Hinweisgeberschutzgesetze nach Land: Deutschland, Frankreich, Spanien & Portugal

Die EU-Hinweisgeberschutzrichtlinie setzt einen gemeinsamen Mindeststandard, aber das Gesetz, das für Ihr Unternehmen tatsächlich gilt, ist die nationale Umsetzung Ihres Landes — und diese unterscheiden sich bei Fristen, Schwellenwerten und Bußgeldern. Das deutsche HinSchG, die französische Loi Waserman, das spanische Ley 2/2023 und das portugiesische Lei n.º 93/2021 setzen alle die Richtlinie (EU) 2019/1937 um, aber ein Compliance-Team, das in mehreren dieser Länder tätig ist, kann nicht einfach eine einzige generische Richtlinie anwenden und annehmen, dass sie alle vier erfüllt.

Die wichtigsten Punkte

• Alle vier Gesetze teilen denselben EU-weiten Mindeststandard: eine interne Meldestelle für Unternehmen mit 50+ Beschäftigten, Vertraulichkeit der Identität des Hinweisgebers und ein Verbot von Repressalien.
• Fristen und Bußgeldhöhen unterscheiden sich je nach Land — Portugal bestraft das Fehlen eines internen Kanals mit einem Bußgeld von bis zu 125.000 € für ein Unternehmen; Spanien bestraft das völlige Fehlen jeglichen Kanals mit bis zu 1.000.000 €.
• Das deutsche HinSchG (in Kraft seit 2. Juli 2023) und die französische Loi Waserman (in Kraft seit 1. September 2022) gehen beide in bestimmten Punkten über das EU-Minimum hinaus — Deutschland bei anonymen Meldungen, Frankreich bei der Frage, wer als geschützter "lanceur d'alerte" gilt.
• Spanien hat eine eigene Aufsichtsbehörde geschaffen, die Autoridad Independiente de Protección del Informante (A.A.I.), während Portugal das Gesetz über den Mecanismo Nacional Anticorrupção (MENAC) durchsetzt.
• Ein Konzern, der in mehreren dieser Länder tätig ist, braucht einen einzigen Kanal, der seinen Ablauf je Rechtsordnung anpasst, statt vier getrennter Systeme.

Was die Richtlinie überall verlangt

Die Richtlinie (EU) 2019/1937 setzte für die Mitgliedstaaten eine Umsetzungsfrist zum 17. Dezember 2021, mit einer weiteren Übergangsfrist bis zum 17. Dezember 2023 für private Unternehmen mit 50-249 Beschäftigten, um ihren internen Kanal einzurichten. Jedes nationale Gesetz übernimmt drei Grundpflichten: Eingangsbestätigung einer Meldung innerhalb von 7 Tagen, Rückmeldung an den Hinweisgeber innerhalb von 3 Monaten (bei komplexen Fällen verlängerbar auf 6), und Schutz der Identität des Hinweisgebers vor jedem außer den mit dem Fall befassten Personen. Die vier Länder unterscheiden sich darin, wie streng dies durchgesetzt wird, was als gültige Meldung zählt und wie hoch die Bußgelder bei Verstößen ausfallen.

Deutschland: HinSchG — weiter Anwendungsbereich, gestaffelte Bußgelder

Das Hinweisgeberschutzgesetz (HinSchG) trat am 2. Juli 2023 in Kraft. Es verlangt eine interne Meldestelle für jeden privaten Arbeitgeber mit 50 oder mehr Beschäftigten, wobei Unternehmen mit 50-249 Beschäftigten bis zum 17. Dezember 2023 Zeit hatten. Eine Besonderheit des deutschen Gesetzes ist, dass interne Kanäle auch anonyme Meldungen entgegennehmen können müssen, auch wenn Arbeitgeber nicht verpflichtet sind, diese aktiv einzuholen. Repressalien oder die Behinderung einer Meldung können nach § 40 HinSchG mit einem Bußgeld von bis zu 50.000 € gegen eine verantwortliche Person geahndet werden, und nach § 30 OWiG kann sich dieses Grundbußgeld verzehnfachen — bis zu 500.000 € —, wenn der Täter ein Unternehmen ist. Ein separates Bußgeld von bis zu 20.000 € allein für das Fehlen eines Kanals trat am 1. Dezember 2023 in Kraft, nach Ablauf der anfänglichen Übergangsfrist.

Frankreich: Loi Waserman — der Kreis der Geschützten wurde deutlich erweitert

Das Gesetz Nr. 2022-401 vom 21. März 2022, bekannt als Loi Waserman, trat am 1. September 2022 zusammen mit seiner Durchführungsverordnung vom 3. Oktober 2022 in Kraft. Es ändert den bisherigen Sapin-II-Rahmen, statt ihn vollständig zu ersetzen. Die bedeutendste Änderung: Ein Hinweisgeber muss nicht mehr "désintéressé" (ohne persönliches Interesse) handeln, um geschützt zu sein — guter Glaube genügt nun. Das Gesetz erweitert den Schutz zudem auf "facilitateurs" (Kollegen, Gewerkschaften oder Vereinigungen, die einem Hinweisgeber helfen) und auf mit dem Hinweisgeber verbundene juristische Personen. Der Schwellenwert von 50 Beschäftigten gilt für Unternehmen sowie für öffentliche Stellen und Gemeinden mit mehr als 10.000 Einwohnern. Sanktionen greifen bei Behinderung, nicht beim Fehlen eines Kanals: Die Behinderung einer Meldung wird nach Artikel 13 des geänderten Sapin-II-Gesetzes mit bis zu 1 Jahr Freiheitsstrafe und 15.000 € Geldstrafe geahndet, und eine missbräuchliche oder verzögernde ("bâillon") Klage gegen einen Hinweisgeber kann nun eine Zivilstrafe von bis zu 60.000 € nach sich ziehen.

