Ashio whistleblowing software

Hinweisgeberschutzgesetz: Alle Fristen auf einen Blick

Tools zur Überwachung von Compliance-Fristen direkt am Arbeitsplatz

Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen zu drei zentralen Fristen: Die interne Meldestelle muss dem Hinweisgeber den Eingang seiner Meldung innerhalb von 7 Tagen bestätigen (§ 17 Abs. 1 HinSchG), eine Rückmeldung über ergriffene oder geplante Maßnahmen muss spätestens nach 3 Monaten erfolgen, bei besonders umfangreicher Prüfung verlängerbar auf 6 Monate (§ 17 Abs. 2). Meldungsunterlagen sind 3 Jahre nach Abschluss des Verfahrens zu löschen (§ 11 Abs. 5). Wer diese Fristen versäumt, riskiert Bußgelder bis zu 50.000 € für Verantwortliche und bis zu 500.000 € für juristische Personen.

Hinzu kommen die Einrichtungsfristen: Unternehmen mit mindestens 250 Beschäftigten mussten ihre interne Meldestelle bis zum 2. Juli 2023 betreiben, Unternehmen mit 50 bis 249 Beschäftigten bis zum 17. Dezember 2023.

Sofortcheck: Prüfen Sie jetzt, ob Ihr Eingangsbestätigungs-Workflow die 7-Tage-Frist automatisch einhält und ob ein Fristen-Tracking für die 3-Monats-Rückmeldung eingerichtet ist. Fehlt beides, besteht unmittelbarer Handlungsbedarf.

Inhaltsverzeichnis

Welche gesetzlichen Fristen gelten Paragraph für Paragraph?

Die folgende Tabelle gibt Ihnen eine zitierfähige Übersicht aller relevanten Fristen aus dem HinSchG. Grundlage ist der Gesetzestext auf Gesetze-im-Internet, ergänzt durch die EU-Richtlinie 2019/1937 als europäische Rechtsgrundlage.

Paragraph Pflicht Frist Besonderheit
§ 17 Abs. 1 HinSchG Eingangsbestätigung an Hinweisgeber 7 Tage nach Eingang Entfällt, wenn Bestätigung die Anonymität gefährden würde
§ 17 Abs. 2 HinSchG Rückmeldung über Folgemaßnahmen 3 Monate (max. 6 Monate) Verlängerung nur bei umfangreicher Prüfung; Begründungspflicht
§ 12 HinSchG Einrichtung interner Meldestelle (≥ 250 MA) 2. Juli 2023 Pflicht zur dauerhaften Betriebsbereitschaft
§ 12 HinSchG Einrichtung interner Meldestelle (50–249 MA) 17. Dezember 2023 Gemeinsame Meldestelle nach § 14 Abs. 2 möglich
§ 11 Abs. 5 HinSchG Löschung der Meldungsunterlagen 3 Jahre nach Verfahrensabschluss Längere Aufbewahrung bei laufenden Verfahren möglich
§ 8 / § 9 HinSchG Vertraulichkeit der Identität Dauerhaft Ausnahmen nur bei gesetzlicher Pflicht oder Einwilligung
§ 28 / § 29 HinSchG Folgemaßnahmen externer Meldestellen Analog § 17 Externe Meldestellen unterliegen vergleichbaren Pflichten
§ 32 HinSchG Öffentliche Offenlegung Nach erfolglosem externem Meldeversuch Enge Voraussetzungen; Gefahr irreversibler Schäden als Ausnahme
— Bußgeldrahmen Sofort bei Verstoß Bis 50.000 € (natürliche Personen), bis 500.000 € (juristische Personen)

Übersicht der Fristen gemäß HinSchG – anschaulich dargestellt nach Paragraphen

Die formale Verkündung des Gesetzes erfolgte im Bundesgesetzblatt 2023, was die Verbindlichkeit der Umsetzungsfristen begründet.

Zur Fristverlängerung nach § 17 Abs. 2: Sie ist kein Automatismus. Die Meldestelle muss die Verlängerung aktiv kommunizieren und begründen. Unterbleibt diese Mitteilung, gilt die 3-Monats-Frist als maßgeblich. Praktisch bedeutet das: Wer intern keine klare Eskalationsregel hat, läuft Gefahr, die Verlängerungsoption zu verwirken.

