Startseite Seminare News HinSchG interne Meldestelle: Pflichten, Organisation, Verfahren

Fachbeitrag · Hinweisgeberschutz und Compliance

HinSchG interne Meldestelle: Pflichten, Organisation, Verfahren

Beim Thema HinSchG interne Meldestelle gibt es seit Dezember 2023 keine Übergangsfrist mehr. Dieser Praxis-Leitfaden ordnet ein, wer eine Meldestelle braucht, wie sie organisiert wird, welche Kanäle, Fristen und Bußgelder gelten und was sich 2026 am Gesetz geändert hat.

Rechtsstand: Oktober 2026Lesezeit: ca. 13 MinutenAutor: Achim Schulz

Management Summary

Das Hinweisgeberschutzgesetz verpflichtet Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, eine interne Meldestelle einzurichten und zu betreiben (§ 12 Abs. 1 und 2 HinSchG). Für bestimmte Finanz- und Versicherungsunternehmen gilt die Pflicht unabhängig von der Größe (§ 12 Abs. 3). Die Übergangsfrist für Unternehmen mit 50 bis 249 Beschäftigten ist am 17. Dezember 2023 ausgelaufen.

Die Meldestelle betreibt die Meldekanäle, führt das Verfahren und ergreift Folgemaßnahmen (§ 13). Sie bestätigt den Eingang spätestens nach sieben Tagen und meldet innerhalb von drei Monaten zurück (§ 17). Die beauftragten Personen arbeiten unabhängig und müssen fachkundig sein (§ 15).

Ein häufiges Missverständnis betrifft die Anonymität: Das Gesetz verpflichtet nicht dazu, Kanäle für anonyme Meldungen einzurichten. Die Meldestelle soll anonym eingehende Meldungen aber bearbeiten (§ 16 Abs. 1 Satz 4 und 5).

Beim Rechtsstand 2026 sind zwei Punkte relevant: Der sachliche Anwendungsbereich umfasst inzwischen auch Verstöße gegen die KI-Verordnung (§ 2 Abs. 1 Nr. 10), und eine redaktionelle Folgeänderung für Versicherungsunternehmen tritt im Januar 2027 in Kraft. Der Beitrag ordnet die Normen ein und bietet einen Quick-Check. Er ersetzt keine Rechtsberatung im Einzelfall.

HinSchG interne Meldestelle: Das regelt das Gesetz

Die Vorgaben zur internen Meldestelle stehen in den §§ 12 bis 18 HinSchG, ergänzt durch die allgemeinen Regeln zu Vertraulichkeit und Dokumentation in den §§ 8 bis 11. Die Übersicht zeigt die Kernnormen und übersetzt sie in die Frage, was das Team wissen muss.

