Hat Ihr Unternehmen 50 oder mehr Beschäftigte oder ist es – unabhängig von der Beschäftigtenzahl – im Bereich Finanzdienstleistungen oder Geldwäscheprävention tätig, verpflichtet Sie das Gesetz 2/2023 zu einem internen Informationssystem. Wir konzipieren und dokumentieren es und helfen Ihnen beim Betrieb, ohne die Vertraulichkeit zu gefährden.
Ist Ihr Unternehmen verpflichtet? Kostenlose Ersteinschätzung
Nennen Sie uns Ihre Beschäftigtenzahl und Ihre Branche, und wir sagen Ihnen, ob Sie ein Hinweisgebersystem brauchen und was Ihnen noch fehlt.
Ein Hinweisgebersystem ist mehr als ein Briefkasten: Das Gesetz verlangt einen Systemverantwortlichen, eine Richtlinie, ein Verfahren, ein Register und Schutz vor Repressalien. Wir kümmern uns um das gesamte System.
Wir prüfen Ihre Beschäftigtenzahl, Ihre Branche und Ihre Unternehmensgruppe, um die Pflicht nach Artikel 10 des Gesetzes 2/2023 zu bestätigen und zu klären, ob Sie das System oder seine Ressourcen mit anderen Gesellschaften teilen können.
Wir verfassen die Richtlinie mit den Grundsätzen des Systems und das Verfahren, das das Leitungsorgan beschließt: Eingangsbestätigung, Untersuchung, Fristen und Rechte der Beteiligten.
Wir helfen Ihnen, den Systemverantwortlichen (Responsable del Sistema) auszuwählen und zu benennen, seine Unabhängigkeit sicherzustellen und seine Ernennung fristgerecht der zuständigen Behörde mitzuteilen.
Wir legen die Meldewege fest (schriftlich, mündlich oder in einem persönlichen Treffen, wenn die hinweisgebende Person dies wünscht) und stellen sicher, dass sie anonyme Meldungen zulassen und die Identität schützen.
Wenn Sie die Entgegennahme von Meldungen einem Dritten übertragen, bereiten wir den Auftrag mit den Garantien für Unabhängigkeit, Vertraulichkeit und Datenschutz vor, die Artikel 6 verlangt.
Wir begleiten den Systemverantwortlichen bei der Bearbeitung der Vorgänge, bei internen Untersuchungen und beim Meldungsregister sowie bei der Weiterleitung an die Staatsanwaltschaft (Ministerio Fiscal), wenn Anhaltspunkte für eine Straftat vorliegen.
Die Pflicht hängt von Ihrer Beschäftigtenzahl und in einigen Branchen von Ihrer Tätigkeit ab – nicht von Ihrem Umsatz.
Jede natürliche oder juristische Person des privaten Sektors mit fünfzig oder mehr Beschäftigten muss über ein internes Informationssystem verfügen.
Wenn Ihre Tätigkeit in den Bereich Finanzdienstleistungen oder Geldwäscheprävention fällt, besteht die Pflicht unabhängig von der Zahl der Beschäftigten.
Die Muttergesellschaft beschließt eine allgemeine Richtlinie, und die Gruppe kann ein einziges System mit einem einzigen Systemverantwortlichen haben.
Unternehmen mit 50 bis 249 Beschäftigten können das interne Informationssystem und die Ressourcen für seinen Betrieb untereinander teilen.
Eckdaten des Gesetzes 2/2023 zum Schutz von Personen, die Rechtsverstöße melden, und zur Korruptionsbekämpfung.
Frist, innerhalb der die hinweisgebende Person eine Eingangsbestätigung für ihre Meldung erhalten muss.
Höchstfrist für die Rückmeldung zu den Untersuchungsmaßnahmen, in besonders komplexen Fällen um weitere drei Monate verlängerbar.
Frist, um der Behörde die Ernennung oder Abberufung des Systemverantwortlichen mitzuteilen, bei Abberufung mit Angabe der Gründe.
Wurden keine Untersuchungsmaßnahmen eingeleitet, sind die Daten zu löschen, es sei denn, sie dienen als Nachweis für das Funktionieren des Systems.
Maximale Aufbewahrungsdauer der Daten im Meldungsregister, das nicht öffentlich ist.
Höchstbuße für juristische Personen bei sehr schweren Verstößen, etwa wenn kein System vorhanden ist oder Repressalien ergriffen werden.
Wir prüfen, ob Sie verpflichtet sind, was Ihnen fehlt und wie Sie die Lücken schließen, bevor die erste Meldung oder eine Prüfung kommt.
