Welche Hinweisgeberschutzgesetz-Software braucht ein deutsches Unternehmen 2026? Kurzantwort: Jeder Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten muss nach § 12 HinSchG eine interne Meldestelle einrichten, die einen sicheren, vertraulichen Meldekanal bereitstellt — und der Meldekanal verarbeitet fast immer personenbezogene Daten, ist also gleichzeitig ein DSGVO-Thema. Die rationale Wahl ist eine Software, die den vertraulichen Meldekanal, einen gegebenenfalls angebotenen anonymen Dialog, die gesetzlichen Fristen (Eingangsbestätigung binnen sieben Tagen, Rückmeldung binnen drei Monaten) und die Löschfrist nach § 11 HinSchG abbildet — und die den Meldekanal sauber in Ihr Verarbeitungsverzeichnis einordnet.
Dieser Vergleich zeigt, was das HinSchG technisch verlangt, welche Funktionen Sie am tatsächlichen Angebot prüfen sollten und wie Sie die Datenschutzdokumentation mit dem Meldeverfahren verbinden.
Wichtige Punkte
- Pflicht ab 50 Beschäftigten (§ 12 Abs. 2 HinSchG); für Finanzunternehmen und einige andere Sektoren unabhängig von der Größe.
- § 40 HinSchG unterscheidet Bußgeldhöchstgrenzen: insbesondere 20.000 € für die fehlende Einrichtung oder den fehlenden Betrieb der Meldestelle und 50.000 € für bestimmte andere Verstöße.
- Der Meldekanal verarbeitet personenbezogene Daten → Eintrag ins Verarbeitungsverzeichnis und Löschkonzept sind Pflicht.
- Fristen: Eingangsbestätigung spätestens nach 7 Tagen; Rückmeldung binnen 3 Monaten nach der Bestätigung, ohne Bestätigung spätestens drei Monate und sieben Tage nach Eingang (§ 17 HinSchG).
- Dokumentation der Meldungen nach § 11 HinSchG grundsätzlich drei Jahre nach Verfahrensabschluss.
Was das Hinweisgeberschutzgesetz technisch verlangt
Das Hinweisgeberschutzgesetz (HinSchG) setzt die EU-Whistleblower-Richtlinie (EU) 2019/1937 in deutsches Recht um. Es gilt seit Juli 2023 und verpflichtet Unternehmen mit in der Regel mindestens 50 Beschäftigten zur Einrichtung einer internen Meldestelle. Für Unternehmen zwischen 50 und 249 Beschäftigten war eine Übergangsfrist vorgesehen; seit Dezember 2023 gilt die Pflicht flächendeckend.
Das Verfahren muss vier Aufgaben verlässlich abbilden:
- Vertraulicher Meldekanal — mündlich oder in Textform; auf Ersuchen ist innerhalb angemessener Zeit eine persönliche Zusammenkunft zu ermöglichen (§ 16 Abs. 3 HinSchG). Anonym eingehende Meldungen sollten bearbeitet werden; eine Pflicht, den Kanal für anonyme Meldungen auszugestalten, besteht nach § 16 Abs. 1 nicht.
- Fristenmanagement — Eingangsbestätigung spätestens nach sieben Tagen und dokumentierte Rückmeldung mit dem Fristbeginn nach § 17 Abs. 2. Eine bestimmte Automatisierung schreibt die Vorschrift nicht vor.
- Vertraulichkeitsschutz — Zugriff für die zuständigen und die sie bei ihren Aufgaben unterstützenden Personen (§§ 8, 16 HinSchG); keine pauschale Freigabe an Vorgesetzte oder die gesamte IT-Abteilung.
- Dokumentation — nachvollziehbare, aber datensparsame Aufzeichnung jeder Meldung nach § 11 HinSchG.
Die Vertraulichkeit ist der technische Kern: Prüfen Sie Rollen, Administratorrechte, Wartungszugänge und Exporte konkret. Ein allgemeines Gruppenpostfach oder Ticketsystem mit weitreichenden Standardrechten schützt die Meldung nicht ausreichend; entscheidend sind die tatsächliche Konfiguration und die begrenzten Aufgaben der berechtigten Personen.
