EU-Whistleblower-Richtlinie richtig umsetzen (sponsored)

Spätestens seit Edward Snowden Details über geheimdienstliche Überwachungsprojekte veröffentlichte, sind Whistleblower nahezu jedem ein Begriff. Obwohl ihnen lange Zeit das negative Image von Verrätern anhaftete, haben inzwischen viele Unternehmen den Wert von Whistleblowern erkannt: Sie können sie vor schweren Imageschäden bewahren.

Was ist ein Whistleblower?

Whistleblower werden im Deutschen als Hinweisgeber bezeichnet. Sie berichten von unethischem oder ungesetzlichem Verhalten, das zuvor im Verborgenen abgelaufen ist, und decken so etwa Fälle von Korruption, Menschenrechtsverletzungen, Betrügereien, Bestechungsfälle oder Datenschutzverstöße auf. Sie tragen ihr Wissen in aller Regel anonym an eine entsprechende Meldestelle heran, um dieses Fehlverhalten ans Licht zu bringen.

Ziel der EU-Whistleblower-Richtlinie: Schutz für Hinweisgeber

Die EU-Kommission hat am 23. Oktober 2019 die neue EU-Whistleblower-Richtlinie EU 2019/1937 in Kraft gesetzt. Ganz so neu ist sie also gar nicht. Sie ist jedoch nun wieder in den Fokus der Betrachtung gerückt, weil Mitte Dezember 2021 die Umsetzungsfrist für die Mitgliedstaaten abgelaufen ist. Deutschland hat ebenso wie zahlreiche andere EU-Länder bislang kein Gesetz zum Schutz von Hinweisgebern umgesetzt und somit gegen EU-Recht verstoßen.

Ziel der EU-Richtlinie ist, Whistleblower vor Repressalien zu schützen. Dadurch sollen diese animiert werden, Verstöße gegen Unionsrecht oder ein unethisches Verhalten in Unternehmen offenzulegen, ohne Angst vor Sanktionen haben zu müssen.

Die EU-Kommission hat im Januar 2022 ein Vertragsverletzungsverfahren eingeleitet, unter anderem gegen Deutschland. Da auch der aktuelle Koalitionsvertrag die Umsetzung des Gesetzes plant, wird sicherlich schon bald der bereits seit 2020 vorliegende Gesetzentwurf für das deutsche Hinweisgeberschutzgesetz (HinSchG-E) wieder aufgegriffen werden. Dieses soll sogar Regelungen treffen, die noch weitergehen als die der EU-Richtlinie.

Für wen gilt die EU-Whistleblower-Richtlinie?

Unter den Geltungsbereich der EU-Richtlinie fallen folgende Unternehmen und Behörden:

• Unternehmen ab 250 Beschäftigten
• im Finanzsektor tätige Unternehmen
• Einrichtungen der öffentlichen Hand
• Behörden
• Gemeinden mit mehr als 10.000 Einwohnern

Der deutsche Gesetzentwurf sieht sogar noch engere Grenzen vor: So müssen sich auch deutsche Unternehmen mit mehr als 50 Mitarbeitern sowie Firmen mit mehr als 10 Millionen Euro Jahresumsatz darauf einstellen, dass die Pflicht sie treffen könnte – noch ist der Entwurf aber nicht verabschiedet. Aktuell ist außerdem für Unternehmen mit 50 bis 249 Angestellten eine verlängerte Übergangsfrist bis zum 17. Dezember 2023 vorgesehen – sie müssen also noch nichts unternehmen.

Verpflichtungen aus der EU-Whistleblower-Richtlinie

Unternehmen werden durch die EU-Whistleblower-Richtlinie dazu verpflichtet, einen internen Meldekanal bereitzustellen, über den Hinweisgeber Informationen sicher und vertraulich weitergeben können. Ziel ist, die Identität des Hinweisgebers vertraulich zu behandeln und nicht zu veröffentlichen. Zudem schreibt die Richtlinie vor, dass innerhalb von sieben Tagen wenigstens eine Eingangsbestätigung verschickt und weitere Bearbeitungsfristen eingehalten werden müssen. Die übermittelten Daten sind DSGVO-konform zu verarbeiten.

Damit jeder Whistleblower von dem zusätzlichen Schutz profitieren kann, sind nicht nur die unternehmenseigenen Mitarbeiter umfassend und gut verständlich aufbereitet über den Meldekanal zu informieren, sondern auch Geschäftspartner, Lieferanten und andere Dienstleister.

