Ashio whistleblowing software

Hinweisgeberschutzgesetz: Pflichten ab 50 Mitarbeitern

Recommended Image

Ja: Unternehmen mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten. Das schreibt § 12 des Hinweisgeberschutzgesetzes (HinSchG) vor, das die EU-Richtlinie 2019/1937 in deutsches Recht überführt. Für Betriebe mit 250 oder mehr Beschäftigten galt die Pflicht bereits ab dem 2. Juli 2023. Kleinere Unternehmen mit 50 bis 249 Beschäftigten erhielten eine Übergangsfrist bis zum 17. Dezember 2023.

Wer diese Frist verpasst hat, riskiert kein sofortiges Bußgeld, muss aber jederzeit mit einer Kontrolle rechnen. Sanktionen nach § 40 HinSchG greifen, sobald eine Meldestelle fehlt oder Meldungen nicht ordnungsgemäß bearbeitet werden.

Kurz zusammengefasst:

  • Pflicht besteht ab in der Regel 50 Beschäftigten (Kopfzahl, nicht Vollzeitäquivalente)

  • Fristen: 02.07.2023 für ≥250 Beschäftigte, 17.12.2023 für 50–249 Beschäftigte

  • Externe Alternative: das Bundeskartellamt fungiert als zentrale externe Meldestelle

  • Umsetzung intern möglich über eigenes Personal oder spezialisierte Software wie Ashio

Bußgeldrahmen: Verstöße gegen die Einrichtungspflicht oder gegen das Repressalienverbot können nach § 40 HinSchG mit Geldbußen geahndet werden. Die genaue Höhe hängt vom Einzelfall ab, das Risiko selbst ist real und wächst mit jedem Monat ohne funktionierende Meldestelle.

Wichtige Erkenntnisse

Die Pflicht zur internen Meldestelle gilt für Unternehmen ab in der Regel 50 Beschäftigten nach Kopfzahl, mit klaren Fristen, Dokumentationspflichten und Schutz vor Repressalien.

Thema Details
Schwellenwert prüfen Zählen Sie Köpfe, nicht Vollzeitstellen, inklusive Teilzeit, Azubis und Werkstudierenden.
Fristen einhalten 02.07.2023 für ≥250 Beschäftigte, 17.12.2023 für 50–249 Beschäftigte, beide bereits abgelaufen.
Dokumentation priorisieren Protokollieren Sie jeden Bearbeitungsschritt lückenlos, das schützt bei Prüfungen und Streitfällen.
Gemeinsame Stelle prüfen Unternehmen mit 50–249 Beschäftigten können sich zu einer gemeinsamen Meldestelle zusammenschließen.
Passende Lösung wählen Ashio bietet anonyme Meldekanäle ohne IP-Tracking, Audit-Trail und Fristenüberwachung für die Umsetzung.

Inhaltsverzeichnis

Wer fällt unter das Hinweisgeberschutzgesetz bei 50 Mitarbeitern?

Die Zählung ist einfacher, als viele Personalabteilungen denken, aber auch strenger. Maßgeblich ist die Kopfzahl, nicht die Zahl der Vollzeitstellen. Teilzeitkräfte, Auszubildende und Werkstudierende zählen jeweils voll mit, wie die IHK München klarstellt. Ein Unternehmen mit 60 Köpfen, davon 20 in Teilzeit, überschreitet die Schwelle also unabhängig davon, wie viele Stunden tatsächlich gearbeitet werden.

Geschützt sind nicht nur klassische Arbeitnehmer. Der Personenkreis, der intern melden darf, umfasst auch:

  • Auszubildende und Praktikanten im Unternehmen

  • Selbstständige, die im beruflichen Kontext mit dem Unternehmen in Kontakt stehen

  • Bewerber, die während des Auswahlverfahrens von einem Verstoß erfahren

  • Mitglieder von Vorstand, Geschäftsführung oder Aufsichtsrat

Eine Besonderheit betrifft § 12 Abs. 3 HinSchG: Bestimmte Branchen, etwa Finanzdienstleister und Wertpapierinstitute, müssen unabhängig von der Unternehmensgröße eine Meldestelle einrichten. Wer in der Zeitarbeit tätig ist, sollte zudem die Zählweise nach dem Arbeitnehmerüberlassungsgesetz kennen, die sich in Details unterscheidet und gesondert dokumentiert ist.

