Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Anti-Fraud & Compliance · Vorstand, ACFE Swiss Chapter
Ja, ein Whistleblowing-System kann mehrere EU-Länder abdecken, solange jede rechtliche Einheit mit 50 oder mehr Beschäftigten einen eigenen Meldekanal innerhalb der Einheit hat und der Prozess dem jeweiligen nationalen Recht folgt. Eine Plattform ist zulässig. Ein einziges, undifferenziertes Postfach für den gesamten Konzern ist es nicht.
Der Haken ist, dass die EU nur einen Mindeststandard festgelegt hat. Jeder Mitgliedstaat hat darauf aufbauend sein eigenes Gesetz erlassen, sodass derselbe Konzern in jedem Land, in dem er Beschäftigte hat, mit unterschiedlichen Regeln zu Anonymität, externen Behörden, Aufbewahrungsfristen und Bußgeldern konfrontiert sein kann. Dieser Leitfaden erläutert die Regel zur Kanalpflicht je rechtlicher Einheit, vergleicht die nationalen Gesetze in Deutschland, Spanien, Frankreich und Italien und skizziert einen Sieben-Schritte-Plan für den Rollout eines Systems über Ländergrenzen hinweg.
jede Einheit
Eine Plattform, ein separater Meldekanal für jede rechtliche Einheit. Trusty hält die Meldungen, Fallbearbeiter und Zugriffsrechte jeder Tochtergesellschaft getrennt, bietet das Meldeformular in mehreren Sprachen an und hostet alle Daten in ISO/IEC 27001-zertifizierten Rechenzentren in Deutschland. Ihr erster Kanal ist in weniger als fünf Minuten einsatzbereit.
Unternehmen mit 50 oder mehr Mitarbeitern können die Whistleblowing-Software von Trusty in wenigen Minuten ab 49 € pro Monat einrichten.
Warum ist Whistleblowing für Arbeitgeber in mehreren Ländern schwieriger?
Whistleblowing ist für Arbeitgeber in mehreren Ländern schwieriger, weil die EU einen Mindeststandard gesetzt hat und jeder der 27 Mitgliedstaaten darauf aufbauend sein eigenes Gesetz geschaffen hat. Die Richtlinie (EU) 2019/1937 legt die Kernpflichten fest: ein sicherer interner Kanal in jeder rechtlichen Einheit mit 50 oder mehr Beschäftigten, eine Eingangsbestätigung jeder Meldung innerhalb von sieben Tagen, Rückmeldung innerhalb von drei Monaten sowie Schutz vor Repressalien.
Fast alles Weitere ist dem nationalen Recht überlassen. Jedes Land entscheidet, ob der Schutz auch Verstöße gegen nationales Recht (zusätzlich zum EU-Recht) umfasst, ob anonyme Meldungen akzeptiert werden müssen, welche Behörde externe Meldungen entgegennimmt, wie lange Aufzeichnungen aufbewahrt werden und wie hoch die Bußgelder ausfallen. Mehrere Länder haben die Richtlinie verspätet umgesetzt, sodass viele dieser Regeln erst 2023 in Kraft getreten sind.
Ein Konzern mit Einheiten in drei Ländern hat daher drei Regelwerke, drei externe Behörden und in der Regel drei Sprachen zu handhaben. Hinweisgeber können sich außerdem direkt an eine nationale Behörde wenden, statt Ihren Kanal zu nutzen. Ein Kanal, der schwer zu finden ist oder sich nicht sicher anfühlt, verlagert Meldungen nach außen.
Kann ein Konzern einen zentralen Whistleblowing-Kanal nutzen?
Ein Konzern kann einen zentralen Kanal betreiben, darf sich aber nicht allein darauf verlassen. In zwei Stellungnahmen vom 2. und 29. Juni 2021 erklärte die Europäische Kommission, dass jede Tochtergesellschaft einen eigenen, klar abgegrenzten Kanal haben muss und dass Hinweisgeber zwischen dem lokalen und dem zentralen Weg wählen dürfen.
