Das Thema
Spätestens nach den Enthüllungen durch Edward Snowden wird in der Öffentlichkeit über Möglichkeiten diskutiert, wie Hinweisgeber – sog. Whistleblower – geschützt werden können. Einen ersten Schritt zu einem europäischen einheitlichen Schutz hat das Europäische Parlament gemacht und am 16. April 2019 die Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, erlassen.
Die neue EU-Richtlinie muss nun vom deutschen Gesetzgeber innerhalb der nächsten zwei Jahre umgesetzt werden. Nicht nur vor dem Hintergrund, dass die Richtlinie Sanktionen für Arbeitgeber vorsieht, die keine unternehmensinterne Hinweisgebersysteme etabliert haben, sollten Unternehmen bereits jetzt unter Berücksichtigung der oben genannten Vorgaben solche einführen bzw. bereits bestehende Hinweisgebersysteme an diese Vorgaben anpassen.
Es deuten viele Anzeichen darauf hin, dass sich der deutsche Gesetzgeber dieses Mal beeilen wird, zumal Hinweisgebersysteme und Whistleblowing mit Blick auf andere neue Gesetze (Anm. d. Redaktion: Vgl. Neuregelungen zu Hinweisgebern im Geschäftsgeheimnisgesetz) oder laufende Gesetzesinitiativen (u.a. der Entwurf für das „Gesetz zur Bekämpfung der Unternehmenskriminalität“) bereits eine Rolle spielen.
Hinweisgebersysteme und Whistleblowing: Der aktuelle Stand
Derzeit ist das Melden von Hinweisen über Rechtsverstöße in Unternehmen meist noch mit der Überwindung von Hindernissen für den Hinweisgeber verbunden. Oft hindert die Angst vor Repressalien oder davor als “Nestbeschmutzer” des Unternehmens zu gelten, das Melden von Rechtsverstößen. Vor diesem Hintergrund ist es entscheidend, die Meldehemmschwelle möglichst niedrig zu halten.
Zwar sieht der Gesetzgeber bereits einige Schutzvorkehrungen vor Repressalien vor. So wird der Hinweisgeber im Arbeitsrecht insbesondere durch das allgemeine Maßregelungsverbot geschützt (§ 612a BGB). Allerdings muss der Arbeitnehmer darlegen und beweisen, dass er wegen einer zulässigen Rechtsausübung benachteiligt wurde. Der aktuelle Schutz ist daher nur unvollkommen und soll zukünftig durch die Richtlinie optimiert werden.
Hinweisgebersysteme und Whistleblowing: Die neuen Vorgaben der Richtlinie
Die Richtlinie sieht dem Grunde nach ein Drei-Stufen-Modell vor:
- Auf der ersten Stufe soll der Hinweisgeber den Rechtsverstoß zunächst unternehmensintern melden. Hierfür sind bestimmte Unternehmen verpflichtet unternehmensinterne Hinweisgebersysteme einzurichten. Werden innerhalb einer bestimmten Frist keine ordnungsgemäßen Folgemaßnahmen zur Beseitigung des Rechtsverstoßes ergriffen, geht es über zur zweiten Stufe.
- Auf der zweiten Stufe kann der Hinweisgeber den Rechtsverstoß dann extern melden. Externe Meldung bedeutet, dass sich der Hinweisgeber an die zuständigen Behörden wendet. Führt auch die externe Meldung nicht zur Beseitigung des Rechtsverstoßes, geht es über zur dritten Stufe.
- Auf der dritten Stufe kann der Hinweisgeber den Rechtsverstoß schließlich der breiten Öffentlichkeit (Medien etc.) offenlegen. Nur in eng umschriebenen Ausnahmefällen können sich Hinweisgeber unmittelbar an die breite Öffentlichkeit wenden. In diesem Fall werden dann die ersten beiden Stufen übersprungen.
Die Richtlinie sieht jedoch keine vorrangige Pflicht des Hinweisgebers vor, den Rechtsverstoß zunächst unternehmensintern zu melden.
