Hinweisgebersystem ab 50 Mitarbeitern: was KMU brauchen

Hauptartikel: HinSchG-Leitfaden 2026 — alle Pflichten des Hinweisgeberschutzgesetzes im Überblick. Diese Seite vertieft die Frage, ob Ihr Unternehmen betroffen ist und welches Modell zu Ihnen passt. Alle Artikel zum Thema finden Sie im Themen-Hub HinSchG.

1. Die 50-Mitarbeiter-Schwelle (§ 12 Abs. 1 Satz 1, Abs. 2 HinSchG)

Nach § 12 Abs. 1 Satz 1 HinSchG haben Beschäftigungsgeber dafür zu sorgen, dass bei ihnen mindestens eine interne Meldestelle eingerichtet ist und betrieben wird. Absatz 2 beschränkt diese Pflicht auf Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten. Für private Beschäftigungsgeber mit 50 bis 249 Beschäftigten gilt die Pflicht seit dem 17.12.2023 (§ 42 Abs. 1 HinSchG); bis dahin galt eine Übergangsfrist. Diese Frist ist abgelaufen, die Pflicht gilt heute für alle ab 50. Für die Beschäftigungsgeber des § 12 Abs. 3 galt die Übergangsfrist nie.

„In der Regel“: Gemeint ist nicht die Zahl an einem Stichtag, sondern der für den Betrieb typische Personalbestand. Kurzfristige Spitzen, etwa im Saisongeschäft, machen einen Betrieb mit dauerhaft weniger als 50 Beschäftigten nach dieser Auslegung noch nicht pflichtig; wer dauerhaft darüber liegt, ist es. Das Gesetz legt keinen Berechnungszeitraum fest.

Für Banken und Versicherer stehen die Einzelheiten im Artikel HinSchG für Banken und Finanzdienstleister. Wie die Meldestelle danach Schritt für Schritt aufgebaut wird, zeigt Interne Meldestelle einrichten.

2. Wer zählt als „Beschäftigter“?

§ 3 Abs. 8 HinSchG zählt abschließend auf, wer Beschäftigter ist: Arbeitnehmerinnen und Arbeitnehmer, die zu ihrer Berufsbildung Beschäftigten, Beamte, Richter (ohne ehrenamtliche), Soldaten, arbeitnehmerähnliche Personen einschließlich der in Heimarbeit Beschäftigten sowie Menschen mit Behinderung in Werkstätten. Eine Regel zur anteiligen Zählung von Teilzeitkräften enthält das HinSchG nicht. Anders das Kündigungsschutzgesetz: Dort werden Teilzeitkräfte mit bis zu 20 Wochenstunden mit 0,5 und mit bis zu 30 Wochenstunden mit 0,75 berücksichtigt (§ 23 Abs. 1 Satz 4 KSchG). Für das HinSchG wird deshalb nach Köpfen gezählt.

Praxisempfehlung: Wer um die Schwelle herum liegt, etwa zwischen 45 und 55 Köpfen, sollte die Entwicklung des Personalbestands über die letzten 12 Monate dokumentieren und die Einstufung mit Datum festhalten. Weitere Zählfragen beantwortet der Artikel HinSchG: Top-8-Fragen bei KMU.

3. Externe vs. interne Meldestelle

Das HinSchG kennt zwei Meldewege nebeneinander. Hinweisgebende Personen können wählen, ob sie sich an eine interne oder eine externe Meldestelle wenden (§ 7 Abs. 1 Satz 1 HinSchG). Gemeldet werden können unter anderem strafbewehrte Verstöße, bestimmte bußgeldbewehrte Verstöße und Verstöße gegen zahlreiche aufgezählte Vorschriften; seit dem 29.07.2026 erfasst § 2 Abs. 1 Nr. 10 HinSchG auch Verstöße gegen die KI-Verordnung (EU) 2024/1689.

3.1 Interne Meldestelle (§§ 12 bis 18 HinSchG)

Die interne Meldestelle sitzt beim Beschäftigungsgeber oder wird von einem Dritten für ihn betrieben. Nach § 7 Abs. 1 Satz 2 HinSchG sollten hinweisgebende Personen die interne Meldung bevorzugen, wenn intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten. Eine Pflicht, zuerst intern zu melden, ist das nicht. Meldungen oder die anschließende Kommunikation zu behindern, ist verboten (§ 7 Abs. 2). Pflichtige Beschäftigungsgeber sollen Anreize dafür schaffen, dass zuerst intern gemeldet wird (§ 7 Abs. 3 Satz 1). Klare und leicht zugängliche Informationen über die Nutzung des internen Meldeverfahrens müssen sie bereitstellen (Satz 2); die externe Meldung darf dadurch nicht beschränkt oder erschwert werden (Satz 3).

