Was die Richtlinie regelt
Die Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, wurde am 23. Oktober 2019 angenommen und trat am 16. Dezember 2019 in Kraft. Die Mitgliedstaaten hatten bis zum 17. Dezember 2021 Zeit, sie in nationales Recht umzusetzen, und für die Pflicht privater Arbeitgeber mit 50 bis 249 Beschäftigten, interne Kanäle einzurichten, bis zum 17. Dezember 2023.
Die Richtlinie bewirkt zweierlei. Sie verpflichtet Organisationen, sichere Wege zur Meldung von Missständen anzubieten, und sie schützt die meldenden Personen vor Repressalien. Sie legt Mindeststandards fest. Nationale Gesetze können daher mehr Personen schützen oder mehr Arten von Missständen erfassen.
Hinweisgebenden Personen stehen drei Wege offen: intern an die eigene Organisation, extern an eine zuständige Behörde oder, unter strengen Voraussetzungen, öffentlich. Die Mitgliedstaaten müssen darauf hinwirken, dass zuerst intern gemeldet wird, wenn der Verstoß intern behandelt werden kann und die hinweisgebende Person keine Repressalien befürchtet.
Welche Verstöße erfasst sind
Die Richtlinie erfasst Meldungen über Verstöße gegen das Unionsrecht in diesen Bereichen:
- öffentliches Auftragswesen
- Finanzdienstleistungen, Finanzprodukte und Finanzmärkte sowie Verhinderung von Geldwäsche und Terrorismusfinanzierung
- Produktsicherheit und -konformität
- Verkehrssicherheit
- Umweltschutz
- Strahlenschutz und kerntechnische Sicherheit
- Lebensmittel- und Futtermittelsicherheit, Tiergesundheit und Tierschutz
- öffentliche Gesundheit
- Verbraucherschutz
- Schutz der Privatsphäre und personenbezogener Daten sowie Sicherheit von Netz- und Informationssystemen
- finanzielle Interessen der EU und Binnenmarkt, einschließlich der Vorschriften über Wettbewerb, staatliche Beihilfen und Körperschaftsteuer
Nach dem Bericht der Europäischen Kommission von 2024 über die Richtlinie hat eine große Mehrheit der Mitgliedstaaten den Schutz über die Richtlinie hinaus ausgeweitet, und etwa die Hälfte hat Bereiche des nationalen Rechts wie Korruption oder Straftaten ergänzt. Prüfen Sie, was das Gesetz Ihres Landes abdeckt.
Wer geschützt ist
Geschützt sind Personen, die im Rahmen ihrer beruflichen Tätigkeit im privaten oder öffentlichen Sektor von Verstößen erfahren. Dazu gehören mindestens:
- Arbeitnehmer, einschließlich Beamter
- Selbstständige
- Anteilseigner, Mitglieder von Leitungs- und Aufsichtsorganen, Freiwillige sowie bezahlte oder unbezahlte Praktikanten
- Personen, die für Auftragnehmer, Unterauftragnehmer und Lieferanten arbeiten
- ehemalige Beschäftigte sowie Bewerber, die im Einstellungsverfahren von einem Verstoß erfahren haben
Der Schutz erstreckt sich auch auf Personen, die die hinweisgebende Person unterstützen, auf Kollegen und Angehörige, die Repressalien erleiden könnten, sowie auf Unternehmen, die der hinweisgebenden Person gehören oder für die sie arbeitet. Geschützt ist, wer zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass die Informationen der Wahrheit entsprachen und in den Anwendungsbereich der Richtlinie fielen. Wer anonym gemeldet hat und später identifiziert wird, behält denselben Schutz.
Wer einen internen Meldekanal einrichten muss
- Privater Sektor: jeder Arbeitgeber mit 50 oder mehr Beschäftigten.
- Einige regulierte Bereiche, etwa Finanzdienstleistungen und die Verhinderung von Geldwäsche: jeder Arbeitgeber, der unter die einschlägigen EU-Vorschriften fällt, unabhängig von seiner Größe.
- Öffentlicher Sektor: jede öffentliche Stelle, einschließlich der Einrichtungen in ihrem Eigentum oder unter ihrer Kontrolle. Die Mitgliedstaaten können Gemeinden mit weniger als 10.000 Einwohnern oder weniger als 50 Beschäftigten sowie andere öffentliche Stellen mit weniger als 50 Beschäftigten ausnehmen.
