Die Whistleblower-Richtlinie der EU, Teil 1: Alles, was Sie wissen müssen

Die Regeln für die Meldung von Verstößen in Europa verändern sich durch die EU-Whistleblower-Richtlinie grundlegend. Daher steht es außer Frage, dass Unternehmen, Organisationen und lokale Behörden jetzt handeln müssen. Die Bestimmungen müssen von Unternehmen und Organisationen mit mehr als 250 Beschäftigten (Definition unten) bis zum 17. Dezember 2021, und von Unternehmen und Organisationen mit 50 bis 249 Beschäftigen bis zum 17. Dezember 2023 umgesetzt werden.

Grund für die EU-Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, war eine Reihe von Skandalen wie LuxLeaks, Cambridge Analytica, die Panama Papers und Barclays, die durch Hinweisgeber aufgedeckt wurden und in der Öffentlichkeit Furore machten. Im Fall von Barclay wurde die Bank mit einer Geldstrafe in Höhe von 15 Millionen Dollar (mehr als 12,5 Millionen Euro) belegt, weil die Geschäftsleitung versucht hatte, einen Hinweisgeber zu entlarven. Das Finanzministerium des US-Bundesstaats New York hatte nach eigenen Angaben Mängel in der Unternehmensführung, der Steuerung und der Unternehmenskultur in Bezug auf den Umgang mit Hinweisgebern bei Barclay gefunden.

Laut dem Sprachgebrauch der EU gibt eine Richtlinie vor, was die einzelnen Mitgliedstaaten (Länder) in der Gesetzgebung erreichen müssen. Doch es steht den Staaten frei, zu entscheiden, wie sie die Richtlinie innerhalb von zwei Jahren in nationales Recht umsetzen. So sieht diese EU-Whistleblower-Richtlinie beispielsweise Mindeststandards für die Reaktion auf und den Umgang mit Verstößen vor, die von Hinweisgebern vorgebracht wurden.

Die Mitgliedstaaten erhalten durch die Richtlinie auch die Befugnis, Unternehmen und Organisationen im privaten Sektor mit weniger als 50 Beschäftigten zur Einrichtung eines internen Hinweisgebersystems zu ermutigen. Wenn ein Mitgliedstaat sich für diesen Ansatz entscheidet, kann er seine Anforderungen an diese kleineren Unternehmen weniger streng formulieren, sofern dabei eine angemessene Vertraulichkeit und Weiterverfolgung gewährleistet ist. Es bleibt abzuwarten, welche Anreize es geben wird, und welches Angebot die entsprechende Branche kleineren Unternehmen unterbreiten wird, wie zum Beispiel eine „Helpline lite”.

Dieser erste von zwei Artikeln erläutert die wichtigsten Anforderungen der Richtlinie zum Schutz von Hinweisgebern und beleuchtet weitere wichtige Fragen zu einem Thema, dem sich europäische Unternehmen heute stellen müssen. Im zweiten Teil dieser Artikelserie werden praktische Maßnahmen zur Einhaltung der Richtlinie vorgestellt.

Welche Unternehmen, Organisationen und lokale Behörden sind von der EU-Whistleblower-Richtlinie betroffen?

Unternehmen, Organisationen und lokale Behörden

Der Anwendungsbereich der Richtlinie ist in jeder Hinsicht sehr umfassend. So verpflichtet die Richtlinie beispielsweise alle Unternehmen und Organisationen mit mehr als 50 Beschäftigten (sowie lokale Behörden, die Dienstleistungen für mehr als 10.000 Menschen erbringen), interne Kanäle und Verfahren für die Meldung von Verstößen einzurichten. Angesichts der Tatsache, dass die Mehrheit der EU-Mitgliedsstaaten bisher keine Verfahren zum Schutz von Hinweisgebern hat, ist dies eine große Veränderung. Und selbst wenn es solche Verfahren gibt, sind sie meist auf bestimmte Sektoren wie Finanzdienstleistungen und das Gesundheitswesen beschränkt.

„Arbeitnehmer”

Der Begriff des „Arbeitnehmers” wird in der EU sehr vielschichtig gebraucht. Er beinhaltet nicht nur reguläre Angestellte, sondern auch Beschäftigte in einer breiten Palette an Beschäftigungsverhältnissen wie: Teilzeitbeschäftigte, Auszubildende, Arbeitnehmer mit befristeten Arbeitsverträgen und Praktikanten. Der Schwellenwert von 50 Arbeitnehmern kann für Unternehmen und Organisationen, deren Mitarbeiterzahl um diesen Wert schwankt, problematisch sein. Die sicherste (und aus Sicht der Unternehmensführung beste) Option wäre natürlich, einfach die erforderlichen internen Berichtswege einzurichten.