Zu §§ 8 und 9 gilt: Die Identität des Hinweisgebers ist grundsätzlich vertraulich zu behandeln. Eine Weitergabe ist nur zulässig, wenn der Hinweisgeber ausdrücklich einwilligt oder eine gesetzliche Pflicht besteht, etwa im Rahmen strafrechtlicher Ermittlungen. Dieser Grundsatz gilt zeitlich unbegrenzt, also auch nach Abschluss des Verfahrens.

Wie wirken Fristen im praktischen Bearbeitungsprozess?

Der Fristenlauf beginnt nicht mit dem Absenden einer Meldung durch den Hinweisgeber, sondern mit dem tatsächlichen Eingang bei der Meldestelle. Das klingt trivial, hat aber Konsequenzen für die Systemkonfiguration: Geht eine Meldung außerhalb der Geschäftszeiten ein, läuft die 7-Tage-Frist trotzdem.

Verantwortlichkeits-Checkliste

  • Prüfung der Zuständigkeit: — Compliance-Team, ggf. Rechtsabteilung

Muster für eine Eingangsbestätigung:

Profi-Tipp: Richten Sie im Meldesystem eine SLA-Matrix mit zwei Eskalationsstufen ein: eine Erinnerung an Tag 5 (vor Ablauf der 7-Tage-Frist) und eine zweite an Tag 75 (vor Ablauf der 3-Monats-Frist). Wer diese Alarme automatisiert, vermeidet die häufigste Ursache für Fristverstöße: schlicht vergessene Deadlines in komplexen Fällen.

Wer musste bis wann eine interne Meldestelle einrichten?

Die Einrichtungsfristen richten sich nach der Beschäftigtenzahl und sind seit Ende 2023 für alle betroffenen Unternehmen abgelaufen. Wer noch keine Meldestelle betreibt, befindet sich bereits im Sanktionsbereich.

  • Unternehmen unter 50 Beschäftigten: — Grundsätzlich keine Pflicht zur internen Meldestelle nach HinSchG, sofern kein Sonderrecht greift (z. B. Finanzdienstleister nach Sektorrecht).

Für Unternehmen mit 50 bis 249 Beschäftigten erlaubt § 14 Abs. 2 HinSchG die Nutzung einer gemeinsamen Meldestelle mit anderen Unternehmen derselben Größenklasse. Das reduziert den Aufwand erheblich, entbindet aber nicht von der Pflicht, einen funktionsfähigen Kanal bereitzustellen.

Kommunale Träger und öffentliche Einrichtungen unterliegen teilweise abweichenden Regelungen nach Landesrecht. Hier empfiehlt sich eine Prüfung der jeweiligen Landesgesetze zur Umsetzung der EU-Richtlinie.

Praktische Priorisierung: Wer die Frist verpasst hat, sollte die Einrichtung nicht weiter verzögern. Jeder weitere Monat ohne Meldestelle ist ein dokumentierter Verstoß, der bei einer Behördenprüfung unmittelbar bußgeldbewehrt ist. Die IHK Berlin empfiehlt, zunächst einen schlanken Kanal zu etablieren und diesen schrittweise auszubauen.

Wie lange müssen Meldungsunterlagen aufbewahrt werden?

§ 11 Abs. 5 HinSchG schreibt eine Löschfrist von 3 Jahren nach Abschluss des Verfahrens vor. „Abschluss“ meint den Zeitpunkt, zu dem alle Folgemaßnahmen abgeschlossen sind und keine weiteren Schritte mehr geplant oder anhängig sind. Das ist kein automatischer Zeitpunkt, sondern eine aktive Entscheidung der Meldestelle, die dokumentiert werden muss.

Wann ist längere Aufbewahrung zulässig?

