Whistleblowing-Richtlinie: Überblick und Handlungsempfehlungen

Hinweisgeberinnen und Hinweisgeber – auch als Whistleblower bezeichnet – sind elementar für eine offene und transparente Gesellschaft: Sie bringen den Mut auf, durch ihre Meldungen Missstände aufzudecken. Um sie besser vor negativen Konsequenzen zu schützen, brachte die EU die Whistleblower-Richtlinie auf den Weg – und die geht auch Euch etwas an: Welche gesetzlichen Pflichten auf welche Unternehmen ab wann zukommen, erklärt dieser Beitrag genauso wie die Hintergründe der Whistleblowing-Richtlinie. Nach dem Lesen kennt Ihr neben den Zielen auch die zentralen Inhalte der Richtlinie.

Was ist die Whistleblowing-Richtlinie?

Der wohl prominenteste Whistleblower ist Edward Snowden: Er hatte die Courage seinem Gewissen zu folgen und die Öffentlichkeit über eigentlich geheime Informationen der US-Administration aufzuklären. Damit löste er einen weltweiten Skandal aus. Die Folgen für Snowden waren katastrophal: Das FBI stellte Strafanzeige; ihm wurden Diebstahl von Regierungseigentum, Spionage und die Weitergabe von Verschlusssachen vorgeworfen. In den USA droht ihm eine lebenslange Haftstrafe und so blieb ihm nur noch die Flucht. Wikipedia zeichnet den Verlauf der Ereignisse übersichtlich nach. Deutlich wird eines: Snowden musste als Whistleblower Repressalien und negative Konsequenzen fürchten – und so ergeht es vielen Whistleblowern.

Mit dem 23. Oktober 2019 veröffentlichte der Rat der Europäischen Union die „Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“. Mit der Richtlinie verfolgt die EU das Ziel, Mindeststandards für Meldeverfahren, aber auch für den Schutz von Hinweisgebern zu schaffen. Man möchte Verstöße aufdecken, unterbinden und die Rechtsdurchsetzung durch effektive, sichere und vertrauliche Meldekanäle optimieren. Außerdem sollen Whistleblower vor einer straf-, zivil- oder verwaltungsrechtlichen Haftung sowie vor Repressalien von ihrem Arbeitsgeber geschützt werden.

Dr. Marco Buschmann übermittelte in seiner Funktion als Bundesjustizminister Anfang April 2022 verspätet den zweiten Versuch, die EU-Richtlinie in ein nationales Gesetz zu überführen: der Entwurf für das Hinweisgeberschutzgesetz (HinSchg) ging in die Ressortabstimmung. Am 27. Juli 2022 wurde das Hinweisgeberschutzgesetz vom Kabinett beschlossen. Der erste Versuch war am Widerstand von CDU/CSU gescheitert: Sie setzte sich für eine 1:1-Umsetzung unionsrechtlicher Vorgaben ein und sprach sich gegen nationale Regelungssachverhalte aus – und das funktioniert aus verfassungsrechtlichen Gründen nicht, wie seinerzeit die Verfassungsblog GmbH aufzeigte.

Die zentralen Inhalte der Whistleblowing-Richtlinie

Die Richtlinie soll zum einen die hinweisgebende Person schützen, zum anderen aber auch Personen, die Gegenstand einer Meldung sind. Die Richtlinie untersagt Vergeltungsmaßnahmen sowie Repressalien gegenüber Whistleblowern. Dafür möchte der Gesetzgeber eine Beweislastumkehr: Werden Whistleblower gekündigt, müssen Arbeitgebende nachweisen, dass diese Maßnahme nicht im Zusammenhang mit dem Aufdecken der Missstände steht.

Der Gesetzgeber fordert Unternehmen zum Einrichten einer Whistleblowing-Hotline auf: Diese Hotline soll es Mitarbeitenden oder Partnern von Unternehmen ermöglichen, einen Verdacht zu melden – auf Wunsch auch anonym. Nur mit der ausdrücklichen Einwilligung des Wistleblowers darf die Anonymität gegenüber dem Arbeitgeber aufgehoben werden. Das können beispielsweise ethische Verstöße oder allgemeine Verstöße gegen Europarecht (z. B. Verstöße im Bereich öffentliches Auftragswesen, Regulierungen im Finanzsektor, Produkt-, Verkehrs- und Lebensmittelsicherheit, Umweltrecht, Gesundheitsrecht, Verbrauchschutzrecht, Datenschutzrecht) sein. Mit dem Hinweisgeberschutzgesetz in Deutschland soll der Schutz für Informant:innen auf weitere Vergehen ausgedehnt werden; beispielsweise auf Korruption, Steuerhinterziehung oder Schmiergeldzahlungen.

