Zur EU-Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden – Teil 4

Wie kann ein Unternehmen trotz datenschutzrechtlicher Informations- und Auskunftspflichten die Geheimhaltung der Identität des Hinweisgebers gewährleisten?

In Teil 1 und Teil 2 dieser Serie haben wir bereits gesehen, dass die Richtlinie von Unternehmen fordert, Hinweisgebersysteme einzurichten, die insbesondere die Geheimhaltung der Identität des Hinweisgebers sicherstellen. Die Pflicht zur Geheimhaltung stellt das Unternehmen vor Herausforderungen; es befindet sich insbesondere im Spannungsfeld mit datenschutzrechtlichen Transparenzpflichten. Die Richtlinie schreibt insofern vor, dass die Verarbeitung personenbezogener Daten im Einklang mit der DSGVO erfolgen soll (Art. 17). Meldet ein Hinweisgeber vermeintliche Vorfälle im Unternehmen, wird er dabei personenbezogene Daten des Betroffenen preisgeben, also der Person, gegen die sich die Anschuldigungen richten. Verarbeitet der Arbeitgeber diese Informationen, unterliegt er bezogen hierauf den datenschutzrechtlichen Transparenzanforderungen. Bestünden die Transparenzpflichten auch im Fall von Whistleblowing fort, würde dies aber zugleich die Aufklärung des Hinweises gefährden. Dies könnte potenzielle Hinweisgeber nicht nur abschrecken, sondern – aus unternehmerischer Sicht ungünstige – Anreize setzen, dass der Hinweisgeber seinen Verdacht extern meldet oder schließlich öffentlich macht. 

Zur Frage, inwiefern der Arbeitgeber die Identität eines Whistleblowers trotz bestehender Informations- und Auskunftspflichten geheim halten kann, hat das Landesarbeitsgericht Baden-Württemberg mit Urteil vom 20.12.2018 (Az.: 17 Sa 11/18) eine Entscheidung von grundsätzlicher Bedeutung getroffen, die mit dann Umsetzung der Whistleblower-Richtlinie so wohl anders entschieden werden wird. Das LAG hatte hier ein umfassendes Einsichtsrecht des Arbeitnehmers in seine Personalakte bejaht. Die Entscheidung ist nicht rechtskräftig; das LAG hat die Revision zum BAG zugelassen. Zum Hintergrund der Entscheidung:

1. Informations- und Auskunftsansprüche des Betroffenen

Werden personenbezogene Daten erhoben und verarbeitet, hat der Verantwortliche grundsätzlich eine Informationspflicht (Art. 14 DSGVO) unter anderem über die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, und die betroffene Person ein Auskunftsrecht über die personenbezogenen Daten (Art. 15 DSGVO). Gemäß §§ 29 Abs. 1, 34 Abs. 1 BDSG besteht der Informations- und Auskunftsanspruch nicht, „soweit“ durch ihre Erfüllung Informationen offenbart würden, die ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen. Erforderlich sei daher eine auf den konkreten Umständen des Einzelfalls beruhende Güterabwägung zwischen dem arbeitgeberseitigen Geheimhaltungsinteresse einerseits und dem arbeitnehmerseitigen Auskunftsinteresse andererseits. Zwar hat das LAG den Schutz der Identität von Hinweisgebern als geheimhaltungsbedürftig anerkannt. Danach kann es ein legitimes Interesse an der Geheimhaltung einer Informationsquelle darstellen, wenn der Arbeitgeber zum Zwecke der Aufklärung innerbetrieblichen Fehlverhaltens Hinweisgebern Anonymität zusichert, um Regelverstöße intern aufzuklären. Es seien aber Fälle denkbar, in denen das Auskunftsinteresse des Arbeitnehmers das Geheimhaltungsinteresse überwiege, etwa dann, wenn ein Hinweisgeber dem Arbeitgeber wissentlich oder leichtfertig falsche Informationen gibt. In diesem Fall erfährt er ja nach Art. 5 Abs. 1 lit a) der Richtlinie keinen Schutz durch diese vor Repressalien. 

