Bis zum 17. Dezember 2021 hat der deutsche Gesetzgeber die am 16. Dezember 2019 in Kraft getretene europäische Whistleblower-Richtlinie (EU) 2019/1937 („Whistleblower-RL“) umzusetzen und Unternehmen zur Einrichtung von Meldestellen für hinweisgebende Personen („Whistleblower“) zu verpflichten. Zwar ist unwahrscheinlich, dass das hierfür geplante deutsche Hinweisgeberschutzgesetz (HinSchG) rechtzeitig verabschiedet und in Kraft treten wird. Dringender Handlungsbedarf für Privatunternehmen ab 250 Beschäftigten und öffentliche Arbeitgeber besteht aber dennoch. Weshalb dies so ist und was konkret zu tun ist, wird in diesem Beitrag aufgezeigt.
I.
Die Ausgangslage
Das Phänomen „Whistleblowing“ hat in den letzten Jahrzehnten stark an Bedeutung gewonnen. Vor allem in den Vereinigten Staaten haben Enthüllungen von Rechtsverstößen eine erhebliche rechtliche und mediale Aufbereitung erfahren. Dabei wurden strafrechtlich relevante Missstände gegenüber Behörden oder Medien angezeigt, sei es anlässlich einer gesellschaftlich anerkannten Bewegung, die Betroffene zur Offenbarung ermutigt hat (#MeToo), sei es durch Einzelpersonen unter Nutzung meist digitaler Plattformen (Julian Assange, Edward Snowden).
Im freiheitlichen Rechtsstaat ist die Ermöglichung der jederzeitigen Anzeige rechtswidriger Umstände und einer daraufhin folgenden Aufarbeitung unverzichtbar. Ebenso sind unternehmensinterne Meldestellen ein wesentlicher Baustein funktionsfähiger Compliance-Organisationen. Ohne ein funktionsfähiges Melde- und Bearbeitungswesen – in der Regel über eine Compliance-Abteilung – ist das Unternehmen nicht hinreichend „compliant“ organisiert.
Hinweis
Wie Unternehmen bei internen Compliance-Meldungen verfahren sollten, haben wir in unserem Beitrag „Anonyme Meldungen von Vertragsverstößen durch Beschäftigte – und was nun?“ dargestellt.
Eine hinweisgebende Person zieht sich indes zwangsläufig den Groll der in den Sachverhalt involvierten Personen zu, da diese typischerweise durch die Meldung in den Fokus von Ermittlungen geraten. Vor allem haben Arbeitnehmer:innen, die Rechtsverstöße aus dem Arbeitgeberbereich anzeigen, Repressalien und sonstige Benachteiligungen zu befürchten. Aus diesem Grund bedürfen hinweisgebende Personen in der modernen Gesellschaft eines grundsätzlichen, gesetzlich verankerten Schutzes. Dies gilt jedenfalls dann, wenn ihre Meldung redlich, also nicht als vorwerfbar falsch oder unberechtigt einzustufen ist. Diesen grundsätzlichen Schutz von Whistleblowern hat der deutsche Gesetzgeber nun mit der Umsetzung der europäischen Whistleblower-RL – zumindest in Bezug auf Verstöße gegen Europäisches Recht – zu gewährleisten.
II.
Der Status Quo
In Deutschland gibt es bislang keine allgemeine gesetzliche Regelung zum Schutz von Hinweisgeber:innen. Stattdessen lassen sich nur punktuelle, mehr oder weniger ausführliche gesetzliche Regelungen finden, die für Whistleblowing von Relevanz sein können.
In einzelnen Gesetzen sind Verpflichtungen zur Geheimhaltung interner Umstände besonders geregelt (z.B. in § 93 Abs. 1 S. 3 AktG, § 116 S. 2 AktG, § 79 BetrVG, § 16 Abs. 2 GeschGehG). Der Geschäftsgeheimnisschutz an sich steht Whistleblowing aber nicht entgegen: § 5 GeschGehG gestattet vielmehr ausdrücklich eine Offenbarung von Geschäftsgeheimnissen u.a. zur Aufdeckung rechtswidriger Handlungen. An anderer Stelle werden für bestimmte Fälle Beschwerderechte eingeräumt (z.B. in § 17 Abs. 2 S. 1 ArbSchG). Für Diskriminierungsfälle ist in den §§ 13, 16 und 27 AGG zudem ein mit einem Maßregelungsverbot abgesichertes Beschwerdesystem implementiert. Für Finanzdienstleistungen enthält § 4d FinDAG ein Meldesystem und regelt den Schutz hinweisgebender Personen, während das Versicherungsaufsichtsrecht Versicherungen zur Einrichtung einer spezifischen Meldestelle verpflichtet (§ 23 Abs. 6 VAG).