- Kleinere private Arbeitgeber: nur, wenn das nationale Recht es nach einer Risikobewertung vorschreibt, etwa wegen Risiken für die Umwelt oder die öffentliche Gesundheit.
Private Arbeitgeber mit 50 bis 249 Beschäftigten dürfen Ressourcen für die Entgegennahme von Meldungen und die Untersuchung gemeinsam nutzen, behalten aber jeweils ihre eigenen Pflichten zu Vertraulichkeit, Rückmeldung und Folgemaßnahmen. Der Kanal kann von einer benannten Person oder Abteilung innerhalb der Organisation betrieben werden oder von einem externen Dienstleister, der dieselben Anforderungen erfüllt.
Unternehmensgruppen
In ihrem Bericht von 2024 kritisierte die Europäische Kommission nationale Vorschriften, nach denen Konzerne einen Kanal nur auf Konzernebene betreiben dürfen und ihre größeren Gesellschaften davon befreit sind, denn Kanäle sollen zugänglich und nah an den meldenden Personen sein. Wenn Sie einen Kanal für die ganze Gruppe betreiben, prüfen Sie, ob Ihre Gesellschaften mit 250 oder mehr Beschäftigten einen eigenen brauchen.
Was der interne Kanal leisten muss
Interne Meldeverfahren müssen Folgendes umfassen:
- einen sicheren Kanal, der die Identität der hinweisgebenden Person und aller in der Meldung genannten Personen schützt und unbefugten Mitarbeitern keinen Zugriff gewährt
- eine Eingangsbestätigung an die hinweisgebende Person innerhalb von sieben Tagen
- eine unparteiische Person oder Abteilung, die Folgemaßnahmen zu den Meldungen ergreift, mit der hinweisgebenden Person in Kontakt bleibt und bei Bedarf weitere Informationen anfordert
- ordnungsgemäße Folgemaßnahmen, auch zu anonymen Meldungen, wo das nationale Recht dies vorschreibt
- eine Rückmeldung an die hinweisgebende Person innerhalb einer angemessenen Frist, spätestens drei Monate nach der Eingangsbestätigung oder, wenn keine Bestätigung versandt wurde, drei Monate nach Ablauf der sieben Tage
- klare, leicht auffindbare Informationen darüber, wie extern an die zuständigen Behörden gemeldet werden kann
Der Kanal muss Meldungen schriftlich, mündlich oder auf beide Arten ermöglichen. Nimmt ein Kanal mündliche Meldungen entgegen, müssen sie per Telefon oder über ein anderes System für Sprachnachrichten möglich sein. Die Richtlinie sieht außerdem auf Wunsch der hinweisgebenden Person ein persönliches Treffen innerhalb einer angemessenen Frist vor. Ob jeder Kanal dies anbieten muss, regeln die nationalen Gesetze unterschiedlich. Prüfen Sie daher Ihr nationales Recht.
Der zeitliche Ablauf einer Meldung
- Tag 0: Die Meldung geht über den Kanal ein.
- Bis Tag 7: Die hinweisgebende Person erhält eine Eingangsbestätigung.
- Innerhalb von drei Monaten nach der Eingangsbestätigung: Die hinweisgebende Person erfährt, was unternommen wurde oder geplant ist und warum.
- Durchgehend: Die Meldung wird dokumentiert, der Zugriff ist beschränkt, und die Identität der hinweisgebenden Person bleibt geschützt.
Anonyme Meldungen
Die Richtlinie überlässt es den Mitgliedstaaten, ob Organisationen anonyme Meldungen entgegennehmen und ihnen nachgehen müssen. Nach dem Bericht der Kommission von 2024 regelt etwa die Hälfte der nationalen Gesetze anonyme Meldungen, und die meisten davon verlangen, dass sie entgegengenommen und weiterverfolgt werden, entweder von den zuständigen Behörden oder von jeder Organisation mit einem Kanal. Wo sie entgegengenommen werden müssen, werden sie wie jede andere Meldung behandelt.
Anonyme Meldungen anzunehmen hilft nur, wenn die hinweisgebende Person in Kontakt bleiben kann, ohne ihre Identität preiszugeben. Planen Sie, wie Sie eine anonyme Meldung bestätigen, Rückfragen stellen und eine Rückmeldung geben.
