HinSchG für Vereine + NPOs 2026: was gilt + was nicht

1. HinSchG-Anwendbarkeit auf Vereine

Vereine, Stiftungen und gemeinnützige Gesellschaften sind Beschäftigungsgeber wie jede andere Organisation — ab in der Regel 50 Beschäftigten müssen sie mindestens eine interne Meldestelle einrichten und betreiben. HinSchG kennt keine Sonder-Ausnahme für Vereine. Schwellenwert: 50 Beschäftigte (§ 12 Abs. 1 Satz 1 i.V.m. Abs. 2 HinSchG — Abs. 1 Satz 1 begründet die Einrichtungspflicht, Abs. 2 knüpft sie an „in der Regel mindestens 50 Beschäftigte“).

Der unionsrechtliche Ursprung bestätigt die Reichweite: Art. 8 Abs. 1 der Richtlinie (EU) 2019/1937 verpflichtet juristische Personen des privaten und des öffentlichen Sektors zu internen Meldekanälen und -verfahren; für den privaten Sektor gilt die Pflicht ab 50 Arbeitnehmern (Art. 8 Abs. 3).

Anwendbar sind unter anderem:

• Caritas + Diakonie + AWO + DRK + Paritätischer (überall ab 50 MA)
• Sozialverbände (Behindertenhilfe, Pflegeheime)
• Sport-Bundesverbände
• Politische Stiftungen (Friedrich-Ebert, Konrad-Adenauer)
• Kulturförderungsvereine

Maßgeblich ist der einzelne Rechtsträger, nicht der Verband — rechtlich selbstständige Kreisverbände, gGmbHs und Landesverbände sind jeweils eigene Beschäftigungsgeber und zählen eigenständig; die Folgen für Dachverbände stehen in Abschnitt 5.

Unabhängig von der Beschäftigtenzahl gilt die Einrichtungspflicht für die in § 12 Abs. 3 HinSchG genannten Beschäftigungsgeber; dazu zählen unter anderem Wertpapierdienstleistungsunternehmen, Börsenträger, Institute nach KWG und Wertpapierinstitutsgesetz, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen sowie Krypto- und Zahlungsdiensteinstitute. Wer als Verein oder Stiftung eine solche Tätigkeit ausübt, klärt diese Einordnung, bevor er die 50er-Schwelle rechnet.

§ 39 HinSchG erklärt Vereinbarungen, die die nach dem Gesetz bestehenden Rechte hinweisgebender Personen einschränken, für unwirksam. Praxis-Empfehlung: Verschwiegenheits- und Loyalitätsklauseln in Arbeitsverträgen, Ehrenamtsvereinbarungen und internen Ordnungen darauf durchsehen, ob sie als Melde-Hindernis gelesen werden können.

Österreich: für NPOs gilt das HSchG, nicht das HinSchG

Für Vereine, Stiftungen und NPOs mit Sitz in Österreich gilt nicht das HinSchG, sondern das HinweisgeberInnenschutzgesetz (HSchG, BGBl. I Nr. 6/2023). Die 50er-Schwelle ist dieselbe, Paragrafen, Umfang und Zuständigkeiten sind es nicht. Der übrige Artikel beschreibt die deutsche Rechtslage.

• Pflicht ab 50: § 3 Abs. 1 i.V.m. § 11 Abs. 1 HSchG — internes Hinweisgebersystem ab 50 Arbeitnehmerinnen/Arbeitnehmern oder Bediensteten (DE: § 12 Abs. 1 Satz 1 i.V.m. Abs. 2 HinSchG).
• Sachlicher Bereich enger: § 3 Abs. 3 HSchG erfasst im Wesentlichen die EU-Bereiche plus Korruptionsdelikte (§§ 302 bis 309 StGB) — das deutsche HinSchG erfasst dagegen sämtliche strafbewehrten Verstöße (§ 2 Abs. 1 Nr. 1 HinSchG).
• Fristen: Eingangsbestätigung spätestens nach sieben Kalendertagen (§ 9 Abs. 1 HSchG), Rückmeldung zu Folgemaßnahmen spätestens nach drei Monaten (§ 13 Abs. 9 HSchG).
• Externe Stelle: Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (BAK), § 15 Abs. 1 HSchG — nicht das Bundesamt für Justiz. Sektorale Sonderzuständigkeiten gehen vor, unter anderem Finanzmarktaufsicht (FMA), Bundeswettbewerbsbehörde und Abschlussprüferaufsichtsbehörde (§ 15 Abs. 2 HSchG).
• Sanktion: Verwaltungsübertretung, Geldstrafe bis 20.000 EUR, im Wiederholungsfall bis 40.000 EUR, verhängt von der Bezirksverwaltungsbehörde (§ 24 HSchG).
• Schutzbeginn: Der Schutz umfasst Hinweise an interne wie an externe Stellen und greift ab Abgabe des Hinweises, wenn die hinweisgebende Person hinreichende Gründe für die Wahrheit des Hinweises und dessen Fallen in den Geltungsbereich annehmen kann (§ 6 Abs. 1 HSchG).
• Verfassungsrecht: Die Ausführungen zu Art. 140 GG in Abschnitt 3 betreffen ausschließlich deutsches Verfassungsrecht.