Ort

In der Richtlinie ist nicht festgelegt, ob die Arbeitnehmer in der EU ansässig sein müssen. Es kann jedoch davon ausgegangen werden, dass jede juristische Person mit Sitz in der EU, die mehr als 50 Arbeitnehmer beschäftigt, die EU-Whistleblower-Richtlinie unabhängig davon einhalten muss, wo sich die Arbeitnehmer befinden, sei es innerhalb oder außerhalb der EU.

Ebenso unklar ist, ob Unternehmen aus Nicht-EU-Ländern, die mehr als 50 Arbeitnehmer in der EU beschäftigen, die Richtlinie einhalten müssen. Da ihre in der EU beschäftigten Arbeitnehmer jedoch den geltenden EU-Arbeitsgesetzen unterliegen, ist es sehr wahrscheinlich, dass diese Unternehmen unabhängig vom Standort des Arbeitgebers unter diese Richtlinie fallen. Hier wäre es ebenfalls am sichersten (und aus Sicht der Unternehmensführung am besten), die erforderlichen internen Meldewege einzurichten, auch wenn einzelne Mitgliedsstaaten diese Punkte mit der Umsetzung der Richtlinie in nationales Recht voraussichtlich klären werden.

In welchem Anwendungsbereich wird die EU-Whistleblower-Richtlinie gelten?

Aktueller Anwendungsbereich

Gegenwärtig ist der Anwendungsbereich für die Meldung von Verstößen in den EU-Mitgliedstaaten sowohl eingeschränkt als auch variabel. Mehrere Mitgliedstaaten haben die Leitlinien der Stellungnahme 1/2006 der Artikel 29-Datenschutzgruppe übernommen, die interne Regelungen zur Meldung von Verstößen im Wesentlichen auf die Bereiche „Rechnungslegung, interne Rechnungslegungskontrollen, Fragen der Wirtschaftsprüfung, Bekämpfung von Korruption, Banken- und Finanzkriminalität” beschränkt. Doch einige Mitgliedsstaaten haben diese Stellungnahme nicht übernommen, andere haben sich für einen größeren Anwendungsbereich entschieden, häufig um den Entwicklungen in der internationalen Gesetzgebung, insbesondere dem US-amerikanischen Sarbanes-Oxley-Act zu entsprechen. Außerdem begrenzen einige Mitgliedstaaten – zumindest theoretisch – die Rollentypen auf die sich eine Meldung beziehen darf.

Anwendungsbereich der Richtlinie

Die Richtlinie konzentriert sich auf das Unionsrecht. Infolgedessen gestattet es die Richtlinie Hinweisgebern, zumindest ein sehr breites Spektrum von Gesetzesverstößen zu melden, einschließlich:

  • Verbraucherschutz
  • öffentliches Auftragswesen
  • Finanzdienstleistungen, Finanzprodukte und Finanzmärkte sowie Verhinderung von Geldwäsche und Terrorismusfinanzierung
  • öffentliche Gesundheit
  • Produktsicherheit
  • Verkehrssicherheit
  • Umweltschutz
  • Strahlenschutz und kerntechnische Sicherheit
  • Lebensmittel- und Futtermittelsicherheit, Tiergesundheit und Tierschutz
  • Schutz der Privatsphäre und personenbezogener Daten sowie Sicherheit von Netz- und Informationssystemen
  • Verstöße gegen die finanziellen Interessen der EU
  • Verstöße gegen die Binnenmarktvorschriften, einschließlich Verstöße gegen Unionsvorschriften über Wettbewerb und staatliche Beihilfen, sowie Verstöße gegen das Körperschaftsteuerrecht

Mögliche Unterschiede im Anwendungsbereich der nationalen Gesetze

Gemäß der EU-Whistleblower-Richtlinie können die Mitgliedstaaten bei der Umsetzung der Richtlinie in nationales Recht den Anwendungsbereich für Meldungen erweitern.

So haben beispielsweise die Niederlande zuvor bereits den „House for Whistleblowers” Act verabschiedet, der Unternehmen und Organisationen ab 50 Beschäftigten dazu verpflichtet, die Meldung eines „mutmaßlichen Fehlverhaltens“ zu ermöglichen, ohne dass ein derartiges Fehlverhalten auf Verstöße gegen Unionsrecht beschränkt ist. Infolgedessen werden die derzeitigen, oben erwähnten unterschiedlichen Anwendungsbereiche wahrscheinlich fortbestehen, wobei mehrere Mitgliedstaaten ihren eigenen Ansatz verfolgen. Es wird sich für Unternehmen und Organisationen als sehr wichtig erweisen, den Anwendungsbereich zu kennen und regelmäßig zu aktualisieren, da ein entsprechendes Versäumnis erhebliche Konsequenzen haben könnte. Ein einheitlicher Ansatz für alle ist einfach nicht ausreichend. Im zweiten Teil dieses zweiteiligen Artikels gehen wir näher auf dieses Thema ein.

