HinSchG-Updates 2024–2026: Was hat sich geändert?

Geltungsbereich Deutschland — Hinweis für Österreich: Dieser Update-Überblick betrifft ausschließlich das deutsche HinSchG. In Österreich gilt stattdessen das HinweisgeberInnenschutzgesetz (HSchG); Einrichtungsschwelle, Fristen, externe Stelle und Strafrahmen stehen im Abschnitt Österreich: das HSchG im Vergleich. Die HinSchGOWiZustV und das EU-Vertragsverletzungsverfahren zur Umsetzung der Richtlinie (EU) 2019/1937 in Deutschland haben in Österreich keine Entsprechung.

Die sechs Punkte im Überblick: Status und Fundstelle

Von den sechs Punkten dieses Überblicks ist einer eine in Kraft getretene Rechtsverordnung, einer ein inzwischen eingestelltes EU-Vertragsverletzungsverfahren, zwei betreffen Höhe und Verjährung der Bußgelder, und zwei sind Klarstellungen zum Wortlaut des geltenden HinSchG. Die Status-Spalte gibt den Verfahrens- und Geltungsstand zum 17. August 2026 wieder, die Fundstellen-Spalte nennt die Norm, an der Sie den Punkt selbst nachlesen können.

Organisatorisch spürbar sind vor allem die Punkte 2 und 3; die Punkte 1, 4, 5 und 6 beantworten Detailfragen zu Wortlaut, Bußgeldhöhe und Verjährung.

1. Anonyme Meldungen: Soll-Empfehlung, keine Pflicht

Anders als in Compliance-Publikationen teils behauptet, enthält das geltende HinSchG keine Pflicht, anonyme Meldungen zu ermöglichen oder zu bearbeiten. § 16 Abs. 1 Satz 4 und 5 HinSchG bestimmt lediglich: „Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten." — der amtliche Wortlaut ist damit eine Soll-Empfehlung („sollte"), keine Pflicht. Eine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen, besteht ebenfalls nicht. Auch die Übergangsvorschrift § 42 HinSchG enthält weder den Stichtag 01.01.2025 noch eine Anonymitätspflicht — der vielfach zitierte Termin 01.01.2025 stammt aus einem früheren Gesetzentwurf, der nicht Gesetz geworden ist. Praxis-Empfehlung: Ein anonymer Eingangs- und Rückkanal (z. B. anonymes Web-Formular plus anonymer Chat-Thread) ist Best Practice und erhöht die Nutzung des Systems, bleibt rechtlich aber freiwillig.

Was § 42 HinSchG stattdessen regelt: Die Übergangsvorschrift betrifft ausschließlich zwei andere Daten — die Einrichtungsfrist für Beschäftigungsgeber mit 50 bis 249 Beschäftigten (17. Dezember 2023) und die Anwendbarkeit des Bußgeldtatbestands § 40 Abs. 2 Nr. 2 HinSchG (1. Dezember 2023). Wer den Termin 01.01.2025 in einer Verfahrensordnung, einer Schulungsfolie oder einem Lieferanten-Fragebogen stehen hat, sollte ihn deshalb ersetzen und nicht nur relativieren: Ein falsches Datum in der eigenen Verfahrensordnung fällt in einer Prüfung als Abweichung vom eigenen Regelwerk auf.

Die Kanal-Systematik dahinter: Gesetzlich verlangt § 16 Abs. 3 Satz 1 HinSchG Meldungen in mündlicher oder in Textform — der Beschäftigungsgeber hat insoweit ein Wahlrecht. Wird der mündliche Kanal gewählt, muss er per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein (Satz 2). Zwingend hinzu kommt allein die persönliche Zusammenkunft auf Ersuchen der hinweisgebenden Person innerhalb einer angemessenen Zeit (Satz 3), mit ihrer Einwilligung auch per Bild- und Tonübertragung (Satz 4). Anonymität ist in dieser Systematik eine freiwillige Zusatzleistung — drei parallele Kanäle sind verbreiteter Praxisstandard, aber keine gesetzliche Pflicht. Praxisempfehlung (keine Rechtspflicht): Wer anonyme Bearbeitung zusagt, testet den Rückkanal einmal jährlich end-to-end und dokumentiert das Ergebnis.

