Hinweisgeberschutzgesetz: Meldestelle, Fristen, Bußgeld

Das Hinweisgeberschutzgesetz verpflichtet jeden Arbeitgeber mit in der Regel mindestens 50 Beschäftigten, eine interne Meldestelle einzurichten und zu betreiben (§ 12 Abs. 1 Satz 1, Abs. 2 HinSchG). Geht dort eine Meldung ein, muss der Eingang spätestens nach sieben Tagen bestätigt und innerhalb von drei Monaten eine Rückmeldung erteilt werden (§ 17 Abs. 1 Nr. 1, Abs. 2 HinSchG). Wer keine Meldestelle vorhält, riskiert eine Geldbuße bis 20.000 Euro. Wer eine Meldung behindert, Repressalien ergreift oder die Vertraulichkeit verletzt, muss mit bis zu 50.000 Euro rechnen (§ 40 Abs. 6 HinSchG), für das Unternehmen selbst kann sich dieser Rahmen über § 30 Abs. 2 Satz 3 OWiG auf 500.000 Euro verzehnfachen.

Die Lage, in der dieser Beitrag Sie vermutlich antrifft

Ein Beschäftigter hat sich gemeldet. Schriftlich an eine Adresse, die vor drei Jahren einmal eingerichtet wurde, oder anonym über ein Portal, dessen Betreiber niemand mehr benennen kann. Seit dem Eingang sind zwei Wochen vergangen, eine Eingangsbestätigung ist nicht hinausgegangen, und jetzt steht die Frage im Raum, ob das Unternehmen bereits einen Fehler gemacht hat.

Es hat. Die Sieben-Tage-Frist des § 17 Abs. 1 Nr. 1 HinSchG läuft ab Eingang, nicht ab Kenntnis der Geschäftsleitung. Die zweite Folge ist unangenehmer. Jede Personalmaßnahme gegenüber dieser Person steht ab sofort unter der Vermutung des § 36 Abs. 2 HinSchG.

Wen die Pflicht trifft und ab wann sie galt

Das Gesetz für einen besseren Schutz hinweisgebender Personen vom 31. Mai 2023 (BGBl. 2023 I Nr. 140) ist am 2. Juli 2023 in Kraft getreten. Es setzt die Richtlinie (EU) 2019/1937 vom 23. Oktober 2019 um, deren Umsetzungsfrist nach Art. 26 der Richtlinie bereits am 17. Dezember 2021 abgelaufen war. Diese Verspätung ist Deutschland teuer zu stehen gekommen. Der Europäische Gerichtshof hat die Bundesrepublik mit Urteil vom 6. März 2025 (Rs. C-149/23) zur Zahlung eines Pauschalbetrags von 34 Millionen Euro verurteilt.

Für die Praxis entscheidend ist die Staffelung nach § 12 Abs. 2 HinSchG in Verbindung mit § 42 Abs. 1 HinSchG.

Arbeitgeber	Pflicht zur internen Meldestelle seit
ab 250 Beschäftigten	2. Juli 2023
50–249 Beschäftigte	17. Dezember 2023
Finanzunternehmen nach § 12 Abs. 3 HinSchG	2. Juli 2023, unabhängig von der Beschäftigtenzahl

Alle Übergangsfristen sind damit seit mehr als zweieinhalb Jahren abgelaufen. Der Bußgeldtatbestand für die fehlende Meldestelle, § 40 Abs. 2 Nr. 2 HinSchG, gilt nach § 42 Abs. 2 HinSchG seit dem 1. Dezember 2023 ohne Einschränkung.

Beachten Sie die Sonderregel in § 12 Abs. 3 HinSchG. Wertpapierdienstleistungsunternehmen, Kreditinstitute, Versicherungsunternehmen und Zahlungsdienstleister brauchen eine interne Meldestelle unabhängig davon, wie viele Menschen sie beschäftigen. Ein Zahlungsinstitut mit zwölf Mitarbeitern fällt darunter, ein Handwerksbetrieb mit vierzig Mitarbeitern nicht.

Maßgeblich für die Schwelle ist die Zahl der Beschäftigten „in der Regel“, also der normale Personalstand über einen längeren Zeitraum, nicht der Bestand an einem Stichtag. Anders als im Kündigungsschutzrecht werden Teilzeitkräfte nicht anteilig berücksichtigt. Eine Halbtagskraft zählt so viel wie eine Vollzeitkraft. Wer bei 46 oder 48 Beschäftigten liegt und wächst, sollte die Schwelle im Blick behalten.