NormRegelungWas das Team wissen muss
§ 12 Abs. 1, 2 und 4 HinSchGBeschäftigungsgeber sorgen dafür, dass mindestens eine interne Meldestelle eingerichtet ist und betrieben wird. Die Pflicht gilt ab in der Regel 50 Beschäftigten. Die Meldestelle erhält die notwendigen Befugnisse.Benennung, Befugnisse und Vertretung festlegen.
§ 12 Abs. 3 HinSchGUnabhängig von der Beschäftigtenzahl gilt die Pflicht unter anderem für Wertpapierdienstleistungsunternehmen, Börsenträger, Institute nach KWG und WpIG, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen sowie Institute nach KMAG und ZAG.Beaufsichtigte Unternehmen prüfen, ob sie unter Abs. 3 fallen.
§ 13 HinSchGDie Meldestelle betreibt Meldekanäle, führt das Verfahren nach § 17 und ergreift Folgemaßnahmen nach § 18. Sie hält Informationen über externe Meldeverfahren bereit.Aufgaben in einer Beauftragung abbilden.
§ 14 HinSchGEine beschäftigte Person, eine Arbeitseinheit oder ein Dritter kann betraut werden. Unternehmen mit 50 bis 249 Beschäftigten können eine gemeinsame Stelle betreiben. Die Pflicht, Verstöße abzustellen, bleibt beim Beschäftigungsgeber.Organisationsform wählen und Verantwortung nicht delegieren.
§ 15 HinSchGDie beauftragten Personen sind unabhängig. Nebenaufgaben dürfen nicht zu Interessenkonflikten führen. Der Beschäftigungsgeber sorgt für die notwendige Fachkunde.Nebenaufgaben prüfen, Schulung planen und nachweisen.
§ 16 HinSchGKanäle müssen Beschäftigten und überlassenen Leiharbeitnehmern offenstehen, mündlich oder in Textform melden lassen und auf Wunsch eine persönliche Zusammenkunft ermöglichen. Zugriff haben nur zuständige Personen. Anonyme Meldungen sollen bearbeitet werden, ein anonymer Kanal ist nicht vorgeschrieben.Kanäle und Zugriffsrechte gestalten.
§ 17 HinSchGEingangsbestätigung nach spätestens sieben Tagen, Prüfung des Anwendungsbereichs, Kontakt, Prüfung der Stichhaltigkeit und Rückmeldung innerhalb von drei Monaten.Fristen überwachen.
§ 18 HinSchGFolgemaßnahmen sind unter anderem interne Untersuchungen, Verweis an andere Stellen, Verfahrensabschluss oder Abgabe an eine zuständige Arbeitseinheit oder Behörde.Eskalations- und Abgabewege festlegen.
§§ 8 bis 11 HinSchGVertraulichkeit der Identität, Ausnahmen, Datenverarbeitung und Dokumentation. Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht, kann aber länger aufbewahrt werden, solange das erforderlich und verhältnismäßig ist.Vertraulichkeits-, Datenschutz- und Löschkonzept erstellen.

Organisation: Wer kann die Meldestelle sein?

Das Gesetz lässt mehrere Modelle zu: eine beschäftigte Person, eine Arbeitseinheit oder einen Dritten (§ 14 Abs. 1). In kleineren Unternehmen sind Doppelfunktionen üblich, etwa bei Compliance-, Datenschutz- oder Auditverantwortlichen. Entscheidend ist, dass die Unabhängigkeit gewahrt bleibt und Interessenkonflikte ausgeschlossen sind (§ 15 Abs. 1). Die Betrauung eines Dritten entbindet den Beschäftigungsgeber nicht von der Pflicht, selbst geeignete Maßnahmen zu ergreifen, um einen Verstoß abzustellen.

Gemeinsame Stelle und Konzern

Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können eine gemeinsame Stelle betreiben (§ 14 Abs. 2). Für Konzerne regelt das Gesetz keine eigene Konstellation. In der Praxis wird die Betrauung einer anderen Konzerngesellschaft als Dritter diskutiert; ob und unter welchen Voraussetzungen das genügt, ist eine Einzelfallfrage. Die Verantwortung für Abhilfe und Rückmeldung bleibt bei dem jeweiligen Beschäftigungsgeber.

Meldekanäle, Anonymität und externe Stellen

Pflicht ist ein Kanal für mündliche oder Textform-Meldungen (§ 16 Abs. 3). Ein anonymer Kanal ist nicht vorgeschrieben; die externe Meldestelle des Bundes beim Bundesamt für Justiz ermöglicht anonyme Meldungen dagegen seit dem 1. Juli 2024 (§ 4 Abs. 2 HEMBV). Hinweisgebende Personen können zwischen interner und externer Meldung wählen (§ 7 Abs. 1). Beschäftigungsgeber sollen Anreize für die interne Meldung schaffen, dürfen die externe Meldung aber nicht beschränken oder erschweren (§ 7 Abs. 3).

Fristen und Zeitpunkte

Alle Übergangsfristen sind abgelaufen. Die folgende Übersicht zeigt, wann welche Pflicht greift und welche Änderungen seit 2023 hinzugekommen sind.

