Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Anti-Fraud & Compliance · Vorstand, ACFE Swiss Chapter
Das Hinweisgeberschutzrecht der EU schützt Personen, die im Rahmen ihrer Arbeit auf Missstände stoßen und diese melden, und verpflichtet Arbeitgeber mit 50 oder mehr Beschäftigten, einen vertraulichen internen Meldekanal einzurichten. Die Vorgaben stammen aus der Richtlinie (EU) 2019/1937, die mittlerweile von allen 27 Mitgliedstaaten in nationales Recht umgesetzt wurde.
Das klingt einfach, doch jedes Land hat eigene Regelungen hinzugefügt. Dieser Leitfaden erklärt, was das Hinweisgeberschutzrecht verlangt, wie sich die wichtigsten nationalen Gesetze unterscheiden, was sich 2026 geändert hat und wie Unternehmen die Vorgaben erfüllen können, ohne eine eigene Rechtsabteilung aufzubauen.
rechtskonform
Benötigen Sie einen Meldekanal, der dem EU-Hinweisgeberrecht entspricht? Trusty richtet in weniger als fünf Minuten einen sicheren, anonymen Meldekanal ein.
Was unter dem Hinweisgeberschutzrecht zu verstehen ist
Das Hinweisgeberschutzrecht umfasst die Regeln, die eine Person vor Repressalien schützen, wenn sie einen Rechtsverstoß meldet, von dem sie im Rahmen ihrer Arbeit erfahren hat. In der EU erfüllt es zwei Funktionen: Es schützt die meldende Person, und es verpflichtet Organisationen, ihr einen sicheren Weg dafür bereitzustellen.
Die EU-Hinweisgeberrichtlinie legt den Mindeststandard fest. Nationale Gesetze wie das deutsche Hinweisgeberschutzgesetz, das spanische Gesetz Ley 2/2023, das französische Gesetz Sapin II und das italienische Decreto Legislativo 24/2023 setzen diese Vorgaben national um und gehen häufig darüber hinaus.
Unternehmen mit 50 oder mehr Mitarbeitern können in wenigen Minuten die Whistleblowing-Software von Trusty einrichten, ab 49 € pro Monat.
Wer wird durch das Hinweisgeberschutzrecht geschützt?
Das Hinweisgeberschutzrecht schützt jede Person, die einen Verstoß meldet, von dem sie in einem beruflichen Kontext erfahren hat, nicht nur Arbeitnehmer. Gemäß Artikel 4 der Richtlinie fallen darunter:
• Arbeitnehmer, Beamte, Teilzeit- und befristet Beschäftigte
• Freiberufler, Auftragnehmer, Subunternehmer und Lieferanten
• Anteilseigner, Mitglieder von Leitungsorganen, Freiwillige und Praktikanten
• Bewerber und ehemalige Beschäftigte
• Unterstützende Personen, die dem Hinweisgeber helfen, sowie Kollegen oder Angehörige, die Repressalien ausgesetzt sein könnten
Der Schutz greift, wenn die Person zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass die Information wahr ist. Ihre Motivation spielt dabei keine Rolle, und ein ehrlicher Irrtum führt nicht zum Verlust des Schutzes.
Was gilt als geschützte Meldung?
Eine Meldung ist geschützt, wenn sie einen Rechtsverstoß in einem vom Gesetz erfassten Bereich betrifft. Die Richtlinie listet Bereiche des EU-Rechts auf, darunter öffentliches Auftragswesen, Finanzdienstleistungen, Geldwäsche, Produkt- und Verkehrssicherheit, Umweltschutz, Lebensmittelsicherheit, öffentliche Gesundheit, Verbraucherschutz, Datenschutz und Wettbewerbsrecht.
Viele Mitgliedstaaten haben diese Liste erweitert. Deutschland erfasst Straftaten und bestimmte Ordnungswidrigkeiten, und Frankreich jedes Verbrechen, jedes Vergehen und jede Bedrohung des Allgemeininteresses. Eine rein persönliche Beschwerde zum Arbeitsverhältnis fällt in der Regel nicht in den Anwendungsbereich des Hinweisgeberschutzrechts.
Was müssen Arbeitgeber nach dem Hinweisgeberschutzrecht tun?
Arbeitgeber mit 50 oder mehr Beschäftigten müssen einen internen Meldekanal einrichten und für jede Meldung ein festgelegtes Verfahren einhalten. Auch öffentliche Stellen fallen in den Anwendungsbereich, und einige Branchen, wie etwa der Finanzdienstleistungssektor, sind unabhängig von ihrer Größe erfasst.