Was überhaupt gemeldet werden kann

Der sachliche Anwendungsbereich in § 2 HinSchG ist kein Sammelbecken für jede Beschwerde, sondern ein Katalog, und dieser Katalog ist breiter, als viele annehmen. Erfasst sind nach § 2 Abs. 1 Nr. 1 HinSchG alle strafbewehrten Verstöße, also das gesamte Wirtschaftsstrafrecht von der Untreue bis zum Subventionsbetrug. Nach Nummer 2 kommen bußgeldbewehrte Verstöße hinzu, soweit die verletzte Vorschrift dem Schutz von Leben, Leib, Gesundheit oder den Rechten von Beschäftigten dient. Die Nummern 3 bis 11 listen Rechtsgebiete auf, in denen auch nicht sanktionsbewehrte Verstöße meldefähig sind, darunter Geldwäscheprävention, Produktsicherheit, Umweltschutz, Verbraucher- und Datenschutz, Rechnungslegung, Auftragsvergabe und Kartellrecht.

Neu seit dem 29. Juli 2026: Verstöße gegen die KI-Verordnung

Dieser Katalog ist im laufenden Jahr erweitert worden, und die Erweiterung bilden die wenigsten Meldesysteme bereits ab. Durch Artikel 2 des Gesetzes zur Durchführung der Verordnung (EU) 2024/1689 vom 22. Juli 2026 (BGBl. 2026 I Nr. 223) wurde in § 2 Abs. 1 HinSchG eine neue Nummer 10 eingefügt. Sie erfasst „Verstöße gegen Vorschriften der Verordnung (EU) 2024/1689“, also gegen die KI-Verordnung. Wirksam ist die Änderung seit dem 29. Juli 2026, die frühere Nummer 10 zur Verfassungstreue von Beamtinnen und Beamten ist zur Nummer 11 geworden.

Meldet also ein Entwickler, dass ein im Personalbereich eingesetztes System die Transparenzanforderungen der KI-Verordnung verfehlt oder als Hochrisikosystem ohne die vorgeschriebene Konformitätsbewertung läuft, ist das eine geschützte Meldung. Wer diesen Hinweis abbügelt und den Melder anschließend versetzt, bewegt sich im Anwendungsbereich des § 36 HinSchG. Prüfen Sie deshalb, ob Meldeformular und Verfahrensanweisung diesen Themenkreis überhaupt kennen.

Die interne Meldestelle: eigene Leute, Dritter oder Konzernstelle

§ 14 Abs. 1 HinSchG lässt drei Organisationsformen zu. Die Meldestelle kann von einer beschäftigten Person geführt werden, von mehreren Personen als Arbeitseinheit oder von einem beauftragten Dritten, etwa einem Rechtsanwalt, einer Ombudsperson oder einem spezialisierten Dienstleister.

Die Betrauung eines Dritten erzeugt Distanz zur Linienorganisation, und genau diese Distanz bewegt Beschäftigte dazu, intern statt extern zu melden. Sie entlastet aber nicht von der Verantwortung. § 14 Abs. 1 Satz 2 HinSchG stellt klar, dass die Betrauung eines Dritten „den betrauenden Beschäftigungsgeber nicht von der Pflicht“ entbindet, selbst geeignete Maßnahmen zu ergreifen, um den Verstoß abzustellen. Der Dienstleister nimmt entgegen und prüft. Handeln muss das Unternehmen. Für kleinere Arbeitgeber sieht § 14 Abs. 2 HinSchG eine Erleichterung vor. Mehrere private Arbeitgeber mit jeweils 50 bis 249 Beschäftigten dürfen eine gemeinsame Stelle betreiben, die Pflicht zur Abstellung des Verstoßes und zur Rückmeldung bleibt bei jedem einzelnen.

Die Konzernlösung und ihr europarechtliches Risiko

Viele Konzerne haben eine zentrale Meldestelle bei der Muttergesellschaft eingerichtet und stützen sich darauf, dass die Konzernmutter „Dritter“ im Sinne des § 14 Abs. 1 HinSchG sei. Die Gesetzesbegründung trägt diese Auslegung. Die Europäische Kommission tut es nicht. Sie hat bereits 2021 die Auffassung vertreten, dass Konzernunternehmen keine Dritten im Sinne der Richtlinie sind und jede rechtlich selbständige Tochtergesellschaft mit mindestens 50 Beschäftigten einen eigenen Meldekanal vorhalten muss. Die Richtlinie will Meldungen im unmittelbaren Arbeitsumfeld halten.

Eine höchstrichterliche Klärung steht aus. Solange sie fehlt, gilt für die Praxis: Die Konzernstelle darf bestehen, sie sollte aber nicht der einzige Kanal sein. Wer bei jeder Tochtergesellschaft zusätzlich eine ansprechbare Stelle vorhält, die Meldungen entgegennimmt und die Rückmeldung nach § 17 Abs. 2 HinSchG verantwortet, hat dieses Risiko entschärft.