Als Whistleblower kommen Angestellte, Freiwillige oder Praktikanten in Frage, aber auch nichtgeschäftsführende Mitglieder oder Gesellschafter:innen – sprich: Alle Menschen, die Informationen über etwaige Verstöße im geschäftlichen Kontext erlangen könnten.

Die Whistleblower-Hotline

Dabei wird Whistleblowern freigestellt, wie sie Verstöße melden möchten: intern oder extern. Interne Meldewege werden direkt vom Unternehmen bereitgestellt und betrieben, während externe Meldewege von Behörden bereitgestellt und betrieben werden müssen. Wie das Bundesjustizministerium mitteilte, wird eine zentrale externe Meldestelle beim Bundesamt für Justiz (BfJ) eingerichtet werden. Als externe Meldestellen mit Sonderzuständigkeiten werden die bereits bestehenden Meldesysteme bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) und beim Bundeskartellamt weitergeführt. Die Meldestelle des Bundes beim BfJ soll Zuständigkeiten für den öffentlichen Sektor und die Privatwirtschaft erhalten. Eine weitere Meldestelle beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) komplettiert die externen Meldestellen des Bundes. Doch den Ländern soll es freistehen, eigene externe Meldestellen für Meldungen einzurichten, die die Landesverwaltung sowie de Kommunalverwaltungen betreffen.

Hinweisgebende Personen können frei wählen, ob der interne oder externe Meldeweg angesichts der fallspezifischen Umstände besser geeignet ist. Es gibt verschiedene Arten von Whistleblowing-Hotlines:

• Digitale Whistleblowing-Hotline: Das Melden erfolgt über webbasierte Online-Systeme. So können hinweisgebende Personen anonym bleiben und können Anhänge zur Meldung hinzufügen, die ihren Verdacht untermauern.
• Telefonische Whistleblowing-Hotline: Whistleblower können sich über die normale Telefonverbindung an Verantwortliche wenden. Telefonhotlines erweisen sich in der Praxis oft als weniger effizient: Informationen müssen nachträglich aufgenommen werden und lassen sich nicht einfach integrieren. Sie zeigen sich jedoch in Gegenden mit beschränktem Internetzugang als wertvolle Ergänzung.
• E-Mail-Adresse: Das Bereitstellen einer bestimmten E-Mail-Adresse für Whistleblower ist eine weitere Möglichkeit. Auf den ersten Blick mag das praktisch wirken, jedoch gehen Sicherheitsrisiken beispielsweise bei unverschlüsseltem Versand einher. Derlei Risiken schwächen das Vertrauen von hinweisgebenden Personen, sodass die Wahrscheinlichkeit sinkt, dass ein Verdacht auch gemeldet wird.
• Persönliche Ansprechpartner:innen: Diese Idee geht zwar etwas weg von der konventionellen Hotline, eine „offene Tür“ kann jedoch auch eine gute Ergänzung sein: Dann nämlich, wenn Führungskräfte die Bedenken ihres Teams ernstnehmen und sie im Umgang mit Hinweisgeber-Berichten geschult sind. Der große Nachteil ist der, dass so keinerlei Anonymität gewährleistet ist und ein hohes Maß an Vertrauen vorausgesetzt werden muss.

Es werden einige Anforderungen an die Whistleblowing-Hotline gestellt: Meldesysteme müssen die Anonymität von Whistleblowern, die Vertraulichkeit der Meldung und die der Personen, die möglichweise von der Meldung betroffen sind, wahren. Der Meldekanal muss auch Personen offenstehen, die beruflich mit dem Unternehmen im Kontakt stehen – beispielsweise Lieferanten oder Freelancern. Jedoch müssen Unternehmen ein Meldesystem nicht zwangsläufig selbst betreiben, es kann auch von externen Dienstleistern zur Verfügung gestellt werden, beispielsweise von einem externen Datenschutzbeauftragten. Aufgrund der Stellung im Unternehmen und der Hauptaufgabe, die sich dem Schutz von Betroffenen widmet, ist das in der Praxis eine gute Lösung.

Wer ist von der Whistleblowing-Richtlinie betroffen?

Unternehmen, die mehr als 250 Personen beschäftigen, mussten bereits ab dem 17.12.2021, eine Whistleblowing-Hotline einzurichten. Unternehmen, die mehr als 50, aber maximal 249 Personen beschäftigen, müssen die Whistleblowing-Richtlinie ab 17.12.2023 umsetzen. Unternehmen, die zwischen 50 und 249 Beschäftigte haben, können eine „gemeinsame Meldestelle“ betreiben.

