Ashio whistleblowing software

Sep 26, 2026

HinSchG bei 50 Mitarbeitern: Diese Pflichten gelten für Unternehmen

Der Compliance-Beauftragte überprüft die Fristen einer Whistleblower-Meldung

Ja, Unternehmen mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle nach dem Hinweisgeberschutzgesetz einrichten, das ergibt sich aus §12 HinSchG. Wichtig sind dabei §14 zur Organisationsform, §16 zu den Meldekanälen und §40 zu den Bußgeldern. Für Betriebe zwischen 50 und 249 Beschäftigten galt eine verlängerte Frist bis zum 17. Dezember 2023, während das Gesetz grundsätzlich seit dem 2. Juli 2023 gilt. Ausnahmen betreffen unter anderem die Finanzbranche, und kleinere Unternehmen dieser Größe können sich eine Meldestelle teilen.

Kurz gesagt:

  • Unternehmen mit durchschnittlich mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten, wobei saisonale Schwankungen berücksichtigt werden.
  • Für Betriebe zwischen 50 und 249 Beschäftigten galt eine verlängerte Frist bis zum 17. Dezember 2023, die Pflicht besteht grundsätzlich seit dem 2. Juli 2023.
  • Die Meldestelle muss den Meldungseingang innerhalb von sieben Tagen bestätigen und innerhalb von drei Monaten eine Rückmeldung geben, um Bußgelder und Sanktionen zu vermeiden.
  • Bei der Umsetzung ist eine unabhängige Stelle außerhalb der Personalabteilung, klare Fristenkontrollen und ein strukturierter Prozess essenziell.
  • Besonders kleine Unternehmen sollten frühzeitig eine datenschutzkonforme, automatisierte Lösung in Betracht ziehen, um die gesetzlichen Vorgaben zuverlässig zu erfüllen.
Ashio
Hinweise sicher und anonym erfassen
Ashio unterstützt Unternehmen mit einem sicheren Meldekanal, Identitätsschutz und einem Dashboard zur Verwaltung von Meldungen.
Ashio kennenlernen

Inhaltsverzeichnis

Wer genau ist betroffen? Anwendungsbereich und Ausnahmen nach HinSchG

Der Gesetzestext spricht von Beschäftigungsgebern mit „in der Regel mindestens 50 Beschäftigten“. Das ist keine Momentaufnahme am Stichtag, sondern ein Durchschnittswert über einen längeren Zeitraum, der auch saisonale Schwankungen berücksichtigt. Ein Unternehmen mit 48 Festangestellten und regelmäßig zehn Aushilfen in der Hochsaison liegt damit häufig schon über der Schwelle, so regelt es §12 HinSchG.

Manche Branchen unterliegen der Pflicht unabhängig von der Mitarbeiterzahl. Dazu zählen:

  • Wertpapierdienstleister und Wertpapierinstitute
  • Kapitalverwaltungsgesellschaften
  • Kreditinstitute und Versicherungsunternehmen

Bei Konzernen stellt sich oft die Frage, ob die Beschäftigtenzahlen der Tochtergesellschaften zusammengerechnet werden müssen. Das hängt von der konkreten Konzernstruktur ab und sollte im Zweifel arbeitsrechtlich geprüft werden, denn eine pauschale Aussage verbietet sich hier. Wer als Compliance-Verantwortlicher in einer Unternehmensgruppe arbeitet, findet dazu vertiefende Hinweise etwa im Leitfaden zu Compliance-Strukturen im Konzern.

Welche Pflichten, Fristen und Sanktionen gelten konkret?

Das Gesetz verlangt klare Reaktionszeiten. Eine Meldestelle muss den Eingang einer Meldung binnen sieben Tagen bestätigen und dem Hinweisgeber innerhalb von drei Monaten eine Rückmeldung zu den eingeleiteten Maßnahmen geben, so schreibt es §16 HinSchG für die Meldekanäle vor. Diese Fristen sind keine Empfehlung, sondern eine gesetzliche Erwartung an den Ablauf.

Zwei Stichtage bestimmen die Umsetzung: Das HinSchG trat am 2. Juli 2023 in Kraft, für Unternehmen mit 50 bis 249 Beschäftigten galt eine Übergangsfrist bis zum 17. Dezember 2023, wie die IHK Cottbus zusammenfasst.