Die Begründung der Kommission lautet, dass die Pflicht aus Artikel 8 Absatz 3 der Richtlinie für jede rechtliche Einheit gilt, nicht für den Konzern als Ganzes, und dass eine Muttergesellschaft für ihre eigenen Tochtergesellschaften nicht als ausgelagerter Dritter gelten kann. Die Regel hängt dann von der Größe der jeweiligen rechtlichen Einheit ab:
Größe der Einheit | Bedeutung der Position der Kommission |
|---|---|
Weniger als 50 Beschäftigte | Keine allgemeine Pflicht zur Bereitstellung eines Kanals, sofern sektorale Vorschriften oder nationales Recht nichts anderes bestimmen |
50 bis 249 Beschäftigte | Muss über einen Kanal verfügen, darf jedoch Ressourcen mit anderen Einheiten teilen, um Meldungen entgegenzunehmen und zu untersuchen, solange der lokale Kanal verfügbar bleibt |
250 oder mehr Beschäftigte | Muss über ein eigenes Meldesystem verfügen, das unabhängig von einem zentralen System funktioniert |
Für Einheiten mit 50 bis 249 Beschäftigten knüpfte die Kommission die Nutzung der Ressourcen der Muttergesellschaft an drei Bedingungen:
• Der lokale Kanal bleibt offen. Der eigene Meldekanal der Tochtergesellschaft muss bestehen bleiben und verfügbar sein.
• Die meldende Person wird informiert und stimmt zu. Der Hinweisgeber muss informiert werden und einwilligen, bevor jemand auf Konzernebene Zugriff auf die Meldung erhält. Wer nicht einwilligt, kann die Meldung zurückziehen und sich stattdessen an die zuständige Behörde wenden.
• Kernpflichten bleiben lokal. Vertraulichkeit, Rückmeldung an den Hinweisgeber sowie etwaige Abhilfe oder Sanktionen bleiben in der Verantwortung der Tochtergesellschaft.
Wie haben nationale Gesetze die Position der Kommission umgesetzt?
Die Stellungnahmen der Kommission sind rechtlich nicht bindend, und die nationalen Gesetze sind unterschiedliche Wege gegangen:
• Spanien erlaubt der Muttergesellschaft, eine allgemeine Richtlinie für die gesamte Gruppe zu beschließen, und das interne Informationssystem kann ein einheitliches System für alle Gruppengesellschaften sein (Artikel 11 der Ley 2/2023).
• Deutschland erlaubt laut Gesetzesbegründung zum HinSchG, dass eine andere Konzerngesellschaft als unabhängiger Dritter Meldungen für die Tochtergesellschaften entgegennimmt. Die Verantwortung für die Behebung des Verstoßes bleibt bei der jeweiligen Tochtergesellschaft.
• Frankreich erlaubt Unternehmen derselben Gruppe ein gemeinsames Meldeverfahren, allerdings nur nach übereinstimmendem Beschluss des zuständigen Organs jedes Unternehmens. Einige Praktiker lesen das Dekret so, dass dies nur für Unternehmen mit weniger als 250 Beschäftigten gilt.
• Italien erlaubt Einheiten mit bis zu 249 Beschäftigten, einen internen Kanal gemeinsam zu nutzen, auch mit verbundenen Konzerngesellschaften, enthält aber keine besonderen Regeln für multinationale Gruppen.
• Irland folgt nach überwiegender Auffassung der Linie der Kommission, sodass ein zentraler Konzernkanal allein nicht ausreicht.
Was bedeutet das in der Praxis?
In der Praxis: Nutzen Sie eine Plattform und geben Sie jeder rechtlichen Einheit eine eigene Meldeseite, eigene Fallbearbeiter und eigene Zugriffsrechte. Dieser Aufbau erfüllt sowohl die strenge als auch die flexible Auslegung. So müssen Sie nichts neu aufbauen, wenn sich eine nationale Regel ändert oder eine Aufsichtsbehörde die Sicht der Kommission übernimmt.
Die Konzern-Compliance hat weiterhin eine Rolle. Sie kann die Richtlinie verantworten, Fallbearbeiter schulen und komplexe Untersuchungen unterstützen, solange eine Meldung nur mit Einwilligung der meldenden Person auf Konzernebene gelangt und die Tochtergesellschaft für Rückmeldung und Follow-up verantwortlich bleibt.
Wie unterscheiden sich EU-Whistleblowing-Gesetze je Land?
EU-Whistleblowing-Gesetze unterscheiden sich vor allem in fünf Punkten: was gemeldet werden kann, ob anonyme Meldungen akzeptiert werden müssen, welche Behörde externe Meldungen entgegennimmt, wie lange Aufzeichnungen aufbewahrt werden und wie hoch die Bußgelder ausfallen. Auch die Regeln zu konzernweiten Kanälen und zur Einbindung von Arbeitnehmervertretungen variieren.
