HinSchG-Umsetzungsplan: In 8 Schritten zur rechtssicheren Meldestelle

Ein belastbarer Umsetzungsplan für das Hinweisgeberschutzgesetz klärt vier Dinge: wer die interne Meldestelle besetzt, über welchen Kanal Hinweise eingehen, wie die gesetzlichen Fristen sicher eingehalten werden und wie Sie die Belegschaft so informieren, dass sie dem Kanal vertraut. Unten finden Sie den Plan in acht Schritten, mit Zuständigkeiten, Paragrafen und den Fehlern, die in der Praxis am häufigsten auftreten. Er eignet sich für den Mittelständler, der jetzt erst startet, genauso wie für Unternehmen, deren Meldestelle seit 2023 läuft und die prüfen wollen, ob sie einer Kontrolle standhält.

TL;DR

• Pflicht ab 50 Beschäftigten, im Finanzsektor unabhängig von der Größe. Bußgelder für eine fehlende Meldestelle drohen seit dem 1. Dezember 2023.
• Der Kern jedes Plans: unabhängige, fachkundige Meldestelle, vertraulicher Kanal, Eingangsbestätigung binnen 7 Tagen, Rückmeldung binnen 3 Monaten, saubere Dokumentation.
• Den Betriebsrat früh einbinden: Über das „Ob“ entscheiden Sie allein, bei der Ausgestaltung hat er mitzureden.
• Im Konzern darf eine zentrale Stelle die Meldungen bearbeiten, die Pflicht zur Abhilfe bleibt aber bei jeder Tochter.
• Der häufigste Fehler ist kein technischer: Ein Kanal, den niemand kennt oder dem niemand traut, schützt weder Hinweisgeber noch Unternehmen.

Inhaltsverzeichnis

• Wer umsetzen muss und was 2026 gilt
• Der Umsetzungsplan in acht Schritten
• Welche Variante zum Mittelstand passt
• Die Konzernlösung: zentral bearbeiten, lokal verantworten
• Typische Fehler bei der Umsetzung
• Unsere Sicht: Ein Hinweisgebersystem ist ein Vertrauensversprechen
• Den Plan mit Ashio umsetzen
• Häufige Fragen zur HinSchG-Umsetzung
• Quellen

Wer umsetzen muss und was 2026 gilt

Das Hinweisgeberschutzgesetz ist am 2. Juli 2023 in Kraft getreten. Es setzt die EU-Richtlinie 2019/1937 in deutsches Recht um. Für die Umsetzungsplanung zählen vor allem diese Eckpunkte:

• Wer verpflichtet ist: Nach § 12 HinSchG müssen Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten eine interne Meldestelle einrichten und betreiben. Bestimmte Unternehmen, etwa Wertpapierdienstleister, Kreditinstitute und Versicherer, sind nach § 12 Abs. 3 unabhängig von der Beschäftigtenzahl verpflichtet.
• Übergangsfristen sind abgelaufen: Unternehmen mit 50 bis 249 Beschäftigten hatten bis zum 17. Dezember 2023 Zeit. Seit dem 1. Dezember 2023 kann eine fehlende Meldestelle mit Bußgeld geahndet werden (§ 42 HinSchG).
• Was es kostet, nichts zu tun: Wer keine interne Meldestelle einrichtet oder betreibt, riskiert nach § 40 HinSchG bis zu 20.000 Euro. Wer eine Meldung behindert, Repressalien ergreift oder die Vertraulichkeit verletzt, riskiert bis zu 50.000 Euro; über § 30 OWiG kann der Rahmen für Unternehmen deutlich höher ausfallen. Zuständig für die Geldbußen nach dem Hinweisgeberschutzgesetz ist das Bundesamt für Justiz.

Ein Punkt wird oft übersehen: Hinweisgeber haben die freie Wahl. Sie können sich intern melden oder direkt an eine externe Stelle wenden, etwa an die externe Meldestelle des Bundes beim Bundesamt für Justiz, an die BaFin oder an das Bundeskartellamt. Das Gesetz erwartet, dass Sie Anreize schaffen, damit Beschäftigte zuerst den internen Weg wählen. Ihr Umsetzungsplan entscheidet also mit darüber, ob ein Problem bei Ihnen landet oder bei einer Behörde.