Wer die Pflicht ignoriert, riskiert mehr als ein Verwaltungsproblem:

  • Bußgelder nach §40 HinSchG bei fehlender oder mangelhafter Meldestelle
  • Sanktionen auch bei Verstößen gegen die Vertraulichkeit der Meldung
  • Dokumentationspflichten während laufender Ermittlungen, die im Streitfall den Nachweis ordnungsgemäßen Handelns liefern

Praktische Schritte: So richten Sie eine gesetzeskonforme interne Meldestelle ein

Die Umsetzung lässt sich in klar abgrenzbare Schritte gliedern, die sich in den meisten Betrieben mit überschaubarem Aufwand durchführen lassen.

  1. Zuständige Stelle benennen: Wählen Sie eine neutrale Einheit, etwa Compliance oder Rechtsabteilung. Die Personalabteilung allein ist ungeeignet, weil sie in Interessenkonflikte geraten kann, etwa wenn sich eine Meldung gegen HR-Entscheidungen selbst richtet.
  2. Meldekanäle aufbauen: Nach §16 HinSchG müssen vertrauliche Kanäle eingerichtet werden, anonyme Meldewege sind zulässig, aber nicht zwingend vorgeschrieben.
  3. Prozess definieren: Eingang dokumentieren, binnen sieben Tagen bestätigen, Sachverhalt untersuchen, innerhalb von drei Monaten Rückmeldung geben.
  4. Fristen überwachen: Ein einfaches Kalendersystem reicht oft nicht, gerade bei mehreren parallelen Fällen braucht es eine strukturierte Fristenkontrolle.
  5. Testläufe durchführen: Simulieren Sie eine Meldung, bevor der echte Betrieb startet, um Lücken im Ablauf zu erkennen.

Profi-Tipp: Legen Sie vor dem ersten echten Fall eine schriftliche Checkliste mit Zuständigkeiten fest, denn im Ernstfall zählt jeder Tag der Sieben-Tage-Frist.

Eine kurze interne Checkliste hilft bei der Einführung: Zuständigkeiten schriftlich festhalten, alle Führungskräfte schulen, einen Kommunikationsplan für die Belegschaft entwickeln und die ersten Testmeldungen protokollieren.

Organisatorische Optionen: intern, extern oder gemeinsame Meldestelle

Unternehmen haben bei der Ausgestaltung drei praktikable Wege.

  • Interne Meldestelle: Volle Kontrolle über den Prozess, aber Risiko von Interessenkonflikten, wenn die Zuständigkeit bei HR statt bei Compliance liegt.
  • Externer Dienstleister: Entlastet den operativen Alltag, doch die rechtliche Pflicht zur Beseitigung eines Verstoßes bleibt beim Arbeitgeber selbst, das legt §14 Absatz 1 fest.
  • Gemeinsame Meldestelle: Für Betriebe zwischen 50 und 249 Beschäftigten erlaubt §14 Absatz 2 eine geteilte Meldestelle mehrerer Arbeitgeber, was Kosten spart, aber klare vertragliche Regeln zur Verantwortlichkeit verlangt.

Wer unsicher ist, welche Person oder Stelle die Rolle übernehmen darf, findet dazu vertiefende Hinweise in unserem Beitrag zu wer als interne Meldestelle fungieren kann.

Datenschutz, Dokumentation und Löschkonzept: was DSGVO-konform sein muss

Eine Meldestelle verarbeitet hochsensible personenbezogene Daten, und die Datenschutzgrundsätze gelten hier besonders streng.

  • Nur die Daten erheben, die für die Bearbeitung des konkreten Falls notwendig sind
  • Zugriff strikt auf die zuständige Stelle beschränken, niemals auf die gesamte Personalabteilung
  • Speicherung an einem Ort mit anerkanntem Datenschutzniveau sicherstellen

Die Praxis empfiehlt, personenbezogene Daten nach Abschluss der Untersuchung zeitnah zu löschen, üblich sind rund zwei Monate, sofern keine rechtlichen Gründe wie ein laufendes Verfahren dagegensprechen, wie die GDD-Praxishilfe darstellt. Datenschutzbehörden warnen ausdrücklich davor, die Meldestelle organisatorisch bei HR anzusiedeln, und fordern ein dokumentiertes Löschkonzept sowie klare Zugriffsbeschränkungen, so die Orientierungshilfe des BfDI. Ergänzend braucht es eine unveränderbare, nachvollziehbare Dokumentation aller Schritte, damit sich der ordnungsgemäße Ablauf im Streitfall gegenüber Behörden belegen lässt.

