Was ist die EU-Hinweisgeberrichtlinie?

Die EU-Richtlinie 2019/1937, formell die Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, verpflichtet Unternehmen mit 50 oder mehr Mitarbeitenden und alle öffentlichen Stellen, einen vertraulichen internen Meldekanal einzurichten, Meldungen innerhalb von sieben Tagen zu bestätigen, innerhalb von drei Monaten Rückmeldung zu geben und Hinweisgeber vor Repressalien zu schützen. Sie ist seit dem 17. Dezember 2023 in allen 27 EU-Mitgliedstaaten in Kraft.

Seit wann ist die EU-Hinweisgeberrichtlinie in Kraft?

Die Richtlinie wurde am 23. Oktober 2019 verabschiedet, die Umsetzungsfrist für die Mitgliedstaaten lief am 17. Dezember 2021 ab. Die Pflicht erstreckt sich seit dem 17. Dezember 2023 auf Unternehmen mit 50 bis 249 Mitarbeitenden. Mehrere Mitgliedstaaten verfehlten die Fristen und sahen sich Vertragsverletzungsverfahren der Europäischen Kommission gegenüber.

Wer muss die Richtlinie 2019/1937 umsetzen?

Privatrechtliche juristische Personen mit 50 oder mehr Mitarbeitenden und alle öffentlichen Stellen (unabhängig von der Größe, mit Ausnahme von Gemeinden unter 10.000 Einwohnern). Der Schwellenwert von 50 Mitarbeitenden wird je juristischer Person berechnet, nicht je Konzern, wobei die Richtlinie mittleren Unternehmen (50-249 Mitarbeitende) erlaubt, Ressourcen für den Kanal gemeinsam zu nutzen.

Wie hoch sind die Bußgelder bei Nichteinhaltung?

Die Bußgelder variieren je nach nationaler Umsetzung. Die höchste Obergrenze gilt in Spanien (Ley 2/2023) mit 1.000.000 €. In Frankreich (Loi Sapin II) sind es bis zu 60.000 €, in Deutschland (HinSchG) bis zu 50.000 €, in Österreich (HSchG) bis zu 20.000 €. Bußgelder gelten sowohl für das Versäumnis, einen Kanal einzurichten, als auch für Vergeltung gegen Hinweisgeber.

Sind anonyme Meldungen nach der EU-Hinweisgeberrichtlinie möglich?

Die Richtlinie selbst überlässt die Frage der anonymen Meldungen den Mitgliedstaaten (Artikel 6 Absatz 2). In der Praxis erlauben die meisten Mitgliedstaaten, darunter Deutschland, Frankreich, Italien, Spanien und die Niederlande, anonyme Meldungen. Die Confidly-Reporter-UI unterstützt vollständig anonyme Meldungen über serverseitig generierte Fallcodes ohne Speicherung von E-Mail, IP oder Browser-Identifikator.

Was ist der Unterschied zwischen interner, externer und öffentlicher Meldung?

Intern: Meldung an den vertraulichen Kanal des Arbeitgebers, empfohlen als erste Option; wahrt die Vertraulichkeit. Extern: Meldung direkt an eine zuständige nationale Behörde (z. B. Bundesamt für Justiz in Deutschland, Défenseur des droits in Frankreich). Öffentliche Offenlegung: Meldung über Medien oder NGOs, nur unter strengen Voraussetzungen geschützt (keine Maßnahmen nach vorheriger interner oder externer Meldung oder unmittelbare Gefahr).

Welche Fristen gelten nach der EU-Hinweisgeberrichtlinie?

Eingangsbestätigung: binnen sieben Tagen. Sachliche Rückmeldung an den Hinweisgeber über die ergriffenen Maßnahmen: binnen drei Monaten nach Eingangsbestätigung. Die Aufzeichnungen sind für die Dauer des Falls plus die nationale Aufbewahrungsfrist (typischerweise 5 Jahre) aufzubewahren.

Compliance-Leitfaden · Aktualisiert 2026

EU-Hinweisgeberrichtlinie 2019/1937: Vollständiger Leitfaden

Die EU-Richtlinie 2019/1937, auch EU-Hinweisgeberrichtlinie genannt, ist seit Dezember 2023 in allen 27 Mitgliedstaaten in Kraft (für Unternehmen mit 50 oder mehr Mitarbeitenden). Sie verpflichtet jedes mittelständische Unternehmen in Europa zur Einrichtung eines internen Meldekanals, zur Untersuchung jeder Meldung innerhalb von 90 Tagen und zum Schutz von Hinweisgebern vor Repressalien.

Sie suchen die deutsche Umsetzung im Detail? Siehe unseren HinSchG-Leitfaden: Pflichten, Fristen, Bußgelder (bis 500.000 €), BfJ-Inspektionspraxis.

Was die Richtlinie konkret verlangt

Im Zentrum der Richtlinie stehen drei Pflichten:

Einrichtung eines internen Meldekanals, über den Mitarbeitende, Auftragnehmer, Lieferanten, Aktionäre und ehemalige Beschäftigte Verstöße gegen EU-Recht melden können. Der Kanal muss vertraulich sein, unabhängig von der regulären Personalabteilung agieren und anonyme Meldungen zulassen, sofern dies das nationale Recht erlaubt.
Bestätigung innerhalb von sieben Tagen und sachliche Rückmeldung innerhalb von drei Monaten an den Hinweisgeber.
Schutz vor Repressalien mit Umkehrung der Beweislast: Sobald der Hinweisgeber eine geschützte Meldung und eine nachfolgende benachteiligende Maßnahme nachweist, muss der Arbeitgeber beweisen, dass die Maßnahme durch andere Gründe gerechtfertigt war.