Ist das Meldeverfahren festgelegt?

Die Richtlinie verlangt von Unternehmen und Organisationen, dass sie eine Reihe von Meldekanälen zur Verfügung stellen. Dazu gehören Meldungen per Post, Briefkasten, online, Telefon und/oder Sprachnachrichten. Auf Wunsch des Hinweisgebers sollte das Unternehmen oder die Organisation auch eine Meldung bei einem persönlichen Treffen ermöglichen, das innerhalb eines „angemessenen” Zeitrahmens stattfinden sollte.

Die EU-Whistleblower-Richtlinie nennt auch die Möglichkeit, Drittanbieter mit der Entgegennahme von Hinweisen im Namen des Unternehmens oder der Organisation zu beauftragen. Diese Drittanbieter können von externen Helpline-Anbietern bis hin zu externen Anwälten, anerkannten Wirtschaftsprüfern, Gewerkschaftsvertretern und/oder anderen Arbeitnehmervertretern, einschließlich Mitgliedern von Betriebsräten, reichen. Durch diesen Hinweis werden einige, in den EU-Mitgliedstaaten bestehende Ansätze anerkannt.

Der Drittanbieter, dem diese Aufgabe übertragen wird, muss unabhängig davon, um wen es sich dabei handelt, seine Vertraulichkeit, Unabhängigkeit und Einhaltung der Datenschutzbestimmungen unter Beweis stellen. Diese letztgenannte Anforderung kann dann eine große Herausforderung darstellen, wenn internationale Organisationen und internationale Datentransfers beteiligt sind.

Was steht in der EU-Whistleblower-Richtlinie über anonyme Meldungen?

Gegenwärtig verfolgen die EU-Mitgliedstaaten sehr unterschiedliche Ansätze in Bezug auf anonyme Meldungen, angefangen vom Verbot anonymer Meldungen in Portugal bis zu der Empfehlung in Deutschland, dass aufgrund der deutschen Interpretation der Datenschutzgrundverordnung (DSGVO) alle Meldungen anonym zu erfolgen haben. Andere Mitgliedsstaaten gestatten beispielsweise eine anonyme Meldung, allerdings ohne die Unternehmen und Organisationen dazu zu verpflichten, diesen Meldungen nachzugehen, oder sie gestatten anonyme Meldungen, verlangen aber, dass diese Möglichkeit nicht propagiert wird.

Viele dieser Ansätze sind tief in der Geschichte der einzelnen Länder verwurzelt. Die EU-Whistleblower-Richtlinie berührt weder diese noch die Befugnisse der einzelnen Mitgliedstaaten, über ihre Haltung zu anonymen Meldungen zu entscheiden. Da es sich hierbei um eine EU-Richtlinie und nicht um eine EU-Verordnung handelt (die in jedem Mitgliedsstaat rechtsverbindlich ist und in der gesamten EU gleichzeitig in Kraft tritt), obliegt die Entscheidung über eine anonyme Meldung dem jeweiligen Mitgliedsstaat im Rahmen seiner nationalen Umsetzung.

Unabhängig vom Umgang der einzelnen Mitgliedstaaten mit anonymen Meldungen legt die Richtlinie fest, dass ein Hinweisgeber, der Informationen über Verstöße gegen das Unionsrecht anonym meldet oder publik macht, dennoch durch die Richtlinie geschützt ist, wenn er identifiziert wird und Repressalien ausgesetzt ist.

Wen schützt diese Richtlinie? Der Begriff „Arbeitsverhältnis”

Der Anwendungsbereich dieser Richtlinie wurde bewusst besonders weit gefasst. Sie schützt alle Hinweisgeber, die im Rahmen eines so genannten „Arbeitsverhältnisses” Wissen über Verstöße gegen das Unionsrecht erhalten haben, unabhängig von der Art ihrer Tätigkeit und davon, ob sie dafür bezahlt werden und ob sie EU-Bürger sind oder nicht. Daher schützt diese Richtlinie:

