Warum GmbH und AG Whistleblowing ernst nehmen müssen
Die Bearbeitung interner Meldungen über Unregelmässigkeiten — von Kassendiebstahl über Buchführungsmanipulationen bis hin zu Belästigungen am Arbeitsplatz und Verstössen gegen den Datenschutz — ist für Kapitalgesellschaften in der Schweiz zu einer Compliance-Priorität geworden. GmbH und AG mit grenzüberschreitenden Aktivitäten, Niederlassungen in der EU (Schwelle von 50 Mitarbeitenden pro Mitgliedstaat), Exposition in regulierten Branchen oder Kunden, die Governance-Standards vorgeben, sehen sich zunehmend verpflichtet, die Organisation mit einem strukturierten internen Kanal auszustatten — auch ohne bundesweites Gesetz nach dem Vorbild der EU-Richtlinie 2019/1937.
Das Schweizer Arbeitsrecht schreibt heute nicht allen KMU ein formalisiertes Whistleblowing-System vor: Der Vorschlag des Bundesrats von 2018 wurde vom Nationalrat am 5. März 2020 endgültig abgelehnt (nach einer ersten Ablehnung im Juni 2019); ein weiterer parlamentarischer Versuch scheiterte im Februar 2024. Die Rechtsprechung des Bundesgerichts, die Aufsichtspflichten in regulierten Branchen, das revidierte Bundesgesetz über den Datenschutz (nDSG) sowie die Erwartungen von Kunden, Banken und internationalen Partnern machen den internen Kanal in der Praxis jedoch zu einer Compliance-Anforderung für viele GmbH und AG — kein optionales Instrument der internen Kommunikation.
Dieser Leitfaden erläutert, wann die Pflicht tatsächlich entsteht, welche Mindestanforderungen einzuhalten sind, wie viel die Implementierung kostet und wie der Prozess in die administrative und buchhalterische Steuerung des Unternehmens integriert werden kann — mit aktualisierten Referenzen für 2026.
Schweizer Rechtsrahmen: direkte und faktische Pflicht
Die Unterscheidung zwischen dem Fehlen eines speziellen Gesetzes und der operativen Notwendigkeit eines Kanals ist der erste Schritt, um Sanktionen, Reputationsschäden und Streitigkeiten mit Mitarbeitenden zu vermeiden:
Aktuelle bundesrechtliche Grundlagen
- Art. 321a OR — Treue- und Verschwiegenheitspflicht des Arbeitnehmers; die interne Meldung ist die erste Stufe des von der Rechtsprechung anerkannten Kaskadensystems.
- Art. 716a und 717 OR (AG) / Art. 812 OR (GmbH) — Verantwortung der Organe für eine angemessene Organisation, interne Kontrolle und Risikomanagement.
- nDSG (Rev. 2023) — rechtmässige Bearbeitung personenbezogener Daten von Meldenden, Gemeldeten und Zeuginnen/Zeugen.
- Art. 336 OR — Schutz vor missbräuchlicher Kündigung; eine rechtmässige Meldung allein rechtfertigt für sich genommen keine Beendigung des Arbeitsverhältnisses.
Wann eine konkrete Pflicht entsteht
- Niederlassungen oder Aktivitäten in der EU — Konzerneinheiten mit mindestens 50 Mitarbeitenden in einem Mitgliedstaat müssen die nationalen Vorschriften zur Umsetzung der EU-Richtlinie einhalten (schriftlicher/mündlicher Kanal, Vertraulichkeit, Reaktionsfristen).
- Finanzsektor (FINMA) — beaufsichtigte Institute müssen über interne Verfahren für Meldungen über Unregelmässigkeiten verfügen; gemäss Rechtsprechung und FINMA-Hinweisen kann eine direkte Meldung an die Behörde ohne vorherigen internen Meldeversuch (sofern dieser nicht offensichtlich unwirksam oder gefährlich ist) den Meldenden strafrechtlichen Risiken wegen Verletzung des Berufs- oder Geschäftsgeheimnisses aussetzen.
- Vertragskette — grosse Auftraggeber, internationale Konzerne und öffentliche Ausschreibungen schreiben häufig Compliance-Klauseln mit dediziertem Kanal vor.
- Verhaltenskodex economiesuisse — empfiehlt interne Meldesysteme als Element der Corporate Governance.
