Die Umsetzungsfrist der EU Richtlinie 2019/1937 zum Schutz von Whistleblowern läuft zum 17.12.2021 aus. Was bedeutet das für Unternehmen? – Ein Update.
Topaktuell: Umsetzung durch die neue Regierung
Im neuen Koalitionsvertrag der Ampel-Regierung wird bereits eine zügige und tatsächlich überschießende Umsetzung der EU Whistleblower-Richtlinie angekündigt. Der Vertrag sieht auf Seite 111 vor, dass die Regierung Hinweisgeber künftig nicht nur bei der Meldung von Verstößen gegen EU-Recht vor Repressalien schützen will, sondern auch bei der Meldung von (wörtlich):
„erheblichen Verstößen gegen Vorschriften oder sonstigem erheblichen Fehlverhalten, dessen Aufdeckung im besonderen öffentlichen Interesse liegt“.
Ähnlich wie es schon vor der Bundestagswahl das SPD-geführte Justizministerium vorsah, soll Hinweisgebern nicht zugemutet werden, vor der Abgabe eines Hinweises darüber nachzudenken, welches Recht denn nun auf seine Meldung Anwendung findet. Die genaue Umsetzung dieser überschießenden Formulierung im deutschen Gesetz bleibt abzuwarten. Insbesondere stellt sich die Frage, ob auch anstößiges und unmoralisches Fehlverhalten – z.B. gegen ethische Richtlinien – ebenfalls ein tauglicher Meldegegenstand sein wird.
Sinn und Zweck der Richtlinie – die Rolle von Whistleblowern
Sinn und Zweck der Richtlinie ist es, einen ausgewogenen und europäisch angeglichenen Schutz für Hinweisgeber zu gewährleisten. Größere Konzerne haben als Reaktion auf die persönliche Haftung von Vorständen bereits vor einigen Jahren interne Meldesysteme eingeführt. Sie erhalten damit die Chance, auf Missstände im Unternehmen erst einmal selbst reagieren zu können, bevor sich Whistleblower an externe Stellen wenden. Auch aus Sicht der Whistleblower, die eine Meldung in der Regel viel Überwindung kostet, ist die Möglichkeit, sich erst einmal intern im Unternehmen an jemanden zu wenden, oft die bessere Wahl. Wenn das Unternehmen dann noch die Bearbeitung von anonym erteilten Hinweisen anbietet, sind die ersten Schritte zu einem vertrauensvollen Hinweisgebermanagement getan.
Pflichten und Vorteile für Unternehmen und Unternehmer
Die Whistleblowerrichtlinie (im Weiteren WBRL) bietet für die Umsetzung durch die Nationalstaaten der EU Spielräume. Ihre Ausgestaltung im Hinblick auf den Schutz der Whistleblower und ein effektives Hinweisgebermanagement lassen jedoch noch „Luft nach oben“.
Untersagt werden alle Arten von „Repressalien“ gegen Hinweisgeber, ohne dass diese exemplarisch genannt werden. Gemeint sein werden damit wohl z.B. Abmahnungen, Kündigungen, Herabstufungen oder Änderungen des Arbeitsortes. Keinen Schutz hingegen genießen Hinweisgeber, die wissentlich falsche Informationen berichten, also nicht in gutem Glauben handeln.
Die Unternehmen haben deshalb zur Abgabe von Hinweisen sichere Meldekanäle sowie interne Prozesse einzurichten, welche die Identität und den Umgang mit Hinweisgebern schützen. Der Hinweisgeber hat Anspruch auf Bestätigung des Eingangs seiner Beschwerde innerhalb von 7 Tagen. Im Anschluss daran ist der Hinweisgeber in angemessener Zeit, spätestens nach 3 Monaten über den Fortgang der Bearbeitung des Hinweises zu informieren. Im Idealfall bieten die Meldemöglichkeiten (Hinweisgeberplattformen) deshalb die Möglichkeit, auch mit anonymen Hinweisgebern eine Zwei-Wege-Kommunikation zu etablieren. Die Mitgliedsstaaten sind hingegen verpflichtet, „angemessene und abschreckende Sanktionen“ für Unternehmen einzuführen, die Hinweisgeber bei der Abgabe der Hinweise nicht ausreichend schützen.
Schutz der Hinweisgeber
Geschützt sein sollte ein Hinweisgeber bei allen Meldungen, die er an das Unternehmen in gutem Glauben erteilt. Eine Differenzierung nach bestimmten Rechtsbereichen oder gar die Beurteilung, ob die Meldung strafrechtlich relevant ist, ist ihm nicht zuzumuten. Die WBRL benennt dennoch einen Katalog an Rechtsgebieten, zu denen Schutz gewährleistet sein muss und klammert damit alle anderen Bereiche aus. Der deutsche Gesetzentwurf sah – vorbildlich – einen umfassenden Schutz für Hinweisgeber vor, unabhängig vom Rechtsgebiet oder davon, ob es sich um Hinweise zu Verstößen gegen interne Policies des Unternehmens handelte. Es bleibt zu hoffen, dass die neue Bundesregierung dies so aufgreift.
