Ashio whistleblowing software

Hinweisgebersystem: Pflicht, Fristen und Umsetzung

Eine Hand legt einen USB-Sicherheitsschlüssel auf den Schreibtisch.

Ab 50 Beschäftigten sind Unternehmen in Deutschland nach dem Hinweisgeberschutzgesetz (HinSchG) verpflichtet, eine interne Meldestelle einzurichten und zu betreiben. Das ist keine Empfehlung, sondern geltendes Recht seit 2023. Grundlage ist § 12 Abs. 2 HinSchG, der die Pflicht zur Einrichtung eines Hinweisgebersystems direkt an die Beschäftigtenzahl knüpft. Für bestimmte Finanzdienstleister gilt die Pflicht sogar unabhängig davon. Das HinSchG setzt die EU-Richtlinie 2019/1937 in deutsches Recht um.

Auf einen Blick: Unternehmen mit ≥ 250 Beschäftigten mussten bis zum 2. Juli 2023 eine interne Meldestelle betreiben. Für Unternehmen mit 50–249 Beschäftigten lief die Übergangsfrist bis zum 17. Dezember 2023. Wer heute noch kein System hat, riskiert Bußgelder bis zu 20.000 €, bei schwerwiegenden Verstößen bis zu 500.000 €.

Wichtige Eckpunkte:

  • Gesetzliche Grundlage: § 12 HinSchG, EU-Richtlinie 2019/1937
  • Schwellenwert: in der Regel ≥ 50 Beschäftigte
  • Fristen: 2. Juli 2023 (≥ 250), 17. Dezember 2023 (50–249)
  • Sanktionen: Bußgelder ab 20.000 € bis zu 500.000 € möglich
  • Datenschutz: Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO

Wichtige Erkenntnisse

Das HinSchG verpflichtet Unternehmen ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle mit klaren Fristen, Vertraulichkeitspflichten und DSGVO-konformer Datenverarbeitung.

Thema Details
Gesetzliche Pflicht Ab 50 Beschäftigten gilt § 12 HinSchG; Finanzdienstleister unabhängig von der Mitarbeiterzahl.
Fristen ≥ 250 Beschäftigte: 2. Juli 2023; 50–249 Beschäftigte: 17. Dezember 2023.
Sanktionen Bußgelder bis 20.000 € (fehlende Meldestelle), bis 50.000 € (Verstoß gegen Vertraulichkeitspflicht bei Verantwortlichen), bis 500.000 € bei schwerwiegenden Verstößen.
Datenschutz Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO; TOM gem. § 8 HinSchG erforderlich.
Ashio Bietet anonymen Meldekanal ohne IP-Tracking, Audit-Trail und automatische Fristenüberwachung für eine rechtskonforme Umsetzung.

Inhaltsverzeichnis

Wen trifft die Hinweisgebersystem-Pflicht?

§ 12 Abs. 2 HinSchG verpflichtet alle Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten. Maßgeblich ist die tatsächliche Beschäftigtenzahl, nicht die Anzahl der Vollzeitstellen.

Für Unternehmen mit 50–249 Beschäftigten erlaubt § 14 HinSchG die Einrichtung einer gemeinsamen Meldestelle, etwa im Konzernverbund. Die Verantwortung für die Prüfung und Abstellung von Verstößen bleibt dabei stets beim einzelnen Beschäftigungsgeber. Wer einen Dritten beauftragt, überträgt den Kanal, nicht die Pflicht.

Ausnahmen gibt es kaum. Kommunen und öffentliche Stellen unterliegen teils eigenen Landesregelungen. Unternehmen unter 50 Beschäftigten sind grundsätzlich nicht erfasst, sofern sie nicht in regulierten Branchen tätig sind.

Was muss eine interne Meldestelle konkret leisten?

Das HinSchG schreibt keine bestimmte Software vor, aber die funktionalen Mindestanforderungen sind klar:

  • Meldekanäle: Textform (IT-Plattform, E-Mail), mündliche Meldung und auf Wunsch ein persönliches Gespräch (§ 16 HinSchG)
  • Vertraulichkeit: Die Identität der meldenden Person darf nur einem eng begrenzten Personenkreis bekannt sein (§ 8 HinSchG); anonyme Meldungen müssen möglich sein
  • Eingangsbestätigung: innerhalb von 7 Tagen nach Eingang der Meldung
  • Folgemaßnahmen und Rückmeldung: innerhalb von drei Monaten nach der Eingangsbestätigung
  • Dokumentation: Meldungen sind revisionssicher zu dokumentieren; Aufbewahrungsfristen sind einzuhalten
  • Zugriffsrechte: Nur berechtigte Personen dürfen Meldungen einsehen; klare Rollentrennung ist Pflicht

Die IHK Schleswig-Holstein weist darauf hin, dass Eingangsbestätigung und Drei-Monats-Frist nicht nur formale Pflichten sind, sondern das Vertrauen der Meldenden direkt beeinflussen.

Profi-Tipp: Verzichten Sie auf IP-Logging im Meldesystem. Wer die IP-Adresse eines Hinweisgebers speichert, gefährdet die Anonymität und verstößt gegen § 8 HinSchG. Kommunizieren Sie intern aktiv, dass keine technischen Rückverfolgungen stattfinden.

