Erster Whistleblower-Bericht, was tun?

Ein Arbeitgeber zu sein bringt viele Pflichten mit sich. Die meisten davon betreffen den Umgang mit Ihren Mitarbeitern. Der Moment, in dem jemand beschließt, Unregelmäßigkeiten zu melden in Ihrem Unternehmen kann der stressigste Tag des Jahres sein. In einem einzigen Gespräch erfahren Sie, dass etwas schiefgelaufen ist. Sie merken auch, dass ein Mitarbeiter dieses Wissen schon lange mit sich trägt und sich verletzt oder ängstlich fühlt. Bevor Sie etwas anderes tun, halten Sie einen Moment inne. Denken Sie genau über die Schritte nach, die Sie jetzt unternehmen müssen. Das Gesetz lässt heute kaum noch Spielraum für Zufälle.

Wie sich die Gesetze zum Whistleblowing geändert haben

Die EU-Richtlinie 2019/1937 setzt den europaweiten Standard zum Schutz von Whistleblowern. Die Frist für die Mitgliedstaaten war der 17. Dezember 2021. Viele Länder haben die Regeln jedoch nur langsam umgesetzt. Im März 2025 verurteilte der Gerichtshof der EU mehrere Staaten zu Geldstrafen, weil sie die Richtlinie nicht rechtzeitig übernommen hatten. Dazu gehörten Deutschland, Luxemburg, Tschechien, Estland und Ungarn. Bis heute hat jeder Mitgliedstaat eigene Gesetze verabschiedet, auch wenn die EU-Kommission weiterhin Lücken im Schutz anmerkt.

Gerichtshof der Europäischen Union, Luxemburg
©Cédric Puisney (CC BY 2.0)

Polen gehörte zu den letzten Ländern, die diese Regeln einführten. Das Whistleblower-Schutzgesetz (Ustawa o ochronie sygnalistów) trat am 25. September 2024 in Kraft. Jede Organisation mit mindestens 50 Beschäftigten muss ein schriftliches internes Meldeverfahren haben. Dies gilt sowohl für private Firmen als auch für öffentliche Stellen. Bestimmte Sektoren wie Finanzdienstleistungen oder Verkehrssicherheit sind unabhängig von ihrer Größe betroffen. Wenn Ihr Unternehmen diese Schwelle überschritten hat und Ihr Verfahren noch in der Schublade liegt, gehen Sie bereits ein Risiko ein.

Eine Meldung kommt nicht aus dem Nichts. Sie setzt einen geregelten Prozess mit festen Fristen in Gang. Diese Fristen beginnen in dem Moment, in dem Ihr Meldesystem die Meldung registriert. Den ersten Bericht wie ein einfaches Personalgespräch zu behandeln, ist heute ein rechtlicher Fehler.

Wer die Meldung entgegennehmen darf

Meldungen können an den Inhaber, ein Vorstandsmitglied oder die Personalabteilung gehen. Größere Firmen haben oft eine eigene Kontaktperson für Whistleblower . Wer auch immer es ist, zwei Dinge müssen erfüllt sein. Erstens benötigt die Person eine schriftliche Ermächtigung des Unternehmens, um Meldungen zu bearbeiten. Zweitens muss sie unparteiisch sein. Es darf kein Interessenkonflikt mit den gemeldeten Personen bestehen. Zum Beispiel sollte man nicht den direkten Vorgesetzten des betroffenen Teams wählen.

Der internationale Standard ISO 37002:2021 empfiehlt drei Prinzipien: Vertrauen, Unparteilichkeit und Schutz. Er definiert einen vierstufigen Prozess: Empfang, Bewertung, Bearbeitung und Abschluss. Dies hilft Ihnen, die Annahme von Informationen klar von der eigentlichen Untersuchung zu trennen. Eine Person kann beides tun, aber es sind zwei verschiedene Aufgaben.

