Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23. Oktober 2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden

Die Richtlinie (EU) 2019/1937 ist eine EU-Richtlinie und damit ein verbindlicher Mindeststandard, der die Mitgliedstaaten hinsichtlich des zu erreichenden Schutzniveaus bindet, die konkrete Ausgestaltung aber der nationalen Umsetzung überlässt. Systematisch ist sie als querschnittsbezogener Binnenmarkt- und Durchsetzungsrechtsakt einzuordnen, der auf mehrere Primärrechtsgrundlagen des AEUV und des Euratom-Vertrags gestützt ist und den Vollzug von Unionsrecht in besonders sensiblen Bereichen stärken soll. Inhaltlich verpflichtet sie die Mitgliedstaaten zur Einführung sicherer interner und externer Meldekanäle, zum Schutz der Vertraulichkeit, zum Verbot von Repressalien sowie zu Unterstützungs-, Abhilfe- und Sanktionsmechanismen. Zugleich definiert sie, wer geschützt ist, wann Schutz besteht und unter welchen Voraussetzungen auch eine Offenlegung geschützt sein kann. • Der Anwendungsbereich erfasst Hinweisgeber im privaten und öffentlichen Sektor, insbesondere Arbeitnehmer, Beamte, Selbstständige, Anteilseigner, Organmitglieder, Praktikanten, Freiwillige sowie Personen im Umfeld von Auftragnehmern, Unterauftragnehmern und Lieferanten; mitgeschützt sind unter anderem Mittler, Kollegen, Verwandte und verbundene juristische Personen. Sachlich gilt die Richtlinie für Meldungen über Verstöße gegen Unionsrecht in den ausdrücklich benannten Bereichen wie öffentliches Auftragswesen, Finanzdienstleistungen, Produktsicherheit, Verkehrssicherheit, Umweltschutz, Strahlenschutz, Lebensmittel- und Futtermittelsicherheit, öffentliche Gesundheit, Verbraucherschutz sowie Datenschutz und IT-Sicherheit, ferner für Verstöße gegen die finanziellen Interessen der Union und bestimmte Binnenmarkt- und Körperschaftsteuersachverhalte. Ausgenommen bzw. unberührt bleiben insbesondere nationale Sicherheit, bestimmte Vergaben mit Verteidigungs- oder Sicherheitsbezug, Verschlusssachen, anwaltliche und ärztliche Verschwiegenheit, das richterliche Beratungsgeheimnis und das Strafprozessrecht. Für private Rechtsträger gilt grundsätzlich die Pflicht zu internen Meldekanälen ab 50 Beschäftigten, während Mitgliedstaaten kleine Gemeinden oder sonstige öffentliche Stellen unterhalb bestimmter Schwellen ausnehmen und bei anonymen Meldungen eigenständige Regeln vorsehen können. • In der Praxis bedeutet dies den Aufbau belastbarer Hinweisgebersysteme mit vertraulichen Meldewegen, Eingangsbestätigung binnen sieben Tagen und Rückmeldung grundsätzlich innerhalb von drei Monaten. Unternehmen ab 50 Beschäftigten und öffentliche Stellen müssen Meldungen so organisieren, dass unbefugte Zugriffe ausgeschlossen und Untersuchungen nachvollziehbar dokumentiert werden. Zuständige Behörden benötigen eigenständige externe Kanäle, geschulte Mitarbeiter und veröffentlichte Verfahrensinformationen. Für Hinweisgeber entsteht ein rechtlich abgesicherter Rahmen, solange die Meldung auf hinreichenden Gründen beruht und die vorgesehenen Meldewege oder Voraussetzungen der Offenlegung eingehalten werden.

Stand: 15.09.2026

Mitgliedstaaten: • Pflicht 1: Die zur Umsetzung erforderlichen Rechts- und Verwaltungsvorschriften erlassen und einen nationalen Schutzrahmen für Hinweisgeber schaffen. • Pflicht 2: Zuständige Behörden benennen, mit angemessenen Ressourcen ausstatten und unabhängige externe Meldekanäle sicherstellen. • Pflicht 3: Sanktionen gegen Behinderung von Meldungen, Repressalien, missbräuchliche Verfahren und Verstöße gegen die Vertraulichkeit festlegen. • Empfehlung: Zuständigkeiten, Beratungsangebote und Verfahrenswege zentral, verständlich und sektorübergreifend koordinieren. Juristische Personen des privaten Sektors: • Pflicht 1: Ab 50 Beschäftigten interne Meldekanäle und Folgemaßnahmen einrichten; unabhängig vom Schwellenwert gilt dies auch, soweit sektorspezifische Unionsrechtsakte es verlangen. • Pflicht 2: Den Eingang einer Meldung binnen sieben Tagen bestätigen und grundsätzlich innerhalb von drei Monaten Rückmeldung geben. • Pflicht 3: Die Vertraulichkeit der Identität des Hinweisgebers und genannter Dritter wahren sowie Meldungen ordnungsgemäß dokumentieren. • Empfehlung: Eine unparteiische Stelle benennen und die Verfahren auch für Lieferanten, Auftragnehmer, Praktikanten und sonstige beruflich eingebundene Personen klar zugänglich machen. Juristische Personen des öffentlichen Sektors: • Pflicht 1: Interne Meldekanäle und Verfahren für Folgemaßnahmen einrichten; gemeinsame Lösungen sind nur zulässig, wenn sie von externen Kanälen getrennt und autonom sind. • Pflicht 2: Meldungen schriftlich und mündlich ermöglichen, einschließlich einer physischen Zusammenkunft auf Ersuchen des Hinweisgebers. • Pflicht 3: Vertraulichkeit, Dokumentation und fristgerechte Rückmeldung sicherstellen. • Empfehlung: Zuständigkeiten organisatorisch trennen und die Verfahren mit bestehenden Beschwerde- und Kontrollstrukturen sauber abgrenzen. Zuständige Behörden: • Pflicht 1: Unabhängige und autonome externe Meldekanäle für die Entgegennahme und Bearbeitung von Meldungen einrichten. • Pflicht 2: Eingänge grundsätzlich binnen sieben Tagen bestätigen, ordnungsgemäße Folgemaßnahmen ergreifen und innerhalb von drei Monaten, in begründeten Fällen innerhalb von sechs Monaten, Rückmeldung geben. • Pflicht 3: Auf ihren Websites die Meldewege, Verfahrensregeln, Vertraulichkeitsvorgaben und Schutzmöglichkeiten klar veröffentlichen. • Empfehlung: Speziell geschulte Mitarbeiter einsetzen und unzuständige Eingänge sicher und zügig an die jeweils zuständige Behörde weiterleiten. Hinweisgeber: • Pflicht 1: Nur Informationen melden oder offenlegen, für deren Wahrheit und Anwendungsbezug zum Zeitpunkt der Meldung hinreichende Gründe bestehen. • Pflicht 2: Für den Schutz grundsätzlich interne oder externe Meldewege nutzen oder die Voraussetzungen einer geschützten Offenlegung einhalten. • Pflicht 3: Bei absichtlich falschen Meldungen mit Sanktionen und Schadensersatzfolgen rechnen. • Empfehlung: Den Meldeweg nach Risikolage, Vertraulichkeit und Wirksamkeit der Folgemaßnahmen auswählen und die vorhandenen Informationen möglichst präzise bereitstellen.