Warum HinSchG immer auch DSGVO ist
Sobald ein Hinweis eine Person benennt — die beschuldigte Person, Zeugen, die hinweisgebende Person selbst — verarbeitet die Meldestelle personenbezogene Daten, oft besondere Kategorien nach Art. 9 DSGVO (etwa bei Vorwürfen zu Gesundheit oder Gewerkschaftszugehörigkeit). Daraus folgt konkret:
- Verzeichnis von Verarbeitungstätigkeiten: Der Meldekanal ist eine eigene Verarbeitungstätigkeit und gehört ins Verzeichnis nach Art. 30 DSGVO. Rechtsgrundlage ist die rechtliche Verpflichtung aus dem HinSchG (Art. 6 Abs. 1 lit. c DSGVO).
- Löschkonzept: § 11 Abs. 5 HinSchG verlangt die Löschung der Dokumentation drei Jahre nach Abschluss des Verfahrens, sofern keine längere Aufbewahrung zur Erfüllung gesetzlicher Anforderungen erforderlich und verhältnismäßig ist. Das gehört in Ihr Löschkonzept und Ihre Aufbewahrungsfristen-Tabelle.
- Informationspflichten und Betroffenenrechte: Die beschuldigte Person hat grundsätzlich Auskunftsrechte nach Art. 15 DSGVO — allerdings begrenzt durch den Schutz der hinweisgebenden Person. Diese Abwägung muss die Software abbilden.
- Auftragsverarbeitung: Prüfen Sie die tatsächliche Rolle externer Beteiligter. Für weisungsgebundene Verarbeitung ist ein Auftragsverarbeitungsvertrag erforderlich; eine eigenverantwortliche Stelle ist gesondert einzuordnen.
Genau diese Doppelnatur macht die Auswahl schwierig: Ein Tool allein gewährleistet weder die rechtmäßige Fallbearbeitung noch die vollständige Datenschutzdokumentation. Prüfen Sie, welche Aufgaben das konkrete Angebot unterstützt und wer die verbleibenden Entscheidungen trifft.
Die Vergleichskriterien
| Kriterium | Warum entscheidend | Zu prüfende Umsetzung |
|---|---|---|
| Anonymität | Optionaler anonymer Kanal nach § 16 | Bei angebotenem Kanal: Rückfragen ohne Identitätszwang |
| Fristenmanagement | § 17 HinSchG mit getrennten Fristbeginnen | Verantwortliche, Vertretung und gegebenenfalls Erinnerungen |
| Zugriffskontrolle | §§ 8, 16 HinSchG | Aufgabenbezogene Rollen einschließlich begrenzter Unterstützung |
| Hosting und Zugriffe | DSGVO-Kapitel V bei Drittlandübermittlung | Speicherorte, Fernzugriffe, Unterauftragnehmer und Transfergrundlage prüfen |
| DSGVO-Integration | Meldekanal = Verarbeitung | VVT-Eintrag, Löschfrist § 11 |
| Mehrsprachigkeit | Erreichbarkeit für die tatsächliche Belegschaft | Verständliche Information und geeignete Sprachen |
| Löschverfahren | § 11 Abs. 5 HinSchG | Abschlussdatum, Dreijahresfrist und begründete Ausnahmen umsetzen |
Marktübersicht 2026 — ehrlich bewertet
Der deutsche Markt teilt sich in spezialisierte Whistleblowing-Tools und integrierte Compliance-Plattformen.
Spezialisierte Whistleblowing-Software — prüfen Sie am konkreten Angebot den geschützten Dialog, die Fallzuordnung, Exporte, Vertretungsrechte und Löschfunktionen. Ob ein Produkt die benötigte Datenschutzdokumentation unterstützt, muss anhand der angebotenen Funktionen beurteilt werden.
