HinSchG Top-8 Fragen bei KMU 2026

1. Müssen wir eine interne Meldestelle haben?

Ab in der Regel 50 Beschäftigten Pflicht (§ 12 Abs. 1 S. 1 i. V. m. Abs. 2 HinSchG). Unter 50: grundsätzlich keine Pflicht, aber empfohlen — Ausnahme: Für die in § 12 Abs. 3 HinSchG genannten Beschäftigungsgeber gilt die Pflicht unabhängig von der Zahl der Beschäftigten; dazu zählen u. a. Wertpapierdienstleistungsunternehmen, Börsenträger, Institute nach KWG und Wertpapierinstitutsgesetz, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen sowie Krypto- und Zahlungsdiensteinstitute. Viele davon sind selbst KMU. Bei Konzern: gesonderte Regeln (§ 14, hybride Modelle).

Der Gesetzeswortlaut verlangt, dass „mindestens eine interne Meldestelle eingerichtet und betrieben wird" — die bloße Einrichtung genügt also nicht, der laufende Betrieb gehört zur Pflicht. Gezählt werden Köpfe, nicht Vollzeit-Äquivalente. So zählt die Praxis die Schwelle des § 12 Abs. 2 HinSchG:

Die Übergangsvorschrift § 42 HinSchG betrifft ausschließlich zwei bereits abgelaufene Termine: die Einrichtungsfrist für Beschäftigungsgeber mit 50 bis 249 Beschäftigten (17. Dezember 2023) und die Anwendbarkeit von § 40 Abs. 2 Nr. 2 HinSchG (1. Dezember 2023). Für österreichische Standorte gilt die Pflicht eigenständig nach § 3 Abs. 1 i. V. m. § 11 Abs. 1 HSchG ab 50 Arbeitnehmern.

2. Welche Meldekanäle müssen wir bieten?

Pflicht ist genau eine Meldeform — mündlich oder Textform — plus die persönliche Zusammenkunft auf Ersuchen der hinweisgebenden Person (§ 16 Abs. 3 Sätze 1 und 3 HinSchG); der Wortlaut von Satz 1 verlangt Meldungen „in mündlicher oder in Textform", beide Formen parallel vorzuhalten ist also nicht zwingend. Wird der mündliche Kanal gewählt, muss er per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein (S. 2). Die persönliche Zusammenkunft ist innerhalb angemessener Zeit zu ermöglichen (S. 3; mit Einwilligung der hinweisgebenden Person auch per Bild- und Tonübertragung, S. 4). Drei parallele Kanäle (Textform + Telefon + persönlich) sind verbreitete Best Practice und senken das Streitrisiko, sind aber keine gesetzliche Pflicht. Ob anonyme Kanäle Pflicht sind — und was es mit dem kursierenden Stichtag 01.01.2025 auf sich hat — beantwortet die FAQ „Müssen wir anonyme Meldungen ermöglichen?".

Die folgende Tabelle trennt beides: Spalte 2 gibt wieder, was das Gesetz verlangt — bei den anonymen Meldungen, was es ausdrücklich nicht verlangt —, Spalte 3 nennt Praxislösungen ohne gesetzliche Verbindlichkeit.

3. Reicht eine externe Meldestelle?

Nein — ein Wahlrecht des Unternehmens gibt es nicht. Ab in der Regel 50 Beschäftigten muss der Beschäftigungsgeber eine interne Meldestelle einrichten und betreiben (§ 12 Abs. 1 S. 1 i. V. m. Abs. 2 HinSchG); wer das unterlässt, handelt ordnungswidrig — Geldbuße bis 20.000 EUR (§ 40 Abs. 2 Nr. 2 i. V. m. Abs. 6 HinSchG). Zulässig ist das Outsourcing an einen Dritten (§ 14 Abs. 1 S. 1 HinSchG); Verantwortung für Abhilfemaßnahmen (S. 2) und Bußgeldrisiko bleiben beim Beschäftigungsgeber — Auswahlkriterien in der FAQ. Die staatliche externe Meldestelle des Bundes beim Bundesamt für Justiz (§ 19 Abs. 1 HinSchG — nicht „BMJ-Bundesamt") ersetzt die interne Meldestelle nicht: Das Wahlrecht zwischen interner und externer Meldung steht allein der hinweisgebenden Person zu (§ 7 Abs. 1 HinSchG).

