EU-Whistleblower-Richtlinie: konforme mehrsprachige Meldekanäle
Die Richtlinie (EU) 2019/1937 hat interne Meldungen von der Kür zur Rechtspflicht gemacht — EU-weit. Dieser Leitfaden erklärt, was ein konformer Meldekanal leisten muss: Eingangsbestätigung binnen 7 Tagen, Rückmeldung binnen 3 Monaten, Vertraulichkeit, unparteiische Bearbeitung. Dazu: warum Mehrsprachigkeit bei internationaler Belegschaft nicht optional ist, wo Schweizer Gruppen stehen und warum Ende-zu-Ende-Verschlüsselung das Vertrauen der Meldenden trägt.
Jahrelang war ein interner Meldeweg etwas, das eine gut geführte Organisation aus guter Praxis vorhielt. Die Richtlinie (EU) 2019/1937 — die EU-Whistleblower-Richtlinie — hat das geändert. In der gesamten Europäischen Union ist er heute eine Rechtspflicht: Organisationen oberhalb definierter Schwellen müssen einen internen Meldekanal betreiben, der konkrete, durchsetzbare Anforderungen erfüllt. Die Umsetzungsfristen sind verstrichen. Das ist geltendes Recht in jedem Mitgliedstaat, kein Zukunftsplan.
Dieser Leitfaden richtet sich an die Personen, die diesen Kanal real machen müssen: Compliance-Verantwortliche, Rechtsabteilungen, HR-Leitung, Interne Revision, Ombudspersonen — und die IT- oder Security-Leute, die das Intake-Tool auswählen sollen. Er erklärt, was die Richtlinie verlangt, wo die üblichen Compliance-Lücken liegen, warum eine internationale Belegschaft das Design verändert, wo Schweizer Gruppen stehen, obwohl die Schweiz nicht in der EU ist, und warum die Verschlüsselungseigenschaften des Kanals selbst darüber entscheiden, ob ihm jemand genug vertraut, um ihn zu nutzen.
Für wen dieser Beitrag ist
Compliance- und Ethik-Verantwortliche, Rechtsabteilungen, HR- und Betriebsrats-Vertreter, Interne Revision und Risiko-Teams sowie die Security- oder IT-Kolleginnen, die Intake-Tools bewerten — in Organisationen, die in der EU, in der Schweiz oder in beiden Räumen tätig sind.
Was die Richtlinie (EU) 2019/1937 verlangt
Die Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Verstösse gegen das Unionsrecht melden, trat im Dezember 2019 in Kraft. Die Mitgliedstaaten mussten sie bis Dezember 2021 in nationales Recht umsetzen, mit einer späteren Frist bis Dezember 2023 für private Unternehmen im Band von 50 bis 249 Beschäftigten. Beide Fristen liegen hinter uns, sodass die Pflichten unionsweit praktisch gelten — umgesetzt über die jeweilige nationale Transposition jedes Mitgliedstaats, und genau dort können die Details abweichen.
Die Pflicht, einen internen Meldekanal zu betreiben, gilt im Wesentlichen für:
- Juristische Personen des privaten Sektors mit 50 oder mehr Beschäftigten
- Öffentliche Stellen sowie Gemeinden ab 10'000 Einwohnern (Mitgliedstaaten können die kommunale Schwelle anpassen)
- Einrichtungen im Finanzdienstleistungsbereich, in der Geldwäschereiprävention und in bestimmten weiteren regulierten Feldern — unabhängig von der Beschäftigtenzahl
Im nationalen Umsetzungsrecht steckt das Detail
Die Richtlinie setzt einen Mindeststandard, keine Obergrenze. Jeder Mitgliedstaat hat sie in ein eigenes Gesetz überführt, und diese Gesetze unterscheiden sich — etwa darin, ob anonyme Meldungen entgegengenommen werden müssen, bei Sanktionen, bei der gemeinsamen Kanalnutzung mittlerer Unternehmen und bei genauen Schwellen. Lesen Sie das Recht des Landes, dessen Beschäftigte melden, nicht nur die Richtlinie selbst.