Integrierte Compliance- und Datenschutz-Plattformen — prüfen Sie, ob der Meldevorgang tatsächlich mit Verarbeitungsverzeichnis, Löschregeln und technischen Schutzmaßnahmen verbunden werden kann. Lassen Sie sich an einer Testmeldung zeigen, welche Angaben übernommen werden, welche Freigaben Menschen treffen und ob die vertrauliche Fallakte von allgemeinen Compliance-Ansichten getrennt bleibt. Eine beworbene Integration ist kein Nachweis der rechtmäßigen Bearbeitung.
Kanzlei-Lösungen (Ombudsperson) — ein externer Anwalt als Meldestelle, oft ergänzt durch ein einfaches Portal. Prüfen Sie Zuständigkeit, Erreichbarkeit, Interessenkonflikte und die tatsächlichen Schnittstellen ebenso wie bei einem internen Betrieb.
Faustregel: Wer nur die gesetzliche Pflicht erfüllen will und HinSchG isoliert betrachtet, fährt mit einem spezialisierten Tool gut. Wer ohnehin ein Datenschutz-Managementsystem aufbaut, sollte den Meldekanal dort integrieren, statt ein zweites Silo zu schaffen.
Was bei Verstößen droht
§ 40 HinSchG unterscheidet die Tatbestände. Für die fehlende Einrichtung oder den fehlenden Betrieb einer internen Meldestelle beträgt die Höchstgrenze 20.000 Euro. Für das Behindern einer Meldung, Repressalien und vorsätzliche oder leichtfertige Verletzungen der Vertraulichkeit sind bis zu 50.000 Euro vorgesehen; für fahrlässige Vertraulichkeitsverstöße bis zu 10.000 Euro. Die konkrete Sanktion und die zuständige Behörde hängen vom Tatbestand und den einschlägigen Zuständigkeitsregeln ab. Auch Datenschutzverstöße können relevant sein; eine automatische Addition von Höchstbeträgen folgt daraus nicht. Eine Übersicht bietet der Beitrag zu DSGVO-Bußgeldern.
Der praktisch häufigere Schaden ist reputativ: Wird bekannt, dass ein Unternehmen Hinweise unterdrückt oder Meldende benachteiligt hat, ist der Vertrauensschaden intern wie extern erheblich — unabhängig vom Bußgeld.
Hinzu kommt eine Beweislastumkehr, die viele unterschätzen: Erleidet eine hinweisgebende Person nach einer Meldung einen beruflichen Nachteil, wird nach § 36 HinSchG vermutet, dass es sich um eine verbotene Repressalie handelt. Der Arbeitgeber muss dann beweisen, dass die Maßnahme — etwa eine Kündigung oder Versetzung — nichts mit der Meldung zu tun hatte. Ohne saubere, zeitlich lückenlose Dokumentation des Meldevorgangs und der davon unabhängigen Personalentscheidung ist dieser Gegenbeweis kaum zu führen. Eine Software, die den gesamten Vorgang mit Zeitstempeln protokolliert, ist damit nicht nur Compliance-Werkzeug, sondern arbeitsrechtliche Absicherung.
Kosten und Aufwand realistisch einordnen
Vergleichen Sie konkrete Angebote anhand von Lizenzumfang, Einrichtung, Support, Übersetzungen und interner Bearbeitungszeit. Prüfen Sie gesondert, ob die angebotene Integration zusätzliche Lizenz- oder Einrichtungskosten verursacht. Der eigentliche Aufwand steckt in der Organisation: die Bestellung einer fachkundigen, unabhängigen Meldestelle, die Schulung der Bearbeiter im Umgang mit vertraulichen und oft belastenden Hinweisen sowie die laufende Bearbeitung innerhalb der Fristen.
Getrennte Systeme können zusätzlichen Abstimmungsaufwand verursachen. Vergleichen Sie deshalb die tatsächlich benötigte Zeit für Fallbearbeitung, Datenschutzdokumentation, Rechtepflege und Datenübertragung mit dem Aufwand einer angebotenen Integration. Genau deshalb lohnt vor der Auswahl die ehrliche Frage: Betreiben wir bereits ein Datenschutz-Managementsystem, in das sich der Meldekanal einfügt, oder ist die interne Meldestelle unsere erste strukturierte Compliance-Aufgabe? Die Antwort entscheidet zwischen spezialisiertem Tool und integrierter Plattform stärker als jeder Funktionsvergleich.