Im Kündigungsschutzrecht genießen Arbeitnehmer:innen nach einer (Straf-)Anzeige gegen den eigenen Arbeitgeber keinen besonderen Schutz. Die Arbeitsgerichtsbarkeit entscheidet bei der Abwägung der widerstreitenden Interessen vielmehr im Einzelfall, ob mit der Meldung eine die Kündigung rechtfertigende Pflichtverletzung begangen wurde oder nicht. Dabei wird das Aufklärungsinteresse des Arbeitnehmers (bzw. dessen Meinungsfreiheit) mit dem Geschäfts- und Geheimhaltungsinteresse des Arbeitgebers ins Verhältnis gesetzt. Ob die Anzeige danach noch als verhältnismäßige Reaktion auf ein Verhalten des Arbeitgebers einzustufen ist, richtet sich u.a. nach der Berechtigung der Meldung, die Motivation zur Anzeige und dem Bestehen alternativer Handlungsmöglichkeiten. Regelmäßig wird Arbeitnehmer:innen zunächst der (vergebliche) Versuch einer innerbetrieblichen Klärung abverlangt (BAG, Urteil vom 15.12.2016 – 2 AZR 42/16).
Auf EU-Ebene ist am 16. Dezember 2019 die Whistleblower-RL in Kraft getreten, die Leitlinien für den Schutz von Personen aufstellt, die Verstöße gegen unionsrechtliche Bestimmungen melden. Hierdurch soll ein einheitlicher Rechtsrahmen für die Implementierung von Meldesystemen und zum Schutz von Hinweisgebern geschaffen werden. Die Mitgliedstaaten haben die Richtlinie bis zum 17. Dezember 2021 in nationales Recht umzusetzen. Dies beinhaltet u.a. eine Verpflichtung von Unternehmen, interne Meldesysteme einzurichten, mit denen Verstöße gegen Unionsrecht vertraulich gemeldet werden können.
In Deutschland ist die Whistleblower-RL bis heute nicht in nationales Recht umgesetzt. Bis zur Bundestagswahl im September 2021 konnte sich die Regierungskoalition über den Referentenentwurf des Bundesjustizministeriums über ein Hinweisgeberschutzgesetz („HinSchG-E“) nicht einigen. Hintergrund war, dass der Referentenentwurf deutlich über die Whistleblower-RL hinausgeht, weil er die Meldesysteme nicht nur für Hinweise auf Verstöße gegen EU-Recht, sondern auch für Hinweise auf Verstöße gegen nationales Recht – insbesondere Straf- und Ordnungswidrigkeitenrecht – vorsieht. Wird die Whistleblower-RL in Deutschland nicht bis zum 17. Dezember 2021 umgesetzt, droht Deutschland ein Vertragsverletzungsverfahren. Entsprechend ist mit der alsbaldigen Verabschiedung eines entsprechenden Gesetzes in Deutschland zu rechnen.
III.
Ordnungsgemäße Compliance erfordert (schon jetzt) ein adäquates Meldesystem
Unabhängig von der rechtzeitigen Umsetzung der Whistleblower-RL in nationales Recht ist Privatunternehmen ab einer Zahl von 250 Beschäftigten dringend zu empfehlen, schon jetzt ein Meldesystem für hinweisgebende Personen einzurichten. Wird die Whistleblower-RL nicht (rechtzeitig) umgesetzt, dürfte sie im Verhältnis der Bürger:innen zu staatlichen Einrichtungen, vor allem also zu öffentlichen Arbeitgeber:innen, zur Anwendung gelangen.
