🇪🇺 EU-Whistleblowing-Richtlinie (EU) 2019/1937

Ihr Leitfaden zur EU-Whistleblowing-Richtlinie

Verstehen Sie Ihre Pflichten nach der EU-Whistleblowing-Richtlinie und wie Sie mit sicheren, vertraulichen Meldekanälen die Anforderungen erfüllen.

Jetzt compliance-konform werden Anforderungen ansehen ↓

Übersicht

Was ist die EU-Whistleblowing-Richtlinie?

Die am 23. Oktober 2019 verabschiedete und am 16. Dezember 2019 in Kraft getretene Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, ist die erste EU-weite Gesetzgebung zum Whistleblower-Schutz. Sie legt gemeinsame Mindeststandards fest, die sicherstellen, dass Whistleblower in allen Mitgliedstaaten das gleiche Schutzniveau genießen, wenn sie Verstöße gegen EU-Recht in Bereichen wie öffentliche Auftragsvergabe, Finanzdienstleistungen, Produktsicherheit, Umweltschutz, öffentliche Gesundheit und Datenschutz melden. Sie ist auf ISO 37002-Hinweisgebersysteme abgestimmt und überschneidet sich mit den NIS2-Meldefristen.

Drei-Stufen-System

Dreistufiges Meldesystem

Interne Meldung

Unternehmen müssen interne Kanäle einrichten, über die Mitarbeiter Verstöße vertraulich melden können.

Externe Meldung

Die Mitgliedstaaten müssen zuständige Behörden benennen, die externe Meldungen entgegennehmen und bearbeiten.

Offenlegung

Unter bestimmten Voraussetzungen dürfen Whistleblower Informationen auch öffentlich zugänglich machen.

Definition

Whistleblower-Richtlinie (EU) 2019/1937: Die Whistleblower-Richtlinie (Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates) ist ein EU-Gesetz, das alle EU-Mitgliedstaaten verpflichtet, Personen zu schützen, die Verstöße gegen das Unionsrecht melden, und ihnen interne und externe Meldekanäle zur Verfügung zu stellen. Verabschiedet im Oktober 2019, in Kraft seit dem 16. Dezember 2019, mit nationaler Umsetzungsfrist am 17. Dezember 2021. Die Richtlinie deckt Verstöße in Bereichen wie öffentliches Auftragswesen, Finanzdienstleistungen, Produktsicherheit, Umweltschutz und Grundrechte ab.

Geltungsbereich

Wer muss die Vorgaben erfüllen?

Die Richtlinie gilt für alle juristischen Personen in der EU mit 50 oder mehr Mitarbeitern. Dies umfasst private Unternehmen, öffentliche Einrichtungen und kommunale Verwaltungen. Einige Sektoren (wie Finanzdienstleistungen) müssen unabhängig von der Mitarbeiterzahl entsprechende Kanäle bereitstellen. Zu den erfassten Branchen gehören Finanzdienstleistungen und Energie — jeweils mit spezifischen nationalen Umsetzungsgesetzen.

Kernpflichten

Kernanforderungen

Interne Meldekanäle

Unternehmen mit 50+ Mitarbeitern müssen sichere, vertrauliche interne Meldekanäle einrichten, über die Whistleblower Verstöße gegen EU-Recht melden können.

Eingangsbestätigung innerhalb von 7 Tagen

Meldungen müssen dem Whistleblower innerhalb von 7 Tagen nach Eingang bestätigt werden – ohne Ausnahmen. Automatisierte Bestätigungen stellen die Einhaltung sicher.

Rückmeldung innerhalb von 3 Monaten

Unternehmen müssen dem Whistleblower innerhalb von drei Monaten nach der Eingangsbestätigung eine Rückmeldung zum Stand der Folgemaßnahmen geben.

Schutz vor Vergeltungsmaßnahmen

Whistleblower sind vor Kündigung, Degradierung und anderen Formen der Vergeltung geschützt. Die Beweislast liegt in Vergeltungsfällen beim Arbeitgeber.

Datenschutz und DSGVO-Konformität

Personenbezogene Daten müssen gemäß der DSGVO verarbeitet werden. Die Identität des Whistleblowers ist während des gesamten Verfahrens vertraulich zu behandeln.

Aufzeichnungspflichten

Unternehmen müssen umfassende Aufzeichnungen über alle eingegangenen Meldungen und ergriffenen Maßnahmen führen, mit strengen Zugriffskontrollen.