Einführung in fünf Schritten
- Zuständigkeit klären. Wer betreibt die Meldestelle — eine interne Stelle (Compliance, Recht, HR) oder eine externe Ombudsperson? Die Person muss unabhängig und fachkundig sein (§ 15 HinSchG).
- Meldekanal auswählen. Testen Sie Rollen, Vertraulichkeit und Rückfragen. Wenn ein anonymer Kanal angeboten wird, muss der Dialog ohne Identitätszwang funktionieren.
- DSGVO-Basis anlegen. Meldekanal als Verarbeitungstätigkeit ins Verzeichnis, Löschfrist nach § 11 im Löschkonzept hinterlegen, TOM dokumentieren.
- Beschäftigte informieren. Der Kanal muss bekannt und leicht auffindbar sein — sonst läuft die Pflicht ins Leere. Verknüpfen Sie das mit Ihrer Datenschutzschulung und der IT-Nutzungsrichtlinie.
- Prozess testen. Führen Sie eine Testmeldung durch das gesamte Verfahren — Eingangsbestätigung, Bearbeitung, Rückmeldung, Löschung. Erst dann ist die Meldestelle nachweisbar funktionsfähig.
FAQ
Ab wie vielen Beschäftigten ist eine Meldestelle Pflicht?
Ab in der Regel 50 Beschäftigten (§ 12 Abs. 2 HinSchG). Für bestimmte Sektoren — insbesondere Finanzdienstleister, Wertpapierinstitute und Versicherungen — gilt die Pflicht unabhängig von der Beschäftigtenzahl. Konzerne können unter Voraussetzungen eine gemeinsame Meldestelle für mehrere Tochtergesellschaften einrichten; die Verantwortung bleibt aber bei jeder einzelnen Gesellschaft.
Muss die Whistleblowing-Software anonyme Meldungen ermöglichen?
Nein. Nach § 16 Abs. 1 sollte die interne Meldestelle auch anonym eingehende Meldungen bearbeiten. Sie muss den Kanal aber nicht für anonyme Meldungen auslegen. Wird ein anonymer Rückkanal angeboten, prüfen Sie auch Metadaten, Anmeldung und Benachrichtigungen auf eine mögliche Identitätsoffenlegung.
Wie lange müssen Meldungen aufbewahrt werden?
Die Dokumentation ist nach § 11 Abs. 5 HinSchG drei Jahre nach Abschluss des Verfahrens zu löschen, sofern keine längere Aufbewahrung erforderlich und verhältnismäßig ist. Diese Frist gehört mit Abschlussdatum, Zuständigkeit und begründeten Ausnahmen in das Löschkonzept. Automatisierung kann helfen; das Gesetz verlangt kein bestimmtes Softwareverfahren.
Reicht ein reines Whistleblowing-Tool für die DSGVO-Pflichten?
Ein Produkt allein genügt nicht. Der Meldekanal bleibt eine Verarbeitungstätigkeit mit Dokumentations- und Schutzpflichten; bei externem Betrieb ist außerdem die tatsächliche datenschutzrechtliche Rolle zu prüfen. Diese DSGVO-Ebene müssen Sie entweder separat führen oder eine integrierte Plattform wählen, die beides in einem System abbildet.
Fazit
Für verpflichtete Beschäftigungsgeber kommt es auf einen vertraulichen, tatsächlich funktionsfähigen Meldekanal und die passende Datenschutzorganisation an. Prüfen Sie Funktionen anhand eines konkreten Falls. Der Ablauf zur vertraulichen Bearbeitung einer HinSchG-Meldung zeigt, wie Identitäten, Rückmeldung und Löschung zusammengeführt werden. Den Volltext der zugrunde liegenden Richtlinie finden Sie bei EUR-Lex, Vollzugshinweise beim Bundesamt für Justiz.