2. 50-MA-Schwelle: was zählt?

Gezählt wird nach Köpfen, nicht nach Vollzeit-Äquivalenten — eine Halbtagskraft zählt wie eine Vollzeitkraft. Zählt bei der 50-MA-Schwelle (§ 12 Abs. 1 Satz 1 i.V.m. Abs. 2 HinSchG; Beschäftigten-Begriff: § 3 Abs. 8 HinSchG):

• Festangestellte (Vollzeit, Teilzeit)
• Geringfügig Beschäftigte (Mini-Jobber)
• Auszubildende
• Praktikantinnen und Praktikanten, soweit sie zu ihrer Berufsbildung beschäftigt sind (§ 3 Abs. 8 Nr. 2 HinSchG — eine Vergütung setzt der Wortlaut nicht voraus)
• Werkstudierende
• Leiharbeitnehmerinnen und Leiharbeitnehmer ab sechs Monaten Einsatzdauer (Praxis-Lesart — eine Mindesteinsatzdauer nennt das HinSchG nicht)

Zählt NICHT:

• Ehrenamtliche
• Vereinsmitglieder ohne Beschäftigung
• Vorstands-Mitglieder ohne Vergütung
• Selbstständige Subunternehmer (in der Regel)

Warum das für Vereine den Ausschlag gibt — Beispiel: 20 Vollzeitkräfte, 25 Teilzeitkräfte und 12 geringfügig Beschäftigte ergeben 57 Köpfe; die Einrichtungspflicht greift, obwohl die Vollzeit-Äquivalente darunter liegen. Praxis-Empfehlung: Die Zählung jährlich zu einem selbst gewählten Stichtag dokumentieren; maßgeblich ist nach § 12 Abs. 2 HinSchG die Zahl der „in der Regel“ Beschäftigten.

Nicht mitzuzählen heißt nicht, dass eine Meldung aus diesem Personenkreis unbeachtlich wäre: Die Zählung entscheidet allein über die Einrichtungspflicht (§ 12 Abs. 1 Satz 1 i.V.m. Abs. 2 HinSchG), nicht darüber, welche Meldungen die eingerichtete Meldestelle bearbeitet. Praxis-Empfehlung: Meldungen von Ehrenamtlichen im selben Verfahren entgegennehmen und bearbeiten wie Meldungen von Beschäftigten und die Belegschaftsinformation nach § 13 HinSchG auf sie erstrecken.

Österreich: Die Zählliste dieses Abschnitts gilt für die deutsche Rechtslage; die österreichische Schwelle und ihre Fundstelle stehen in Abschnitt 1.

3. Religionsgemeinschaften (Art. 140 GG)

Das HinSchG selbst enthält keine Sonderregel und keine Ausnahme für Religionsgemeinschaften — kirchliche Träger ab in der Regel 50 Beschäftigten müssen eine interne Meldestelle einrichten; der kirchliche Selbstbestimmungsschutz folgt allein aus dem Verfassungsrecht (Art. 140 GG i.V.m. Art. 137 WRV).

"Jede Religionsgesellschaft ordnet und verwaltet ihre Angelegenheiten selbständig innerhalb der Schranken des für alle geltenden Gesetzes." — Art. 137 Abs. 3 WRV i.V.m. Art. 140 GG

§ 5 HinSchG regelt den Vorrang von Sicherheitsinteressen sowie Verschwiegenheits- und Geheimhaltungspflichten (Verschlusssachen, richterliches Beratungsgeheimnis, anwaltliche und ärztliche Schweigepflicht) — nicht Kirchen.