Welche Fristen gelten für Unternehmen ab 50 Beschäftigten?

Die Übergangsfristen sind längst abgelaufen, bleiben aber der Bezugspunkt für jede Prüfung durch Behörden oder Gerichte. Für Betriebe mit 250 oder mehr Mitarbeitern trat die Pflicht mit Inkrafttreten des Gesetzes am 2. Juli 2023 sofort in Kraft. Unternehmen zwischen 50 und 249 Beschäftigten bekamen eine Schonfrist bis zum 17. Dezember 2023.

Wer heute, im Jahr 2026, noch keine Meldestelle betreibt, befindet sich nicht in einer Grauzone, sondern schlicht im Verzug. Das bedeutet konkret:

  • Bußgelder nach § 40 HinSchG sind grundsätzlich möglich, sobald eine Prüfung Mängel feststellt

  • Fehlende Meldestellen erschweren die Verteidigung bei arbeitsrechtlichen Streitigkeiten erheblich

  • Nachträgliche Einrichtung schützt nicht rückwirkend vor bereits entstandenen Ansprüchen

Für die praktische Umsetzung lohnt sich ein fester Fixpunkt im HR-Kalender: Compliance-Projekte dieser Art brauchen im Schnitt vier bis acht Wochen von der Entscheidung bis zum Go-Live, wenn eine SaaS-Lösung zum Einsatz kommt. Bauen Sie diesen Zeitraum fest ins Onboarding neuer HR-Verantwortlicher ein, damit die Pflicht nicht in Vergessenheit gerät.

Wie baut man eine interne Meldestelle rechtssicher auf?

§ 14 HinSchG lässt drei Modelle zu, und jedes hat seinen Preis, im wörtlichen wie im übertragenen Sinn.

  1. Eigenes internes Personal. Eine benannte Person oder ein kleines Team übernimmt die Meldestelle. Vorteil: direkte Nähe zum Betrieb, geringe laufende Kosten. Nachteil: Unbefangenheit ist schwer zu garantieren, wenn die zuständige Person gleichzeitig ins operative Geschäft eingebunden ist.

  2. Internes Team mit klarer Rollentrennung. Compliance, Recht und HR bilden gemeinsam die Stelle. Das verteilt Verantwortung, erhöht aber den Abstimmungsaufwand bei jeder Meldung.

  3. Beauftragung eines externen Dritten. Kanzleien oder spezialisierte Dienstleister übernehmen die Rolle der Meldestelle nach § 14 Abs. 1 HinSchG. Das schafft Distanz und Vertrauen, kostet aber laufend Honorar.

Unabhängig vom Modell schreibt das Gesetz mehrere Meldewege vor: schriftlich, mündlich und auf Wunsch auch in einer persönlichen Zusammenkunft. Anonyme Meldungen sind zwar nicht zwingend vorgeschrieben, gelten in der Praxis aber als Standard, weil sie die Hemmschwelle für Hinweisgeber deutlich senken.

Zuständigkeiten müssen klar dokumentiert sein: Wer nimmt eine Meldung entgegen, wer leitet die Prüfung, wer entscheidet über Folgemaßnahmen, und ab wann wird eskaliert, wenn die interne Klärung nicht ausreicht.

Profi-Tipp: Legen Sie schriftlich fest, welche Fachabteilung bei welcher Art von Meldung hinzugezogen wird, noch bevor die erste Meldung eingeht. In der akuten Situation fehlt oft die Zeit für saubere Abstimmung.

