Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Anti-Fraud & Compliance · Vorstand, ACFE Swiss Chapter
Ja. Nach dem spanischen Gesetz 2/2023 brauchen alle privaten Arbeitgeber mit 50 oder mehr Beschäftigten ein internes Hinweisgebersystem, ebenso alle Stellen des öffentlichen Sektors. Manche privaten Organisationen sind unabhängig von ihrer Größe verpflichtet, etwa wenn sie unter EU-Vorschriften zu Finanzdienstleistungen, Geldwäsche, Verkehrssicherheit oder Umweltschutz fallen, außerdem politische Parteien, Gewerkschaften und Arbeitgeberverbände, die öffentliche Mittel erhalten. Das System muss schriftliche oder mündliche Meldungen annehmen, anonyme Meldungen zulassen und einen benannten Systemverantwortlichen haben, den Responsable del Sistema. Wer kein Hinweisgebersystem einrichtet, obwohl er dazu verpflichtet ist, begeht unter Umständen einen sehr schweren Verstoß: Unternehmen drohen Bußgelder von bis zu 1 Million Euro.
Dieser Leitfaden klärt, wer ein Hinweisgebersystem braucht, welche Funktionen der Kanal erfüllen muss und welche Behörde das Gesetz durchsetzt. Für einen Überblick über das Gesetz selbst lesen Sie unseren Artikel über Gesetz 2/2023: Schutz von Hinweisgebern.
Ley 2/2023
Ein rechtskonformer interner Kanal, ohne ihn selbst entwickeln zu müssen. Trusty Whistleblowing erfüllt das Gesetz 2/2023 mit anonyme Meldungen, ein Postfach für die bidirektionale Kommunikation und die automatische Überwachung der 7-Tage- und 3-Monats-Fristen.
Kurz beantwortet: Wer zur Einrichtung eines Kanals verpflichtet ist
- Privatsektor: Natürliche Personen und Unternehmen mit 50 oder mehr Beschäftigten (Artikel 10.1.a).
- Spezifische Sektoren und Organisationen: unabhängig von der Mitarbeiterzahl (Artikel 10.1.b und 10.1.c).
- Öffentlicher Sektor: alle Stellen des öffentlichen Sektors (Artikel 13).
Die Fristen sind bereits abgelaufen. Die meisten verpflichteten Organisationen hatten Zeit bis zum 13. Juni 2023. Private Organisationen mit bis zu 249 Beschäftigten und Gemeinden mit weniger als 10.000 Einwohnern hatten eine Frist bis zum 1. Dezember 2023. Organisationen, die nicht verpflichtet sind, können ein System auf freiwilliger Basis einrichten.
Unternehmen, die unabhängig von ihrer Größe ein Hinweisgebersystem brauchen
Artikel 10.1.b erfasst private Organisationen, die in den Anwendungsbereich der EU-Rechtsakte fallen, die in den Teilen I.B und II des Anhangs der Hinweisgeberrichtlinie (EU) 2019/1937 aufgeführt sind. Diese umfassen:
- Finanzdienstleistungen, -produkte und -märkte;
- Prävention von Geldwäsche und Terrorismusfinanzierung;
- Verkehrssicherheit;
- Umweltschutz.
Artikel 10.1.c ergänzt politische Parteien, Gewerkschaften, Arbeitgeberverbände und die von ihnen gegründeten Stiftungen, sofern sie öffentliche Mittel erhalten oder verwalten.
Falls Sie unsicher sind, ob Ihre Tätigkeit unter einen dieser EU-Rechtsakte fällt, sollten Sie sich beraten lassen. Innerhalb eines Konzerns muss jedes Unternehmen selbst prüfen, ob es selbst verpflichtet ist, wie die Empfehlung 1/2026 der AAI betont.
Was das Hinweisgebersystem leisten muss
- Schriftlich, mündlich oder beides. Meldungen können schriftlich, mündlich oder in beiden Formen erfolgen. Auf Wunsch des Hinweisgebers muss innerhalb von sieben Tagen ein persönliches Treffen stattfinden (Artikel 7.2).
- Anonyme Meldungen. Interne Kanäle müssen die Abgabe und Nachverfolgung anonymer Meldungen ermöglichen (Artikel 7.3).
- Vertraulichkeit. Das System muss die Identität des Hinweisgebers sowie aller in einer Meldung genannten Dritten schützen.