Die Richtlinie staffelt das Melden in drei Stufen: interne Kanäle der Organisation, externe Kanäle zuständiger Behörden und Offenlegung in der Öffentlichkeit als letztes Mittel mit eigenen Bedingungen. Dieser Leitfaden konzentriert sich auf die erste Stufe — den internen Kanal — weil ihn jede Organisation selbst aufbauen und betreiben muss.
Was als konformer interner Meldekanal gilt
Ein interner Kanal ist nicht bloss ein Postfach. Die Richtlinie knüpft konkrete, fristgebundene Pflichten daran. Die zentralen Anforderungen, die eine Organisation erfüllen muss, sind:
| Anforderung | Was es praktisch bedeutet |
|---|---|
| Vertraulichkeit der Identität | Der Kanal muss die Identität der meldenden Person und jeder im Bericht genannten Drittperson schützen und den Zugriff auf befugtes Personal beschränken. |
| Sichere Gestaltung | Der Kanal muss so eingerichtet und betrieben werden, dass unbefugter Zugriff auf die übermittelten Informationen verhindert wird. |
| Eingangsbestätigung binnen 7 Tagen | Der Eingang einer Meldung ist der meldenden Person innert sieben Tagen zu bestätigen. |
| Unparteiische Bearbeitung | Eine unparteiische Person oder Stelle ist zu benennen, die Meldungen bearbeitet, sorgfältig nachgeht und den Kontakt zur meldenden Person hält. |
| Rückmeldung binnen 3 Monaten | Die meldende Person muss innert eines angemessenen Zeitraums von höchstens drei Monaten ab Bestätigung eine Rückmeldung erhalten. |
| Schriftliche und/oder mündliche Kanäle | Meldungen können schriftlich, mündlich oder beides erfolgen; mündlich per Telefon oder auf Wunsch in einem persönlichen Treffen. |
| Aufzeichnung | Meldungen sind unter Wahrung der Vertraulichkeit und des Datenschutzes zu dokumentieren und aufzubewahren. |
| Datenschutzkonformität | Die Verarbeitung personenbezogener Daten im Kanal muss der DSGVO entsprechen, einschliesslich Datenminimierung und Rechtsgrundlage. |
| Schutz vor Repressalien | Personen, die in gutem Glauben melden, sind vor Kündigung, Herabstufung und anderen Repressalien zu schützen. |
Ein Tool ist die Intake-Ebene, nicht die ganze Pflicht
Software kann die sichere, vertrauliche Annahme liefern und beim Verfolgen der Fristen helfen. Sie kann jedoch nicht von sich aus eine unparteiische Fallbearbeiterin benennen, Ihre Richtlinie verfassen oder die Untersuchung führen. Der konforme Kanal ist die Kombination aus sicherem Intake und dem organisatorischen Prozess darum herum.
Vertraulich ist nicht dasselbe wie anonym
Die Richtlinie ist hier präzise, und das sollte man es auch sein. Sie verlangt Vertraulichkeit: Die Identität der meldenden Person ist zu schützen und nicht über den befugten Bearbeitungskreis hinaus offenzulegen. Sie verlangt nicht flächendeckend, dass Organisationen vollständig anonyme Meldungen annehmen. Ob anonymes Melden anzunehmen ist, bleibt jedem Mitgliedstaat überlassen — und die nationalen Umsetzungen unterscheiden sich tatsächlich. Manche schreiben es vor, manche stellen es frei, manche fördern es, ohne es zu verlangen.
Das sind zwei verschiedene Eigenschaften. Eine vertrauliche Meldung trägt die Identität der meldenden Person, doch der Kanal verspricht, sie abzuschirmen. Eine anonyme Meldung trägt von vornherein keine Identität. Beides zu verwechseln führt zu Kanälen, die ihr eigenes Versprechen leise brechen.