Punkt | Deutschland | Spanien | Frankreich | Italien |
|---|---|---|---|---|
Gesetz | Hinweisgeberschutzgesetz (HinSchG) | Ley 2/2023 | Sapin II, geändert durch das Waserman-Gesetz | Legislatives Dekret 24/2023 |
Gilt seit | 2. Juli 2023 (17. Dezember 2023 für 50 bis 249 Beschäftigte) | 13. März 2023 (Kanäle fällig bis 13. Juni 2023 bzw. 1. Dezember 2023 für 50 bis 249 Beschäftigte) | 1. September 2022 | 15. Juli 2023 (17. Dezember 2023 für 50 bis 249 Beschäftigte) |
Anwendungsbereich über EU-Recht hinaus | Straftaten und bestimmte Ordnungswidrigkeiten | Schwere und sehr schwere Straf- und Verwaltungsdelikte | Verbrechen, Vergehen sowie Drohungen oder Beeinträchtigungen des Allgemeininteresses | Für Unternehmen mit einem Modell 231, relevante Straftaten gemäß Dekret 231/2001 |
Anonyme Meldungen | Sollten bearbeitet werden; keine Pflicht zur Bereitstellung eines anonymen Kanals | Müssen akzeptiert werden | Können akzeptiert werden; keine allgemeine Pflicht | Können bearbeitet werden; Schutz gilt, wenn der Hinweisgeber später identifiziert wird |
Externe Behörde | Bundesamt für Justiz, sowie BaFin und Bundeskartellamt in ihren jeweiligen Bereichen | Unabhängige Behörde für den Schutz von Hinweisgebern (AIPI) und regionale Behörden | Per Dekret gelistete Sektorbehörden oder der Défenseur des droits | ANAC |
Aufbewahrung von Unterlagen | 3 Jahre nach Abschluss des Falls | Nicht länger als 10 Jahre | Nur so lange, wie unbedingt erforderlich | Nicht länger als 5 Jahre nach dem Endergebnis |
Gruppenweiter Kanal | Ein anderes Konzernunternehmen kann als Dritter fungieren | Ein System für die Gruppe ist zulässig | Gemeinsames Verfahren mit Zustimmung des jeweiligen Unternehmens | Gemeinsame Nutzung für Einheiten mit bis zu 249 Beschäftigten zulässig |
Arbeitnehmervertreter | Mitbestimmungsrechte des Betriebsrats können bestehen | Konsultation der Arbeitnehmervertreter | Konsultation des CSE | Konsultation der Gewerkschaften |
Höchststrafen | 50.000 € oder bis zu 500.000 € für Unternehmen | 1.000.000 € für Unternehmen | 15.000 € und 1 Jahr Gefängnis für die Behinderung einer Meldung | 50.000 € (ANAC-Verwaltungsstrafen) |
In Deutschland reichen Unternehmensbußgelder bis 500.000 €, weil das HinSchG den Verzehnfachungsfaktor aus § 30 OWiG anwendet. In Italien können Verstöße ein Unternehmen zudem einer Haftung nach Dekret 231/2001 aussetzen.
Prüfen Sie den aktuellen Gesetzestext oder ziehen Sie lokale Rechtsberatung hinzu, bevor Sie das Setup finalisieren. Nationale Regeln werden weiterhin angepasst.
zeitgestempelt, protokolliert
Wenden Sie die strengste nationale Regel in der gesamten Gruppe an. Trusty akzeptiert anonyme schriftliche Meldungen und verzerrte Sprachnachrichten mit einem Zwei-Wege-Posteingang für Folgemaßnahmen. Jede Meldung erhält einen qualifizierten eIDAS-Zeitstempel und ein manipulationssicheres Audit-Log; fertige Richtlinien und Mitarbeiterschulungen sind enthalten. Oder buchen Sie eine Demo.
Was muss ein Whistleblowing-System für mehrere Länder leisten?
Ein Whistleblowing-System für mehrere Länder muss Einheiten getrennt halten, jede lokale Sprache abdecken und die strengste Regel anwenden, der Sie unterliegen. Sieben Fähigkeiten sind entscheidend:
• Trennung nach rechtlichen Einheiten. Jede rechtliche Einheit hat eine eigene Meldeseite und ein eigenes Fallteam; Fallbearbeiter einer Einheit sehen die Fälle anderer Einheiten nicht.
• Lokale Sprachen. Formular, Richtlinie und Rückmeldungen sind in der Sprache der jeweiligen Belegschaft verfügbar, mit geprüften Übersetzungen der Rechtsbegriffe.
• Schriftliche und mündliche Meldungen. Die Richtlinie erlaubt schriftliche und mündliche Meldungen und verlangt auf Wunsch ein persönliches Treffen. Deutschland schreibt beide Meldewege vor, bieten Sie daher überall beide an.