2. HinSchGOWiZustV — Bundesamt für Justiz zuständig (in Kraft seit 15.04.2025)

Die Hinweisgeberschutzgesetz-Ordnungswidrigkeiten-Zuständigkeitsverordnung (HinSchGOWiZustV) ist vom 9. April 2025 (Ausfertigungsdatum), wurde im BGBl. 2025 I Nr. 111 verkündet, ausgegeben am 14. April 2025, und ist nach § 2 der Verordnung („Diese Verordnung tritt am Tag nach der Verkündung in Kraft") seit dem 15.04.2025 in Kraft. § 1 HinSchGOWiZustV überträgt die Zuständigkeit für die Verfolgung und Ahndung von Ordnungswidrigkeiten nach § 40 HinSchG auf das Bundesamt für Justiz (BfJ) — allerdings nur, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt. Eine ausnahmslos „zentrale" Bußgeldzuständigkeit des BfJ für sämtliche HinSchG-Verstöße folgt daraus nicht; außerhalb dieses Geschäftsbereichs bleibt es bei den allgemeinen Zuständigkeitsregeln (§ 36 OWiG, ggf. Landesbehörden). Praktische Folge: Verstöße gegen § 12 (Meldestelle nicht eingerichtet), § 8 (Vertraulichkeit) oder § 36 (Repressalien) werden im Zuständigkeitsbereich des BfJ gebündelt geahndet.

Welche Tatbestände erfasst sind: Ordnungswidrig handelt nach § 40 Abs. 2 bis 4 HinSchG unter anderem, wer eine Meldung behindert, keine interne Meldestelle einrichtet und betreibt, eine Repressalie ergreift oder die Vertraulichkeit nicht wahrt. Die Verordnung regelt die Verfolgung und Ahndung dieser Ordnungswidrigkeiten; welche Höchstbuße für welchen Tatbestand gilt und wann sie verjährt, steht in § 40 HinSchG und § 31 Abs. 2 OWiG (Punkte 4 und 5).

Nicht verwechseln: Beim Bundesamt für Justiz ist zugleich die externe Meldestelle des Bundes errichtet (§ 19 Abs. 1 HinSchG). Sie ist organisatorisch vom übrigen Zuständigkeitsbereich des Amtes getrennt und immer dann zuständig, soweit nicht eine besondere externe Meldestelle — etwa die BaFin nach § 21 oder das Bundeskartellamt nach § 22 HinSchG — zuständig ist (§ 19 Abs. 4 HinSchG). Meldeweg und Bußgeldstelle sind damit zwei verschiedene Adressen desselben Amtes. Praxisempfehlung (keine Rechtspflicht): in der Belegschaftsinformation nach § 13 HinSchG beides getrennt beschreiben, damit die Meldewege klar bleiben.

3. § 14 HinSchG und die EU-Whistleblower-Richtlinie — kein Vertragsverletzungsverfahren gegen Deutschland anhängig

Das gegen Deutschland geführte Vertragsverletzungsverfahren INFR(2022)0052 betraf die verspätete Umsetzung der EU-Whistleblower-Richtlinie 2019/1937; es endete mit dem Urteil des EuGH in der Rechtssache C-149/23 vom 6. März 2025 (Pauschalbetrag 34 Mio. Euro) und wurde am 4. Juni 2026 eingestellt. Ein weiteres Verfahren — insbesondere ein Konformitätsverfahren zu § 14 HinSchG und zur Konzern-Auslagerungs-Lösung (Mutter- oder Schwester-Gesellschaft als interne Meldestelle für Tochter-Unternehmen) — ist gegen Deutschland nicht anhängig; Stand 17. August 2026 gilt § 14 HinSchG unverändert. Als Praxisempfehlung (keine Rechtspflicht) sollten Konzern-Compliance-Officer gleichwohl Hybrid-Modelle (Tochter-Eigene-Meldestelle plus Konzern-Stelle als Dritter) statt reiner Konzern-Auslagerung verwenden.