Fachkunde und Interessenkonflikte

§ 15 Abs. 1 HinSchG verlangt, dass die betrauten Personen unabhängig handeln. Sie dürfen daneben andere Aufgaben wahrnehmen, aber nur, soweit daraus keine Interessenkonflikte entstehen. § 15 Abs. 2 HinSchG verpflichtet den Arbeitgeber, für die notwendige Fachkunde zu sorgen.

Das klingt nach Formalie. Ist es nicht. Führt der Leiter der Personalabteilung zugleich die Meldestelle, ist der Konflikt vorprogrammiert, sobald eine Meldung seinen eigenen Bereich betrifft. Bei Einheiten zwischen 50 und 120 Beschäftigten ist die Betrauung eines externen Dritten deshalb oft der sauberere Weg.

Meldekanäle, Anonymität und Erreichbarkeit

Nach § 16 Abs. 1 HinSchG müssen die internen Meldekanäle Meldungen in mündlicher oder in Textform ermöglichen, mündlich heißt telefonisch und auf Ersuchen auch in einer persönlichen Zusammenkunft innerhalb angemessener Zeit. Der Adressatenkreis ist zunächst auf die eigenen Beschäftigten und die überlassenen Leiharbeitnehmer begrenzt. Der Arbeitgeber darf den Kanal auch für weitere beruflich verbundene Personen öffnen, etwa für Lieferanten und Dienstleister. Das ist keine Pflicht, in Branchen mit langen Lieferketten aber eine sinnvolle Entscheidung.

Zur Anonymität regelt das Gesetz bewusst zurückhaltend. Die interne Meldestelle „sollte“ auch anonym eingehende Meldungen bearbeiten. Eine Verpflichtung, die Kanäle technisch so auszugestalten, dass anonyme Meldungen möglich sind, besteht nicht. Wer trotzdem einen anonymen Kanal einrichtet, tut das aus Eigeninteresse. Er senkt die Hemmschwelle für die interne Meldung, und jede interne Meldung ist besser als eine externe.

Die Fristen, an denen sich alles entscheidet

§ 17 HinSchG gibt zwei Fristen vor. Beide werden in der Praxis regelmäßig gerissen.

Sieben Tage für die Eingangsbestätigung. Nach § 17 Abs. 1 Nr. 1 HinSchG bestätigt die interne Meldestelle den Eingang spätestens nach sieben Tagen. Die Frist läuft ab Eingang bei der Meldestelle. Urlaub, Krankheit oder ein unbesetztes Postfach ändern daran nichts. Wer einen Kanal einrichtet, muss ihn auch in der Ferienzeit bedienen können.

Drei Monate für die Rückmeldung. Nach § 17 Abs. 2 HinSchG erhält die hinweisgebende Person innerhalb von drei Monaten nach der Eingangsbestätigung eine Rückmeldung, spätestens drei Monate und sieben Tage nach Eingang der Meldung, falls keine Bestätigung ergangen ist. Inhalt sind geplante und ergriffene Folgemaßnahmen sowie deren Gründe. Die Rückmeldung darf nur insoweit erfolgen, als dadurch interne Nachforschungen nicht berührt und die Rechte der betroffenen Personen nicht beeinträchtigt werden.

Diese Einschränkung wird oft überdehnt. Sie erlaubt, den Inhalt der Rückmeldung zu begrenzen. Sie erlaubt nicht, die Rückmeldung zu unterlassen. Wer nach drei Monaten schweigt, liefert der hinweisgebenden Person den Grund, sich nach § 7 Abs. 1 Satz 3 HinSchG an die externe Meldestelle zu wenden.

Dokumentation und Löschung

§ 11 HinSchG verlangt eine dauerhaft abrufbare Dokumentation aller Meldungen unter Beachtung des Vertraulichkeitsgebots. Bei telefonischen Meldungen darf eine Tonaufzeichnung nur mit Einwilligung der hinweisgebenden Person erstellt werden, andernfalls ist ein Inhaltsprotokoll anzufertigen, das die Person prüfen, berichtigen und bestätigen kann. Die Löschfrist steht in § 11 Abs. 5 HinSchG. Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht, eine längere Aufbewahrung ist zulässig, solange sie erforderlich und verhältnismäßig ist. Legen Sie diese Frist im Löschkonzept ausdrücklich fest. Eine Meldestelle, die Vorgänge aus dem Jahr 2023 noch vollständig vorhält, hat ein Datenschutzproblem.

Vertraulichkeit: der unterschätzte Bußgeldtatbestand

§ 8 Abs. 1 Satz 1 HinSchG verpflichtet die Meldestellen, die Identität dreier Personengruppen vertraulich zu behandeln: der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, und sonstiger in der Meldung genannter Personen. Die Identität darf ausschließlich den für die Entgegennahme und für Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden. Nach § 8 Abs. 2 HinSchG gilt das auch dann, wenn die Meldestelle für die Meldung gar nicht zuständig ist.

