Wirtschaftsrecht

Whistleblower-Richtlinie

Allgemeines

Die Europäische Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, sieht vor, dass Unternehmen ab 50 Beschäftigten und Unternehmen im Finanzdienstleistungsbereich ein internes Hinweisgebersystem zur Meldung von Missständen einrichten müssen. Weiteres Kernstück der Richtlinie ist ein besserer Schutz von Hinweisgebenden, um Verstöße gegen das Unionsrecht effektiv aufzuklären und zu unterbinden (Richtlinie (EU) 2019/1937 vom 23. Oktober 2019). Diese sogenannte Whistleblower-Richtlinie hätte bis zum 17. Dezember 2021 in deutsches Recht umgesetzt werden müssen. Diese Frist wurde nicht eingehalten. Trotz fehlender Umsetzung in nationales Recht sind schon jetzt einige Punkte zu beachten:

1. Sachlicher Anwendungsbereich

Die Europäische Richtlinie sieht vor, dass Personen geschützt werden, die Verstöße gegen das Unionsrecht in folgenden Bereichen melden:  
  • Öffentliches Auftragswesen
  • Finanzdienstleistungen, einschließlich Verhinderung von Geldwäsche und Terrorismusfinanzierung
  • Produktsicherheit und -konformität
  • Verkehrssicherheit
  • Umweltschutz
  • Lebensmittel- und Futtermittelsicherheit, Tiergesundheit und Tierschutz
  • öffentliche Gesundheit
  • Verbraucherschutz
  • Schutz der Privatsphäre und Datenschutz
  • sowie Verstöße gegen finanzielle Interessen der Union und gegen Binnenmarktvorschriften, einschließlich Wettbewerbsvorschriften, staatliche Beihilfen und Körperschaftssteuer-Vorschriften. Die einzelnen Bereiche sind in Artikel 2 Abs. 1 der Richtlinie abschließend aufgezählt.

2. Hinweisgebende - persönlicher Anwendungsbereich

Die Richtlinie sieht im Kern einen Anti-Diskriminierungsschutz für Personen vor, die im beruflichen Kontext Informationen über Verstöße erlangt haben (Whistleblower). Der Kreis der Hinweisgebenden wird dabei relativ weit gezogen. Er umfasst Beschäftigte, die im privaten und öffentlichen Sektor tätig sind, wie
  • Arbeitnehmerinnen und Arbeitnehmer (auch dann, wenn das Arbeitsverhältnis bereits beendet ist oder noch nicht begonnen hat)
  • Selbständige
  • angestellt Beschäftigte  
  • Personen, die Anteile an Unternehmen halten sowie solche, die dem Verwaltungs-, Leitungsorgan oder Aufsichtsorgan eines Unternehmens angehören, auch nicht geschäftsführende Mitglieder, Freiwillige und Praktikantinnen und Praktikanten
  • und unter anderem auch zum Beispiel Dritte, die mit dem Hinweisgebenden in Verbindung stehen und in einem beruflichen Kontext Repressalien erleiden könnten. Die Richtlinie zählt beispielhaft Kolleginnen und Kollegen oder Verwandte des Whistleblowers auf.
Hinweisgebende sind nur dann gemäß der Richtlinie geschützt, wenn sie zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme haben, dass die von ihnen gemeldeten Sachverhalte der Wahrheit entsprachen und die Informationen in den sachlichen Anwendungsbereich der Richtlinie fallen. Damit sollen Unternehmen vor missbräuchlichen Meldungen geschützt werden.
Den Hinweisgebenden wird ein Wahlrecht eingeräumt, wie sie einen Verstoß melden möchten. Es steht ihnen frei, den Hinweis erst über den intern eingerichteten Meldeweg an das Unternehmen weiterzugeben oder sich unmittelbar an eine (externe) Behörde zu wenden (wegen der nicht fristgerechten Umsetzung ist aber unklar, welche Behörde das sein soll). Die Richtlinie erlegt den Mitgliedstaaten allerdings auf, sich dafür einzusetzen, dass die Meldung über interne Meldekanäle gegenüber der Meldung der externen Meldekanäle in den Fällen bevorzugt wird, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und der Hinweisgebende keine Repressalien befürchten muss.

