Der durch die Richtlinie vorgesehene Schutz erstreckt sich auf eine Reihe von Bereichen, in denen die Durchsetzung des Unionsrechts mit Hilfe der Aufdeckungen durch Whistleblower verbessert werden soll. Während der persönliche Anwendungsbereich der Richtlinie weit gefasst ist, beschränkt sich der sachliche Anwendungsbereich auf die Meldung von Rechtsverstößen in spezifischen Bereichen. Hierüber geht das HinSchG hinaus.

• Der persönliche Anwendungsbereich des HinSchG erstreckt sich auf sog. hinweisgebende Personen. Damit sind alle natürlichen Personen gemeint, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die nach dem HinSchG vorgesehenen Meldestellen melden oder offenlegen. Damit umfasst der persönliche Anwendungsbereich nicht nur Arbeitnehmer, sondern auch weitere Personengruppen wie beispielsweise Selbständige, Anteilseigner und Mitarbeiter von Lieferanten. Nach der Gesetzesbegründung sollen auch hinweisgebende Personen, deren Arbeitsverhältnis zwischenzeitlich beendet wurde, sowie Personen, deren Arbeitsverhältnis noch nicht begonnen hat und sich in einem vorvertraglichen Stadium befindet, in den Anwendungsbereich einbezogen werden. Darüber hinaus sollen auch Personen geschützt werden, die von einer Meldung oder Offenlegung betroffen sind.
• In sachlicher Hinsicht nimmt das HinSchG im Verhältnis zur Richtlinie Ergänzungen vor, indem insbesondere auch das Strafrecht und bestimmte Ordnungswidrigkeiten, soweit die verletzte Vorschrift dem Schutz von Leben, Leib, Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient, in den Anwendungsbereich einbezogen werden. Laut Begründung sollen dadurch anderenfalls auftretende Wertungswidersprüche vermieden und das Hinweisgeberschutzsystem für Rechtsanwender handhabbar gestaltet werden.
  
  Zusätzlich zum Strafrecht und bestimmten Ordnungswidrigkeiten enthält das HinSchG eine Auflistung von Rechtsbereichen, in denen Verstöße ebenfalls in den sachlichen Anwendungsbereich fallen. Zu diesen, auch in der Richtlinie genannten Rechtsbereichen, zählen etwa die Bekämpfung von Geldwäsche und Terrorismusfinanzierung, Produktsicherheit, Verkehrssicherheit, Eisenbahnbetriebssicherheit, Umwelt- und Strahlenschutz, erneuerbare Energien, Lebensmittel- und Futtersicherheit, öffentliche Gesundheit, Verbraucherschutz, Schutz der Privatsphäre und personenbezogener Daten, Sicherheit von Netz- und Informationssystemen, Aktionärsrechte, die Abschlussprüfung sowie die Rechnungslegung. Insoweit soll der sachliche Anwendungsbereich bereits dann eröffnet sein, wenn ein Verstoß gegen Rechtsvorschriften des Bundes oder der Länder in Rede steht. Darüber hinaus werden Verstöße gegen unmittelbar geltende Rechtsakte der Europäischen Union oder der Europäischen Atomgemeinschaft sowie Verstöße gegen unionsrechtliche sowie nationale Vorschriften des Kartellrechts erfasst. Aufgrund der Beschlussempfehlung des Rechtsausschusses sind auch schließlich noch Meldungen von Äußerungen von Beamtinnen und Beamten, die einen Verstoß gegen die Pflicht zur Verfassungstreue darstellen, in den sachlichen Anwendungsbereich des HinSchG aufgenommen worden.
  
  Es wird klargestellt, dass nur noch solche Verstöße erfasst sind, die sich auf einen Beschäftigungsgeber oder eine andere Stelle beziehen, mit der die hinweisgebende Person beruflich in Kontakt stand.