Spanien: Ley 2/2023 — die höchsten Bußgelder und eine eigene Behörde

Das Ley 2/2023, de 20 de febrero, trat am 13. März 2023 in Kraft und schuf, ungewöhnlich unter den vier Ländern, eine eigenständige Aufsichtsbehörde: die Autoridad Independiente de Protección del Informante, A.A.I., die den externen Kanal betreibt und Sanktionsbefugnisse hat, einschließlich der Möglichkeit, ein nicht konformes Unternehmen von öffentlichen Aufträgen auszuschließen. Spaniens Bußgeldstruktur ist die schärfste der Gruppe: Unternehmen, die überhaupt keinen internen Kanal haben oder andere "muy graves"-Verstöße begehen, drohen Bußgelder zwischen 600.001 € und 1.000.000 €. Der Schwellenwert von 50 Beschäftigten entspricht dem EU-Minimum, und Unternehmen mit 50-249 Beschäftigten erhielten dieselbe EU-weite Übergangsfrist.

Portugal: Lei n.º 93/2021 — der detaillierteste Bußgeldkatalog

Das Lei n.º 93/2021, de 20 de dezembro, trat am 18. Juni 2022 in Kraft. Es gilt für private Unternehmen mit 50 oder mehr Beschäftigten und für öffentliche Stellen unabhängig von ihrer Größe und setzt dieselben Fristen von 7 Tagen für die Eingangsbestätigung und 3 Monaten für die Erledigung wie der EU-Mindeststandard. Artikel 27 des Gesetzes teilt Verstöße in zwei Stufen mit präzisen Bußgeldrahmen ein: "sehr schwere" Verstöße — darunter die Behinderung einer Meldung, Repressalien, Vertraulichkeitsbrüche oder das vollständige Fehlen eines externen Kanals — werden mit 1.000 € bis 25.000 € für eine natürliche Person oder 10.000 € bis 250.000 € für ein Unternehmen geahndet; "schwere" Verstöße, darunter das bloße Fehlen eines internen Kanals, werden mit 500 € bis 12.500 € für eine natürliche Person oder 1.000 € bis 125.000 € für ein Unternehmen geahndet. Fahrlässigkeit und Versuch halbieren jeweils das anwendbare Höchstbußgeld. Die Durchsetzung obliegt dem Mecanismo Nacional Anticorrupção (MENAC).

Wie Vaelo Ihnen hilft, alle vier Rechtsordnungen einzuhalten

Getrennte Hinweisgebersysteme pro Land zu betreiben, ist die häufigste Art, wie länderübergreifende Compliance-Teams Budget verschwenden und trotzdem Lücken haben — eine Zentrale rollt eine Richtlinie aus, die das HinSchG erfüllt, aber den Schutz der Loi Waserman für facilitateurs verfehlt, oder der Kanal einer spanischen Tochtergesellschaft leitet Meldungen nicht so weiter, wie es die AAI erwartet. Vaelo ist als ein einziger Kanal konzipiert, der sich je Rechtsordnung anpasst: Jede Geschäftseinheit wird mit den Bestätigungs- und Erledigungsfristen, Aufbewahrungsregeln und Eskalationswegen konfiguriert, die zur Umsetzung ihres Landes passen, während Ihr Compliance-Team ein einziges Dashboard behält statt vier getrennter Werkzeuge. Wenn Sie die EU-weiten Pflichten bereits erfasst haben, deckt unser Überblick über die EU-Hinweisgeberschutzrichtlinie die Grundlage ab, auf der alle diese nationalen Gesetze aufbauen.

Häufig gestellte Fragen

Setzen alle EU-Länder dieselben Regeln für Hinweisgeber durch? Nein. Sie teilen denselben von der Richtlinie (EU) 2019/1937 gesetzten Mindeststandard — Schwellenwert von 50 Beschäftigten, Eingangsbestätigung binnen 7 Tagen und ein Erledigungsfenster von 3 Monaten —, aber die nationalen Gesetze weichen bei Bußgeldhöhen, bei der Frage, wer geschützt ist, und bei der zuständigen Aufsichtsbehörde stark voneinander ab.

Welches Land hat die höchsten Bußgelder bei Verstößen? Das spanische Ley 2/2023 setzt mit 600.001 € bis 1.000.000 € den höchsten Rahmen der vier Länder an — für Unternehmen, die überhaupt keinen Kanal betreiben oder andere "muy graves"-Verstöße begehen.

Muss ein Unternehmen mit weniger als 50 Beschäftigten die Vorgaben erfüllen? In der Regel nicht, nach keinem der vier Gesetze — es sei denn, es ist in einem regulierten Sektor tätig (etwa Finanzdienstleistungen), wo sektorspezifische EU-Regeln den Schwellenwert senken oder aufheben können.

Kann ein einziger Hinweisgeberkanal alle vier Länder gleichzeitig abdecken? Ja, sofern der Kanal je Rechtsordnung konfiguriert ist — abgestimmt auf die Fristen, Aufbewahrungsregeln und Integrationen mit der jeweiligen Meldebehörde jedes Landes — statt eine generische Richtlinie auf alle Tochtergesellschaften anzuwenden.

Verlangt die Richtlinie überall anonyme Meldemöglichkeiten? Nein. Die EU-Richtlinie überlässt dies den Mitgliedstaaten. Das deutsche HinSchG verlangt ausdrücklich Kanäle, die anonyme Meldungen entgegennehmen können; die anderen drei Gesetze in diesem Vergleich verlangen Vertraulichkeit der Identität, schreiben aber nicht durchgängig vor, dass Kanäle vollständig anonyme Meldungen akzeptieren müssen.