Dejan Jasnic · Mitgründer & Compliance Lead, Trusty · 20+ Jahre Anti-Fraud & Compliance · Vorstand, ACFE Swiss Chapter
Eine Hinweisgeberrichtlinie, die die Anforderungen des EU-Rechts erfüllt, muss zehn Elemente abdecken: wer melden kann, was gemeldet werden kann, wie gemeldet werden kann, wer Meldungen bearbeitet, Vertraulichkeit, die Fristen, Schutz vor Repressalien, externe Meldung, Datenschutz und Aufbewahrung von Aufzeichnungen. Die Vorlage unten gibt Ihnen für jedes davon einen Formulierungsvorschlag.
Kopieren Sie sie, ersetzen Sie den Text in eckigen Klammern und passen Sie sie an jedes Land an, in dem Sie 50 oder mehr Beschäftigte haben.
Eine Hinweisgeberrichtlinie ist ein schriftliches Dokument, das erklärt, wie Personen Fehlverhalten am Arbeitsplatz melden können, wie die Organisation die Meldung bearbeitet und wie sie die meldende Person schützt. Sie wird auch Whistleblowing-Richtlinie, Speak-up-Policy oder Verfahrensordnung zum internen Meldeverfahren genannt.
In der Praxis: ja. Die Richtlinie (EU) 2019/1937 verpflichtet Arbeitgeber mit 50 oder mehr Beschäftigten, Verfahren für interne Meldungen und Folgemaßnahmen einzurichten und dazu klare, leicht zugängliche Informationen bereitzustellen. Mit einer schriftlichen Richtlinie erfüllen Sie beide Pflichten und können dies auch nachweisen.
Einige nationale Gesetze gehen weiter. Das spanische Gesetz Ley 2/2023 verlangt zum Beispiel eine veröffentlichte Richtlinie und ein Verfahren zur Bearbeitung von Meldungen. Einen Überblick über die Regeln finden Sie in unserem Leitfaden zum Hinweisgeberrecht in der EU.
Was muss eine Hinweisgeberrichtlinie enthalten?
Eine Hinweisgeberrichtlinie muss zehn Elemente enthalten, die jeweils einem Artikel der EU-Hinweisgeberrichtlinie zugeordnet sind. Nutzen Sie diese Tabelle als Checkliste für Ihre bestehende Richtlinie.
in der Praxis funktioniert
Jedes Versprechen Ihrer Richtlinie, im Kanal umgesetzt. Trusty bietet Ihnen schriftliche und mündliche Meldungen, ein anonymes Postfach für den beidseitigen Austausch, rollenbasierten Zugriff und Fristenüberwachung sowie vorgefertigte Compliance-Richtlinien als Ausgangspunkt. Ihr erster Kanal ist in weniger als fünf Minuten einsatzbereit.
Element | Was die Richtlinie regeln muss | EU-Richtlinie |
|---|---|---|
1. Wer melden kann | Beschäftigte und alle anderen Personen mit beruflichem Bezug, einschließlich Auftragnehmern, Bewerbern und ehemaligen Beschäftigten | Artikel 4 |
2. Was gemeldet werden kann | Die erfassten Verstöße mit Beispielen und was stattdessen an die Personalabteilung gehört | Artikel 2 |
3. Wie gemeldet werden kann | Die verfügbaren Kanäle (schriftlich, mündlich oder beides) und das Recht auf ein persönliches Treffen | Artikel 9 Absatz 2 |
4. Wer Meldungen bearbeitet | Die unparteiische Person oder Stelle, die Meldungen entgegennimmt und Folgemaßnahmen ergreift | Artikel 9 Absatz 1 Buchstabe c |
5. Vertraulichkeit | Dass die Identität der hinweisgebenden Person geschützt ist und wer auf eine Meldung zugreifen darf | Artikel 16 |
6. Fristen | Eingangsbestätigung innerhalb von 7 Tagen und Rückmeldung innerhalb von 3 Monaten | Artikel 9 Absatz 1 Buchstaben b und f |
7. Schutz vor Repressalien | Dass Repressalien verboten sind und was zu tun ist, wenn sie auftreten | Artikel 19 und 21 |
8. Externe Meldung | Wie Meldungen an die zuständige nationale Behörde erfolgen können | Artikel 9 Absatz 1 Buchstabe g |
9. Datenschutz | Wie personenbezogene Daten gemäß DSGVO verarbeitet werden | Artikel 17 |
10. Aufbewahrung von Aufzeichnungen | Wie Meldungen dokumentiert und wie lange sie aufbewahrt werden | Artikel 18 |
Unternehmen mit 50 oder mehr Mitarbeitern können in wenigen Minuten die Whistleblowing-Software von Trusty einrichten, ab 49 € pro Monat.