Wo ein Vertraulichkeitsversprechen leise bricht
Ein Kanal kann keinen Namen erheben und die meldende Person dennoch entlarven. IP-Logs beim Formular-Anbieter oder seinem CDN, Browser-Fingerprinting-Analyse auf der Intake-Seite, ein SSO-Login vor dem Formular, ein E-Mail-Versand, der Zeitstempel und Quell-IPs setzt — all das kann eine Identität wieder anheften, die die meldende Person für geschützt hielt. Ein Vertraulichkeitsversprechen, das nur am Formularfeld hält und nicht über die umliegenden Metadaten und Tracker hinweg, ist kein Vertraulichkeitsversprechen.
Die praktische Erkenntnis: Klären Sie zuerst das auf Ihre Meldenden anwendbare Recht und gestalten Sie den Kanal dann so, dass der angebotene Modus — vertraulich, anonym oder beides — tatsächlich von Anfang bis Ende geliefert wird. Eine Kanalseite mit Drittanbieter-Trackern und dauerhaften IP-Logs kann eine Anonymitätszusage nicht ehrlich tragen und untergräbt auch eine Vertraulichkeitszusage.
Die Mehrsprachigkeitsanforderung in der Praxis
Die Richtlinie verlangt, dass interne Kanäle für die meldeberechtigten Personen zugänglich und nutzbar sind. Für eine internationale Belegschaft hat das eine unvermeidbare praktische Folge: Ein nur in der Sprache der Zentrale veröffentlichter Kanal ist nicht wirklich von allen nutzbar, die er schützen soll. Eine Lagermitarbeiterin, die einen Sicherheitsverstoss meldet, ein Fabrikangestellter, der Fehlverhalten beobachtet, eine Sachbearbeiterin, die Betrug bemerkt — sie melden in der Sprache, in der sie tatsächlich denken und sprechen, oder sie melden gar nicht.
Ein Meldekanal, den niemand in seiner Sprache nutzen kann, verfehlt seinen Zweck, lange bevor eine Frist versäumt wird. Die Meldungen treffen schlicht nie ein. Für Organisationen mit Beschäftigten in mehreren Ländern ist mehrsprachige Annahme kein Feinschliff, sondern der Unterschied zwischen einem Kanal, der Probleme sichtbar macht, und einem, der eine falsche Compliance-Sicherheit erzeugt, während die Probleme verborgen bleiben.
Ein Meldekanal wirkt nur in einer Sprache, der die meldende Person genug vertraut, um ihre Wahrheit darin niederzuschreiben. Alles andere ist Papierkram.
Die Schweiz macht den Punkt anschaulich, noch bevor eine EU-Pflicht ins Bild kommt. Ein Schweizer Arbeitgeber mit deutsch-, französisch- und italienischsprachigem Personal — dazu Englisch als gemeinsame Geschäftssprache — lebt bereits die Vier-Sprachen-Realität, der Multis grenzüberschreitend begegnen. Ein Kanal, der in Bern funktioniert, aber nicht in Lausanne oder Lugano, wäre offensichtlich unzureichend. Dieselbe Logik skaliert direkt auf eine über Mitgliedstaaten verteilte Belegschaft.
Der Schweizer Blickwinkel: ausserhalb der EU, nicht ausserhalb der Pflicht
Die Schweiz ist nicht Mitglied der Europäischen Union und hat kein gleichwertiges allgemeines Hinweisgeberschutzgesetz. Ein Versuch, 2020 eigene Bestimmungen ins Obligationenrecht einzuführen, wurde vom Parlament abgelehnt. Eng gelesen ist ein rein inländisches Schweizer Unternehmen nicht unmittelbar an die Richtlinie (EU) 2019/1937 gebunden.