Welche Datenschutzanforderungen gelten für die Meldestelle?

Vertraulichkeit ist keine Kür, sondern der Kern des Systems. § 8 HinSchG verlangt, dass die Identität von Hinweisgebern, betroffenen Personen und Dritten geschützt bleibt, mit Zugriff nur für die ausdrücklich befugten Personen.

Technisch bedeutet das konkret:

  • Verschlüsselte Übertragung und Speicherung aller Meldungsdaten

  • Rollenbasierte Zugriffskontrolle, die auch Zufallszugriffe innerhalb der Organisation ausschließt

  • Kein IP-Tracking bei anonymen Meldungen, sonst ist die Anonymität faktisch aufgehoben

  • Eine revisionssichere Protokollierung aller Bearbeitungsschritte, die im Streitfall als Nachweis dient

Genau an diesem Punkt zeigt sich der Unterschied zwischen einer improvisierten Lösung und einer durchdachten. Ein geteiltes E-Mail-Postfach oder ein internes Ticketsystem erfüllt selten die Anforderungen an Fristenüberwachung und lückenlose Dokumentation nach § 18 HinSchG. Zertifizierte SaaS-Lösungen bringen diese Funktionen von Haus aus mit, eine Eigenentwicklung dagegen bindet IT-Ressourcen, die in den meisten Mittelstandsunternehmen ohnehin knapp sind.

Profi-Tipp: Prüfen Sie vor der Anschaffung jeder Software, ob der Anbieter eine Datenspeicherung innerhalb der EU oder der Schweiz garantiert und ob wirklich keine IP-Adressen bei anonymen Meldungen erfasst werden. Genau das wird bei Audits am häufigsten übersehen.

Was passiert nach Eingang einer Meldung?

Der Ablauf folgt einem festen Zeitplan, den §§ 12 bis 18 HinSchG vorgeben.

  1. Empfangsbestätigung innerhalb von sieben Tagen nach Eingang der Meldung.

  2. Prüfung der Stichhaltigkeit, ob der gemeldete Sachverhalt in den Anwendungsbereich des Gesetzes fällt und ob genügend Substanz für weitere Schritte vorliegt.

  3. Folgemaßnahmen einleiten, etwa interne Untersuchungen, Weiterleitung an eine Fachabteilung oder externe Stelle, oder Abschluss des Verfahrens mangels Substanz.

  4. Rückmeldung an den Hinweisgeber spätestens drei Monate nach der Empfangsbestätigung, mit Informationen zu geplanten oder bereits ergriffenen Maßnahmen und deren Gründen.

Jeder dieser Schritte muss dokumentiert werden, nicht aus Bürokratiefreude, sondern weil genau diese Dokumentation im Streitfall über Regressansprüche entscheidet. Eine Meldestelle, die zwar reagiert, aber nichts protokolliert, steht bei einer späteren Überprüfung mit leeren Händen da.

Was gilt beim Schutz vor Repressalien?

§ 36 HinSchG verbietet jede Form von Repressalie gegen Hinweisgeber, von der Kündigung über Abmahnung bis zur Versetzung oder schlicht schlechteren Beurteilung. Verstöße können mit Bußgeldern nach § 40 HinSchG geahndet werden, zusätzlich drohen Schadensersatzansprüche des Hinweisgebers.

Das Gesetz kehrt in solchen Fällen die Beweislast um: Erleidet ein Hinweisgeber nach einer Meldung einen Nachteil, wird vermutet, dass dieser Nachteil eine Repressalie war. Der Arbeitgeber muss dann beweisen, dass die Maßnahme aus anderen, sachlichen Gründen erfolgte.

Diese Umkehr ist jedoch nicht grenzenlos. Eine Entscheidung des Bundesarbeitsgerichts (Az. 2 AZR 51/25) stellt klar: Die Beweislastumkehr greift erst, wenn tatsächlich eine wirksame Meldung über einen zulässigen Kanal erfolgt ist. Die bloße Absicht, etwas zu melden, oder Vorbereitungshandlungen reichen dafür nicht aus.

