkeitsgebot gilt auch, wenn die Meldestelle nicht zuständig ist (§ 8 Abs. 2). Ausnahmen regelt § 9, etwa bei vorsätzlich oder grob fahrlässig unrichtigen Meldungen (Abs. 1) oder auf Verlangen der Strafverfolgungsbehörden (Abs. 2 Nr. 1).

6. Interne Meldestelle auslagern (§ 14) und externe Meldestellen

Eine von einer Kanzlei oder einem Dienstleister betriebene Stelle heißt oft „externe Meldestelle", ist rechtlich aber eine interne: § 14 Abs. 1 HinSchG erlaubt, eine beschäftigte Person, eine Arbeitseinheit oder einen Dritten zu betrauen. Eine Softwareplattform ist ein Werkzeug für den Kanal, kein eigenes Organisationsmodell.

Externe Meldestellen im Sinne des Gesetzes sind staatlich: das Bundesamt für Justiz (§ 19), die BaFin (§ 21) und das Bundeskartellamt (§ 22). Hinweisgebende Personen wählen frei zwischen interner und externer Meldung (§ 7 Abs. 1); Beschäftigungsgeber sollen Anreize für die interne Meldung schaffen, ohne die externe zu erschweren (§ 7 Abs. 3).

Kosten hängen von Anbieter und Umfang ab; Optionen und ein Prüfraster bietet der Anbieter-Vergleich.

7. Bußgelder, Repressalienverbot und Schadensersatz

Die Höchstbeträge stehen in § 40 Abs. 6 Satz 1. Für Behinderung, Repressalie und Vertraulichkeitsverstöße ordnet Satz 2 die Anwendung von § 30 Abs. 2 Satz 3 OWiG an: Gegenüber juristischen Personen steigt das Höchstmaß auf das Zehnfache, bei den 50.000-€-Tatbeständen also auf 500.000 €. Für die fehlende Meldestelle bleibt es bei 20.000 €. Zuständig ist das Bundesamt für Justiz, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt (§ 1 HinSchGOWiZustV vom 09.04.2025, BGBl. 2025 I Nr. 111, in Kraft seit 15.04.2025) — eine Zuständigkeitsregel, kein Stichtag. Eine Schätzung liefert der Bußgeld-Rechner.

Repressalienverbot: Repressalien gegen hinweisgebende Personen sind verboten, ebenso Androhung und Versuch (§ 36 Abs. 1). Repressalien sind Reaktionen auf eine Meldung im beruflichen Zusammenhang, die einen ungerechtfertigten Nachteil verursachen oder verursachen können (§ 3 Abs. 6). Geschützt sind auch Unterstützer und verbundene Dritte (§ 34). Siehe Repressalienverbot (§ 36 HinSchG).

Beweislastumkehr: Macht die hinweisgebende Person geltend, eine berufliche Benachteiligung infolge ihrer Meldung erlitten zu haben, wird eine Repressalie vermutet; der Benachteiligende muss beweisen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen oder nicht auf der Meldung beruhte (§ 36 Abs. 2). Eine zeitliche Grenze nennt das Gesetz nicht. Die Regel gilt unmittelbar und ist von der Indizregel des AGG zu unterscheiden (§ 22 AGG-Beweislastumkehr).

Schadensersatz: Der Verursacher einer Repressalie ersetzt den daraus entstehenden Schaden (§ 37 Abs. 1). Einen ausdrücklichen Entschädigungsanspruch für Nichtvermögensschäden regelt das HinSchG nicht, einen Anspruch auf Einstellung oder Beförderung auch nicht (§ 37 Abs. 2). Umgekehrt haftet die hinweisgebende Person für vorsätzliche oder grob fahrlässige Falschmeldungen (§ 38; siehe Umgang mit falschen Meldungen). Vereinbarungen, die diese Rechte einschränken, sind unwirksam (§ 39).

Repressalien in der Praxis erkennen

Als Praxishilfe, nicht als gesetzliche Liste, bewähren sich vier Fallgruppen:

• direkt: Kündigung, Abmahnung, schlechtere Position, Kürzung von Entgelt oder Bonus
• indirekt: Ausgrenzung, Entzug von Aufgaben oder Projekten, schlechtere Beurteilung
• nachlaufend: nachteilige Auskünfte oder Zeugnisse nach Vertragsende
• gegen das Umfeld: Nachteile für Unterstützer und verbundene Dritte (§ 34)

Empfehlung: Vor jeder Personalmaßnahme gegenüber Personen mit Bezug zu einer Meldung die sachlichen Gründe gesondert dokumentieren, ohne zeitliche Grenze. Mehr unter Repressalienschutz.

