Die europäische Whistleblower-Richtlinie (RL (EU) 2019/1937, im Folgenden WB-RL) ist am 16.09.2019 in Kraft getreten und musste von den EU-Mitgliedstaaten bis zum 17.12.2021 in nationales Recht umgesetzt werden. U.a. Deutschland hat diese Frist zunächst verstreichen lassen. Ziel der EU-Richtlinie ist, die Meldebereitschaft von Hinweisgebern zu fördern, indem die EU-Mitgliedstaaten einheitlich entsprechende Hinweisgeber-Systeme implementieren und Hinweisgeber – ebenfalls einheitlich – unter besonderen Schutz stellen müssen, um so EU-weit die Stabilität der Märkte und einen rechtlich einheitlichen Handlungs- und Bewertungskodex zu gewährleisten. Insoweit enthält die WB-RL fünf verbindliche Vorgaben, welche in nationales Recht übernommen werden müssen: (i) die Pflicht zur Einrichtung und zum Betrieb interner Hinweisgeber-Systeme (Art. 8 WB-RL), (ii) die Pflicht zur Einrichtung und zum Betrieb externer Hinweisgeber-Systeme (Art. 11 WB-RL), (iii) das Recht zur Offenlegung von Meldungen unter bestimmten Voraussetzungen (Art. 15 WB-RL), (iv) das Verbot von Repressalien gegen Hinweisgeber (Art. 19 WB-RL) und (v) die Beweislastumkehr zugunsten von Hinweisgebern (Art. 21 Abs. 5 WB-RL). Der sachliche Anwendungsbereich der WB-RL ist aufgrund der begrenzten unionsrechtlichen Gesetzgebungskompetenz allerdings auf bestimmte Meldegegenstände beschränkt. Erfasst wird im Wesentlichen die Meldung gegenüber externen und internen Meldestellen sowie die öffentliche Informationsweitergabe von Verstößen und rechtsmissbräuchlichem Verhalten in abschließend genannten Regulierungsbereichen wie öffentliches Auftragswesen, Produktsicherheit und -konformität, Verkehrssicherheit, Umwelt- und Verbraucherschutz (vgl. abschließende Aufzählung in Art. 2 Abs. 1 WB-RL).
Im Rahmen der Richtlinienumsetzung haben die Regierungsparteien indes in Anlehnung an eine gemeinsame Festlegung im Koalitionsvertrag bei dem von Ihnen entworfenen neuen Hinweisgeberschutzgesetz (HinSchG) von der Möglichkeit Gebrauch gemacht, auch weitere, außerhalb des Anwendungsbereiches der WB-RL liegende Rechtsbereiche entsprechend zu reglementieren, indem Hinweisgeber nicht nur bei einer Meldung eines Verstoßes gegen EU-Recht, sondern auch bei einer Meldung von „erheblichen Verstößen gegen Vorschriften oder sonstigem erheblichen Fehlverhalten, dessen Aufdeckung im besonderen öffentlichen Interesse liegt“ unter Schutz gestellt haben.
Für juristische Personen des öffentlichen Sektors und privatwirtschaftliche Unternehmen mit 50 oder mehr Arbeitnehmern sowie Belegschaftsgrößen unabhängig für juristische Personen im Finanzwesen, im Gesundheitswesen und im Energiesektor bedeutete das HinSchG in seiner aktuellen Fassung, dass jedenfalls ab Mitte 2023 interne Hinweisgeber-Systeme implementiert oder bereits bestehende Systeme an den überschießenden Anwendungsbereich des neuen Gesetzes angepasst werden müssten sowie Hinweisgeber den hohen Schutz vor Repressalien wie einer Kündigung oder Versetzung zukünftig nicht nur bei der Meldung von Verstößen gegen EU-Recht, sondern auch bei der Meldung von Verstößen gegen nationales Recht genießen würden.
Am 10. Februar 2023 verweigerte allerdings der Bundesrat die Zustimmung zu dem neuen Hinweisgeberschutzgesetz, gerade wegen der darin normierten überschießenden Ausdehnung des Hinweisgeberschutzes. Insbesondere die unionsgeführten Bundesländer monierten, dass die Vorgaben des Gesetzes vor allem kleinere und mittlere Unternehmen über Gebühr belasten. Zwischenzeitlich wächst indes der Druck der EU auf Deutschland, die WB-RL nun endlich in nationales Recht umzusetzen, die EU-Kommission hat die Bundesrepublik Deutschland nun – vorhersehbar – vor dem EuGH aufgrund der Verletzung von EU-Recht verklagt. Während sich nun voraussichtlich zunächst der Vermittlungsausschuss mit dem am 16.12.2022 vom Bundestag verabschiedeten neuen HinSchG befassen muss, bleibt die Rechtslage für Unternehmen und Whistleblower zunächst weiter unklar. Allerdings müssen sich die Unternehmensleiter aufgrund des erhöhten Drucks auf Deutschland und die Regierungsparteien zunehmend bereithalten, um – insbesondere bzgl. neuer Vorgaben für die Einrichtung entsprechender Meldestellen – schnell reagieren zu können.