• Anonyme Meldungen mit Follow-up. Spanien verlangt die Annahme anonymer Meldungen, unterstützen Sie sie daher überall und sorgen Sie für einen Rückkanal, ohne die Identität der meldenden Person preiszugeben.
• Fristen-Tracking. Jede Meldung braucht in jeder Einheit eine Eingangsbestätigung innerhalb von sieben Tagen und eine Rückmeldung innerhalb von drei Monaten.
• Lokale Informationen. Jede Meldeseite nennt die zuständige nationale Behörde für externe Meldungen.
• Ein einheitlicher Audit-Trail. Die Konzern-Compliance sieht, ob die Fristen in jeder Einheit eingehalten werden, ohne einzelne Fälle zu öffnen.
Auch die Aufbewahrung muss geplant werden, denn die Fristen reichen von drei Jahren in Deutschland bis zu zehn Jahren in Spanien. Legen Sie in Ihrer Richtlinie einen Löschplan je rechtlicher Einheit fest.
Auch der Datenstandort ist relevant. Meldungen enthalten häufig sensible personenbezogene Daten. Hosting innerhalb der EU bzw. des EWR vermeidet für jede Einheit Fragen zu internationalen Datenübermittlungen nach der DSGVO.
Wie rollen Sie ein Whistleblowing-System über mehrere Länder aus?
Sie rollen ein Whistleblowing-System über mehrere Länder in sieben Schritten aus, beginnend mit einer Übersicht Ihrer rechtlichen Einheiten und endend mit einer jährlichen Überprüfung.
1. Erfassen Sie Ihre Einheiten. Listen Sie jede rechtliche Einheit in der EU, ihr Land und ihre Beschäftigtenzahl auf und markieren Sie diejenigen mit 50 oder mehr Beschäftigten. Zählen Sie je rechtlicher Einheit, nicht je Konzern, und prüfen Sie sektorale Regeln, denn Einheiten in Bereichen wie Finanzdienstleistungen fallen unabhängig von ihrer Größe in den Anwendungsbereich.
2. Legen Sie den Mindeststandard fest. Nehmen Sie je Punkt die strengste Anforderung und wenden Sie sie konzernweit an. Akzeptieren Sie z. B. überall anonyme Meldungen, weil Spanien dies verlangt, und bieten Sie mündliche Meldungen an, weil Deutschland dies verlangt.
3. Schreiben Sie eine Kernrichtlinie mit Länderanhängen. Halten Sie den Prozess identisch und legen Sie den lokalen Anwendungsbereich, die zuständige Behörde und die Aufbewahrungsfrist in einem kurzen Anhang je Land fest.
4. Benennen Sie Fallbearbeiter je Einheit. Bestimmen Sie für jede Einheit eine unparteiische Person oder ein Team, ohne Interessenkonflikte und mit ausreichend Zeit, um die Fristen einzuhalten. Entscheiden Sie, welche Einheiten mit 50 bis 249 Beschäftigten Ressourcen teilen.
5. Konsultieren Sie Arbeitnehmervertretungen. Binden Sie Betriebsräte, den CSE oder Gewerkschaften dort ein, wo nationales Recht es verlangt, und zwar vor dem Start.
6. Konfigurieren und übersetzen Sie den Kanal. Erstellen Sie für jede Einheit eine Meldeseite in der lokalen Sprache, mit den richtigen Angaben zur zuständigen Behörde.
7. Schulen, starten und überprüfen. Informieren Sie die gesamte Belegschaft, wie gemeldet werden kann, schulen Sie Fallbearbeiter und prüfen Sie anschließend jedes Jahr Fristen und Fallvolumina.
Der größte Zeitaufwand steckt meist in den Schritten 4 und 5. Mit der richtigen Software dauert das technische Setup in Schritt 6 nur Minuten.
Welches Whistleblowing-System eignet sich für Arbeitgeber in mehreren Ländern?
Trusty ist eine Whistleblowing-Software, die auf Basis der EU-Hinweisgeberrichtlinie entwickelt wurde und mehrere Einheiten und Sprachen auf einer Plattform verwaltet. Ein interner Kanal ist in weniger als fünf Minuten einsatzbereit.