Der Umsetzungsplan in acht Schritten

Rechnen Sie für einen mittelständischen Betrieb mit vier bis acht Wochen, wenn die Entscheidungen zügig fallen. Der größte Zeitfresser ist selten die Technik, sondern die Abstimmung mit Geschäftsführung, Betriebsrat und Datenschutz.

Schritt 1: Betroffenheit und Projektverantwortung klären

Zählen Sie die Beschäftigten nach dem Maßstab „in der Regel“, nicht nach einem Stichtag mit Ausreißern. Prüfen Sie außerdem, ob Sie unter die Branchenregeln des § 12 Abs. 3 fallen. Benennen Sie dann eine Projektverantwortliche, typischerweise aus Compliance, Recht oder Personal, und ein kleines Kernteam. Ohne klares Mandat der Geschäftsführung bleibt das Projekt erfahrungsgemäß in der Abstimmungsschleife hängen.

Schritt 2: Betriebsrat und Datenschutz an den Tisch holen

Ob Sie eine Meldestelle einrichten, entscheiden Sie nicht gemeinsam mit dem Betriebsrat, denn das schreibt das Gesetz vor. Bei der Ausgestaltung, etwa bei Verhaltensregeln oder technischen Meldesystemen, hat der Betriebsrat nach verbreiteter Auffassung Mitbestimmungsrechte, nicht aber bei der personellen Besetzung der Meldestelle. Eine Betriebsvereinbarung schafft hier Klarheit. Parallel prüft Ihr Datenschutzbeauftragter Rechtsgrundlage, Auftragsverarbeitung, Löschkonzept und, je nach Umfang, eine Datenschutz-Folgenabschätzung.

Schritt 3: Das Betreibermodell wählen

Sie haben drei Grundmodelle: eine interne Meldestelle mit eigenen Leuten, die Beauftragung eines Dritten (etwa einer externen Ombudsperson) oder eine Kombination. § 14 HinSchG erlaubt ausdrücklich, Dritte mit den Aufgaben der Meldestelle zu betrauen. Welche Variante zu Ihrer Größe passt, zeigt die Tabelle weiter unten. Wer die Stelle besetzen darf, haben wir ausführlich in unserem Beitrag wer interne Meldestelle sein kann erklärt.

Schritt 4: Unabhängige und fachkundige Personen benennen

Nach § 15 HinSchG arbeiten die Personen in der Meldestelle unabhängig und müssen über die nötige Fachkunde verfügen. Sie dürfen andere Aufgaben haben, solange daraus kein Interessenkonflikt entsteht. Praktisch heißt das: Wer selbst Gegenstand typischer Meldungen sein kann, etwa die Geschäftsführung oder die Personalleitung bei HR-Themen, ist eine schlechte Wahl. Benennen Sie mindestens eine Vertretung, damit die 7-Tage-Frist auch im Urlaub hält, und planen Sie eine Schulung ein.

Schritt 5: Meldekanal und Zugriffsrechte einrichten

§ 16 HinSchG verlangt Meldungen in mündlicher oder in Textform; auf Wunsch ist auch ein persönliches Gespräch zu ermöglichen. Nur die zuständigen Personen dürfen Zugriff auf die eingehenden Meldungen haben. Anonyme Meldungen „sollte“ die Meldestelle bearbeiten; eine Pflicht, anonyme Kanäle bereitzustellen, gibt es nicht. Aus unserer Sicht ist ein anonymer Kanal mit Rückkanal trotzdem der wichtigste Hebel für Vertrauen. Ein Kanal, der IP-Adressen speichert oder Cookies setzt, untergräbt genau dieses Versprechen. Worauf es dabei technisch ankommt, beschreiben wir auf unserer Seite zum wirklich anonymen Meldekanal.