- Responsable del Sistema. Das Leitungsorgan ernennt die für das System verantwortliche Person, die im privaten Sektor eine Führungskraft sein sollte. Die Ernennung und jede Abberufung muss der AAI oder der zuständigen regionalen Behörde innerhalb von zehn Arbeitstagen mitgeteilt werden (Artikel 8.3).
- Fristen. Bestätigen Sie den Eingang innerhalb von sieben Kalendertagen (Artikel 9.2.c). Antworten Sie innerhalb von maximal drei Monaten nach Eingang, was in besonders komplexen Fällen um bis zu drei weitere Monate verlängert werden kann (Artikel 9.2.d).
- Rechte der betroffenen Person. Die betroffene Person hat das Recht, über die ihr zugeschriebenen Handlungen oder Unterlassungen informiert zu werden (Artikel 9.2.f).
- Aktenführung. Führen Sie ein Register (libro-registro) über die eingegangenen Meldungen. Daten dürfen niemals länger als zehn Jahre aufbewahrt werden (Artikel 26). Daten müssen drei Monate nach Eingang aus dem System gelöscht werden, wenn keine Untersuchung eingeleitet wurde, es sei denn, sie werden aufbewahrt, um die Funktionsweise des Systems nachzuweisen (Artikel 32.4).
- Konsultation. Das Leitungsorgan implementiert das System nach Konsultation der gesetzlichen Arbeitnehmervertreter (Artikel 5).
Unser Protokoll für Hinweisgeberkanäle und unser Leitfaden dazu, welche Arten von Beschwerden eingereicht werden können, erläutern das Verfahren im Detail.
für Sie überwacht
Behalten Sie die 7-Tage- und 3-Monats-Fristen stets im Blick. Trusty versendet automatische Eingangsbestätigungen, überwacht jede Frist und führt manipulationssichere Fallakten mit konfigurierbaren Aufbewahrungsfristen und Löscherinnerungen.
Unternehmensgruppen und gemeinsam genutzte Kanäle
- Konzerne. Die Muttergesellschaft verabschiedet eine allgemeine Richtlinie für das interne Meldesystem, und die Gruppe kann ein einziges System sowie einen gemeinsamen Responsable del Sistema haben (Artikel 11).
- Gemeinsame Ressourcen. Unternehmen mit 50 bis 249 Beschäftigten können das System und seine Ressourcen gemeinsam nutzen, wenn sie dies wünschen (Artikel 12).
- Outsourcing. Die Verwaltung des Systems, einschließlich der Entgegennahme von Meldungen, kann einem externen Dritten anvertraut werden. Die Verantwortung verbleibt bei der verpflichteten Organisation (Artikel 6).
- Öffentlicher Sektor. Gemeinden mit weniger als 10.000 Einwohnern können Ressourcen gemeinsam nutzen (Artikel 14). Öffentliche Stellen dürfen die Verwaltung nur dann auslagern, wenn sie nachweisen, dass ihre eigenen Ressourcen nicht ausreichen (Artikel 15).
Bußgelder und Sanktionen
Das Gesetz 2/2023 klassifiziert Verstöße als sehr schwerwiegend, schwerwiegend oder geringfügig. Das Fehlen eines internen Meldesystems entgegen der gesetzlichen Pflicht kann als sehr schwerwiegender Verstoß gewertet werden. Bei sehr schwerwiegenden Verstößen reichen die Bußgelder von 600.001 € bis 1.000.000 € für juristische Personen und von 30.001 € bis 300.000 € für Einzelpersonen. Schwere und geringfügige Verstöße ziehen niedrigere Bußgelder nach sich.
Sehr schwerwiegende Verstöße können zudem zu Nebenmaßnahmen führen: einer öffentlichen Rüge, einem Verbot des Erhalts öffentlicher Subventionen oder des Abschlusses öffentlicher Verträge sowie, bei juristischen Personen, der Veröffentlichung der Sanktion im Staatsanzeiger (BOE).
Zuständige Behörden: die AAI und regionale Stellen
Die unabhängige Behörde für den Schutz von Hinweisgebern (Autoridad Independiente de Protección del Informante, A.A.I.) ist die nationale Behörde. Ihr Statut wurde durch das Königliche Dekret 1101/2024 vom 29. Oktober genehmigt. Manuel Villoria Mendieta wurde im April 2025 zu ihrem Präsidenten ernannt, und die Behörde nahm am 1. September 2025 ihre Arbeit auf.