Die ersten 7 Tage

Sobald Sie eine Meldung registrieren, haben Sie 7 Tage Zeit, dem Melder den Empfang zu bestätigen. Dies ist noch kein Urteil. Es ist ein Signal, dass die Meldung im System ist und sich ein Mensch darum kümmert. Sagen Sie dem Melder, wer den Fall bearbeitet und was als Nächstes passiert. Nutzen Sie eine einfache Sprache und vermeiden Sie Versprechen über das Ergebnis. Eine schlechte Bestätigung kann wie eine Abweisung klingen und zu weiteren Problemen führen.

Auch der gewählte Kanal ist wichtig. Wenn jemand persönlich oder per Telefon meldet, müssen Sie ein Protokoll erstellen. Lassen Sie den Melder dieses überprüfen. Antworten Sie niemals mit „Allen antworten“ auf eine E-Mail-Meldung. Wenn Sie eine Hinweisgebersoftware nutzen, lassen Sie alle Nachrichten dort. Kopieren Sie keine sensiblen Infos in firmeninterne Ticketsysteme, auf die andere Zugriff haben.

Das Feedback-Fenster von 3 Monaten

Innerhalb von 3 Monaten nach der Bestätigung müssen Sie dem Melder eine inhaltliche Rückmeldung geben. Erklären Sie, welche Maßnahmen Sie planen oder bereits ergriffen haben. Die Frist gilt für das Unternehmen, nicht nur für den Ermittler. Wenn der Fall komplex ist, sagen Sie dem Melder vor Ablauf der Frist Bescheid.

Die erste Aufgabe des Empfängers ist es zu beurteilen , ob die Meldung in den Anwendungsbereich fällt. Das polnische Gesetz deckt viele Bereiche ab: Korruption, öffentliches Auftragswesen, Geldwäsche oder Produktsicherheit. Auch Umweltschutz und Datenschutz gehören dazu. Einfache arbeitsrechtliche Streitigkeiten fallen meist nicht unter dieses Gesetz. Sie müssen den Inhalt der Meldung prüfen, nicht nur, wie wütend die E-Mail klingt.

Manchmal beruhen Meldungen auf persönlichem Groll. Sie sollten sie dennoch sorgfältig prüfen, anstatt sie sofort abzulehnen. Artikel 57 des polnischen Gesetzes besagt, dass die bewusste Meldung falscher Informationen eine Straftat ist. Dies kann zu bis zu 2 Jahren Gefängnis führen. Ehrliche Fehler sind jedoch geschützt. Eine unangenehme Meldung als böswillig abzutun, ist der schnellste Weg zu einer Klage wegen Vergeltungsmaßnahmen.

Sejm der Republik Polen, Warschau, wo das Whistleblower-Schutzgesetz am 14. Juni 2024 angenommen wurde
©Sandra Cohen-Rose und Colin Rose (CC BY-SA 2.0)

Dokumentation und Vertraulichkeit

Jede Meldung kommt in ein Register interner Meldungen. Dieses Register hält fest, wann die Meldung einging, worum es ging und was getan wurde. Sie müssen diese Daten sicher aufbewahren. Die Identität des Melders muss geheim bleiben. Das polnische Recht verlangt, diese Akten für 3 Jahre nach Abschluss des Falls aufzubewahren.

Der Standard für Vertraulichkeit ist sehr hoch. Er ist viel strenger als alte interne Richtlinien. Sie dürfen den Namen des Melders nur nennen, wenn es absolut notwendig und rechtmäßig ist. Ein Gericht kann dies zum Beispiel anordnen. Jeder, der an dem Fall arbeitet, muss eine Verschwiegenheitserklärung unterschreiben. Das Register unterliegt zudem den DSGVO-Regeln.

International tätige Firmen sollten ihre alten Vertragsvorlagen prüfen. Im September 2024 verurteilte die US-Börsenaufsicht SEC sieben Firmen zu Strafen von über 3 Millionen USD. Ihre Arbeitsverträge enthielten Klauseln, die Meldungen verhinderten. Eine andere Firma zahlte 240.000 USD für Klauseln, die keinen Kontakt zu Behörden erlaubten. Alte Verträge können als Beweis gewertet werden, dass Sie Meldungen blockieren. Die Prüfung dieser Vorlagen kostet wenig. Eine Strafe kostet viel.

