Meldepflichten mit Frist für Unternehmen: 72 Stunden, 7 Tage, ein Monat, zwölf Monate

Ein Unternehmen hat nicht eine Meldepflicht, sondern ein Dutzend, und jede läuft nach einer anderen Uhr. Manche zählt in Stunden ab Kenntnis, manche in Tagen ab Eingang, manche in Monaten ab Bilanzstichtag. Dieser Überblick stellt die Pflichten nebeneinander, die den meisten kleinen und mittleren Betrieben begegnen: Datenschutz, Hinweisgeberschutz, Registerpflichten, Verpackungsrecht und Gewerberecht. Zu jeder steht die Frist, die Fundstelle und was das Gesetz für den Fall des Versäumnisses vorsieht.

Datenschutz: 72 Stunden für die Datenpanne, ein Monat für die Anfrage

Die kürzeste Frist läuft nach einer Datenpanne. Wird eine Verletzung des Schutzes personenbezogener Daten bekannt, ist sie der Aufsichtsbehörde binnen 72 Stunden zu melden, sofern die Verletzung voraussichtlich ein Risiko für die betroffenen Personen bedeutet (Art. 33 Abs. 1 DSGVO). Die Frist läuft ab Kenntnis, nicht ab Tagesbeginn: Wer den Vorfall um 23 Uhr bemerkt, hat noch 72 Stunden und nicht eine. Besteht ein hohes Risiko, sind zusätzlich die betroffenen Personen zu benachrichtigen (Art. 34 DSGVO). Dokumentiert wird jede Verletzung, auch die, die nicht gemeldet werden muss (Art. 33 Abs. 5 DSGVO).

Die zweite Frist im Datenschutz zählt in Monaten. Verlangt eine Person Auskunft, Berichtigung oder Löschung, ist ihr binnen eines Monats nach Eingang des Antrags zu antworten (Art. 12 Abs. 3 DSGVO). Die Frist kann um zwei weitere Monate verlängert werden, wenn der Antrag komplex ist oder viele Anträge eingehen; die Verlängerung muss aber innerhalb des ersten Monats mitgeteilt und begründet werden. Gerechnet wird die Monatsfrist nach dem Kalender, so wie in Fristen berechnen nach BGB beschrieben; für Unionsrecht steht die Regel in Art. 3 der Verordnung (EWG, Euratom) Nr. 1182/71.

Hinweisgeberschutz: 7 Tage bestätigen, 3 Monate rückmelden

Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten (§ 12 Abs. 1 und 2 HinSchG). Geht dort eine Meldung ein, hat die Meldestelle der hinweisgebenden Person den Eingang spätestens nach sieben Tagen zu bestätigen (§ 17 Abs. 1 Nr. 1 HinSchG) und ihr innerhalb von drei Monaten nach der Eingangsbestätigung eine Rückmeldung zu geben (§ 17 Abs. 2 HinSchG). Die Rückmeldung nennt geplante oder ergriffene Folgemaßnahmen und deren Gründe.

Beide Fristen laufen je Meldung, und beide sind zu dokumentieren. Eine Meldestelle, die es nicht gibt, ist eine Ordnungswidrigkeit mit einem Bußgeldrahmen bis 20.000 Euro (§ 40 HinSchG); Repressalien gegen hinweisgebende Personen und die Verletzung der Vertraulichkeit sind mit bis zu 50.000 Euro bedroht. Das sind Rahmen, keine zu erwartenden Beträge.

Register: Zwölf Monate für den Jahresabschluss

Kapitalgesellschaften übermitteln ihren Jahresabschluss an das Unternehmensregister, und zwar spätestens zwölf Monate nach dem Abschlussstichtag (§ 325 Abs. 1a HGB). Bei einem Geschäftsjahr, das dem Kalenderjahr entspricht, ist das der 31. Dezember des Folgejahres. Versäumt die Gesellschaft die Frist, leitet das Bundesamt für Justiz ein Ordnungsgeldverfahren ein: Es droht das Ordnungsgeld an und setzt eine Nachfrist von sechs Wochen ab Zugang der Androhung (§ 335 Abs. 3 HGB). Das Ordnungsgeld beträgt mindestens 2.500 und höchstens 25.000 Euro (§ 335 Abs. 1 Satz 4 HGB); bei Kleinstkapitalgesellschaften und kleinen Kapitalgesellschaften, die verspätet noch erfüllen, wird es auf 500 beziehungsweise 1.000 Euro herabgesetzt (§ 335 Abs. 4 HGB).