Die zentralen Pflichten gemäß den Artikeln 8, 9, 16 und 18 der Richtlinie sind:
1. Einen Meldekanal bereitstellen. Personen müssen schriftlich, mündlich oder auf beiden Wegen melden können. Auf Anfrage müssen Sie zudem innerhalb einer angemessenen Frist ein persönliches Treffen anbieten.
2. Identitäten vertraulich behandeln. Der Meldekanal muss sicher sein, und Beschäftigte, die nicht zur Bearbeitung von Meldungen befugt sind, dürfen keinen Zugriff darauf haben.
3. Eine unparteiische Person oder ein Team benennen. Eine unabhängige Stelle muss Meldungen entgegennehmen, Folgemaßnahmen ergreifen und mit dem Hinweisgeber in Kontakt bleiben.
4. Innerhalb von 7 Tagen bestätigen. Der Hinweisgeber muss innerhalb von sieben Tagen eine Eingangsbestätigung erhalten.
5. Innerhalb von 3 Monaten Rückmeldung geben. Sie müssen dem Hinweisgeber spätestens drei Monate nach der Eingangsbestätigung mitteilen, welche Maßnahmen ergriffen wurden oder geplant sind.
6. Den externen Meldeweg erklären. Sie müssen klare Informationen dazu bereitstellen, wie Meldungen an die zuständige nationale Behörde erfolgen können.
7. Aufzeichnungen führen. Jede Meldung muss dokumentiert und gemäß der DSGVO nur so lange wie nötig aufbewahrt werden.
Gilt der Schwellenwert von 50 Beschäftigten pro Unternehmen oder pro Konzern?
Der Schwellenwert gilt für jede juristische Person einzeln, nicht für den Konzern als Ganzes. Unternehmen mit 50 bis 249 Beschäftigten können sich Ressourcen für die Entgegennahme und Untersuchung von Meldungen teilen, doch jede Gesellschaft bleibt selbst verpflichtet.
Ein Meldekanal kann intern betrieben oder von einem externen Dritten bereitgestellt werden. In beiden Fällen bleibt der Arbeitgeber für Vertraulichkeit, Fristen und Folgemaßnahmen verantwortlich.
Wie unterscheiden sich die Hinweisgeberschutzgesetze zwischen den EU-Ländern?
Die nationalen Hinweisgeberschutzgesetze teilen den Kern der Richtlinie, unterscheiden sich jedoch beim Anwendungsbereich, bei anonymen Meldungen, bei den zuständigen Behörden und bei den Bußgeldern. Ein Unternehmen mit Niederlassungen in mehreren Ländern muss jedes lokale Gesetz erfüllen, nicht nur den EU-Mindeststandard.
Land | Law | In Kraft seit | Anonyme Meldungen | Externe Meldestelle | Höchstbußgelder |
|---|---|---|---|---|---|
Deutschland | Hinweisgeberschutzgesetz (HinSchG) | 2. Juli 2023 | Sollte bearbeitet werden, aber keine Pflicht, einen anonymen Kanal anzubieten | Bundesamt für Justiz | Bis zu 50.000 €; bis zu 500.000 € für Unternehmen bei Behinderung von Meldungen, Repressalien oder Verletzung des Vertraulichkeitsgebots; bis zu 20.000 € für das Fehlen einer internen Meldestelle |
Spanien | Ley 2/2023 | 13. März 2023 | Muss akzeptiert werden | Unabhängige Behörde zum Schutz von Hinweisgebern (AIPI) | Bis zu 1.000.000 € für Unternehmen |
Frankreich | Sapin II, geändert durch das Waserman-Gesetz und das Dekret 2022-1284 | 1. September 2022 | Zulässig, mit Schutz, falls die Person später identifiziert wird | Défenseur des droits | Bis zu 1 Jahr Freiheitsstrafe und 15.000 € wegen Behinderung einer Meldung |
Italien | Legislativdekret 24/2023 | 15. Juli 2023 | Zulässig, mit Schutz, falls die Person später identifiziert wird | ANAC | 10.000 € bis 50.000 € |
Drei praktische Unterschiede sind für Arbeitgeber mit Niederlassungen in mehreren Ländern besonders relevant:
• Anonymität. Spanien verlangt, dass anonyme Meldungen akzeptiert werden. Ein System, das dies überall unterstützt, ist die sicherste Grundlage.