ZeitpunktEreignisBedeutung
Juni 2023Das Hinweisgeberschutzgesetz wird im Bundesgesetzblatt verkündet (BGBl. 2023 I Nr. 140).Grundlage der Pflichten zur internen Meldestelle.
Juli 2023Das Gesetz tritt am 2. Juli 2023 in Kraft.Pflicht für Unternehmen ab 250 Beschäftigten.
1. Dezember 2023Das Bußgeld für eine fehlende interne Meldestelle ist anwendbar (§ 42 Abs. 2).Verstöße gegen § 12 Abs. 1 sind bußgeldbewehrt.
17. Dezember 2023Die Übergangsfrist für Unternehmen mit 50 bis 249 Beschäftigten endet (§ 42 Abs. 1).Seitdem gilt die Pflicht für alle Unternehmen ab 50 Beschäftigten.
1. Juli 2024Die externe Meldestelle des Bundes ermöglicht anonyme Meldungen (§ 4 Abs. 2 HEMBV).Externer Weg ist anonym nutzbar.
Dezember 2024Die größenunabhängige Pflicht wird auf Institute nach KMAG und ZAG ausgeweitet (§ 12 Abs. 3 Nr. 8 und 9).Weitere beaufsichtigte Unternehmen betroffen.
Juli 2026Verstöße gegen die KI-Verordnung (EU) 2024/1689 werden in den Anwendungsbereich aufgenommen (§ 2 Abs. 1 Nr. 10; BGBl. 2026 I Nr. 223).Meldungen zu KI-Verstößen sind geschützt.
Januar 2027Redaktionelle Folgeänderung in § 12 Abs. 3 Nr. 7 durch das VSAAG (BGBl. 2026 I Nr. 275).Verweis auf das Versicherungsaufsichtsgesetz wird angepasst; keine neue Pflicht.

Pflichten nach Funktion

Die interne Meldestelle ist kein Ein-Personen-Thema. Die Aufteilung zeigt, welches Wissen in welcher Rolle gebraucht wird.

§ 12 Abs. 1, 4; § 15 Abs. 2; § 7 Abs. 3; § 40 Abs. 2 HinSchG

Geschäftsleitung

Sorgt dafür, dass eine Meldestelle eingerichtet ist und betrieben wird, erteilt die Befugnisse, stellt die Fachkunde sicher und schafft Anreize für die interne Meldung.

§§ 8, 11, 13, 16 bis 18 HinSchG

Interne Meldestelle

Betreibt die Kanäle, bestätigt den Eingang, prüft Stichhaltigkeit, hält Kontakt, ergreift Folgemaßnahmen und dokumentiert unter Wahrung der Vertraulichkeit.

§ 10, § 11 Abs. 5, § 16 Abs. 2 HinSchG

IT und Datenschutz

Gestaltet Zugriffsrechte, Datenverarbeitung und Löschung. IT-Dienstleister dürfen nur im Rahmen der Unterstützung und nur soweit nötig zugreifen.

§ 7 Abs. 2; § 36 HinSchG

Personal und Führungskräfte

Dürfen Meldungen und die Kommunikation mit der Meldestelle nicht behindern und keine Repressalien ergreifen. Bei einer Benachteiligung nach einer Meldung wird vermutet, dass sie eine Repressalie ist.

Typische Schwachstellen mit Normbezug

Aus den Normen ergeben sich sechs Stellen, an denen Prozesse und Wissen häufig auseinanderfallen.

§ 16 Abs. 1 Satz 4 und 5 HinSchG

Anonymität missverstanden

Ein anonymer Kanal ist nicht vorgeschrieben, anonym eingehende Meldungen sollen aber bearbeitet werden. Rückmeldungen sind nur über einen Kanal möglich, der anonyme Kommunikation erlaubt.

§ 17 Abs. 1 und 2 HinSchG

Fristen nicht überwacht

Sieben Tage für die Eingangsbestätigung und drei Monate für die Rückmeldung laufen unabhängig von der Bearbeitungsdauer. Ohne Fristenkalender werden sie leicht versäumt.