Der Bezugspunkt in der Richtlinie ist Art. 8: Nach Art. 8 Abs. 1 der Richtlinie (EU) 2019/1937 müssen juristische Personen des privaten und des öffentlichen Sektors interne Meldekanäle und -verfahren einrichten; nach Art. 8 Abs. 3 gilt diese Pflicht für juristische Personen des privaten Sektors mit 50 oder mehr Arbeitnehmern. An dieser Anknüpfung an die einzelne juristische Person setzt die Kritik an der deutschen Umsetzung an. Das deutsche Recht knüpft die Einrichtungspflicht an den Beschäftigungsgeber: § 12 Abs. 1 Satz 1 HinSchG verpflichtet Beschäftigungsgeber, dafür zu sorgen, dass mindestens eine interne Meldestelle eingerichtet und betrieben wird; nach § 12 Abs. 2 HinSchG gilt das für Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten.

Was § 14 HinSchG trägt — und was nicht: Nach § 14 Abs. 1 Satz 1 HinSchG dürfen die Aufgaben der internen Meldestelle einem Dritten übertragen werden; aus dieser Variante wird die Konzern-Lösung abgeleitet, sie trägt ebenso das Outsourcing an eine Anwaltskanzlei oder eine Ombudsperson. § 14 Abs. 1 Satz 2 HinSchG hält den Beschäftigungsgeber jedoch selbst in der Pflicht, geeignete Maßnahmen zur Abstellung eines Verstoßes zu ergreifen. Die Auslagerung verschiebt also die Bearbeitung, nicht die Abhilfeverantwortung. Bei der Schwellenprüfung je Legaleinheit ist zusätzlich § 12 Abs. 3 HinSchG zu beachten: Für die dort genannten Beschäftigungsgeber — unter anderem Wertpapierdienstleistungsunternehmen, Börsenträger, Institute nach dem Kreditwesengesetz und dem Wertpapierinstitutsgesetz, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen sowie Krypto- und Zahlungsdiensteinstitute — gilt die Einrichtungspflicht unabhängig von der Beschäftigtenzahl. Eine kleine Finanz- oder Versicherungstochter kann damit einrichtungspflichtig sein, obwohl sie die 50er-Schwelle nicht erreicht.

Praxisempfehlung (keine Rechtspflicht): den Stand etwaiger EU-Verfahren zum Hinweisgeberschutz vor einer Setup-Entscheidung bei der EU-Kommission abgleichen und das Ergebnis mit Datum in der Compliance-Dokumentation festhalten. Die Modelle im Einzelnen vergleicht der Beitrag HinSchG Konzern-Meldestelle.

4. § 40 — Bußgeldhöhen nach dem Gesetzestext

Nach § 40 Abs. 6 Satz 1 HinSchG beträgt das Maximalbußgeld pro natürliche Person 50.000 EUR bei Behinderung einer Meldung (§ 7 Abs. 2), Repressalien (§ 36) und vorsätzlichem oder leichtfertigem Vertraulichkeitsbruch (§ 8 Abs. 1). Die Verzehnfachung für juristische Personen nach § 30 Abs. 2 S. 3 OWiG gilt für diese Fälle — Maximum für Unternehmen damit 500.000 EUR. Bußgeld bei nicht-eingerichteter Meldestelle (§ 40 Abs. 2 Nr. 2 i.V.m. § 12): 20.000 EUR — und zwar auch für juristische Personen, denn § 40 Abs. 6 S. 2 HinSchG ordnet die Verzehnfachung nach § 30 Abs. 2 S. 3 OWiG ausdrücklich nur für § 40 Abs. 2 Nr. 1 und 3 sowie Abs. 3 und 4 an, nicht für die fehlende Meldestelle. Fahrlässiger Vertraulichkeitsbruch: 10.000 EUR (natürl.). Quelle: § 40 HinSchG, gesetze-im-internet.de/hinschg.