Aus diesem Grund sei auch eine pauschale Behauptung eines Geheimhaltungsinteresses nicht ausreichend. Denn damit das Gericht eine Abwägung im Einzelfall vornehmen könne, müsse es wissen, auf welchen zeitlich und örtlich eingegrenzten Sachverhalt sich das überwiegende berechtigte Interesse an einer Geheimhaltung beziehen soll. Wegen der größeren Sachnähe des Arbeitgebers zu diesen Informationen trage dieser insofern die Darlegungslast.

An diesen Grundsätzen dürfte sich durch die Richtlinie im Ergebnis einiges ändern. Zwar gewährt auch die Richtlinie den Hinweisgebern nur dann Schutz, wenn sie im Zeitpunkt der Offenlegung der Informationen Grund zur der Annahme hatten, dass diese der Wahrheit entsprechen. Allerdings soll in einer vom Unionsgesetzgeber in den Erwägungsgründen der Richtlinie vorweggenommenen Abwägung das Geheimhaltungsbedürfnis des Hinweisgebers überwiegen.

Nach Erwägungsgrund 85 dient die Richtlinie einem wichtigen Ziel des allgemeinen öffentlichen Interesses der Union und der Mitgliedstaaten im Sinne von Art. 23 Abs. 1 lit. e) DSGVO. Nach Art. 23 Abs. 1 lit. e) DSGVO können die Rechte und Pflichten aus den Art. 12 ff. DSGVO nämlich zum Schutz sonstiger wichtiger Ziele des allgemeinen öffentlichen Interesses beschränkt werden. Der wirksame Schutz der Vertraulichkeit der Identität der Hinweisgeber sei außerdem für den Schutz der Hinweisgeber gemäß Art. 23 Abs. 1 lit. i der DSGVO notwendig. Daher steht es den Mitgliedstaaten gemäß Art. 23 DSGVO zu, die Pflichten und Rechte nach den Art. 14, 15 der DSGVO im Wege von Gesetzgebungsmaßnahmen zu beschränken. Nach Erwägungsgrund 86 der Richtlinie sollen sie dies tun, um den Schutz der Vertraulichkeit der Identität der Hinweisgeber zu gewährleisten.

2. Das Recht des Betroffenen auf Einsichtnahme in die Personalakten

Dem Betroffenen steht darüber hinaus ein Anspruch auf Einsichtnahme in die Personalakten aus § 83 Abs. 1 BetrVG zu. Als Personalakte gilt dabei nach höchstrichterlicher Rechtsprechung jede Sammlung von Unterlagen, die mit dem Arbeitnehmer in einem inneren Zusammenhang steht, und zwar unabhängig von Form, Material, Stelle und Ort, an dem sie geführt wird. Das Recht des Arbeitnehmers auf Einsichtnahme in die Personalakte gilt dabei unbeschränkt. Sichert der Arbeitgeber einem Hinweisgeber zu, den Hinweis und die Identität des Hinweisgebers vertraulich zu behandeln, gerät der Arbeitgeber dadurch in eine Situation, in der er auf der einen Seite zur Herausgabe von Informationen, die Rückschlüsse auf die Person des Hinweisgebers zulassen, nicht mehr befugt ist. Auf der anderen Seite ist dem Arbeitgeber aber nicht gestattet, Geheimakten zu führen.

