Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet seit dem 17. Dezember 2023 alle Unternehmen ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle. Verstöße kosten bis zu 50.000 € pro Fall (§ 40 HinSchG). DSGVO-konforme IT-Tools mit EU-Hosting, Tor-Eingang und E2E-Verschlüsselung: EQS Compliance COCKPIT (Premium, ab 6.000 €/Jahr), BKMS System (Wolters Kluwer, ab 3.500 €/Jahr), hint Compliance (KMU, ab 79 €/Monat), Whistleblower Software (ab 89 €/Monat), iComply (ab 1.200 €/Jahr). Hamburger Mittelständler unter 150 MA fahren mit hint oder BKMS am wirtschaftlichsten.
Inhalt in Kürze
- HinSchG-Pflicht ab 50 Beschäftigten — seit 17.12.2023 in Kraft, Bußgelder bis 50.000 € pro Verstoß.
- Marktübersicht der DE-Tools 2026: EQS COCKPIT, BKMS System, hint Compliance, Whistleblower Software, iComply.
- DSGVO-Pflichtmerkmale: EU-Hosting, E2E-Verschlüsselung, kein IP-Logging, Tor-fähige Kanäle, getrennte Rollen.
- Kosten für Hamburger KMU 50–150 MA: 2.500–8.000 €/Jahr inkl. externer Bearbeitung.
- Lokal Hamburg: Wir betreuen Kanzleien, Steuerberatungen, Pflegebetriebe und Mittelständler bei der Tool-Auswahl, dem Setup und der Anbindung an externe Compliance-Anwälte.
Worum geht es beim Hinweisgeberschutzgesetz wirklich?
Das HinSchG setzt die EU-Whistleblower-Richtlinie 2019/1937 in deutsches Recht um — verspätet, aber dafür mit eigenen Schärfen. Es schützt Menschen, die Verstöße aus dem beruflichen Kontext melden: Verstöße gegen EU-Recht, deutsches Strafrecht, bestimmte Ordnungswidrigkeiten, Korruption, Geldwäsche, Steuerstrafrecht, Vergaberecht. Die wichtigsten Eckdaten aus dem Bundesministerium der Justiz:
- In Kraft seit 2. Juli 2023 — Hauptanwendungsbereich.
- Pflicht zur internen Meldestelle: ab 250 MA seit 02.07.2023; ab 50 MA seit 17.12.2023.
- Bußgelder bis 50.000 € (§ 40 HinSchG) für fehlende Meldestelle.
- Repressalienverbot (§ 36) — keine Benachteiligung, mit Beweislastumkehr für den Arbeitgeber.
- Auch externe Meldestellen beim Bundesamt für Justiz und in den Ländern existieren — Hinweisgebende dürfen frei wählen.
Das Gesetz richtet sich nicht nur an Großkonzerne. Hamburger Mittelständler mit 50–250 Beschäftigten — also gut die Hälfte unserer Kunden — sind direkt betroffen.
Was eine HinSchG-Meldestelle technisch leisten muss
§ 16 HinSchG schreibt vor, dass der Meldekanal die Vertraulichkeit der Identität des Hinweisgebenden, der Beschuldigten und aller weiteren in der Meldung genannten Personen wahren muss. Was bedeutet das konkret in der IT-Praxis?
Pflichtmerkmale (rechtlich und technisch)
- Aufnahme von Meldungen in Wort und Schrift. Telefon-, Schriftform (Post/E-Mail) und persönliches Gespräch müssen möglich sein. Web-Formulare und Tools sind die digitale Variante der Schriftform.
- Vertraulichkeit der Identität. Nur die mit der Bearbeitung beauftragten Personen dürfen die Identität kennen. Sonderfälle (Auskunftspflicht gegenüber Strafverfolgung) sind eng begrenzt.
- Eingangsbestätigung binnen 7 Tagen. Tool muss das automatisiert können.
- Rückmeldung an Hinweisgebende binnen 3 Monaten. Über getroffene Maßnahmen oder Begründungen. Tool muss Kommunikation zurück ermöglichen — auch bei anonymen Hinweisgebenden.
