Am 23.10.2019 trat die „Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“[1], kurz EU-Whistleblower-Richtlinie, in Kraft. Ziel dieser EU-Richtlinie ist, zum einen Verstöße gegen das EU-Recht besser aufzudecken, zum anderen soll die Richtlinie die sog. Whistleblower (Hinweisgeber) besser schützen und Ihnen die Möglichkeit der anonymen Meldung gewähren.
„Viele der jüngsten Skandale wären nicht ans Licht gekommen, hätten Hinweisgeber nicht den Mut gehabt, sie zu melden.“[2], so Frans Timmermans, der Vize-Präsident der Brüsseler EU-Kommission.
Man sollte meinen, dass Whistleblower für die Aufdeckung von Missständen dieselbe Wertschätzung erfahren wie es bspw. bei Investigativreportern und Journalisten der Fall ist. Jedoch ist die Realität wie so oft eine völlig andere. Tatsächlich hat die Vergangenheit bereits häufig gezeigt, dass Whistleblower einen hohen Preis für ihren Mut zur Wahrheit zahlen mussten. So musste bspw. Julian Assange aufgrund seiner Veröffentlichung der sogenannten „Panama Papers“, welche weltweit ein politisches Erdbeben auslöste wie nie zuvor, jahrelang in der venezuelischen Botschaft in London ausharren. Der wohl berühmteste Whistleblower, Edward Snowden, musste seine Freiheit gegen ein Asylgesuch in Russland eintauschen, nachdem dieser den Abhörskandal der NSA aufgedeckt hatte. Zwar spielten sich diese Beispiele auf hoher politischer Ebene ab, womit eine gewisse diplomatische Sprengkraft provoziert wurde, dennoch lässt sich das Risiko der Whistleblower auch auf jedes einzelne Unternehmen projizieren. Oftmals leiden die Whistleblower mehr unter den Folgen der Meldungen als die Unternehmen selbst.
Um diesem Missverhältnis Rechnung zu tragen, beschloss die EU die Umsetzung der EU-Whistleblower-Richtlinie, welche bis zum 17. Dezember 2021 in nationales Recht umgesetzt werden soll. Das Bundesjustizministerium der Justiz und für Verbraucherschutz (BMJV) hat kurz vor Weihnachten den Entwurf für ein Hinweisgeberschutzgesetz, welches bis zum 17. Dezember 2021 in nationales Recht umgesetzt werden soll, vorgelegt. Somit sollen im Rahmen der beruflichen Tätigkeit erlangte Informationen über Verstöße anonym gemeldet werden.
Wesentliche Anforderungen zur Einrichtung einer internen Hinweisgeberstelle
Der Entwurf sieht für alle Unternehmen mit mindestens 50 Beschäftigten eine Pflicht zur Implementierung und zum Betrieb einer internen Meldestelle vor. Selbiges gilt für die öffentliche Verwaltung bzw. für Kommunen. Der deutsche Gesetzgeber kann die Einrichtung solcher Systeme darüber hinaus auch für Unternehmen mit weniger als 50 Beschäftigten anordnen. Insoweit bleibt die konkrete Ausgestaltung durch den Gesetzgeber abzuwarten. Für Unternehmen mit bis zu 249 Beschäftigten, soll es aller Voraussicht nach eine Übergangsregelung von zwei Jahren geben. Fraglich bleibt hier, ob der deutsche Gesetzgeber diese Fristverlängerung gewährt.
Eine weitere Unterscheidung zur EU-Richtlinie bezieht sich auf die zu meldenden Verstöße. Sah die EU-Richtlinie lediglich die Meldung von Verstößen gegen das Unionsrecht vor, geht der deutsche Gesetzgeber hier einen Schritt weiter. So soll es für Hinweisgeber auch möglich sein, Verstöße gegen deutsches Recht melden zu können.
Ferner definiert der Entwurf Mindestvoraussetzungen einer internen Hinweisgeberstelle. Diese sieht vor, dass die Meldekanäle vor unbefugtem Zugriff geschützt werden und die Identität des Hinweisgebers stets geschützt bleibt. Kurioserweise sieht der Gesetzesentwurf mit der Begründung, die Gefahr von denunzierenden Meldungen und einer Überlastung der Meldestellen zu verhindern, bisher jedoch keine Pflicht zur Bearbeitung anonymer Hinweise vor. Der Hinweisgeberschutz für anonyme Hinweisgeber bleibt nur dann erhalten, sofern deren Identität im späteren Verlauf bekannt wird.[3]
Die technischen Voraussetzungen für eine Hinweisgeberstelle halten sich bisher in Grenzen. So soll dem Hinweisgeber die Möglichkeit gewährt werden, seine Meldung sowohl schriftlich als auch mündlich zu erstatten, sofern die Identität des Hinweisgebers stets geschützt bleibt. Weiterhin soll die Eingangsbestätigung innerhalb von max. 7 Tagen zu jedem Hinweis erfolgen. Nach spätestens 3 Monaten muss der Hinweisgeber über mögliche Maßnahmen informiert werden.