Drei Punkte, die in KMU-Projekten regelmäßig unterschätzt werden. Erstens: Die externe Meldestelle des Bundes ist eine Auffangzuständigkeit — sie greift, soweit nicht eine besondere externe Meldestelle zuständig ist (§ 19 Abs. 4 HinSchG); welche Stelle für welchen Verstoßtyp zuständig ist, steht in Abschnitt 8. Zweitens: Die hinweisgebende Person soll die interne Meldung bevorzugen, wenn intern wirksam abgeholfen werden kann und keine Repressalien zu befürchten sind (§ 7 Abs. 1 HinSchG); erzwingen lässt sich das nicht, denn das Behindern einer Meldung oder der anschließenden Kommunikation ist verboten (§ 7 Abs. 2 HinSchG) und bußgeldbewehrt. Drittens: Die Konzern-Auslagerung nach § 14 HinSchG bleibt an Art. 8 der Richtlinie (EU) 2019/1937 zu messen, der die Pflicht zu internen Meldekanälen an jede juristische Einheit ab 50 Beschäftigten knüpft; ein Vertragsverletzungsverfahren der Europäischen Kommission gegen Deutschland dazu ist nicht anhängig — das Verfahren INFR(2022)0052 wegen verspäteter Umsetzung endete mit dem EuGH-Urteil C-149/23 vom 6. März 2025 und wurde am 4. Juni 2026 eingestellt; was das für Konzernstrukturen praktisch heißt, steht in der FAQ.

4. Wie lange dürfen wir Meldungen aufbewahren?

Drei Jahre nach Abschluss des Verfahrens (§ 11 Abs. 5 HinSchG); länger nur, soweit eine andere Rechtsgrundlage die Aufbewahrung verlangt. Praxisempfehlung: den Abschlusszeitpunkt je Fall festhalten — Abschlussvermerk mit Datum, entscheidender Person und ergriffener Folgemaßnahme; ohne diesen Vermerk lässt sich der Fristbeginn später nicht belegen.

Für österreichische Standorte beträgt die Aufbewahrung 5 Jahre (§ 8 Abs. 11 HSchG), eine konzerneinheitliche Frist bildet damit nicht beide Rechtslagen ab. Praxisempfehlung: Löschregel, Löschprotokoll und Meldungsstatistik in einem Dokument führen, damit die Drei- bzw. Fünf-Jahres-Grenze je Fall nachvollziehbar bleibt; die Löschregel ist zugleich einer der datenschutzrechtlichen Bausteine der Meldestelle (Abschnitt „Welche DSGVO-Pflichten die Meldestelle auslöst"). Warum drei Jahre zugleich die praktische Untergrenze sind, zeigt die Verfolgungsverjährung im Abschnitt „Bußgelder".

5. Was passiert bei Repressalien gegen Hinweisgeber?

Eine Repressalie löst drei Folgen aus: Schadensersatz des Verursachers (§ 37 Abs. 1 HinSchG), Beweislastumkehr zulasten des Benachteiligenden (§ 36 Abs. 2 HinSchG) und Geldbuße bis 50.000 EUR, gegen juristische Personen bis 500.000 EUR (§ 40 Abs. 2 Nr. 3 HinSchG i. V. m. § 30 Abs. 2 Satz 3 OWiG — Tatbestände im Abschnitt „Bußgelder"). § 36 Abs. 1 HinSchG verbietet gegen hinweisgebende Personen gerichtete Repressalien einschließlich Androhung und Versuch. Nach § 37 Abs. 1 HinSchG ist der Verursacher verpflichtet, den daraus entstehenden Schaden zu ersetzen — Umfang und Nachweis richten sich nach allgemeinem Schadensrecht; eine gesetzliche Pauschale in Höhe „aller entgangenen Bezüge bis zur Rente" enthält das Gesetz nicht. § 37 Abs. 2 HinSchG stellt zudem klar: Ein Verstoß gegen das Repressalienverbot begründet keinen Anspruch auf Begründung eines Beschäftigungs-, Berufsausbildungs- oder anderen Vertragsverhältnisses und keinen Anspruch auf beruflichen Aufstieg. Beweislastumkehr (§ 36 Abs. 2 HinSchG): Erleidet die hinweisgebende Person eine berufsbezogene Benachteiligung und macht sie geltend, diese infolge der Meldung erlitten zu haben, wird vermutet, dass es sich um eine Repressalie handelt — dann trägt der Benachteiligende die Beweislast. Es gibt keine 6-Monats-Frist als Auslöser.