Das Kaskadensystem: Warum der interne Kanal die rechtliche Voraussetzung ist
Gemäss gefestigter Rechtsprechung des Bundesgerichts kann ein Mitarbeitender, der Unregelmässigkeiten extern offenlegt, ohne zuvor eine interne Meldung versucht zu haben, die Treuepflicht (Art. 321a Abs. 1 OR) und die Verschwiegenheitspflicht (Abs. 4) verletzen. Der rechtmässige Weg folgt drei Stufen:
| Stufe | Adressat | Bedingung | Risiko bei Fehlen |
|---|---|---|---|
| 1. — Intern | Arbeitgeber / dedizierter Kanal | Melde in gutem Glauben über relevante Unregelmässigkeiten | Der Arbeitnehmende hat keinen dokumentierten rechtmässigen Weg |
| 2. — Behörde | Zuständige Behörde (FINMA, kantonal, strafrechtlich) | Interner Versuch gescheitert oder offensichtlich unwirksam; öffentliches Interesse | Vorzeitige externe Meldung = mögliches Rechtsdelikt |
| 3. — Öffentlichkeit | Medien, Öffentlichkeit | Behörde untätig; Ultima Ratio; überwiegendes öffentliches Interesse | Zivil- und strafrechtliche Haftung des Meldenden |
Für GmbH und AG bedeutet dies: Auch ohne spezielles Whistleblowing-Gesetz schwächt das Fehlen eines zugänglichen und glaubwürdigen internen Kanals die Position des Unternehmens bei Informationslecks nach aussen und erschwert es, die Rechtmässigkeit einer öffentlichen Offenlegung durch den Mitarbeitenden anzufechten.
Mindestanforderungen für die Compliance des internen Kanals
Eine generische E-Mail-Adresse genügt nicht. Ein System, das den schweizerischen und europäischen Best Practices entspricht, muss Folgendes gewährleisten:
Zugänglichkeit und Meldemodalitäten
Schriftlicher Kanal (verschlüsseltes Online-Formular, dediziertes Postfach) und als Best Practice die Möglichkeit mündlicher Meldungen (Hotline, Termin). Für EU-Niederlassungen schreibt die anwendbare nationale Regelung in der Regel beide Modalitäten vor und in vielen Staaten die Annahme anonymer Meldungen.
Vertraulichkeit und Need-to-know
Identität des Meldenden, Inhalt der Meldung und Daten der betroffenen Personen werden nur von autorisierten Personen bearbeitet. Trennung zwischen Meldeempfänger und betroffener Hierarchielinie, um Interessenkonflikte zu vermeiden.
Dokumentiertes Verfahren
Internes Reglement, genehmigt durch den VR (AG) oder die Geschäftsleitung (GmbH), das Folgendes definiert: sachlicher Geltungsbereich (Betrug, Korruption, Diskriminierung, Sicherheit, buchhalterische Verstösse), Bearbeitungsfristen, Untersuchungsmodalitäten, Rückmeldung an den Meldenden und Archivierung. Für EU-Standards: Empfangsbestätigung innerhalb von 7 Tagen und Rückmeldung innerhalb von 3 Monaten.
Schutz vor Vergeltungsmassnahmen
Ausdrückliches Verbot von Mobbing, Degradierung oder Kündigung aufgrund einer rechtmässigen Meldung. In der Schweiz erfolgt der Schutz vor allem über Art. 336 OR (missbräuchliche Kündigung, Entschädigung bis zu 6 Monatslöhnen) und interne Dokumentation, die faires Vorgehen nachweist.
nDSG-Compliance
Datenschutzhinweis, Rechtsgrundlage der Bearbeitung (in der Regel überwiegendes berechtigtes Interesse gemäss Art. 31 nDSG), technische und organisatorische Massnahmen, Aufbewahrungsbegrenzung (in der Regel 5–10 Jahre, sofern keine Verfahren anhängig sind), Bearbeitung der Auskunftsrechte der gemeldeten Person. Verstösse können strafrechtliche Sanktionen bis zu CHF 250'000 für die verantwortlichen natürlichen Personen nach sich ziehen (Art. 60 ff. nDSG).