Sorge für den Melder tragen

Eine Meldung entgegenzunehmen bedeutet oft, schwierige Fragen zu stellen. Sie müssen Beweise prüfen, ohne jemanden zu beschuldigen oder zu schmeicheln. Die Art und Weise der Befragung ist wichtig. Nutzen Sie Methoden, die den Melder nicht zusätzlich belasten. Stellen Sie offene Fragen und lassen Sie den Melder in seinen eigenen Worten berichten. Geben Sie ihm etwas Kontrolle über den Zeitpunkt des Gesprächs. Lassen Sie ihn eine Vertrauensperson mitbringen. Wenn Sie mit der Frage „Sind Sie sicher, dass Sie das gesehen haben?“ beginnen, werden Sie in Zukunft weniger Meldungen erhalten.

Der Melder muss weiterhin sicher arbeiten können. Kontaktieren Sie ihn über denselben Kanal , den er für die Meldung genutzt hat. Bestätigen Sie, dass sein Arbeitsplatz sicher ist, und erklären Sie die nächsten Schritte. Fragen Sie ihn, wie es ihm geht. Die meisten Menschen wenden sich erst dann an Behörden oder Medien, wenn ihr eigenes Unternehmen schweigt.

Wann Sie externe Hilfe benötigen

Sie können nicht jede Meldung intern lösen. Manchmal ist es sinnvoll, mit externen Anwälten zu sprechen. Das ist wichtig, wenn es um Straftaten, große Geldbeträge oder Vorstandsmitglieder geht. Externe Experten helfen, wenn die Unparteilichkeit intern nicht garantiert werden kann. Die ISO 37002 empfiehlt dies besonders bei Fällen, die Personen in hohen Positionen betreffen.

Der Melder hat zudem das Recht, den Fall nach außen zu tragen. In Polen ist der Hauptweg der Beauftragte für Menschenrechte (RPO). Auch andere Behörden können helfen. Der Gang an die Presse ist nur in Ausnahmefällen geschützt. Wenn Sie die Meldung ernst nehmen, bleibt sie meist im Unternehmen. Eine schlechte Bearbeitung gibt dem Melder einen Grund, Hilfe von außen zu suchen.

Büro des Polnischen Beauftragten für Menschenrechte (RPO), Aleja Solidarności 77, Warschau
©Adrian Grycuk (CC BY-SA 3.0 PL)

Was es kostet, Fehler zu machen

Das polnische Gesetz bestraft Vergeltungsmaßnahmen hart. Wer Meldungen blockiert oder die Identität des Melders verrät, riskiert Strafen von bis zu 1.080.000 PLN. Auch bis zu 3 Jahre Gefängnis sind möglich. Firmen ohne passendes Verfahren riskieren weitere Sanktionen. Bei Vergeltungsmaßnahmen muss der Arbeitgeber beweisen, dass seine Entscheidungen nichts mit der Meldung zu tun hatten. Melder können zudem hohe Entschädigungen fordern.

Die Rechnung ist einfach. Eine gut bearbeitete Meldung kostet ein paar Wochen Arbeit. Eine schlecht bearbeitete Meldung zerstört Ihren Ruf und zieht Behörden an. Es endet oft damit, dass der Melder direkt zur Polizei oder zur Presse geht.

Die ehrliche Fassung des Fazits

Die erste Meldung zu erhalten ist stressig, muss aber nicht im Chaos enden. Die Regeln sind heute sehr präzise. Die Grundlagen sind einfach: Bestätigen Sie den Empfang innerhalb von 7 Tagen und geben Sie innerhalb von 3 Monaten eine Antwort. Notieren Sie alles und behandeln Sie den Melder mit Respekt. Das sind die gleichen Gewohnheiten, die gute Ermittler schon immer hatten. Jetzt, wo das Gesetz da ist, müssen Sie sie nur noch anwenden.