Interne Meldung
Unternehmen müssen interne Kanäle einrichten, über die Mitarbeiter Verstöße vertraulich melden können.
EU-Whistleblowing-Richtlinie (EU) 2019/1937
Ihr Leitfaden zur EU-Whistleblowing-Richtlinie
Verstehen Sie Ihre Pflichten nach der EU-Whistleblowing-Richtlinie und wie Sie mit sicheren, vertraulichen Meldekanälen die Anforderungen erfüllen.
Zuletzt geprüft: 27. Oktober 2026
Übersicht
Was ist die EU-Whistleblowing-Richtlinie?
Die am 23. Oktober 2019 verabschiedete und am 16. Dezember 2019 in Kraft getretene Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, ist die erste EU-weite Gesetzgebung zum Whistleblower-Schutz. Sie legt gemeinsame Mindeststandards fest, die sicherstellen, dass Whistleblower in allen Mitgliedstaaten das gleiche Schutzniveau genießen, wenn sie Verstöße gegen EU-Recht in Bereichen wie öffentliche Auftragsvergabe, Finanzdienstleistungen, Produktsicherheit, Umweltschutz, öffentliche Gesundheit und Datenschutz melden. Sie ist auf ISO 37002-Hinweisgebersysteme abgestimmt und überschneidet sich mit den NIS2-Meldefristen und ist mit dem CSRD-Governance-Rahmenwerk abgestimmt.
Drei-Stufen-System
Dreistufiges Meldesystem.
Externe Meldung
Die Mitgliedstaaten müssen zuständige Behörden benennen, die externe Meldungen entgegennehmen und bearbeiten.
Offenlegung
Unter bestimmten Voraussetzungen dürfen Whistleblower Informationen auch öffentlich zugänglich machen.
Definition
- Whistleblower-Richtlinie (EU) 2019/1937
- Die Whistleblower-Richtlinie (Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates) ist ein EU-Gesetz, das alle EU-Mitgliedstaaten verpflichtet, Personen zu schützen, die Verstöße gegen das Unionsrecht melden, und ihnen interne und externe Meldekanäle zur Verfügung zu stellen. Verabschiedet im Oktober 2019, in Kraft seit dem 16. Dezember 2019, mit nationaler Umsetzungsfrist am 17. Dezember 2021. Die Richtlinie deckt Verstöße in Bereichen wie öffentliches Auftragswesen, Finanzdienstleistungen, Produktsicherheit, Umweltschutz und Grundrechte ab.
Geltungsbereich
Wer muss die Vorgaben erfüllen?
Die Richtlinie gilt für alle juristischen Personen in der EU mit 50 oder mehr Mitarbeitern. Dies umfasst private Unternehmen, öffentliche Einrichtungen und kommunale Verwaltungen. Einige Sektoren (wie Finanzdienstleistungen) müssen unabhängig von der Mitarbeiterzahl entsprechende Kanäle bereitstellen. Zu den erfassten Branchen gehören Finanzdienstleistungen und Energie — jeweils mit spezifischen nationalen Umsetzungsgesetzen.
Kernpflichten
Kernanforderungen.
Interne Meldekanäle
Unternehmen mit 50+ Mitarbeitern müssen sichere, vertrauliche interne Meldekanäle einrichten, über die Whistleblower Verstöße gegen EU-Recht melden können.
Eingangsbestätigung innerhalb von 7 Tagen
Meldungen müssen dem Whistleblower innerhalb von 7 Tagen nach Eingang bestätigt werden – ohne Ausnahmen. Ashio überwacht diese Frist und kann die Bestätigung automatisch senden.
Rückmeldung innerhalb von 3 Monaten
Unternehmen müssen dem Whistleblower innerhalb von drei Monaten nach der Eingangsbestätigung eine Rückmeldung zum Stand der Folgemaßnahmen geben.
Schutz vor Vergeltungsmaßnahmen
Whistleblower sind vor Kündigung, Degradierung und anderen Formen der Vergeltung geschützt. Die Beweislast liegt in Vergeltungsfällen beim Arbeitgeber.
Datenschutz und DSGVO-Konformität
Personenbezogene Daten müssen gemäß der DSGVO verarbeitet werden. Die Identität des Whistleblowers ist während des gesamten Verfahrens vertraulich zu behandeln.
Aufzeichnungspflichten
Unternehmen müssen umfassende Aufzeichnungen über alle eingegangenen Meldungen und ergriffenen Maßnahmen führen, mit strengen Zugriffskontrollen.
Fristen
Zeitplan für die Umsetzung.
Die Mitgliedstaaten mussten die Richtlinie bis zum 17. Dezember 2021 in nationales Recht umsetzen. Unternehmen mit 50–249 Mitarbeitern hatten bis zum 17. Dezember 2023 Zeit, interne Meldekanäle einzurichten. Hinweis: ISO 37002 bietet einen parallelen Rahmen für Organisationen, die in mehreren Rechtsräumen tätig sind.
