Die Meldestelle haben die meisten. Die Fachkunde nicht.
Beim Hinweisgeberschutz schauen alle auf denselben Punkt: Ist ein Meldekanal eingerichtet? Der ist schnell gekauft. Nur liegt dort weder das teure Bußgeld noch das eigentliche Risiko. Das liegt einen Schritt weiter — bei der Person, die die erste Meldung entgegennimmt, und bei der Frage, ob sie weiß, was sie tut.
Diese Seite fasst zusammen, was im Gesetz steht, mit Paragraf und Quelle. Sie ersetzt keine Rechtsberatung und keine Prüfung des Einzelfalls.
Wen es trifft — und seit wann
| Wer | Was gilt | Fundstelle |
|---|---|---|
| Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten | müssen mindestens eine interne Meldestelle einrichten und betreiben | § 12 Abs. 1 und 2 |
| Wertpapierdienstleister, Kreditinstitute, Kapitalverwaltungsgesellschaften und weitere Finanzunternehmen | dieselbe Pflicht unabhängig von der Beschäftigtenzahl | § 12 Abs. 3 |
| Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten | Übergangsfrist am 17. Dezember 2023 abgelaufen — die Pflicht ist längst scharf, nicht neu; für die in § 12 Abs. 3 genannten Unternehmen galt sie ohnehin nicht | § 42 Abs. 1 |
„In der Regel“ heißt nach allgemeinem Verständnis: Es zählt der normale Beschäftigungsstand, nicht der Stichtag. Wer saisonal schwankt und regelmäßig bei 50 oder mehr liegt, ist erfasst, auch wenn er im Januar darunterfällt.
Wo das Geld wirklich liegt
Der Bußgeldrahmen ist der am häufigsten falsch zitierte Teil dieses Gesetzes. Er ist gestaffelt — und gegenüber juristischen Personen ist die fehlende Meldestelle darin der günstigste Verstoß, weil sie als einzige nicht verzehnfacht wird:
| Verstoß | Rahmen | Fundstelle |
|---|---|---|
| Keine interne Meldestelle eingerichtet und betrieben | bis 20.000 € | § 40 Abs. 2 Nr. 2 i. V. m. Abs. 6 |
| Meldung behindert | bis 50.000 € | § 40 Abs. 2 Nr. 1 i. V. m. Abs. 6 |
| Repressalie gegen eine hinweisgebende Person | bis 50.000 € | § 40 Abs. 2 Nr. 3 i. V. m. Abs. 6 |
| Vertraulichkeit nicht gewahrt (vorsätzlich oder leichtfertig) | bis 50.000 € | § 40 Abs. 3 i. V. m. Abs. 6 |
| Vertraulichkeit fahrlässig nicht gewahrt | bis 10.000 € gegenüber juristischen Personen ebenfalls verzehnfacht |
§ 40 Abs. 4 i. V. m. Abs. 6 |
Die Aufstellung zeigt die Fälle, die Unternehmen in der Praxis treffen. § 40 kennt weitere Tatbestände, unter anderem das wissentliche Offenlegen unrichtiger Informationen (Abs. 1) und den Versuch (Abs. 5).
Der Punkt, den fast niemand nennt
Für Behinderung, Repressalie und Vertraulichkeitsverstoß verweist § 40 Abs. 6 ausdrücklich auf § 30 Abs. 2 Satz 3 OWiG. Dort steht: „Verweist das Gesetz auf diese Vorschrift, so verzehnfacht sich das Höchstmaß der Geldbuße nach Satz 2 für die im Gesetz bezeichneten Tatbestände.“ Gegenüber einer juristischen Person oder Personenvereinigung steht in diesen Fällen also nicht ein Rahmen von 50.000 €, sondern das Zehnfache im Raum — vorausgesetzt, die Tat wurde von einer Leitungsperson im Sinne des § 30 Abs. 1 OWiG begangen. Die Verweisung erfasst nach dem Wortlaut die Fälle des Absatzes 2 Nummer 1 und 3 sowie der Absätze 3 und 4 — also auch den fahrlässigen Vertraulichkeitsverstoß. Für die fehlende Meldestelle gilt sie nicht.
Anders gesagt: Der Kanal kostet im schlimmsten Fall 20.000 €. Der falsche Umgang mit der ersten Meldung kostet eine Größenordnung mehr. Und der falsche Umgang entsteht nicht aus bösem Willen, sondern daraus, dass jemand nicht weiß, dass er den Namen des Hinweisgebers nicht weitergeben darf.
§ 15: Die Pflicht, die kein Format hat
Dazu kommt aus Absatz 1: Die beauftragten Personen sind bei ihrer Tätigkeit unabhängig, dürfen daneben andere Aufgaben wahrnehmen — dabei ist sicherzustellen, dass daraus keine Interessenkonflikte entstehen (§ 15 Abs. 1 Satz 3). Wer die Meldestelle der Personalleitung überträgt, sollte diesen Satz zweimal lesen.
