EU und Deutschland verschärfen Regeln: Neue Pflichten für Unternehmen

Ein neues Gesetz verlängert die Fristen für Klagen, während Brüssel die KI-Regulierung verschärft. Unternehmen müssen ihre internen Meldesysteme dringend anpassen.

Strengere Fristen und erweiterter Schutz

Das Bundeskabinett hat am 6. Mai 2026 einen Gesetzesentwurf zur Reform des Allgemeinen Gleichbehandlungsgesetzes (AGG) verabschiedet. Die wohl wichtigste Änderung: Die Frist für Arbeitnehmer, um Ansprüche geltend zu machen, wurde von zwei auf vier Monate verdoppelt. Das verlängert die Haftungszeiträume für Unternehmen erheblich.

Angesichts verlängerter Klagefristen und strengerer Vorgaben stehen Unternehmen vor neuen Herausforderungen bei der rechtssicheren Organisation ihrer internen Meldestellen. Dieser kostenlose Praxisleitfaden zeigt Schritt für Schritt, wie Sie das Gesetz sicher und DSGVO-konform umsetzen. Leitfaden zum Hinweisgeberschutzgesetz jetzt gratis sichern

Doch damit nicht genug. Der Schutz vor sexueller Belästigung gilt künftig nicht mehr nur am physischen Arbeitsplatz. Auch die sogenannte „Kirchenklausel", die Religionsgemeinschaften bisher Sonderrechte einräumte, wird an die strengeren Vorgaben der obersten Gerichte angepasst. Die Folge: Juristen rechnen mit einer deutlichen Zunahme interner Meldungen, da Arbeitnehmer mehr Zeit und eine breitere rechtliche Basis für Beschwerden haben.

EU einigt sich auf „Digital Omnibus"

Nur einen Tag später, am 7. Mai 2026, erzielte die EU eine politische Einigung im sogenannten „Digital Omnibus"-Paket. Es klärt die entscheidenden Fristen für den EU AI Act, der seit August 2024 in Kraft ist. Für Hochrisiko-KI-Systeme – etwa in der Personalauswahl oder Mitarbeiterbewertung – wurden die Compliance-Fristen auf den 2. Dezember 2027 verschoben.

Doch die Transparenzpflichten nach Artikel 50 des AI Acts bleiben bestehen. Ab dem 2. August 2026 müssen Unternehmen sicherstellen, dass interaktive KI-Systeme – etwa Chatbots in Hinweisgeberportalen – eindeutig als KI gekennzeichnet sind. Wer diese Regeln missachtet, riskiert Strafen von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes.

Whistleblower-Systeme: Mehr als nur ein Briefkasten

Seit Ende 2023 sind deutsche Firmen mit mehr als 50 Mitarbeitern gesetzlich verpflichtet, interne Meldesysteme – oft als Whistleblowing-Systeme bezeichnet – zu betreiben. Die neuen Vorschriften machen deutlich: Die bloße Einrichtung reicht nicht mehr.

„Moderne Hinweisgebersysteme müssen mehr sein als einfache Eingabeformulare", betonen Experten von KPMG Law. Gefragt sei ein durchdachtes Design mit Lückenanalyse, strukturierter Fallbearbeitung und internen Untersuchungen. In Zusammenarbeit mit Technologieanbietern wie der EQS Group arbeiten Rechtsberater daher verstärkt an der technischen Konfiguration dieser Systeme.

Internationale Entwicklungen: Geld als Anreiz

Während die EU auf strengere Regeln setzt, gehen andere Länder einen anderen Weg. In der Schweiz etwa gibt es kein spezifisches Gesetz zum Whistleblowing in der Privatwirtschaft. Dennoch haben laut einer Studie aus dem Jahr 2025 75 Prozent der Schweizer Unternehmen freiwillig Meldestellen eingerichtet – ein Zeichen dafür, dass Markterwartungen oft stärker wirken als lokale Gesetze.