Anforderung bei mehreren Ländern | So deckt Trusty sie ab |
|---|---|
Ein separater Kanal für jede rechtliche Einheit | Trennung der Einheiten und rollenbasierter Zugriff sind in die Plattform integriert |
Lokale Sprachen | Meldeformular und Benutzeroberfläche in mehreren Sprachen |
Anonyme Meldungen mit Nachverfolgung | Anonymer Zwei-Wege-Posteingang, der mit einem Zugangscode geöffnet wird |
Mündliche Meldung ohne Callcenter | In-Browser-Sprachnachrichten mit Stimmenverzerrung; eine Telefon-Hotline kann hinzugefügt werden |
Beweiskraft für jede Behörde | Qualifizierter eIDAS-Zeitstempel für jede Meldung und ein manipulationssicheres Audit-Log |
Datenresidenz in der EU | Hosting in ISO/IEC 27001-zertifizierten Rechenzentren in Deutschland |
Schnellerer Rollout | Vorgefertigte Compliance-Richtlinien und Mitarbeiterschulungen inklusive |
Testen Sie Trusty 7 Tage kostenlos unter trusty.report oder buchen Sie eine kurze Demo, um ein Setup mit mehreren Einheiten zu sehen.
Häufig gestellte Fragen zum Thema länderübergreifendes Whistleblowing
Ja. Eine Plattform kann eine ganze Gruppe bedienen, sofern jede rechtliche Einheit mit 50 oder mehr Beschäftigten über einen eigenen Meldekanal innerhalb der Plattform verfügt und der Prozess dem jeweiligen nationalen Recht entspricht.
Ja, sofern sie 50 oder mehr Beschäftigte hat. Die Position der Europäischen Kommission ist, dass jede dieser Tochtergesellschaften einen eigenen Kanal benötigt. Tochtergesellschaften mit 50 bis 249 Beschäftigten dürfen Ressourcen für die Entgegennahme und Untersuchung von Meldungen gemeinsam nutzen, aber ihr eigener Kanal muss verfügbar bleiben.
Er wird pro rechtlicher Einheit gezählt. Eine Gruppe mit 300 Beschäftigten, die sich auf Einheiten mit jeweils weniger als 50 Personen verteilen, unterliegt unter Umständen keiner allgemeinen Pflicht, während eine einzelne Einheit mit 50 Beschäftigten diese Pflicht hat. Unterhalb dieser Schwelle können sektorale Regeln gelten, zum Beispiel bei Finanzdienstleistungen.
Ja. Eine rechtliche Einheit in der EU mit 50 oder mehr Beschäftigten muss die Gesetze ihres Landes einhalten, unabhängig davon, wo die Muttergesellschaft ihren Hauptsitz hat.
Gemäß der Richtlinie muss jede Einheit den Eingang einer Meldung innerhalb von sieben Tagen bestätigen und dem Hinweisgeber innerhalb von drei Monaten nach der Bestätigung eine Rückmeldung geben. Diese Fristen gelten in jedem Land, unabhängig von der Gruppenstruktur.
Das kommt auf den jeweiligen Aspekt an. Spanien ist am strengsten bei der Anonymität und den Bußgeldern, mit einer obligatorischen Annahme anonymer Meldungen und Bußgeldern von bis zu 1.000.000 € für Unternehmen. Frankreich hat einen der weitesten Anwendungsbereiche, und Deutschland schreibt sowohl schriftliche als auch mündliche Meldeoptionen vor.
Die Richtlinie verlangt klare und leicht zugängliche Informationen. Daher sollten Sie den Kanal und die Richtlinien in einer Sprache anbieten, die die jeweilige Belegschaft versteht. In der Praxis bedeutet dies die Landessprache jedes Landes, in dem Sie eine Einheit haben.
Sie kann unterstützend tätig werden, aber der eigene Kanal der Tochtergesellschaft muss verfügbar bleiben. Nach Ansicht der Kommission sollte der Hinweisgeber informiert werden und zustimmen, bevor die Meldung an die Gruppenebene weitergeleitet wird. Verweigert er die Zustimmung, kann er die Meldung zurückziehen und sich an die zuständige Behörde wenden.
Quellen
• Richtlinie (EU) 2019/1937, EUR-Lex
• Hinweisgeberschutzgesetz (HinSchG), Bundesministerium der Justiz
• Ley 2/2023, Boletín Oficial del Estado
• What the Whistleblowing Directive means for reporting channels in corporate groups, Osborne Clarke
• Group-wide whistleblowing system: not enough for the EU Commission, Oppenhoff
• Pas de lanceur d’alerte dans les groupes, KPMG Avocats
• Whistleblower protection and reporting channels in Italy, CMS
• Key provisions of the new whistleblowing regime, Matheson
• Trusty, Produktinformationen
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar.
mit EU-Richtlinie & DSGVO
Hinweisgeber-Software einfach gemacht, entwickelt von Compliance-Experten.