Was das für die Risikobewertung bedeutet: Die höchsten Beträge hängen nicht an der Existenz der Meldestelle, sondern an ihrem Betrieb — am Behinderungsverbot (§ 7 Abs. 2 HinSchG), am Repressalienverbot (§ 36 Abs. 1 HinSchG, das auch Androhung und Versuch erfasst) und an der Vertraulichkeit der Identität (§ 8 Abs. 1 HinSchG, die neben der hinweisgebenden Person auch die von einer Meldung betroffenen und die sonstigen in ihr genannten Personen schützt). Wer nur die Einrichtung prüft, prüft den günstigeren Teil des Risikos. Beim Repressalienverbot verschiebt § 36 Abs. 2 HinSchG zusätzlich die Beweislast: Erleidet eine hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit und macht sie geltend, diese infolge einer Meldung erlitten zu haben, wird vermutet, dass die Benachteiligung eine Repressalie ist — der Benachteiligende muss dann beweisen, dass sie auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte. Das LAG Niedersachsen hat mit Urteil vom 11.11.2024 (7 SLa 306/24) das zweistufige Prüfschema dazu bestätigt. Praxisempfehlung (keine Rechtspflicht): den Unabhängigkeitsnachweis für eine personelle Maßnahme aus der Zeit vor der Maßnahme dokumentieren.

Neben dem Bußgeld steht der zivilrechtliche Anspruch: Wer gegen das Repressalienverbot verstößt, muss der hinweisgebenden Person den daraus entstehenden Schaden ersetzen (§ 37 HinSchG). Einen Anspruch auf Begründung eines Beschäftigungs- oder Ausbildungsverhältnisses oder auf beruflichen Aufstieg begründet der Verstoß nicht (§ 37 Abs. 2 HinSchG). In die Gegenrichtung wirkt § 38 HinSchG: Die hinweisgebende Person ist zum Ersatz des Schadens verpflichtet, der aus einer vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen entstanden ist. Nicht verhandelbar ist der Rahmen selbst — Vereinbarungen, die die Rechte hinweisgebender oder sonst geschützter Personen einschränken, sind nach § 39 HinSchG unwirksam.

5. Bußgeld-Verjährung: 3 Jahre, bei Fahrlässigkeit 2 Jahre

Die Verfolgungsverjährung folgt § 31 Abs. 2 OWiG und staffelt nach der angedrohten Höchstbuße: 3 Jahre für die mit mehr als 15.000 Euro bedrohten Tatbestände (§ 31 Abs. 2 Nr. 1 OWiG), 2 Jahre für den mit 10.000 Euro bedrohten Tatbestand (§ 31 Abs. 2 Nr. 2 OWiG). Welche der hier behandelten HinSchG-Tatbestände in welche Stufe fallen, zeigt die Tabelle; die Spalte „Bußgeldstufe" nennt den gesetzlichen Höchstbetrag gegenüber natürlichen Personen, die Verzehnfachung gegenüber juristischen Personen und ihre Ausnahme für die fehlende interne Meldestelle (§ 40 Abs. 6 Satz 2 HinSchG) stehen in Punkt 4.

Praxis-Konsequenz: Aufbewahrungs-Konzepte sollten mindestens 3 Jahre umfassen — passend zur Dokumentations-Löschfrist des § 11 Abs. 5 HinSchG. Gleichsetzen darf man Verfolgungsverjährung und Löschfrist deshalb aber nicht: Es sind zwei verschiedene Fristen aus zwei verschiedenen Normen (§ 31 Abs. 2 OWiG bzw. § 11 Abs. 5 HinSchG). Die Löschfrist der Meldedokumentation beträgt in Deutschland drei Jahre nach Abschluss des Verfahrens (§ 11 Abs. 5 HinSchG), in Österreich fünf Jahre (§ 8 Abs. 11 HSchG) — das Löschkonzept gehört deshalb je Rechtsraum getrennt geführt. Praxisempfehlung (keine gesetzliche Frist): Nachweise über Fristeinhaltung, Schulungen und Kanaltests mindestens so lange vorhalten wie die einschlägige Verfolgungsverjährung.