§ 15 Abs. 1 HinSchG

Doppelrollen ohne Konfliktprüfung

Nebenaufgaben sind erlaubt, dürfen aber nicht zu Interessenkonflikten führen. Die Prüfung sollte dokumentiert werden.

§ 16 Abs. 2, § 8 Abs. 1 HinSchG

Zu weiter Zugriff

Nur zuständige und unterstützende Personen dürfen Zugriff auf Meldungen haben. Das gilt auch für Administratoren und IT-Dienstleister.

§ 11 Abs. 2 und 5 HinSchG

Dokumentation und Löschung

Telefonische Meldungen dürfen nur mit Einwilligung aufgezeichnet oder wörtlich protokolliert werden, sonst genügt ein Inhaltsprotokoll. Die Dokumentation wird drei Jahre nach Abschluss gelöscht.

§ 7 Abs. 3, § 13 Abs. 2 HinSchG

Information fehlt

Beschäftigte brauchen klare und leicht zugängliche Informationen zum internen Verfahren und zu externen Meldewegen.

Quick-Check: Wo steht dein Unternehmen?

Wähle je Prüffeld den Zustand, der am besten passt. Die Empfehlung erscheint direkt darunter. Der Quick-Check ersetzt keine Rechtsprüfung.

Einrichtung: Ist die interne Meldestelle benannt und mit den nötigen Befugnissen ausgestattet (§ 12 Abs. 1 und 4 HinSchG)?

Erfüllt: Die Meldestelle ist benannt und befugt. Prüfe, ob Vertretung und Zuständigkeiten schriftlich festgehalten sind.
Teilweise: Die Benennung liegt vor, aber Befugnisse oder Vertretung sind unklar. Halte beides in einer Beauftragung fest, die auch die Geschäftsleitung kennt.
Offen: Benenne eine Person, eine Arbeitseinheit oder einen Dritten und erteile die Befugnisse, Meldungen zu prüfen und Folgemaßnahmen zu ergreifen.

Meldekanäle: Gibt es einen Kanal in mündlicher oder Textform, zu dem nur die zuständigen Personen Zugriff haben (§ 16 Abs. 2 und 3 HinSchG)?

Erfüllt: Die Kanäle sind eingerichtet. Prüfe, ob auf Wunsch eine persönliche Zusammenkunft in angemessener Zeit möglich ist und IT-Dienstleister nur den nötigen Zugriff haben.
Teilweise: Ein Kanal besteht, aber Zugriff oder mündliche Möglichkeit sind lückenhaft. Ergänze Berechtigungskonzept und Telefon- oder Gesprächsangebot.
Offen: Richte mindestens einen Kanal ein, der Meldungen mündlich oder in Textform ermöglicht, und begrenze den Zugriff auf die zuständigen Personen.

Verfahren: Sind Eingangsbestätigung nach sieben Tagen, Rückmeldung nach drei Monaten und Dokumentation geregelt (§§ 11, 17 HinSchG)?

Erfüllt: Das Verfahren ist geregelt. Prüfe, ob ein Fristenkalender und die Löschung drei Jahre nach Abschluss umgesetzt sind.
Teilweise: Das Verfahren ist teilweise geregelt. Lege Fristenüberwachung, Protokollform und Löschfrist verbindlich fest.
Offen: Beginne mit einer Verfahrensanweisung von Eingang bis Abschluss: Fristen, Zuständigkeiten, Dokumentation, Folgemaßnahmen.

Fachkunde und Unabhängigkeit: Sind die Personen der Meldestelle geschult und frei von Interessenkonflikten (§ 15 HinSchG)?

Erfüllt: Fachkunde und Unabhängigkeit sind gegeben. Halte Schulungsnachweise fest und prüfe Nebenaufgaben regelmäßig auf Konflikte.
Teilweise: Es fehlt Schulung oder eine Konfliktprüfung. Plane eine rollenbezogene Schulung und dokumentiere die Prüfung der Nebenaufgaben.
Offen: Lege fest, wer die Fachkunde nachweist, und prüfe, ob Nebenaufgaben der beauftragten Personen zu Interessenkonflikten führen.