Darüber hinaus wären private Arbeitgeber:innen zumindest mittelbar in der Pflicht: Bei der Anwendung etwa des Kündigungsschutzrechts wären die Wertungen und Inhalte der Whistleblower-RL im Rahmen der Verhältnismäßigkeitsprüfung zu berücksichtigen. So dürfte bspw. die Kündigung eines Whistleblowers wegen dessen (Straf-)Anzeige bei einer Verfolgungsbehörde sicher unwirksam sein, wenn es der Arbeitgeber versäumt hatte, eine interne Meldestelle einzurichten. Denn dem Whistleblower wäre in diesem Fall die Möglichkeit zur Abgabe einer geschützten internen Meldung durch den Arbeitgeber genommen worden. Dies zeigt, dass Unternehmen ab dem 17. Dezember 2021 eine effektive Compliance-Struktur nur dann aufweisen werden, wenn sie ein Meldesystem eingerichtet haben, dass den Schutz von Hinweisgebern mindestens entsprechend der Whistleblower-RL sicherstellt. Zweckmäßig erscheint jedoch, sich bei der Einrichtung eines Meldesystems an den Vorgaben des HinSchG-E zu orientieren, da dessen Verabschiedung – ggf. mit Anpassungen – alsbald zu erwarten ist.
IV.
Der (baldige) gesetzliche Hinweisgeberschutz
Die Whistleblower-RL verpflichtet alle Unternehmen ab 50 Beschäftigten und Unternehmen mit einem Umsatz ab 10 Mio. Euro im Jahr, eine interne Meldestelle für „Whistleblowing“ einzurichten. Für Unternehmen mit einer Zahl von 50 bis 249 Beschäftigten gilt allerdings eine verlängerte Einrichtungsfrist bis zum 17. Dezember 2023.
Öffentliche Einrichtungen, Behörden und Kommunen soll die Verpflichtung bei einer Gemeindegröße ab 10.000 Einwohner treffen. Der Referentenentwurf des HinSchG orientiert sich hieran und verpflichtet Dienststellen öffentlicher Arbeitgeber ab 50 Beschäftigten und Unternehmen ab 250 Beschäftigten zur Einrichtung einer Meldestelle bis zum 17. Dezember 2021.
Der Schutzbereich des HinSchG-E ist weit gefasst. Nach § 2 HinSchG-E werden alle Informationen über Verstöße gegen Rechtsnormen zahlreicher Rechtsgebiete einschließlich des gesamten Straf- und Ordnungswidrigkeitenrechts erfasst. Informationen über Verstöße sind begründete Verdachtsmomente oder das Wissen über tatsächliche oder mögliche Verstöße sowie (bereits) über Versuche der Verschleierung solcher Verstöße, die bereits begangen wurden oder sehr wahrscheinlich erfolgen werden. Geschützte Personen sind Beschäftigte, was neben Arbeitnehmer:innen auch alle natürlichen Personen sind, die „im Zusammenhang mit ihrer beruflichen oder dienstlichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die nach diesem Gesetz vorgesehenen Meldestellen melden oder offenlegen“.
Gemäß § 13 HinSchG-E betreiben die internen Meldestellen Meldekanäle, prüfen die Stichhaltigkeit der Meldung und ergreifen Folgemaßnahmen. Über die Meldekanäle können sich Beschäftigte, aber je nach Ausgestaltung auch außenstehende Personen an die internen Meldestellen wenden, um Informationen über Verstöße zu melden (§ 16 HinSchG-E). Bei der Ausgestaltung des Meldesystems ist den Unternehmen ein Spielraum eingeräumt. Da aber alle eingehenden Meldungen zu dokumentieren und Maßnahmen zu ergreifen sind, bedarf es eines klar definierten Prozesses. Bei der Wahl der Meldekanäle erscheinen digitale, webbasierte Hinweissysteme gegenüber klassischen Meldewegen (Briefe, E-Mail, Telefon) vorzugswürdig, da mit ihnen die spezifischen Anforderungen an IT-Sicherheit, Datenschutz und Kommunikationseffizienz am sichersten erfüllt werden können. Die Meldekanäle müssen so sicher konzipiert, eingerichtet und betrieben werden, dass die Vertraulichkeit der Identität des Hinweisgebers und Dritter, die in der Meldung erwähnt werden, gewahrt bleibt und nicht befugten Mitarbeitern der Zugriff darauf verwehrt wird (Art. 9 Abs. 1 lit. a Whistleblower-RL).