Der Gegenbeweis gelingt nur, wenn Sie belegen können, dass die Maßnahme auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte (§ 36 Abs. 2 HinSchG). Das LAG Niedersachsen hat mit Urteil vom 11.11.2024 (7 SLa 306/24) das zweistufige Prüfschema bestätigt. Praxisempfehlung: Für jede personelle Maßnahme nach einer eingegangenen Meldung — Abmahnung, Versetzung, Entgeltänderung, Kündigung — den Unabhängigkeitsnachweis schriftlich dokumentieren (Anlass, Zeitpunkt der Entscheidungsvorbereitung, beteiligte Personen, Kenntnisstand über die Meldung). Vertraglich abbedingen lässt sich der Schutz nicht: Vereinbarungen, die die Rechte hinweisgebender oder sonst geschützter Personen einschränken, sind unwirksam (§ 39 HinSchG).

6. Bekommen wir die Identität des Hinweisgebers raus?

Nein — über den Kreis der für Entgegennahme und Folgemaßnahmen zuständigen und der sie unterstützenden Personen hinaus wird die Identität nicht bekannt (§ 8 Abs. 1 HinSchG). Eine Offenlegung darüber hinaus setzt grundsätzlich die ausdrückliche Zustimmung der hinweisgebenden Person voraus (Art. 16 Abs. 1 der Richtlinie (EU) 2019/1937); die Ausnahmen vom Vertraulichkeitsgebot regelt § 9 HinSchG, etwa bei vorsätzlich oder grob fahrlässig unrichtigen Meldungen (Abschnitt 7). Vorsätzliche oder leichtfertige Verstöße kosten bis 50.000 EUR (§ 40 Abs. 3 HinSchG), fahrlässige bis 10.000 EUR (§ 40 Abs. 4 i. V. m. Abs. 6 Satz 1 HinSchG).

Geschützt ist nach § 8 Abs. 1 HinSchG nicht nur die hinweisgebende Person: Die Meldestellen haben die Vertraulichkeit der Identität auch der von einer Meldung betroffenen Personen und der sonstigen in der Meldung genannten Personen zu wahren — der Schutz gilt also ausdrücklich auch der beschuldigten Person. Die EU-Vorgabe erstreckt den Schutz zudem auf alle Informationen, aus denen sich die Identität ableiten lässt (Art. 16 Abs. 1 der Richtlinie (EU) 2019/1937). Praxisempfehlung für die technische Umsetzung: Need-to-know-Prinzip im Meldestellen-Team, verschlüsselte Speicherung der Meldungen, Audit-Trail aller Zugriffe. In Österreich schützt § 7 Abs. 1 und 2 HSchG die Identität entsprechend und untersagt Personen, die den Inhalt unbefugt erfahren, dessen Weitergabe.

7. Können wir uns gegen Falsch-Meldungen wehren?

Ja, aber nur bei vorsätzlich oder grob fahrlässig unrichtigen Meldungen: Dann schuldet die hinweisgebende Person Schadensersatz (§ 38 HinSchG) und verliert den Identitätsschutz (§ 9 Abs. 1 HinSchG). Für die Offenlegung unrichtiger Informationen sieht § 40 Abs. 1 HinSchG daneben eine Geldbuße bis 20.000 EUR vor. § 38 HinSchG erfasst nicht nur Vorsatz: „Die hinweisgebende Person ist zum Ersatz des Schadens verpflichtet, der aus einer vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen entstanden ist." Die Beweisschwelle für Vorsatz bzw. grobe Fahrlässigkeit bleibt in der Praxis dennoch hoch.

Der Grund für diese hohe Schwelle steht in § 35 HinSchG: Eine hinweisgebende Person kann für die Beschaffung von oder den Zugriff auf die gemeldeten Informationen nicht rechtlich verantwortlich gemacht werden, sofern die Beschaffung nicht als solche eine eigenständige Straftat darstellt; sie verletzt zudem keine Offenlegungsbeschränkungen, sofern sie hinreichenden Grund zu der Annahme hatte, dass die Weitergabe zur Aufdeckung eines Verstoßes erforderlich war. Eine Meldung, die sich im Nachhinein nicht bestätigt, erfüllt damit noch nicht die Voraussetzungen des § 38 HinSchG — dieser verlangt Vorsatz oder grobe Fahrlässigkeit in Bezug auf die unrichtigen Informationen. Praxisempfehlung: Gegenmaßnahmen erst nach abgeschlossener Sachverhaltsaufklärung einleiten und die Vorsatz- bzw. Grobfahrlässigkeits-Indizien separat dokumentieren — arbeitsrechtliche Schritte gegen die meldende Person lösen sonst die Repressalien-Vermutung des § 36 Abs. 2 HinSchG aus, sobald die meldende Person die Benachteiligung als Folge ihrer Meldung geltend macht.