• Sprache. Hinweisgeber benötigen Informationen und Formulare, die sie verstehen können, daher sollte der Meldekanal in jeder lokalen Sprache angeboten werden.
• Trennung der Gesellschaften. Jede juristische Person benötigt eine eigene Fallbearbeitung und eigene Zugriffsrechte, auch wenn der Konzern eine gemeinsame Plattform nutzt.
Dieser Artikel dient allgemeinen Informationszwecken und stellt keine Rechtsberatung dar. Prüfen Sie den aktuellen Wortlaut jedes nationalen Gesetzes, oder wenden Sie sich an lokale Rechtsberater, bevor Sie Ihre Richtlinie abschließend festlegen.
Unternehmensgruppen in mehreren Ländern
Betreiben Sie Gesellschaften in mehreren EU-Ländern? Trusty akzeptiert anonyme Meldungen, hält die Fallbearbeitung für jede Gesellschaft getrennt und bündelt alles auf einer Plattform. Oder buchen Sie eine Demo.
Was hat sich 2026 im Hinweisgeberschutzrecht geändert?
Im Jahr 2026 haben sich zwei Dinge geändert: Die Richtlinie erfasst nun ausdrücklich Meldungen zur EU-KI-Verordnung, und die Europäische Kommission evaluiert derzeit den gesamten Rechtsrahmen.
Meldungen zur KI-Verordnung sind nun geschützt. Seit dem 2. August 2026 erfasst der Schutz der Richtlinie ausdrücklich Meldungen über Verstöße gegen die EU-KI-Verordnung (Artikel 87 der KI-Verordnung). Wenn Ihre Organisation KI-Systeme entwickelt oder nutzt, sollten Ihr Meldeformular und Ihre Richtlinie KI ausdrücklich als meldefähiges Thema nennen.
Die Richtlinie wird derzeit überprüft. Die Evaluierung der Richtlinie durch die Kommission soll bis zum vierten Quartal 2026 abgeschlossen sein. Dies könnte zu Vorschlägen führen, die Vorgaben zu verschärfen oder zu erweitern.
Der Fokus der Durchsetzung verschiebt sich. Alle 27 Mitgliedstaaten haben ihre Gesetze verabschiedet, doch Beobachtungsstellen berichten, dass keines vollständig mit der Richtlinie konform ist. Es ist davon auszugehen, dass sich die nationalen Vorschriften weiterentwickeln werden. Überprüfen Sie Ihren Meldekanal daher mindestens einmal jährlich.
Was gilt als Repressalie gegen einen Hinweisgeber?
Als Repressalie gilt jede schädigende Handlung oder Drohung, die aufgrund einer Meldung erfolgt. Die Richtlinie verbietet dies uneingeschränkt, einschließlich Kündigung, Herabstufung, verweigerter Beförderung, Gehaltskürzung, negativer Referenz, Belästigung, Aufnahme in eine schwarze Liste und vorzeitiger Beendigung eines Lieferantenvertrags.
Die Beweislast liegt beim Arbeitgeber. Wenn ein Hinweisgeber nachweist, dass er eine Meldung gemacht hat und anschließend einen Nachteil erlitten hat, muss der Arbeitgeber beweisen, dass die Maßnahme nichts mit der Meldung zu tun hatte.
Welche Strafen drohen bei Verstößen gegen das Hinweisgeberschutzrecht?
Die Strafen werden von jedem Mitgliedstaat festgelegt und können für Unternehmen in Spanien bis zu 1.000.000 € betragen. Artikel 23 der Richtlinie verlangt Sanktionen gegen jeden, der:
• Eine Meldung behindert oder zu behindern versucht
• Repressalien gegen einen Hinweisgeber ergreift
• Mutwillige Verfahren gegen einen Hinweisgeber einleitet
• Die Pflicht zur vertraulichen Behandlung der Identität des Hinweisgebers verletzt
Mehrere Länder, darunter Deutschland und Italien, verhängen zudem Bußgelder gegen Arbeitgeber, die über überhaupt keinen internen Meldekanal verfügen. Über Bußgelder hinaus können Gerichte eine Wiedereinstellung und Entschädigung anordnen, und eine schlecht behandelte Meldung landet oft in der Öffentlichkeit.
Wie können Arbeitgeber das Hinweisgeberschutzrecht schnell erfüllen?