3. Pflichten der Unternehmen – internes Meldesystem einrichten

Unternehmen des privaten Sektors ab 50 Beschäftigten oder im Finanzdienstleistungsbereich tätige Unternehmen sind verpflichtet, ein internes Meldesystem und ein Verfahren für Folgemaßnahmen einzurichten (Art. 8 Absätze 1 und 3 der Richtlinie).  
 
Für Unternehmen mit 50 bis 249 Beschäftigten ist nach der Richtlinie eine verlängerte Frist zur Einrichtung eines internen Meldesystems bis zum 17. Dezember 2023 vorgesehen. Diesem Unternehmerkreis wird es außerdem ermöglicht, eine gemeinsame Stelle für die Entgegennahme von Meldungen und etwaige Untersuchungen einzurichten. Mit den Aufgaben einer Meldestelle können sowohl eine interne Organisationseinheit als auch Dritte betraut werden.  
 
Grundsätzlich können Unternehmen selbst festlegen, welche Art von Meldekanälen eingerichtet werden. Voraussetzung ist aber immer, dass die Vertraulichkeit und Folgemaßnahmen garantiert bleiben. Als mögliche Meldewege werden genannt:
  • schriftlich (Postweg, „Beschwerdebriefkasten“),
  • telefonisch, zum Beispiel Telefon-Hotline und/oder anderes System für gesprochene Nachrichten
  • mittels einer Online-Plattform (im Intranet oder Internet)
  • auf Anfrage des Hinweisgebenden auch im Rahmen von physischen Zusammenkünften
Dabei sollte ersichtlich sein, an wen die Meldung gerichtet ist, wer Zugriff auf diese hat, wie mit Rückfragen verfahren wird und innerhalb welcher Frist eine Rückmeldung erfolgen sollte.  Dem Hinweisgebenden muss auch ermöglicht werden, zwischen einer schriftlichen und einer mündlichen Übermittlung wählen zu können.
Nach den Erwägungsgründen der Richtlinie sollen die Personen, die für die Entgegennahme der Meldungen zuständig sind, regelmäßig geschult werden. Meldungen sind zu dokumentieren und auf ihre Stichhaltigkeit hin zu überprüfen, um anschließend entsprechende Folgemaßnahmen, wie etwa interne Untersuchungen oder die Abgabe an eine zuständige Stelle, einzuleiten.

4. Rückmeldefrist

Neben einer Eingangsbestätigung innerhalb von sieben Tagen sind Unternehmen verpflichtet, dem Whistleblower auf eine interne Meldung hin innerhalb eines Zeitraums von maximal drei Monaten ab Eingangsbestätigung, eine Rückmeldung über Folgemaßnahmen (zum Beispiel interne Untersuchung, Abgabe an zuständige Stelle, Abschluss des Verfahrens) zu geben und eine unparteiische Person oder Abteilung für auf die Meldung folgende Maßnahmen zu benennen.

5. Schutz vor Vergeltungsmaßnahmen

Wesentliches Ziel der Richtlinie ist der Schutz von Personen, die auf Missstände in Unternehmen aufmerksam machen. Hierfür enthält die Richtlinie einen nicht abschließenden Katalog von unzulässigen Vergeltungsmaßnahmen (Repressalien). Unzulässig sind demnach insbesondere folgende Maßnahmen:
  • Kündigung
  • Versagung einer Beförderung
  • Gehaltskürzung
  • Mobbing
  • Diskriminierung
  • Schädigung in den sozialen Medien
  • Entzug einer Lizenz oder Genehmigung
  • negative Leistungsbeurteilung
Der Schutz vor diesen, in Artikel 19 aufgezählten Repressalien, dürfte etwaigen Whistleblowern schon jetzt zugutekommen. Dies gilt auch für die Beweislastumkehr in Verfahren vor einem Gericht oder einer Behörde. Hier gilt zunächst die Vermutung, dass der Whistleblower wegen seiner Meldung eines Missstands benachteiligt wurde. Die Gegenseite, also zum Beispiel Arbeitgeberin oder Arbeitgeber, muss dann beweisen, dass eine Maßnahme auf anderen Gründen beruht. Einzelheiten zu Schadensersatzansprüchen oder zur Haftungsfreistellung des Whistleblowers bzw. zu Sanktionen gegenüber Unternehmen, die Meldungen behindern oder Vergeltungsmaßnahmen gegen Whistleblower ergreifen, müssen noch in einem Umsetzungsgesetz festgelegt werden.