- Anonyme Meldungen. Seit 17.12.2023 Pflicht zur Annahme, auch wenn der Hinweisgebende anonym bleibt.
- Dokumentationspflicht. Lückenloses Audit-Log, 3 Jahre Aufbewahrung nach Verfahrensabschluss.
- Datenschutz-konforme Verarbeitung. Verzeichnis der Verarbeitungstätigkeiten, ggf. DSFA, AVV mit Tool-Anbieter.
Technische Best Practices
- EU-Hosting (idealerweise Deutschland). Vermeidet Drittland-Transfer-Probleme — auch nach Schrems II.
- Transport- und At-Rest-Verschlüsselung. TLS 1.3 + AES-256 ist 2026 Standard.
- Kein IP-Logging am Eingang. Wer einen anonymen Kanal anbietet, darf die Verbindungsdaten nicht mitloggen.
- Tor-fähiger Eingang. Optional, aber stark empfohlen — schützt Hinweisgebende gegen Korrelation über Provider-Daten.
- MFA für Bearbeiter. Phishing-resistente Methoden (FIDO2/WebAuthn) bevorzugt.
- Rollen-/Berechtigungskonzept. Strikte Trennung zwischen Bearbeitern, Lesenden und Audit-Rolle.
- Aufgabentrennung zu HR/Personal. Personalakten und Meldungen niemals zusammenführen.
Bei Hinweisgeberschutz geht es technisch nicht nur um ein Tool — es geht um Vertrauen. Wenn ein Mitarbeiter ahnt, dass die Meldung doch nicht anonym ist, meldet er nichts. Dann hat man zwar ein Tool, aber keine Compliance-Kultur. Wir bauen das so auf, dass die Anonymität wirklich hält — technisch und organisatorisch.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Die fünf führenden Tools 2026 im Vergleich
Wir setzen bei Hamburger Kunden seit 2023 vor allem BKMS und hint Compliance ein, gelegentlich EQS (in größeren Mittelständlern) und Whistleblower Software (in skandinavisch geprägten Kunden). Hier der Marktstand 2026:
EQS Compliance COCKPIT
- Anbieter: EQS Group AG, München (börsennotiert)
- Sprache: Deutsche Bedienoberfläche, mehrsprachige Eingabe (80+ Sprachen)
- Hosting: Frankfurt am Main, ISO 27001 zertifiziert
- Features: Integriertes Compliance-Management, GRC-Modul, Whistleblower-Tool, Drittparteien-Management
- Preis: Ab ca. 6.000 €/Jahr KMU-Plan, Setup-Kosten meist 2.000–5.000 €
- Stärke: Marktführer in Deutschland, sehr ausgereift, gut wenn weitere Compliance-Themen (Geldwäsche, Sanktionslisten, ABC) im Haus sind
- Schwäche: Hoher Preis, viele Features für kleinere KMU überdimensioniert
BKMS System
- Anbieter: Business Keeper GmbH (Wolters Kluwer)
- Sprache: Deutsch, mehrsprachige Eingabe
- Hosting: Berlin / Frankfurt am Main
- Features: Etablierter Quasi-Standard im DACH-Markt, Multi-Mandanten-fähig, EU-Whistleblower-Richtlinie-zertifiziert
- Preis: Ab ca. 3.500–5.500 €/Jahr für KMU, Setup separat
- Stärke: Sehr weit verbreitet (über 1.500 Kunden lt. Anbieter), gut dokumentiert, EU-konform
- Schwäche: UI wirkt 2026 nicht mehr modern, Anpassungen oft nur in höheren Plänen
hint Compliance
- Anbieter: hint Compliance GmbH, Hamburg/München
- Sprache: Deutsche Oberfläche, mehrsprachige Eingabe (35+)
- Hosting: Deutschland (DSGVO-konform, ISO-27001)
