Hinweisgeberschutzgesetz (HinSchG): Der komplette Leitfaden für KMU 2026

Das Wichtigste in 30 Sekunden

Das Hinweisgeberschutzgesetz (HinSchG) setzt die EU-Whistleblower-Richtlinie in deutsches Recht um. Es schützt Menschen, die im Job auf Verstöße hinweisen, und verpflichtet Arbeitgeber, dafür einen sicheren Kanal bereitzustellen. Das Wichtigste:

• Wer ist betroffen? Alle Unternehmen mit in der Regel mindestens 50 Beschäftigten (§ 12 HinSchG). Unternehmen ab 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle betreiben. Für Finanzdienstleister gilt die Pflicht unabhängig von der Größe.
• Was muss man tun? Eine interne Meldestelle einrichten, die Meldungen mündlich und in Textform entgegennimmt, den Eingang binnen 7 Tagen bestätigt und binnen 3 Monaten über Folgemaßnahmen zurückmeldet.
• Vertraulichkeit: Die Identität der hinweisgebenden Person, der betroffenen Personen und Dritter muss geschützt bleiben (§ 8).
• Kein Racheakt: Repressalien – Kündigung, Abmahnung, Versetzung als Reaktion auf eine Meldung – sind verboten (§ 36), inklusive Beweislastumkehr zugunsten des Hinweisgebers.
• Bußgelder: bis 20.000 €, wenn keine Meldestelle eingerichtet ist; bis 50.000 € bei Behinderung einer Meldung, Repressalien oder Verletzung der Vertraulichkeit (§ 40).

Für die Gebäudereinigung mit oft mehrsprachiger Belegschaft ist ein Punkt besonders wichtig: Ein Meldekanal nützt nur, wenn die Beschäftigten ihn verstehen und ihm vertrauen. Dieser Leitfaden erklärt jede Pflicht und wie sich der Kanal praktisch umsetzen lässt.

Was das HinSchG will – und warum es das gibt

Hinter dem sperrigen Namen steht eine einfache Idee: Wer im Unternehmen auf Rechtsverstöße stößt – etwa Betrug, Korruption, Verstöße gegen Arbeitsschutz oder Mindestlohn –, soll das melden können, ohne die eigene Existenz zu riskieren. In der Vergangenheit standen solche „Whistleblower" oft schutzlos da und verloren ihren Job.

Das HinSchG ist die deutsche Umsetzung der EU-Whistleblower-Richtlinie (EU) 2019/1937 und gilt seit 2023. Es dreht die Logik um: Nicht der Hinweisgeber muss sich rechtfertigen, sondern das Unternehmen muss einen funktionierenden, geschützten Meldeweg anbieten und Meldungen ernsthaft nachgehen.

Erfasst sind Meldungen über Verstöße, die straf- oder bußgeldbewehrt sind oder bestimmte gesetzlich genannte Bereiche betreffen (u. a. Umweltschutz, Arbeitsschutz, Produktsicherheit, Vergabe, Datenschutz). Reine private Streitigkeiten oder Unzufriedenheit fallen nicht darunter.

Wer ist verpflichtet? Der Schwellenwert 50 Beschäftigte

Die zentrale Frage für jeden Betrieb: Muss ich das überhaupt? Die Antwort steht in § 12 HinSchG:

„In der Regel mindestens 50 Beschäftigte" heißt: Es kommt auf die normale Beschäftigtenzahl an, nicht auf kurzzeitige Schwankungen. Teilzeitkräfte zählen dabei nach überwiegender Auffassung nach Köpfen, nicht anteilig.

Für einen typischen Gebäudereinigungsbetrieb ist das schnell erreicht: Reinigung ist personalintensiv, 50 Beschäftigte sind bei mehreren Objekten keine Seltenheit. Genau diese Betriebe – über 50 Mitarbeitende, mehrere Auftraggeber – sind das Kernpublikum des HinSchG in der Branche.

Die interne Meldestelle: was sie können muss

Eine interne Meldestelle ist kein technisches Beiwerk, sondern ein Verfahren mit klaren Anforderungen (§§ 13–18 HinSchG):

• Zwei Meldewege: Die Meldestelle muss Meldungen mündlich (Telefon oder andere Sprachübermittlung) und in Textform ermöglichen. Auf Wunsch der hinweisgebenden Person ist zusätzlich eine persönliche Zusammenkunft anzubieten.
• Unabhängige, unparteiische Person: Die mit der Bearbeitung betraute Person (intern oder extern) muss unabhängig handeln und darf keine Interessenkonflikte haben.
• Vertraulichkeit der Identität (siehe eigener Abschnitt).
• Dokumentation aller Meldungen in dauerhaft abrufbarer Weise – und Löschung der Dokumentation grundsätzlich 3 Jahre nach Abschluss des Verfahrens (§ 11).
• Anonyme Meldungen: Das Gesetz verpflichtet nicht zwingend dazu, einen anonymen Meldekanal vorzuhalten, sieht aber vor, dass auch anonym eingehende Meldungen bearbeitet werden sollen. In der Praxis erhöht ein anonymer Kanal die Melderate deutlich, weil die Angst vor Entdeckung sinkt.