6. Praxishinweise

Wegen der (noch) fehlenden Umsetzung in deutsches Recht stehen zwar viele Einzelheiten noch nicht fest, aber dennoch lassen sich bereits jetzt grundlegende Anforderungen für ein Meldesystem und für ein Verfahren zu Folgemaßnahme ableiten. Die Meldewege sollten zuverlässig sein und insbesondere die Anonymität wahren können.
Auch wenn für Unternehmen ab 50 bis 249 Mitarbeitern für die Einrichtung eines internen Meldesystems noch eine Übergangsfrist bis Dezember 2023 gilt, sollten bereits jetzt wichtige Vorfragen geklärt bzw. Vorbereitungen getroffen werden, damit nach dem Inkrafttreten des deutschen Umsetzungsgesetzes die erforderlichen Hinweisgebersysteme möglichst schnell einsatzfähig sind:
  • Welche Meldekanäle wollen Sie einrichten? Telefonisch, E-Mail, webbasierte Lösung, Ombudsmann?
  • Wie stellen Sie sicher, dass nicht nur Beschäftigte, sondern auch alle Personen das Hinweisgebersystem nutzen können, die im Rahmen ihrer beruflichen Tätigkeit mit dem Unternehmen in Kontakt stehen – das heißt eigene Mitarbeiterinnen und Mitarbeiter ebenso wie Externe – beispielsweise ein Geschäftspartner, ein Dienstleister oder Auftragnehmer und deren Beschäftigte.
  • Wie wollen Sie über Meldekanäle informieren? Beziehen Sie ggf. Personalabteilung und Betriebsrat ein. Informationen zu den Meldemöglichkeiten und dem Verfahren müssen klar und leicht zugänglich sein, zum Beispiel über die Unternehmenswebseite und im Unternehmens-Intranet/“Schwarzes Brett“.
  • Wie gestalten Sie Hinweisgebersystem einerseits so attraktiv, dass sich Hinweisgeber mit Meldungen künftig nicht gleich an die externe Behörde oder gar an die Presse wenden, sondern den internen Kanal nutzen? Das vermeidet Reputatonsschäden. Andererseits sollen soll vor missbräuchlichen Beschwerden und Denunziantentum möglichst werden.Wie stellen Sie Vertraulichkeit sicher? Das ist zum Beispiel bei einem Meldekanal per E-Mail schwierig, da nicht einmal der oder die IT-Verantwortliche auf eine solche E-Mail Zugriff haben dürfte.
  • Zuständigkeiten für die Entgegennahme der Hinweise und Bearbeitung von Beschwerden sind zu klären. Vertraulichkeit wäre nicht gewahrt, wenn erst nach Eingang einer Beschwerde hausintern an mehreren Stellen Zuständigkeiten geklärt werden müssten.
  • Wer versendet fristgerecht die Eingangsbestätigung an den Hinweisgeber? Wer informiert über Folgemaßnahmen?
  • Wollen Sie auch anonyme Meldungen ermöglichen? Eine Verpflichtung dazu besteht nicht.
  • Datenschutzrechtliche Fragen sind mit der oder mit dem Datenschutzbeauftragten zu klären.
  • Wollen Sie eine externe Beraterin oder einen externen Berater einbinden? Auch Softwarelösungen können eingesetzt werden.
  • Es gelten verschärfte Beweislastregeln – Arbeitgeberinnen und Arbeigeber werden beweisen müssen, dass nicht der Hinweis zu der jeweiligen arbeitsrechtlichen Maßnahme geführt hat, sondern dass es dafür andere Gründe gab. Dies kann zu einem erhöhten Dokumentationsaufwand führen.  

7. Update:

Das deutsche  Gesetz zur Umsetzung der EU-Richtlinie (Hinweisgeberschutzgesetz) wurde am 2. Juni 2023 im Bundesgesetzblatt verkündet. 

Stand: 20.10.2023