  • Arbeitnehmer wie zum Beispiel gegenwärtige und frühere (Teil- oder Vollzeit-)Angestellte und Zeitarbeiter
  • Personen, die keine Arbeitnehmer sind, aber eine wichtige Rolle in der Aufdeckung von Verstößen gegen das Unionsrecht spielen und daher einem Risiko ausgesetzt sein können („wirtschaftliche Abhängigkeit”), wie Vertragsnehmer, Subunternehmer, Selbstständige, Freiberufler, Lieferanten, Anbieter, Interessengruppen und Mitglieder von Berufsverbänden
  • Bewerber um eine Stelle oder eine Arbeit, zum Beispiel Personen, die Dienstleistungen für ein Unternehmen oder eine Organisation erbringen wollen und die, nachdem sie im Rahmen dieses Prozesses Informationen erhalten haben, mit Repressalien konfrontiert werden, etwa dem Eintrag in eine schwarze Liste, einer Verleumdungskampagne, negativen Referenzen oder Boykottmaßnahmen
  • Auszubildende und Praktikanten (bezahlt oder unbezahlt)
  • ehrenamtlich Tätige

Dieser Anwendungsbereich wurde folglich sehr weit gefasst, damit die Richtlinie jeden schützen kann, der aufgrund seines Arbeitsverhältnisses zum Hinweisgeber werden könnte.

Entscheidend ist, dass der Hinweisgeber lediglich berechtigte Gründe für seine Annahme haben muss, dass das, was er melden möchte, wahr ist, und dass seine Motive für die Meldung (ob gut oder schlecht) keine Relevanz haben. Es handelt sich dabei um eine bemerkenswerte Abwandlung des üblichen Handelns „nach Treu und Glauben”.

Beschäftigt sich die EU-Whistleblower-Richtlinie mit Repressalien? Gibt es darin etwas Einzigartiges?

Das Hauptaugenmerk der Richtlinie liegt angesichts ihres Zwecks und ihrer Natur auf Repressalien. Die Richtlinie verpflichtet die Mitgliedsstaaten dazu, jede Form von Repressalien zu verbieten und eine Reihe von Schutzmaßnahmen einzurichten. Obwohl diese Maßnahmen weitgehend auf die Ebene der Mitgliedstaaten zielen, setzen sie eindeutig einen Maßstab für Prozesse in Unternehmen und Organisationen. Es kann erwartet werden, dass bei größeren Meldungen von Verstößen untersucht wird, welche Schutzmaßnahmen, Strategien und dergleichen vorhanden waren und wie wirksam sie eingesetzt wurden.

Die Richtlinie sieht vor, dass Mitgliedsstaaten Schutzmaßnahmen etablieren, wie unabhängige Beratung für Hinweisgeber, sofortige Abhilfemaßnahmen bei Repressalien, Schutz vor Haftung, Schutz bei Gerichtsverfahren sowie andere Unterstützungsleistungen, einschließlich finanzieller und psychologischer Unterstützung.

Die Abhilfemaßnahmen dienen dazu, fortgesetzte Repressalien am Arbeitsplatz zu beenden. Außerdem sollen sie bis zum Ausgang eines Gerichtsverfahrens Entlassungen (Kündigung/Entlassung) vermeiden. Gemäß der Richtlinie wird nicht davon ausgegangen, dass Hinweisgeber gegen gesetzliche oder vertragliche Beschränkungen der Weitergabe von Informationen verstoßen haben, und sie werden nicht für die Weitergabe von Informationen haftbar gemacht. Hinweisgeber können die Anforderungen der Richtlinie bei ihrer Verteidigung vor Gericht verwenden.

Nahezu einzigartig ist in der EU-Whistleblower-Richtlinie eine „Umkehrung der Beweislast” in Bezug auf Repressalien: Nicht der Hinweisgeber muss nachweisen, dass er Repressalien ausgeliefert war, sondern das Unternehmen oder die Organisation muss darlegen, dass es keine Repressalien ausgeübt hat. Die Vermeidung von Repressalien erstreckt sich in den meisten Unternehmen und Organisationen lediglich auf eine Richtlinie oder eine regelmäßige Nachverfolgung im Anschluss an die Meldung. Die Umkehr der Beweislast macht daher vermutlich einen Ansatz zur Bekämpfung von Repressalien erforderlich, der nachweislich proaktiver und kommunikativer gestaltet ist. Er sollte eine Analyse der Meldungen von Hinweisgebern und deren Folgen für die Hinweisgeber enthalten, einschließlich der Auswirkungen auf Maßnahmen wie Vergütung, Prämien, Jahresgespräch, Überstunden und Schichtzuweisungen.

Wie können/sollten Hinweisgeber Meldung machen? Gibt es eine „Meldehierarchie”?

