EU-Whistleblower-Richtlinie – das müssen Sie wissen
Die EU-Whistleblower-Richtlinie vom 16. Dezember 2019 ist der wichtigste rechtliche Impuls für das Hinweisgeberschutzgesetz, welches zum 02.07.2023 in Kraft getreten ist. Doch was besagt das Gesetz genau? Was müssen deutsche Unternehmen tun? Wir erklären die Bedeutung der Whistleblowing-Gesetzgebung für Unternehmer und Mitarbeitende.
Lesen Sie jetzt in unserem Leitfaden:
- Alle wichtigen Hintergründe zur Whistleblowing-Richtlinie, kurz erklärt
- Hilfreiche Übersicht zum Hinweisgeberschutzgesetz (HinSchG) als Konkretisierung der EU-Whistleblower-Richtlinie in Deutschland
- Ratgeber und die wichtigsten Tipps zum Aufbau eines Meldekanals in Ihrem Unternehmen
- Praktische Checklisten zur Planung eines Hinweisgebersystems als Meldestelle, das zu Ihrem Unternehmen passt
Jetzt kostenlosen Leitfaden herunterladen
Sie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
Diese Pflichten gelten laut Whistleblower-Richtlinie für Unternehmen
Die EU-Whistleblowing-Richtlinie verpflichtet Unternehmen zur Einführung eines Whistleblowing-Systems und zum Schutz von hinweisgebenden Personen. Dieser interne Meldekanal dient der Entgegennahme von Informationen über mögliche Missstände oder Gesetzesverstöße, die das Unternehmen betreffen. Auch wenn die Ermöglichung anonymer Meldungen nicht von der Richtlinie vorgeschrieben ist, handelt es sich jedoch um eine klare Umsetzungsempfehlung aus der Praxis. Die Anonymität des Whistleblowers ist dann auch während des ganzen Prozesses zu wahren. Entscheidet er sich, seine Identität preiszugeben, ist die vertrauliche Bearbeitung einzuhalten. Darüber hinaus sind hinweisgebende Personen vor Repressalien zu schützen.
- Meldungen von Verstößen können beispielsweise folgende Bereiche betreffen:
- Arbeitsschutz
- Geldwäsche
- Korruption
- Umweltschutz
- Datenschutz
- Verbraucherschutz
in 5 Minuten kennenlernen
Bevor Sie einen Live Demo Termin bei LegalTegrity buchen, können Sie unsere Software in nur 5 Minuten kennenlernen. Fordern Sie unser Demo-Video an, um einen Überblick aller wichtigen Funktionen und Gestaltungsmöglichkeiten des Systems zu erhalten. Sie erhalten das Demo-Video per Mail.
Gesetzliche Umsetzung der Whistleblower-Richtlinie in Deutschland
Die deutsche Bundesregierung ließ lange mit einem gesetzlichen Beschluss zur Umsetzung der Whistleblower-Richtlinie aus dem Jahr 2019 auf sich warten. Im Mai 2023 wurde, lange nach der eigentlichen Vorgabe der EU, dann das deutsche Hinweisgeberschutzgesetz (HinSchG) verabschiedet. In diesem werden die Forderungen der EU-Richtlinie auf nationaler Ebene zur Pflicht für Unternehmen. Seit Juli 2023 müssen Unternehmen mit mehr als 249 Mitarbeitern ein Whistleblower-System besitzen, sowie Kommunen und Städte mit mehr als 10.000 Einwohnern. Für Unternehmen ab 50 Mitarbeitern galt eine verlängerte Umsetzungsfrist für die Einrichtung einer Meldestelle bis zum 17.12.2023.