Hier liegt das größte Risiko, und zwar aus einem banalen Grund. Die Verletzung geschieht selten böswillig. Sie geschieht in der Kaffeeküche, in einer Vorstandsvorlage mit Namensnennung, in einem Verteiler mit einem Empfänger zu viel. Nach § 40 Abs. 3 HinSchG handelt bereits ordnungswidrig, wer vorsätzlich oder leichtfertig die Vertraulichkeit nicht wahrt, mit einem Rahmen von 50.000 Euro. Fahrlässiges Verhalten bleibt nach § 40 Abs. 4, Abs. 6 HinSchG bei bis zu 10.000 Euro. Der Gegenrat ist unspektakulär und wirksam. Führen Sie die Vorgangsakte pseudonymisiert und getrennt vom allgemeinen Ablagesystem, und berichten Sie an die Geschäftsleitung ohne Klarnamen.

Das Repressalienverbot und die Beweislast

§ 36 Abs. 1 Satz 1 HinSchG verbietet Repressalien gegen hinweisgebende Personen, einschließlich Androhung und Versuch. Repressalie ist jede Handlung oder Unterlassung im Zusammenhang mit der beruflichen Tätigkeit, die eine ungerechtfertigte Benachteiligung darstellt. Kündigung, Abmahnung, Versetzung, Entzug von Aufgaben, verweigerte Beförderung, schlechtere Beurteilung, all das kommt in Betracht.

Die Sprengkraft liegt in § 36 Abs. 2 HinSchG. Erleidet eine hinweisgebende Person eine Benachteiligung und macht sie geltend, diese infolge einer Meldung erlitten zu haben, wird vermutet, dass es sich um eine Repressalie handelt. Wer benachteiligt hat, muss dann beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen beruhte oder nicht auf der Meldung. Voraussetzung des Schutzes ist allerdings § 33 HinSchG. Die Person muss intern nach § 17 oder extern nach § 28 gemeldet oder nach § 32 offengelegt haben, sie muss hinreichenden Grund zu der Annahme gehabt haben, dass die Informationen der Wahrheit entsprechen, und diese müssen Verstöße betreffen, die in den Anwendungsbereich des Gesetzes fallen.

Wie die Gerichte die Vermutungsregel anwenden

Die Rechtsprechung hat die Reichweite des § 36 Abs. 2 HinSchG in den vergangenen zwei Jahren deutlich konturiert, und zwar zugunsten der Arbeitgeber.

Das Bundesarbeitsgericht hat mit Urteil vom 4. Dezember 2025 (2 AZR 51/25) entschieden, dass der Hinweisgeberschutz nach § 36 HinSchG nicht schon deshalb eingreift, weil eine benachteiligte Person geltend macht, die Maßnahme beruhe darauf, dass sie Kenntnis von einem Verstoß hatte. Erforderlich ist ein Kausalzusammenhang zwischen der Benachteiligung und der Meldung selbst. Im entschiedenen Fall hatte ein Außendienstmitarbeiter eines Pharmaunternehmens einen Compliance-Verstoß gemeldet und wurde kurz darauf innerhalb der Wartezeit gekündigt. Der Arbeitgeber konnte belegen, dass der Kündigungsentschluss bereits vor der Meldung gefasst war. Die Vermutung war damit widerlegt. Der Zweite Senat hat zugleich klargestellt, dass Arbeitnehmer in der Wartezeit oder im Kleinbetrieb keinen Weiterbeschäftigungsanspruch aus § 102 Abs. 5 BetrVG haben.

Bereits das Landesarbeitsgericht Niedersachsen hatte mit Urteil vom 11. November 2024 (7 SLa 306/24) verlangt, dass die hinweisgebende Person substantiiert darlegt, dass der gemeldete Verstoß in den sachlichen Anwendungsbereich des HinSchG fällt. Die Darlegungs- und Beweislast für eine geschützte Meldung und eine Benachteiligung liegt beim Arbeitnehmer, erst bei der Ursächlichkeit greift die Vermutung.

In dieselbe Richtung geht das Arbeitsgericht Koblenz mit Urteil vom 20. November 2025 (6 Ca 2023/25). Eine seit dem 1. März 2025 beschäftigte Arbeitnehmerin hatte am 6. April 2025 drei Sachverhalte gemeldet, die Prüfung ergab keine Verstöße, am 9. Juli 2025 folgte die Probezeitkündigung nach kritischer Bewertung im Probezeitgespräch. Das Gericht hat entschieden, dass die Beweislastumkehr nicht automatisch durch die bloße Behauptung einer Repressalie ausgelöst wird und der Arbeitgeber keinen Negativbeweis führen muss. Es genügt der Nachweis, dass die Maßnahme in erster Linie auf anderen, objektiv nachvollziehbaren Gründen beruhte. Die Berufung ist zugelassen.

