Was ist Whistleblowing?
Whistleblowing hilft Organisationen, Fehlverhalten aufzudecken, bevor es zur Krise wird. Dieser Leitfaden erklärt den Rechtsrahmen, die Anforderungen an ein regelkonformes Programm und wie eine Kultur entsteht, in der Melden zur Normalität wird.
Table of contents
Was ist Whistleblowing?
.webp)
Was die EU-Whistleblowing-Richtlinie fordert
Die EU-Whistleblowing-Richtlinie (Richtlinie 2019/1937) ist die Rechtsgrundlage für den Schutz von Hinweisgebern in allen 27 EU-Mitgliedstaaten. Sie gilt seit Dezember 2021 und erfasst alle privatrechtlichen Organisationen mit 50 oder mehr Beschäftigten, alle öffentlichen Stellen unabhängig von ihrer Größe sowie Hochrisikosektoren wie Finanzdienstleistungen, Verkehrssicherheit und Umweltschutz. Jede betroffene Organisation muss fünf Kernpflichten erfüllen.
Sichere interne Meldekanäle
Es muss mindestens ein vertraulicher Kanal bestehen, über den Beschäftigte und andere berechtigte Personen Meldungen schriftlich, mündlich oder auf beide Arten abgeben können. Der Zugang ist auf autorisiertes Personal zu beschränken. Sammelpostfächer und HR-Weiterleitungen erfüllen diese Anforderung nicht.
Eingangsbestätigung innerhalb von 7 Tagen
Jede eingegangene Meldung ist innerhalb von sieben Tagen zu bestätigen. Es handelt sich um eine gesetzliche Pflicht, keinen Richtwert. Für Organisationen mit hohem Meldeaufkommen sind automatisierte Bestätigungs-Workflows die zuverlässigste Lösung.
Rückmeldung innerhalb von 3 Monaten
Hinweisgeber müssen innerhalb von drei Monaten nach der Eingangsbestätigung eine aussagekräftige Rückmeldung zum Stand ihrer Meldung erhalten. Das erfordert aktives Fallmanagement, nicht nur eine Aufnahme. Meldungen ohne dokumentierten Fortschritt begründen rechtliche Risiken und untergraben das Vertrauen in das System.
Vertraulichkeit und Datenschutz
Die Identität des Hinweisgebers sowie alle Informationen, die zur Identifizierung führen könnten, sind während des gesamten Verfahrens streng vertraulich zu behandeln. Alle im Zusammenhang mit einer Meldung verarbeiteten personenbezogenen Daten müssen DSGVO-konform sein, einschließlich Aufbewahrungsfristen, Zugriffskontrollen und Datensparsamkeit.
Kein Repressalien, umgekehrte Beweislast
Repressalien in jeder Form sind verboten: Kündigung, Degradierung, Gehaltskürzung, Belästigung, negative Referenzen, Berufsverbote. Die Beweislast ist umgekehrt. Erleidet ein Hinweisgeber nach einer Meldung eine Benachteiligung, muss die Organisation nachweisen, dass kein Zusammenhang besteht.
National implementations: what changes by country
The directive sets a floor, not a ceiling. Member states may and often do go further. For organizations operating across multiple jurisdictions, the baseline EU requirements are the starting point, not the finish line. Track current EU implementation status across all member states at the EU Whistleblowing Monitor.
Deutschland: Hinweisgeberschutzgesetz (HinSchG)
In Kraft seit 2. Juli 2023. Gilt für Organisationen mit 50 oder mehr Beschäftigten. Erweitert den Meldebereich auf Verstöße gegen deutsches Strafrecht und bestimmte Ordnungswidrigkeiten. Erlaubt ausdrücklich anonyme Meldungen. Sieht umgekehrte Beweislast bei Repressalien vor. Bußgelder: bis zu 50.000 € bei Repressalien, bis zu 20.000 € bei fehlender Einrichtung eines Meldekanals.
Netherlands: Wet bescherming klokkenluiders
In Kraft seit Februar 2023. Gilt für Organisationen mit 50 oder mehr Beschäftigten. Erweitert den Schutz auf Meldungen über Verstöße gegen niederländisches Recht neben dem EU-Recht. Führt eine ausdrückliche Beweislastumkehr ein. Das Huis voor Klokkenluiders bleibt die zuständige externe Behörde und kann verbindliche Empfehlungen gegenüber Organisationen aussprechen.
Vereinigtes Königreich: Public Interest Disclosure Act (PIDA)
Das Vereinigte Königreich hat seinen Schutzrahmen nach dem Brexit über den PIDA beibehalten (in Kraft seit 1998). Anders als die EU-Richtlinie ist PIDA im Arbeitsrecht verankert. Schutz gilt für Arbeitnehmer, die eine qualifizierte Meldung über bestimmte Kategorien von Fehlverhalten erstatten. Vergeltungsansprüche werden vor Arbeitsgerichten geltend gemacht. Organisationen mit Präsenz in UK und EU müssen beiden Rahmenwerken entsprechen.
