Aufbewahrungsfristen für Hinweisgebermeldungen in der EU

Aufbewahrungsfristen für Hinweisgebermeldungen reichen in der EU von drei Monaten bis zu zehn Jahren. Zypern löscht eine Meldung drei Monate nach Abschluss eines Falls. Spanien erlaubt einem Unternehmen, sie zehn Jahre aufzubewahren. Elf Mitgliedstaaten legen überhaupt keine Frist fest. Die Zahlen stammen aus unserem Bericht 2026 zur EU-Whistleblower-Richtlinie, der alle 27 nationalen Gesetze vergleicht. Hier erfahren Sie, wie lange Sie eine Meldung in jedem Land aufbewahren müssen und was zu tun ist, wo das Gesetz nichts sagt.

Wie lange müssen Sie eine Hinweisgebermeldung aufbewahren?

Die EU-Whistleblower-Richtlinie legt keine Aufbewahrungsfrist fest. Sie besagt nur, dass Sie personenbezogene Daten nicht länger aufbewahren, als Sie sie benötigen. Also füllte jedes Land die Lücke auf eigene Weise. Fünfzehn Staaten wählten eine klare Zahl. Belgien legte mehrere fest, eine pro Region. Die übrigen elf legten keine fest.

Spanien steht mit einer Obergrenze von zehn Jahren an der Spitze. Folgt keine Untersuchung, löscht es die Meldung stattdessen nach drei Monaten. Acht Staaten wählten fünf Jahre: Österreich, Tschechien, Finnland, Italien, Litauen, Portugal, Rumänien und Slowenien. Vier wählten drei Jahre: Deutschland, Estland, Polen und die Slowakei. Schweden bewahrt eine Meldung zwei Jahre auf. Zypern ist am kürzesten und löscht drei Monate nach Abschluss eines Falls.

Quelle: WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, S. 20.

Die folgende Tabelle zeigt jede feste Frist und den Moment, in dem ihre Uhr zu laufen beginnt. Die elf Staaten ohne festgelegte Frist folgen danach.

Quelle: WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, S. 20.

„Die Richtlinie legt keine Aufbewahrungsfrist fest. Sie verlangt nur, dass personenbezogene Daten nicht länger als notwendig und verhältnismäßig aufbewahrt werden, und elf Mitgliedstaaten beließen es genau dabei.“
WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, S. 19

Wo keine Aufbewahrungsfrist festgelegt ist, übernimmt die DSGVO

Elf Staaten nennen keine Zahl: Bulgarien, Kroatien, Dänemark, Frankreich, Griechenland, Ungarn, Irland, Lettland, Luxemburg, Malta und die Niederlande. Belgien ist ein zwölfter Sonderfall, mit einer anderen Regelung in jeder Region. Keine feste Frist bedeutet nicht, für immer aufzubewahren. Sie überlässt die Entscheidung der DSGVO.

Der Grundsatz der Speicherbegrenzung der DSGVO besagt, dass Sie personenbezogene Daten nur so lange aufbewahren, wie es der Zweck erfordert. Bei einer Meldung ist dieser Zweck die Bearbeitung des Falls und die Abwehr etwaiger daraus folgender Ansprüche. So legen Sie in Dänemark, Frankreich, Irland und Luxemburg Ihre eigene Frist fest und begründen sie. Bulgarien verweist auf eine Datenschutzverordnung. Kroatien greift auf sein allgemeines Archivierungsgesetz zurück. Griechenland bewahrt die Akte bis zum Ende des Verfahrens auf. Hier zeigt sich der Wert einer schriftlichen Aufbewahrungsrichtlinie. Unsere Leitfäden zum Reagieren auf eine Meldung und was mit einer Meldung zu tun ist behandeln die Bearbeitungsschritte, die entscheiden, wann die Frist enden kann.

Quelle: WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, S. 19.

Wann beginnt die Aufbewahrungsfrist?

Die Zahl der Jahre ist nur die halbe Antwort. Dieselben fünf Jahre können sehr unterschiedliche Speicherzeiten bedeuten, je nachdem, wann die Frist beginnt. Vier Staaten lassen sie mit Eingang der Meldung beginnen: Tschechien, Finnland, Rumänien und die Slowakei. Die Frist läuft, bevor überhaupt jemand den Fall geprüft hat. Neun Staaten lassen sie beginnen, sobald der Fall bearbeitet ist, bei Abschluss, beim Endergebnis oder bei der letzten Entscheidung. Zwei Staaten sagen es nie eindeutig.

Quelle: WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, S. 20.

Das ist die Falle für ein Unternehmen in mehr als einem Land. Zwei Fünf-Jahres-Regeln sind nicht dieselbe Regel. Österreich lässt seine Frist ab dem letzten Zugriff auf die Akte laufen, sodass das erneute Öffnen eines Falls das Löschdatum nach hinten verschieben kann. Polen zählt ab dem Ende des Jahres, in dem die Folgemaßnahmen endeten. Spanien knüpft die Löschung daran, ob eine Untersuchung folgt, und Portugal lässt den Beginn undefiniert und rechnet etwaige laufende Verfahren obendrauf. Wenn Sie ein einziges Archiv für alle Länder führen, müssen Sie zugleich den frühesten Beginn und das späteste Ende einhalten.

Erstellen Sie eine Aufbewahrungsrichtlinie für alle Länder

Die meisten Unternehmen wollen eine einzige Regel, nicht 27. Um dorthin zu gelangen, richten Sie sich nach dem strengsten Staat auf Ihrer Karte. Das bedeutet zugleich die längste Untergrenze und die kürzeste Obergrenze. Portugal und Litauen setzen ihre fünf Jahre als Mindestfrist, sodass Sie nicht darunter gehen können. Spaniens zehn Jahre sind eine Obergrenze, sodass Sie dort nicht darüber hinausgehen können. Zypern verlangt die Löschung nach drei Monaten. Ein Unternehmen, das sowohl in Spanien als auch in Zypern tätig ist, braucht zwei getrennte Richtlinien für dieselbe Art von Unterlagen.

Halten Sie die Frist schriftlich fest, verknüpfen Sie sie mit der Fallakte und dokumentieren Sie, warum Sie sie gewählt haben. Das verlangt die DSGVO, und das wird ein Prüfer suchen. Die Beiträge zum Landesrecht für Spanien, Schweden und Deutschland liefern den genauen Wortlaut an den beiden Extremen und in der Mitte.

Stellen Sie die Aufbewahrungsuhr einmal ein und lassen Sie sie laufen

Die Aufbewahrung ist der stille Teil eines Hinweisgeberprogramms. Sie wird selten zum Thema, bis eine Prüfung oder eine Datenauskunft ansteht, und dann kommt sie schnell auf. Eine Meldung, die ein Jahr zu lang aufbewahrt wird, ist ein DSGVO-Problem. Eine Meldung, die ein Jahr zu früh gelöscht wird, ist ein Beweisproblem. Der sichere Weg ist, die Frist pro Land festzulegen, sie an jeden Fall zu knüpfen und fristgerecht zu löschen, ohne dass sich jemand daran erinnern muss. WeMoral wendet auf jede Meldung die Regel des jeweiligen Landes an und löscht sie nach Fristablauf, sodass das Archiv von selbst rechtskonform bleibt. Prüfen Sie die Zeilen Ihrer Länder, bevor Sie eine einzige Zahl für alle festlegen.