Hinweisgebersystem · Ley 2/2023

Ein Hinweisgebersystem, das Meldende wirksam schützt

Das interne Informationssystem, das das spanische Hinweisgeberschutzgesetz (Ley 2/2023) verlangt, im selben Portal, in dem Ihre Belegschaft bereits arbeitet: eingeschränkter Empfängerkreis, überwachte Fristen für Eingangsbestätigung und Rückmeldung und jeder Vorgang lückenlos nachverfolgt bis zum Abschluss.

Was es ist und wer es braucht

Ein Hinweisgebersystem ist das interne Informationssystem, das das spanische Gesetz Ley 2/2023 privaten Unternehmen ab fünfzig Beschäftigten und dem gesamten öffentlichen Sektor vorschreibt: Es muss auch anonyme Meldungen annehmen, den Eingang innerhalb von sieben Kalendertagen bestätigen, innerhalb von höchstens drei Monaten antworten und die meldende Person schützen. Kimobox bringt es im selben Portal unter, das die Belegschaft bereits nutzt, mit eingeschränktem Empfängerkreis und jedem Vorgang nachverfolgt bis zum Abschluss.

Inhalt überprüft am 17. Oktober 2026

Rechtsgrundlage: Ley 2/2023 vom 20. Februar Setzt die Richtlinie (EU) 2019/1937 um; in Kraft seit dem 13. März 2023
Verpflichtete Unternehmen: 50 oder mehr Beschäftigte Art. 10.1.a); unabhängig von der Größe in den Fällen des Art. 10.1.b) und c) sowie der gesamte öffentliche Sektor (Art. 13)
Eingangsbestätigung: 7 Kalendertage Art. 9.2.c) der Ley 2/2023
Rückmeldung: 3 Monate Bei besonderer Komplexität um weitere drei verlängerbar (Art. 9.2.d)
Anonyme Meldungen: Müssen zugelassen werden Art. 7.3: Abgabe und anschließende Bearbeitung
Aufbewahrung: Höchstens 10 Jahre Art. 26.2; Löschung nach drei Monaten, wenn keine Untersuchung eingeleitet wurde (Art. 32.4)
Höchstsanktion: 1.000.000 € Sehr schwerer Verstoß einer juristischen Person (Art. 65.1.b)
Staatliche Behörde: Autoridad Independiente de Protección del Informante Unabhängige Behörde für Hinweisgeberschutz, in Betrieb seit dem 1. September 2025 (Orden PJC/908/2025)

Eingeschränkter Empfängerkreis

Nur der Systemverantwortliche und die von ihm ermächtigten Personen haben Zugriff auf die Meldungen und ihren Inhalt.

Überwachte Fristen

Erinnerung, bevor die sieben Tage für die Eingangsbestätigung und die drei Monate für die Rückmeldung ablaufen.

Nachvollziehbare Fallakte

Jede Meldung mit ihren Ermittlungsschritten, ihrem Ergebnis und der daraus folgenden Maßnahme, bis zum Abschluss.

Meldungsregister

Eingegangene Hinweise und die daraufhin eingeleiteten Untersuchungen werden für das gesetzliche Register erfasst.

Was abgedeckt ist

Was das Gesetz vom internen System verlangt

Meldekanal im Portal, das die Belegschaft bereits nutzt
Empfang beschränkt auf den Systemverantwortlichen und sein Team
Eingangsbestätigung innerhalb von sieben Kalendertagen
Rückmeldung innerhalb von drei Monaten, verlängerbar bei besonderer Komplexität
Richtlinie und Bearbeitungsverfahren als gelenkte Dokumente
Register der eingegangenen Hinweise und eingeleiteten Untersuchungen

Praxisbeispiele

Vom improvisierten Postfach zum nachweisbaren System

Industrie · 50 bis 249 Beschäftigte

Eine E-Mail-Adresse als Meldekanal

Vorher Hinweise landen in einem Sammelpostfach, das die Personalabteilung liest. Niemand behält im Blick, wann die Eingangsbestätigung fällig ist, und es ist nicht dokumentiert, was mit jeder Meldung geschah.