Für die HR-Praxis heißt das:

  • Jede Personalmaßnahme braucht ein sauberes, zeitnah erstelltes Entscheidungsprotokoll

  • Führungskräfte sollten geschult sein, wie sie mit gemeldeten Hinweisgebern im Alltag umgehen

  • Lückenlose Dokumentation schützt beide Seiten, den Hinweisgeber wie den Arbeitgeber

Wie funktioniert eine gemeinsame Meldestelle für kleinere Unternehmen?

Betriebe mit 50 bis 249 Beschäftigten müssen die Meldestelle nicht zwingend alleine stemmen. Das Gesetz erlaubt den Zusammenschluss mehrerer Unternehmen zu einer gemeinsamen internen Meldestelle, etwa über eine beauftragte Anwaltskanzlei, einen spezialisierten Dienstleister oder ein Konsortium aus mehreren Firmen derselben Branche.

Wichtig dabei: Die Verantwortung für die eigentliche Bearbeitung bleibt beim jeweiligen Arbeitgeber. Die gemeinsame Stelle nimmt Meldungen entgegen und führt die Prüfung durch, doch Folgemaßnahmen wie eine Kündigung oder disziplinarische Schritte entscheidet weiterhin das einzelne Unternehmen selbst.

Ein tragfähiger Vertrag zwischen den beteiligten Firmen sollte mindestens regeln:

  • Reaktionszeiten und Leistungsniveau (SLA) der gemeinsamen Stelle

  • Zuständigkeiten für Datenschutz und technische Sicherheit

  • Haftungsverteilung bei Fehlern in der Bearbeitung

  • Kostenaufteilung zwischen den beteiligten Unternehmen

Profi-Tipp: Klären Sie vertraglich, was passiert, wenn eines der beteiligten Unternehmen aus dem Verbund ausscheidet. Ohne diese Klausel drohen im Ernstfall Datenschutzlücken und ungeklärte Zuständigkeiten.

Wie setzen HR und Compliance die Pflicht Schritt für Schritt um?

Eine strukturierte Einführung erspart spätere Nacharbeit und reduziert das Haftungsrisiko spürbar.

  1. Bestandsaufnahme: Mitarbeiterzahl nach Kopfprinzip prüfen, inklusive Teilzeit, Azubis und Werkstudierenden.

  2. Organform entscheiden: internes Personal, internes Team oder externe Beauftragung, gegebenenfalls im Verbund mit anderen Unternehmen.

  3. Technik auswählen: Meldekanäle festlegen, die Vertraulichkeit, Anonymität und revisionssichere Dokumentation gewährleisten.

  4. Prozesse definieren: Fristen für Empfangsbestätigung, Prüfung und Rückmeldung schriftlich fixieren.

  5. Schulung durchführen: Führungskräfte und die Meldestelle selbst mit den Pflichten aus §§ 12 bis 18 HinSchG vertraut machen.

  6. Testlauf: eine simulierte Meldung durch den gesamten Prozess laufen lassen, um Lücken zu finden.

  7. Go-Live: Meldestelle unternehmensweit kommunizieren, inklusive klarer Erreichbarkeit.

Für den Ernstfall einer Prüfung sollten mindestens diese Nachweise griffbereit sein: die Dokumentation der Mitarbeiterzählung, der Organisationsentscheidung, aller Meldungsprotokolle sowie der Schulungsnachweise.

Typische Stolperfallen zeigen sich immer wieder in denselben Bereichen: eine falsche Zählweise, die Teilzeitkräfte übersieht, fehlende oder verspätete Rückmeldungen an Hinweisgeber, sowie unklare Zuständigkeiten zwischen HR, Compliance und Geschäftsführung.