Bei der Ausgestaltung der internen Meldestelle ist zu beachten, dass sie von fachlich qualifizierten Personen geleitet wird. Erwägungsgrund 56 der EU-Richtlinie nennt als mögliche interne Meldestelle in kleineren Unternehmen Mitarbeiter mit einer Doppelfunktion, Leiter der Compliance- oder Personalabteilung, Integritätsbeauftragte, Rechts- oder Datenschutzbeauftragte, ein Finanzvorstand, ein Auditverantwortlicher oder ein Vorstandsmitglied. Eine rein interne Lösung bindet jedoch Ressourcen und beinhaltet Risiken. Eine sinnvolle und zulässige Alternative ist die Beauftragung externer Personen. Dabei ist auf die fachliche Qualifikation, die Unabhängigkeit und die Verschwiegenheit des beauftragten Dritten sowie auf die technische Sicherheit der eingesetzten Systeme zu achten.
Wesentliche Bestandteile eines internen Meldesystems
1. Einrichtung
-
Klare und leicht zugängliche Informationen über externe Meldeverfahren
-
Uneingeschränkter Zugang zum internen Meldesystem
-
Betreuung durch unabhängige und qualifizierte Personen
-
Schutz vor Zugriff durch nicht befugte Mitarbeiter auf eingehende Meldungen
-
Wahrung der Vertraulichkeit und Datenschutz
-
Möglichkeit von Meldungen in mündlicher oder in Textform
-
Ermöglichung einer persönlichen Zusammenkunft auf Wunsch der hinweisgebenden Person
-
Festlegung standardisierter Prozesse bzgl. Plausibilisierung und Bearbeitung der Meldungen
2. Verfahren bei internen Meldungen
-
Eingangsbestätigung innerhalb von 7 Tagen
-
Aufrechterhaltung des Kontakts zur hinweisgebenden Person
-
Prüfung der Stichhaltigkeit der eingegangenen Meldung
-
Ggf. Einholung weiterer Informationen und Ergreifen angemessener Folgemaßnahmen
-
Rückmeldung innerhalb von 3 Monaten zum Umgang mit der Meldung; Mitteilung über Folgemaßnahmen mit Begründung
3. Dokumentation
-
Dokumentation aller eingehenden Meldungen in dauerhaft abrufbarer Weise unter Beachtung des Vertraulichkeitsgebots durch Tonaufzeichnung (mit Einwilligung) durch Zusammenfassung in einem Vermerk oder durch Wortlautprotokoll
-
Gelegenheit der hinweisgebenden Person auf Überprüfung und ggf. Korrektur des Vermerks oder Protokolls mit unterschriftlicher Bestätigung
-
Löschungspflichten bei Abschluss des Verfahrens
Neben internen Meldestellen fungieren Behörden und sonstige staatliche Einrichtungen als externe Meldestellen. Eine hinweisgebende Person trifft insoweit aber nicht die Verpflichtung, vorrangig die internen Möglichkeiten zur Meldung auszuschöpfen, bevor sie sich an eine externe Stelle wendet. Gerade die Gleichrangigkeit der internen und externen Meldestellen gebietet, dass Unternehmen ihre eigenen Meldesysteme möglichst ansprechend und serviceorientiert ausgestalten. Anderenfalls erhöht sich das Risiko, dass sich Hinweisgeber unmittelbar an externe Meldestellen wenden und den Unternehmen die Möglichkeit genommen wird, zunächst eigene Ermittlungen wahrzunehmen und unmittelbaren öffentlichkeitswirksamen behördlichen Ermittlungen (soweit zulässig) entgegenzuwirken.