Rechtlicher Überblick · Gesetz 2/2023
Die Pflicht hängt von der Beschäftigtenzahl, der Branche und davon ab, ob die Organisation öffentliche Mittel erhält. Kein System zu haben ist ein sehr schwerer Verstoß (Art. 63.1.g).
| Organisation | Pflicht | Artikel |
|---|---|---|
| Natürliche oder juristische Personen des privaten Sektors mit 50 oder mehr Beschäftigten | Verpflichtend | 10.1.a |
| Juristische Personen im Anwendungsbereich der EU-Vorschriften zu Finanzdienstleistungen, Geldwäscheprävention, Verkehrssicherheit und Umweltschutz | Pflicht unabhängig von der Beschäftigtenzahl, nach den jeweiligen Sondervorschriften und, soweit diese nichts regeln, nach dem Gesetz 2/2023 | 10.1.b |
| Ausländische Unternehmen, die in diesen Bereichen in Spanien über eine Zweigniederlassung, Agenten oder im grenzüberschreitenden Dienstleistungsverkehr tätig sind | Verpflichtend | 10.1.b |
| Politische Parteien, Gewerkschaften, Arbeitgeberverbände und ihre Stiftungen | Pflicht, wenn sie öffentliche Mittel erhalten oder verwalten | 10.1.c |
| Übrige private juristische Personen | Freiwillig; wenn sie es einführen, müssen sie das Gesetz einhalten | 10.2 |
| Unternehmensgruppen | Die Muttergesellschaft beschließt die allgemeine Richtlinie für die gesamte Gruppe | 11 |
| Unternehmen mit 50 bis 249 Beschäftigten | Können das System und die Ressourcen teilen | 12 |
| Verstoß | Juristische Person | Natürliche Person |
|---|---|---|
| Leicht | Bis zu 100.000 € | 1.001–10.000 € |
| Schwer | 100.001–600.000 € | 10.001–30.000 € |
| Sehr schwer | 600.001–1.000.000 € | 30.001–300.000 € |
Bei sehr schweren Verstößen kann die Unabhängige Behörde für den Schutz von Hinweisgebern (Autoridad Independiente de Protección del Informante) zusätzlich unter anderem eine öffentliche Rüge und den Ausschluss von Subventionen oder sonstigen Steuervergünstigungen für höchstens vier Jahre anordnen (Art. 65.2).
In der Regel nicht, es sei denn, es fällt in den Anwendungsbereich der EU-Vorschriften zu Finanzdienstleistungen, Geldwäscheprävention, Verkehrssicherheit oder Umweltschutz: Dann ist es unabhängig von der Beschäftigtenzahl verpflichtet (Art. 10.1.b). Führt es das System freiwillig ein, muss es das Gesetz einhalten (Art. 10.2).
Für juristische Personen: bis zu 100.000 € bei leichten, 100.001 bis 600.000 € bei schweren und 600.001 bis 1.000.000 € bei sehr schweren Verstößen. Für natürliche Personen: 1.001 bis 10.000 €, 10.001 bis 30.000 € und 30.001 bis 300.000 € (Art. 65.1).
Ja, Unternehmen mit 50 bis 249 Beschäftigten können das System und die Ressourcen für seinen Betrieb teilen, unabhängig davon, ob eines von ihnen es betreibt oder ob es ausgelagert ist (Art. 12). In einer Unternehmensgruppe beschließt die Muttergesellschaft die allgemeine Richtlinie und stellt sicher, dass sie in allen Gesellschaften angewendet wird (Art. 11).
Quellen: Gesetz 2/2023 (BOE-A-2023-4513): Art. 10, 11, 12, 63 und 65. Geprüft am 5. November 2026.
Unternehmen des privaten Sektors mit 50 oder mehr Beschäftigten und – unabhängig von der Beschäftigtenzahl – solche, die in den Bereichen Finanzdienstleistungen, Finanzprodukte und Finanzmärkte, Prävention von Geldwäsche, Verkehrssicherheit oder Umweltschutz tätig sind (Artikel 10 des Gesetzes 2/2023). Außerdem politische Parteien, Gewerkschaften und Arbeitgeberverbände, die öffentliche Mittel erhalten oder verwalten.
Nicht ganz. Der Kanal ist der Weg, über den die Meldungen eingehen; das interne Informationssystem umfasst zusätzlich den Systemverantwortlichen, die Richtlinie, das Bearbeitungsverfahren, das Meldungsregister und die Garantien zum Schutz der hinweisgebenden Person. Das Gesetz verlangt das vollständige System.