Für die Unternehmensseite folgt daraus eine schlichte Konsequenz. Dokumentieren Sie Leistungs- und Verhaltensbewertungen laufend und datiert, nicht erst, wenn eine Trennung ansteht. Ein Probezeitgespräch mit protokollierten Kritikpunkten vom Mai schlägt jede nachgeschobene Begründung vom September.

Was der Hinweisgeber verlangen kann und was nicht

§ 37 Abs. 1 HinSchG gibt der hinweisgebenden Person bei einem Verstoß gegen das Repressalienverbot einen Anspruch auf Ersatz des daraus entstehenden Schadens. Nach § 37 Abs. 2 HinSchG folgt daraus jedoch kein Anspruch auf Begründung eines Beschäftigungs-, Berufsausbildungs- oder sonstigen Vertragsverhältnisses und kein Anspruch auf beruflichen Aufstieg. Umgekehrt ist nach § 38 HinSchG zum Schadensersatz verpflichtet, wer vorsätzlich oder grob fahrlässig unrichtige Informationen meldet. Die praktische Bedeutung dieser Norm bleibt begrenzt, weil der Nachweis von Vorsatz oder grober Fahrlässigkeit schwer zu führen ist.

Die Bußgeldtatbestände im Einzelnen

§ 40 HinSchG enthält vier Tatbestandsgruppen. Die Höhen ergeben sich aus § 40 Abs. 6 HinSchG.

Tatbestand	Norm	Rahmen
Behinderung einer Meldung	§ 40 Abs. 2 Nr. 1 i. V. m. § 7 Abs. 2	bis 50.000 €
Repressalie	§ 40 Abs. 2 Nr. 3 i. V. m. § 36 Abs. 1 S. 1	bis 50.000 €
Vertraulichkeitsverletzung, vorsätzlich oder leichtfertig	§ 40 Abs. 3 i. V. m. § 8 Abs. 1 S. 1	bis 50.000 €
Versuch bei Behinderung und Repressalie	§ 40 Abs. 5	bis 50.000 €
Fehlende interne Meldestelle	§ 40 Abs. 2 Nr. 2 i. V. m. § 12 Abs. 1 S. 1	bis 20.000 €
Wissentliche Offenlegung unrichtiger Informationen	§ 40 Abs. 1 i. V. m. § 32 Abs. 2	bis 20.000 €
Vertraulichkeitsverletzung, fahrlässig	§ 40 Abs. 4	bis 10.000 €

Zwei Punkte werden dabei übersehen. Erstens die Verzehnfachung. § 40 Abs. 6 HinSchG ordnet die Anwendung des § 30 Abs. 2 Satz 3 OWiG an, sodass gegen die juristische Person in den Fällen der Behinderung und der vorsätzlichen Vertraulichkeitsverletzung bis zu 500.000 Euro im Raum stehen. Wie eine Unternehmensgeldbuße nach § 30 OWiG zustande kommt, ist gesondert dargestellt.

Zweitens der Dauercharakter. Das Unterlassen der Einrichtung und des Betriebs einer internen Meldestelle ist kein einmaliger Verstoß, der mit einem Bußgeld abgegolten wäre. Solange der rechtmäßige Zustand fehlt, bleibt der Verstoß bestehen. Zuständige Verwaltungsbehörde ist das Bundesamt für Justiz auf Grundlage der HinSchGOWiZustV.

Wenn extern gemeldet wird

§ 7 Abs. 1 Satz 1 HinSchG gibt der hinweisgebenden Person die freie Wahl zwischen interner und externer Meldung. Das Gesetz formuliert lediglich eine Sollvorgabe zugunsten des internen Wegs. Nach § 7 Abs. 3 HinSchG sollen verpflichtete Arbeitgeber Anreize für die interne Meldung schaffen, dürfen den externen Weg dadurch aber weder beschränken noch erschweren.

Zentrale externe Meldestelle ist nach § 19 HinSchG das Bundesamt für Justiz, daneben bestehen die Sonderzuständigkeiten der BaFin und des Bundeskartellamts. Die Zahlen zeigen, wie schnell dieser Kanal angenommen wurde. Von Juli bis Dezember 2023 gingen bei der externen Meldestelle des Bundes 410 Meldungen ein, 22 Fälle und damit 5,37 Prozent wurden an Staatsanwaltschaften abgegeben (Jahresbericht 2023, BT-Drs. 20/11480). Im Jahr 2024 waren es nach Angaben des Bundesamts für Justiz bereits über 1.800 Meldungen, im ersten Halbjahr 2025 über 1.400.