Es sind zwei Meldewege (intern und extern) für hinweisgebende Personen vorgesehen, zwischen denen hinweisgebende Personen wählen können sollen:

• Für private Unternehmen sowie Organisationseinheiten der öffentlichen Hand mit in der Regel mindestens 50 Beschäftigten sind die Einrichtung und der Betrieb von internen Meldestellen für Hinweisgeber verpflichtend. Für bestimmte Unternehmen gilt die Verpflichtung zudem unabhängig von der Zahl der Beschäftigten, z. B. für Wertpapierdienstleistungsunternehmen, Börsenträger oder Kredit- und Finanzdienstleistungsinstitute.
  
  Aufgabe der internen Meldestellen ist der Betrieb geeigneter Meldekanäle, die Prüfung der Stichhaltigkeit der Meldung und das Ergreifen von Folgemaßnahmen. Die Einrichtung von anonymen Meldekanälen ist gesetzlich nicht vorgeschrieben. Allerdings sollten die internen Meldestellen weiterhin auch anonym eingehende Meldungen bearbeiten.
  
  Die Einrichtung einer internen Meldestelle kann erfolgen, indem eine beim Beschäftigungsgeber oder der jeweiligen Organisationseinheit beschäftigte Person, eine aus mehreren beschäftigten Personen bestehende Arbeitseinheit oder ein Dritter mit den Aufgaben einer internen Meldestelle betraut wird. Mehrere private Unternehmen mit in der Regel 50 bis 249 Beschäftigten sollen auch eine gemeinsame Meldestelle einrichten und betreiben können. Damit wird die sog. Konzernlösung ermöglicht, nach welcher die interne Meldestelle eines Unternehmens nicht nur beispielsweise an Anwaltskanzleien outgesourct werden kann, sondern auch innerhalb eines Konzerns zentral bei einer Konzerngesellschaft an eine unabhängige und vertrauliche Stelle angesiedelt werden kann.
  
  Die interne Meldestelle soll der hinweisgebenden Person binnen drei Monaten nach der Meldung Rückmeldung über die geplanten sowie bereits ergriffenen Folgemaßnahmen sowie die Gründe für diese geben.
  
  Ursprünglich war kein Vorrang der internen vor der externen Meldestelle vorgesehen. Nach dem im Vermittlungsausschuss erzielten Kompromiss sollten Hinweisgeber aber in den Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und keine Repressalien zu befürchten sind, eine Meldung an eine interne Meldestelle bevorzugen.

• Eine externe Meldestelle auf Ebene des Bundes wird bei dem Bundesamt für Justiz angesiedelt. Diese zentrale Anlaufstelle soll im Sinne eines „one-stop-shop“ fungieren und hinweisgebende Personen davon befreien, sich mit Zuständigkeitsfragen auseinandersetzen zu müssen. Die externe Meldestelle des Bundes soll mit umfassenden Zuständigkeiten ausgestattet sein, soweit nicht die Länder eigene Meldestellen einrichten.
  
  Für Meldungen bestimmter Verstöße (z. B. gegen Rechnungslegungsvorschriften, Vorschriften zur Regelung der Rechte von Aktionären von Aktiengesellschaften oder Vorschriften des Wertpapiererwerbs- und Übernahmegesetzes) ist die BaFin zuständige externe Meldestelle. Daneben fungiert das Bundeskartellamt als zuständige externe Meldestelle für Meldungen von Informationen über Verstöße gegen nationale oder europäische Vorschriften über Wettbewerb.
  
  Ebenso wie die internen Meldestellen haben die externen Meldestellen Meldekanäle zu errichten und zu betreiben, die Stichhaltigkeit einer Meldung zu prüfen und Folgemaßnahmen zu ergreifen. Auch im Rahmen dieses behördlichen Meldesystems soll dem Hinweisgeber binnen eines angemessenen Zeitrahmens von maximal drei Monaten (bzw. sechs Monaten in Fällen, in denen die Bearbeitung umfangreich ist) Rückmeldung gegeben werden. Zudem soll die externe Meldestelle der hinweisgebenden Person das Ergebnis der durch die Meldung ausgelösten Untersuchung nach deren Abschluss unverzüglich mitteilen.