Schritt 6: Verfahren und Fristen festschreiben

Schreiben Sie eine Verfahrensordnung, die den Weg einer Meldung von der Eingangsbestätigung bis zum Abschluss beschreibt. Die Pflichtbestandteile nach § 17 HinSchG:

1. Eingang bestätigen, spätestens nach 7 Tagen.
2. Prüfen, ob der Verstoß in den sachlichen Anwendungsbereich nach § 2 fällt.
3. Kontakt mit der hinweisgebenden Person halten und bei Bedarf nachfragen.
4. Stichhaltigkeit prüfen und Folgemaßnahmen nach § 18 ergreifen, etwa interne Untersuchung, Verweis an eine zuständige Stelle oder Abschluss mangels Beweisen.
5. Innerhalb von 3 Monaten nach der Eingangsbestätigung Rückmeldung zu geplanten und ergriffenen Folgemaßnahmen geben.
6. Jede Meldung dokumentieren (§ 11) und die Dokumentation in der Regel drei Jahre nach Abschluss des Verfahrens löschen.

Legen Sie außerdem fest, wer bei Verdacht gegen ein Mitglied der Geschäftsführung entscheidet. Diese Lücke fällt meist erst im Ernstfall auf.

Schritt 7: Belegschaft informieren und schulen

Die Meldestelle muss nach § 13 HinSchG klare und leicht zugängliche Informationen über das interne Verfahren und über externe Meldewege bereitstellen. Ein Aushang am Schwarzen Brett reicht dafür selten aus. Bewährt haben sich: eine kurze Seite im Intranet und auf der Website (für Lieferanten und Bewerber, die ebenfalls geschützt sind), eine Info-Mail der Geschäftsführung, ein Modul in der Einarbeitung und eine 20-minütige Schulung für Führungskräfte. Führungskräfte müssen vor allem eines wissen: Repressalien sind nach § 36 verboten, und bei einer Benachteiligung nach einer Meldung wird vermutet, dass sie eine Repressalie ist.

Schritt 8: Testen, starten, regelmäßig prüfen

Spielen Sie vor dem Start eine Testmeldung durch: Kommt die Benachrichtigung an, läuft die Fristerinnerung, sehen nur die Berechtigten den Fall, funktioniert der Rückkanal zur meldenden Person? Nach dem Start lohnt ein jährlicher Review: Anzahl und Art der Meldungen, eingehaltene Fristen, Rückmeldungen aus der Belegschaft. Null Meldungen über ein Jahr sind meist kein Zeichen für ein fehlerfreies Unternehmen, sondern für einen Kanal, den niemand kennt.

Welche Variante zum Mittelstand passt

Für viele Mittelständler ist die Frage nicht ob, sondern wie aufwendig. Eine Studie zu den Auswirkungen des HinSchG auf die mittelständische Wirtschaft aus dem Jahr 2025 fand, dass 43 % der befragten Unternehmen bei der Umsetzung keine Probleme hatten. Für die übrigen war die Umsetzung mit Hürden verbunden. Die Wahl des Modells entscheidet, wie viel davon bei Ihnen hängen bleibt.

Unser Rat für den Mittelstand: Trennen Sie die Fragen „Wer bearbeitet?“ und „Worüber geht die Meldung ein?“. Auch eine externe Ombudsperson arbeitet besser mit einem digitalen, anonymen Kanal als mit einem Postfach. Mehr zu Kosten und Aufwand für kleinere Betriebe finden Sie in unserem Überblick zum Hinweisgebersystem für KMU. Für Banken, Versicherer und Finanzdienstleister, die schon unter 50 Beschäftigten verpflichtet sind, haben wir die Besonderheiten auf der Seite zur Hinweisgeber-Software für Finanzdienstleister zusammengefasst.

Noch ein Spartipp aus dem Gesetz: Nach § 14 Abs. 2 HinSchG können mehrere Beschäftigungsgeber mit jeweils 50 bis 249 Beschäftigten eine gemeinsame Meldestelle betreiben. Die Pflicht zur Abhilfe und zur Rückmeldung bleibt dennoch bei jedem einzelnen Unternehmen.

Die Konzernlösung: zentral bearbeiten, lokal verantworten

In Unternehmensgruppen liegt eine zentrale Meldestelle bei der Muttergesellschaft nahe. Der deutsche Gesetzgeber hat sie über § 14 Abs. 1 ermöglicht: Eine andere Konzerngesellschaft kann als „Dritter“ mit den Aufgaben der internen Meldestelle betraut werden. Das Gesetz stellt aber klar, dass die Pflicht, einen Verstoß abzustellen, beim jeweiligen Beschäftigungsgeber bleibt.