Eine externe Meldung bedeutet Kontrollverlust. Das Unternehmen erfährt vom Vorwurf erst, wenn die Behörde nachfragt, und hat keinen Vorsprung mehr, um Missstände abzustellen, bevor sie amtlich werden. Eine funktionierende interne Meldestelle ist deshalb keine Belastung, sondern ein Frühwarnsystem.

Die Schnittstelle zum Wirtschaftsstrafrecht

Für Geschäftsführer wird das Hinweisgeberrecht dort ernst, wo eine Meldung einen strafrechtlich relevanten Sachverhalt aufdeckt. Meldungen zu Schmiergeldern berühren die Bestechlichkeit und Bestechung im geschäftlichen Verkehr nach § 299 StGB, Meldungen zu Zahlungsströmen aus zweifelhaften Quellen die Geldwäscheprävention im Unternehmen und die 2026 verschärften Pflichten aus der GwG-Meldeverordnung.

Dabei entsteht ein Zielkonflikt. Die interne Untersuchung dient der Aufklärung, ihre Ergebnisse können aber später beschlagnahmt werden und gegen das Unternehmen und seine Organe wirken. Rechtsanwalt Dr. Holger Traub rät, in diesem Stadium zwei Fragen sofort zu trennen: Was muss zur Erfüllung der Pflichten aus § 17 und § 18 HinSchG geschehen, und was ist zur Wahrung der Verteidigungsinteressen geboten.

Hinzu kommt die Haftungsebene. Wer als Geschäftsführer einen konkreten Hinweis auf einen Rechtsverstoß erhält und ihn nicht aufklärt, kann sich gegenüber der Gesellschaft schadensersatzpflichtig machen, siehe dazu die Geschäftsführerhaftung nach § 43 GmbHG. Die Meldung ist damit nicht nur ein Compliance-Vorgang, sondern ein dokumentierter Zeitpunkt der Kenntnisnahme. Ab da läuft die Uhr.

Was der Betriebsrat mitzureden hat

Ob eine interne Meldestelle eingerichtet wird, entscheidet der Arbeitgeber allein. Bei der Ausgestaltung des Meldeverfahrens bestimmt der Betriebsrat nach § 87 Abs. 1 Nr. 1 BetrVG mit, weil das Verfahren die Ordnung des Betriebs und das Verhalten der Arbeitnehmer regelt. Kommt ein digitales Hinweisgeberportal hinzu, greift zusätzlich § 87 Abs. 1 Nr. 6 BetrVG. Die Mitbestimmung entfällt auch dann nicht, wenn der Kanal von einem externen Dritten betrieben wird.

Regeln Sie das über eine Betriebsvereinbarung, bevor Sie das System ausrollen. Ein nachträglicher Streit darüber kann das Verfahren blockieren, und ein blockiertes Verfahren ist gegenüber dem Bundesamt für Justiz kein Verfahren.

Prüfschema in sieben Schritten

Schritt 1 — Sind Sie überhaupt verpflichtet? Maßstab ist § 12 Abs. 2 HinSchG. Beschäftigen Sie in der Regel mindestens 50 Personen, Teilzeitkräfte voll gezählt? Ja: weiter mit Schritt 3. Nein: weiter mit Schritt 2.

Schritt 2 — Greift die Sonderregel für Finanzunternehmen? Maßstab ist § 12 Abs. 3 HinSchG. Sind Sie Wertpapierdienstleistungsunternehmen, Kreditinstitut, Versicherungsunternehmen oder Zahlungsdienstleister? Ja: Pflicht unabhängig von der Beschäftigtenzahl. Nein: keine Pflicht nach dem HinSchG.

Schritt 3 — Existiert eine Meldestelle, die diesen Namen verdient? Maßstab sind §§ 13 bis 16 HinSchG. Gibt es einen benannten, erreichbaren Kanal für mündliche und Textform-Meldungen, eine zuständige Person mit Vertretung und eine dokumentierte Verfahrensanweisung? Nein: Bußgeldrisiko nach § 40 Abs. 2 Nr. 2 HinSchG, sofort handeln.

Schritt 4 — Ist die Unabhängigkeit gewahrt? Maßstab ist § 15 Abs. 1 HinSchG. Kann die betraute Person in Konflikt mit eigenen Linienaufgaben geraten? Ja: Rolle neu zuschneiden oder einen Dritten nach § 14 Abs. 1 HinSchG betrauen.

Schritt 5 — Laufen die Fristen sauber? Maßstab ist § 17 HinSchG. Wird der Eingang binnen sieben Tagen bestätigt und binnen drei Monaten zurückgemeldet? Nein: Fristenlauf technisch absichern, etwa durch automatische Eingangsbestätigung und Wiedervorlage.