Wie HR Hero hilft
Die öffentliche Meldeseite von HR Hero ist standardmäßig anonym. Hinweisgebende Personen erhalten eine Referenznummer und können eine Passphrase aus vier Wörtern erzeugen, um den Status zu prüfen. Das Formular hat kein Kontaktfeld: Wer ein Gespräch wünscht, hinterlässt in der Meldung eine Kontaktmöglichkeit, und der Bearbeiter sendet dorthin ein privates Folge-Token.
Vertraulichkeit, Datenschutz und Dokumentation
Die Identität der hinweisgebenden Person darf ohne ihre ausdrückliche Einwilligung niemandem außer den Mitarbeitern offengelegt werden, die zur Entgegennahme von Meldungen oder zum Ergreifen von Folgemaßnahmen befugt sind. Dasselbe gilt für alle Informationen, aus denen sich ihre Identität ableiten lässt. Ausnahmen sind nur zulässig, wenn EU- oder nationales Recht sie verlangt, etwa in einer Untersuchung oder einem Gerichtsverfahren, und die hinweisgebende Person muss in der Regel vorher informiert werden.
Personenbezogene Daten werden nach der DSGVO verarbeitet. Daten, die für eine Meldung offensichtlich nicht relevant sind, dürfen nicht erhoben werden oder müssen unverzüglich gelöscht werden. Jede Meldung muss dokumentiert und darf nicht länger aufbewahrt werden, als es erforderlich und verhältnismäßig ist. Mündliche Meldungen und Treffen können mit Einwilligung der hinweisgebenden Person durch eine Aufzeichnung oder ein genaues Protokoll dokumentiert werden, und sie erhält Gelegenheit, es zu prüfen, zu berichtigen und zu unterzeichnen.
Wie HR Hero hilft
Die Inhalte der Meldungen werden mit dem eigenen Schlüssel Ihres Unternehmens verschlüsselt, nur Personen mit Berechtigungen für das Hinweisgebersystem können einen Fall öffnen, und jeder Fall hat ein Protokoll mit Hash-Kette, das jede Nacht geprüft wird. Abgeschlossene Meldungen verlassen den Posteingang nach der Aufbewahrungsfrist, die Office Hero für Ihr Unternehmen festlegt (12 bis 120 Monate ab Eingang). Sie werden als gelöscht markiert, aber nicht endgültig gelöscht.
Schutz vor Repressalien
Jede Form von Repressalien ist verboten, auch deren Androhung und der Versuch. Die Richtlinie nennt Beispiele:
- Kündigung, Suspendierung, Herabstufung oder Versagung einer Beförderung
- Änderung von Aufgaben, Arbeitsort, Entgelt oder Arbeitszeit sowie Versagung von Weiterbildung
- negative Leistungsbeurteilungen oder Arbeitszeugnisse sowie Disziplinarmaßnahmen
- Nötigung, Einschüchterung, Mobbing, Ausgrenzung und Diskriminierung
- Nichtumwandlung oder Nichtverlängerung eines befristeten Arbeitsvertrags oder seine vorzeitige Beendigung
- Rufschädigung, auch in den sozialen Medien, finanzielle Verluste und die Aufnahme in eine schwarze Liste einer Branche
- Kündigung von Verträgen über Waren oder Dienstleistungen, Entzug von Lizenzen oder Genehmigungen sowie psychiatrische oder ärztliche Überweisungen
Erleidet eine hinweisgebende Person eine Benachteiligung und weist sie nach, dass sie eine Meldung erstattet hat, wird vermutet, dass die Benachteiligung eine Repressalie ist, und der Arbeitgeber muss beweisen, dass er andere, hinreichend gerechtfertigte Gründe hatte. Vereinbarungen und interne Regelungen können diese Rechte nicht ausschließen. Die Mitgliedstaaten legen Sanktionen gegen alle fest, die Meldungen behindern, Repressalien ergreifen, mutwillige Gerichtsverfahren anstrengen oder die Vertraulichkeit verletzen, sowie gegen hinweisgebende Personen, die wissentlich falsche Informationen melden.