6. Klarstellung: Eine „Novelle 2026" mit Audit-Pflicht existiert nicht

Eine „HinSchG-Novelle 2026" mit Audit-Pflicht nach § 22 existiert nicht. § 22 HinSchG regelt eine Zuständigkeit, keine Unternehmenspflicht: die externe Meldestelle beim Bundeskartellamt für wettbewerbsrechtliche Verstöße einschließlich des Digital Markets Act; wie sich die externen Meldestellen nach §§ 19, 21 und 22 HinSchG untereinander abgrenzen, steht in Punkt 2. Die in Compliance-Publikationen 2024–2025 zitierte „§ 22 Audit-Pflicht ab 01.01.2026" stammt aus Sekundärquellen, nicht aus dem Gesetzestext (Wortlaut: gesetze-im-internet.de/hinschg).

Sinnvoll bleibt die freiwillige, dokumentierte Wirksamkeits-Selbstprüfung der internen Meldestelle. Ein jährlicher Rhythmus dafür ist Praxisempfehlung und keine gesetzliche Prüffrist. Gesetzlich fixiert sind dagegen die Verfahrensfristen im Einzelfall: sieben Tage für die Eingangsbestätigung (§ 17 Abs. 1 Nr. 1 HinSchG) und drei Monate für die Rückmeldung über geplante oder bereits ergriffene Folgemaßnahmen und deren Gründe (§ 17 Abs. 2 HinSchG). Wer den Jahres-Rhythmus in die eigene Verfahrensordnung schreibt, bindet sich allerdings selbst: Ein ausgefallener Zyklus ist dann ein Befund gegen das eigene Regelwerk.

Wer eine strukturierte freiwillige Selbstprüfung umsetzen will: 12-Punkte-Wirksamkeits-Selbstprüfung für Compliance-Officer. Klarstellung im Glossar: Audit-Pflicht (HinSchG) — Definition + Klarstellung.

Österreich: das HSchG im Vergleich

Für österreichische Rechtsträger gilt statt des HinSchG das HinweisgeberInnenschutzgesetz (HSchG): internes Hinweisgebersystem ab 50 Arbeitnehmern (§ 3 Abs. 1, § 11 Abs. 1 HSchG), Eingangsbestätigung binnen sieben Kalendertagen (§ 9 Abs. 1 HSchG), Rückmeldung spätestens drei Monate nach Entgegennahme (§ 13 Abs. 9 HSchG), externe Stelle ist das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (BAK, § 15 Abs. 1 HSchG); Verwaltungsstrafen bis 20.000 Euro, im Wiederholungsfall bis 40.000 Euro, verhängt von der Bezirksverwaltungsbehörde (§ 24 HSchG). Die folgende Tabelle ergänzt die Abweichungen, die in Unternehmensgruppen mit deutschen und österreichischen Einheiten praktisch relevant sind. Jede Angabe nennt ihre gesetzliche Fundstelle.

In beiden Rechtsräumen besteht der Schutz unabhängig vom gewählten Meldeweg; die Unterschiede zeigt die Tabelle — unter anderem beim sachlichen Anwendungsbereich, beim Beweismaßstab, bei der Rechtsfolge und bei der Aufbewahrung.

Was Compliance-Verantwortliche jetzt nachziehen sollten

Aus den sechs Punkten ergeben sich sechs Dokumentations-Schritte. Die Schritte selbst sind Praxisempfehlungen; gesetzliche Pflicht ist allein das, was die jeweils zitierte Norm anordnet — der vorgeschlagene Rhythmus ist es nicht. Auch die Rollenzuordnung in der Spalte „Wer" ist ein Praxisvorschlag, keine gesetzliche Vorgabe.