US companies operating in the EU
Die USA haben kein einheitliches Äquivalent zur EU-Whistleblowing-Richtlinie. Das US-Recht ist sektoral gegliedert: Sarbanes-Oxley gilt für Finanzbetrug bei börsennotierten Unternehmen, Dodd-Frank für SEC-Verstöße. US-Unternehmen mit Beschäftigten in EU-Mitgliedstaaten unterliegen jedoch für diese Aktivitäten der Richtlinie – unabhängig vom Sitz der Muttergesellschaft. Eine häufig übersehene Compliance-Lücke bei US-Konzernen mit Europa-Expansion.
Sprechen Sie mit einem unserer Compliance-Experten. Kein Verkaufsgespräch – nur eine ehrliche Unterhaltung darüber, was Sie brauchen und ob SpeakUp die richtige Lösung ist.
Frequently asked questions
Ist Whistleblowing-Software Pflicht?
In der EU sind Organisationen mit 50 oder mehr Beschäftigten gesetzlich verpflichtet, einen sicheren, vertraulichen internen Meldekanal einzurichten. Die Richtlinie schreibt keine bestimmte Software vor, aber allgemeine E-Mail-Postfächer und informelle Prozesse erfüllen die Anforderungen an Vertraulichkeit, Zugangskontrolle und Fristeneinhaltung nicht. Dedizierte Whistleblowing-Software ist in der Praxis der Standardweg zur Erfüllung dieser Pflicht.
In den USA gibt es keine einheitliche Entsprechung: Whistleblower-Pflichten sind sektoral geregelt – Finanzbetrug unter Sarbanes-Oxley, Wertpapierverstöße unter Dodd-Frank, Gesundheits- und Umweltbereiche unter separaten Bundesgesetzen. US-Unternehmen mit Beschäftigten in EU-Mitgliedstaaten unterliegen für diese Aktivitäten jedoch vollumfänglich der EU-Whistleblowing-Richtlinie.
Do US companies operating in the EU need to comply with the EU Whistleblowing Directive?
Yes. The directive applies to any organization with 50 or more employees operating in an EU member state, irrespective of where the parent company is based or incorporated. A US company with operations in Germany, the Netherlands, France, or any other EU country must meet the directive's requirements, including establishing a secure internal reporting channel, acknowledging reports within seven days, and providing feedback within three months. National implementations such as Germany's HinSchG and the Dutch Wet bescherming klokkenluiders may impose additional obligations and penalties on top of the EU baseline.
Was unterscheidet Whistleblowing von einer persönlichen Beschwerde?
Eine Beschwerde betrifft in der Regel ein persönliches Anliegen der meldenden Person – etwa eine arbeitsrechtliche Situation. Whistleblowing hingegen bezeichnet die Meldung von Verhalten, das andere, die Organisation oder das öffentliche Interesse schädigt. Dieser Unterschied ist rechtlich entscheidend: Whistleblower-Schutzgesetze gelten für Letzteres. In der Praxis leiten viele Organisationen beide Meldearten über denselben Kanal weiter und triagieren entsprechend.
Muss ein Hinweisgeber Angestellte:r des Unternehmens sein?
Nein. Die EU-Whistleblowing-Richtlinie gewährt Schutz für alle Personen mit beruflicher Verbindung zur Organisation: Auftragnehmer, Lieferanten, Ehrenamtliche, Praktikant:innen, Bewerber:innen und ehemalige Beschäftigte. Maßgeblich ist die Verbindung zur Organisation, nicht die Vertragsform. Voraussetzung ist, dass die Meldung in gutem Glauben erfolgt.
Was passiert, wenn sich eine Meldung als unbegründet herausstellt?
Hinweisgeber sind geschützt, solange sie zum Zeitpunkt der Meldung hinreichenden Grund hatten, die Information für zutreffend zu halten. Maßstab ist die Gutgläubigkeit, nicht das Ergebnis. Eine später als unbegründet eingestufte Meldung hebt den Schutz nicht auf. Eine Organisation, die gegen einen Hinweisgeber vorgeht, dessen Meldung sich als unzutreffend erweist, bleibt dennoch haftbar.
Was ist der Unterschied zwischen interner und externer Meldung?
Interne Meldung bedeutet, ein Anliegen über einen organisationsinternen Kanal zu übermitteln – etwa an die Compliance-Abteilung, eine Ethikfunktion oder ein dediziertes Meldesystem. Dies ist, was die EU-Whistleblowing-Richtlinie für alle betroffenen Organisationen vorschreibt. Externe Meldung bedeutet, direkt an eine zuständige Behörde zu wenden – etwa eine Regulierungsbehörde, Antikorruptionsstelle oder EU-Einrichtung wie OLAF oder ESMA. Der Schutz gilt unabhängig davon, ob intern oder extern gemeldet wird, und Organisationen dürfen nicht verlangen, dass zunächst interne Kanäle genutzt werden.
Können Hinweisgeber direkt an Behörden melden, ohne den internen Weg zu nutzen?
Ja. Die Richtlinie schützt Hinweisgeber ausdrücklich, wenn sie externe Kanäle vor, anstelle von oder parallel zu internen Kanälen nutzen. Organisationen dürfen nicht verlangen, dass interne Kanäle zuerst ausgeschöpft werden, bevor eine Meldung an eine Behörde erfolgt.