Für kirchliche Träger wie Diakonie und Caritas heißt das: Das kirchliche Disziplinarrecht bleibt neben dem HinSchG anwendbar, kirchen-eigene Vertraulichkeits-Konzepte laufen parallel; bei einem Konflikt hat das Religionsverfassungsrecht Vorrang (Art. 140 GG).

Daraus folgt eine Datenschutz-Frage für die parallele Verfahrensführung: Meldungen bei kirchlichen und weltanschaulichen Trägern können besondere Kategorien personenbezogener Daten berühren — Art. 9 Abs. 1 DSGVO nennt religiöse oder weltanschauliche Überzeugungen, die Gewerkschaftszugehörigkeit und Gesundheitsdaten; ihre Verarbeitung ist grundsätzlich untersagt, Ausnahmen regelt Art. 9 Abs. 2 DSGVO. Zugleich darf die Identität der hinweisgebenden, der betroffenen und der sonstigen genannten Personen ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden (§ 8 Abs. 1 HinSchG).

Praxis-Empfehlung: Wer neben dem HinSchG-Verfahren ein kirchliches Disziplinarverfahren führt, legt vorher schriftlich fest, welche Person welche Information erhält, und trennt die Aktenführung beider Verfahren physisch und technisch.

4. Förderungs-Mittel-Compliance

Förderungs-Missbrauch bei staatlichen Fördergeldern — BMAS-Mittel, EU-Mittel, Landesförderung — ist über den sachlichen Anwendungsbereich des HinSchG meldefähig: als strafbewehrter Verstoß wie Subventionsbetrug (§ 2 Abs. 1 Nr. 1), als Vergabeverstoß ab Erreichen der EU-Schwellenwerte (§ 2 Abs. 1 Nr. 4) und als Verstoß gegen die finanziellen Interessen der EU (§ 2 Abs. 2 Nr. 1); § 7 HinSchG regelt dagegen nur das Wahlrecht zwischen interner und externer Meldung. Typische Fälle:

• Mittelfehlverwendung, soweit strafbewehrt — § 2 Abs. 1 Nr. 1 HinSchG
• Manipulierte Verwendungsnachweise — Subventionsbetrug, § 2 Abs. 1 Nr. 1 HinSchG
• Unzulässige Vergabe-Praktiken — § 2 Abs. 1 Nr. 4 HinSchG ab Erreichen der EU-Schwellenwerte
• Korruption bei Beschaffung, soweit strafbewehrt — § 2 Abs. 1 Nr. 1 HinSchG; bei EU-Mitteln zusätzlich § 2 Abs. 2 Nr. 1 HinSchG

Unionsrechtlich sind beide Stränge gedeckt: Art. 2 Abs. 1 der Richtlinie (EU) 2019/1937 schützt Meldungen aus dem öffentlichen Auftragswesen ebenso wie Meldungen über Verstöße gegen die finanziellen Interessen der Union. Für Träger mit Pflege- und Betreuungsbetrieb kommt § 2 Abs. 1 Nr. 2 HinSchG hinzu: bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient.

Fördergeber stellen daneben eigene Compliance-Anforderungen und unterhalten eigene Meldewege — für EU-Mittel das Europäische Amt für Betrugsbekämpfung (OLAF). Praxis-Empfehlung: Nennen Sie die interne Meldestelle und den OLAF-Meldeweg gemeinsam in der Belegschaftsinformation nach § 13 HinSchG.

Österreich: engerer Katalog bei Fördermitteln

Das HSchG erfasst Fördermittel-Sachverhalte, soweit sie einem der aufgezählten Bereiche zuzuordnen sind — dazu gehören insbesondere das öffentliche Auftragswesen und die Korruptionsdelikte der §§ 302 bis 309 StGB (§ 3 Abs. 3 HSchG). Der Schutz nach dem HSchG setzt voraus, dass die hinweisgebende Person hinreichende Gründe für die Annahme hat, dass ihr Hinweis in diesen Geltungsbereich fällt (§ 6 Abs. 1 HSchG). Praxis-Konsequenz für österreichische NPOs: Vor der Ablehnung eines Hinweises prüfen und dokumentieren, welchem Bereich des § 3 Abs. 3 HSchG er zuzuordnen ist. Ob ein Hinweis außerhalb dieser Bereiche gleichwohl intern bearbeitet wird, ist eine Organisationsentscheidung des Rechtsträgers und keine Frage des HSchG-Schutzes.