Wer ist betroffen?

Alle Unternehmen der Privatwirtschaft mit 50 oder mehr Mitarbeitenden (seit 17. Dezember 2023).
Alle öffentlichen Stellen, unabhängig von der Größe (mit Ausnahme von Gemeinden unter 10.000 Einwohnern).
Bestimmte regulierte Sektoren (Banken, Versicherungen, Wertpapierfirmen) auch unterhalb des Schwellenwerts.

Wer kann Hinweisgeber sein?

Die Richtlinie hat die persönliche Reichweite deutlich erweitert. Geschützt sind:

Aktuelle und ehemalige Mitarbeitende
Bewerber für eine Stelle
Selbständige, Leiharbeitnehmer, Praktikanten
Auftragnehmer und Lieferanten
Aktionäre und Gesellschafter
Mitglieder von Verwaltungs-, Geschäftsführungs- oder Aufsichtsorganen
Freiwillige Helfer

Bußgelder pro EU-Land

Spanien (Ley 2/2023): bis zu 1.000.000 €
Frankreich (Loi Sapin II): bis zu 60.000 €
Deutschland (HinSchG): bis zu 50.000 €
Österreich (HSchG): bis zu 20.000 €
Italien (D.Lgs 24/2023): bis zu 50.000 €
Niederlande (Wbk): bis zu 870.000 € (6. Bußgeldkategorie)

Detaillierte Informationen pro Land finden Sie auf unseren Länderseiten.

Häufig gestellte Fragen

Was ist die EU-Hinweisgeberrichtlinie?: Die EU-Richtlinie 2019/1937, formell die Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, verpflichtet Unternehmen mit 50 oder mehr Mitarbeitenden und alle öffentlichen Stellen, einen vertraulichen internen Meldekanal einzurichten, Meldungen innerhalb von sieben Tagen zu bestätigen, innerhalb von drei Monaten Rückmeldung zu geben und Hinweisgeber vor Repressalien zu schützen. Sie ist seit dem 17. Dezember 2023 in allen 27 EU-Mitgliedstaaten in Kraft.
Seit wann ist die EU-Hinweisgeberrichtlinie in Kraft?: Die Richtlinie wurde am 23. Oktober 2019 verabschiedet, die Umsetzungsfrist für die Mitgliedstaaten lief am 17. Dezember 2021 ab. Die Pflicht erstreckt sich seit dem 17. Dezember 2023 auf Unternehmen mit 50 bis 249 Mitarbeitenden. Mehrere Mitgliedstaaten verfehlten die Fristen und sahen sich Vertragsverletzungsverfahren der Europäischen Kommission gegenüber.
Wer muss die Richtlinie 2019/1937 umsetzen?: Privatrechtliche juristische Personen mit 50 oder mehr Mitarbeitenden und alle öffentlichen Stellen (unabhängig von der Größe, mit Ausnahme von Gemeinden unter 10.000 Einwohnern). Der Schwellenwert von 50 Mitarbeitenden wird je juristischer Person berechnet, nicht je Konzern, wobei die Richtlinie mittleren Unternehmen (50-249 Mitarbeitende) erlaubt, Ressourcen für den Kanal gemeinsam zu nutzen.
Wie hoch sind die Bußgelder bei Nichteinhaltung?: Die Bußgelder variieren je nach nationaler Umsetzung. Die höchste Obergrenze gilt in Spanien (Ley 2/2023) mit 1.000.000 €. In Frankreich (Loi Sapin II) sind es bis zu 60.000 €, in Deutschland (HinSchG) bis zu 50.000 €, in Österreich (HSchG) bis zu 20.000 €. Bußgelder gelten sowohl für das Versäumnis, einen Kanal einzurichten, als auch für Vergeltung gegen Hinweisgeber.
Sind anonyme Meldungen nach der EU-Hinweisgeberrichtlinie möglich?: Die Richtlinie selbst überlässt die Frage der anonymen Meldungen den Mitgliedstaaten (Artikel 6 Absatz 2). In der Praxis erlauben die meisten Mitgliedstaaten, darunter Deutschland, Frankreich, Italien, Spanien und die Niederlande, anonyme Meldungen. Die Confidly-Reporter-UI unterstützt vollständig anonyme Meldungen über serverseitig generierte Fallcodes ohne Speicherung von E-Mail, IP oder Browser-Identifikator.
Was ist der Unterschied zwischen interner, externer und öffentlicher Meldung?: Intern: Meldung an den vertraulichen Kanal des Arbeitgebers, empfohlen als erste Option; wahrt die Vertraulichkeit. Extern: Meldung direkt an eine zuständige nationale Behörde (z. B. Bundesamt für Justiz in Deutschland, Défenseur des droits in Frankreich). Öffentliche Offenlegung: Meldung über Medien oder NGOs, nur unter strengen Voraussetzungen geschützt (keine Maßnahmen nach vorheriger interner oder externer Meldung oder unmittelbare Gefahr).
Welche Fristen gelten nach der EU-Hinweisgeberrichtlinie?: Eingangsbestätigung: binnen sieben Tagen. Sachliche Rückmeldung an den Hinweisgeber über die ergriffenen Maßnahmen: binnen drei Monaten nach Eingangsbestätigung. Die Aufzeichnungen sind für die Dauer des Falls plus die nationale Aufbewahrungsfrist (typischerweise 5 Jahre) aufzubewahren.