3.2 Externe Meldestelle (§§ 19 bis 31 HinSchG)

• Externe Meldestelle des Bundes beim Bundesamt für Justiz: zuständig, soweit keine andere externe Meldestelle zuständig ist (§ 19 Abs. 1 und 4)
• Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin): für die in § 21 genannten Meldungen aus dem Finanzbereich
• Bundeskartellamt: für Verstöße nach § 2 Abs. 1 Nr. 8 und 9 (§ 22)
• Länder: Jedes Land kann eine eigene externe Meldestelle für Meldungen zur Landes- und Kommunalverwaltung einrichten (§ 20)

4. Vier Setup-Optionen für KMU

Den rechtlichen Rahmen setzt § 14 Abs. 1 HinSchG: Mit den Aufgaben der internen Meldestelle kann eine beschäftigte Person, eine Arbeitseinheit aus mehreren Beschäftigten oder ein Dritter betraut werden. Wer einen Dritten betraut, bleibt selbst verpflichtet, geeignete Maßnahmen zu ergreifen, um einen Verstoß abzustellen (§ 14 Abs. 1 Satz 2). Die beauftragten Personen arbeiten unabhängig, dürfen andere Aufgaben haben, solange keine Interessenkonflikte entstehen (§ 15 Abs. 1), und müssen über die notwendige Fachkunde verfügen (§ 15 Abs. 2).

4.1 Option 1: Externe Ombudsperson (z. B. Rechtsanwältin oder Rechtsanwalt)

Vorteile:

• Klare organisatorische Trennung zur Geschäftsleitung
• Interessenkonflikte im Sinne von § 15 Abs. 1 Satz 3 HinSchG lassen sich leichter ausschließen
• Juristische Ersteinschätzung, ob der gemeldete Verstoß in den Anwendungsbereich nach § 2 fällt (§ 17 Abs. 1 Nr. 2)

Nachteile:

• Laufende Kosten, meist als Pauschale plus Abrechnung je Fall, Höhe nach Angebot
• Erreichbarkeit oft auf Bürozeiten begrenzt
• Die persönliche Zusammenkunft auf Ersuchen (§ 16 Abs. 3 Satz 3) ist räumlich aufwendiger; mit Einwilligung der hinweisgebenden Person ist sie auch per Bild- und Tonübertragung möglich (Satz 4)
• Abhilfe bleibt Aufgabe des Unternehmens (§ 14 Abs. 1 Satz 2)

Geeignet für: Unternehmen ohne eigene Compliance-Funktion, die eine sichtbar unabhängige Stelle wollen.

4.2 Option 2: Software-Plattform (Online-Hinweisgebersystem)

Eine Auswahl von Anbietern mit Prüfraster für das Anbietergespräch steht im Anbieter-Vergleich externe Meldestelle.

Vorteile:

• Meldungen in Textform rund um die Uhr, mehrsprachig (Umfang je Anbieter)
• Anonymes Postfach für den Kontakt mit der hinweisgebenden Person auch nach einer anonymen Meldung
• Fristen-Erinnerungen für die Eingangsbestätigung spätestens nach 7 Tagen und die Rückmeldung innerhalb von 3 Monaten nach der Bestätigung (§ 17 Abs. 1 Nr. 1, Abs. 2)
• Rollen- und Rechtekonzept, mit dem sich der Zugriffsschutz nach § 16 Abs. 2 abbilden lässt

Nachteile:

• Die Plattform liefert den Kanal, nicht die Bearbeitung: Die Meldestelle muss weiter besetzt und fachkundig sein
• Die persönliche Zusammenkunft auf Ersuchen (§ 16 Abs. 3 Satz 3) muss außerhalb der Plattform organisiert werden; wer zusätzlich mündliche Meldungen anbietet, braucht dafür Telefon oder eine andere Art der Sprachübermittlung (Satz 2)
• Eine dokumentierte Verfahrensordnung bleibt der Praxisnachweis für die gesetzlichen Fristen (7 Tage nach § 17 Abs. 1 Nr. 1; Rückmeldung innerhalb von 3 Monaten nach der Bestätigung, ohne Bestätigung spätestens 3 Monate und 7 Tage nach Eingang, § 17 Abs. 2). Eine ausdrückliche Formpflicht für ein solches Dokument gibt es nicht. Eine Gliederung zeigt die Vorlage Verfahrensanweisung.
• Lizenzkosten nach Funktions- und Nutzungsumfang, Höhe nach Angebot; verarbeitet der Anbieter Daten im Auftrag, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nötig

4.3 Option 3: Inhouse-Besetzung

Eine benannte beschäftigte Person oder eine kleine Arbeitseinheit übernimmt die Meldestelle, oft in Verbindung mit einer vorhandenen Compliance- oder Datenschutzfunktion.