Realistisch gelesen werden viele Schweizer Organisationen dennoch erfasst:
- Schweizer Unternehmen mit Tochtergesellschaften, Niederlassungen oder Betrieben in EU-Mitgliedstaaten fallen für die dort ansässigen Einheiten unter deren nationale Umsetzung
- In der Schweiz ansässige, EU-weit tätige Gruppen benötigen oft gruppenweite Meldelösungen, die das Recht der Mitgliedstaaten erfüllen, in denen ihre Leute arbeiten
- Finanzdienstleister sehen sich unabhängig von Grenzen Vertraulichkeits- und Meldeerwartungen gegenüber, die mit der Richtlinie konvergieren
- Erwartungen von Investoren, Beschaffung und ESG drängen Schweizer Unternehmen zunehmend, den EU-Standard als gute Unternehmensführung zu übernehmen
Es gibt auch eine positive Schweizer Dimension. Für sensible interne Meldungen — besonders solche, die Kolleginnen, Führungskräfte oder grenzüberschreitende Sachverhalte betreffen können — ist die Schweiz ein neutraler, souveräner Hosting-Standort ausserhalb sowohl der EU- als auch der US-Jurisdiktion. Die verschlüsselte Annahme auf Schweizer Infrastruktur zu halten, verkleinert die rechtliche Zugriffsoberfläche gegenüber dem Umweg über US-Anbieter und fügt sich natürlich in die Datenschutzhaltung des Schweizer nDSG.
Gruppenweite Kanäle, lokale Rechtsdetails
Spannt Ihre Gruppe über die Schweiz und mehrere EU-Staaten, lautet die Designfrage nicht 'EU oder nicht', sondern 'welches umgesetzte Recht welches Mitgliedstaats regelt welche Gruppe von Meldenden, und erfüllt unser Gruppenkanal jedes davon'. Ein einziger, gut gestalteter mehrsprachiger Kanal kann die ganze Gruppe bedienen, während lokale Beratung die länderspezifischen Details bestätigt.
Warum Ende-zu-Ende-Verschlüsselung für das Vertrauen der Meldenden zählt
Jeder Meldekanal schiebt eine dritte Partei zwischen die meldende Person und die Fallbearbeitung: das Tool, das die Meldung trägt. Dieses Tool ist eine Angriffsfläche. Kann der Kanal-Anbieter Einsendungen lesen, hängt die Vertraulichkeit jeder Meldung von der Personaldisziplin des Anbieters, seinen Zugriffskontrollen, seiner Vorfallhistorie und den Rechtsbefehlen ab, die er erhalten könnte — nichts davon kann die meldende Person sehen oder prüfen.
Betrachten Sie die Szenarien, die jemanden vom Absenden abhalten, und wie jedes mit einem herkömmlichen Tool gegenüber einem mit Zero-Knowledge-Ende-zu-Ende-Verschlüsselung aussieht:
| Szenario | Herkömmliches Intake-Tool | Zero-Knowledge-E2EE-Kanal |
|---|---|---|
| Neugier oder Nötigung des Anbieter-Personals | Personal mit Produktionszugriff kann Meldungsinhalt lesen | Anbieter hält nur Chiffrat; Personal kann es nicht lesen |
| Herausgabeersuchen oder Anordnung an den Anbieter | Klartext-Meldungen können produziert werden | Nur Chiffrat vorhanden; ohne Schlüssel der Inhaberin nutzlos |
| Vorfall oder Fehlkonfiguration beim Anbieter | Lesbare Meldungen und Identitäten offengelegt | Chiffrat offengelegt; Inhalt und Identität bleiben unlesbar |
| Interner IT-Administrator mit Infrastrukturzugriff | Kann gespeicherten Meldungsinhalt erreichen | Sieht nur verschlüsselte Blobs; kann nicht entschlüsseln |
Mit Zero-Knowledge-Ende-zu-Ende-Verschlüsselung wird die Meldung im Browser der meldenden Person verschlüsselt, bevor sie das Gerät verlässt, und nur die benannten Fallbearbeiter — mit einem Schlüssel, den der Anbieter nie sieht — können entschlüsseln. Der Betreiber kann nicht offenlegen, was er nicht lesen kann. Das ist die stärkste mögliche Antwort auf die Frage, die jede meldende Person implizit stellt: Wer sonst kann das sehen?
Vertraulichkeit durch Gestaltung, nicht durch Versprechen
Die Richtlinie erwartet, dass Kanäle so gestaltet und betrieben werden, dass die Identität der meldenden Person geschützt ist. Eine kryptographische Garantie, dass der Kanal-Anbieter Einsendungen nicht lesen kann, ist ein starker, belegbarer Weg, diese Gestaltungserwartung zu erfüllen — Vertraulichkeit, die durch Mathematik durchgesetzt wird statt durch Vertrauen in das gute Verhalten eines Anbieters.