8. Wirksamkeitsprüfung der Meldestelle — Best-Practice, keine gesetzliche Pflicht

Eine Audit-Pflicht für interne Meldestellen gibt es nicht, auch keinen Stichtag 01.01.2026. § 22 HinSchG regelt das Bundeskartellamt als externe Meldestelle für Verstöße nach § 2 Abs. 1 Nr. 8 und 9 (siehe Audit-Pflicht nach § 22: Klarstellung). Eine Selbstprüfung ist trotzdem sinnvoll, freiwillig und ohne Bußgeld:

• Rhythmus (Praxis): ab 250 Beschäftigten jährlich, bei 50 bis 249 alle zwei Jahre
• Prüfgegenstände: Kanäle (§ 16), Fristen (§ 17), Dokumentation und Löschung (§ 11), Vertraulichkeit (§ 8), Unabhängigkeit und Fachkunde (§ 15), Personalmaßnahmen nach Meldungen (§ 36)

Die zwölf Prüfpunkte beschreibt die Wirksamkeits-Selbstprüfung; einen schnellen Einstieg bietet die HinSchG-Wirksamkeitsprüfung in 8 Fragen.

9. Praxis-Ablauf: die ersten 90 Tage nach einer Meldung

Gesetzlich fest sind die 7 Tage (§ 17 Abs. 1 Nr. 1), die 3 Monate (§ 17 Abs. 2) und die Löschung drei Jahre nach Abschluss des Verfahrens (§ 11 Abs. 5); die Wochenangaben dazwischen sind Praxis-Rhythmen.

1. Tag 0 — dokumentieren: dauerhaft abrufbar und vertraulich (§ 11 Abs. 1); bei Telefonmeldungen Tonaufzeichnung oder Wortprotokoll nur mit Einwilligung, sonst Inhaltsprotokoll (§ 11 Abs. 2).
2. Bis Tag 7 — bestätigen (§ 17 Abs. 1 Nr. 1), bei anonymen Meldungen über einen vorhandenen Rückkanal.
3. Woche 1 bis 2 — einordnen: Anwendungsbereich und Stichhaltigkeit prüfen, bei Bedarf nachfragen (§ 17 Abs. 1 Nr. 2, 4 und 5).
4. Woche 2 bis 8 — Folgemaßnahmen: interne Untersuchung, Verweis, Abgabe an eine Ermittlungseinheit oder Behörde oder Abschluss mangels Beweisen (§ 18; siehe Untersuchung).
5. Laufend — Kontakt halten (§ 17 Abs. 1 Nr. 3).
6. Spätestens nach 3 Monaten — Rückmeldung zu Folgemaßnahmen und Gründen (§ 17 Abs. 2).
7. Nach Abschluss — löschen drei Jahre nach Verfahrensende (§ 11 Abs. 5).

10. Datenschutz in der Meldestelle

Die Meldestelle darf personenbezogene Daten verarbeiten, soweit das für ihre Aufgaben erforderlich ist, abweichend von Art. 9 Abs. 1 DSGVO auch besondere Kategorien wie Gesundheitsdaten, dann mit spezifischen Schutzmaßnahmen (§ 10 HinSchG). Daneben gelten die allgemeinen Pflichten: Eintrag im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO), beim Dritten ein Vertrag nach Art. 28 DSGVO zu prüfen, Löschung nach § 11 Abs. 5 HinSchG. Ob eine Datenschutz-Folgenabschätzung nötig ist, ist in Deutschland im Einzelfall zu prüfen. Österreich: Es gelten fünf Jahre Aufbewahrung (§ 8 Abs. 11 HSchG), die Folgenabschätzung entfällt (§ 8 Abs. 13 HSchG i. V. m. Art. 35 Abs. 10 DSGVO). Vertiefung: DSFA für die HinSchG-Meldestelle.

11. Kennzahlen für das Reporting an die Geschäftsleitung

Eine Berichtspflicht der internen Meldestelle gegenüber der Geschäftsleitung regelt das HinSchG nicht. Ein regelmäßiger, anonymisierter Bericht ist dennoch sinnvoll: Der Beschäftigungsgeber erteilt der Stelle ihre Befugnisse (§ 12 Abs. 4) und bleibt für die Abhilfe zuständig (§ 14 Abs. 1 Satz 2); Namen gehören wegen § 8 Abs. 1 nicht hinein. Bewährt haben sich Zahl der Meldungen nach Kanal und Thema (Kategorien des § 2), Anteil fristgerechter Bestätigungen und Rückmeldungen, abgeschlossene Untersuchungen und Maßnahmen sowie dokumentierte Prüfungen vor Personalmaßnahmen. Einbettung ins Gesamtreporting: Compliance-Reporting an Geschäftsführung und Vorstand.

12. Branchen-Praxis

Kanzleien und Berufsträger sind ab 50 Beschäftigten verpflichtet; Besonderheiten entstehen aus der beruflichen Verschwiegenheit und aus Interessenkonflikten bei Ombudsmandaten (HinSchG für Anwaltskanzleien).