Es wäre wünschenswert, wenn der Gesetzgeber bei der Umsetzung der Richtlinie Klarheit schafft und ein klares Drei-Stufen-Modell kodifiziert. Andernfalls könnte der Hinweisgeber sanktionslos unmittelbar einen etwaigen Rechtsverstoß extern melden ohne seinem Arbeitgeber die Möglichkeit eingeräumt zu haben, den Rechtsverstoß zunächst intern zu beseitigen.
Wesentliche Neuerungen für Unternehmen
Pflicht zur Einrichtung eines unternehmensinternen Hinweisgebersystems
Die Pflicht zur Errichtung eines unternehmensinternen Hinweisgebersystems trifft nur bestimmte Unternehmen:
- Unternehmen, die bestimmten Branchen angehören (z.B. Finanzdienstleistungsbranche).
- Gehört das Unternehmen nicht diesen Branchen an, so trifft diese Pflicht Unternehmen, die entweder mehr als 50 Mitarbeiter beschäftigen oder einen Umsatz von mehr als EUR 10. Mio. haben.
Das unternehmensinterne Hinweisgebersystem
Hinsichtlich der Ausgestaltung des unternehmensinternen Hinweisgebersystems macht die Richtlinie folgende Vorgaben:
- Zunächst sollen Unternehmen dazu verpflichtet werden, klare und leicht zugängliche Informationen zum unternehmensinternen Hinweisgebersystem bereitzustellen. Die Bereitstellung dieser Informationen kann zum Beispiel über das Intranet des Unternehmens oder durch Schulungen erfolgen.
- Auch sollen nach der Richtlinie die für die Führung des Hinweisgebersystems – sog. Compliance Officer – vom Unternehmen benannt und entsprechend geschult werden.
Hinsichtlich des genauen Ablaufs des Meldens von Rechtsverstößen macht die Richtlinie folgende Vorgaben:
- Rechtsverstöße sollen “schriftlich und/oder mündlich – per Telefon oder anderer Art der Sprachübermittlung – sowie auf Ersuchen des Hinweisgebers im Wege einer physischen Zusammenkunft innerhalb eines angemessenen Zeitrahmens” gemeldet werden.
- Nach Meldung des Rechtsverstoßes ist innerhalb einer Frist von höchstens sieben Tagen der Eingang der Meldung gegenüber dem Hinweisgeber zu bestätigen. Anschließend ist der Hinweisgeber innerhalb von drei Monaten ab der Bestätigung des Eingangs über die eingeleiteten Folgemaßnahmen zu ihrer Meldung zu informieren.
- Sowohl bei der Entgegennahme der Meldung als auch bei dem folgenden Verfahren muss die Wahrung der Vertraulichkeit der Identität des Hinweisgebers gewährleistet sein. Dies kann beispielsweise durch das Einrichten einer separaten Telefon-Hotline oder über externe Anbieter für die Entgegennahme der Meldung erfolgen.
Besonderer Rechtsschutz von Hinweisgebern
Des Weiteren genießen Hinweisgeber nach der Richtlinie einen besonderen Rechtsschutz vor Vergeltungsmaßnahmen. So sollen diese insbesondere vor Kündigungen, der Versagung einer Beförderung oder einer Gehaltsminderung geschützt werden.
Für die Gewährleistung dieses Schutzes wird eine prozessuale Beweislastumkehr zulasten des Arbeitgebers eingeführt. Arbeitgeber müssen zukünftig beispielsweise im Falle eines Kündigungsschutzverfahrens beweisen, dass die Kündigung eines Hinweisgebers keine Vergeltungsmaßnahme darstellt und nicht im Zusammenhang mit der Meldung steht.
Pflicht zur Einführung von Sanktionen für Arbeitgeber
Verstoßen Arbeitgeber gegen die Pflicht, die Vertraulichkeit der Identität des Hinweisgebers zu wahren oder geeignete Folgemaßnahmen einzuleiten, so sollen die Mitgliedstaaten wirksame, angemessene und abschreckende Sanktionen festlegen. Hier könnten beispielsweise Geldstrafen als Abschreckung vorgesehen werden.