Welche Datenschutzpflichten gelten für Ihr Hinweisgebersystem?

Die Datenverarbeitung in internen Meldestellen stützt sich auf Art. 6 Abs. 1 lit. c DSGVO, also auf eine rechtliche Verpflichtung. Das stellt der Landesbeauftragte für den Datenschutz Baden-Württemberg klar. Damit entfällt die Notwendigkeit einer Einwilligung, aber die übrigen DSGVO-Pflichten bleiben vollständig bestehen.

Konkrete technisch-organisatorische Maßnahmen (TOM), die Unternehmen umsetzen müssen:

  • Zugriffsberechtigungskonzept mit dokumentierten Rollen
  • Ende-zu-Ende-Verschlüsselung für übermittelte Meldungen
  • Kein IP-Tracking oder sonstige Identifizierungsmerkmale
  • Protokollierung von Zugriffen auf Meldungen
  • Auftragsverarbeitungsvertrag (Art. 28 DSGVO) bei Drittanbietern
  • Datenschutzhinweise nach Art. 13 DSGVO für meldende Personen

Der Datenschutzbeauftragte des Unternehmens ist frühzeitig einzubeziehen, nicht erst bei der Inbetriebnahme. Plattformen, die IP-Adressen erfassen oder unzureichende Rechteverwaltung bieten, entsprechen nach Einschätzung der Datenschutzbehörde Baden-Württemberg oft nicht den Anforderungen.

Profi-Tipp: Wählen Sie eine Plattform, deren Datenhaltung in einer Rechtsordnung mit hohem Datenschutzniveau erfolgt. Ein Audit-Trail, der Fallverläufe dokumentiert, ohne den Melder rückverfolgbar zu machen, ist technisch möglich und rechtlich geboten.

Interne oder externe Meldestelle: Was gilt wann?

Hinweisgebende Personen haben das Recht, frei zu wählen, ob sie intern oder direkt bei einer externen Stelle melden. § 7 HinSchG setzt aber einen Anreiz: Wenn interne Abhilfe möglich ist und keine Repressalien drohen, soll die interne Meldung bevorzugt werden. Unternehmen dürfen externe Meldungen weder behindern noch sanktionieren.

Der typische interne Ablauf:

  1. Eingang der Meldung über den gewählten Kanal
  2. Eingangsbestätigung an die meldende Person innerhalb von 7 Tagen
  3. Prüfung der Meldung durch die zuständige Stelle
  4. Einleitung von Folgemaßnahmen
  5. Rückmeldung an die meldende Person innerhalb von drei Monaten
  6. Revisionssichere Dokumentation und Abschluss des Falls

Externe Meldestellen in Deutschland sind unter anderem das Bundesamt für Justiz (BfJ) für allgemeine Verstöße und die BaFin für den Finanzbereich. Offenlegungen in Presse oder sozialen Medien sind unter engen Voraussetzungen ebenfalls geschützt, wenn interne und externe Kanäle zuvor keine Abhilfe gebracht haben.

Zum Betriebsrat: Nach § 80 Abs. 2 BetrVG hat der Betriebsrat einen Informationsanspruch vor Einführung des Systems. Ein Mitbestimmungsrecht beim „Ob“ der Einführung besteht laut IHK Schleswig-Holstein nicht, wohl aber beim „Wie“ der Ausgestaltung.

Schritt für Schritt zur gesetzeskonformen Umsetzung

Eine strukturierte Einführung verhindert typische Fehler wie unklare Zugriffsrollen oder fehlende Datenschutzbeteiligung.

Phase 1: Wochen 0–4 (Analyse und Auswahl)

  1. Prüfen, ob die Pflicht gilt (Beschäftigtenzahl, Branche)
  2. Verantwortliche benennen: Meldebeauftragte, IT-Admin, Datenschutzbeauftragter
  3. Anforderungen an Meldekanäle und Vertraulichkeit definieren
  4. IT-Plattform oder Dienstleister auswählen und Datenschutzprüfung durchführen

Phase 2: Wochen 4–8 (Implementierung und Schulung)

  1. System einrichten, Zugriffsrollen konfigurieren, Auftragsverarbeitungsvertrag abschließen
  2. Testläufe mit fiktiven Meldungen durchführen
  3. Beschäftigte informieren: Wie funktioniert das System, wer hat Zugriff, was passiert mit Meldungen?
  4. Betriebsrat einbeziehen und Dokumentation der Einführung sicherstellen

Laufender Betrieb:

  • Fristen überwachen (7 Tage, 3 Monate)
  • Jährliches internes Audit der Prozesse und Zugriffsrechte
  • Kommunikation aufrechterhalten, damit das System aktiv genutzt wird

Die Handelskammer Bremen betont, dass anwenderfreundliche Kanäle und aktive interne Kommunikation externe Offenlegungen und Reputationsrisiken deutlich reduzieren.

Schritt für Schritt zur gesetzeskonformen Umsetzung — overview diagram

Welche Strafen drohen bei Verstößen gegen das HinSchG?