Zusätzlich zu diesen internen Meldekanälen sollen die Mitgliedstaaten externe Kanäle einrichten, über die sich Whistleblower melden können, falls es im Unternehmen keine geeignete Möglichkeit gibt. Unternehmen sollten allerdings ein hohes Interesse daran haben, adäquate interne Anlaufstellen zu schaffen. Nur so können sie dazu beitragen, dass sensible Daten das Unternehmen nicht verlassen und in die Öffentlichkeit gelangen. Dies könnte sich fatal auf das Unternehmensimage auswirken.

Umsetzung der Whistleblower-Richtlinie für Arbeitgeber

Arbeitgeber mit mehr als 250 Mitarbeitern sind jetzt schon im Zugzwang – denn auch wenn die EU-Whistleblower-Richtlinie noch nicht in nationales Recht umgesetzt wurde, muss sie bereits eingehalten werden. Die Übergangsfrist ist zum 17. Dezember 2021 ausgelaufen. Und auch Unternehmen mit weniger Beschäftigten sollten sich auf die Überführung der Richtlinie in nationales Recht vorbereiten. Dieser Überblick hilft bei der schrittweisen Umsetzung:

• Ansprechpartner: Es muss eine zentrale Ansprechperson für Meldungen geben, die am besten unabhängig vom Unternehmen ist, etwa ein extern beauftragter Datenschutzbeauftragter.
• Meldekanal: Wie Unternehmen den interne Meldekanal umsetzen, ist ihnen zunächst selbst überlassen. Das System muss allerdings sicher vor unbefugten Dritten sowie rund um die Uhr erreichbar sein. Idealerweise bietet das System die Möglichkeit, Dialoge zu führen. E-Mail-Postfächer sind zwar eine einfache Lösung, allerdings lässt sich bei dieser Variante weder die Anonymität des Hinweisgebers wahren noch ein sicherer Austausch von Informationen gewährleisten. Sinnvoller ist eine spezielle Whistleblower-Software, die die Voraussetzungen erfüllt.
• Beweislastumkehr: Whistleblower sind nur dann wirklich vor Repressalien geschützt, wenn sie die gemeldeten Informationen nicht selbst nachweisen müssen – was sich in der Praxis meist schwierig gestaltet. Die Richtlinie normiert deshalb eine Beweislastumkehr. Behauptet der Hinweisgeber, dass das Unternehmen Druck auf ihn ausgeübt hat, muss dieses das Gegenteil beweisen. Wurde also etwa wenig später eine Kündigung ausgesprochen, muss der Arbeitgeber nachweisen, dass diese nicht mit den übermittelten Informationen im Zusammenhang stand. Kann er diesen Nachweis nicht erbringen, macht er sich gegebenenfalls sogar schadenersatzpflichtig. Die Beweislastumkehr gilt allerdings nicht, wenn der Whistleblower vorsätzlich oder grob fahrlässig falsche Sachverhalte meldet.
• Dokumentation: Fallen Arbeitnehmer, die Hinweisgeber sind, durch Pflichtverletzungen auf, gilt es, diese genau zu dokumentieren. Nur so lässt sich sicherstellen, dass der benötigte Nachweis im Fall von arbeitsrechtlichen Konsequenzen geführt werden kann.
• Beteiligung des Betriebsrats: Bei der Einführung eines Whistleblowing-Systems müssen Arbeitgeber den Betriebsrat beteiligen (§ 87 Abs. 1 Nr. 1, 6 BetrVG).

Fazit: Arbeitgeber sollten jetzt aktiv werden

Um negative Folgen zu vermeiden, sollten Unternehmen jetzt zeitnah geeignete Lösungen suchen, um die EU-Whistleblower-Richtlinie umzusetzen. Es ist nur noch eine Frage der Zeit, bis die deutsche Gesetzgebung nachzieht. Deshalb macht es Sinn, sich schon heute mit den Anforderungen des Gesetzentwurfs auseinanderzusetzen und diese nach Möglichkeit direkt umzusetzen.

Auch wenn es im ersten Schritt natürlich erst einmal einen hohen Aufwand verursacht, kann sich das Meldesystem auch intern positiv auswirken. Es signalisiert der Belegschaft, dass Hinweisgeber ernst genommen werden und Fehlverhalten gemeldet werden soll. Zugleich beugen Unternehmen so der Gefahr vor, dass – nie ganz zu verhinderndes – Fehlverhalten direkt an die Öffentlichkeit gelangt.