Einen konformen Kanal aufsetzen — Schritt für Schritt
Ein konformer Kanal ist ein Prozess, nicht bloss ein Stück Software. Das Intake-Tool ist eine Komponente; die folgenden Schritte zeigen, wo es hingehört und was die Organisation drumherum weiterhin selbst tragen muss.
Umfang und Sprachen festlegen
Entscheiden Sie, welche Verstösse der Kanal abdeckt, welches mitgliedstaatliche Recht für welche Gruppe von Meldenden gilt und welche Sprachen Ihre Belegschaft tatsächlich spricht. Planen Sie mehrsprachige Annahme von Anfang an, nicht nachträglich.
Sicheres Intake wählen
Wählen Sie einen Annahmekanal, der die Identität der meldenden Person bauartbedingt schützt — idealerweise mit Ende-zu-Ende-Verschlüsselung, damit der Anbieter Meldungen nicht lesen kann — auf einer stabilen, zugänglichen URL und frei von Drittanbieter-Trackern.
Klare Meldepolitik veröffentlichen
Sagen Sie der Belegschaft, wofür der Kanal da ist, wie man ihn nutzt, welche Vertraulichkeit und (falls angeboten) Anonymität sie erwarten darf und welcher Schutz vor Repressalien gilt. Verlinken Sie sie im Intranet, Handbuch und Onboarding.
Benannte Fallbearbeiter schulen
Benennen Sie eine unparteiische Person oder Stelle und schulen Sie sie zu Vertraulichkeit, Fristen, Umgang mit Interessenkonflikten und Dokumentation. Sie — nicht der IT-Anbieter — sind die zum Lesen von Meldungen befugten Personen.
Binnen 7 Tagen bestätigen
Bauen Sie einen Prozess, der der meldenden Person den Eingang innert sieben Tagen bestätigt, auch bei anonymen Meldungen, wenn ein Rückkanal existiert (etwa ein Referenzcode, den die meldende Person prüfen kann).
Unparteiisch untersuchen
Gehen Sie sorgfältig nach, managen Sie Interessenkonflikte, halten Sie die meldende Person wo möglich informiert und beziehen Sie die richtigen Funktionen (Recht, HR, Revision) unter kontrolliertem Zugriff ein.
Binnen 3 Monaten rückmelden
Geben Sie der meldenden Person innert eines angemessenen Zeitraums von höchstens drei Monaten ab Bestätigung eine Rückmeldung zu den geplanten oder ergriffenen Massnahmen.
Dokumentieren und aufbewahren
Halten Sie Meldungen und deren Bearbeitung fest, wenden Sie einen Aufbewahrungsplan an, der Vertraulichkeit und DSGVO/nDSG entspricht, und seien Sie bereit, die Funktionsfähigkeit des Kanals auf Behördenanfrage zu belegen.
Wie Schweizerform hineinpasst
Schweizerform ist ein Zero-Knowledge-Ende-zu-Ende-verschlüsselter Formularbaukasten; verschlüsselte Einreichungen werden ausschliesslich in der Schweiz gespeichert. Für einen internen Meldekanal liefert es die sichere mehrsprachige Intake-Ebene, von der mehrere der obigen Anforderungen abhängen:
- Mehrsprachige Meldeformulare in EN / DE / FR / IT — derselbe Kanal, nutzbar von einer Belegschaft, die nicht eine gemeinsame Sprache teilt
- Zero-Knowledge-Ende-zu-Ende-Verschlüsselung bei jeder Einsendung — Meldungen werden im Browser der meldenden Person verschlüsselt, und Schweizerform speichert nur Chiffrat, das es nicht lesen kann
- Verschlüsselte Beweis-Dateien — Dokumente, Screenshots und Aufzeichnungen (bis 100 MB pro Datei) werden im Browser verschlüsselt, bevor sie das Gerät verlassen
- Keine Drittanbieter-Tracker auf der Formularseite und ausschliesslich First-Party-Analyse — die Intake-Seite gibt nicht leise Identität über Analyse oder Fingerprinting preis
- Formulare hinter einem Freischaltcode und formular-individuelle Tresorschlüssel, auf die benannten Fallbearbeiter zugeschnitten — nur wer einen Tresorschlüssel hält, kann den Tresor öffnen, der entschlüsselungsberechtigte Kreis ist streng begrenzt
- Schweizer Hosting bei Infomaniak, ohne US- oder EU-Anbieter im Datenpfad der Antwort-Payload, ausgerichtet am Schweizer nDSG und an DSGVO-konformer Handhabung
Ehrlicher Hinweis zum Umfang
Schweizerform ist die sichere Intake-Ebene, keine vollständige Fallmanagement- oder Whistleblowing-Suite. Es benennt nicht Ihre unparteiische Fallbearbeiterin, führt nicht Ihre Untersuchung und verfolgt nicht Ihre 7-Tage- und 3-Monats-Fristen für Sie. Diese Schritte — der Prozess rund um den Kanal — vervollständigen das Compliance-Bild und verbleiben bei Ihrer Organisation. Die Use-Case-Seite 'HR- & Hinweisgeber-Meldeformulare' auf der Website behandelt diese Intake-Rolle vertiefter.