Daneben steht das Transparenzregister. Wer Anteile hält oder Kontrolle ausübt, ist als wirtschaftlich Berechtigter mitzuteilen; ändern sich die Angaben, etwa durch einen Gesellschafterwechsel, ist die Mitteilung nach § 20 Abs. 1 GwG anzupassen. Eine Übernahme der Daten aus dem Handelsregister findet nicht mehr statt; die Gesellschaft meldet selbst.

Verpackung und Gewerbe: Registrierung vor dem Start, Erklärung bis zum 15. Mai

Wer verpackte Ware an Endverbraucher abgibt, registriert sich vor dem ersten Inverkehrbringen im Verpackungsregister LUCID und beteiligt sich für systembeteiligungspflichtige Verpackungen an einem dualen System. Seit dem 12. August 2026 gilt dafür das Verpackungsrecht-Durchführungsgesetz (VerpackDG) neben der Verordnung (EU) 2025/40; es hat das Verpackungsgesetz abgelöst. Geblieben ist der Stichtag 15. Mai: Bis dahin hinterlegen Hersteller, die die Mengenschwellen des § 10 Abs. 4 VerpackDG überschreiten (80 Tonnen Glas, 50 Tonnen Papier, Pappe und Karton, 30 Tonnen übrige Materialien), ihre Vollständigkeitserklärung für das Vorjahr.

Die Gewerbeanzeige läuft nach keiner Frist in Tagen, sondern nach einem Zeitpunkt: Der Beginn eines stehenden Gewerbes ist der zuständigen Behörde gleichzeitig anzuzeigen (§ 14 Abs. 1 Satz 1 GewO). Wer den Betrieb aufnimmt und die Anzeige nachreicht, begeht eine Ordnungswidrigkeit nach § 146 Abs. 2 Nr. 1 GewO, für die § 146 Abs. 3 GewO eine Geldbuße bis 1.000 Euro vorsieht.

Was alle diese Fristen gemeinsam haben

Drei Dinge fallen auf. Erstens: Keine dieser Fristen beginnt mit dem Tag, an dem jemand im Betrieb davon erfährt, sondern mit einem objektiven Ereignis: Kenntnis, Eingang, Stichtag, Betriebsbeginn. Wer den Eingang einer Anfrage nicht dokumentiert, kann später nicht belegen, dass er rechtzeitig geantwortet hat. Zweitens: Die Sanktion ist fast immer ein Rahmen, dessen Ausschöpfung von der Schwere des Verstoßes abhängt; das Ordnungsgeld nach § 335 HGB ist die Ausnahme mit einem festen Mindestbetrag. Drittens: Die Pflichten liegen in fünf Rechtsgebieten, und niemand im Betrieb hat alle fünf im Kopf.

Genau dafür gibt es die Werkzeuge auf dieser Seite. Jedes deckt ein Rechtsgebiet ab, rechnet die Frist ab dem richtigen Ereignis, zeigt eine Ampel und erinnert, bevor der letzte Tag erreicht ist. Was sie nicht tun: beraten. Die Verantwortung für die Meldung bleibt im Betrieb; das Werkzeug sorgt dafür, dass der Tag nicht unbemerkt vergeht.

Häufige Fragen

Ab wann laufen die 72 Stunden nach einer Datenpanne?

Ab dem Zeitpunkt, zu dem die Verletzung dem Verantwortlichen bekannt wird (Art. 33 Abs. 1 DSGVO). Die Frist zählt in Stunden ab Kenntnis, nicht in Tagen ab Tagesbeginn. Verspätete Meldungen sind zu begründen.

Muss jeder Betrieb eine interne Meldestelle haben?

Nein. Die Pflicht trifft Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten (§ 12 Abs. 2 HinSchG). Kleinere Betriebe können eine Meldestelle freiwillig einrichten; die Fristen des § 17 HinSchG gelten dann ebenso.

Wann muss eine GmbH ihren Jahresabschluss offenlegen?

Spätestens zwölf Monate nach dem Abschlussstichtag durch Übermittlung an das Unternehmensregister (§ 325 Abs. 1a HGB). Bei einem Geschäftsjahr, das dem Kalenderjahr entspricht, ist der letzte Tag der 31. Dezember des Folgejahres.

Das Wichtigste in Kürze

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Steuerberatung im Einzelfall. Maßgeblich ist der Gesetzestext in seiner jeweils geltenden Fassung; die genannten Werkzeuge dokumentieren Pflichten und Fristen, sie beraten nicht.