Stand der nationalen Umsetzung
Die Umsetzung verlief langsam. Bis zur Frist am 17. Dezember 2021 hatten nach dem Bericht der Kommission von 2024 nur drei Mitgliedstaaten die Richtlinie vollständig umgesetzt, acht folgten 2022 und dreizehn 2023. Derselbe Bericht stellte fest, dass alle Mitgliedstaaten die wesentlichen Bestimmungen umgesetzt hatten, in zentralen Bereichen aber noch Handlungsbedarf bestand, etwa beim Anwendungsbereich, bei den Voraussetzungen für den Schutz und beim Schutz vor Repressalien einschließlich der Sanktionen.
Die nationalen Gesetze unterscheiden sich im Detail: ob anonyme Meldungen entgegengenommen werden müssen, welche Bereiche des nationalen Rechts erfasst sind, wie mündliche Meldungen funktionieren müssen und welche Behörde externe Meldungen entgegennimmt. Richten Sie sich nach den Vorschriften des Landes, in dem jedes Ihrer Unternehmen seinen Sitz hat.
Außerhalb der EU: Nordmazedonien und die Region
Außerhalb der EU gilt die Richtlinie nicht unmittelbar, doch viele Länder haben eigene Gesetze zum Schutz von Hinweisgebern. Nordmazedonien hat 2015 sein Gesetz über den Schutz von Hinweisgebern verabschiedet. Nach einer Übersicht der Kanzlei CMS müssen Unternehmen mit zehn oder mehr Beschäftigten interne Regeln für Meldungen erlassen und eine Person benennen, die sie entgegennimmt.
Ein neues Gesetz, das Nordmazedonien an die Richtlinie angleichen soll, liegt im Entwurf vor. Laut dem Bericht über die Rechtsstaatlichkeit 2026 der Europäischen Kommission hat der Entwurf im März 2026 die regierungsinterne Konsultation abgeschlossen, und es gibt keinen klaren Zeitplan für die Verabschiedung durch das Parlament. Auch andere Länder der Region haben eigene Vorschriften. Prüfen Sie diese daher für jedes Unternehmen, und denken Sie daran, dass Tochtergesellschaften in EU-Ländern dem Recht ihres Mitgliedstaats folgen.
Checkliste für die Einrichtung Ihres Kanals
- Zählen Sie die Beschäftigten jedes Unternehmens, und prüfen Sie die Schwellenwerte im jeweiligen nationalen Recht.
- Benennen Sie eine unparteiische Person oder Abteilung für die Bearbeitung von Meldungen, mit einer Stellvertretung, und schulen Sie sie zur Vertraulichkeit.
- Legen Sie fest, wie gemeldet werden kann – schriftlich, telefonisch oder in einem Treffen –, und ob Sie anonyme Meldungen entgegennehmen müssen.
- Veröffentlichen Sie klare Anleitungen für interne Meldungen und für Meldungen an die zuständigen Behörden.
- Richten Sie einen Ablauf ein, der jede Meldung innerhalb von sieben Tagen bestätigt und innerhalb von drei Monaten eine Rückmeldung gibt.
- Beschränken Sie den Zugriff auf Meldungen, schützen Sie Identitäten, und dokumentieren Sie jeden Schritt.
- Legen Sie für abgeschlossene Meldungen eine Aufbewahrungsfrist fest, die zur Richtlinie und zu Ihrem nationalen Recht passt.
- Machen Sie Führungskräften klar, dass Repressalien verboten sind, und überprüfen Sie das Verfahren regelmäßig.
Wie Office Hero helfen kann
HR Hero, die HR-App von Office Hero, enthält ein Hinweisgebersystem, das auf die Richtlinie ausgerichtet ist. Es bietet eine öffentliche Meldeseite in Office Hero Connect, für die kein Konto nötig ist, ein internes Formular für Mitarbeiter, einen Fall-Posteingang für Ihre benannten Bearbeiter und eine Erinnerung an die einer Meldung zugewiesenen Bearbeiter, wenn sie nach sieben Tagen noch nicht bestätigt ist. Die Inhalte der Meldungen werden verschlüsselt, und jeder Fall hat ein Protokoll mit Hash-Kette.
Beachten Sie auch die Grenzen: Meldungen erfolgen schriftlich, ohne Telefonleitung oder Sprachaufzeichnung; hinweisgebende Personen können keine Dateien anhängen; niemand wird benachrichtigt, wenn eine neue Meldung eingeht; und die Dreimonatsfrist für die Rückmeldung wird über den Altersfilter des Posteingangs überwacht, nicht über eine Erinnerung. Wie das System funktioniert, erklärt die Seite zum Hinweisgebersystem.