Aufgrund der aktuell nach wie vor unklaren gesetzlichen Situation bleibt Geschäftsführern und Organen weiterhin nur die Möglichkeit, sich auf die sich aus den umsetzungspflichtigen Mindestvorgaben der Richtlinie ergebenden Handlungspflichten zu konzentrieren und die für sie daraus entstehenden Haftungsrisiken zu identifizieren und diesen entsprechend vorzubeugen.
Feststeht, dass ein wie auch immer endgültig ausgestaltetes deutsches Umsetzungsgesetz jedenfalls diejenigen natürlichen Personen schützen wird, die in einem – weit zu fassenden – Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese melden. Insoweit ist schon ausreichend, dass der Whistleblower hinreichend Grund zu der Annahme hatte, dass die gemeldeten Informationen über Verstöße zum Zeitpunkt der Meldung der Wahrheit entsprachen und in den Anwendungsbereich der WB-RL fallen. Fest steht daher auch, dass die dem Schutzbereich der WB-RL unterfallenden Unternehmen entsprechende interne Meldestellen einrichten bzw. unterhalten müssen, die sich vor allem an Beschäftige und dem Unternehmen überlassene Leiharbeitnehmer richten müssen. Die bisher verabschiedete Fassung des HinSchG erlaubt zudem, die Meldestellen auch gegenüber Lieferanten oder sonstigen Geschäftspartnern zu öffnen. Zwar geht damit ein Missbrauchspotential einher, jedoch dürfte dies weniger ins Gewicht fallen als drohende Reputationsverluste, die durch eine externe Meldung gegenüber Behörden entstünden. Daher sollten – Stand jetzt – Lieferanten und Geschäftspartner aktiv auf die Nutzung der internen Meldestellen hingewiesen werden.
Die von der WB-RL umfassten Meldegegenstände betreffen ausschließlich Verstöße gegen Unionsrecht in den Richtlinien-definierten Bereichen wie Finanzdienstleistungen, Geldwäschemaßnahmen, Produktsicherheit/-konformität, sowie Lebensmittelsicherheit, Umwelt- und Tierschutz oder Verbraucher- und Datenschutz. § 2 des vorläufig „gekippten“ HinSchG geht darüber noch hinaus, indem neben Straftaten und bestimmten Ordnungswidrigkeiten zahlreiche weitere spezialgesetzliche Rechtsgebiete umfasst werden. Es bleibt abzuwarten, was von dieser umfassenden Aufzählung nach dem Durchlaufen des Vermittlungsausschusses noch verbleibt. Jedenfalls haben die unionsgeführten Bundesländer diese Erweiterung in § 2 HinSchG bisher kategorisch abgelehnt.
Für Unternehmensleiter gilt daher, die Änderungen im Vermittlungsausschuss oder in einem ggf. neu zu verabschiedenden nicht zustimmungspflichtigen Gesetz scharf zu beobachten, definieren diese schließlich den Rahmen der Verstöße, die ein Whistleblower zukünftig melden können muss.
Fest steht indes, unabhängig von etwaigen Änderungen durch den Vermittlungsausschuss oder ein neues, nicht zustimmungspflichtiges Gesetz, dass die der WB-RL unterfallenden Unternehmen das Herzstück der Richtlinie, die Pflicht zur flächendeckenden Einrichtung interner Whistleblowing-Stellen (Art. 8 f.) und den Diskriminierungsschutz für Whistleblower (Art. 6,19 und 21), berücksichtigen und in ihre Unternehmensstruktur integrieren müssen. Denn die Implementierung entsprechender Hinweis-Systeme, die transparente Erläuterung der firmeninternen Meldemöglichkeiten gegenüber Mitarbeitern (und etwaig auch gegenüber Lieferanten und Geschäftspartnern) wird von einer verpflichtend einzurichtenden nationalen Whistleblowing- Behörde überprüft werden können (Art. 11-13).