5. Praxis-Lösungen für KMU-Vereine

Die Organisationsform ist frei, die Pflicht nicht: Der Verein muss mindestens eine interne Meldestelle einrichten und betreiben (§ 12 Abs. 1 Satz 1 HinSchG), darf die Aufgaben aber einem Dritten übertragen — etwa einer Anwaltskanzlei oder Ombudsperson (§ 14 Abs. 1 Satz 1 HinSchG). Die Pflicht, geeignete Maßnahmen zur Abstellung eines Verstoßes zu ergreifen, bleibt in jedem Fall beim Verein (§ 14 Abs. 1 Satz 2 HinSchG). Die Auslagerung verschiebt also die Bearbeitung, nicht die Verantwortung.

Die folgende Tabelle nennt keine Pauschalbeträge, sondern die Kostentreiber je Modell; konkrete Beträge klären Sie über Angebote oder die eigene Personalkalkulation. Die Zuordnung nach Vereins-Größe ist eine Praxisempfehlung, keine gesetzliche Vorgabe.

Dachverband und Untergliederungen: § 14 unter EU-Vorbehalt

§ 14 HinSchG erlaubt dem Dachverband, die Meldestellen-Aufgaben seiner Untergliederungen zu übernehmen — Maßstab bleibt dabei Art. 8 der Richtlinie (EU) 2019/1937, der die Pflicht zu internen Meldekanälen an jede juristische Einheit ab 50 Beschäftigten knüpft. Ein Vertragsverletzungsverfahren der Europäischen Kommission gegen Deutschland dazu ist nicht anhängig: Das Verfahren INFR(2022)0052 wegen verspäteter Umsetzung der Richtlinie endete mit dem EuGH-Urteil C-149/23 vom 6. März 2025 (Pauschalbetrag 34 Mio. Euro) und wurde am 4. Juni 2026 eingestellt; § 14 HinSchG gilt zum 17. August 2026 unverändert. Praxis-Empfehlung: Hybridmodell statt reiner Zentralisierung — je rechtlich selbstständiger Untergliederung ab 50 Beschäftigten eine eigene interne Meldestelle, deren Aufgaben nach § 14 Abs. 1 Satz 1 HinSchG an die zentrale Stelle des Dachverbands als Dritten übertragen werden.

6. 12-Punkte-Audit-Checkliste für Vereine

Die zwölf Punkte sind die prüfbare Kurzfassung dieses Artikels und folgen der deutschen Rechtslage; einzelne Punkte nennen zusätzlich die abweichende österreichische Fundstelle, die vollständige Abgrenzung für Österreich steht in den Abschnitten 1, 2, 4, 7, 8 und 9. Jeder Punkt nennt entweder die gesetzliche Fundstelle oder kennzeichnet ausdrücklich, dass es sich um einen Praxisstandard ohne Gesetzespflicht handelt.