Nachher Meldekanal im Portal mit Empfang allein durch den Systemverantwortlichen. Für Eingangsbestätigung und Rückmeldung ist die Frist berechnet, und jeder Ermittlungsschritt steht in der Fallakte.

Unternehmensgruppe · mehrere Gesellschaften

Ein eigener Kanal in jeder Tochtergesellschaft

Vorher Jede Gesellschaft hat ihren eigenen Kanal nach unterschiedlichen Kriterien eingerichtet, und niemand hat einen Gesamtüberblick über die Meldungen in der Gruppe.

Nachher Übergreifende Richtlinie der Muttergesellschaft und ein einziger Systemverantwortlicher, wie Art. 11 es zulässt, mit Berechtigungen je Gesellschaft, damit jede Fallakte nur sieht, wer sie sehen soll.

Handel · Tax Compliance

Meldungen, die das Compliance-System nie erreichen

Vorher Ein Hinweis auf eine steuerliche Unregelmäßigkeit wird per E-Mail untersucht, und die Landkarte der Steuerrisiken erfährt nie davon.

Nachher Die Fallakte ist mit dem betroffenen Risiko im System nach UNE 19602 und der daraus folgenden Korrekturmaßnahme verknüpft, sodass die Managementbewertung auf echten Fällen aufbaut.

Begriffe

Begriffe des Hinweisgeberschutzes

Hinweisgeber: Person, die einen Rechtsverstoß meldet, von dem sie im beruflichen oder dienstlichen Umfeld erfahren hat. Die Ley 2/2023 schützt sie und verlangt, die Vertraulichkeit ihrer Identität zu wahren.
Internes Informationssystem: Gesamtheit aus Meldekanal, Systemverantwortlichem, Richtlinie und Bearbeitungsverfahren. Das Leitungsorgan richtet es nach Anhörung der gesetzlichen Arbeitnehmervertretung ein (Art. 5 der Ley 2/2023).
Systemverantwortlicher: Vom Leitungsorgan bestellte Person, die das interne Informationssystem verwaltet. Ihre Bestellung und Abberufung werden der zuständigen Behörde innerhalb von zehn Arbeitstagen mitgeteilt.
Autoridad Independiente de Protección del Informante: Unabhängige spanische Verwaltungsbehörde für Hinweisgeberschutz, geschaffen durch die Ley 2/2023, die den externen Meldekanal betreibt. Ihr Statut wurde mit dem Real Decreto 1101/2024 genehmigt; sie arbeitet seit dem 1. September 2025.
Externer Meldekanal: Weg, einen Verstoß außerhalb der Organisation zu melden, bei der unabhängigen Behörde für Hinweisgeberschutz oder bei der entsprechenden Behörde der autonomen Gemeinschaft.
Meldungsregister: Verzeichnis der eingegangenen Hinweise und der daraufhin geführten internen Untersuchungen. Seine Daten dürfen nicht länger als zehn Jahre aufbewahrt werden.

Häufige Fragen

Was man uns vor dem Start fragt

Welche Unternehmen müssen ein Hinweisgebersystem einrichten?

Privatunternehmen mit fünfzig oder mehr Beschäftigten, nach Art. 10.1.a) der Ley 2/2023. Unabhängig von der Beschäftigtenzahl außerdem Unternehmen, die dem EU-Recht zu Finanzdienstleistungen und -märkten, zur Geldwäscheprävention, zur Verkehrssicherheit oder zum Umweltschutz unterliegen, sowie politische Parteien, Gewerkschaften und Arbeitgeberverbände, die öffentliche Mittel verwalten. Der gesamte öffentliche Sektor ist nach Art. 13 verpflichtet.

Welche Fristen setzt das Gesetz für die Bearbeitung einer Meldung?

Eingangsbestätigung innerhalb von sieben Kalendertagen nach Eingang und Rückmeldung innerhalb von höchstens drei Monaten, bei besonderer Komplexität um weitere drei verlängerbar, nach Art. 9.2 der Ley 2/2023.

Müssen anonyme Meldungen angenommen werden?

Ja. Art. 7.3 verlangt, dass der Kanal auch die Abgabe und anschließende Bearbeitung anonymer Meldungen ermöglicht. Das gehört zu den Punkten, die bei der Einrichtung des Kanals geprüft werden.