Ja. Der Kanal muss die Abgabe und anschließende Bearbeitung anonymer Meldungen ermöglichen (Artikel 7.3). Gibt sich die hinweisgebende Person zu erkennen, muss ihre Identität vertraulich bleiben.
Ja, die Entgegennahme von Meldungen kann einem externen Dritten übertragen werden, der Garantien für Unabhängigkeit, Vertraulichkeit, Datenschutz und das Kommunikationsgeheimnis bietet (Artikel 6). Die Verantwortung bleibt jedoch beim Systemverantwortlichen, und der Dritte handelt als Auftragsverarbeiter.
Er wird vom Leitungsorgan benannt. Im privaten Sektor muss es eine Führungskraft sein, die das Amt unabhängig ausübt; handelt es sich um ein Kollegialorgan, muss es einem seiner Mitglieder die Verwaltung des Systems übertragen. Ernennung und Abberufung sind der Behörde innerhalb von zehn Arbeitstagen mitzuteilen.
Eingangsbestätigung innerhalb von sieben Kalendertagen und Rückmeldung innerhalb von höchstens drei Monaten, in besonders komplexen Fällen um weitere drei Monate verlängerbar. Könnten die Tatsachen eine Straftat darstellen, werden die Informationen unverzüglich an die Staatsanwaltschaft weitergeleitet.
Kein internes Informationssystem zu haben ist ein sehr schwerer Verstoß. Für juristische Personen beträgt das Bußgeld 600.001 bis 1.000.000 Euro, und es können Nebensanktionen wie eine öffentliche Rüge oder der Ausschluss von öffentlichen Aufträgen verhängt werden.
Das Gesetz 10/2010 verlangt von Verpflichteten bereits ein internes Verfahren zur Meldung möglicher Verstöße, auch anonym (Artikel 26 bis), das in das allgemeine System integriert werden kann. Das Gesetz 2/2023 gilt, soweit diese Sondervorschriften nichts regeln; am effizientesten ist daher ein einziges, gut konzipiertes System.
Ob ein System funktioniert, zeigt sich bei der ersten Meldung: Die hinweisgebende Person weiß, an wen sie sich wenden kann, der Systemverantwortliche weiß, was zu tun ist, und das Unternehmen kann nachweisen, dass es richtig gehandelt hat.
Beschäftigtenzahl, Branche und Gruppenzugehörigkeit entscheiden, ob Sie verpflichtet sind und ob Sie das System mit anderen Gesellschaften teilen können.
Eine Führungskraft mit Autorität, ohne Interessenkonflikte und mit den Mitteln, Meldungen zu bearbeiten und zu untersuchen.
Das Meldungsregister, die Eingangsbestätigungen, die Fristen und die dokumentierten Entscheidungen belegen gegenüber der Behörde, dass das System funktioniert.
Quelle: Gesetz 2/2023 vom 20. Februar (Artikel 5 bis 12, 26, 32, 36 bis 38 und 63 bis 65).
Diese Begriffe finden sich im Gesetz 2/2023 und in jeder Überprüfung Ihres Systems. Wer sie versteht, führt das System von Anfang an richtig ein.
Gesamtheit aus Kanal, Systemverantwortlichem, Richtlinie, Verfahren und Schutzgarantien.
Vom Leitungsorgan benannte Führungskraft, die das System unabhängig verwaltet.
Wer einen im beruflichen oder geschäftlichen Umfeld bekannt gewordenen Verstoß meldet und vor Repressalien geschützt ist.
Person, der die Tatsachen zugeschrieben werden: Sie hat das Recht, darüber informiert und angehört zu werden.
Staatliche Behörde, geschaffen durch das Gesetz 2/2023, deren Statut durch das Königliche Dekret 1101/2024 genehmigt wurde. Sie betreibt den externen Meldekanal.
Weg, um direkt bei der Behörde zu melden oder nachdem der interne Kanal genutzt wurde. Seine Existenz befreit nicht von der Pflicht zum internen Kanal.
Jeder Nachteil, weil jemand eine Meldung gemacht hat: unter anderem Kündigung, Herabstufung, schwarze Listen oder Verweigerung von Weiterbildung.
Register der eingegangenen Meldungen und der internen Untersuchungen. Es ist nicht öffentlich.
Anbieter, der Meldungen im Auftrag des Unternehmens entgegennimmt und als Auftragsverarbeiter handelt.