Seit Oktober 2026 betreibt die AAI einen externen Kanal, der Meldungen, auch anonyme, entgegennimmt. Sie eröffnete ihre elektronische Geschäftsstelle für Mitteilungen des Responsable del Sistema im Februar 2026 und hat Empfehlungen herausgegeben, darunter die Empfehlung 1/2026 zu internen Meldesystemen. Der Privatsektor fällt in ihren Zuständigkeitsbereich. Auf ihrer Nachrichtenseite sind bislang keine Sanktionen aufgeführt.
Mehrere autonome Gemeinschaften haben eigene Behörden, wie die Oficina Antifrau de Catalunya, die Agència Valenciana Antifrau, deren Zuständigkeit auf den öffentlichen Sektor beschränkt ist, und die andalusische Oficina Andaluza contra el Fraude y la Corrupción. Im September 2026 traf sich die AAI mit regionalen Behörden aus neun Gemeinschaften, um ihre Arbeit zu koordinieren. Lesen Sie mehr über die Unabhängige Behörde für den Schutz von Hinweisgebern.
Wie Trusty Whistleblowing Sie unterstützt
Trusty Whistleblowing erfüllt das Gesetz 2/2023 mit einem Meldekanal, der je nach Wahl der Organisation anonyme oder identifizierte Meldungen akzeptiert und es anonymen Hinweisgebern ermöglicht, den Dialog über ein sicheres Postfach fortzusetzen. Hinweisgeber können über das Postfach ein Treffen anfordern; der Advanced-Plan bietet zudem browserbasierte Sprachmeldungen. Bestätigungen erfolgen automatisch, die 7-Tage- und 3-Monats-Fristen werden überwacht und die Fallakten sind manipulationssicher.
Aufbewahrungsfristen sind mit Löscherinnerungen konfigurierbar, die Daten werden in einem ISO 27001-zertifizierten Rechenzentrum in Deutschland gehostet und für jeden Kunden ist ein Auftragsverarbeitungsvertrag verfügbar.
Suchen Sie ein Hinweisgebersystem für Ihr Unternehmen in Spanien? Trusty richtet einen internen Meldekanal bereits ab 49 € pro Monat ein.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Quellen: Ley 2/2023, de 20 de febrero (BOE); AEPD, Informe 0060/2023; Agència Valenciana Antifrau, 88 preguntas y respuestas; Real Decreto 1101/2024; Real Decreto 328/2025; Orden PJC/908/2025; Autoridad Independiente de Protección del Informante; AAI-Nachrichten, 22. September 2026.
Häufig gestellte Fragen
Ja, für private Arbeitgeber mit 50 oder mehr Beschäftigten, für alle Einrichtungen des öffentlichen Sektors und für bestimmte Organisationen unabhängig von ihrer Größe, wie etwa solche, die in den Anwendungsbereich der EU-Vorschriften zu Finanzdienstleistungen, Geldwäsche, Verkehrssicherheit und Umweltschutz fallen.
Im Allgemeinen nicht. Eine Verpflichtung besteht jedoch, wenn es unter die Sektorregelung in Artikel 10.1.b fällt oder wenn es sich um eine politische Partei, eine Gewerkschaft, einen Arbeitgeberverband oder eine damit verbundene Stiftung handelt, die öffentliche Mittel erhält oder verwaltet. Kleinere Unternehmen können ein System auch freiwillig einrichten.
Ja. Artikel 6 erlaubt es, die Verwaltung des Systems, einschließlich der Entgegennahme von Meldungen, einem externen Dritten anzuvertrauen. Die Verantwortung bleibt beim Unternehmen.
Ja. Artikel 7.3 schreibt vor, dass interne Kanäle die Abgabe und Nachverfolgung anonymer Meldungen ermöglichen müssen.
Das Fehlen eines erforderlichen internen Meldesystems kann als sehr schwerwiegender Verstoß gewertet werden, mit Bußgeldern von 600.001 € bis 1.000.000 € für juristische Personen und 30.001 € bis 300.000 € für Einzelpersonen, zuzüglich möglicher Nebenmaßnahmen.
mit EU-Richtlinie & DSGVO
Hinweisgeber-Software einfach gemacht, entwickelt von Compliance-Experten.