In der Richtlinie ist ausgeführt, dass Hinweisgeber gebeten werden sollten, zunächst die interne Meldung ihres Unternehmens oder ihrer Organisation zu nutzen, sofern diese Kanäle für sie zugänglich sind und voraussichtlich auch funktionieren. Diese „erste Meldung” ist natürlich eine hervorragende Gelegenheit. Sie stellt aber auch eine Herausforderung dar, auf die wir im zweiten Teil dieser Serie näher eingehen werden.

Laut EU-Whistleblower-Richtlinie wird von den Mitgliedstaaten erwartet, dass sie eigene externe Meldewege einrichten, die Meldungen nachverfolgen und den Hinweisgebern Rückmeldung geben. Wann Letzteres zu erfolgen hat, kann von der Komplexität der Meldung abhängen. Hinweisgeber haben das Recht, Verstöße direkt an Behörden zu melden, wenn ihr Unternehmen oder ihre Organisation keine internen Meldekanäle eingerichtet hat, diese zwar vorhanden sind, aber nicht funktionieren, nicht rechtzeitig tätig werden oder keine geeigneten Maßnahmen ergreifen.

Hinweisgeber können unter einer Reihe weiterer Umstände auch (direkt) an die Behörden melden. Dies ist der Fall, wenn sie glauben, Repressalien ausgesetzt zu werden oder sich in einer Situation zu befinden, in der Behörden besser effektive Maßnahmen ergreifen können. Letzteres schließt beispielsweise Umstände ein, in denen der Hinweisgeber nicht weiß, wohin er sich wenden soll, etwa wenn die oberste Führungskraft, der Vorstand, der Eigentümer usw. an dem Rechtsverstoß beteiligt ist.  Ähnliche Umstände liegen vor, wenn der Verstoß oder die damit zusammenhängenden Beweise verheimlicht oder vernichtet werden könnten, wenn eine Untersuchung gefährdet sein könnte (zum Beispiel in Wettbewerbs-/Kartellrechtsfällen) oder wenn dringende Maßnahmen erforderlich sind, zumeist in Fällen, in denen es um Gesundheit, Sicherheit und Umweltschutz geht.

Und schließlich kann ein Hinweisgeber eine öffentliche Enthüllung (an die Presse oder ähnliche Organisationen) vornehmen, ohne dass er den Schutz durch die Richtlinie verliert. Eine öffentliche Enthüllung ist dann angemessen, wenn der Verstoß zwar intern und/oder extern gemeldet, aber nicht bearbeitet oder gelöst wurde, wenn die Gefahr von Repressalien besteht oder wenn es bei der externen Behörde selbst einen Interessenkonflikt gibt.

Zusammenfassung

Zweifellos ist die EU-Whistleblower-Richtlinie ein umfangreiches Gesetzeswerk. Der gesamte, 131 Seiten starke Text in deutscher Sprache ist unter diesem Link zu finden. Da es sich um eine Richtlinie handelt, haben die einzelnen EU-Mitgliedsstaaten die Möglichkeit, den Anwendungsbereich für die Meldung bei der Umsetzung in lokales Recht zu erweitern. Einige Staaten können diese Möglichkeit nutzen, um die Entwicklung ihrer eigenen Gesetzgebung zu Hinweisgebern zu überarbeiten. Die Richtlinie ist für Unternehmen und Organisationen – jeder Größenordnung – mit wesentlichen Veränderungen verbunden. Sie müssen sich nun in einer, zumindest in der EU bisher nicht dagewesenen Art und Weise, mit der Meldung von Verstößen, Helplines und Hinweisgebern befassen.

Die Richtlinie beschreibt Mindeststandards dafür, wie Unternehmen und Organisationen mit Meldungen von Hinweisgebern umgehen und auf sie reagieren sollten. Angesichts der damit verbundenen Fristen ist es erforderlich, jetzt Maßnahmen zur Erfüllung der in der Richtlinie formulierten Anforderungen zu ergreifen. Dazu gehört die Überprüfung aller vorhandenen Helplines für Hinweisgeber und vor allem die Anpassung interner Prozesse an die Maßgaben der Richtlinie.

Im zweiten Teil dieser Serie geht es um die praktischen Maßnahmen, die Unternehmen und Organisationen aufgrund der EU-Whistleblower-Richtlinie nun zu ergreifen haben. Außerdem finden Sie weiter unten einen Leitfaden mit häufig gestellten Fragen zur EU-Whistleblower-Richtlinie zum Download.

Teil 2 lesen

Leitfaden mit häufig gestellten Fragen zur Whistleblower-Richtlinie herunterladen