  • Laufende behördliche oder gerichtliche Verfahren, die auf der Meldung basieren

  • Gesetzliche Aufbewahrungspflichten aus anderen Rechtsgebieten (z. B. Handelsrecht, Steuerrecht)

  • Einwilligung des Hinweisgebers zur längeren Speicherung

Empfohlener Ablauf vor der Löschung:

  • Prüfen, ob Verfahren vollständig abgeschlossen ist (Protokoll der Abschlussentscheidung)

  • Abgleich mit anderen Aufbewahrungspflichten (Datenschutzbeauftragter einbeziehen)

  • Löschprotokoll erstellen und revisionssicher archivieren

  • Zugriff auf gelöschte Daten technisch sperren

Der Leitfaden der HWK Oberfranken empfiehlt, Löschfristen zentral zu verwalten und die Verantwortlichkeit für die Löschung namentlich zu benennen.

Profi-Tipp: Revisionssichere Archivierung und datenschutzkonforme Löschung sind kein Widerspruch, wenn Sie beides trennen: Archivieren Sie den Nachweis, dass eine Meldung eingegangen und bearbeitet wurde (ohne personenbezogene Details), und löschen Sie die inhaltlichen Meldungsdaten nach 3 Jahren. So erfüllen Sie Nachweispflichten, ohne Datenschutzrecht zu verletzen.

Welche Bußgelder drohen bei Verstößen gegen das HinSchG?

Der Bußgeldrahmen des HinSchG ist gestaffelt und richtet sich nach der Art des Verstoßes sowie danach, ob eine natürliche oder juristische Person betroffen ist.

  • Bis zu 50.000 € für natürliche Personen (z. B. Compliance-Verantwortliche, Geschäftsführer) bei Verstößen wie der Verhinderung einer Meldung, der Verletzung des Vertraulichkeitsgebots oder dem Unterlassen der Einrichtung einer Meldestelle.

  • Bis zu 500.000 € für juristische Personen (Unternehmen, Organisationen) bei denselben Verstößen, wenn sie dem Unternehmen zuzurechnen sind.

Typische sanktionierte Verstöße:

  • Aktive Verhinderung oder Erschwerung einer Meldung (z. B. Abschreckung von Hinweisgebern)

  • Verletzung der Vertraulichkeitspflicht nach §§ 8, 9 HinSchG (Offenlegung der Identität ohne gesetzliche Grundlage)

  • Unterlassen der Einrichtung einer internen Meldestelle trotz Pflicht

  • Repressalien gegen Hinweisgeber (Kündigung, Benachteiligung, Mobbing)

Praxisbeispiele (keine Rechtsberatung):

Ein Unternehmen mit 300 Beschäftigten, das bis Ende 2023 keine Meldestelle eingerichtet hat, kann bei einer Behördenprüfung unmittelbar mit einem Bußgeld belegt werden. Ebenso riskant: Ein Compliance-Beauftragter, der die Identität eines Hinweisgebers intern weitergibt, ohne dass eine gesetzliche Grundlage besteht.

Hinweisgeber haben bei Fristverletzungen das Recht, sich an externe Meldestellen zu wenden, insbesondere an die Meldestelle des Bundes beim Bundesjustizamt. Dort können sie auch Beschwerden über die Nichtbeachtung ihrer Rechte einreichen.

Welche Datenschutzfristen laufen parallel zum HinSchG?

HinSchG und DSGVO greifen ineinander. Wer nur die HinSchG-Fristen im Blick hat, übersieht eine zweite Fristenebene, die bei Verstößen eigene Konsequenzen hat.

Informationspflicht nach Art. 14 DSGVO:

Wenn eine betroffene Person (also jemand, über den eine Meldung eingegangen ist) von der Verarbeitung ihrer Daten erfahren soll, gilt grundsätzlich eine Frist von 1 Monat ab dem Zeitpunkt, zu dem die Daten erhoben wurden. Diese Frist kann verlängert werden, wenn die Auskunft laufende Ermittlungen gefährden würde. Das HinSchG erlaubt in solchen Fällen, die Information zurückzustellen, solange der Schutzzweck es erfordert.