Information: Erhalten Beschäftigte klare Informationen zum internen Verfahren und zu externen Meldewegen (§ 7 Abs. 3, § 13 Abs. 2 HinSchG)?

Erfüllt: Die Information ist vorhanden. Prüfe, ob sie leicht zugänglich ist und die externen Meldewege nicht erschwert.
Teilweise: Die Information besteht, ist aber schwer auffindbar oder unvollständig. Bündele sie an einer zentralen Stelle, etwa im Intranet.
Offen: Erstelle eine Information zum internen Verfahren und verweise auf die externen Meldestellen. Die externe Meldung darf dadurch nicht erschwert werden.

Lösungsansätze: vier No-Regret-Maßnahmen

Diese Maßnahmen sind unabhängig von Branche und Größe sinnvoll.

1

Verfahrensanweisung mit Fristenkalender

Regle den Weg von Eingang bis Abschluss einschließlich sieben Tagen und drei Monaten sowie Zuständigkeiten und Vertretung.

2

Rolle, Fachkunde und Konfliktprüfung dokumentieren

Halte fest, wer die Meldestelle ist, welche Schulung vorliegt und welche Nebenaufgaben geprüft wurden.

3

Zugriffs- und Löschkonzept erstellen

Begrenze den Zugriff auf die zuständigen Personen und setze die Löschfrist von drei Jahren nach Abschluss um.

4

Information und Anreize aufsetzen

Informiere Beschäftigte zentral über interne und externe Meldewege, ohne die externe Meldung zu erschweren.

Fazit und Kernbotschaften

  • Die Pflicht zur internen Meldestelle gilt ab in der Regel 50 Beschäftigten; für bestimmte beaufsichtigte Unternehmen unabhängig von der Größe.

  • Ein anonymer Meldekanal ist nicht vorgeschrieben; anonym eingehende Meldungen sollen bearbeitet werden.

  • Sieben Tage bis zur Eingangsbestätigung, drei Monate bis zur Rückmeldung: Fristen brauchen eine Überwachung.

  • Die Betrauung eines Dritten ist möglich, die Verantwortung für die Abhilfe bleibt beim Unternehmen.

Eine funktionierende HinSchG interne Meldestelle beruht auf geklärter Zuständigkeit, überwachten Fristen und geschultem Personal. Wer die Beteiligten dafür qualifizieren möchte, findet im Programm der Compliance-Seminare passende Angebote.

Fehlen dir intern Kapazitäten oder Fachkunde für den Betrieb, unterstützt dich S+P Compliance. § 14 Abs. 1 HinSchG lässt die Beauftragung eines Dritten ausdrücklich zu, die Pflicht zur Abhilfe bleibt beim Unternehmen. Informationen zur Beauftragung findest du unter Auslagerung der internen Meldestelle.

Häufige Fragen

Ab wann und für wen ist eine interne Meldestelle Pflicht?+–

Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen nach § 12 Abs. 1 und 2 HinSchG eine interne Meldestelle einrichten und betreiben. Für die in § 12 Abs. 3 genannten Unternehmen, etwa Wertpapierdienstleistungsunternehmen, Institute nach KWG und WpIG sowie Versicherungsunternehmen, gilt das unabhängig von der Beschäftigtenzahl. Die Übergangsfrist für Unternehmen mit 50 bis 249 Beschäftigten ist am 17. Dezember 2023 ausgelaufen (§ 42 Abs. 1 HinSchG).

Wer kann die interne Meldestelle sein?+–

Der Beschäftigungsgeber kann eine beschäftigte Person, eine Arbeitseinheit aus mehreren Beschäftigten oder einen Dritten betrauen (§ 14 Abs. 1 Satz 1 HinSchG). Die beauftragten Personen sind unabhängig und dürfen andere Aufgaben nur wahrnehmen, wenn daraus keine Interessenkonflikte entstehen (§ 15 Abs. 1). Außerdem braucht die Meldestelle die notwendige Fachkunde (§ 15 Abs. 2).