- Features: Web-Portal, Mobile-App, Telefonkanal-Integration, mehrsprachiger Eingabe-Wizard
- Preis: Ab 79 €/Monat (Starter), 149 €/Monat (Mittel), 299 €/Monat (Pro) — Stand 2026
- Stärke: Sehr KMU-tauglich, transparente Preise, deutscher Anbieter, gute Bedienbarkeit
- Schwäche: Weniger Konzern-Features als BKMS/EQS
Whistleblower Software
- Anbieter: Whistleblower Software ApS (Dänemark, EU-Gesellschaft)
- Sprache: Mehrsprachig (50+), deutsche Oberfläche
- Hosting: Dänemark / Deutschland (EU-Region)
- Features: Schnelles Setup (Onboarding in 1–2 Tagen), gute mobile UX
- Preis: Ab 89 €/Monat KMU-Plan, Enterprise-Plan höher
- Stärke: Modernes Tool mit gutem UI, EU-Compliance-Fokus
- Schwäche: Kleinerer Marktanteil in Deutschland, weniger Compliance-Anwalts-Kanäle integriert
iComply
- Anbieter: iComply GmbH (Düsseldorf)
- Sprache: Deutsch, multilingual
- Hosting: Deutschland
- Features: Whistleblower-Kanal + breiteres Compliance-Management (Compliance-Risiko-Bewertung, Schulungen)
- Preis: Ab ca. 1.200 €/Jahr KMU
- Stärke: Günstiges Einsteigermodell, Compliance-Management-Suite
- Schwäche: Kleinerer Funktionsumfang im reinen Whistleblower-Bereich
Direkter Vergleich — was wann sinnvoll ist
| Kriterium | EQS COCKPIT | BKMS System | hint Compliance | Whistleblower Software | iComply |
|---|---|---|---|---|---|
| Hosting | Frankfurt | Berlin/Frankfurt | Deutschland | Dänemark/Deutschland | Deutschland |
| Tor-Eingang | Ja | Ja | Ja | Ja | Ja |
| Sprache UI | Deutsch + 80 | Deutsch + 60 | Deutsch + 35 | Deutsch + 50 | Deutsch + 20 |
| Preis pro Jahr KMU | ab 6.000 € | ab 3.500 € | ab 950 € | ab 1.070 € | ab 1.200 € |
| Setup-Kosten | 2.000–5.000 € | 500–2.500 € | 0–500 € | 0–500 € | 0–1.000 € |
| DSGVO + ISO 27001 | ja | ja | ja | ja | ja |
| Compliance-Suite | umfangreich | mittel | basis | basis | mittel |
| Beste Zielgruppe | Mittelstand 250+ MA | Mittelstand 80–500 MA | KMU 50–200 MA | KMU 50–250 MA | Kleinere KMU 50–150 MA |
| Marktverbreitung DE | sehr hoch | sehr hoch | wachsend | mittel | niedrig |
Lokal-Bezug: Was Hamburger Mittelständler tun
Wir betreuen seit über 20 Jahren Mittelständler in Hamburg und Norddeutschland — von der Spaldingstraße aus für Bremen, Kiel und Lübeck. Hier vier Muster, die wir 2026 in echten Mandaten sehen:
- Hamburger Steuerberatungs-Gesellschaft, 55 MA: BKMS System (Wolters Kluwer ist im Steuerberater-Umfeld ohnehin Marktstandard), Bearbeitung extern durch einen Compliance-Anwalt in Hamburg. Setup-Aufwand: 3.500 €, laufende Kosten 4.800 €/Jahr. Mehr bei IT für Steuerberater.
- Pflegeeinrichtung Hamburg-Nord, 130 MA: hint Compliance (preisliche Skalierbarkeit, gute Mehrsprachigkeit für osteuropäische Beschäftigte), Bearbeitung intern durch QM-Beauftragte. Kosten 1.788 €/Jahr.
- Hamburger Industriebetrieb, 220 MA: EQS Compliance COCKPIT (parallel Geldwäsche-Compliance und Lieferketten-Sorgfaltspflicht); Bearbeitung intern in Rechtsabteilung. Kosten 8.400 €/Jahr.