Mit anderen Worten: Schweizerform beantwortet den Teil der Richtlinie, der wirklich ein Technologieproblem ist — sichere, vertrauliche, mehrsprachige Annahme, die der Anbieter nicht lesen kann — und belässt den organisatorischen Prozess dort, wo er hingehört: bei Ihnen.
Das Fazit
Die Richtlinie (EU) 2019/1937 hat einen internen Meldekanal zur Rechtspflicht gemacht, und die Umsetzungsfristen liegen hinter uns. Ein konformer Kanal schützt die Identität vertraulich, bestätigt binnen sieben Tagen, geht unparteiisch nach, meldet binnen drei Monaten zurück, führt Aufzeichnungen und beachtet das Datenschutzrecht. Für eine internationale oder mehrsprachige Belegschaft muss er ausserdem in den Sprachen, die die Menschen sprechen, tatsächlich nutzbar sein — und für Schweizer Gruppen mit EU-Betrieben muss er das mitgliedstaatliche Recht dort erfüllen, wo ihre Leute arbeiten.
Die Technologiefrage darin ist eng und beantwortbar: Kann der Kanal garantieren, dass nur Ihre benannten Fallbearbeiter — und nicht der Anbieter des Tools — lesen können, was Meldende einreichen? Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, mehrsprachige Annahme und Schweizer Hosting machen aus dieser Frage ein zuversichtliches Ja und lassen Ihren Compliance-Prozess den Rest erledigen.
Schweizerform liefert die sichere, mehrsprachige, Ende-zu-Ende-verschlüsselte Intake-Ebene für einen internen Meldekanal — verschlüsselte Einreichungen in der Schweiz gespeichert, keine Drittanbieter-Tracker, volle EN- / DE- / FR- / IT-Unterstützung und keine Kreditkarte im kostenlosen Tarif.
Hinweis: Dieser Artikel ist allgemeine Information und Marketinginhalt, keine Rechts- oder Compliance-Beratung. Bezugnahmen auf die Richtlinie (EU) 2019/1937, ihre nationalen Umsetzungen, die DSGVO, das Schweizer nDSG und das Schweizer Obligationenrecht sind konzeptionell zusammengefasst und unterliegen nationaler Umsetzung, jurisdiktionsspezifischer Auslegung und künftigen Gesetzesänderungen — darunter, ob anonymes Melden anzunehmen ist, sowie genaue Schwellen, Fristen und Sanktionen, die je Mitgliedstaat variieren. Die Verantwortung für einen konformen Meldekanal — einschliesslich Benennung einer unparteiischen Fallbearbeitung, Einhaltung der Bestätigungs- und Rückmeldefristen, Dokumentation und Repressalienschutz — verbleibt bei der Organisation. Ziehen Sie qualifizierte EU-/nationale und Schweizer Rechtsberatung sowie eine Datenschutz-Fachperson bei, bevor Sie Compliance- oder Beschaffungsentscheidungen treffen.