Die WBRL hat jedoch nicht nur in Bezug auf die Einschränkung der einbezogenen Rechtsbereiche ein Defizit, sondern sie stellt es den nationalen Gesetzgebern auch frei, Unternehmen nicht zur Bearbeitung von anonym abgegebenen Hinweisen zu verpflichten. Genau dies sah der erste deutsche Entwurf zum Hinweisgeberschutzgesetz (HinwGebSchG) vor. Unternehmen sollte es danach freigestellt sein, anonym erteilte Hinweise überhaupt zu bearbeiten. – Es bleibt zu hoffen, dass dieser Punkt des Entwurfs in der nun im neuen Jahr anstehenden Beratung im Bundestag noch einmal überarbeitet wird. – Denn sowohl der Hinweisgeber, wie auch die von seiner Meldung betroffenen Personen sollten durch die Entscheider im Unternehmen mit größtmöglicher Sorgfalt und Vorsicht behandelt werden. Sie sind als Hinweisgeber wertvoll für die Unternehmenskultur und für die Vermeidung von persönlicher Haftung der leitenden Organe. So lange die Hinweisgeber in gutem Glauben handeln oder Verfehlungen der von der Meldung betroffenen Personen nicht eindeutig bewiesen sind, kann durch einen falschen Umgang mit ihnen viel „Porzellan“ im Unternehmen zerschlagen werden, wenn der Belegschaft dies zur Kenntnis gelangt.
Ein Meldeportal für jede juristische Person
Die WBRL sieht in Artikel 8 grundsätzlich Meldekanäle pro Unternehmen ab 50 Mitarbeitern vor. Ein einziges, konzernzentrales System scheint danach nicht zulässig zu sein. Die Expertengruppe der Europäischen Kommission zum Whistleblowerschutz hat dies nun bestätigt. Sie interpretiert Art. 8 (1), (3) der EU-Whistleblower Richtlinie dergestalt, dass jedes Einzelunternehmen mit mehr als 50 Mitarbeitern – unabhängig von einer etwaigen Gruppenzugehörigkeit – ein eigenes Hinweisgebersystem einführen und betreiben muss. Lediglich mittlere Unternehmen mit 50 bis 240 Beschäftigten können entsprechend Art. 8 (6) eine gemeinsame Lösung entwickeln, jedoch ist es auch ihnen nicht erlaubt, auf ein zentrales Hinweisgebersystem der Muttergesellschaft zurückzugreifen. Die Expertengruppe stellte klar, dass ein Konzernhinweisgebersystem dennoch weiterhin parallel zu den Einzelsystemen zulässig sein soll. Somit soll es dem Hinweisgeber überlassen werden, zu entscheiden an welches System er sich wendet.
Die WBRL und der Datenschutz
Aus Sicht der europäischen Datenschutzgrundverordnung gibt es ebenfalls noch Nachholbedarf. Unklar ist beispielsweise, ob die Auskunfts- und Benachrichtigungspflichten aus den Artikeln 14 und 15 DSGVO auch für von Hinweisen betroffene Personen gilt und wie Unternehmen bei Kollisionen von Vertraulichkeitspflichten aus der WBRL oder z.B. einer kartellrechtlichen Untersuchung und den datenschutzrechtlichen Auskunftsrechten der Betroffenen umzugehen ist. – Ohne dies hier im Detail skizzieren zu können, zeichnen sich erste Auslegungen der Normen dazu ab, aber am Ende werden die Details hierzu wohl durch die Gerichte geklärt werden müssen.
Lösungsansatz: Die MKM Hinweisgeberplattform
Zur Lösung der rechtlichen Herausforderungen aus der WBRL hat MKM eine Hinweisgeberplattform entwickelt, die die Anforderungen der WBRL sowie der DIN ISO 37002 für Hinweisgebermanagementsysteme umsetzt und sich auf das Know-How aus der Prozessgestaltung der MKM Datenschützer und die rechtliche Expertise der MKM Rechtsanwälte stützt.
Insbesondere die saubere Datenhaltung und strikte Mandantentrennung ermöglichen es Unternehmensgruppen die Vorgaben für ein eigenes Portal pro Tochtergesellschaft umzusetzen und dennoch sowohl eine separate oder eben auch zentrale Bearbeitung der Hinweise zu ermöglichen.
Außerdem unterstützt MKM ihre Kunden mit einer Erstbewertung der eingehenden Hinweise im Hinblick auf Ernsthaftigkeit und Dringlichkeit. Sollten die Kunden es wünschen, können sie innerhalb der Plattform jederzeit einen der MKM Rechtsanwälte für eine rechtliche Bewertung hinzuziehen. Hier finden Sie weitere Details dazu. Oder rufen Sie uns gern einfach an unter 0911-669577-0.
Autor: Thilo Märtin