Hat der Arbeitgeber Hinweisgebern daher Anonymität zugesichert, hat das LAG Baden-Württemberg in seinem Urteil vom 20.12.2018 die Geheimhaltungsinteressen eines Hinweisgebers lediglich insofern anerkannt, als der Arbeitgeber dafür Sorge zu tragen hat, dass sich in der Personalakte keine Hinweise auf die Identität des Hinweisgebers finden. Dies kann Unternehmen vor erhebliche Herausforderungen stellen. Denn die „Personalakte“ ist nach Lesart des LAG eine materielle Personalakte, also jede Sammlung von Unterlegen, die mit dem Arbeitnehmer in einem inneren Zusammenhang steht, und zwar unabhängig von Form, Material, Stelle und Ort, an dem sie geführt wird. Keine Rolle spielt auch, was der Arbeitgeber als „Personalakte“ bezeichnet. Das Ergebnis interner Ermittlungen gegen den Arbeitnehmer wird regelmäßig dazugehören, losgelöst davon, ob es in einer als „Personalakte“ bezeichneten Sammlung oder einem entsprechenden Speicherort abgelegt wird. Da auch das Führen von Geheimakten unzulässig ist, bleibt nach Auffassung des LAG als einziger Ausweg, dass die Identität des Hinweisgebers von vornherein unkenntlich gemacht wird, bevor der Teil des Hinweises, der Rückschlüsse auf die Identität des Hinweisgebers zulässt, in irgendeiner Form archiviert wird und damit Teil der materiellen Personalakte werden könnte. 

Dies wird Unternehmen, die eine Internal Investigation auf Grundlage eines Hinweises eines Anonymität verlangenden Hinweisgebers führen, vor erhebliche Herausforderungen stellen. Sollen interne Ermittlungen auf Grundlage der Hinweise des Whistleblowers geführt werden, wird man die diesen und damit den Kontext seines Hinweises betreffenden Informationen in irgendeiner Form aufbewahren müssen; sie blieben damit dem Zugriff des Betroffenen verfügbar. Eine Ermutigung zur vorrangigen Nutzung interner Meldesysteme liegt darin jedenfalls nicht.

Die Richtlinie steht dieser Auslegung des § 83 BetrVG immerhin künftig entgegen, fordert sie doch in Erwägungsgrund 85, dass nationale Datenzugangsrechte entsprechend eingeschränkt werden. 

3. Die strafprozessuale Beschlagnahme als Grenze der Vertraulichkeitsgarantie

In der Praxis wird ein Unternehmen die Geheimhaltung der Identität des Hinweisgebers nicht immer garantieren können. Das betrifft Fälle, in denen im Zusammenhang mit dem vertraulich erteilten Hinweis ein Strafverfahren eingeleitet wird. Denn die Unterlagen über den Hinweisgeber unterliegen der Beschlagnahme nach § 97 StPO. Daran ändert sich – das hat bspw. das Landgericht Bochum in seinem Beschluss vom 16.03.2016 (Az.: 6 Qs 1/16) entschieden – auch nichts, wenn die mit dem Hinweisgebersystem betraute Ombudsperson ein Rechtsanwalt ist. Zwar wird das Recht der Rechtsanwälte zur Zeugnisverweigerung nach § 53 Abs. 1 S. 1 Nr. 3 StPO durch ein Verbot der Beschlagnahme von bei ihnen befindlichen Unterlagen flankiert. Das Beschlagnahmeverbot des § 97 Abs. 1 Nr. 3 StPO greift indes nur, wenn sich das Strafverfahren gegen den Mandanten des Rechtsanwalts richtet. Der Hinweisgeber hätte jedoch nicht die Stellung eines Beschuldigten im Strafverfahren, sondern käme als Zeuge in Betracht. Außerdem fehlt es an einem Mandats- oder mandatsähnlichem Vertrauensverhältnis zwischen der Ombudsperson und dem Hinweisgeber. Denn es ist das Unternehmen, das den Rechtsanwalt als Ombudsperson mandatiert.

In diesem Fall wird einhundertprozentiger Identitätsschutz des Hinweisgebers nicht zu gewährleisten sein, ohne Verteidigungsrechte des Betroffenen unverhältnismäßig einzuschränken. Dieses Spanungsverhältnis sieht auch die Richtlinie; sie löst es in Erwägungsgrund 83 zugunsten dieser legitimen Verteidigungsrechte.

Die Mitarbeiter sollten daher jedenfalls über die Möglichkeit, dass im Rahmen eines Strafverfahrens die Identität des Hinweisgebers trotz aller Bemühungen der Vertraulichkeit offenbart werden könnten, informiert werden.