Noch weiter gehen die USA und Großbritannien. Das britische Finanzamt HMRC zahlt seit November 2025 Belohnungen zwischen 15 und 30 Prozent der eingetriebenen Steuern. In den USA plant die Finanzaufsicht FinCEN Prämien von bis zu 30 Prozent für Hinweise, die zu erfolgreichen Strafverfolgungen führen. Für multinationale Konzerne in der EU bedeutet das: Whistleblower könnten gezielt nach den für sie vorteilhaftesten Jurisdiktionen suchen.

Datenschutz: Teure Lehren aus der Praxis

Die Sicherheit der gesammelten Daten ist für jedes Meldesystem essenziell. Aktuelle Bußgelder zeigen die Risiken: Am 8. Mai 2026 verhängten kalifornische Behörden eine Rekordstrafe von 12,75 Millionen Euro gegen General Motors wegen unerlaubter Erhebung und Weiterverkauf von Fahrerdaten.

Noch schwerer wiegt der Fall des Fahrdienstleisters Yango. Aufsichtsbehörden in Finnland, den Niederlanden und Norwegen verhängten eine 100-Millionen-Euro-Strafe gegen eine Tochtergesellschaft des Unternehmens. Der Vorwurf: Das Unternehmen hatte Nutzerdaten ohne ausreichende Sicherheitsmaßnahmen nach Russland übertragen. Die Behörden ordneten einen sofortigen Stopp der Datenübermittlungen an.

Für Unternehmen bedeutet das: Das „Privacy by Design"-Prinzip der DSGVO ist Pflicht. Besonders sensible Daten – Gesundheitsdaten, Gehaltsinformationen oder Details zu internen Disziplinarmaßnahmen – müssen streng kontrolliert werden. Experten empfehlen das „Need-to-Know"-Prinzip und das Vier-Augen-Prinzip bei der Vergabe von Zugriffsrechten.

Kündigungsschutz: Kein Freibrief für Whistleblower

Ein Urteil des Arbeitsgerichts Koblenz vom 20. November 2025 sorgt für Klarheit: Der Schutz des Hinweisgeberschutzgesetzes (HinSchG) ist kein absoluter Schutzschild. Eine Arbeitnehmerin war während ihrer Probezeit gekündigt worden, nachdem sie eine Meldung nach dem HinSchG eingereicht hatte.

Die rechtssichere Einordnung von KI-Systemen und die Einhaltung strenger Übergangsfristen sind für Unternehmen heute wettbewerbsentscheidend. Verschaffen Sie sich mit diesem Umsetzungsleitfaden den notwendigen Überblick über Risikoklassen und Dokumentationspflichten. KI-Verordnung E-Book jetzt kostenlos herunterladen

Das Gericht entschied: Die Kündigung war rechtmäßig. Eine interne Untersuchung hatte keine Hinweise auf die behaupteten Rechtsverstöße ergeben. Zudem basierte die Kündigung auf einer negativen Leistungsbeurteilung – konkret auf mangelnder Teamfähigkeit und fehlender Kritikfähigkeit – und nicht auf Vergeltung für die Meldung.

Ausblick: KI und neue Fristen

Die Integration von Künstlicher Intelligenz in Compliance-Systeme bleibt eine der größten Herausforderungen. Während die Fristen für Hochrisiko-KI-Systeme verschoben wurden, gelten die Transparenzpflichten ab August 2026. Zudem müssen synthetische Inhalte oder KI-generierte Texte bis Anfang Dezember 2026 in maschinenlesbarem Format gekennzeichnet werden.

Mit der Europäischen Anti-Geldwäsche-Behörde (AMLA), die 2028 voll einsatzbereit sein soll, und den 200 Milliarden Euro Investitionen aus dem „AI Continent Action Plan" vom April 2025 wird die Schnittstelle von Technologie und Compliance ein zentrales Thema bleiben. Unternehmen, die ihre Meldesysteme frühzeitig anpassen, sind besser gewappnet gegen die steigenden Strafen und Reputationsrisiken.

de | wirtschaft | 69324306 |