Vorlage für eine Hinweisgeberrichtlinie
Diese Vorlage deckt alle zehn Elemente ab. Ersetzen Sie den Text in eckigen Klammern und lassen Sie sie anschließend anhand des nationalen Rechts jedes Landes prüfen, in dem Sie sie verwenden.
1. Zweck
[Unternehmensname] möchte frühzeitig von Fehlverhalten erfahren, um handeln zu können. Diese Richtlinie erklärt, wie Sie ein Anliegen melden, wie wir es bearbeiten und wie wir Sie schützen.
2. Wer melden kann
Diese Richtlinie gilt für Beschäftigte, Führungskräfte, Mitglieder des Leitungsorgans, Anteilseigner, Praktikanten, Freiwillige, Bewerber, ehemalige Beschäftigte, Auftragnehmer, Lieferanten und deren Mitarbeitende.
3. Was Sie melden können
Sie können einen tatsächlichen oder vermuteten Rechtsverstoß melden, von dem Sie im Rahmen Ihrer Tätigkeit für [Unternehmensname] erfahren haben. Beispiele sind Betrug, Korruption, Geldwäsche, Verstöße gegen das Wettbewerbsrecht, Gesundheits- und Sicherheitsrisiken, Umweltschäden, Datenschutzverstöße, Mängel bei der Produktsicherheit und Verstöße gegen die EU-KI-Verordnung.
Persönliche Beschwerden zum Arbeitsverhältnis richten Sie bitte an [HR-Kontakt], es sei denn, sie betreffen zugleich einen Rechtsverstoß.
4. Wie Sie melden können
Sie können schriftlich oder per Sprachnachricht über [URL des Meldekanals] melden. Sie können auch ein persönliches Treffen mit [Rolle oder Team] beantragen, das wir innerhalb von [Anzahl] Tagen ermöglichen.
Sie können anonym melden. Bewahren Sie in diesem Fall den Zugangscode auf, den Sie erhalten, damit wir Fragen stellen und Ihnen Rückmeldung geben können.
5. Wer Ihre Meldung bearbeitet
[Rolle oder Team] nimmt Meldungen entgegen und ergreift Folgemaßnahmen. Diese Stelle handelt unabhängig und ist für diese Aufgabe geschult. Betrifft Ihre Meldung diese Person oder dieses Team, wird sie an [alternative Rolle] weitergeleitet.
6. Vertraulichkeit
Ihre Identität und alle Informationen, die sie offenlegen könnten, werden nur mit den Personen geteilt, die zur Bearbeitung Ihrer Meldung befugt sind. Wir geben sie ohne Ihre ausdrückliche Zustimmung an niemanden sonst weiter, es sei denn, das Gesetz verlangt es.
7. Was nach Ihrer Meldung passiert
Wir bestätigen den Eingang innerhalb von 7 Tagen. Wir prüfen die Meldung, untersuchen sie bei Bedarf und teilen Ihnen innerhalb von 3 Monaten nach dieser Bestätigung mit, welche Maßnahmen wir ergriffen haben oder zu ergreifen beabsichtigen.
8. Schutz vor Repressalien
[Unternehmensname] untersagt Repressalien, einschließlich der Androhung und des Versuchs von Repressalien, gegen Personen, die nach dieser Richtlinie melden, und gegen Personen, die sie unterstützen. Repressalien werden disziplinarisch geahndet. Melden Sie sie über denselben Kanal.
Sie sind geschützt, wenn Sie bei der Meldung hinreichenden Grund zu der Annahme hatten, dass die Information wahr ist. Wer wissentlich falsche Informationen meldet, ist nicht geschützt.
9. Meldung außerhalb des Unternehmens
Wir empfehlen Ihnen, zuerst intern zu melden. Sie können sich jedoch auch direkt an die zuständige externe Meldestelle wenden: [Name und Kontaktdaten der nationalen Behörde]. Gegebenenfalls können Sie sich auch an die zuständige Stelle der EU wenden.