Der schnellste Weg zur Erfüllung der Vorgaben ist ein spezialisiertes Hinweisgebersystem, das die gesetzlichen Anforderungen direkt in die Arbeitsabläufe einbaut. Trusty ist eine Hinweisgeberplattform, die auf Basis der EU-Hinweisgeberrichtlinie entwickelt wurde, und Sie können einen internen Meldekanal in weniger als fünf Minuten einrichten.
Was das Gesetz verlangt | Wie Trusty es abdeckt |
|---|---|
Schriftliche und mündliche Meldung | Online-Meldeformular und Sprachnachrichten im Browser mit Stimmverfremdung |
Vertraulichkeit und eingeschränkter Zugriff | Rollenbasierter Zugriff, mit getrennter Fallbearbeitung je juristischer Person |
Kontakt mit dem Hinweisgeber, einschließlich anonymer Hinweisgeber | Anonymes Postfach für den beidseitigen Austausch, das die meldende Person mit einem Zugangscode erneut öffnet |
Bestätigung innerhalb von 7 Tagen und Rückmeldung innerhalb von 3 Monaten | Fall-Dashboard, das jede Meldung und ihren Status anzeigt |
Dokumentation | Qualifizierter eIDAS-Zeitstempel für jede Meldung und ein manipulationssicheres Audit-Log |
DSGVO-konforme Verarbeitung | Hosting in nach ISO/IEC 27001 zertifizierten Rechenzentren in Deutschland |
Information und Sensibilisierung | Fertige Compliance-Richtlinien und Mitarbeiterschulungen inklusive |
Testen Sie Trusty 7 Tage lang kostenlos unter trusty.report, oder vereinbaren Sie eine kurze Demo, um den Meldekanal live zu erleben.
Häufig gestellte Fragen zum Hinweisgeberschutzrecht
Whistleblowing bedeutet, Fehlverhalten zu melden, von dem Sie im Rahmen Ihrer Arbeit erfahren haben, etwa Betrug, Korruption, Sicherheitsverstöße oder Datenmissbrauch. Die Meldung kann an Ihren Arbeitgeber, an eine Behörde oder in begrenzten Fällen an die Öffentlichkeit erfolgen.
In der EU schützen Sie die Richtlinie (EU) 2019/1937 und das jeweilige nationale Umsetzungsgesetz. Beispiele sind das Hinweisgeberschutzgesetz in Deutschland, Ley 2/2023 in Spanien, Sapin II in Frankreich und das Decreto Legislativo 24/2023 in Italien.
Private Unternehmen mit 50 oder mehr Beschäftigten sowie Stellen des öffentlichen Sektors müssen eine interne Meldestelle einrichten. In einigen Branchen, etwa im Finanzdienstleistungssektor, ist dies unabhängig von der Unternehmensgröße erforderlich.
Ja. Ein Unternehmen mit Sitz außerhalb der EU muss für jede Gesellschaft in der EU, die 50 oder mehr Beschäftigte hat, die Vorgaben einhalten, und zwar nach dem Recht des Landes, in dem diese Einheit ansässig ist.
Ja. Eine Person, die anonym meldet und später identifiziert wird, genießt denselben Schutz wie ein namentlich genannter Hinweisgeber. Ob Arbeitgeber anonyme Meldungen annehmen müssen, hängt vom jeweiligen Land ab; Spanien schreibt dies vor.
Ein Arbeitgeber muss die Meldung innerhalb von sieben Tagen bestätigen und innerhalb von drei Monaten nach dieser Bestätigung eine Rückmeldung zu den Folgemaßnahmen geben.
Ja. Ein Hinweisgeber kann sich an die zuständige nationale Behörde wenden, ohne zuvor den internen Kanal zu nutzen, und behält den vollen Schutz. Arbeitgeber werden dazu angehalten, die interne Meldung zur einfacheren Option zu machen.
Ja. Seit dem 2. August 2026 sind Meldungen über Verstöße gegen die EU-KI-Verordnung (AI Act) ausdrücklich von der EU-Hinweisgeberrichtlinie erfasst.
Quellen
• Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, EUR-Lex
• Hinweisgeberschutz und das EU-KI-Gesetz, EU Artificial Intelligence Act
• Evaluierung der EU-Hinweisgeberrichtlinie nun im Gange, EU Whistleblowing Monitor
• Zusammenfassung der Updates April 2026, EU Whistleblowing Monitor
• Trusty, Produktinformationen
mit EU-Richtlinie & DSGVO
Whistleblowing-Software einfach gemacht, entwickelt von Compliance-Experten.