Schritt 6 — Ist die Vertraulichkeit organisatorisch abgesichert? Maßstab ist § 8 Abs. 1 HinSchG. Wer hat Zugriff auf Namen, wie sind Akten und Postfächer getrennt, wie wird an die Geschäftsleitung berichtet? Unklar: Zugriffskonzept schriftlich festlegen.

Schritt 7 — Sind die Beschäftigten informiert? Maßstab ist § 13 Abs. 2 HinSchG. Liegen klare und leicht zugängliche Informationen über die externen Meldeverfahren vor? Nein: ergänzen, denn diese Pflicht wird bei Prüfungen regelmäßig zuerst abgefragt.

Beispielsfall

Beispielsfall: Ein Maschinenbauunternehmen mit 180 Beschäftigten betreibt seit Dezember 2023 eine interne Meldestelle, die dem Leiter der Rechtsabteilung zugeordnet ist. Am 4. Mai geht dort die Meldung einer Sachbearbeiterin aus dem Einkauf ein. Sie schildert, dass ein Abteilungsleiter seit zwei Jahren Aufträge an einen Lieferanten vergibt, dessen Geschäftsführer sein Schwager ist, und dass dessen Preise regelmäßig über dem Marktniveau liegen.

Der Leiter der Rechtsabteilung ist im Urlaub, eine Vertretung ist nicht benannt. Er liest die Meldung am 26. Mai und bestätigt den Eingang am selben Tag. Die Sieben-Tage-Frist des § 17 Abs. 1 Nr. 1 HinSchG ist damit um 15 Tage überschritten. In einer Sitzung der Bereichsleiter am 28. Mai spricht er den Vorgang unter Nennung des Namens der Sachbearbeiterin an. Drei der fünf Anwesenden hatten mit der Prüfung nichts zu tun. Ende Juni wird der Sachbearbeiterin die Zuständigkeit für den betroffenen Lieferantenkreis entzogen, weil sie nun als befangen gilt. Sie klagt und beruft sich auf § 36 HinSchG.

Die Lage des Unternehmens ist an drei Stellen angreifbar. Die Fristverletzung ist zwar nicht selbst bußgeldbewehrt, belegt aber die Untauglichkeit der Organisation. Die Namensnennung erfüllt den Tatbestand des § 40 Abs. 3 HinSchG, weil die Identität Personen bekannt wurde, die weder für die Entgegennahme noch für Folgemaßnahmen zuständig waren, mit einem Rahmen von 50.000 Euro und über § 30 Abs. 2 Satz 3 OWiG für das Unternehmen bis zu 500.000 Euro. Und der Aufgabenentzug ist eine Benachteiligung, für die nach § 36 Abs. 2 HinSchG die Repressalienvermutung streitet. Nach den Maßstäben des Bundesarbeitsgerichts vom 4. Dezember 2025 (2 AZR 51/25) wäre für die Widerlegung eine vor der Meldung dokumentierte Entscheidungsgrundlage erforderlich. Die gibt es hier nicht.

Vermeidbar gewesen wäre der Vorgang durch drei Maßnahmen: eine benannte Urlaubsvertretung für das Meldepostfach, eine Berichtsroutine ohne Klarnamen und ein Vier-Augen-Prinzip für die betroffenen Vergaben, statt die meldende Person aus ihrem Aufgabengebiet zu nehmen.

Was Sie jetzt tun sollten

1. Innerhalb einer Woche: Senden Sie eine Testmeldung an den eigenen Kanal. Bleibt die Eingangsbestätigung binnen sieben Tagen aus, funktioniert Ihr System nicht, gleichgültig was im Organisationshandbuch steht.
2. Innerhalb von zwei Wochen: Benennen Sie die zuständige Person und mindestens eine Vertretung schriftlich, mit Regelung für Urlaub und Krankheit, und prüfen Sie dabei die Interessenkonflikte nach § 15 Abs. 1 HinSchG.
3. Innerhalb von vier Wochen: Legen Sie eine Verfahrensanweisung vor, die die Fristen aus § 17 HinSchG, die Folgemaßnahmen nach § 18 HinSchG, die Dokumentation nach § 11 HinSchG und die Löschung nach drei Jahren abbildet, und ergänzen Sie den Katalog der meldefähigen Verstöße um § 2 Abs. 1 Nr. 10 HinSchG.
4. Innerhalb von sechs Wochen: Veröffentlichen Sie die Informationen über die externen Meldeverfahren nach § 13 Abs. 2 HinSchG so, dass jede beschäftigte Person sie ohne Nachfrage findet.
5. Vor jeder Personalmaßnahme: Prüfen Sie, ob die betroffene Person in den vergangenen Jahren gemeldet hat. Wenn ja, dokumentieren Sie die Gründe der Maßnahme vollständig und datiert, bevor Sie sie umsetzen.
6. Bei Konzernstrukturen: Prüfen Sie, ob jede Tochtergesellschaft mit mindestens 50 Beschäftigten eine eigene ansprechbare Stelle hat.