Interne Bearbeitung: vom Leitungsorgan benannt.
Ausgelagerte Entgegennahme: bleibt intern: Die Verantwortung geht nicht über.
Interne Bearbeitung: erfolgt durch das Unternehmen selbst mit eigenen Mitteln.
Ausgelagerte Entgegennahme: erfolgt durch einen Dritten mit Garantien für Unabhängigkeit und Vertraulichkeit.
Interne Bearbeitung: Das Unternehmen ist Verantwortlicher für die Verarbeitung.
Ausgelagerte Entgegennahme: Der Dritte handelt als Auftragsverarbeiter.
Interne Bearbeitung: wird vom Systemverantwortlichen geleitet.
Ausgelagerte Entgegennahme: wird weiterhin vom Systemverantwortlichen geleitet.
Interne Bearbeitung: tatsächliche Unabhängigkeit gegenüber der Geschäftsleitung.
Ausgelagerte Entgegennahme: Kontrolle des Dienstleisters und Nachverfolgbarkeit der Fristen.
Es sind Mängel, die bei einer Überprüfung sofort auffallen und das Unternehmen ohne Verteidigung dastehen lassen.
Nennen Sie uns Ihre Beschäftigtenzahl, Ihre Branche und ob Sie bereits einen Kanal haben, und wir sagen Ihnen, was Sie brauchen, um das Gesetz 2/2023 einzuhalten.
Das Gesetz 2/2023 vom 20. Februar zum Schutz von Personen, die Rechtsverstöße melden, und zur Korruptionsbekämpfung setzt die Richtlinie (EU) 2019/1937 um und verpflichtet viele Unternehmen zu einem internen Informationssystem, bekannt als Hinweisgebersystem. Ziel ist, dass jeder, der von einem Verstoß erfährt, ihn mit Garantien und ohne Angst vor Repressalien melden kann.
Artikel 10 verpflichtet natürliche oder juristische Personen des privaten Sektors mit fünfzig oder mehr Beschäftigten sowie – unabhängig von der Beschäftigtenzahl – diejenigen, die in den Bereichen Finanzdienstleistungen, Finanzprodukte und Finanzmärkte, Prävention von Geldwäsche und Terrorismusfinanzierung, Verkehrssicherheit und Umweltschutz tätig sind. Gruppen können ein einheitliches System haben, und Unternehmen mit 50 bis 249 Beschäftigten können das System und die Ressourcen teilen.
Das Leitungsorgan führt das System nach Anhörung der gesetzlichen Arbeitnehmervertretung ein und ist für die Datenverarbeitung verantwortlich. Das System muss schriftliche oder mündliche Meldungen ermöglichen, auch anonym, und über einen Systemverantwortlichen, eine Richtlinie, ein Bearbeitungsverfahren und ein Meldungsregister verfügen. Die Fristen sind streng: Eingangsbestätigung innerhalb von sieben Kalendertagen und Rückmeldung innerhalb von drei Monaten, um weitere drei verlängerbar.
Das Gesetz verbietet jede Repressalie, einschließlich Drohungen und Versuchen. Erleidet die hinweisgebende Person einen Nachteil, muss derjenige, der die Maßnahme ergriffen hat, beweisen, dass sie auf gerechtfertigten Gründen beruhte, die nichts mit der Meldung zu tun haben. Kein System zu haben, die Vertraulichkeit zu verletzen oder Repressalien zu ergreifen sind sehr schwere Verstöße, mit Bußgeldern von bis zu einer Million Euro für juristische Personen.
Die Unabhängige Behörde für den Schutz von Hinweisgebern (Autoridad Independiente de Protección del Informante, A.A.I.), deren Statut durch das Königliche Dekret 1101/2024 genehmigt wurde, ist seit dem 1. September 2025 tätig. Sie betreibt den externen Meldekanal und ist auf staatlicher Ebene die Behörde, der die Ernennung des Systemverantwortlichen mitgeteilt wird; einige Autonome Gemeinschaften (spanische Regionen) haben eine eigene Behörde.
Das Hinweisgebersystem ist auch ein Baustein des Compliance-Modells und des Plans zur Straftatenprävention sowie der Ausgangspunkt für interne Untersuchungen. Wenn Sie Verpflichteter im Bereich der Geldwäscheprävention sind, sollten Sie es mit dem Verfahren nach Artikel 26 bis des Gesetzes 10/2010 zusammenführen.
Maßgebliche Vorschriften, mit Link zum amtlichen Text:
Vorschriften und Links im geprüft.