Hinweisgeberschutzgesetz (HinSchG): Der komplette Leitfaden für KMU 2026
Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen mit in der Regel mindestens 50 Beschäftigten, eine interne Meldestelle einzurichten, über die Mitarbeitende Missstände vertraulich melden können. Der Eingang einer Meldung ist binnen 7 Tagen zu bestätigen, binnen 3 Monaten muss eine Rückmeldung über Folgemaßnahmen erfolgen. Wer keinen Kanal einrichtet, riskiert bis zu 20.000 €, bei Behinderung oder Repressalien bis zu 50.000 €. Dieser Leitfaden erklärt alle Pflichten – ohne Juristendeutsch.
Das Hinweisgeberschutzgesetz (HinSchG) setzt die EU-Whistleblower-Richtlinie in deutsches Recht um. Es schützt Menschen, die im Job auf Verstöße hinweisen, und verpflichtet Arbeitgeber, dafür einen sicheren Kanal bereitzustellen. Das Wichtigste:
Wer ist betroffen? Alle Unternehmen mit in der Regel mindestens 50 Beschäftigten (§ 12 HinSchG). Unternehmen ab 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle betreiben. Für Finanzdienstleister gilt die Pflicht unabhängig von der Größe.
Was muss man tun? Eine interne Meldestelle einrichten, die Meldungen mündlich und in Textform entgegennimmt, den Eingang binnen 7 Tagen bestätigt und binnen 3 Monaten über Folgemaßnahmen zurückmeldet.
Vertraulichkeit: Die Identität der hinweisgebenden Person, der betroffenen Personen und Dritter muss geschützt bleiben (§ 8).
Keine Rechtsberatung – Angaben ohne Gewähr. Beträge, Fristen und Schwellen können sich ändern; im Zweifel Fachperson hinzuziehen.
Häufige Fragen
Ab wie vielen Mitarbeitern gilt das Hinweisgeberschutzgesetz?
Die Pflicht zur Einrichtung einer internen Meldestelle gilt für Unternehmen mit in der Regel mindestens 50 Beschäftigten (§ 12 HinSchG). Unternehmen mit 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle betreiben. Für bestimmte Finanzdienstleister gilt die Pflicht unabhängig von der Beschäftigtenzahl.
Welche Fristen schreibt das HinSchG vor?
Zwei zentrale Fristen aus § 17: Der Eingang einer Meldung ist der hinweisgebenden Person spätestens nach 7 Tagen zu bestätigen. Innerhalb von 3 Monaten nach dieser Bestätigung muss eine Rückmeldung über geplante oder ergriffene Folgemaßnahmen erfolgen.
Muss ein anonymer Meldekanal angeboten werden?
Das Gesetz verpflichtet nicht zwingend dazu, anonyme Meldungen zu ermöglichen, sieht aber vor, dass auch anonym eingehende Meldungen bearbeitet werden sollen. In der Praxis erhöht ein anonymer Kanal die Bereitschaft zu melden erheblich und wird deshalb empfohlen.
Welche Bußgelder drohen bei Verstößen gegen das HinSchG?
Wer keine interne Meldestelle einrichtet, riskiert ein Bußgeld bis zu 20.000 € (§ 40). Wer eine Meldung behindert, eine Repressalie ergreift oder die Vertraulichkeit verletzt, muss mit bis zu 50.000 € rechnen. Gegen das Unternehmen als juristische Person kann über § 30 OWiG ein höheres Bußgeld verhängt werden.
Was bedeutet das Repressionsverbot?
Benachteiligungen als Reaktion auf eine berechtigte Meldung – etwa Kündigung, Abmahnung, Versetzung oder Gehaltskürzung – sind verboten (§ 36). Es gilt eine Beweislastumkehr: Erleidet ein Hinweisgeber nach einer Meldung einen Nachteil, muss der Arbeitgeber beweisen, dass die Maßnahme nichts mit der Meldung zu tun hatte.
Reicht ein einfaches E-Mail-Postfach als Meldekanal?
Nein. Ein normales Postfach erfüllt weder die Vertraulichkeitsanforderungen (die Identität wäre für die IT einsehbar) noch die Dokumentations-, Fristen- und Nachverfolgungspflichten. Erforderlich ist ein Verfahren, das Vertraulichkeit, die Zwei-Wege-Meldung, die 7-Tage-/3-Monats-Fristen und eine revisionssichere Dokumentation gewährleistet.