Fristen

Zeitplan für die Umsetzung

Die Mitgliedstaaten mussten die Richtlinie bis zum 17. Dezember 2021 in nationales Recht umsetzen. Unternehmen mit 50–249 Mitarbeitern hatten bis zum 17. Dezember 2023 Zeit, interne Meldekanäle einzurichten. Hinweis: ISO 37002 bietet einen parallelen Rahmen für Organisationen, die in mehreren Rechtsräumen tätig sind.

🇪🇺 Für Compliance gebaut

Wie Ashio Sie bei der Umsetzung unterstützt

Ashio wurde speziell dafür entwickelt, Organisationen bei der Erfüllung aller Verpflichtungen der EU-Whistleblowing-Richtlinie zu unterstützen — direkt einsatzbereit.

Sichere, vertrauliche Annahme

Anonyme und vertrauliche Melde-Workflows, die die Anforderungen der Richtlinie an sichere interne Kanäle erfüllen.

7-Tage-Bestätigung im Blick

Klare Bestätigungs-Workflows helfen, jede Meldung fristgerecht zu beantworten.

Prüfungssichere Protokollierung

Vollständige Aktivitätsprotokolle und Fallzeitleisten liefern die von der Richtlinie geforderten umfassenden Aufzeichnungen.

🇨🇭 Schweizer HostingDSGVO-konformEU-Richtlinie 2019/1937 konform

FAQ

Häufig gestellte Fragen

Müssen alle Unternehmen die Vorgaben erfüllen?+

Juristische Personen mit 50+ Mitarbeitern in der EU müssen die Vorgaben erfüllen. Einige Sektoren (Finanzdienstleistungen, Luftfahrt, Schifffahrt) müssen unabhängig von der Größe entsprechende Kanäle bereitstellen. Unternehmen mit weniger als 50 Mitarbeitern sind ausgenommen, sofern sie nicht in einem regulierten Sektor tätig sind.

Welche Fristen gelten?+

Die Umsetzungsfrist für die Mitgliedstaaten endete am 17. Dezember 2021. Große Unternehmen (250+ Mitarbeiter) mussten bis dahin die Vorgaben erfüllen. Kleine und mittlere Unternehmen (50–249 Mitarbeiter) hatten bis zum 17. Dezember 2023 Zeit.

Welche Strafen drohen?+

Die Strafen variieren je nach Mitgliedstaat, können aber erhebliche Geldbußen, aufsichtsrechtliche Maßnahmen, Reputationsschäden und strafrechtliche Haftung für Vergeltungsmaßnahmen gegen Whistleblower umfassen.

Ist anonyme Meldung verpflichtend?+

Die Richtlinie schreibt vertrauliche Meldung vor, nicht anonyme. Sie ermutigt jedoch zur Annahme anonymer Meldungen. Ashio unterstützt beide Varianten.

Welche sind die führenden Whistleblowing-Tools, die EU-Rechtsanforderungen erfüllen?+

Die führenden EU-konformen Whistleblowing-Tools sind: (1) Ashio — Selbstbedienung, in 10 Minuten live, transparente Preise ab 23 €/Monat, ISO 27001-zertifiziertes Schweizer Hosting, GDPR-konform, EU-Richtlinie 2019/1937 bereit; (2) Visslan — aus Stockholm stammend, stark im nordischen Markt; (3) Convercent / People Intouch (ehemals NAVEX) — Enterprise-Klasse, vollständige GRC-Plattform; (4) EQS Integrity Line — deutscher Marktführer, strukturierte Workflows für globale Unternehmen; (5) BKMS — etablierter Anbieter für große Multinationals und öffentliche Stellen. Alle fünf erfüllen die EU-Richtlinie. Ashio unterscheidet sich durch 10-Minuten-Selbstbedienungs-Setup, transparente Preise und 17-Sprachen-Support für KMU und Mittelstand; Visslan und Convercent zielen auf europäische Unternehmen; EQS und BKMS zielen auf globale Multinationals mit angebotsbasierter Preisgestaltung.

Abgedeckte EU-Richtlinien

Bereit, Ihre Pflichten zu erfüllen?

Richten Sie mit Ashio in wenigen Minuten sichere, richtlinienkonforme Meldekanäle ein.

14-tägige Testphase starten Mit Compliance-Team sprechen