Praxis-Tipps und häufige Fehler bei der Umsetzung

In vielen Projekten wiederholen sich dieselben Fehler: die Meldestelle wird bei HR angesiedelt, ein Löschkonzept fehlt komplett, niemand testet den Prozess vor dem ersten echten Fall, und die Belegschaft erfährt erst durch Zufall von der neuen Anlaufstelle.

Bewährt hat sich das Gegenteil: eine unabhängige Zuständigkeit außerhalb der Personalabteilung, regelmäßige Testmeldungen, klare Schulungen für Führungskräfte und ein technisches System, das jede Fallbearbeitung lückenlos protokolliert.

Profi-Tipp: Ein Audit-Trail, der jeden Bearbeitungsschritt automatisch dokumentiert, erspart im Ernstfall aufwendige Rekonstruktionen und schützt gleichzeitig vor dem Vorwurf mangelnder Sorgfalt.

Genau an dieser Stelle setzen spezialisierte Werkzeuge wie Ashio an: anonyme Meldewege, eine durchgehende Statusverfolgung für Hinweisgeber und ein automatisch geführter Audit-Trail nehmen den operativen Druck aus der täglichen Fallbearbeitung.

Praxis-Tipps und häufige Fehler bei der Umsetzung — overview diagram

Kurzperspektive: Strategischer Nutzen einer frühzeitigen Umsetzung

Wer die Meldestelle früh und sauber aufsetzt, senkt nicht nur das Bußgeldrisiko. Er sendet auch ein Signal nach innen: Beschwerden werden ernst genommen, und das stärkt das Vertrauen der Belegschaft, lange bevor eine Aufsichtsbehörde überhaupt danach fragt.

Ashio als Option: sachlich und handlungsorientiert

Wer die interne Kapazität für eine revisionssichere Meldestelle nicht aufbauen möchte oder mit einem Partnerunternehmen eine gemeinsame Lösung nach §14 Absatz 2 sucht, findet eine Lösung, die auf die beschriebenen Pflichten ausgelegt ist. Solche Plattformen bieten typischerweise Anonymität ohne IP-Tracking und ohne Identitätsdaten der Hinweisgeber, einen vollständigen, unveränderbaren Audit-Trail für die Nachweisführung gegenüber Behörden, automatische Fristenüberwachung für die Sieben-Tage- und Drei-Monats-Fristen sowie DSGVO-konforme Datenspeicherung in zertifizierten Rechenzentren.

Besonders für kleinere Unternehmen kurz unter der 50er-Schwelle lohnt sich der frühe Blick auf eine solche Lösung, denn Wachstum verschiebt die Pflicht schneller als viele erwarten. Wer heute schon prüft, wie sich ein Hinweisgebersystem im eigenen Betrieb einrichten lässt, steht bei Erreichen der Schwelle nicht unter Zeitdruck. Details zum Basic-Angebot und den Einstieg finden Sie direkt auf Ashio.

Ashio als Option: sachlich und handlungsorientiert — overview diagram

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

Quellen

FAQ

Was besagt Paragraph 12 des HinSchG?

Paragraph 12 des HinSchG verpflichtet Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten zur Einrichtung und zum Betrieb einer internen Meldestelle. Die Zahl bezieht sich auf einen Durchschnittswert über einen längeren Zeitraum und nicht auf eine einmalige Zählung, wie der Gesetzestext festlegt.

Wer braucht ein Hinweisgebersystem?

Grundsätzlich jedes Unternehmen mit in der Regel mindestens 50 Beschäftigten, unabhängig von der Branche. Zusätzlich sind bestimmte Finanzunternehmen wie Kreditinstitute und Wertpapierdienstleister unabhängig von ihrer Mitarbeiterzahl verpflichtet.

Was besagt Paragraph 16 des HinSchG?

Paragraph 16 des HinSchG schreibt vor, dass interne Meldestellen Meldekanäle einrichten müssen, über die Beschäftigte Verstöße melden können. Anonyme Meldungen sind dabei möglich, aber gesetzlich nicht zwingend vorgeschrieben.

Was besagt Paragraph 15 des HinSchG?

§16 HinSchG regelt die Verfahrensvorgaben für interne Meldestellen, insbesondere die Bestätigung des Eingangs einer Meldung binnen sieben Tagen und die Rückmeldung über eingeleitete Maßnahmen innerhalb von drei Monaten. Diese Fristen dienen dem Schutz des Hinweisgebers und der Nachvollziehbarkeit des Verfahrens.

Empfehlungen