GmbH vs. AG: Governance-Unterschiede bei der Bearbeitung von Meldungen
Die Rechtsform befreit nicht von der faktischen Pflicht, einen Kanal einzurichten, beeinflusst aber, wer den Prozess entscheidet, genehmigt und kontrolliert:
| Aspekt | GmbH | AG |
|---|---|---|
| Verantwortliches Organ | Geschäftsleitung (Art. 812 OR); relevante Gesellschafter in familiengeführten KMU | Verwaltungsrat (Art. 716a OR); Delegation an die operative Geschäftsleitung |
| Genehmigung des Reglements | Geschäftsleitung; Genehmigung durch die Gesellschafterversammlung nur, wenn im Statut vorgesehen | VR; Gesellschafterversammlung bei wesentlichen Statutenänderungen |
| Kanalverantwortlicher | Interner Compliance Officer, externer Berater oder Treuhänder | Generalsekretär, Compliance-Verantwortlicher oder externer Ombudsperson |
| Interessenkonflikt | Kritisch, wenn der Geschäftsführer betroffen ist; häufiger Rückgriff auf externen Treuhänder | Revisionsausschuss oder unabhängiges VR-Mitglied oft designiert |
| Reporting an die Spitze | Periodischer Bericht an die Geschäftsleitung und, falls vorgesehen, an die Gesellschafter | Aggregierter Bericht (ohne unnötige personenbezogene Daten) an den VR |
| Revision | Revisor kann die Angemessenheit des internen Kontrollsystems beurteilen | Revisionsausschuss (falls vorhanden) überwacht die Wirksamkeit des Kanals |
Implementierungskosten: realistisches Budget für KMU
Die Kosten variieren je nach organisatorischer Komplexität, Anzahl der Sprachen und EU-Compliance-Pflicht. Grössenordnung für Unternehmen mit 50–250 Mitarbeitenden in der Schweiz:
Basislösung
CHF 1'000–5'000
Erstes Jahr, KMU < 50 Vollzeitstellen, nur Schweiz
- • Internes Reglement (Vorlage + Rechtsprüfung)
- • Dediziertes E-Mail-Postfach oder einfaches Webformular
- • Kurze Schulung des Managements
- • Laufende Kosten: CHF 500–2'000/Jahr
Standardlösung
CHF 5'000–15'000
50–250 Vollzeitstellen, mögliche EU-Exposition
- • SaaS-Plattform (Navex, EQS, Integrity Line usw.)
- • Mehrsprachige Hotline 24/7
- • Datenschutzberatung und nDSG-Anpassung
- • Laufende Kosten: CHF 3'000–8'000/Jahr
Erweiterte Lösung
CHF 15'000–40'000
Konzerne, Finanzsektor, mehrere Standorte
- • Unabhängige externe Ombudsperson
- • Integration HR, Audit und Ticketing
- • Due Diligence und konzernweite Richtlinien
- • Laufende Kosten: CHF 10'000–30'000/Jahr
Zum Vergleich: Laut internationalen Whistleblowing-Studien kann der durchschnittliche finanzielle Schaden unentdeckter Unregelmässigkeiten in betroffenen Unternehmen regelmässig CHF 100'000 pro Vorfall übersteigen. Der interne Kanal ist daher kein rein defensiver Verwaltungsaufwand, sondern eine Investition in die interne Kontrolle mit messbarem Return on Investment.
Buchhaltung und Nachverfolgung in Accountex
Die Implementierung des Kanals verursacht Kosten und potenziell Rückstellungen, die ab Projektstart korrekt erfasst werden sollten:
Setup-Kosten (CAPEX vs. OPEX)
Rechtsberatung, Plattformkonfiguration und Erstschulung: in der Regel Betriebsaufwand (Konto 6200–6600, je nach Kontenplan). Jährliche SaaS-Lizenzen: laufende Kosten, auf 12 Monate verteilt oder bei Rechnungseingang erfasst.
Dediziertes Kostenstellen
Ein Kostenstelle «Compliance / Governance» einrichten, um Whistleblowing-Ausgaben, Follow-up-Audits und interne Stunden des Compliance-Verantwortlichen zu überwachen. Nützlich für das Reporting an den VR und zur Begründung des Verlängerungsbudgets.
Rückstellungen für Schäden und Verfahren
Weist eine interne Meldung einen wahrscheinlichen Vermögensschaden auf (Diebstahl, Korruption, fehlende MWST), ist eine Rückstellung gemäss Swiss GAAP FER oder anwendbaren IFRS zu prüfen. Die Entscheidung mit VR- oder Geschäftsleitungsprotokoll dokumentieren und die Untersuchungsakte beilegen.
Dokumentation für Revisor und Audit
Rechnungen, Verträge mit dem Anbieter, internes Reglement, aggregierte Statistikberichte (Anzahl Meldungen nach Kategorie, Bearbeitungszeiten) und Nachweise der Personalschulung aufbewahren. Der Revisor — auch im Opting-out-Regime — kann Belege zum internen Kontrollsystem verlangen.