Vorteile:

• Volle Kontrolle über Daten und Prozess
• Kenntnis des Unternehmens hilft bei der Prüfung der Stichhaltigkeit (§ 17 Abs. 1 Nr. 4)
• Bei vorhandener Compliance-Funktion geringer zusätzlicher Aufwand

Nachteile:

• Interessenkonflikte sind nach § 15 Abs. 1 Satz 3 HinSchG auszuschließen; eine Doppelrolle mit der Personalabteilung ist bei Meldungen mit Personalbezug kaum konfliktfrei
• Bei Krankheit und Urlaub braucht es eine feste Vertretung, sonst ist die 7-Tage-Frist für die Eingangsbestätigung gefährdet
• § 15 Abs. 2 verlangt die „notwendige Fachkunde“. Einen Turnus schreibt das Gesetz nicht vor; eine regelmäßige Auffrischung ist Praxisempfehlung (siehe Glossar Fachkundenachweis)

Geeignet für: Unternehmen mit bestehender Compliance-Funktion und einer Vertrauenskultur, die interne Meldungen trägt.

Für den Aufbau der Fachkunde gibt es das E-Learning Hinweisgeberschutz: Pfad B „Meldestelle & Führung“ mit 8 Kapiteln (rund 90 Minuten) und einer Prüfung mit 20 Fragen aus einem Pool von 65, als HTML-Datei oder SCORM 1.2/2004 für das eigene LMS, mit Teilnahmenachweis und Prüfcode, einzeln ab 490 € netto. Eine gesetzliche Schulungspflicht enthält das HinSchG nicht.

4.4 Option 4: Konzernlösung

Als „Dritter“ im Sinne von § 14 Abs. 1 HinSchG kann nach deutscher Auslegung auch eine andere Konzerngesellschaft betraut werden. Die Pflicht, Verstöße abzustellen, bleibt bei der Tochter (§ 14 Abs. 1 Satz 2). Daneben erlaubt § 14 Abs. 2 mehreren privaten Beschäftigungsgebern mit in der Regel 50 bis 249 Beschäftigten eine gemeinsame Stelle; Abhilfe und Rückmeldung bleiben beim einzelnen Beschäftigungsgeber. Ein Vertragsverletzungsverfahren zu § 14 HinSchG gibt es nicht. Das deutsche Verfahren zur Richtlinie (EU) 2019/1937, INFR(2022)0052, betraf die verspätete Umsetzung; es endete mit dem EuGH-Urteil C-149/23 vom 6. März 2025 und wurde am 4. Juni 2026 eingestellt. Zum Stand 17.08.2026 gilt § 14 unverändert. Bei Übermittlungen in Drittländer gilt Kapitel V DSGVO. Vertiefung: HinSchG Konzern-Meldestelle und Hybridmodell in der Praxis, im Glossar unter Konzern-Meldestelle (hybrid).

5. Kostenmodelle im Vergleich

Für die Kosten gibt es keine gesetzliche Vorgabe und keinen amtlichen Richtwert. Vergleichbar sind die Kostenmodelle und die Treiber, die den Preis bestimmen.

Praxisempfehlung für Unternehmen knapp über der Schwelle: ein Kanal in Textform (Plattform oder geschütztes Postfach), ein mündlicher Weg über Telefon oder Sprachnachricht mit beschränktem Zugriff, die persönliche Zusammenkunft auf Ersuchen und eine dokumentierte Verfahrensordnung. In besonders sensiblen Bereichen kann zusätzlich eine externe Ombudsperson sinnvoll sein.

Die Dokumentation deckt das HinSchG-Kit ab: 53 Dokumente (42 Word, 10 Excel, 1 PowerPoint) in 14 Ordnern, darunter Richtlinie, Verfahrensordnung mit den Fristen des § 17, Meldekanal-Konzept, Vorlagen für Eingangsbestätigung und Rückmeldung, Vertraulichkeits- und Löschkonzept. Basis 990 € (Dokumentation, 49 Dokumente), Plus 1.390 € (mit Schulungs-Pack), Komplett 1.690 € (mit E-Learning als HTML und SCORM 1.2/2004), jeweils netto und einmalig, als Fassung für Deutschland oder Österreich, mit 12 Monaten Rechtsstand-Updates. Nur für Unternehmen.