Die häufigsten Fehler

• Die Meldestelle existiert nur auf dem Papier. Ein Postfach ohne benannte Vertretung ist im Urlaub tot. Folge: Fristverletzung nach § 17 HinSchG und ein Beleg für die Untauglichkeit der Organisation im späteren Prozess.
• Die Vertraulichkeit wird intern gebrochen. Der Name fällt im Führungskreis, um Zuständigkeiten zu klären. Folge: Ordnungswidrigkeit nach § 40 Abs. 3 HinSchG mit einem Rahmen von 50.000 Euro.
• Die Rückmeldung nach drei Monaten unterbleibt, weil man den Abschluss der Untersuchung abwartet. Folge: Die hinweisgebende Person darf sich nach § 7 Abs. 1 Satz 3 HinSchG extern wenden.
• Die meldende Person wird zum eigenen Schutz umgesetzt. Gut gemeint, rechtlich riskant. Folge: Benachteiligung mit Vermutungswirkung nach § 36 Abs. 2 HinSchG.
• Die Konzernmeldestelle ist der einzige Kanal. Folge: Bußgeldrisiko nach § 40 Abs. 2 Nr. 2 HinSchG, solange die Auslegung des § 14 Abs. 1 HinSchG europarechtlich ungeklärt ist.
• Der Betriebsrat wird übergangen. Folge: Das Verfahren ist mitbestimmungswidrig und angreifbar, § 87 Abs. 1 Nr. 1 und Nr. 6 BetrVG.
• Die Dokumentation wird nie gelöscht. Folge: Verstoß gegen § 11 Abs. 5 HinSchG und ein Datenschutzrisiko.
• Der Meldungskatalog steht auf dem Stand von 2023. Folge: Meldungen zur KI-Verordnung nach § 2 Abs. 1 Nr. 10 HinSchG werden nicht als geschützte Meldungen erkannt.

Anwaltliche Unterstützung

Der Aufbau einer Meldestelle ist keine juristische Kunst. Die Schwierigkeit beginnt bei der ersten ernsten Meldung, wenn Aufklärungspflicht, Vertraulichkeit, arbeitsrechtliche Reaktion und strafrechtliches Risiko gleichzeitig zu bedienen sind.

Rechtsanwalt Dr. Holger Traub berät Unternehmen bei der Einrichtung und Prüfung interner Meldestellen, übernimmt die Funktion des betrauten Dritten nach § 14 Abs. 1 HinSchG und begleitet interne Untersuchungen mit wirtschaftsstrafrechtlichem Einschlag. Gute Beratung verschafft Ihnen binnen weniger Tage Klarheit darüber, ob Fristen bereits verletzt sind, sie legt fest, wer wann was erfahren darf, und sie trennt die Aufklärung des Sachverhalts von der Verteidigung gegen mögliche Vorwürfe, bevor beides in einer Akte zusammenfällt.

Quellen

• Hinweisgeberschutzgesetz vom 31. Mai 2023 (BGBl. 2023 I Nr. 140), zuletzt geändert durch Artikel 2 des Gesetzes vom 22. Juli 2026 (BGBl. 2026 I Nr. 223), dort §§ 2, 7, 8, 11 bis 17, 19, 33, 36 bis 38, 40, 42
• § 30 Abs. 2 Satz 3 OWiG, § 87 Abs. 1 Nr. 1 und Nr. 6 BetrVG
• Richtlinie (EU) 2019/1937 vom 23. Oktober 2019, Verordnung (EU) 2024/1689 (KI-Verordnung)
• Verordnung über die Zuständigkeit für die Verfolgung und Ahndung von Ordnungswidrigkeiten nach dem Hinweisgeberschutzgesetz (HinSchGOWiZustV)
• EuGH, Urteil vom 6. März 2025, Rs. C-149/23 (Europäische Kommission gegen Bundesrepublik Deutschland)
• BAG, Urteil vom 4. Dezember 2025, 2 AZR 51/25
• LAG Niedersachsen, Urteil vom 11. November 2024, 7 SLa 306/24
• ArbG Koblenz, Urteil vom 20. November 2025, 6 Ca 2023/25
• Externe Meldestelle des Bundes, Jahresbericht 2023, BT-Drs. 20/11480
• Bundesamt für Justiz, Mitteilung vom 29. September 2025 zum Jahresbericht 2024 der externen Meldestelle des Bundes