Pflichtenkollision vorprogrammiert: Schutz des Hinweisgebers vs. Einsichts- und Auskunftsrecht des Arbeitnehmers
Die Verpflichtung des Arbeitgebers zur Wahrung der Identität des Hinweisgebers kann mit dem Einsichtsrecht des Arbeitnehmers in seine Personalakte (§ 83 Abs. 1 BetrVG) und seinem Auskunftsrecht (Art. 15 DS-GVO) kollidieren (LAG Baden-Württemberg vom 20. Dezember 2018, 17 Sa 11/18, dazu ausführlich im EFAR). Danach kann der Arbeitnehmer umfassend Einsicht und Auskunft von dem Arbeitgeber verlangen, auch wenn der Arbeitgeber dadurch die Identität eines anderen Arbeitnehmers, dem Hinweisgeber, preisgeben muss.
Um also diese zukünftige Pflichtenkollision zu lösen, sollte der Arbeitgeber nur den Teil der Meldung zur Personalakte nehmen, der die Person des Hinweisgebers nicht offenbart oder der keine Rückschlüsse auf die Person des Hinweisgebers zulässt. Teile der Meldung können auch durch Schwärzung oder durch eine sonstige technische Vorkehrung unkenntlich gemacht werden. Eine solche Unkenntlichmachung kommt natürlich nur dann in Betracht, wenn durch diese die Meldung praktisch nicht unbrauchbar wird.
Zudem kann die Einsicht oder die Auskunft mit Verweis auf ein berechtigtes Geheimhaltungsinteresse verweigert werden. Dies müsste jedoch substantiiert begründet werden. Es müsste also genau vorgetragen werden, auf welche genauen Informationen sich das berechtigte Geheimhaltungsinteresse bezieht.
Hinweisgebersysteme und Whistleblowing: Was ist jetzt zu tun?
Die Richtlinie muss nun von dem Gesetzgeber innerhalb der nächsten zwei Jahre umgesetzt werden. Vor dem Hintergrund, dass die Richtlinie Sanktionen für Arbeitgeber vorsieht, die kein unternehmensinterne Hinweisgebersystem etabliert haben, sollten Unternehmen bereits jetzt unter Berücksichtigung der oben genannten Vorgaben solche einführen bzw. bereits bestehende Hinweisgebersysteme an diese Vorgaben anpassen:
- Es sollte das genaue unternehmensinterne Verfahren bei Meldung eines Rechtsverstoßes festgelegt werden. Es sollten zeitliche Abläufe sowie Zuständigkeiten für die Entgegennahme der Meldung klar definiert und das Personal entsprechend geschult werden.
- Der Zugang zu den unternehmensinternen Hinweisgebersystemen sollte für die Mitarbeiter so einfach wie möglich gestaltet sein (bspw. durch Einrichtung einer gesonderten Stelle zur Entgegennahme von Meldungen oder einer Telefon-Hotline).
- Die Mitarbeiter sollten über die Einführung eines solchen Hinweisgebersystems und die hierfür zuständigen Stellen rechtzeitig unterrichtet werden. Dies erhöht die Akzeptanz eines solchen unternehmensinternen Hinweisgebersystems und setzt auch Anreize einen Rechtsverstoß zunächst unternehmensintern zu melden.
Bei der Einführung eines solchen Systems ist das Mitbestimmungsrecht des Betriebsrats zu beachten (§ 87 Abs. 1 Nr. 1, Nr. 6 BetrVG).
RA Dr. Werner Thienemann,
Senior Associate, Hogan Lovells International LLP
(München)
Zum Autorenprofil einschließlich den Kontaktmöglichkeiten zum Autor in den sozialen Medien
Zur #EFAR-Fokusseite von Hogan Lovells International LLP
Habe ich etwas verpasst? Ist denn die Richtline bereits veröffentlicht? Meines Wissens läuft die Frist von zwei Jahren erst wenn die Richtlinie auch vom Europäischen Rat verschiedet und im Amtsblatt der EU veröffentlicht ist.
“Nicht nur vor dem Hintergrund, dass die Richtlinie Sanktionen für Arbeitgeber vorsieht, die keine unternehmensinterne Hinweisgebersysteme etabliert haben […]” – Aus welcher Vorschrift entnehmen Sie die Information, dass die Richtlinie bei Nichtimplementierung Sanktionen vorsieht?