Der Bußgeldrahmen nach § 40 HinSchG ist gestaffelt:

Verstoß Bußgeld (max.)
Fehlende interne Meldestelle 20.000 €
Verletzung der Vertraulichkeitspflicht (Verantwortliche) bis zu 50.000 €
Schwerwiegende Verstöße (juristische Personen) bis zu 500.000 €

Bußgeldrahmen bei Verstößen gegen das Hinweisgeberschutzgesetz

Neben Bußgeldern drohen zivilrechtliche Konsequenzen: § 37 HinSchG gibt hinweisgebenden Personen bei Repressalien einen direkten Schadensersatzanspruch gegen das Unternehmen. Das Verbot von Repressalien ist in § 36 HinSchG verankert.

Operativ unterschätzt wird oft der Reputationsschaden. Behördenanfragen, Medienberichte über fehlende Schutzmechanismen und der Verlust des Vertrauens von Geschäftspartnern können wirtschaftlich schwerer wiegen als das Bußgeld selbst. Schnelle Risikominderung bedeutet: dokumentierte Maßnahmen, klare Kommunikation nach innen und ein System, das tatsächlich funktioniert.

Ist Ihr Hinweisgebersystem HinSchG-konform? 10 Prüffragen

  1. Haben Sie eine benannte, unabhängige Person oder Stelle als Meldebeauftragte?
  2. Bieten Sie mindestens einen schriftlichen Meldekanal (IT-Plattform oder E-Mail) an?
  3. Ist eine mündliche Meldung möglich, auf Wunsch auch persönlich?
  4. Können Meldungen anonym eingereicht werden?
  5. Bestätigen Sie den Eingang einer Meldung innerhalb von 7 Tagen?
  6. Geben Sie innerhalb von drei Monaten Rückmeldung zu Folgemaßnahmen?
  7. Sind Zugriffsrechte auf Meldungen auf einen eng begrenzten Personenkreis beschränkt?
  8. Speichert Ihr System keine IP-Adressen oder anderen Identifizierungsmerkmale?
  9. Ist der Datenschutzbeauftragte in Einrichtung und Betrieb eingebunden?
  10. Haben Sie den Betriebsrat vor Einführung informiert?

Wer bei mehr als zwei Fragen „Nein“ antwortet, hat konkreten Handlungsbedarf. Typische Schwachstellen sind IP-Logging, fehlende klare Zugriffsrollen und eine Dokumentation, die keine Revisionssicherheit bietet.

Profi-Tipp: Führen Sie diesen Kurzaudit mindestens einmal jährlich durch und dokumentieren Sie das Ergebnis. Bei einer Behördenanfrage zeigt ein datiertes Audit-Protokoll, dass Sie das System aktiv überwachen.

Ein konformes System ist mehr als ein Compliance-Häkchen

Wer ein Hinweisgebersystem einrichtet, weil das Gesetz es verlangt, und dann nichts weiter tut, hat die eigentliche Aufgabe verfehlt. Ein System, das Beschäftigte nicht kennen, dem sie nicht vertrauen oder das technisch Anonymität verspricht, sie aber nicht liefert, erfüllt den Buchstaben des Gesetzes, nicht seinen Zweck.

Die Wirksamkeit hängt an einem einzigen Faktor: ob Menschen es tatsächlich nutzen. Dafür braucht es keine aufwendige Kampagne, sondern klare Kommunikation darüber, wer Zugriff hat, was mit einer Meldung passiert und dass keine Konsequenzen drohen. Unternehmen, die das ernst nehmen, erfahren von Problemen, bevor sie eskalieren. Das ist der eigentliche Wert, nicht die Bußgeldvermeidung.

Ashio hilft Ihnen, § 12 HinSchG schnell und sicher umzusetzen

Viele Unternehmen stehen vor der gleichen Frage: Wie richten wir ein System ein, das alle gesetzlichen Anforderungen erfüllt, ohne monatelange IT-Projekte? Ashio beantwortet das mit einer Plattform, die speziell für die Anforderungen des HinSchG und der DSGVO entwickelt wurde.

Ashio

Der anonyme Meldekanal von Ashio speichert keine IP-Adressen, trennt Zugriffsrollen konsequent und liefert einen vollständigen Audit-Trail, der Fallverläufe dokumentiert, ohne den Melder rückverfolgbar zu machen. Die automatische Fristenüberwachung stellt sicher, dass die 7-Tage- und 3-Monats-Fristen nach § 17 HinSchG nicht versehentlich überschritten werden. Daten werden DSGVO-konform in der Schweiz gespeichert. Für HR- und Compliance-Teams gibt es ein strukturiertes Dashboard zur Fallbearbeitung und Teamkollaboration.

Starten Sie mit einer kostenlosen Testphase oder buchen Sie direkt ein Onboarding: Ashio für HinSchG-konforme Umsetzung.

Quellen

Für die eigenständige Prüfung der Rechtslage empfehlen sich folgende Primärquellen:

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

Empfehlung

Hinweisgebersystem: Pflicht, Fristen und Umsetzung | Ashio