Das Informationsmaterial des Landes NRW erläutert, wie Vertraulichkeitsregeln und Auskunftsverlangen abzuwägen sind: Die Identität des Hinweisgebers darf auch gegenüber der betroffenen Person nicht offengelegt werden, selbst wenn diese Auskunft nach DSGVO verlangt.

Zugriffsrechte und Protokollierung:

  • Zugriff auf Meldungsdaten nur für namentlich benannte Personen (Meldestellen-Administrator, Fallbearbeiter, ggf. Datenschutzbeauftragter)

  • Jeder Zugriff ist zu protokollieren (wer, wann, warum)

  • Externe Dienstleister, die das Meldesystem betreiben, müssen als Auftragsverarbeiter nach Art. 28 DSGVO vertraglich gebunden sein

Praktische Maßnahmen:

  • Standardtext für Betroffeneninformation vorbereiten, der die Ausnahme nach HinSchG klar benennt

  • Datenschutzbeauftragten in den Meldeprozess einbinden, nicht erst im Nachgang

  • Verarbeitungsverzeichnis um den Meldeprozess ergänzen (Art. 30 DSGVO)

Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten im Meldeprozess ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem HinSchG. Das bedeutet: Die Verarbeitung ist gesetzlich vorgeschrieben, eine separate Einwilligung ist nicht erforderlich.

Wann darf ein Hinweisgeber an die Öffentlichkeit gehen?

§ 32 HinSchG regelt die öffentliche Offenlegung als letztes Mittel, nicht als Alternative zu internen oder externen Meldewegen. Die Voraussetzungen sind eng.

Zulässig ist eine öffentliche Offenlegung, wenn:

  • Der Hinweisgeber zuvor eine externe Meldung erstattet hat und innerhalb der gesetzlichen Fristen (3 Monate, bei Verlängerung 6 Monate) keine angemessenen Folgemaßnahmen ergriffen wurden.

  • Eine unmittelbare Gefahr für das öffentliche Interesse besteht, die irreversible Schäden verursachen könnte (z. B. Umweltkatastrophe, Gesundheitsgefährdung).

  • Der Hinweisgeber begründeten Anlass zur Annahme hat, dass eine externe Meldung wirkungslos bleiben oder zu Repressalien führen würde.

Die ausbleibende Rückmeldung nach 3 oder 6 Monaten kann also eine öffentliche Offenlegung rechtlich ermöglichen. Das ist kein Freifahrtschein: Der Hinweisgeber muss nachweisen können, dass er den internen oder externen Weg zuerst beschritten hat.

Risiken einer öffentlichen Offenlegung:

  • Zivilrechtliche Haftung, wenn die Meldung unrichtige Tatsachen enthält

  • Strafrechtliche Konsequenzen bei Verleumdung oder Verletzung von Geschäftsgeheimnissen

  • Verlust des gesetzlichen Schutzes, wenn die Voraussetzungen des § 32 nicht erfüllt sind

Kurzcheck vor einer öffentlichen Offenlegung:

  • Wurde eine interne Meldung erstattet? Liegt eine dokumentierte Rückmeldung vor?

  • Wurde danach eine externe Meldung bei einer zuständigen Behörde oder der Meldestelle des Bundes erstattet?

  • Sind die Fristen nach § 17 Abs. 2 HinSchG abgelaufen, ohne dass angemessene Maßnahmen ergriffen wurden?

  • Liegt eine der Ausnahmesituationen (Notfall, irreversibler Schaden) vor?

Wer diese Punkte nicht mit „Ja“ beantworten kann, sollte von einer öffentlichen Offenlegung absehen.

Wie halten Sie Fristen technisch und organisatorisch sicher ein?

Die häufigste Ursache für Fristverstöße ist nicht Unwillen, sondern fehlende Systemunterstützung. Wer Fristen manuell überwacht, verlässt sich auf individuelle Sorgfalt. Das reicht bei mehreren parallelen Fällen nicht aus.