10. Datenschutz und Aufzeichnungen
Wir verarbeiten personenbezogene Daten im Einklang mit der DSGVO und [nationales Datenschutzgesetz]. Wir dokumentieren jede Meldung und bewahren sie [Aufbewahrungsfrist] lang auf, bei gesetzlichen Pflichten oder laufenden Verfahren auch länger. Daten, die offensichtlich nicht relevant sind, werden unverzüglich gelöscht.
11. Verantwortlichkeit und Überprüfung der Richtlinie
Verantwortlich für diese Richtlinie ist [Rolle]. Sie wurde am [Datum] genehmigt und wird mindestens einmal pro Jahr überprüft.
jede Gesellschaft
Eine Plattform, ein separater Meldekanal für jede juristische Person. Trusty hält die Meldungen, Fallbearbeiter und Zugriffsrechte jeder Tochtergesellschaft getrennt, bietet das Meldeformular in mehreren Sprachen an und hostet alle Daten in ISO/IEC 27001-zertifizierten Rechenzentren in Deutschland.
Wie passen Sie eine Hinweisgeberrichtlinie an jedes EU-Land an?
Sie passen eine Hinweisgeberrichtlinie an, indem Sie pro Land vier Punkte ändern: den Anwendungsbereich, die Anonymitätsregel, die externe Behörde und die Aufbewahrungsfrist. Das nationale Recht kann außerdem verlangen, dass Sie Arbeitnehmervertretungen konsultieren, bevor die Richtlinie in Kraft tritt.
Land | Was Sie in der Vorlage ändern |
|---|---|
Deutschland (HinSchG) | Erweitern Sie den Anwendungsbereich auf Straftaten und bestimmte Ordnungswidrigkeiten. Benennen Sie das Bundesamt für Justiz als externe Meldestelle. Löschen Sie die Dokumentation drei Jahre nach Abschluss des Verfahrens. Beziehen Sie den Betriebsrat ein. |
Spanien (Ley 2/2023) | Geben Sie an, dass anonyme Meldungen akzeptiert werden. Benennen Sie die für das System verantwortliche Person und die Unabhängige Behörde für den Schutz von Hinweisgebern (AIPI). Veröffentlichen Sie die Richtlinie. Bewahren Sie Aufzeichnungen nicht länger als zehn Jahre auf. |
Frankreich (Sapin II und Dekret 2022-1284) | Erweitern Sie den Anwendungsbereich auf Verbrechen, Straftaten und Gefährdungen des Gemeinwohls. Konsultieren Sie den Sozial- und Wirtschaftsausschuss (CSE). Bestätigen Sie den Eingang innerhalb von sieben Arbeitstagen. Benennen Sie den Défenseur des droits. |
Italien (Gesetzesvertretendes Dekret 24/2023) | Benennen Sie ANAC als externen Kanal. Hören Sie die Gewerkschaftsvertretungen an. Bewahren Sie Aufzeichnungen nicht länger als fünf Jahre nach Mitteilung des Ergebnisses auf. Stimmen Sie sie gegebenenfalls mit Ihrem Organisationsmodell nach Dekret 231/2001 (Modello 231) ab. |
Ein Konzern kann eine Kernrichtlinie verwenden und für jeden dieser Punkte einen kurzen Länderanhang ergänzen. Übersetzen Sie die Richtlinie in die Sprache der jeweiligen Belegschaft. Unser Leitfaden zu Hinweisgebersystemen für Arbeitgeber in mehreren Ländern behandelt Konzernstrukturen ausführlicher.
Was sind die häufigsten Fehler in einer Hinweisgeberrichtlinie?
Der häufigste Fehler ist eine Richtlinie, die einen Prozess beschreibt, den die Organisation in der Praxis nicht umsetzen kann. Sechs Fehler tauchen immer wieder auf:
• Nur Beschäftigte abdecken. Das Gesetz schützt auch Auftragnehmer, Lieferanten, Bewerber und ehemalige Beschäftigte.
• Eine vorrangige interne Meldung verlangen. Ein Hinweisgeber kann sich direkt an die Behörde wenden, und die Richtlinie muss erklären, wie.
• „Guten Glauben“ verlangen. Der rechtliche Maßstab sind hinreichende Gründe für die Annahme, dass die Information wahr ist, nicht das Motiv der meldenden Person.
• Die Fristen weglassen. Die Bestätigung innerhalb von sieben Tagen und die Rückmeldung innerhalb von drei Monaten gehören in die Richtlinie.
• Eine E-Mail-Adresse als Kanal benennen. Ein gemeinsames Postfach ist schwer vertraulich zu halten und hinterlässt keine saubere Fallakte. Siehe Whistleblowing-Software vs. E-Mail vs. Hotline.