Für Ihren Umsetzungsplan heißt das:

• Beauftragung dokumentieren: Jede Tochter beauftragt die zentrale Stelle schriftlich, inklusive Vertraulichkeit und Datenschutzregelung.
• Zugang vor Ort sicherstellen: Beschäftigte müssen ohne Hürden melden können, auch in ihrer Sprache. Ein mehrsprachiges Formular mit Zuordnung zur jeweiligen Gesellschaft löst das.
• Fristen pro Gesellschaft überwachen: Die 7 Tage und 3 Monate gelten für jede einzelne Meldung, unabhängig davon, wo sie bearbeitet wird.
• Europa mitdenken: Ob die Konzernlösung mit der EU-Richtlinie vereinbar ist, wird auf europäischer Ebene diskutiert, und andere Mitgliedstaaten setzen die Richtlinie unterschiedlich um. Prüfen Sie für Töchter außerhalb Deutschlands, ob dort zusätzlich eine lokale Stelle nötig ist. Einen Überblick gibt unsere Seite zur EU-weiten Whistleblowing-Compliance.

Typische Fehler bei der Umsetzung

Meldestelle ohne Unabhängigkeit. Die Personalleitung bearbeitet Meldungen über ihr eigenes Team, oder die Geschäftsführung liest mit. Das verletzt § 15 und zerstört Vertrauen sofort.

E-Mail-Postfach als Meldekanal. Ein Sammelpostfach, auf das die IT Zugriff hat, erfüllt kaum die Vertraulichkeitsanforderung. Die Verletzung der Vertraulichkeit ist nach § 40 bußgeldbewehrt.

Fristen im Kalender statt im System. Die 7-Tage-Frist reißt typischerweise im Urlaub oder bei Krankheit. Ohne Vertretung und automatische Erinnerung ist das nur eine Frage der Zeit.

Kein Rückkanal für anonyme Melder. Ohne Möglichkeit zur Rückfrage bleiben viele anonyme Hinweise unaufklärbar, und die Rückmeldung nach drei Monaten ist gar nicht möglich.

Betriebsrat zu spät eingebunden. Wer das fertige System präsentiert, riskiert Verzögerungen und Streit. Früh einbinden spart Wochen.

Kommunikation als Pflichtübung. Ein Satz im Arbeitsvertrag oder ein PDF im Intranet ersetzt keine aktive Information. Ohne Vertrauen gehen Meldungen an externe Stellen oder gar nicht ein.

Dokumentation ohne Löschkonzept. Das Gesetz schreibt eine Dokumentation vor, aber auch deren Löschung. Beides muss nachweisbar sein.

Unsere Sicht: Ein Hinweisgebersystem ist ein Vertrauensversprechen

Wir haben Ashio gebaut, weil wir gesehen haben, wie oft Unternehmen die Pflicht erfüllen und das Ziel verfehlen. Ein Formular auf der Website ist schnell aufgesetzt. Schwer ist, dass eine Mitarbeiterin in der Logistik oder ein Lieferant tatsächlich glaubt, dass niemand herausfindet, wer gemeldet hat.

Deshalb halten wir Anonymität nicht für eine Zusatzfunktion, sondern für die Grundlage. Ein Kanal, der keine Identitätsdaten, keine IP-Adressen und keine Cookies erfasst, muss niemandem erklären, warum man ihm trauen kann. Genauso wichtig ist der Rückkanal: Wer anonym meldet und den Status seiner Meldung verfolgen kann, bleibt im Gespräch, beantwortet Rückfragen und liefert die Details, die eine Aufklärung erst möglich machen.

Für die Unternehmensseite gilt das Gegenteil von Kreativität: Fristen, Rollen und Dokumentation sollten standardisiert sein, damit niemand sie vergisst. Ein lückenloser, unveränderlicher Audit-Trail ist dabei mehr als Bürokratie. Der BVMW weist darauf hin, dass ein funktionierendes Meldesystem Teil eines Compliance-Management-Systems ist und die Geschäftsleitung entlasten kann, wenn sie nachweisen muss, ihre Aufsichtspflichten erfüllt zu haben. Diesen Nachweis führen Sie nur mit sauberer Dokumentation.