Ein Hinweisgeber, der sich mit Informationen über Verstöße an die Öffentlichkeit wendet, genießt nur dann Schutz, wenn er entweder eine externe Meldung erstattet und hierauf innerhalb der Fristen für eine Rückmeldung keine geeigneten Folgemaßnahmen ergriffen wurden oder er keine Rückmeldung über das Ergreifen geeigneter Folgemaßnahmen erhalten hat. Ferner genießt ein Hinweisgeber bei Offenlegung von Verstößen Schutz, wenn er hinreichenden Grund zu der Annahme hatte, dass der Verstoß wegen eines Notfalls, der Gefahr irreversibler Schäden oder vergleichbarer Umstände eine Gefährdung des öffentlichen Interesses darstellen kann, Repressalien bei Beschreiten des externen Meldewegs drohen oder etwa Beweismittel unterdrückt oder vernichtet werden könnten.

Um Whistleblower vor Repressalien wie Mobbing, Diskriminierungen oder Kündigungen zu schützen, sind insbesondere die folgenden Schutzmaßnahmen vorgesehen, die bei Vorliegen der entsprechenden Voraussetzungen eingreifen sollen:

• Sofern die hinweisgebende Person hinreichenden Grund zu der Annahme hatte, dass die Weitergabe der Informationen erforderlich war, um einen Verstoß aufzudecken, gilt die Meldung bzw. Offenlegung der Information nicht als Verletzung einer (vertraglich geregelten) Offenlegungsbeschränkung und die hinweisgebende Person kann rechtlich nicht zur Verantwortung gezogen werden.
• Repressalien gegenüber einem Hinweisgeber (z. B. arbeitsrechtliche Sanktionen wie etwa eine Kündigung) sind verboten. Hier gilt eine prozessuale Beweislastumkehr: Erleidet eine hinweisgebende Person nach einer Meldung oder Offenlegung eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit, so wird vermutet, dass diese Benachteiligung eine verbotene Repressalie ist. Dies gilt allerdings nur dann, wenn die betroffene Person selbst geltend macht, eine Benachteiligung aufgrund der Offenlegung erlitten zu haben. In diesem Fall hat die Person, die die hinweisgebende Person benachteiligt hat (üblicherweise der Arbeitgeber), ihrerseits zu beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen basierte bzw. dass sie nicht auf der Meldung oder Offenlegung beruhte.
• Bei einem Verstoß gegen das Verbot von Repressalien ist der Verursacher verpflichtet, der hinweisgebenden Person den daraus entstehenden Schaden zu ersetzen. Anders als nach der Beschlussempfehlung des Rechtsausschusses vorgesehen, sollen hinweisgebende Personen keine angemessene Entschädigung in Geld als immateriellen Schadensersatz beanspruchen können. Ein Anspruch auf Begründung eines Beschäftigungsverhältnisses, eines Berufsausbildungsverhältnisses oder eines anderen Vertragsverhältnisses oder auf einen beruflichen Aufstieg wird durch einen Verstoß ebenfalls nicht begründet. 

Der Schutz von Hinweisgebern unterliegt bestimmten Grenzen. So ist beispielsweise nicht geschützt, wer keinen hinreichenden Grund zu der Annahme hat, dass der von ihm gemeldete oder offengelegte Sachverhalt der Wahrheit entspricht. Zudem ist die hinweisgebende Person zum Ersatz des Schadens verpflichtet, der aus einer vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen entstanden ist.

Verstöße gegen die wesentlichen Vorgaben des Gesetzes sollen als Ordnungswidrigkeiten geahndet werden. Dies gilt für das Behindern von Meldungen, das Ergreifen von Repressalien und für Verstöße gegen den Schutz der Vertraulichkeit der Identität hinweisgebender Personen (nach dem im Vermittlungsausschuss erzielten Kompromiss sind nun Bußgelder von jeweils bis zu 50.000 Euro statt zuvor 100.000 Euro möglich) sowie das Nichteinrichten und Betreiben einer internen Meldestelle (Bußgeld von bis zu 20.000 Euro möglich).