8. Was leistet § 22 HinSchG / wann meldet man ans Bundeskartellamt?

§ 22 HinSchG regelt die externe Meldestelle beim Bundeskartellamt für wettbewerbsrechtliche Verstöße (insb. Kartellrecht, Marktmissbrauch, DMA/Digital Markets Act). Die Meldung nach § 22 HinSchG geht von der hinweisgebenden Person aus (Wahlrecht zwischen interner und externer Meldung: Abschnitt 3). Die Zuordnung: Kartellrecht, Marktmissbrauch und DMA → Bundeskartellamt (§ 22 HinSchG); Verstöße bei Finanzdienstleistern → BaFin (§ 21 HinSchG); alles Übrige → externe Meldestelle des Bundes beim Bundesamt für Justiz als Auffangzuständigkeit (§ 19 Abs. 1 und 4 HinSchG). Es gibt KEINE Audit-Pflicht für Unternehmen aus § 22 — das war eine Falsch-Annahme aus früheren Quellen. Eine jährliche Wirksamkeits-Selbstprüfung der internen Meldestelle ist Best-Practice (KEINE gesetzliche Pflicht), aber sinnvoll für GF-Reporting (ISO 37301-Vorbild).

Auch eine „HinSchG-Novelle 2026" mit einer Audit-Pflicht ab 01.01.2026 existiert nicht; der Wortlaut des § 22 HinSchG trägt eine solche Pflicht nicht. Geändert hat sich stattdessen die Bußgeldzuständigkeit: Sie liegt seit dem 15.04.2025 nach der HinSchGOWiZustV beim Bundesamt für Justiz, allerdings nur eingeschränkt — Einzelheiten in der FAQ „Wer verhängt HinSchG-Bußgelder?". Praxis-Rhythmus für die freiwillige Selbstprüfung: einmal jährlich, dokumentiert entlang von Fristeinhaltung, Vertraulichkeit, Bearbeitung anonymer Meldungen und Schulungsstand des Meldestellenbeauftragten.

Verfahrensfristen in Deutschland und Österreich im Überblick

Die interne Meldestelle muss den Eingang binnen 7 Tagen bestätigen (in Österreich bei schriftlichen Hinweisen) und binnen 3 Monaten inhaltlich zurückmelden — in Deutschland ab der Eingangsbestätigung, in Österreich ab der Entgegennahme des Hinweises. Die Fristlängen der vier Verfahrensschritte stimmen überein, die Aufbewahrungsdauer weicht ab (3 Jahre in Deutschland, 5 Jahre in Österreich). Jede Zeile dieser Tabelle ist eine gesetzliche Frist, keine Praxisempfehlung.

Bußgelder nach § 40 HinSchG: Beträge, Verzehnfachung, Verjährung

Die Höchstbeträge des § 40 HinSchG richten sich nach dem Verstoßtatbestand. Die folgende Tabelle gibt ausschließlich die deutsche Rechtslage wieder; für Österreich gilt § 24 HSchG mit eigenen Beträgen (siehe Abschnitt Österreich). Alle Beträge sind gesetzliche Höchstbeträge.

Maßgeblich für die Verjährungsfrist ist die gesetzliche Bußgelddrohung des Tatbestands, nicht die im Einzelfall verhängte Höhe (§ 31 Abs. 2 OWiG) — deshalb verjährt der fahrlässige Vertraulichkeitsverstoß früher als alle übrigen Tatbestände. Der teuerste Einzelfall für ein KMU ist nicht die fehlende Meldestelle, sondern das Behindern einer Meldung, die Repressalie oder der Vertraulichkeitsverstoß — für diese Tatbestände ordnet § 40 Abs. 6 Satz 2 HinSchG die Verzehnfachung nach § 30 Abs. 2 Satz 3 OWiG an, für die fehlende Meldestelle nicht.

Welche DSGVO-Pflichten die Meldestelle auslöst

Eine interne Meldestelle ist eine eigene Verarbeitungstätigkeit und braucht sechs datenschutzrechtliche Bausteine: Eintrag im Verzeichnis der Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzung, Datenschutzhinweise für hinweisgebende und beschuldigte Personen, Auftragsverarbeitungsvertrag bei IT-Auslagerung, ein meldestellen-spezifisches TOM-Konzept und eine Löschregel. Die Datenschutz-Folgenabschätzung folgt Art. 35 DSGVO, der sie bei voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen vorschreibt; in Österreich ist sie für das Hinweisgebersystem durch § 8 Abs. 13 HSchG i. V. m. Art. 35 Abs. 10 DSGVO entbehrlich. Setzen Sie eine Meldeplattform oder externe IT ein, dürfen Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien bieten, und brauchen einen Vertrag mit dem Mindestinhalt des Art. 28 Abs. 3 DSGVO.