1. 50-MA-Schwelle erreicht? Köpfe zählen, keine Vollzeit-Äquivalente (§ 12 Abs. 1 Satz 1 i.V.m. Abs. 2 HinSchG) — Zählliste in Abschnitt 2.
2. Meldestellenbeauftragter benannt? Bestellung dokumentieren; die Aufgaben dürfen an einen Dritten übertragen werden (§ 14 Abs. 1 Satz 1 HinSchG), die Abstellungspflicht bleibt beim Verein (Satz 2).
3. 3 Meldekanäle (schriftlich, mündlich, persönlich)? Meldekanal in mündlicher oder Textform plus persönliche Zusammenkunft auf Ersuchen (§ 16 Abs. 3 HinSchG) — drei parallele Kanäle sind Praxisstandard, keine Pflicht; Einzelheiten in Abschnitt 7.
4. Umgang mit anonymen Meldungen festgelegt? Keine Pflicht, die Kanäle für die anonyme Abgabe zu öffnen (§ 16 Abs. 1 Satz 5 HinSchG) — ob und wie anonyme Meldungen bearbeitet werden, intern festlegen und dokumentieren; Abschnitt 10 Nr. 1.
5. Vertraulichkeitskonzept § 8 dokumentiert? Geschützter Personenkreis und Kenntnisnahme nach § 8 Abs. 1 HinSchG — Abschnitt 3.
6. Repressalienverbot kommuniziert? Verboten sind auch Androhung und Versuch (§ 36 Abs. 1 HinSchG); praktisch wird das Verbot zusammen mit der Belegschaftsinformation nach § 13 HinSchG bekannt gemacht.
7. Aufbewahrungsfristen § 11 (3 Jahre)? § 11 Abs. 5 HinSchG, in Österreich § 8 Abs. 11 HSchG — Fristen in der Tabelle in Abschnitt 7.
8. DSFA für Meldestelle durchgeführt? In Deutschland Pflicht (Art. 35 Abs. 1 DSGVO), in Österreich entbehrlich (§ 8 Abs. 13 HSchG i.V.m. Art. 35 Abs. 10 DSGVO) — Einzelheiten in Abschnitt 7.
9. HR-Maßnahmen-Verfahren § 36 dokumentiert? Wegen der Beweislastumkehr des § 36 Abs. 2 HinSchG muss die von der Meldung unabhängige Begründung jeder Personalmaßnahme belegbar sein; in Österreich gilt stattdessen der schwächere Maßstab der Glaubhaftmachung (§ 23 HSchG) — Abschnitt 8.
10. Schulung Meldestellenbeauftragter § 15? § 15 Abs. 2 HinSchG verlangt die notwendige Fachkunde — eine juristische Ausbildung ist nicht vorgeschrieben; in der Praxis sind 5 bis 8 Unterrichtseinheiten üblich.
11. Wirksamkeits-Selbstprüfung dokumentiert? Best Practice, KEINE gesetzliche Pflicht; ein jährlicher Rhythmus ist Praxisempfehlung.
12. Kommunikation an Beschäftigte + Ehrenamtliche? § 13 HinSchG verlangt die Belegschaftsinformation, praktisch per Aushang oder Intranet mit klarer Erklärung der Meldewege; Ehrenamtliche in dieselbe Kommunikation einzubeziehen, ist Praxisempfehlung.

7. Meldeverfahren im Verein: Kanäle, Fristen, Datenschutz

Nach Eingang einer Meldung laufen zwei harte Fristen — sieben Tage bis zur Eingangsbestätigung und drei Monate bis zur Rückmeldung über Folgemaßnahmen. Die Kanalpflicht ist dagegen schmaler als der verbreitete Praxisstandard.

§ 16 Abs. 3 Satz 1 HinSchG verlangt, dass interne Meldekanäle Meldungen in mündlicher oder in Textform ermöglichen — der Beschäftigungsgeber hat insoweit ein Wahlrecht. Wird der mündliche Kanal gewählt, muss er per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein (Satz 2). Zwingend hinzu kommt allein die persönliche Zusammenkunft auf Ersuchen der hinweisgebenden Person innerhalb einer angemessenen Zeit (Satz 3); eine gesetzliche Tagesfrist dafür gibt es nicht, ein Termin binnen 14 Tagen ist verbreiteter Praxiswert.

Die folgende Tabelle enthält ausschließlich gesetzliche Fristen und Zuständigkeiten, keine Praxisempfehlungen:

Für den laufenden Betrieb kommen zwei Organisationspflichten hinzu: die notwendige Fachkunde der mit den Aufgaben betrauten Personen (§ 15 Abs. 2 HinSchG) und die Belegschaftsinformation nach § 13 HinSchG. In Deutschland führt neben dem Bundesamt für Justiz die BaFin eine externe Meldestelle für Finanzdienstleister (§ 21 HinSchG) und das Bundeskartellamt eine für wettbewerbsrechtliche Verstöße (§ 22 HinSchG).

Datenschutz der Vereins-Meldestelle

Jede Verarbeitung in der Meldestelle braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, und Meldungen können zusätzlich besondere Kategorien nach Art. 9 Abs. 1 DSGVO enthalten. In Deutschland ist für die Meldestelle eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO durchzuführen; in Österreich ist sie durch § 8 Abs. 13 HSchG i.V.m. Art. 35 Abs. 10 DSGVO entbehrlich.

Wird die Meldestelle oder die eingesetzte Software ausgelagert, darf der Verein nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO); die Zusammenarbeit ist durch einen Vertrag mit dem Mindestinhalt des Art. 28 Abs. 3 DSGVO zu regeln. Anträge betroffener Personen sind unverzüglich, in jedem Fall binnen eines Monats zu beantworten, verlängerbar um zwei Monate mit Begründung (Art. 12 Abs. 3 DSGVO); bei einem Auskunftsverlangen der beschuldigten Person nach Art. 15 DSGVO kommen eine geschwärzte Antwort und die Aufschiebung nach § 29 BDSG in Betracht.