Banken und Versicherungen brauchen die Meldestelle unabhängig von der Größe (§ 12 Abs. 3 Nr. 4 und 7). Spezifische Vorschriften wie § 25a Abs. 1 Satz 6 Nr. 3 KWG gehen vor (§ 4 Abs. 1 Nr. 2), die BaFin ist für bestimmte Verstöße externe Meldestelle (§ 21) (HinSchG für Finanzdienstleister).

Konzerne können eine zentrale Stelle als Dritten betrauen; die Abhilfepflicht bleibt bei jeder Gesellschaft (§ 14 Abs. 1 Satz 2; siehe Konzern-Meldestelle (hybrid)).

Krankenhäuser und Pflege verarbeiten in Meldungen häufig Gesundheitsdaten, gestützt auf § 10 HinSchG mit besonderen Schutzmaßnahmen (HinSchG für Krankenhäuser und Pflege).

Industrie und Maschinenbau betreffen oft Arbeitsschutz (§ 2 Abs. 1 Nr. 2), Umweltschutz und Produktsicherheit (Nr. 3). Ab in der Regel 1.000 Arbeitnehmern im Inland kommt das Beschwerdeverfahren nach § 8 LkSG hinzu (§ 1 Abs. 1 LkSG); beide Verfahren lassen sich organisatorisch bündeln, folgen aber eigenen Regeln.

Weitere Branchen: IT-Dienstleister und MSSP, Vereine und NPOs.

13. Drei verbreitete Irrtümer

„§ 22 schreibt ein Audit vor." Falsch. § 22 regelt das Bundeskartellamt als externe Meldestelle; das Bundesamt für Justiz steht in § 19, die BaFin in § 21. Keine dieser Vorschriften verpflichtet Unternehmen zu einer Prüfung.

„Anonyme Meldungen sind seit 2024 Pflicht." Falsch. Die Meldestelle sollte sie bearbeiten (§ 16 Abs. 1 Satz 4), muss die Kanäle aber nicht dafür gestalten (Satz 5). Einen Stichtag oder Bußgeldtatbestand gibt es nicht (Anonyme Meldungen: Soll-Empfehlung).

„Mit der Auslagerung ist das Thema erledigt." Falsch. Wer einen Dritten betraut, muss Verstöße weiter selbst abstellen (§ 14 Abs. 1 Satz 2); bei einer gemeinsamen Stelle bleiben Abhilfe und Rückmeldung beim einzelnen Beschäftigungsgeber (§ 14 Abs. 2 Satz 2).

14. Österreich: HSchG statt HinSchG

Österreich (AT): Das HinSchG gilt nur in Deutschland. In Österreich gilt das HinweisgeberInnenschutzgesetz (HSchG, BGBl. I Nr. 6/2023) mit ähnlichen Pflichten, aber anderen Paragrafen, Behörden und Sanktionen. Sein sachlicher Bereich ist enger: im Wesentlichen die EU-Bereiche zuzüglich der Korruptionsdelikte nach den §§ 302 bis 309 StGB (§ 3 Abs. 3 HSchG).

Empfehlung: Konzerne mit Gesellschaften in beiden Ländern führen Verfahrensordnung und Fristenplan je Land in einer eigenen Fassung, weil Fristen, Kanäle und Behörden abweichen. Der Leitfaden behandelt Deutschland und Österreich. Weiter: Konzern-Meldestelle mit Gesellschaften in Österreich und HinSchG im internationalen Vergleich.

15. Vorlagen und Schulung für die Umsetzung

Das HinSchG-Kit enthält 53 bearbeitbare Word-, Excel- und PowerPoint-Vorlagen in 14 Ordnern, darunter Richtlinie und Verfahrensordnung, Meldekanal-Konzept, Vorlagen für Eingangsbestätigung und Rückmeldung, Vertraulichkeits- und Löschkonzept, Repressalienschutz und DSGVO-Brücke, in einer Fassung für Deutschland oder für Österreich. Pakete: Basis 990 €, Plus mit Schulungs-Pack 1.390 €, Komplett mit E-Learning als HTML und SCORM 1.2/2004 1.690 €; netto und einmalig, 12 Monate Rechtsstand-Updates, nur für Unternehmen.

Das E-Learning Hinweisgeberschutz hat zwei Pfade: drei Kapitel in rund 20 Minuten für alle Mitarbeitenden, acht Kapitel in rund 90 Minuten für Meldestelle und Führung, mit Prüfung und Teilnahmenachweis mit Prüfcode. Einzeln ab 490 € netto bis 25 Nutzer. Standardisierte Vorlagen, keine Rechtsberatung im Einzelfall.