Wie lange müssen Meldungen aufbewahrt werden?
Die Dokumentation einer Meldung ist grundsätzlich 3 Jahre nach Abschluss des Verfahrens zu löschen (§ 11 HinSchG); eine längere Aufbewahrung ist nur zulässig, soweit sie erforderlich und verhältnismäßig ist. Die Aufzeichnung dient dazu, den Vorgang und die Fristwahrung nachweisen zu können.
Gilt das HinSchG auch für die Gebäudereinigung?
Ja. Das HinSchG ist branchenunabhängig und gilt für jeden Arbeitgeber ab der Schwelle von in der Regel 50 Beschäftigten – also auch für Gebäudereinigungsbetriebe. Gerade dort ist die Verständlichkeit des Kanals wichtig, weil die Belegschaft häufig mehrsprachig ist.
– Kündigung, Abmahnung, Versetzung als Reaktion auf eine Meldung – sind verboten (§ 36), inklusive
Beweislastumkehr
zugunsten des Hinweisgebers.
Bußgelder: bis 20.000 €, wenn keine Meldestelle eingerichtet ist; bis 50.000 € bei Behinderung einer Meldung, Repressalien oder Verletzung der Vertraulichkeit (§ 40).
Für die Gebäudereinigung mit oft mehrsprachiger Belegschaft ist ein Punkt besonders wichtig: Ein Meldekanal nützt nur, wenn die Beschäftigten ihn verstehen und ihm vertrauen. Dieser Leitfaden erklärt jede Pflicht und wie sich der Kanal praktisch umsetzen lässt.
Was das HinSchG will – und warum es das gibt
Hinter dem sperrigen Namen steht eine einfache Idee: Wer im Unternehmen auf Rechtsverstöße stößt – etwa Betrug, Korruption, Verstöße gegen Arbeitsschutz oder Mindestlohn –, soll das melden können, ohne die eigene Existenz zu riskieren. In der Vergangenheit standen solche „Whistleblower" oft schutzlos da und verloren ihren Job.
Das HinSchG ist die deutsche Umsetzung der EU-Whistleblower-Richtlinie (EU) 2019/1937 und gilt seit 2023. Es dreht die Logik um: Nicht der Hinweisgeber muss sich rechtfertigen, sondern das Unternehmen muss einen funktionierenden, geschützten Meldeweg anbieten und Meldungen ernsthaft nachgehen.
Erfasst sind Meldungen über Verstöße, die straf- oder bußgeldbewehrt sind oder bestimmte gesetzlich genannte Bereiche betreffen (u. a. Umweltschutz, Arbeitsschutz, Produktsicherheit, Vergabe, Datenschutz). Reine private Streitigkeiten oder Unzufriedenheit fallen nicht darunter.
Wer ist verpflichtet? Der Schwellenwert 50 Beschäftigte
Die zentrale Frage für jeden Betrieb: Muss ich das überhaupt? Die Antwort steht in § 12 HinSchG:
Betriebsgröße
Pflicht zur internen Meldestelle
Besonderheit
unter 50 Beschäftigte
grundsätzlich keine Pflicht
freiwilliger Kanal möglich und oft sinnvoll
50 bis 249 Beschäftigte
Ja
dürfen eine gemeinsame Meldestelle mit anderen betreiben (Ressourcen teilen)
ab 250 Beschäftigte
Ja
eigene Meldestelle (Betrieb durch einen beauftragten Dritten bleibt zulässig; die gemeinsame Meldestelle mit anderen Unternehmen ist nur bei 50–249 möglich)
Finanzdienstleister (z. B. Banken, Versicherer, Wertpapierinstitute)
Ja – unabhängig von der Größe
§ 12 Abs. 3
Betriebsgröße
unter 50 Beschäftigte
Pflicht zur internen Meldestelle
grundsätzlich keine Pflicht
Besonderheit
freiwilliger Kanal möglich und oft sinnvoll
Betriebsgröße
50 bis 249 Beschäftigte
Pflicht zur internen Meldestelle
Ja
Besonderheit
dürfen eine gemeinsame Meldestelle mit anderen betreiben (Ressourcen teilen)
Betriebsgröße
ab 250 Beschäftigte
Pflicht zur internen Meldestelle
Ja
Besonderheit
eigene Meldestelle (Betrieb durch einen beauftragten Dritten bleibt zulässig; die gemeinsame Meldestelle mit anderen Unternehmen ist nur bei 50–249 möglich)
Betriebsgröße
Finanzdienstleister (z. B. Banken, Versicherer, Wertpapierinstitute)
Pflicht zur internen Meldestelle
„In der Regel mindestens 50 Beschäftigte" heißt: Es kommt auf die normale Beschäftigtenzahl an, nicht auf kurzzeitige Schwankungen. Teilzeitkräfte zählen dabei nach überwiegender Auffassung nach Köpfen, nicht anteilig.