- Bestimmung der Whistleblower-Richtlinie in Deutschland:
- Es muss verschiedene Möglichkeiten zur Einreichung einer Meldung geben: mündlich, schriftlich, persönlich
- Innerhalb von 7 Tagen muss der Eingang eines Hinweises bestätigt werden
- Spätestens nach 3 Monaten müssen Whistleblower über die eingeleiteten Maßnahmen informiert werden
- Der Meldekanal muss DSGVO-konform sein
- Datenschutz: Der Anwendungsrahmen erstreckt sich auf das deutsche und das EU-Recht
- Die Möglichkeit der Einreichung anonymisierter Meldungen ist eine Soll-Vorgabe des Gesetzes
- Bei Missachtung des HinSchG sind Bußgelder in Höhe von bis zu 50.000 € zu zahlen
Wer wird von der Whistleblower-Richtlinie geschützt?
Die EU-Whistleblower-Richtlinie schützt alle natürlichen Personen, die Gesetzesverstöße oder sonstige Missstände melden wollen. Solche Personen werden Whistleblower oder Hinweisgeber genannt. Die Richtlinie schützt alle Hinweisgeber, die ihre Informationen oder Beobachtung im beruflichen Kontext erhalten haben und diese über den internen Meldekanal melden. Sollte das Unternehmen kein internes Whistleblowing-System anbieten, dürfte die meldende Person mit ihrer Meldung straffrei an die Öffentlichkeit gehen. Mehr Details zum Begriff des Whistleblowers finden Sie im ersten Teil unserer Whistleblowing-Basics Reihe „Was ist ein Whistleblower?“.
Welche Unternehmen sind von den Vorschriften der EU-Whistleblowing-Richtlinie betroffen?
Welche Umsetzungsfristen gibt es für Kommunen und Unternehmen? Der öffentliche Sektor ist unmittelbar betroffen: Alle Kommunen, Behörden und öffentlichen Organisationen sind zu internen Whistleblowing-Systemen verpflichtet, die die Anforderungen der Richtlinie erfüllen müssen. Wichtig: Das gilt ebenso für Kommunen < 10.000 Einwohner und staatliche Stellen, die weniger als 50 Mitarbeiter haben.
Für private Unternehmen besteht Handlungsbedarf ab einer Größe von 50 Mitarbeitern.
Überblick: Welche Anforderungen müssen Sie bei der Umsetzung der EU-Whistleblower-Richtlinie beachten?
Die von der EU-Whistleblower-Richtlinie erfassten juristischen Personen (Unternehmen mit mehr als 50 Mitarbeitern) sind verpflichtet, interne Meldekanäle einzurichten. Unternehmen mit bis zu 249 Beschäftigten hatten eine verlängerte Umsetzungsfrist bis Ende 2023.
Die Meldestellen Ihres Unternehmens müssen dabei folgende Anforderungen erfüllen:
- Die Meldung eines Vorfalls muss schriftlich oder mündlich möglich sein. Auf Wunsch des Hinweisgebers soll ein persönlicher Austausch stattfinden können.
- Melden können alle Personen, die im Rahmen ihrer beruflichen Tätigkeit mit Ihrem Unternehmen in Kontakt stehen, d. h. sowohl Ihre eigenen Mitarbeiter als auch Ihre externen Geschäftspartner und deren Mitarbeiter.
- Die potentiellen Hinweisgeber müssen klare und leicht zugängliche Informationen über die Meldemöglichkeiten und die weiteren Abläufe erhalten. Dies kann z. B. auf Ihrer Unternehmenswebsite erfolgen.
- Die Bearbeitung der Hinweise in den dafür eingerichteten Meldekanälen muss die Anonymität des Hinweisgebers wahren und darf keinen Zugriff unbefugter Dritter auf die Meldungen zulassen.
- Alle rechtlichen Bedingungen des Datenschutzes bzw. der DSGVO sind unbedingt einzuhalten. Dies gilt für die personenbezogenen Daten aller Beteiligten, also den Hinweisgeber, die vom Hinweis betroffenen Personen und auch etwaige Beobachter.
- Sofern ein Betriebsrat vorhanden ist, hat eine Abstimmung über die Einrichtung des Hinweisgebersystems zu erfolgen.