Datenschutzbeauftragte: Neben den Grundfällen des Art. 37 Abs. 1 DSGVO greift in Deutschland § 38 Abs. 1 BDSG — in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; unabhängig von dieser Zahl ist zu benennen, wenn Verarbeitungen einer DSFA nach Art. 35 DSGVO unterliegen. Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Schwelle vor; die Pflicht folgt unmittelbar aus Art. 37 DSGVO (§ 5 DSG).

8. Repressalienschutz und Haftung im Verein

Repressalien gegen hinweisgebende Personen sind verboten, einschließlich Androhung und Versuch (§ 36 Abs. 1 HinSchG) — und erleidet die Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit und macht sie geltend, diese sei Folge der Meldung, wird die Repressalie vermutet; dann muss der Benachteiligende beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte (§ 36 Abs. 2 HinSchG).

Rechtsfolge und Grenzen: § 37 HinSchG verpflichtet den Verursacher zum Ersatz des entstehenden Schadens, begründet aber keinen Anspruch auf Begründung eines Beschäftigungs- oder Ausbildungsverhältnisses und keinen Anspruch auf beruflichen Aufstieg. Umgekehrt kann die hinweisgebende Person für die Beschaffung der gemeldeten Informationen nicht rechtlich verantwortlich gemacht werden, sofern die Beschaffung nicht als solche eine eigenständige Straftat darstellt (§ 35 HinSchG). Wer vorsätzlich oder grob fahrlässig unrichtige Informationen meldet, haftet dagegen auf Schadensersatz (§ 38 HinSchG); in diesen Fällen entfällt auch der Identitätsschutz (§ 9 Abs. 1 HinSchG).

Praxis-Empfehlung für Vereine: Jede personelle Maßnahme gegenüber einer Person, die gemeldet hat — Abmahnung, Versetzung, Nichtverlängerung —, vorab schriftlich mit ihrer von der Meldung unabhängigen Begründung dokumentieren. Das Prüfschema ist zweistufig: Auf Stufe 1 legt die hinweisgebende Person Meldung und anschließende Benachteiligung dar, dann greift die Vermutung des § 36 Abs. 2 HinSchG; auf Stufe 2 muss der Verein die von der Meldung unabhängige Begründung beweisen. Bestätigt durch LAG Niedersachsen, Urteil vom 11.11.2024 — 7 SLa 306/24.

Österreich: Vergeltungsmaßnahmen sind rechtsunwirksam (§ 20 Abs. 1 HSchG); die verantwortliche Person schuldet Wiederherstellung des rechtmäßigen Zustandes, Ersatz des Vermögensschadens und eine Entschädigung für die erlittene persönliche Beeinträchtigung (§ 20 Abs. 1 letzter Satz und Abs. 2 HSchG). Der Beweismaßstab weicht ab: Die hinweisgebende Person muss die Vergeltung nur glaubhaft machen; eine Vergeltung ist nicht anzunehmen, wenn eine höhere Wahrscheinlichkeit für ein anderes Motiv spricht, das die handelnde Person ihrerseits glaubhaft zu machen hat (§ 23 HSchG) — ein schwächerer Standard als die deutsche Beweislastumkehr. Die Haftungsbefreiung regelt § 22 Abs. 1 und Abs. 2 HSchG.

9. Bußgelder und Verjährung: Deutschland und Österreich

In Deutschland ist die fehlende interne Meldestelle mit bis zu 20.000 EUR bedroht, Behinderung, Repressalie und vorsätzlicher oder leichtfertiger Vertraulichkeitsverstoß mit bis zu 50.000 EUR; in Österreich gilt für die Tatbestände des § 24 HSchG ein Rahmen bis 20.000 EUR, im Wiederholungsfall bis 40.000 EUR.

Entscheidend für Vereine als juristische Personen ist die Reichweite der Verzehnfachung: § 40 Abs. 6 Satz 2 HinSchG ordnet die Verzehnfachung nach § 30 Abs. 2 Satz 3 OWiG ausdrücklich nur für § 40 Abs. 2 Nr. 1 und 3 sowie Abs. 3 und 4 an — für die fehlende interne Meldestelle (§ 40 Abs. 2 Nr. 2) gerade nicht. Praktisch heißt das: bis zu 500.000 EUR gegen den Verein bei Behinderung, Repressalie oder vorsätzlichem oder leichtfertigem Vertraulichkeitsverstoß, aber 20.000 EUR, wenn die Meldestelle schlicht fehlt.

