Die EU-Whistleblower-Richtlinie 2019/1937 verlangt von den Mitgliedstaaten, Personen zu schützen, die Verstösse gegen bestimmte Rechtsvorschriften melden. Deutschland und Österreich haben sie 2023 umgesetzt. Kern ist eine Pflicht für Unternehmen, sichere Meldewege anzubieten und Hinweise ordentlich zu bearbeiten.
Deutschland: HinSchG
Das Hinweisgeberschutzgesetz gilt seit dem 2. Juli 2023. Unternehmen mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten; für Unternehmen mit 50 bis 249 Beschäftigten galt das ab dem 17. Dezember 2023. Die Meldestelle muss den Eingang innert sieben Tagen bestätigen und innert drei Monaten Rückmeldung zu ergriffenen Massnahmen geben. Wer keine Meldestelle einrichtet, riskiert ein Bussgeld.
Österreich: HSchG
Das österreichische Hinweisgeberschutzgesetz ist im Februar 2023 in Kraft getreten und verpflichtet ebenfalls Unternehmen ab 50 Beschäftigten zu internen Meldekanälen, mit ähnlichen Fristen für Bestätigung und Rückmeldung.
Schweiz: kein allgemeines Gesetz
In der Schweiz ist eine Vorlage zum Schutz von Hinweisgebenden im Arbeitsrecht 2020 im Parlament gescheitert. Ein allgemeines Gesetz besteht nicht; einzelne Regeln ergeben sich aus dem Arbeitsrecht und aus Branchenaufsicht. Schweizer Gruppen mit Tochtergesellschaften in der EU müssen aber dort die nationalen Pflichten erfüllen.
Vertraulichkeit und Datenschutz
Meldungen enthalten Personendaten der hinweisgebenden und der beschuldigten Person. Die Identität der hinweisgebenden Person ist vertraulich zu behandeln, Zugriff haben nur zuständige Personen, und Unterlagen sind nach festgelegten Fristen zu löschen. Das verlangt ein durchdachtes Rechte- und Löschkonzept.
Umsetzung im KMU
Kleinere Unternehmen können die Meldestelle an einen externen Dienstleister auslagern; die Verantwortung für die Bearbeitung bleibt beim Unternehmen. Ob die Schwelle erreicht ist, zeigt eine Compliance-Analyse zusammen mit anderen Schwellen wie der Pflicht zum Datenschutzbeauftragten.