Grundsätzlich soll die Richtlinie von Unternehmen umgesetzt werden, die mehr als 50 Beschäftigte haben, jährlich mehr als 10 Millionen Euro Umsatz machen oder im Finanzsektor tätig sind. Auch öffentliche Arbeitgebende sowie öffentliche Einrichtungen und Kommunen mit mehr als 10.000 Einwohnern sollen künftig verpflichtet sein, ein internes Meldesystem einzurichten. Betroffen sind also:

• Juristische Personen des Privatrechts, z. B. eingetragene Genossenschaften und Vereine, Aktiengesellschaften, Kommanditgesellschaften oder Gesellschaften mit beschränkter Haftung
• Juristische Personen des öffentlichen Rechts
• Rechtsfähige Personengesellschaften
• Sonstige rechtsfähigen Personenvereinigungen

Whistleblowing-Richtlinie: Sanktionen

Setzen betroffene Organisationen die gesetzliche Verpflichtung zum Einrichten der internen Meldestelle nicht um, drohen Bußgeldverfahren. Dasselbe droht jedoch auch Whistleblowern, die wissentlich unrichtige Informationen offenlegen. Neben möglichen Sanktionen enthält die Richtlinie auch Schadenersatzvorschriften: Verstößt einerseits eine Organisation gegen das Repressalienverbot, steht der hinweisgebenden Person Schadenersatz zu. Andererseits können hinweisgebende Personen bei vorsätzlichen oder grob fahrlässigen Falschmeldungen zum Schadenersatz verpflichtet werden.

Whistleblowing-Richtlinie und der Datenschutz

Die deutschen Datenschutzbehörden sehen beim Einrichten und Nutzen firmeninterner Meldekanäle die Möglichkeit einer datenschutzgerechten Gestaltung. Jedoch kann die Meldung von etwaigen Missständen hohe Risiken für die Rechte und Freiheiten von natürlichen Personen mit sich bringen. In Einzelfällen kann daher eine Datenschutz-Folgeabschätzung notwendig werden. Die Datenschutzkonferenz (DSK) hat sich damit bereits auseinandergesetzt und gibt Hinweise in der „Orientierungshilfe der Datenschutzaufsichtsbehörden zu Whistleblowing-Hotlines“.

Nachdem das Kabinett das Hinweisgeberschutzgesetz beschlossen hatte, äußerte sich auch der Branchenverband bitkom: „Deutschland muss mehr für den Schutz von Whistleblowern tun. […] Es ist Zeit, dass die Bundesregierung die EU-Vorgaben umsetzt. Der aktuelle Zeitdruck darf aber nicht dazu führen, dass diese wichtigen Vorschriften zu neuen Rechtsunsicherheiten führen, weil Details und bestehende Regulierungen nicht ausreichend berücksichtigt werden. Das gilt insbesondere beim Datenschutz. So müssen alle Vorgaben zur Datenverarbeitung, Datenspeicherung und Datenlöschung unbedingt im Einklang mit der europäischen Datenschutz-Grundverordnung (DS-GVO) formuliert werden. Und um vor allem für kleine und mittelständische Unternehmen den Umsetzungsaufwand zu reduzieren, sollte die erforderliche Datenschutz-Folgenabschätzung bereits im Gesetzgebungsverfahren durchgeführt werden, wie dies in der Vergangenheit bereits beim Patienten-Datenschutzgesetz erfolgreich gelungen ist.“

Handlungsempfehlung zur Whistleblowing-Richtlinie

Grundsätzlich empfehlen wir allen betroffenen Unternehmen sich – wenn noch nicht geschehen – mit der Umsetzung der Whistleblowing-Richtlinie auseinanderzusetzen. Für Unternehmen mit 50 bis 249 Mitarbeitenden gilt es nun geeignete Verfahren und Meldekanäle einzuführen und Richtlinien sowie Prozesse für den Umgang mit Hinweisen zu schaffen.

Beachtet beim Einrichten dieser Prozesse und Richtlinien die Vorgaben: Interne Meldestellen müssen Whistleblowern binnen sieben Tagen den Eingang der Meldung bestätigen und binnen drei Monaten muss die hinweisgebende Person darüber informiert werden, ob und welche Maßnahmen ergriffen wurden (z. B. ob eine interne Untersuchung eingeleitet oder der Fall an eine zuständige Behörde weitergegeben wurde).

Alles in allem ist das Implementieren eines Hinweisgebersystems komplex – organisatorische und rechtliche Anforderungen müssen bedacht werden. Befasst Euch deshalb so zeitnah wie möglich mit der Umsetzung der Whistleblowing-Richtlinie und lasst Euch kompetent beraten! Es ist damit zu rechnen, dass das Gesetzgebungsverfahren bald in die letzte Runde geht – viel Zeit bleibt Euch dann nicht mehr. Habt Ihr Fragen rund um die Whistleblowing-Richtlinie? Dann nehmt Kontakt zu uns auf; wir beraten euch passgenau!