→ Wie man das Schritt für Schritt umsetzt, zeigt die Praxis-Anleitung Internen Meldekanal einrichten.

Die zwei entscheidenden Fristen: 7 Tage und 3 Monate

Zwei Fristen aus § 17 HinSchG muss jeder kennen, der eine Meldestelle betreibt – sie sind der häufigste Prüf- und Streitpunkt:

1. 7 Tage – Eingangsbestätigung: Der hinweisgebenden Person ist der Eingang der Meldung spätestens nach 7 Tagen zu bestätigen.
2. 3 Monate – Rückmeldung: Innerhalb von 3 Monaten nach der Eingangsbestätigung (oder, wenn keine Bestätigung erfolgte, spätestens 3 Monate und 7 Tage nach Eingang) muss die Meldestelle eine Rückmeldung über geplante oder bereits ergriffene Folgemaßnahmen geben.

Dazwischen liegt die eigentliche Arbeit: Meldung prüfen, Sachverhalt klären, Maßnahmen einleiten. Wer diese Fristen versäumt oder eine Meldung „versanden" lässt, verstößt gegen das Gesetz – und riskiert Bußgelder.

Vertraulichkeit und Repressionsverbot: der Kern des Schutzes

Zwei Prinzipien machen den eigentlichen Schutz aus:

Vertraulichkeitsgebot (§ 8): Die Meldestelle muss die Identität der hinweisgebenden Person, der von der Meldung betroffenen Personen und weiterer Genannter geheim halten. Sie darf nur den Personen zugänglich sein, die für die Bearbeitung zuständig sind. Eine Weitergabe der Identität ist nur in eng begrenzten Ausnahmen zulässig (z. B. auf Anordnung in einem Strafverfahren) – und in der Regel erst nach Information der betroffenen Person.

Repressionsverbot (§ 36): Benachteiligungen als Reaktion auf eine berechtigte Meldung sind verboten – dazu zählen Kündigung, Abmahnung, Versetzung, Gehaltskürzung, Mobbing oder die Verweigerung einer Beförderung. Besonders scharf: die Beweislastumkehr. Erleidet ein Hinweisgeber nach einer Meldung einen Nachteil, wird vermutet, dass dieser eine verbotene Repressalie ist – der Arbeitgeber muss beweisen, dass die Maßnahme andere Gründe hatte.

Was bei Verstößen droht: die Bußgelder (§ 40)

Das HinSchG ist kein zahnloser Tiger. § 40 staffelt die Bußgelder nach Schwere des Verstoßes:

Wichtig gegen ein weit verbreitetes Missverständnis: Der oft zitierte Betrag von 50.000 € gilt nicht für das bloße Fehlen der Meldestelle – dafür sind es bis zu 20.000 €. Die 50.000 € greifen bei den schwereren Verstößen (Behinderung, Repressalie, Vertraulichkeitsbruch). Gegen das Unternehmen als juristische Person kann über die Verbandsgeldbuße (§ 30 OWiG) zudem ein höheres Bußgeld verhängt werden.

Ihr individuelles Risiko können Sie mit dem HinSchG-Bußgeld-Rechner grob einordnen.

Wie CERTISCAN das Hinweisgeberschutzgesetz abbildet

CERTISCAN ist eine modulare Compliance-Plattform für Gebäudereinigung, Handwerk und KMU. Das Modul Hinweisgeberschutz ist auf genau diese Betriebe zugeschnitten – mit einem realistischen Blick auf mehrsprachige Belegschaften:

• Meldekanal in Textform und mit mündlicher Option, erreichbar per Weblink und QR-Code – auch vom Handy am Objekt, ohne Login-Hürde für den Hinweisgeber.
• Fristen-Automatik: Die 7-Tage-Eingangsbestätigung und die 3-Monats-Rückmeldung werden nachgehalten und erinnert, damit keine Frist reißt.
• Vertraulichkeit by Design: Falldaten werden verschlüsselt (AES-256-GCM) gespeichert, hochgeladene Fotos beim Upload von Standort-Metadaten (EXIF) bereinigt, und jeder Zugriff wird revisionssicher protokolliert.
• Ombudsperson/OMBUDS-Rolle: Eine externe Vertrauensperson (z. B. Anwalt) kann als unabhängige Meldestelle eingebunden werden.
• Mehrsprachigkeit – ehrlich eingeordnet: Die Oberfläche des Meldekanals steht in 18 Sprachen zur Verfügung. Vollständig übersetzt sind aktuell Deutsch und Englisch; die übrigen Sprachen greifen noch teilweise auf eine Fallback-Anzeige zurück und werden schrittweise vervollständigt. Eine automatische Übersetzung des Meldungsinhalts ist aus Datenschutz- und Vertraulichkeitsgründen derzeit nicht aktiv – der Meldungstext wird also nicht automatisch maschinell übersetzt.

Ehrlich eingeordnet: CERTISCAN stellt den technischen und organisatorischen Rahmen für eine HinSchG-konforme Meldestelle bereit. Die rechtssichere Ausgestaltung im Einzelfall – wer die Meldestelle besetzt, wie mit einem konkreten Fall umzugehen ist – sollten Sie mit einem Fachanwalt abstimmen.