Zuständigkeit in Deutschland: Die HinSchGOWiZustV (BGBl. 2025 I Nr. 111, in Kraft seit 15.04.2025) überträgt Verfolgung und Ahndung der Ordnungswidrigkeiten nach § 40 HinSchG auf das Bundesamt für Justiz — allerdings nur, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt; sonst bleibt es bei den allgemeinen Zuständigkeitsregeln (§ 36 OWiG).

Österreich: § 24 HSchG erfasst, wer eine geschützte Person bei einer Hinweisgebung behindert oder unter Druck setzt, eine Vergeltungsmaßnahme setzt, die Vertraulichkeit (§§ 7 oder 17 Abs. 1 HSchG) verletzt oder wissentlich einen falschen Hinweis gibt: Verwaltungsübertretung, Geldstrafe bis 20.000 EUR, im Wiederholungsfall bis 40.000 EUR, verhängt von der Bezirksverwaltungsbehörde. Die HinSchGOWiZustV und das Vertragsverletzungsverfahren zu § 14 HinSchG haben in Österreich keine Entsprechung.

10. Was für Vereine NICHT gilt: fünf Irrtümer aus Compliance-Publikationen

Fünf Annahmen, die in Compliance-Publikationen kursieren, finden im deutschen Gesetz keine Grundlage: anonyme Meldekanäle als Pflicht, drei Pflichtkanäle, eine Audit-Pflicht, die Ersetzbarkeit der internen Meldestelle durch die staatliche und ein sechsstelliges Bußgeld allein für die fehlende Meldestelle.

1. Keine Pflicht, anonyme Meldekanäle zu öffnen. § 16 Abs. 1 Satz 4 HinSchG formuliert eine Empfehlung („sollte“), Satz 5 stellt ausdrücklich klar, dass keine Verpflichtung besteht, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen. Der oft zitierte Stichtag 01.01.2025 stammt aus einem Gesetzentwurf, der nicht Gesetz geworden ist; die Übergangsvorschrift § 42 HinSchG betrifft ausschließlich die Einrichtungsfrist für Beschäftigungsgeber mit 50 bis 249 Beschäftigten (17. Dezember 2023) und die Anwendbarkeit von § 40 Abs. 2 Nr. 2 (1. Dezember 2023).
2. Keine drei Pflichtkanäle. Drei parallele Kanäle sind Praxisstandard, keine gesetzliche Pflicht — Wortlaut und Fundstellen des § 16 Abs. 3 HinSchG in Abschnitt 7.
3. Keine „HinSchG-Novelle 2026“ mit Audit-Pflicht. Die kursierende Behauptung beruft sich auf § 22 HinSchG. Dieser regelt jedoch die externe Meldestelle beim Bundeskartellamt für wettbewerbsrechtliche Verstöße (insbesondere Kartellrecht, Marktmissbrauch, Digital Markets Act) und keine Prüfpflicht für interne Meldestellen. Eine jährliche Wirksamkeitsprüfung ist Best Practice für Compliance-Verantwortliche, jedoch keine gesetzliche Pflicht.
4. Die staatliche externe Meldestelle ersetzt die interne nicht. Das Wahlrecht zwischen interner und externer Meldung steht allein der hinweisgebenden Person zu (§ 7 Abs. 1 HinSchG); Meldungen oder die anschließende Kommunikation zu behindern, ist verboten (§ 7 Abs. 2 HinSchG). Zulässig ist dagegen die Übertragung der Aufgaben an einen Dritten (§ 14 Abs. 1 Satz 1 HinSchG). In Österreich umfasst der Schutz Hinweise an interne wie externe Stellen (§ 6 Abs. 1 HSchG).
5. Kein Sechsstellen-Bußgeld allein für die fehlende Meldestelle. Für § 40 Abs. 2 Nr. 2 HinSchG bleibt es bei 20.000 EUR, weil § 40 Abs. 6 Satz 2 HinSchG die Verzehnfachung für diesen Tatbestand nicht anordnet — Einzelheiten und die Gegenbeispiele in Abschnitt 9.