• Veröffentlichen und vergessen. Eine Richtlinie, die niemand gelesen hat, schützt niemanden. Schulen Sie daher Ihre Beschäftigten und überprüfen Sie die Richtlinie jährlich.
Eine Richtlinie ist nur die halbe Miete. Der Meldekanal dahinter muss halten, was die Richtlinie verspricht.
Wie setzen Sie eine Hinweisgeberrichtlinie in der Praxis um?
Sie setzen eine Hinweisgeberrichtlinie in der Praxis um, indem Sie sie mit einem Meldekanal kombinieren, der das durchsetzt, was die Richtlinie verspricht. Trusty ist eine Whistleblowing-Software, die auf Basis der EU-Hinweisgeberrichtlinie entwickelt wurde. Ein interner Kanal ist in weniger als fünf Minuten einsatzbereit.
Was Ihre Richtlinie verspricht | Wie Trusty es umsetzt |
|---|---|
Meldungen schriftlich oder mündlich | Online-Formular und Sprachnachrichten im Browser mit Stimmverzerrung |
Anonyme Meldung mit Feedback | Anonymes Postfach für den beidseitigen Austausch, per Zugangscode erreichbar |
Zugriff nur für autorisierte Bearbeiter | Rollenbasierter Zugriff, separat für jede juristische Person |
7-Tage- und 3-Monats-Fristen | Fall-Dashboard, das jede Meldung und ihren Status anzeigt |
Eine verlässliche Dokumentation | Qualifizierter eIDAS-Zeitstempel für jede Meldung und ein manipulationssicheres Audit-Protokoll |
DSGVO-konforme Verarbeitung | Hosting in ISO/IEC 27001-zertifizierten Rechenzentren in Deutschland |
Trusty enthält außerdem vorgefertigte Compliance-Richtlinien und Mitarbeiterschulungen, sodass Sie nicht bei null anfangen müssen.
Häufig gestellte Fragen zu Hinweisgeberrichtlinien
Eine Hinweisgeberrichtlinie ist ein schriftliches Dokument, das erklärt, wie Fehlverhalten am Arbeitsplatz gemeldet wird, wie die Organisation Meldungen bearbeitet und wie sie die meldende Person schützt.
Private Unternehmen mit 50 oder mehr Mitarbeitern und öffentliche Stellen in der EU benötigen interne Meldeverfahren und müssen klare Informationen darüber bereitstellen. Eine schriftliche Hinweisgeberrichtlinie ist der übliche Weg, beides zu erfüllen.
Sie sollte beinhalten, wer melden kann, was gemeldet werden kann, wie gemeldet wird, wer Meldungen bearbeitet, Vertraulichkeit, die 7-Tage- und 3-Monats-Fristen, Schutz vor Repressalien, externe Meldung, Datenschutz und Aufbewahrung von Aufzeichnungen.
Zwei bis vier Seiten sind ausreichend. Ein Leser sollte in weniger als einer Minute herausfinden können, wie er melden kann und was danach geschieht.
Das hängt vom Land ab. Das EU-Recht überlässt die Entscheidung den Mitgliedstaaten, und Spanien verlangt von Arbeitgebern, anonyme Meldungen zu akzeptieren. Sie überall zuzulassen, ist für einen Konzern der einfachste Ansatz.
Ja. Ein Konzern kann eine Kernrichtlinie mit einem kurzen Anhang für jedes Land verwenden, der den lokalen Geltungsbereich, die Behörde, die Anonymitätsregel und die Aufbewahrungsfrist festlegt.
Überprüfen Sie sie mindestens einmal im Jahr und immer dann, wenn sich das Gesetz ändert. Die Ausweitung auf Meldungen zu Verstößen gegen die EU-KI-Verordnung ab 2026 ist eine solche Änderung.
Quellen
• Richtlinie (EU) 2019/1937, EUR-Lex
• Artikel 87: Meldung von Verstößen und Schutz meldender Personen, EU Artificial Intelligence Act
• Trusty, Produktinformationen
Diese Vorlage und dieser Artikel dienen der allgemeinen Information und stellen keine Rechtsberatung dar. Lassen Sie Ihre finale Richtlinie von lokalem Rechtsbeistand prüfen.
mit EU-Richtlinie & DSGVO
Whistleblowing-Software einfach gemacht, entwickelt von Compliance-Experten.