Zur EU-Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (Whistleblowing-Richtlinie) - Teil 2

Was müssen Unternehmen aufgrund der Richtlinie umsetzen?

Bereits im 1. Teil dieser Beitragsserie wurde aufgezeigt, dass die Whistleblowing-Richtlinie Unter-nehmen in die Pflicht nimmt, interne Meldekanäle einzurichten, um Hinweisgebern die Meldung von potentiellen Verstößen zu erleichtern. Dies gilt aber nicht für jedes noch so kleine Unternehmen. Welche Unternehmen von der Richtlinie betroffen sind und welche Anforderungen die Richtlinie an die einzuführenden Meldesysteme aufstellt, soll im Folgenden dargestellt werden.

1. Anwendungsbereich

Die Richtlinie verpflichtet alle Unternehmen mit mindestens 50 Mitarbeitern – unabhängig von ihrem Tätigkeitsfeld – zur Einführung interner Meldekanäle für Hinweisgeber (Art. 8 Abs. 1, Abs. 3). Unterhalb dieses Schwellenwerts können die Mitgliedstaaten auch Unternehmen, deren Tätigkeitsfelder mit Gefahren für die Umwelt oder die öffentliche Gesundheit verbunden sind, zur Errichtung einer Whistleblower-Hotline verpflichten (Art. 8 Abs. 7).

Für juristische Personen des öffentlichen Sektors sieht die Richtlinie ebenfalls die Einführung von Meldekanälen vor, wobei die Mitgliedstaaten Gemeinden mit weniger als 10.000 Einwohnern oder sonst juristische Personen des öffentlichen Sektors mit weniger als 50 Beschäftigten von dieser Pflicht ausnehmen dürfen (Art. 8 Abs. 9).

Private Unternehmen mit bis zu 249 Beschäftigen und juristische Personen des öffentlichen Sektors sowie Gemeinden können sich die Hinweisgebersysteme mit anderen Unternehmen bzw. Gemeinden teilen (Art. 8 Abs. 6, Abs. 9). Auf diese Weise können die Unternehmen Ressourcen sparen.

2. Einführung und Ausgestaltung des Meldesystems

Die Ausgestaltung der internen Meldekanäle regelt Art. 9. Danach müssen die Meldekanäle zunächst so sicher konzipiert sein, dass sie die Vertraulichkeit der Identität des Hinweisgebers gewährleisten (vgl. auch Art. 16). Um die Frage, wie das Unternehmen die Vertraulichkeit der Identität des Hinweisgebers trotz datenschutzrechtlicher Informations- und Auskunftsansprüche der von dem Hinweis betroffenen Person gewährleisten kann, wird es in Teil 4 dieser Serie gehen.

Die Richtlinie verlangt hingegen nicht, dass die Hinweise anonym erteilt werden können. Ob darüber hinaus anonyme Meldewege geschaffen werden, stellt die Richtlinie den nationalen Gesetzgebern frei (Art. 5 Abs. 2). Unabhängig davon, ob der nationale Gesetzgeber von dieser Möglichkeit Gebrauch macht, kann ein Unternehmen durch die Einführung anonymer Meldewege initiativ die Beschreitung interner Meldevorgänge für potenzielle Hinweisgeber attraktiver gestalten.

Alle eingehenden Meldungen müssen unter Wahrung der Vertraulichkeit dokumentiert werden (Art. 18). Innerhalb von sieben Tagen hat eine Rückmeldung an den Hinweisgeber über den Eingang seines Hinweises zu erfolgen. Die von der Richtlinie angestrebte Ermutigung von potenziellen Hinweisgebern dient jedoch keinem Selbstzweck, sondern soll den Auftakt für eine Aufklärung des Verdachts unternehmensinterner Vorfälle liefern. Unternehmen müssen aufgrund der Richtlinie daher ein Verfahren vorsehen, das Folgemaßnahmen festlegt. Eine unparteiische Person oder Dienststelle muss für Folgemaßnahmen zuständig sein. Diese Person darf identisch sein mit der Person, die die Meldung entgegen nimmt. In kleineren Unternehmen kommt dafür ein Mitarbeiter in Betracht, der direkt der Unternehmensleitung berichten kann. Erwägungsgrund 57 der Richtlinie nennt dazu beispielhaft den Leiter der Compliance- oder Personalabteilung, den Integritätsbeauftragten, einen Rechts- oder Datenschutzbeauftragten, einen Finanzvorstand oder ein anderes Vorstandsmitglied. Spätestens drei Monate nach Bestätigung des Eingangs der Meldung soll eine Rückmeldung an den Hinweisgeber über die Folgemaßnahmen erfolgen, etwa die Veranlassung interner Ermittlungen, die Weitergabe der Informationen an externe Behörden oder auch die Einstellung der Verfolgung des Hinweises aufgrund mangelnder Beweise (Erwägungsgrund 58).

Klare Informationen über die Bedingungen und das Verfahren für externe Meldungen sollen leicht zugänglich sein. Die Meldekanäle müssen eine (fern-)mündliche und/oder schriftliche Meldung über einen Beschwerde-Briefkasten oder über eine Online-Plattform ermöglichen. Auf Wunsch des Hinweisgebers ist eine physische Zusammenkunft innerhalb eines angemessenen Zeitrahmens zu ermöglichen (Erwägungsgrund 53). Während der Ermittlungen kann das Unternehmen den Hinweisgeber um weitergehende Informationen bitten. Der Hinweisgeber ist aber nicht zur weiteren Mitwirkung an der Aufklärung des Verdachts verpflichtet (Erwägungsgrund 58).

Bei der Implementierung eines solchen Meldesystems hat ein Unternehmen außerdem zu beachten, dass der Betriebsrat ggf. bereits nach geltendem Recht gemäß § 87 Abs. 1 Nr. 1 BetrVG zur Mitbestimmung berechtigt ist (dazu ausführlicher in Teil 5 dieser Beitragsserie).

Zu bedenken ist außerdem, dass die Mitgliedstaaten für den Fall, dass eine natürliche oder juristische Person eine Meldung behindert oder zu behindern versucht, wirksame, angemessene und abschreckende Sanktionen vorsehen müssen. Dies gilt auch für Personen oder Unternehmen, die die Vertraulichkeit der Identität des Hinweisgebers nicht ausreichend gewährleisten (Art. 23 Abs. 1).