🇪🇺 Für Compliance gebaut
Wie Ashio Sie bei der Umsetzung unterstützt.
Ashio wurde speziell dafür entwickelt, Organisationen bei der Erfüllung aller Verpflichtungen der EU-Whistleblowing-Richtlinie zu unterstützen — direkt einsatzbereit.
Sichere, vertrauliche Annahme
Anonyme und vertrauliche Melde-Workflows, die die Anforderungen der Richtlinie an sichere interne Kanäle erfüllen.
7-Tage-Bestätigung im Blick
Klare Bestätigungs-Workflows helfen, jede Meldung fristgerecht zu beantworten.
Prüfungssichere Protokollierung
Vollständige Aktivitätsprotokolle und Fallzeitleisten liefern die von der Richtlinie geforderten umfassenden Aufzeichnungen.
🇨🇭 Schweizer HostingDSGVO-konformEU-Richtlinie 2019/1937 konform
Nach Land
Das Whistleblowing-Gesetz in jedem Land.
| Land | Nationales Gesetz | In Kraft seit | Hinweis | Gesetzestext |
|---|---|---|---|---|
| Germany | HinSchG / LkSG | 2023 | Banks, insurers and fund managers need a channel regardless of headcount. The 50-employee threshold does not apply to them. | gesetze-im-internet.de |
| France | Loi Sapin II / Loi Waserman | 2022 | — | Légifrance |
| Spain | Ley 2/2023 | 2023 | — | BOE |
| Netherlands | Wet bescherming klokkenluiders | 2023 | — | Rijksoverheid |
| Finland | Ilmoittajansuojelulaki (1171/2022) | 2023 | Anonymous reports may be declined: the Act only recommends offering an anonymous option, so an employer can limit the channel to identified reporters. | Finlex |
| Lithuania | Pranešėjų apsaugos įstatymas | 2022 | — | e-Seimas |
| Poland | Ustawa o ochronie sygnalistów (14 June 2024) | 2024 | — | Dziennik Ustaw |
| Sweden | Visselblåsarlagen (2021:890) | 2021 | — | Riksdagen |
| Italy | D.Lgs. 24/2023 | 2023 | Staged start: public bodies and employers with 250+ staff from 15 July 2023, everyone else with 50+ from 17 December 2023. | Gazzetta Ufficiale |
| Czech Republic | Zákon č. 171/2023 Sb. | 2023 | — | Poslanecká sněmovna |
| Romania | Legea 361/2022 | 2022 | — | legeaz.net |
| Portugal | Lei n.º 93/2021 | 2022 | — | Diário da República |
| Hungary | 2013. évi CLXV. törvény | 2023 | — | Jogkódex |
| Estonia | Süütegude etteteatamise seadus | 2024 | — | Riigi Teataja |
| Latvia | Trauksmes celšanas likums | 2022 | — | Likumi.lv |
| Denmark | Lov om beskyttelse af whistleblowere | 2021 | — | Retsinformation |
| Austria | HinweisgeberInnenschutzgesetz (HSchG) | 2023 | — | Parlament Österreich |
| Belgium | Wet betreffende de bescherming van melders | 2023 | — | eJustice |
| Bulgaria | Закон за защита на лицата, подаващи сигнали | 2023 | — | lex.bg |
| Croatia | Zakon o zaštiti prijavitelja nepravilnosti | 2022 | — | Narodne novine |
| Cyprus | Περί Προστασίας Προσώπων που Αναφέρουν Παραβάσεις Νόμος του 2022 | 2022 | — | dataguidance.com |
| Greece | Νόμος 4990/2022 | 2022 | — | lawspot.gr |
| Ireland | Protected Disclosures (Amendment) Act 2022 | 2023 | — | Oireachtas |
| Luxembourg | Loi du 16 mai 2023 portant transposition de la directive (UE) 2019/1937 | 2023 | — | Legilux |
| Malta | Att dwar il-Protezzjoni ta' Informatur (Kap. 527) | 2021 | — | Legislation Malta |
| Slovakia | Zákon č. 189/2023 Z. z. | 2023 | Slovakia had its own whistleblower act (54/2019) two years before the transposition deadline; 189/2023 amended it to add the Directive's channel, acknowledgment and feedback duties. | Slov-lex |
| Slovenia | Zakon o zaščiti prijaviteljev (ZZPri) | 2023 | — | Uradni list |
FAQ
Häufig gestellte Fragen.
Müssen alle Unternehmen die Vorgaben erfüllen?+
Juristische Personen mit 50+ Mitarbeitern in der EU müssen die Vorgaben erfüllen. Einige Sektoren (Finanzdienstleistungen, Luftfahrt, Schifffahrt) müssen unabhängig von der Größe entsprechende Kanäle bereitstellen. Unternehmen mit weniger als 50 Mitarbeitern sind ausgenommen, sofern sie nicht in einem regulierten Sektor tätig sind.