Implementierungsplan in 6 Phasen
Phase 1 — Anwendbarkeitsanalyse (1–2 Wochen)
Mitarbeitende nach Land erfassen, Verträge mit Whistleblowing-Klauseln, regulierte Branchen und EU-Niederlassungen identifizieren. Festlegen, ob schweizerische Mindeststandards oder vollständige EU-Anforderungen gelten.
Phase 2 — Prozessdesign (2–4 Wochen)
Reglement ausarbeiten, Rollen definieren (Empfänger, Untersucher, Entscheider), Regeln zu Interessenkonflikten und Eskalationsfluss zu Organen und Revisor festlegen.
Phase 3 — Plattformauswahl (1–2 Wochen)
Anbieter vergleichen hinsichtlich Hosting (Schweiz/EU), Verschlüsselung, Anonymität, Sprachen, IT-Integration und Kosten. Datenbearbeitungsvertrag (DPA) gemäss nDSG prüfen.
Phase 4 — Genehmigung und Kommunikation (1 Woche)
Formelle Genehmigung durch VR oder Geschäftsleitung. Kommunikation an alle Mitarbeitenden (Intranet, Onboarding, Aushänge) mit ausdrücklichem Verweis auf das Reglement und den Schutz vor Vergeltungsmassnahmen.
Phase 5 — Schulung und Test (1 Woche)
Personen, die Meldungen bearbeiten, in nDSG-Vertraulichkeit, Arbeitsrecht und Untersuchungstechniken schulen. End-to-End-Test des Kanals durchführen.
Phase 6 — Laufendes Monitoring (jährlich)
Jährlicher Bericht an die Spitze, Überprüfung des Reglements, Aktualisierung der Schulungen und nDSG-Compliance-Check. System an neue bundes- oder kantonale Vorschriften anpassen.
Schnelle Compliance-Checkliste
- ✓Zugänglicher interner Kanal (mindestens schriftlich; mündlich, wenn durch anwendbare Vorschriften vorgeschrieben oder als Best Practice) allen Mitarbeitenden kommuniziert
- ✓Vom VR oder der Geschäftsleitung genehmigtes Reglement mit klarem Geltungsbereich und Verfahren
- ✓Benannte verantwortliche Person, unabhängig von der betroffenen Hierarchielinie
- ✓nDSG-Datenschutzhinweis und DPA-Vertrag mit externem Anbieter, falls vorhanden
- ✓Dokumentierte Anti-Vergeltungsrichtlinie, abgestimmt mit dem Personalreglement
- ✓Definierte Bearbeitungs- und Rückmeldefristen (idealerweise an EU-Standards angeglichen, falls anwendbar)
- ✓Sichere Archivierung mit Aufbewahrungsfristen und eingeschränktem Zugriff
- ✓Kosten in der Buchhaltung erfasst und Verlängerungsbudget geplant
- ✓Jährliche Wirksamkeitsprüfung und Aktualisierung bei organisatorischen Änderungen
Gesetzgebungsperspektiven und operative Empfehlung
Das Bundesparlament hat bisher eine einheitliche Whistleblowing-Gesetzgebung abgelehnt — die letzte Motion in dieser Materie wurde vom Nationalrat im Februar 2024 abgewiesen —, doch der internationale Druck (OECD, EU-Handelspartner) und die Entwicklung der Unternehmenspraxis drängen zu klarerer Regulierung. In der Zwischenzeit können GmbH und AG mit grenzüberschreitenden Aktivitäten oder in regulierten Branchen nicht abwarten: Die Compliance-Pflicht ist für viele von ihnen bereits operativ.
Die Empfehlung für Schweizer KMU lautet, einen internen Kanal zu implementieren, der der Grösse und dem Risikoprofil angemessen ist, ihn formal zu dokumentieren und in das interne Kontrollsystem zu integrieren. Wer an öffentlichen Ausschreibungen teilnimmt, mit börsennotierten Konzernen zusammenarbeitet oder die Schwelle von 50 Mitarbeitenden in europäischen Niederlassungen überschreitet, profitiert unmittelbar: geringeres Rechtsrisiko, frühzeitige Aufdeckung von Betrug und glaubwürdiges Signal guter Governance gegenüber Banken, Investoren und Revisoren.
Hinweis: Dieser Artikel dient ausschliesslich Informationszwecken und ersetzt keine individuelle Rechts- oder Steuerberatung. Kantonale Vorschriften und nationale Umsetzungen der EU-Richtlinie in den einzelnen Mitgliedstaaten können variieren; die konkrete Situation stets mit einer qualifizierten Fachperson prüfen.