Gemäß § 35 Abs. 1 HinSchG-E sind Repressalien wegen der Meldung gegen hinweisgebende Personen verboten. Benachteiligungen im Zusammenhang mit der beruflichen Tätigkeit gelten als Repressalien. Abgesichert wird das Benachteiligungsverbot durch eine Beweislastumkehr: Nach § 35 Abs. 2 HinSchG-E hat der Arbeitgeber im Fall einer arbeitsrechtlichen Sanktion zu beweisen, dass diese mit dem erteilten Hinweis nicht in Zusammenhang stand, sondern auf anderen, hinreichend rechtfertigenden Gründen basiert. Gelingt dem Arbeitgeber dieser Beweis nicht, ist er der hinweisgebenden Person zum Schadenersatz verpflichtet (§ 36 HinSchG-E). Daraus folgt, dass künftig eine sorgfältige Dokumentation von Pflichtverletzungen hinweisgebender Personen selbst dann erforderlich ist, wenn deren Hinweise ganz andere Sachverhalte betrafen. Umgekehrt verpflichtet das HinSchG-E die hinweisgebende Person zum Schadensersatz, sollte diese vorsätzlich oder grob fahrlässig falsche Hinweise gegeben haben (§ 37 HinSchG-E). Hierdurch soll wiederum das Unternehmen vor einem Missbrauch seines Meldesystems geschützt werden.
Eine Zuwiderhandlung gegen die Vorschriften des HinSchG-E kann eine Ordnungswidrigkeit darstellen. § 39 Abs. 4 HinSchG-E sieht ein Bußgeld von bis zu EUR 100.000 vor. Parallel können Unternehmen aber auch wirtschaftliche Risiken und Reputationsschäden drohen, wenn sich hinweisgebende Personen trotz interner Meldestelle unmittelbar an externe Meldestellen oder unmittelbar an die Öffentlichkeit wenden.
V.
Wahrung von Datenschutz und betrieblicher Mitbestimmung
Bei der Einrichtung eines internen Meldesystems ist unbedingt sicherzustellen, dass das jeweilige Hinweisgebersystem die datenschutzrechtlichen Anforderungen der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) erfüllt. Besteht bereits ein unternehmensinternes Datenschutzkonzept, ist dieses mit Blick auf das einzurichtende Hinweisgebersystem gegebenenfalls anzupassen bzw. zu ergänzen.
Ebenso sind die Mitbestimmungsrechte eines etwaigen (zuständigen) Betriebsratsgremiums zu wahren. Bei der Ausgestaltung eines eingeführten bzw. geänderten Hinweisgebersystems kommt zunächst das Mitbestimmungsrecht über das Ordnungsverhalten im Betrieb (§ 87 Abs. 1 Nr. 1 BetrVG) in Betracht. Darüber hinaus ist bezüglich der Nutzung einer technischen Einrichtung, die zur Überwachung des Verhaltens oder der Leistung von Arbeitnehmer:innen objektiv geeignet ist, das Mitbestimmungsrecht des § 87 Abs. 1 Nr. 6 BetrVG einschlägig. Insbesondere bei der Möglichkeit des Eingangs von Hinweisen auf Leistungsverhalten einzelner Arbeitnehmer:innen in einem webbasierten Hinweisgebersystem dürfte mit Blick auf die Rechtsprechung des Bundesarbeitsgerichts (BAG, Beschluss vom 13.12.2016 – 1 ABR 7/15) von einem entsprechenden Mitbestimmungsrecht des Betriebsrats bei der Ausgestaltung grundsätzlich auszugehen sein.
VI.
Fazit: Handlungsbedarf erkennen und bewältigen
In absehbarer Zeit haben Unternehmen mit einer Zahl ab 250 Beschäftigten ein Hinweisgebersystem einzurichten, das den hohen Anforderungen des (alsbaldigen) deutschen Hinweisgeberschutzgesetzes gerecht wird.
Dabei lassen die vom Gesetzgeber vorgegebenen Anforderungen und Prozesse die Nutzung eines digitalisierten Meldesystems sinnvoll erscheinen. Zuvor sind allerdings die datenschutzrechtlichen Rahmenbedingungen zu überprüfen und die Mitbestimmungsrechte der Betriebsverfassungsorgane – soweit vorhanden – zu wahren. Damit dies gelingt, sind Unternehmen, die bislang noch nicht aktiv geworden sind, gut beraten, sich bei der Implementierung ihrer Meldestelle alsbald anwaltlich beraten und begleiten zu lassen.