- Die Meldekanäle können intern betrieben werden. Ebenso können diese von einem Dritten bereitgestellt werden.
Was passiert mit den eingegangenen Hinweisen?
Sie als Unternehmer legen das Verfahren für die Bearbeitung der Meldungen und das Ergreifen von Folgemaßnahmen fest. Dabei müssen Sie folgende Aspekte beachten:
- Zunächst müssen Sie unparteiische Personen auswählen und benennen, die etwaige Meldungen bearbeiten und mit dem Hinweisgeber kommunizieren. Geeignet dafür sind z.B. der Leiter Compliance, Leiter Personal, Leiter Finanzen oder Leiter Audit. Ebenso kommen der Leiter der Rechtsabteilung oder der Datenschutzbeauftragte in Frage. Die Aufgaben können auch an einen externen Experten, z.B. an einen Anwalt übergeben werden.
- Dieser Bearbeiter muss alle eingehenden Meldungen entgegennehmen. Es dürfen keine Meldungen seitens des Unternehmens aktiv verzögert oder ignoriert werden.
- Dem Hinweisgeber ist innerhalb von sieben Tagen der Eingang der Meldung zu bestätigen.
- Es sind Folgemaßnahmen zu ergreifen, insbesondere eine Prüfung der Stichhaltigkeit des Hinweises und die Veranlassung von Nachforschungen.
- Spätestens nach drei Monaten ist der Hinweisgeber über die ergriffenen Folgemaßnahmen zu informieren.
- Alle eingehenden Meldungen und die eingeleiteten Maßnahmen sind DSGVO-konform zu dokumentieren.
Mögliche Meldekanäle für Hinweisgeber: Wie unterscheiden sich die verschiedenen Optionen?
Für die Einrichtung von Meldekanälen bieten sich für Ihr Unternehmen unterschiedliche Optionen an. Die Vor- und Nachteile der verschiedenen Lösungen lassen sich wie folgt zusammenfassen:
Möglichkeit 1: Externe Ombudsperson
Diese steht dem Hinweisgeber für Meldungen per Telefon oder Mail oder zum persönlichen Austausch zur Verfügung. Die Nutzung durch Hinweisgeber ist erfahrungsgemäß höher als bei einem definierten internen Ansprechpartner, insbesondere wenn die Ombudsperson ein zur Verschwiegenheit verpflichteter Rechtsanwalt ist.
Möglichkeit 3: Eine Telefon-Hotline
Der größte Nachteil bei der Nutzung einer Hotline durch einen Hinweisgeber ist die Hemmschwelle für einen direkten Kontakt am Telefon. Dies ist statistisch nachgewiesen. Sie können den Zugang zur Hotline dadurch erleichtern, dass die telefonischen Meldungen von einer externen Ombudsperson entgegengenommen werden.
Möglichkeit 5: Per Chat- oder Talk-Bot
Eine moderne Möglichkeit ist die Einführung eines Systems für geschriebene (Chat-Bot) oder gesprochene Nachrichten (Talk-Bot). Insbesondere zweiteres ermöglicht es, den Hinweis in Sprachform abzugeben. Das System wandelt die Sprachnachricht in Text um. Allerdings sind solche Lösungen technisch nicht einfach umzusetzen und benötigen sehr oft die Unterstützung von externen Dienstleistern.
Möglichkeit 2: Briefkasten / Kummerkasten
Diese Option hat den Vorteil, dass sie besonders schnell umsetzbar ist und kaum Implementierungsaufwand besteht. Ein klarer Nachteil dieser Variante ist allerdings, dass die Kommunikation nur in eine Richtung verläuft. Whistleblower können über den Briefkasten zwar Verstöße melden, aber der zuständige Bearbeiter hat keine Möglichkeit, mit dem Hinweisgeber in Kontakt zu treten oder entsprechende Rückfragen für Folgemaßnahmen zu stellen.