Für einen typischen Gebäudereinigungsbetrieb ist das schnell erreicht: Reinigung ist personalintensiv, 50 Beschäftigte sind bei mehreren Objekten keine Seltenheit. Genau diese Betriebe – über 50 Mitarbeitende, mehrere Auftraggeber – sind das Kernpublikum des HinSchG in der Branche.
Die interne Meldestelle: was sie können muss
Eine interne Meldestelle ist kein technisches Beiwerk, sondern ein Verfahren mit klaren Anforderungen (§§ 13–18 HinSchG):
Zwei Meldewege: Die Meldestelle muss Meldungen mündlich (Telefon oder andere Sprachübermittlung) und in Textform ermöglichen. Auf Wunsch der hinweisgebenden Person ist zusätzlich eine persönliche Zusammenkunft anzubieten.
Unabhängige, unparteiische Person: Die mit der Bearbeitung betraute Person (intern oder extern) muss unabhängig handeln und darf keine Interessenkonflikte haben.
Vertraulichkeit der Identität (siehe eigener Abschnitt).
Dokumentation aller Meldungen in dauerhaft abrufbarer Weise – und Löschung der Dokumentation grundsätzlich 3 Jahre nach Abschluss des Verfahrens (§ 11).
Anonyme Meldungen: Das Gesetz verpflichtet nicht zwingend dazu, einen anonymen Meldekanal vorzuhalten, sieht aber vor, dass auch anonym eingehende Meldungen bearbeitet werden sollen. In der Praxis erhöht ein anonymer Kanal die Melderate deutlich, weil die Angst vor Entdeckung sinkt.
Die zwei entscheidenden Fristen: 7 Tage und 3 Monate
Zwei Fristen aus § 17 HinSchG muss jeder kennen, der eine Meldestelle betreibt – sie sind der häufigste Prüf- und Streitpunkt:
7 Tage – Eingangsbestätigung: Der hinweisgebenden Person ist der Eingang der Meldung spätestens nach 7 Tagen zu bestätigen.
3 Monate – Rückmeldung: Innerhalb von 3 Monaten nach der Eingangsbestätigung (oder, wenn keine Bestätigung erfolgte, spätestens 3 Monate und 7 Tage nach Eingang) muss die Meldestelle eine Rückmeldung über geplante oder bereits ergriffene Folgemaßnahmen geben.
Dazwischen liegt die eigentliche Arbeit: Meldung prüfen, Sachverhalt klären, Maßnahmen einleiten. Wer diese Fristen versäumt oder eine Meldung „versanden" lässt, verstößt gegen das Gesetz – und riskiert Bußgelder.
Vertraulichkeit und Repressionsverbot: der Kern des Schutzes
Zwei Prinzipien machen den eigentlichen Schutz aus:
Vertraulichkeitsgebot (§ 8): Die Meldestelle muss die Identität der hinweisgebenden Person, der von der Meldung betroffenen Personen und weiterer Genannter geheim halten. Sie darf nur den Personen zugänglich sein, die für die Bearbeitung zuständig sind. Eine Weitergabe der Identität ist nur in eng begrenzten Ausnahmen zulässig (z. B. auf Anordnung in einem Strafverfahren) – und in der Regel erst nach Information der betroffenen Person.