Hinsichtlich der personellen Voraussetzungen gibt die EU-Richtlinie lediglich vor, dass die Hinweisgeberstelle von geschultem Personal (bspw. Compliance-Beauftragter, Datenschutz-Beauftragter, Abteilung Legal, etc.) zu führen ist und Entscheidungen zum Umgang der Meldung unabhängig zu treffen sind, wobei ein großer Ermessensspielraum je nach Art und Größe des Unternehmens zu gewähren ist. Um sicherzustellen, dass die Anonymität des Hinweisgebers gewahrt wird, bietet es sich an, diese Vorgabe in den internen Regelwerken zu fixieren. So kann bspw. in der Stellenbeschreibung der Hinweisgeberstelle definiert werden, dass diese nicht befugt ist, die Identität des Hinweisgebers gegenüber Dritten, aber auch der Geschäftsleitung, bekannt zu geben.
Unabhängig davon ist es unverändert auch möglich, die unternehmensinterne Whistleblowing-Hotline an einen Dritten, z.B. an einen spezialisierten Anbieter oder Ombudsmann bzw. Anwalt auszulagern. Auch hier bietet es sich an, vertraglich zu vereinbaren, dass die Anonymität des Whistleblowers gegenüber Dritten (inklusive der Geschäftsleitung) geschützt ist und der Dienstleister diese Daten nicht herausgeben darf.
Externe Hinweisgeberstelle auf Bundesebene
Unabhängig von der Verpflichtung einer eigenen Hinweisgeberstelle, soll auf Bundesebene ebenfalls eine externe Meldestelle beim Bundesdatenschutzbeauftragten installiert werden. Somit steht es zukünftig jedem Hinweisgeber frei, ob er seine Meldung über die interne oder externe Hinweisgeberstelle überbringt. Auch hier ist eine Pflicht zur Bearbeitung anonymer Meldungen bisher nicht vorgesehen.
Schutz für Hinweisgeber
Die wohl wichtigste Erkenntnis aus der EU-Richtlinie und dem Gesetzentwurf ist der besondere Schutz der Hinweisgeber. So schreibt der Gesetzesentwurf vor, dass die Androhung und der Versuch von Repressalien und Benachteiligung gegen den Hinweisgeber verboten sind. Sollte es demnach zu einer Kündigung gegen einen Hinweisgeber kommen, so muss der Arbeitgeber zukünftig nachweisen, dass seine ausgesprochene Kündigung nichts mit der Meldung des Hinweisgebers zu tun hat „Beweislastumkehr“. Dieser Schutzbereich des Hinweisgebers darf vertraglich weder ausgehöhlt noch abbedungen werden. Verstöße gegen diese Vorgaben sind bußgeldbewehrt und können ebenfalls eine Schadenersatzpflicht gegenüber dem Hinweisgeber begründen.
Mögliche Folgen für Unternehmen
Es bleibt abzuwarten, in welchem Umfang der Gesetzesentwurf in geltendes Recht umgesetzt wird. Unternehmen mit weniger als 50 Mitarbeitern werden mit der Implementierung einer internen Hinweisgeberstelle vor personelle, fachliche und finanzielle Herausforderungen gestellt. Insbesondere die Bearbeitungspflicht der eingehenden Meldungen sowie die daraus folgende Dokumentation und Umsetzung von Maßnahmen können ein kleines bis mittelständisches Unternehmen vor große Aufgaben stellen.
Im Umkehrschluss sorgen die Vorgaben zur Errichtung einer Hinweisgeberstelle zu einer Art Verpflichtung zur Implementierung eines „Compliance Management Systems- light“, womit die „Compliance“ innerhalb der Unternehmen zwangsläufig gefördert und etabliert wird. Für größere Unternehmen ist ein solches CMS mittlerweile unabdingbar. Ob sich ein solches Managementsystem auch bei kleineren Unternehmen durchsetzen wird, insbesondere vor dem finanziellen Aspekt, bleibt fraglich.
Autor:
Yassir Lahrichi, LL.B.
Consultant Compliance & AML
Creditreform Compliance Services GmbH
[1] EU 2019/1937
[2]www.rnd.de/politik/eu-kommission-will-whistleblower-besser-schutzen-YV3TDQS5EUWSODUDYAZHT4OWBA.html
[3] Compliance Berater 2021, Heft 03, Seite 75