Was das Gesetz nicht sagt: keine Schulungsdauer, keine Häufigkeit, keine vorgeschriebenen Inhalte, kein anerkannter Anbieter, keine Zertifizierungspflicht. Dasselbe Muster wie bei Art. 4 der EU-KI-Verordnung (EU AI Act) und bei § 31 des österreichischen NISG 2026 — der Gesetzgeber verlangt Kompetenz und überlässt Ihnen den Weg dorthin.
Und damit auch die Beweislast. Wenn nach einem Vorfall gefragt wird, ob die beauftragte Person die notwendige Fachkunde hatte, ist die Antwort entweder ein datiertes Dokument oder eine Behauptung. Ein Kalendereintrag „Einweisung durch die Geschäftsführung“ ist beides nicht.
Die zwei Fristen, an denen fehlende Fachkunde sichtbar wird
Wer eine Meldung entgegennimmt, hat zwei Termine. Der Eingang ist der hinweisgebenden Person spätestens nach sieben Tagen zu bestätigen (§ 17 Abs. 1 Nr. 1). Und innerhalb von drei Monaten nach dieser Bestätigung ist zurückzumelden, welche Folgemaßnahmen geplant oder ergriffen wurden und warum — wurde der Eingang nicht bestätigt, spätestens drei Monate und sieben Tage nach Eingang (§ 17 Abs. 2 Satz 1).
Beide Fristen laufen ab dem Tag der Meldung, nicht ab dem Tag, an dem jemand Zeit dafür hat. Es sind die einzigen harten Fristen des Gesetzes — und die Stelle, an der man von außen sieht, ob die beauftragte Person weiß, was sie tut.
§ 16: Welche Wege offenstehen müssen
Die Meldestelle zu benennen ist das eine. § 16 sagt, worüber sie erreichbar sein muss — und dieser Absatz wird beim Einkauf einer Softwarelösung regelmäßig übersehen, weil ein Webformular nach einer vollständigen Antwort aussieht.
Drei Sätze, drei Folgen. Zur Frage, ob Satz 1 dem Beschäftigungsgeber die Wahl lässt oder der hinweisgebenden Person, wird unterschiedlich vertreten — wir legen das nicht aus. Was im Wortlaut nicht offen ist: Satz 3 gilt unabhängig davon. Auch wer ausschließlich ein Formular anbietet, muss auf Ersuchen eine persönliche Zusammenkunft ermöglichen, und zwar innerhalb angemessener Zeit. Mit Einwilligung der hinweisgebenden Person darf das laut Satz 4 auch per Bild- und Tonübertragung geschehen.
Woran das praktisch scheitert
Die Zusammenkunft braucht eine Person, keine Software: jemanden, der kurzfristig verfügbar ist, das Gespräch führen kann und die Vertraulichkeit wahrt. Wer die Meldestelle an einen Dienstleister ausgelagert hat, sollte im Vertrag nachlesen, ob dieser Fall dort steht — er kostet Zeit und wird deshalb gern weggelassen.
Und der Termin ist kein Selbstläufer: In der Zusammenkunft sitzt jemand, der gerade ein persönliches Risiko eingeht. Ob das Gespräch die Vertraulichkeit nach § 8 wahrt und ob daraus eine vollständige Dokumentation nach § 17 wird, hängt an derselben Fachkunde, die § 15 Abs. 2 verlangt — und an keiner Software.
Zwei verbreitete Irrtümer, beide im Gesetz beantwortet
„Anonyme Meldungen müssen möglich sein.“ Nein. § 16 Abs. 1 Satz 4 sagt, die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten; Satz 5 stellt ausdrücklich klar: „Es besteht allerdings keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen.“ Eine Soll-Vorschrift für die Bearbeitung, keine Pflicht zum anonymen Kanal.
„Das Postfach kann die Assistenz mitlesen.“ Nein. Nach § 16 Abs. 2 dürfen nur die für Entgegennahme und Bearbeitung zuständigen Personen und deren Unterstützung Zugriff auf eingehende Meldungen haben. Ein geteiltes Funktionspostfach erfüllt das in aller Regel nicht.
Drei zulässige Organisationsformen
§ 14 Abs. 1 lässt die Wahl: eine beschäftigte Person, eine Arbeitseinheit aus mehreren Beschäftigten oder ein Dritter. Auslagern ist also ausdrücklich erlaubt — aber Satz 2 zieht die Grenze: Die Betrauung eines Dritten entbindet nicht von der Pflicht, selbst geeignete Maßnahmen zu ergreifen, um einen etwaigen Verstoß abzustellen. Der Dienstleister nimmt die Meldung entgegen; abstellen müssen Sie.
Für private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten erlaubt § 14 Abs. 2 zusätzlich eine gemeinsame Meldestelle mehrerer Unternehmen. Die Pflicht, den Verstoß abzustellen und der hinweisgebenden Person zurückzumelden, bleibt beim einzelnen Beschäftigungsgeber.