Müssen anonyme Meldungen möglich sein?+–

Nicht zwingend. Es besteht keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen. Die interne Meldestelle sollte anonym eingehende Meldungen aber bearbeiten (§ 16 Abs. 1 Satz 4 und 5 HinSchG).

Welche Fristen gelten für das Verfahren?+–

Die interne Meldestelle bestätigt den Eingang einer Meldung spätestens nach sieben Tagen. Die Rückmeldung an die hinweisgebende Person erfolgt innerhalb von drei Monaten nach der Eingangsbestätigung, ohne Bestätigung spätestens drei Monate und sieben Tage nach Eingang (§ 17 Abs. 1 Nr. 1 und Abs. 2 HinSchG).

Welche Bußgelder drohen?+–

Wer nicht dafür sorgt, dass eine interne Meldestelle eingerichtet ist und betrieben wird, handelt ordnungswidrig; die Geldbuße kann bis zu 20.000 Euro betragen (§ 40 Abs. 2 Nr. 2 und Abs. 6 HinSchG). Für das Behindern von Meldungen, Repressalien und Verstöße gegen das Vertraulichkeitsgebot sind bis zu 50.000 Euro vorgesehen. Über den Verweis auf § 30 Abs. 2 Satz 3 OWiG kann sich das Höchstmaß gegenüber Unternehmen erhöhen.

Darf die interne Meldestelle ausgelagert werden?+–

Ja. § 14 Abs. 1 HinSchG lässt die Betrauung eines Dritten ausdrücklich zu. Der Beschäftigungsgeber bleibt aber verpflichtet, selbst geeignete Maßnahmen zu ergreifen, um einen Verstoß abzustellen. Unternehmen mit 50 bis 249 Beschäftigten können außerdem gemeinsam eine Stelle betreiben (§ 14 Abs. 2); die Pflicht zur Abhilfe und zur Rückmeldung bleibt beim einzelnen Unternehmen.

Quellenverzeichnis

Verkündet wurde das Gesetz als BGBl. 2023 I Nr. 140. Die folgenden Primärquellen bilden die Grundlage dieses Beitrags.

Verwandte Leistungen und Programme

Compliance-Seminare

Überblick über die Compliance-Seminare von S+P Seminare.

Compliance-Officer-Lehrgang

Lehrgang für die Compliance-Funktion.

Hinweisgeberschutzgesetz: Schutz für Hinweisgeber

Der Schutz hinweisgebender Personen im Überblick.

Was ist der EU AI Act?

Grundlagen der KI-Verordnung, die seit 2026 zum Anwendungsbereich des HinSchG gehört.

Was ist Compliance?

Einordnung der Compliance-Funktion im Unternehmen.

Seminar-Termine

Aktuelle Termine und Buchungsmöglichkeiten.

HinSchG interne Meldestelle
Achim Schulz
Ihr Referent

Achim Schulz

Geschäftsführer der S+P Unternehmerforum & der S+P Compliance

Achim Schulz ist selbst als Compliance Officer und Single Officer für Banken, Wertpapierinstitute und weitere BaFin-regulierte Institute bestellt. Über S+P Compliance verantwortet er als Auslagerungsdienstleister die ausgelagerte Geldwäsche-Beauftragten-Funktion in der Praxis – genau dieses Praxis- und Prüfungswissen fließt direkt in den Lehrgang ein.

LinkedIn-Profil → · Redaktion & Experten →

Seminare & Lehrgänge

Plattform & Methodik

Über S+P

ISO9001
ecovadis

Service & Kontakt

Board & Management

Compliance & Aufsicht

Führung & Leadership

Finance & Performance

S&P Unternehmerforum GmbH 809 Bewertungen auf ProvenExpert.com