Am 16. Dezember 2019 ist die Europäische Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden („Whistleblower-Richtlinie“), in Kraft getreten. Die Richtlinie sieht eine Pflicht u.a. für Unternehmen mit 50 oder mehr Mitarbeitern, Unternehmen im Finanzdienstleistungssektor und für juristische Personen des öffentlichen Sektors zur Einrichtung von Meldekanälen vor. Gleichzeitig sieht die Richtlinie einen starken Schutz für Hinweisgeber und sogar deren Unterstützer vor. Die nationalen Gesetzgeber der Mitgliedstaaten der Europäischen Union haben die Richtlinie nun bis 17. Dezember 2021 in nationales Recht umzusetzen. Für Unternehmen mit 50 bis 249 Arbeitnehmer erstreckt sich die Umsetzungsfrist für die Einrichtung von internen Meldekanälen um weitere zwei Jahre, sie endet daher am 17. Dezember 2023. 
 
Der Schutz der Richtlinie bezieht sich auf die Meldung von Rechtsverstößen gegen die ausdrücklich in der Richtlinie aufgeführten Bereiche (u.a. Geldwäsche, Produktsicherheit, Verkehrssicherheit, Umweltschutz, Datenschutz, Steuerbetrug). Die nationale Umsetzung der Richtlinie kann auch eine Erweiterung des Kriterienkatalogs zur Folge haben. Die Richtlinie schützt Hinweisgeber, die derartige Informationen im beruflichen Kontext erlangt haben. Ein Hinweisgeber kann daher ein (ehemaliger) Arbeitnehmer, Aufsichtsratsmitglied, Geschäftspartner, Praktikant oder Bewerber sein. Der Schutz erstreckt sich aber auch auf Personen, die den Whistleblower bei einem Meldeverfahren in einem beruflichen Kontext unterstützen und deren Unterstützung vertraulich ist, z.B. Betriebsratsmitglieder) und Dritte, die mit dem Hinweisgeber verbunden sind und in einem beruflichen Kontext Sanktionen erleiden könnten (z.B. Arbeitskollegen). 

Die Richtlinie sieht ein mehrstufiges Meldesystem vor. Zunächst soll ein Hinweisgeber Verstöße an ein internes Meldesystem richten können, das bestimmte Kriterien zu erfüllen hat. Dazu gehört etwa die Sicherheit des Systems und die vertrauliche Behandlung der Identität des Hinweisgebers. Weiters sollen Meldungen schriftlich, mündlich oder durch physische Zusammenkunft abgegeben werden können. Darüber hinaus ist dafür zu sorgen, dass unbefugte Mitarbeiter keinen Zugriff auf diese Meldungen haben. Werden nach der Meldung eines Verstoßes an ein internes Meldesystem keine Maßnahmen seitens des Unternehmens gesetzt oder gibt es überhaupt kein internes Meldesystem, kann sich der Hinweisgeber an einen externen Meldekanal (z.B. Behörde) wenden. Der österreichische Gesetzgeber hat hier festzulegen, welche Behörden für solche Meldungen in Österreich zuständig sein werden (denkbar wären etwa die Volksanwaltschaft, eine neue Ombudsstelle, die Datenschutzbehörde). Funktioniert auch dieser externe Meldekanal nicht oder hat der Hinweisgeber von vornherein „hinreichenden Grund“ davon auszugehen, dass ein Verstoß das „öffentliche Interesse“ gefährden kann, ist als letzte Eskalationsstufe der Weg an die Öffentlichkeit (z.B. Medien) vorgesehen. 

Die Richtlinie sieht vor, dass Hinweisgeber an ihrem Arbeitsplatz umfassend vor jeder Art von Erpressung oder anderen Vergeltungsmaßnahmen (Entlassung, Kündigung, Gehaltsminderung usw.) geschützt werden. Dabei kommt ihnen eine Beweislastumkehr zugute: Hat ein Hinweisgeber auf einen Missstand hingewiesen und erleidet er daraufhin Nachteile, hat der Arbeitgeber zu beweisen, dass diese Nachteile „in keiner Weise mit der erfolgten Meldung oder Offenlegung in Verbindung stehen“. Darüberhinaus ist ein starker Schutz der Identität des Hinweisgebers sowie eine umfassende Information und Beratung von Hinweisgebern vorgesehen. Die Whistleblower-Richtlinie bringt somit einen starken  arbeitsrechtlichen Schutz für Hinweisgeber. Es empfiehlt sich daher für Arbeitgeber, sich bereits vor Ablauf der Umsetzungsfrist über das konkrete Schutzausmaß zu informieren und betroffene Führungskräfte und Mitarbeiter frühzeitig zu schulen.

Für Unternehmen, die kein geeignetes Meldesystem errichtet haben, Meldungen behindern, Repressalien gegen eine nach der Richtlinie geschützte Person ergreifen, mutwillige Gerichtsverfahren gegen diese Person führen oder die Vertraulichkeit der Identität dieser Person gefährden sieht die Richtlinine die Einführung erheblicher Sanktionen vor. Nicht zu vernachlässigen ist auch ein allfälliger Imageschaden, wenn sich ein Hinweisgeber mangels internem Meldesystem an externe Meldekanäle oder sogar die Öffentlichkeit wenden muss.

Die Umsetzung der Whistleblower-Richtlinie in die betriebliche Praxis stellt Unternehmen vor kleinere und größere Hürden und führt insbesondere zu Fragen in den Bereichen Datenschutzrecht, Arbeitsrecht und Compliance. Es empfiehlt sich daher, dass sich Unternehmen sehr rasch mit der Thematik auseinandersetzen, um das Meldesystem fristgerecht und rechtssicher im betrieblichen Alltag umzusetzen.