Warum das hier steht
KlarComply ist mit der KI-Verordnung angetreten. Beim Hinweisgeberschutz begegnet uns dieselbe Konstruktion ein zweites Mal — und beim österreichischen NISG 2026 ein drittes:
| Pflicht | Verlangt wird | Format vorgeschrieben? |
|---|---|---|
| Art. 4 EU-KI-Verordnung | Entwicklung der KI-Kompetenz des Personals | nein |
| § 15 Abs. 2 HinSchG | notwendige Fachkunde der Meldestelle | nein |
| § 31 Abs. 2 NISG 2026 (AT) | Teilnahme der Leitungsorgane an Cybersicherheitsschulungen | nein |
Dreimal dieselbe Lücke zwischen Anforderung und Nachweis. Wer sie einmal geschlossen hat — Schulung, Teilnahme je Person, datiertes Dokument, wiederholbar —, schließt sie beim nächsten Gesetz in derselben Struktur. Genau das ist unser Geschäft: nicht die Auslegung, sondern die Akte.
Häufige Fragen
Ab wie vielen Beschäftigten braucht ein Unternehmen eine interne Meldestelle?
Ab in der Regel 50 Beschäftigten (§ 12 Abs. 2 HinSchG). Für Wertpapierdienstleistungsunternehmen, Kreditinstitute, Kapitalverwaltungsgesellschaften und weitere in § 12 Abs. 3 genannte Unternehmen gilt die Pflicht unabhängig von der Beschäftigtenzahl. Die Übergangsfrist für private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten ist am 17. Dezember 2023 abgelaufen (§ 42 Abs. 1); für die in § 12 Abs. 3 genannten Unternehmen galt sie nicht.
Verlangt das Hinweisgeberschutzgesetz eine Schulung?
§ 15 Abs. 2 HinSchG verlangt, dass Beschäftigungsgeber dafür Sorge tragen, dass die mit den Aufgaben einer internen Meldestelle beauftragten Personen über die notwendige Fachkunde verfügen. Wie diese Fachkunde erworben oder nachgewiesen wird, schreibt das Gesetz nicht vor. Es gibt keine vorgeschriebene Schulungsdauer, keinen anerkannten Anbieter und keine Zertifizierungspflicht.
Wie hoch sind die Bußgelder nach dem Hinweisgeberschutzgesetz?
Keine eingerichtete interne Meldestelle: bis 20.000 Euro (§ 40 Abs. 2 Nr. 2, Abs. 6). Behinderung einer Meldung, Repressalien gegen hinweisgebende Personen und die vorsätzliche oder leichtfertige Verletzung der Vertraulichkeit: bis 50.000 Euro; der fahrlässige Vertraulichkeitsverstoß bis 10.000 Euro. Für die Fälle des § 40 Abs. 2 Nummer 1 und 3 sowie der Absätze 3 und 4 verweist § 40 Abs. 6 auf § 30 Abs. 2 Satz 3 OWiG, wonach sich das Höchstmaß gegenüber juristischen Personen verzehnfacht. Für die fehlende Meldestelle gilt diese Verweisung nicht.
Darf die Meldestelle ausgelagert werden?
Ja. Nach § 14 Abs. 1 HinSchG kann eine beschäftigte Person, eine Arbeitseinheit oder ein Dritter mit den Aufgaben betraut werden. Die Auslagerung entbindet den Beschäftigungsgeber aber nicht davon, selbst geeignete Maßnahmen zu ergreifen, um einen Verstoß abzustellen. Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten dürfen nach § 14 Abs. 2 zudem eine gemeinsame Meldestelle betreiben.
Was KlarComply hier leistet — und was nicht
Nicht: Wir betreiben keine Meldestelle, nehmen keine Meldungen entgegen, prüfen keine einzelne Meldung und beurteilen keine arbeitsrechtlichen Folgen. Ob ein bestimmter Vorgang eine Repressalie ist, ob eine Kündigung haltbar bleibt, wie eine Betriebsvereinbarung zu fassen ist: Das gehört zu einer Rechtsanwältin oder einem Rechtsanwalt, und dazu raten wir ausdrücklich.
Sondern: die Nachweisstruktur, die bei jeder dieser Pflichten dieselbe ist — wer ist benannt, wann wurde geschult, was stand drin, prüfbares Zertifikat je Person, Akte auf Knopfdruck. Heute liegt der Kursinhalt bei der KI-Verordnung; ein Fachkunde-Modul zum Hinweisgeberschutz ist nicht Teil des Abos. Wenn Sie das brauchen würden, schreiben Sie uns — wir bauen es nach Bedarf, nicht auf Verdacht.
Der Einstieg, der heute etwas bringt: der kostenlose Quick-Check zum KI-Einsatz. Zehn Fragen, zwei Minuten, ohne Anmeldung.
Zum kostenlosen Quick-CheckInteresse an einem Fachkunde-Modul? [email protected]
Rechtlicher Hinweis: Diese Seite gibt allgemeine Hinweise zum Hinweisgeberschutzgesetz und stellt keine Rechtsberatung dar. Ob und in welcher Form eine Pflicht Ihr Unternehmen trifft, hängt vom Einzelfall ab. Maßgeblich ist der Gesetzestext in seiner jeweils geltenden Fassung.
Quellen: § 12 HinSchG · § 14 · § 15 · § 17 · § 40 · § 42 · § 30 OWiG