Funktionale Mindestanforderungen an ein Fallmanagementsystem:

  • Automatische Eingangsbestätigung mit Zeitstempel (7-Tage-Frist)

  • Konfigurierbare Erinnerungen und Eskalationsalarme (Tage 5, 75, 150)

  • Audit-Trail: unveränderliche Protokollierung aller Aktionen mit Zeitstempel und Benutzer-ID

  • Rollen- und Rechtemanagement (wer darf was sehen und bearbeiten)

  • Revisionssichere Speicherung mit DSGVO-konformer Datenhaltung

  • Anonymer Meldekanal ohne IP-Tracking (schützt Hinweisgeber und Unternehmen)

Implementierungs-Checkliste:

Kurzfristig (erste 2 Wochen):

  • Eingangsbestätigung konfigurieren und testen

  • Verantwortlichkeiten für Fallbearbeitung namentlich festlegen

  • Eskalationsalarme für 7-Tage- und 3-Monats-Frist aktivieren

Mittelfristig (Monat 1–3):

  • Workflow für Folgemaßnahmen dokumentieren

  • Datenschutzbeauftragten in den Prozess einbinden

  • Löschkonzept für 3-Jahres-Frist erstellen

Langfristig (ab Monat 4):

  • Monatliches Reporting zu offenen Fällen und überschrittenen Fristen

  • Jährliche Überprüfung der Prozesse und Systemkonfiguration

  • Audit-Trail-Auswertung für interne und externe Prüfungen

Ashio bildet diese Anforderungen als HinSchG-konforme Compliance-Software ab: automatische Fristenüberwachung, revisionssicherer Audit-Trail, vollständig anonymer Meldekanal ohne IP-Tracking und DSGVO-konforme Datenspeicherung in der Schweiz. Das Dashboard zeigt offene Fristen, Fallstatus und Zugriffshistorie auf einen Blick.

Profi-Tipp: Prüfen Sie monatlich drei KPIs: Anzahl der Fälle mit überschrittener 7-Tage-Frist, Anzahl der Fälle, bei denen die 3-Monats-Frist in den nächsten 30 Tagen abläuft, und Anzahl der Fälle, die zur Löschung anstehen. Wer diese drei Zahlen kennt, hat die Fristenüberwachung im Griff.

KMU vs. Großunternehmen:

Für Unternehmen mit 50 bis 249 Beschäftigten reicht oft ein schlankes Setup: ein anonymer Meldekanal, automatische Eingangsbestätigung, ein Fallbearbeiter mit klarer Eskalationsregel. Großunternehmen mit mehreren Standorten oder internationalen Strukturen brauchen zusätzlich Rollen-Hierarchien, standortübergreifende Zugriffsrechte und ein zentrales Reporting für die Compliance-Leitung.

Für Unternehmen, die rechtssichere Personalentscheidungen im Kontext von Hinweisgebermeldungen treffen müssen, bietet dieser Leitfaden zur rechtssicheren Personalführung in KMU ergänzende Orientierung.

Wie halten Sie Fristen technisch und organisatorisch sicher ein? — overview diagram

Wichtige Erkenntnisse

Die zentralen Fristen des HinSchG sind klar gesetzlich definiert: 7 Tage für die Eingangsbestätigung, 3 Monate für die Rückmeldung (verlängerbar auf 6 Monate), 3 Jahre Aufbewahrung nach Verfahrensabschluss. Wer diese Fristen technisch automatisiert und organisatorisch verankert, vermeidet Bußgelder bis zu 500.000 € und schafft eine nachweisbare Compliance-Grundlage.

Thema Details
Eingangsbestätigung (§ 17 Abs. 1) Innerhalb von 7 Tagen nach Eingang der Meldung; automatisierbar und dokumentationspflichtig.
Rückmeldung (§ 17 Abs. 2) Spätestens nach 3 Monaten; bei umfangreicher Prüfung auf 6 Monate verlängerbar mit Begründungspflicht.
Löschfrist (§ 11 Abs. 5) 3 Jahre nach Verfahrensabschluss; Löschprotokoll revisionssicher aufbewahren.
Bußgeldrisiko Bis zu 50.000 € für Verantwortliche, bis zu 500.000 € für juristische Personen bei Verstößen.
Ashio als Umsetzungsoption Automatisierte Fristenüberwachung, Audit-Trail und anonymer Meldekanal für HinSchG-konforme Compliance.