Profi-Tipp: Wiederholen Sie den Testlauf jährlich, nicht nur beim ersten Aufbau. Personalwechsel in der Meldestelle sind der häufigste Grund, warum eingespielte Prozesse plötzlich nicht mehr funktionieren.

Wann lohnt sich eine spezialisierte Softwarelösung?

Die technischen Mindestanforderungen an eine Meldestelle lassen sich mit Bordmitteln oft nur mit erheblichem Aufwand erfüllen: anonymes Melden ohne IP-Tracking, ein lückenloser Audit-Trail, Statusverfolgung für den Hinweisgeber und automatische Fristenüberwachung nach § 18 HinSchG gehören zu den Kernpunkten, die Prüfer und Gerichte erwarten.

Eine spezialisierte Plattform wie Ashio deckt genau diese Punkte ab, ohne dass interne IT-Teams eine eigene Infrastruktur aufbauen müssen. Die Lösung bietet einen vollständig anonymen Meldekanal ohne IP-Tracking, strukturierte Fallbearbeitung mit klaren Eskalationspfaden, einen revisionssicheren Audit-Trail sowie automatische Fristenüberwachung, damit Rückmeldefristen nicht versehentlich verstreichen. Die Datenspeicherung erfolgt DSGVO-konform in der Schweiz.

Für Unternehmen mit 50 bis 249 Beschäftigten, bei denen oft keine eigene Compliance-Abteilung existiert, ist das ein entscheidender Unterschied: Statt Prozesse und Protokollierung selbst zu entwickeln, greift man auf eine Struktur zurück, die die gesetzlichen Anforderungen bereits mitbringt.

Editorial-Einschätzung: Was bei der Umsetzung wirklich zählt

Die meisten Unternehmen unterschätzen nicht das Gesetz, sondern den Aufwand danach. Eine Meldestelle einzurichten ist die kleinere Übung. Die eigentliche Arbeit beginnt, sobald die erste Meldung eintrifft und plötzlich Fristen, Dokumentationspflichten und Rückmeldeschreiben in der Praxis funktionieren müssen.

Viel Beratung konzentriert sich auf die Frage, wer die Meldestelle betreiben soll. Wichtiger ist meist, ob die gewählte Lösung im Ernstfall tatsächlich revisionssicher dokumentiert. Ein internes Postfach ohne Protokollfunktion erfüllt formal vielleicht die Mindestanforderung, hält aber keiner echten Prüfung stand.

Ebenso unterschätzt wird die BAG-Klarstellung zur Beweislastumkehr. Sie schützt Arbeitgeber vor pauschalen Vorwürfen, entbindet sie aber nicht von der Pflicht, jede Personalentscheidung nach einer Meldung sauber zu begründen. Wer glaubt, mit der Einrichtung einer Meldestelle sei die Sache erledigt, irrt. Die Pflicht beginnt dort erst richtig.

— Author

Ashio als praktischer Weg zur rechtssicheren Meldestelle

Wer die Pflicht zur internen Meldestelle nicht mit internen IT-Ressourcen und juristischer Feinarbeit selbst stemmen will, findet in Ashio eine fertige Antwort auf genau die Anforderungen, die in diesem Artikel beschrieben wurden. Die Plattform kombiniert einen vollständig anonymen Meldekanal ohne IP-Tracking mit automatischer Fristenüberwachung und einem lückenlosen Audit-Trail, sodass Rückmeldefristen nach §§ 12 bis 18 HinSchG nicht mehr manuell im Blick behalten werden müssen. HR- und Compliance-Teams verwalten Fälle über ein zentrales Dashboard, während Hinweisgeber den Status ihrer Meldung in Echtzeit einsehen können, was die Hemmschwelle für eine erste Meldung spürbar senkt. Die Datenspeicherung erfolgt DSGVO-konform in der Schweiz. Wer die eigene Umsetzung ohne Umwege prüfen will, findet auf der Ashio-Produktseite zum Hinweisgeberschutzgesetz die passenden Details für den nächsten Schritt.

Quellen

Empfehlung