Repressionsverbot (§ 36):Benachteiligungen als Reaktion auf eine berechtigte Meldung sind verboten – dazu zählen Kündigung, Abmahnung, Versetzung, Gehaltskürzung, Mobbing oder die Verweigerung einer Beförderung. Besonders scharf: die Beweislastumkehr. Erleidet ein Hinweisgeber nach einer Meldung einen Nachteil, wird vermutet, dass dieser eine verbotene Repressalie ist – der Arbeitgeber muss beweisen, dass die Maßnahme andere Gründe hatte.
Was bei Verstößen droht: die Bußgelder (§ 40)
Das HinSchG ist kein zahnloser Tiger. § 40 staffelt die Bußgelder nach Schwere des Verstoßes:
Verstoß
Bußgeld bis zu
Keine interne Meldestelle eingerichtet (§ 12 Abs. 1)
20.000 €
Behinderung einer Meldung oder der Folge-Kommunikation (§ 7 Abs. 2)
50.000 €
Repressalie gegen eine hinweisgebende Person (§ 36)
50.000 €
Verletzung der Vertraulichkeit (§ 8)
50.000 €
Wissentlich falsche Information offenlegen (§ 32)
20.000 €
Verstoß
Keine interne Meldestelle eingerichtet (§ 12 Abs. 1)
Bußgeld bis zu
20.000 €
Verstoß
Behinderung einer Meldung oder der Folge-Kommunikation (§ 7 Abs. 2)
Bußgeld bis zu
50.000 €
Verstoß
Repressalie gegen eine hinweisgebende Person (§ 36)
Bußgeld bis zu
50.000 €
Verstoß
Verletzung der Vertraulichkeit (§ 8)
Bußgeld bis zu
50.000 €
Verstoß
Wissentlich falsche Information offenlegen (§ 32)
Bußgeld bis zu
20.000 €
Wichtig gegen ein weit verbreitetes Missverständnis: Der oft zitierte Betrag von 50.000 € gilt nicht für das bloße Fehlen der Meldestelle – dafür sind es bis zu 20.000 €. Die 50.000 € greifen bei den schwereren Verstößen (Behinderung, Repressalie, Vertraulichkeitsbruch). Gegen das Unternehmen als juristische Person kann über die Verbandsgeldbuße (§ 30 OWiG) zudem ein höheres Bußgeld verhängt werden.
Wie CERTISCAN das Hinweisgeberschutzgesetz abbildet
CERTISCAN ist eine modulare Compliance-Plattform für Gebäudereinigung, Handwerk und KMU. Das Modul Hinweisgeberschutz ist auf genau diese Betriebe zugeschnitten – mit einem realistischen Blick auf mehrsprachige Belegschaften:
Meldekanal in Textform und mit mündlicher Option, erreichbar per Weblink und QR-Code – auch vom Handy am Objekt, ohne Login-Hürde für den Hinweisgeber.
Fristen-Automatik: Die 7-Tage-Eingangsbestätigung und die 3-Monats-Rückmeldung werden nachgehalten und erinnert, damit keine Frist reißt.
Vertraulichkeit by Design: Falldaten werden verschlüsselt (AES-256-GCM) gespeichert, hochgeladene Fotos beim Upload von Standort-Metadaten (EXIF) bereinigt, und jeder Zugriff wird revisionssicher protokolliert.
Ombudsperson/OMBUDS-Rolle: Eine externe Vertrauensperson (z. B. Anwalt) kann als unabhängige Meldestelle eingebunden werden.
Mehrsprachigkeit – ehrlich eingeordnet: Die Oberfläche des Meldekanals steht in 18 Sprachen zur Verfügung. Vollständig übersetzt sind aktuell Deutsch und Englisch; die übrigen Sprachen greifen noch teilweise auf eine Fallback-Anzeige zurück und werden schrittweise vervollständigt. Eine automatische Übersetzung des Meldungsinhalts ist aus Datenschutz- und Vertraulichkeitsgründen derzeit nicht aktiv – der Meldungstext wird also nicht automatisch maschinell übersetzt.
Ehrlich eingeordnet: CERTISCAN stellt den technischen und organisatorischen Rahmen für eine HinSchG-konforme Meldestelle bereit. Die rechtssichere Ausgestaltung im Einzelfall – wer die Meldestelle besetzt, wie mit einem konkreten Fall umzugehen ist – sollten Sie mit einem Fachanwalt abstimmen.
05
Die zwei entscheidenden Fristen: 7 Tage und 3 Monate