6. Pflicht-Kanäle nach § 16 HinSchG

Interne Meldekanäle müssen Meldungen in mündlicher oder in Textform ermöglichen (§ 16 Abs. 3 Satz 1 HinSchG). Wer mündliche Meldungen anbietet, muss sie per Telefon oder über eine andere Art der Sprachübermittlung ermöglichen (Satz 2). Auf Ersuchen der hinweisgebenden Person ist innerhalb angemessener Zeit eine persönliche Zusammenkunft zu ermöglichen (Satz 3), mit ihrer Einwilligung auch per Bild- und Tonübertragung (Satz 4). Ein E-Mail-Postfach allein reicht also nur dann nicht, wenn die Zusammenkunft auf Ersuchen nicht organisiert ist; drei Wege sind Praxisstandard, aber keine Pflicht. Einzelheiten: Meldekanäle einrichten.

Häufiger Fehler: Als Meldenummer dient die normale Telefonzentrale. Die Meldekanäle sind aber so zu gestalten, dass nur die zuständigen und die sie unterstützenden Personen Zugriff auf eingehende Meldungen haben (§ 16 Abs. 2 HinSchG); zusätzlich gilt die Vertraulichkeitspflicht nach § 8 Abs. 1. Lösung: eine eigene Nummer oder Sprachbox mit beschränktem Zugriff oder eine externe Stelle. Wie sich das technisch und organisatorisch umsetzen lässt, beschreibt das Vertraulichkeitskonzept.

7. Anonyme Meldungen: Soll-Vorschrift, keine Pflicht

Nach § 16 Abs. 1 Satz 4 HinSchG sollte die interne Meldestelle auch anonym eingehende Meldungen bearbeiten, eine klare Erwartung des Gesetzes. Satz 5 stellt aber klar: Es besteht keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie anonyme Meldungen ermöglichen. Eine „HinSchG-Novelle“ zum 01.07.2024, die daraus eine Pflicht gemacht hätte, gibt es nicht. Wer anonyme Meldungen zulässt, sollte einen anonymen Rückkanal anbieten (Best Practice), denn auch dann laufen die Frist für die Eingangsbestätigung (spätestens nach 7 Tagen) und die Rückmeldung innerhalb von 3 Monaten nach der Bestätigung, ohne Bestätigung spätestens 3 Monate und 7 Tage nach Eingang (§ 17 HinSchG). Mehr dazu im Glossar Anonyme Meldung und unter HinSchG-Updates 2024–2026.

8. Sanktionen bei Verstoß (§ 40 HinSchG)

Gegenüber Unternehmen verzehnfacht sich der Rahmen bei Behinderung, Repressalie und Vertraulichkeitsverstößen, weil § 40 Abs. 6 Satz 2 HinSchG auf § 30 Abs. 2 Satz 3 OWiG verweist: bis 500.000 Euro, bei fahrlässigem Vertraulichkeitsverstoß bis 100.000 Euro. Für die fehlende Meldestelle gilt das nicht, es bleibt bei bis 20.000 Euro. Der Versuch kann bei Behinderung und Repressalie geahndet werden (§ 40 Abs. 5). Zuständig für Verfolgung und Ahndung ist seit 15.04.2025 das Bundesamt für Justiz, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt (§ 1 HinSchGOWiZustV). Den Bußgeldrahmen im Detail erklärt HinSchG: Top-8-Fragen bei KMU.

Zivilrechtlich gilt die Beweislastumkehr nach § 36 Abs. 2 HinSchG: Macht die hinweisgebende Person geltend, infolge ihrer Meldung benachteiligt worden zu sein, wird eine Repressalie vermutet. Der Benachteiligende muss beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte. Bei einem Verstoß gegen das Repressalienverbot ist der Schaden zu ersetzen (§ 37); ein Anspruch auf Begründung eines Beschäftigungsverhältnisses oder auf beruflichen Aufstieg entsteht dadurch nicht.

Österreich: HSchG statt HinSchG

Österreich (AT): Das HinSchG gilt nur in Deutschland. In Österreich richtet sich der Hinweisgeberschutz nach dem HinweisgeberInnenschutzgesetz (HSchG). Unternehmen und juristische Personen des öffentlichen Sektors mit 50 oder mehr Arbeitnehmern oder Bediensteten müssen die interne Hinweisgebung ermöglichen und ein internes Hinweisgebersystem einrichten. Die Werte zeigt die Tabelle.