Hinweisgeberschutz: Bis zu 20.000 Euro Bußgeld
4 Min. Lesezeit
Unternehmen mit in der Regel mindestens 50 Beschäftigten müssen grundsätzlich eine interne Meldestelle für Hinweise auf Rechtsverstöße einrichten und betreiben. Wer dieser Pflicht nicht nachkommt, riskiert ein Bußgeld von bis zu 20.000 Euro. Für das Behindern einer Meldung oder für Repressalien sieht das Gesetz einen höheren Rahmen vor. Entscheidend ist auch, dass die Meldestelle Hinweise vertraulich bearbeitet und gesetzliche Fristen einhält.
Das Wichtigste in Kürze
- Die Pflicht gilt grundsätzlich ab 50 Beschäftigten. Für private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten gilt sie seit dem 17. Dezember 2023.
- Ein fehlender Meldekanal kann teuer werden. Wer eine vorgeschriebene interne Meldestelle nicht einrichtet und betreibt, riskiert bis zu 20.000 Euro Bußgeld.
- Für die Bearbeitung gelten Fristen. Die interne Meldestelle bestätigt den Eingang spätestens nach sieben Tagen und gibt grundsätzlich innerhalb von drei Monaten nach der Bestätigung Rückmeldung.
Für wen die Meldepflicht gilt
Das Hinweisgeberschutzgesetz verpflichtet Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, eine interne Meldestelle einzurichten und zu betreiben. Für bestimmte Beschäftigungsgeber etwa im Finanzbereich gilt die Pflicht unabhängig von der Beschäftigtenzahl. Bei der Einordnung kommt es daher auch auf die Tätigkeit des Unternehmens an.
Für private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten begann die Pflicht am 17. Dezember 2023. Das Gesetz trat grundsätzlich bereits am 2. Juli 2023 in Kraft. Eine allgemeine zweijährige Schonfrist bis zum Frühjahr 2026 sieht es nicht vor.
Was ist eine interne Meldestelle? Sie nimmt Hinweise auf Verstöße im beruflichen Zusammenhang entgegen und bearbeitet sie nach den Vorgaben des Gesetzes. Der sachliche Anwendungsbereich umfasst insbesondere Straftaten und bestimmte weitere Rechtsverstöße. Welche Hinweise darunterfallen, regelt § 2 HinSchG.
Welche Bußgelder das Gesetz vorsieht
Wer entgegen der Pflicht keine interne Meldestelle einrichtet und betreibt, begeht eine Ordnungswidrigkeit. Dafür sieht § 40 HinSchG eine Geldbuße von bis zu 20.000 Euro vor. Das ist ein gesetzlicher Höchstbetrag und keine Aussage darüber, welcher Betrag in einem konkreten Verfahren festgesetzt wird.
Für andere Verstöße gilt ein Rahmen von bis zu 50.000 Euro. Dazu gehören etwa das Behindern einer Meldung und das Ergreifen einer Repressalie. Richtet sich die Geldbuße gegen ein Unternehmen, verweist § 40 Abs. 6 HinSchG für Behinderung, Repressalien und Verstöße gegen das Vertraulichkeitsgebot auf § 30 Abs. 2 Satz 3 OWiG. Der Höchstbetrag verzehnfacht sich damit auf bis zu 500.000 Euro.
Wie die Meldestelle arbeiten muss
Meldungen müssen mündlich oder in Textform möglich sein. Auf Wunsch der hinweisgebenden Person ist innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft zu ermöglichen. Die Identität der hinweisgebenden Person und weiterer gesetzlich geschützter Personen ist nach den Vorgaben des HinSchG vertraulich zu behandeln.
Die interne Meldestelle bestätigt den Eingang spätestens nach sieben Tagen. Sie prüft unter anderem, ob der gemeldete Verstoß in den Anwendungsbereich fällt und ob der Hinweis stichhaltig ist. Innerhalb von drei Monaten nach der Eingangsbestätigung gibt sie grundsätzlich Rückmeldung über geplante und bereits ergriffene Folgemaßnahmen sowie deren Gründe. Das Gesetz begrenzt die Rückmeldung, wenn sie Nachforschungen oder Rechte betroffener Personen beeinträchtigen würde. Wird der Eingang nicht bestätigt, gilt für die Rückmeldung eine Frist von spätestens drei Monaten und sieben Tagen nach Eingang.
Unternehmen können eigene Beschäftigte oder Dritte mit den Aufgaben der internen Meldestelle betrauen. Die zuständigen Personen müssen bei ihrer Tätigkeit unabhängig sein und über die notwendige Fachkunde verfügen. Weitere Aufgaben sind möglich, sofern sie nicht zu Interessenkonflikten führen.
Was die Geschäftsführung prüfen sollte
Ein erster Schritt ist die Prüfung, ob die Pflicht für den jeweiligen Beschäftigungsgeber gilt und ob der vorgesehene Meldeweg erreichbar ist. Anschließend sollte geklärt sein, wer Meldungen entgegennimmt, wie die Vertraulichkeit gewahrt wird und wer bei Abwesenheit die Bearbeitung übernimmt.
Ebenso gehört die Fristenkontrolle in den Ablauf: Eingang bestätigen, den Hinweis prüfen, Folgemaßnahmen festlegen und rechtzeitig Rückmeldung geben. Ein Test des Meldewegs und dokumentierte Zuständigkeiten können helfen, Lücken zu erkennen. Das Gesetz schreibt dafür kein allgemeines jährliches Audit vor.
Hinweisgebende Personen können zwischen einer internen und einer externen Meldung wählen. Zu den externen Anlaufstellen gehört die Meldestelle des Bundes beim Bundesamt für Justiz. Unternehmen müssen zudem klare und leicht zugängliche Informationen über externe Meldeverfahren bereitstellen.
Häufige Fragen
Dürfen Unternehmen eine externe Stelle beauftragen?
Ja. Das HinSchG erlaubt, einen Dritten mit den Aufgaben einer internen Meldestelle zu betrauen. Die Verantwortung des Beschäftigungsgebers dafür, geeignete Maßnahmen zu ergreifen, um einen Verstoß abzustellen, bleibt davon unberührt.
Muss die Meldestelle anonyme Hinweise bearbeiten?
Das Gesetz sieht vor, dass die interne Meldestelle auch anonym eingehende Meldungen bearbeiten sollte. Eine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen, besteht nach dem HinSchG nicht.
Welche Frist gilt für die Rückmeldung?
Die interne Meldestelle gibt innerhalb von drei Monaten nach der Eingangsbestätigung Rückmeldung. Bleibt die Bestätigung aus, muss die Rückmeldung spätestens drei Monate und sieben Tage nach Eingang erfolgen. Inhalt und Umfang unterliegen den gesetzlichen Einschränkungen zum Schutz von Nachforschungen und Rechten betroffener Personen.
Weiterlesen auf MyBusinessFuture
MyBusinessFutureDORA-TLPT: Stresstests, die Banken gerade nicht bestehenMyBusinessFutureMicrosoft-Stack-Lücke im MittelstandMyBusinessFutureSAP-BPC: Die SQL-Hintertür in der QuartalsbilanzMehr aus dem MBF Media Netzwerk
cloudmagazinCloudflare Containers: Wenn Workers zu klein sindDigital ChiefsDie 40-Prozent-Frage: Wo das KI-Budget wirklich herkommtSecurityTodayNIS2-Audit: Wo die Vendor-Liste in zwei Stunden zerbrichtBildquelle: KI-generiert (November 2026)