Möglichkeit 4: E-Mail-Postfach
Ebenfalls leicht umsetzbar, jedoch sind die Vertraulichkeit und der Datenschutz hier stark unter die Lupe zu nehmen. Besondere Vorsicht gilt bei E-Mail-Anbietern aus den USA bzw. generell bei Anbietern, die Daten außerhalb des EU-Rechtsraums verarbeiten. Es muss hier ebenfalls sichergestellt werden, dass nur der objektive Bearbeiter der Meldung Zugriff auf das E-Mail-Postfach hat (z. B. dürfen Administratoren des E-Mail-Servers keinen Zugriff darauf bekommen, selbst nicht mit Admin-Rechten).
Möglichkeit 6: Online-Plattform
Die Königsklasse der Meldekanäle sind extra dafür bereitgestellte Online-Plattformen. Mit diesen können Vertraulichkeit, Datenschutz und Datensicherheit durch State-of-the-Art-Technologie hervorragend gewährleistet werden. Ein sicherer Dialog ist über eine integrierte Chat-Funktion, dem möglichen Upload von Dokumenten jederzeit von jedem Gerät mit Internetzugang möglich. Sie können solche Lösungen als Link direkt auf Ihrer Unternehmenswebsite einbetten. Aus diesen und noch vielen weiteren Gründen setzen Unternehmen zunehmend auf digitale Hinweisgeber-Lösungen.
Nächste Schritte für die Umsetzung der Whistleblower-Richtlinie
Die EU-Whistleblower-Richtlinie beziehungsweise das deutsche Hinweisgeberschutzgesetz verpflichtet Sie als Unternehmer zur Einführung von Meldekanälen für Whistleblower und zum Ergreifen konkreter Maßnahmen zur Verfolgung der eingehenden Hinweise.
Als geeignete Hinweisgebersysteme haben sich in der Praxis digitale Lösungen bewährt. Die professionelle, anonyme und effiziente Bearbeitung von Hinweisen sollte insbesondere bei mittelständischen Unternehmen an externe Dienstleister übertragen werden.
Sie konnten durch den Artikel Klarheit und Transparenz über die nächsten notwendigen Schritte bekommen? Sie möchten mehr über die schlanke und schnelle Möglichkeit eines digitalen Hinweisgebersystems zur Umsetzung der Whistleblowing-Richtlinie erfahren? Dann kontaktieren Sie gern einen unserer Experten für ein persönliches Gespräch.
FAQ – Whistleblower Richtlinie
Darum vertrauen uns unsere Kunden:
Die Einführung des anonymen Meldekanals, auch bei unserer Tochtergesellschaft im Ausland lief schnell und unkompliziert. LegalTegrity steht für kompetente und gute Betreuung inklusive schneller Reaktionszeiten.
Verena Christina Thumann-Prochazka
General Legal Counsel & Compliance Officer, Wera Werkzeuge GmbH
Es war „Liebe auf den ersten Klick“. Entspricht absolut unserer Auffassung von Qualität und Sicherheit – made & hosted in Germany! Die Zusammenarbeit mit Legal Tegrity macht richtig Freude.
Christian Huth
CEO, Compliance Factory Consulting
Ich bin sehr froh, dass wir LegalTegrity zu den Themen HinSchG und LkSG an unserer Seite haben. Durch die begleitenden Webinare und einen jederzeit erreichbaren, persönlichen Ansprechpartner werde ich bestens unterstützt.
Birgit Kahmann
Referat Recht & Arbeitsschutz, GPS Wilhelmshaven
Ich konnte erfolgreich alle Änderungen vornehmen. Das war wirklich einfach und logisch. Kompliment für die Benutzerfreundlichkeit des Programms.
Markus Wrobbel
Vorstand, AWO Kreisverband Bielefeld e.V.
Eine gelungene Lösung zur globalen Wahrnehmung von Compliance-Aufgaben und Erfüllung der aktuellen und insbesondere zukünftigen regulatorischen Anforderungen.
Geronimo Fritsch
Global Head of Legal and Compliance, Balluff GmbH