Unser Rat: Planen Sie mehr Zeit für Kommunikation als für Technik. Die Technik ist in einem Tag eingerichtet. Das Vertrauen der Belegschaft braucht Monate und jede gut bearbeitete Meldung.

Den Plan mit Ashio umsetzen

Wenn Sie die Schritte 5, 6 und 8 nicht selbst bauen wollen: Ashio liefert den anonymen Meldekanal ohne IP-Tracking, ein individuell gestaltbares Meldeformular, Statusverfolgung für Hinweisgeber, strukturierte Fallbearbeitung im Team, automatische Fristenüberwachung und einen exportierbaren Audit-Trail. Die Daten liegen DSGVO-konform in der Schweiz, in einer nach ISO 27001 zertifizierten Umgebung, und die Einrichtung kommt ohne IT-Projekt aus. Der Basic-Tarif kostet 29 € pro Monat, nach einer kostenfreien Testphase. Ashio jetzt kostenlos testen oder vorher nachlesen, wie unsere Compliance-Software für das HinSchG die gesetzlichen Anforderungen abbildet.

Häufige Fragen zur HinSchG-Umsetzung

Müssen wir anonyme Meldungen ermöglichen?

Eine Pflicht, anonyme Meldekanäle bereitzustellen, enthält das HinSchG nicht. Anonym eingehende Meldungen sollen aber bearbeitet werden. In der Praxis erhöht ein anonymer Kanal mit Rückkanal die Bereitschaft zu melden deutlich, weil Beschäftigte keine Angst vor Nachteilen haben müssen.

Was droht, wenn wir noch keine Meldestelle haben?

Nach § 40 HinSchG ist ein Bußgeld von bis zu 20.000 Euro möglich, zuständig ist das Bundesamt für Justiz. Schwerer wiegt oft, dass Hinweise dann direkt bei externen Meldestellen landen und Sie die Chance verlieren, Probleme selbst zu klären. Holen Sie die Einrichtung deshalb so schnell wie möglich nach.

Kann die Personalabteilung die interne Meldestelle sein?

Ja, wenn die beauftragten Personen unabhängig arbeiten, fachkundig sind und kein Interessenkonflikt entsteht. Bei Meldungen, die die Personalabteilung selbst betreffen, braucht es eine Vertretungsregelung. Viele Unternehmen kombinieren deshalb HR oder Compliance mit einer zweiten, unabhängigen Person.

Wie lange dauert die Umsetzung im Mittelstand?

Mit klaren Entscheidungen sind vier bis acht Wochen realistisch. Die technische Einrichtung einer Software dauert meist nur Stunden; Zeit kosten die Abstimmung mit Betriebsrat und Datenschutz, die Verfahrensordnung und die Kommunikation an die Belegschaft.

Reicht eine zentrale Meldestelle für den ganzen Konzern?

Nach deutschem Recht kann eine Konzerngesellschaft als Dritter die Meldungen für die Töchter bearbeiten. Die Verantwortung für Abhilfe und Fristen bleibt aber bei jeder Tochter. Für Gesellschaften in anderen EU-Staaten sollten Sie das dortige Umsetzungsgesetz prüfen lassen.

Quellen

• Hinweisgeberschutzgesetz (HinSchG), gesetze-im-internet.de
• Bundeskartellamt: Informationen zum Hinweisgeberschutzgesetz
• Bundesamt für Justiz: Geldbußen nach dem Hinweisgeberschutzgesetz
• Bundesamt für Justiz: Häufige Fragen zur externen Meldestelle des Bundes
• Kliemt Blog: Die interne Meldestelle und die Rechte des Betriebsrats
• BB IN-HOUSE: Studie zu den Auswirkungen des HinSchG auf die mittelständische Wirtschaft
• BVMW: Gesetze unter der Lupe, Hinweisgeberschutzgesetz

Empfehlungen

• Hinweisgeberschutzgesetz (HinSchG) 2023 — Compliance-Software für Deutschland
• Wer kann interne Meldestelle sein? Beauftragter, Anwalt, Externer