- Bremer Spedition, 75 MA: BKMS System (preislich tragfähig), Bearbeitung extern bei Compliance-Anwalt in Bremen. Kosten 4.300 €/Jahr. Hintergrund in der Spedition-Fallstudie.
Wir hatten am Anfang Angst, dass die Meldestelle missbraucht wird — für Frust-Meldungen, die nichts mit echten Verstößen zu tun haben. In zwei Jahren hatten wir genau drei Meldungen. Alle ernst. Das hat uns mehr gebracht als jeder externe Audit.
DSGVO im Detail: Worauf der Datenschutzbeauftragte achtet
Die Meldestelle ist eine eigenständige Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) und die Datenschutzaufsichten der Länder fordern dafür konkret:
- Verzeichnis der Verarbeitungstätigkeiten ergänzen — Eintrag für die interne Meldestelle mit Zweck, Rechtsgrundlage (Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 10 HinSchG), Datenkategorien, Empfänger, Löschfristen.
- Datenschutz-Folgenabschätzung (DSFA) prüfen — meist Pflicht, weil ein hohes Risiko für Betroffene besteht (Repressalien, Stigmatisierung).
- Auftragsverarbeitungsvertrag (AVV) mit dem Tool-Anbieter abschließen — bei allen genannten Tools Standard.
- Betroffenenrechte regeln — Beschuldigte haben grundsätzlich Auskunftsrecht (Art. 15 DSGVO), das aber bei laufender Untersuchung nach § 29 Abs. 1 BDSG eingeschränkt werden kann.
- Löschkonzept — Meldungen werden 3 Jahre nach Abschluss des Verfahrens gelöscht (§ 11 Abs. 5 HinSchG), sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.
- Mitarbeiter-Information — Hinweisgebende und Beschäftigte müssen über die Verarbeitung informiert werden (Art. 13/14 DSGVO).
- Externen DSB einbinden — bei sensiblen Sachverhalten ist die Abstimmung mit dem Datenschutzbeauftragten zwingend.
Mehr zu dem Verhältnis Compliance / Datenschutz: Datenschutz und Compliance: Wie Geschäftsführer rechtliche Risiken minimieren und Mitarbeiterdaten DSGVO.
Schritt für Schritt: Einführung in 30 Tagen
- Tag 1–3 — Bestandsaufnahme: Aktuellen Stand prüfen: Gibt es bereits Meldekanäle? Wer ist Compliance-Verantwortlicher? Welche Verfahrensanweisungen existieren?
- Tag 4–7 — Anforderungsanalyse: Mitarbeiterzahl, Sprachen, Branchenspezifika, vorhandene Compliance-Software. Erstellung Anforderungsprofil.
- Tag 8–14 — Tool-Auswahl: 2–3 Tools demo-testen (alle Anbieter bieten kostenlose 30-Tage-Demos). Entscheidung treffen.
- Tag 15–20 — Setup & Konfiguration: Tool aufsetzen, Rollen definieren, Workflows konfigurieren. AVV abschließen, DSFA durchführen.
- Tag 21–24 — Verfahrensanweisung: Schriftliche Verfahrensanweisung erstellen — wer macht was wann, Eskalationswege, Externe-Bearbeitung-Schnittstellen.
- Tag 25–27 — Schulung: Bearbeitende schulen, Datenschutz-Briefing für alle Beschäftigten, Betriebsrat informieren.
- Tag 28–30 — Go-Live + Kommunikation: Bekanntmachung an alle Beschäftigten (Intranet, E-Mail, Aushang), erste Testmeldung intern durchspielen, Audit-Log prüfen.
Häufige Fehler — und wie Sie sie vermeiden
- Fehler 1 — Meldestelle bei der Personalabteilung ansiedeln. Klassischer Fehler. Beschäftigte vermuten dann eine Verbindung zur Personalakte und melden nichts. Lösung: Externe Bearbeitung oder klare organisatorische Trennung.