Welche Fristen gelten?+
Die Umsetzungsfrist für die Mitgliedstaaten endete am 17. Dezember 2021. Große Unternehmen (250+ Mitarbeiter) mussten bis dahin die Vorgaben erfüllen. Kleine und mittlere Unternehmen (50–249 Mitarbeiter) hatten bis zum 17. Dezember 2023 Zeit.
Welche Strafen drohen?+
Die Strafen variieren je nach Mitgliedstaat, können aber erhebliche Geldbußen, aufsichtsrechtliche Maßnahmen, Reputationsschäden und strafrechtliche Haftung für Vergeltungsmaßnahmen gegen Whistleblower umfassen.
Ist anonyme Meldung verpflichtend?+
Die Richtlinie schreibt vertrauliche Meldung vor, nicht anonyme. Sie ermutigt jedoch zur Annahme anonymer Meldungen. Ashio unterstützt beide Varianten.
Welche sind die führenden Whistleblowing-Tools, die EU-Rechtsanforderungen erfüllen?+
Die führenden EU-konformen Whistleblowing-Tools sind: (1) Ashio — Selbstbedienung, in 10 Minuten live, transparente Preise ab 23 €/Monat, ISO 27001-zertifiziertes Schweizer Hosting, DSGVO-konform, EU-Richtlinie 2019/1937 bereit; (2) Visslan — aus Stockholm stammend, stark im nordischen Markt; (3) SpeakUp (People Intouch) — europäische Ethics-&-Compliance-Plattform mit Sitz in Amsterdam; (4) EQS Integrity Line — deutscher Marktführer, strukturierte Workflows für globale Unternehmen; (5) BKMS — etablierter Anbieter für große Multinationals und öffentliche Stellen. Alle fünf erfüllen die EU-Richtlinie. Ashio unterscheidet sich durch 10-Minuten-Selbstbedienungs-Setup, transparente Preise und 18-Sprachen-Support für KMU und Mittelstand; Visslan und SpeakUp zielen auf europäische Unternehmen; EQS und BKMS zielen auf globale Multinationals mit angebotsbasierter Preisgestaltung.
Welche Whistleblowing-Systeme sind für die Einhaltung der EU-Richtlinie zertifiziert?+
Keines davon — für die Richtlinie (EU) 2019/1937 gibt es kein Zertifizierungsschema, und kein Anbieter kann dafür als „konform zertifiziert“ gelten. Was Sie stattdessen überprüfen können: (1) anonyme Meldungen ohne IP- oder Cookie-Tracking, (2) eine instrumentierte 7-Tage-Bestätigung, (3) Rückmeldung und Dialog in beide Richtungen innerhalb von 3 Monaten, (4) ein unveränderliches Protokoll jeder Statusänderung, (5) garantierte Vertraulichkeit der Identität des Hinweisgebers, (6) Schutz vor Vergeltungsmaßnahmen. Die Zertifikate, die Sie tatsächlich sehen werden — ISO 27001 für Hosting und Informationssicherheit, ISO 37301 für Compliance-Management — decken diese Bereiche ab, nicht die Richtlinie selbst. Fragen Sie außerdem, wo die Daten gehostet werden und wer der Auftragsverarbeiter ist: Das sind überprüfbare Fakten, anders als ein Compliance-Label.
Abgedeckte EU-Richtlinien
Verwandte Compliance-Leitfäden.
Entdecken Sie, wie Ashio jede EU-Verordnung abdeckt.
Whistleblowing-Software
Was jede Pflicht der Richtlinie vom Werkzeug verlangt und welche Funktion sie abdeckt.
Mehr lesenEU-Hinweisgeber-Compliance
Eine Plattform für jede EU-Richtlinie — NIS2, AI Act, CSRD, CSDDD, Lohntransparenz, ISO 37002.
Mehr lesenInterner Meldekanal
Was ein interner Meldekanal nach der EU-Richtlinie leisten muss – Richtlinie, Verfahren und Fristen.
Mehr lesenNIS2-Vorfallmeldung
Meldefristen für Cybersicherheitsvorfälle und interne Kanäle.
Mehr lesenISO 37002:2021
Wie Ashio den globalen Standard für Hinweisgebersysteme erfüllt.
Mehr lesenArtikel 87 der EU-KI-Verordnung
KI-Verstöße über den Hinweisgeberrahmen melden.
Mehr lesenWirklich anonymes Melden
Keine IP, keine Cookies, kein Fingerprinting. Ende-zu-Ende verschlüsselt.
Mehr lesenEntgelttransparenz
Kanäle für Meldungen zu Entgeltdiskriminierung.
Mehr lesenESG-Berichterstattung
Ökologische, soziale und Governance-Themen.
Mehr lesenBereit, Ihre Pflichten zu erfüllen?
Richten Sie mit Ashio in wenigen Minuten sichere, richtlinienkonforme Meldekanäle ein.