Wer ist der Systemverantwortliche?

Die Person, die das Leitungsorgan mit der Verwaltung des internen Informationssystems betraut. Ihre Bestellung und Abberufung werden der unabhängigen Behörde für Hinweisgeberschutz (Autoridad Independiente de Protección del Informante) oder der zuständigen Behörde der autonomen Gemeinschaft innerhalb von zehn Arbeitstagen mitgeteilt (Art. 8.3).

Kann die Bearbeitung an einen Dritten ausgelagert werden?

Ja. Art. 6 erlaubt es, die Bearbeitung einem externen Dritten zu übertragen, der Gewähr für Unabhängigkeit bietet; die Verantwortung bleibt aber beim Systemverantwortlichen, den das Unternehmen bestellt.

Können mehrere Unternehmen einen Kanal gemeinsam nutzen?

Private Einrichtungen mit 50 bis 249 Beschäftigten können das System und seine Ressourcen untereinander teilen (Art. 12). In einer Unternehmensgruppe beschließt die Muttergesellschaft eine übergreifende Richtlinie, und es kann einen einzigen Systemverantwortlichen geben (Art. 11).

Wie lange werden die Daten einer Meldung aufbewahrt?

Wurden binnen drei Monaten keine Untersuchungen eingeleitet, werden die Daten gelöscht, außer soweit sie das Funktionieren des Systems belegen (Art. 32.4). Was im Register steht, darf nicht länger als zehn Jahre aufbewahrt werden (Art. 26.2).

Welche Sanktionen sieht das Gesetz vor?

Für juristische Personen bis zu 100.000 Euro bei leichten, 100.001 bis 600.000 Euro bei schweren und 600.001 bis 1.000.000 Euro bei sehr schweren Verstößen (Art. 65.1.b). Sehr schwere Verstöße können zusätzlich eine öffentliche Rüge, den Ausschluss von Subventionen für bis zu vier Jahre und von öffentlichen Aufträgen für bis zu drei Jahre nach sich ziehen.

Was ist der externe Meldekanal?

Der Kanal, den die unabhängige Behörde für Hinweisgeberschutz betreibt – in Betrieb seit dem 1. September 2025 –, zusammen mit denen der entsprechenden Behörden der autonomen Gemeinschaften. Er ist ein Weg außerhalb der Organisation und unterscheidet sich vom internen Kanal, den das Unternehmen vorhalten muss.

Wir zeigen Ihnen eine Meldung von Anfang bis Ende

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (spanisches Hinweisgeberschutzgesetz) BOE-A-2023-4513 · 21. Februar 2023
Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden EUR-Lex · 23. Oktober 2019
Real Decreto 1101/2024, por el que se aprueba el Estatuto de la Autoridad Independiente de Protección del Informante (Statut der spanischen Hinweisgeberschutzbehörde) BOE-A-2024-22298 · 30. Oktober 2024
Orden PJC/908/2025 über die Inbetriebnahme der Autoridad Independiente de Protección del Informante BOE-A-2025-16764 · 12. August 2025
Elektronischer Amtssitz der Autoridad Independiente de Protección del Informante A.A.I. Protección del Informante · Eingerichtet durch Beschluss vom 5. November 2025

Hinweisgebersystem nach dem spanischen Gesetz Ley 2/2023

Das Hinweisgebersystem von Kimobox ist das interne Informationssystem, das die Ley 2/2023 Unternehmen mit fünfzig oder mehr Beschäftigten vorschreibt: eingeschränkter Empfängerkreis, Eingangsbestätigung innerhalb von sieben Kalendertagen und Rückmeldung innerhalb von höchstens drei Monaten, mit jedem Vorgang nachverfolgt bis zum Abschluss.

Weil es auf derselben Plattform läuft wie das Compliance-Managementsystem, lässt sich jede Meldung mit dem betroffenen Risiko, der Nichtkonformität oder der daraus folgenden Korrekturmaßnahme verknüpfen – genau der Nachweis, den ISO 37301, UNE 19602 und SGE 21 verlangen.