- Fehler 2 — Bekanntmachung nur einmal beim Go-Live. Nach 12 Monaten weiß keiner mehr, dass die Meldestelle existiert. Lösung: halbjährliche Erinnerung im Newsletter, Plakat in der Kaffeeküche.
- Fehler 3 — Tools ohne Tor-Eingang wählen. Wer wirklich anonym melden will, traut Web-Formularen nicht. Lösung: Tools mit Tor-Hidden-Service-Eingang nehmen — alle hier genannten bieten das.
- Fehler 4 — Auditlog ausschalten oder unter den Tisch fallen lassen. Im Streitfall wertlos. Lösung: Auditlog ist Pflicht, monatlich technisch prüfen.
- Fehler 5 — Vergesssene Betriebsrats-Mitbestimmung. Nach § 87 BetrVG hat der Betriebsrat Mitbestimmungsrechte bei IT-Einführungen. Lösung: Frühzeitig einbinden und Betriebsvereinbarung schließen.
- Fehler 6 — Kein Konzept für anonyme Folge-Kommunikation. Wenn die Meldestelle Rückfragen hat, aber der Hinweisgebende anonym bleiben will — das Tool muss das können. Alle hier genannten Tools können das.
- Fehler 7 — Untertauchen-lassen statt abschließen. Jede Meldung muss formal abgeschlossen werden — mit Begründung. Sonst läuft die 3-Monats-Rückmeldefrist nach § 17 HinSchG ab und der Hinweisgebende kann an die externe Meldestelle gehen.
Compliance-Kontext: NIS2, DSGVO und das HinSchG
Hinweisgeberschutz steht nicht alleine. Hamburger Mittelständler haben 2026 oft alle drei Themen gleichzeitig auf dem Tisch:
- NIS2-Richtlinie (seit Oktober 2024): Cyber-Resilience-Pflichten für betroffene Sektoren — Prüfen Sie Ihre Betroffenheit mit dem NIS2-Betroffenheits-Check. Mehr in unserer NIS-2-Beratung Hamburg.
- DSGVO: Grundverordnung für alle Verarbeitungen. Die Meldestelle ist eine eigenständige Verarbeitung.
- HinSchG: Pflicht ab 50 Beschäftigten.
Wir koordinieren in Mandaten meist alle drei Themen parallel — das spart Aufwand und schafft konsistente Dokumentation für Audits.
Weiterführende Quellen
- BMJ: Hinweisgeberschutzgesetz — Gesetzgebungsmaterialien
- EU-Richtlinie 2019/1937 (Whistleblower-Richtlinie)
- BfDI: Hinweisgeberschutz
- Bundesamt für Justiz: Externe Meldestelle
- BSI: Cyber-Sicherheitslage 2024
Ihr nächster Schritt: 15-Min-Erstgespräch
Sie sind ab 50 Beschäftigten und haben noch keine interne Meldestelle? Oder Sie haben eine — aber sind sich nicht sicher, ob das Setup HinSchG- und DSGVO-konform ist? Im 15-Min-Erstgespräch klären wir das in einem Telefonat.
Wir empfehlen Ihnen 1–2 konkret passende Tools, schätzen den Setup-Aufwand und koordinieren bei Bedarf mit Ihrem Compliance-Anwalt oder externen Datenschutzbeauftragten. Wenn es passt, folgt eine Infrastrukturanalyse mit Festpreis.
Meldestelle nach HinSchG einrichten?
15 Minuten Erstgespräch mit Jens Hagel. Kostenlos. Direkt online buchen.
Erstgespräch buchen →Wir sind als IT-Dienstleister in Hamburg seit über 20 Jahren am Markt — und betreuen seit Inkrafttreten des HinSchG Hamburger und norddeutsche Mittelständler bei der technischen Umsetzung. Mehr unter NIS2 & Compliance Hamburg und Cybersecurity Hamburg. Wer das Compliance-Themenfeld breiter strukturieren will: Cloud-Compliance & Datenschutz und Microsoft 365 Sicherheit & Datenschutz.