Der praktisch schwierigste Punkt ist die Kollision zwischen Auskunftsrecht und Vertraulichkeitsgebot: Verlangt die beschuldigte Person Auskunft nach Art. 15 DSGVO, ist über den Antrag unverzüglich, spätestens binnen eines Monats zu entscheiden, verlängerbar um zwei Monate bei Komplexität (Art. 12 Abs. 3 DSGVO) — zugleich verbietet § 8 Abs. 1 HinSchG die Preisgabe der Identität. Die Praxis arbeitet hier mit geschwärzter Antwort; rechtlicher Anker ist § 29 Abs. 1 Satz 2 BDSG, nach dem das Auskunftsrecht nicht besteht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach geheim gehalten werden müssen. Praxisempfehlung: Diese Entscheidung nicht ad hoc treffen, sondern die Abwägung vorab im Vertraulichkeitskonzept festlegen und je Auskunftsfall protokollieren.

Kurz für Österreich: das HSchG statt HinSchG

Österreichische KMU fallen nicht unter das deutsche HinSchG, sondern unter das HinweisgeberInnenschutzgesetz (HSchG). Die Eckwerte im Vergleich:

• Interne Stelle Pflicht ab 50 Arbeitnehmern (§ 3 Abs. 1 i. V. m. § 11 Abs. 1 HSchG) — gleiche Schwelle wie in Deutschland, aber eigene Rechtsgrundlage.
• Gleiche Fristlängen, andere Anknüpfung: In Österreich läuft die Rückmeldefrist ab Entgegennahme (§ 13 Abs. 9 HSchG), in Deutschland ab Eingangsbestätigung (§ 17 Abs. 2 HinSchG) — Längen je Verfahrensschritt in der Fristen-Tabelle.
• Engerer sachlicher Anwendungsbereich: nur die EU-Bereiche plus Korruptionsdelikte (§§ 302–309 StGB) — nicht, wie in DE, sämtliche Straftaten (§ 3 Abs. 3 HSchG).
• Externe Stelle: Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (BAK), § 15 Abs. 1 HSchG — statt Bundesamt für Justiz (BfJ). Sektorale Sonderzuständigkeiten gehen vor, u. a. Finanzmarktaufsicht (FMA), Bundeswettbewerbsbehörde und Abschlussprüferaufsichtsbehörde (§ 15 Abs. 2 HSchG).
• Keine volle Beweislastumkehr: Die hinweisgebende Person muss die Vergeltung nur glaubhaft machen (§ 23 HSchG); eine Vergeltung ist nicht anzunehmen, wenn ein anderes Motiv wahrscheinlicher ist, das die handelnde Person ihrerseits glaubhaft zu machen hat — schwächerer Standard als die Beweislastumkehr nach § 36 Abs. 2 HinSchG.
• Haftung bei Vergeltung: Wiederherstellung des rechtmäßigen Zustandes, Ersatz des Vermögensschadens und Entschädigung für die erlittene persönliche Beeinträchtigung (§ 20 Abs. 1 letzter Satz und Abs. 2 HSchG) — Österreich kennt damit anders als § 37 HinSchG einen ausdrücklichen immateriellen Entschädigungsanspruch. Vergeltungsmaßnahmen selbst sind rechtsunwirksam (§ 20 Abs. 1 HSchG).
• Strafrahmen: Verwaltungsübertretung bis 20.000 EUR, im Wiederholungsfall bis 40.000 EUR (§ 24 HSchG), verhängt durch die Bezirksverwaltungsbehörde. Erfasst sind auch der wissentlich falsche Hinweis und die Verletzung der Vertraulichkeit nach §§ 7 oder 17 Abs. 1 HSchG.
• Vertraulichkeit und Haftungsbefreiung: Die Identität ist zu schützen, einschließlich aller Informationen, aus denen sie sich ableiten lässt (§ 7 Abs. 1 und 2 HSchG). Schutzwürdige Hinweisgeber haften nicht für die Folgen eines berechtigten Hinweises und verletzen keine Geheimhaltungsverpflichtungen, soweit sie hinreichenden Grund zur Annahme hatten, dass der Hinweis nötig war (§ 22 Abs. 1 und 2 HSchG).
• Datenschutz: Die Datenschutz-Folgenabschätzung ist durch § 8 Abs. 13 HSchG i. V. m. Art. 35 Abs. 10 DSGVO entbehrlich; die Aufbewahrungsdauer steht in der Fristen-Tabelle.
• Ohne österreichisches Gegenstück: Die HinSchGOWiZustV und die offene Frage der Richtlinienkonformität des § 14 HinSchG betreffen ausschließlich das deutsche Recht.