Was erfahrene Compliance-Verantwortliche über Fristen wirklich wissen

Die drei häufigsten Fehler, die ich in der Praxis beobachte, haben wenig mit dem Gesetz selbst zu tun. Sie entstehen im Betrieb.

Unklare Zuständigkeiten sind das größte Problem. Wenn nicht namentlich festgelegt ist, wer die Eingangsbestätigung sendet, passiert es, dass beide Beteiligten davon ausgehen, der andere habe es erledigt. Sieben Tage sind schnell vorbei. Die Lösung ist banal: eine einzige Person pro Fall, die für die Eingangsbestätigung verantwortlich ist, mit einer Vertretungsregelung für Urlaub und Krankheit.

Fehlendes Fristen-Monitoring ist der zweite Klassiker. Viele Unternehmen haben ein Meldesystem eingerichtet, aber kein Dashboard, das offene Fristen anzeigt. Compliance-Verantwortliche merken erst, dass eine Frist abgelaufen ist, wenn der Hinweisgeber nachfragt oder eine Behörde prüft. Wöchentliche Fristen-Reviews, auch wenn sie nur 15 Minuten dauern, verhindern das zuverlässig.

Mangelnde Dokumentation ist der dritte Fehler, der bei Prüfungen teuer wird. Es reicht nicht, die richtige Entscheidung zu treffen. Sie müssen nachweisen können, dass Sie sie getroffen haben, wann, von wem und auf welcher Grundlage. Ein Audit-Trail, der jeden Schritt mit Zeitstempel festhält, ist kein Nice-to-have, sondern der einzige Beweis, der im Ernstfall zählt.

Zur Priorisierung schwieriger Fälle: Wenn eine Meldung schwerwiegende Verstöße betrifft (Korruption, Sicherheitsrisiken, Umweltverstöße), sollte die interne Untersuchung nicht auf die volle 3-Monats-Frist ausgedehnt werden. Schnelle Reaktion schützt das Unternehmen und den Hinweisgeber. Kommunizieren Sie intern klar, dass solche Fälle Vorrang haben, und legen Sie das in der SLA-Matrix fest.

Gegenüber Hinweisgebern gilt: Halten Sie die Kommunikation knapp und sachlich. Keine inhaltlichen Details, keine Zwischenstände, die Erwartungen wecken, die Sie nicht erfüllen können. Die gesetzlich vorgeschriebene Rückmeldung ist kein Statusbericht, sondern eine Information über ergriffene oder geplante Maßnahmen. Das ist ein wichtiger Unterschied, der in der Praxis oft verwischt wird.

Ashio hilft Ihnen, keine Frist mehr zu verpassen

Wer die gesetzlichen Fristen des HinSchG manuell überwacht, setzt auf ein System, das bei steigender Fallzahl zwangsläufig versagt. Ashio automatisiert genau die Schritte, die in der Praxis am häufigsten scheitern.

Ashio

Die Plattform sendet Eingangsbestätigungen automatisch innerhalb der 7-Tage-Frist, setzt konfigurierbare Erinnerungen für die 3-Monats-Rückmeldung und protokolliert jeden Schritt in einem unveränderlichen Audit-Trail. Der anonyme Meldekanal arbeitet ohne IP-Tracking, was Hinweisgeber schützt und das Unternehmen rechtlich absichert. Alle Daten werden DSGVO-konform in der Schweiz gespeichert. Compliance-Teams sehen offene Fristen, Fallstatus und Zugriffshistorie in einem zentralen Dashboard, ohne zwischen Tabellen und E-Mail-Postfächern wechseln zu müssen.

Testen Sie Ashio jetzt: Auf der Produktseite für Deutschland finden Sie eine Übersicht der HinSchG-spezifischen Funktionen und können direkt eine Demo anfragen.

Die folgenden Quellen bilden die gesetzliche und praktische Grundlage dieses Artikels. Alle Links führen direkt zu den Originaldokumenten.

Empfehlung

Hinweisgeberschutzgesetz: Alle Fristen auf einen Blick | Ashio