1. Interne Meldestelle
Für Unternehmen ist die Einrichtung einer internen Meldestelle daher von vorrangiger Bedeutung, womit auch ein Dritter betraut werden darf. Bisher sieht das HinSchG – im Gegensatz zur WB-RL – sog. „Konzernprivileg“ vor, wonach bei Konzerngesellschaften die interne Meldestelle beispielsweise auf die Konzernmutter bzw. ein konzernangehöriges Unternehmen ausgelagert und für alle Tochtergesellschaften gebündelt werden kann. Die Ausgestaltung der internen Meldestellen muss nach der WB-RL zwingend folgende Eigenschaften enthalten:
(i) Die Vertraulichkeit der Identität des Whistleblowers und in der Meldung erwähnter Dritter muss gewahrt werden; unbefugte Mitarbeiter dürfen daher keinen Zugriff auf die Meldung haben (Art. 9 Abs. 2 lit. A, 16 WB-RL);
(ii) Eingehende Meldungen müssen unter Wahrung des Vertraulichkeitsgebots dokumentiert werden und für zwei Jahre gesichert und anschließend sicher gelöscht werden; bei Sprachübermittlungen oder mündlichen Meldungen sind dauerhaft abrufbare Tonaufzeichnungen oder Gesprächsprotokolle zu erstellen (Art. 18 WB-RL);
(iii) Der Eingang der Meldung ist innerhalb von sieben Tagen dem Whistleblower zu bestätigen (Art. 9 Abs. 1 lit. b) WB-RL);
(iv) Dem Whistleblower ist eine unparteiische Person oder Abteilung als zuständige Stelle für Folgemaßnahmen zu benennen (Art. 9 Abs. 1 lit. c) WB-RL;
(v) Der gemeldete Verstoß muss anhand der gemeldeten Informationen untersucht werden und später wirksame Folgemaßnahmen getroffen werden
(vi) Spätestens nach drei Monaten ist der Whistleblower über die getroffenen oder geplanten Folgemaßnahmen zu informieren (Art. 9 Abs. 1 lit. f) WB-RL)
(vii) Über die Nutzung interner Meldekanäle und das Verfahren für externe Meldungen muss klar und leicht zugänglich informiert werden (Art. 7 Abs. 3 und 9 Abs. 1 lit. g) WB-RL)
Das HinSchG sieht darüber hinaus in seiner bisherigen Fassung vor, dass während des Prozesses Kontakt mit dem Whistleblower gehalten werden muss, sofern dieser das wünscht. Während die WBRL eine Wahlmöglichkeit für das Medium der Meldekanäle einräumt, schreibt das HinSchG bisher zwingend vor, dass Meldungen (fern-) mündlich oder in Textform und sogar persönliche Zusammenkünfte auf Wunsch des Whistleblowers ermöglicht werden müssen. Ob diese Regelung bleibt, ist abzuwarten.
Bei der Auswahl externer Dienstleister, wie etwa Ombudsmänner oder kommerzielle Anbieter von Hinweisgebersystemen ist daher auch innerhalb dieser unklaren Zwischenphase jedem Unternehmen zu raten, sorgfältig zu prüfen, dass die obenstehenden Voraussetzungen auf jeden Fall erfüllt sind. Zudem sind bereits jetzt – wenn noch kein Hinweissystem eingerichtet wurde – mindestens die Voraussetzungen zu schaffen, eine interne Meldestelle zügig nach Verabschiedung des HinSchG in seiner dann endgültigen Fassung einrichten zu können, da sonst erhebliche Bußgelder erhoben werden können (derzeit sieht das HinSchG ein Bußgeld in Höhe von bis zu EUR 20.000 vor).
Das bisherige HinSchG sieht für Unternehmen mit 50 bis 249 Beschäftigten Erleichterungen dahingehend vor, dass sie mit gleichartigen Unternehmen eine gemeinsame Meldestelle einrichten und betreiben dürfen, wobei das einzelne Unternehmen dadurch nicht von der Pflicht zur Folgemaßnahmenergreifung und zur Pflicht zur Rückmeldung befreit wird.
In § 18 des bisher noch ohne Zustimmung des Bundesrates gebliebenen HinSchG sind abschließend aufgelistete Folgemaßnahmen vorgesehen, wie die Möglichkeit interne Untersuchungen durchzuführen, an andere zuständige Stellen korrekt verweisen zu können oder das Verfahren zwecks weiterer Untersuchungen an die für interne Ermittlungen zuständige Organisationseinheit oder die zuständige staatliche Behörde abzugeben. Bisher ist auch ein Verstoß gegen die Vorgaben eines ordnungsgemäßen Betriebs der internen Meldestelle bußgeldbewehrt, das dürfte so bleiben und bedarf daher der besonderen Aufmerksamkeit des Unternehmensleiters oder seiner dafür vorgesehenen Abteilung. Zu berücksichtigen ist schließlich, dass im Fall der Einstellung des Verfahrens aus Mangel an Beweisen oder sonstigen Gründen eine rechtzeitige Rückmeldung an den Whistleblower erfolgen muss, auch dies ist in der internen Firmenorganisation zu implementieren.
Offen ist derzeit noch, ob sich die im HinSchG festgeschriebene Möglichkeit für anonyme Meldungen im Vermittlungsausschuss halten wird, diese war neben dem überschießenden Anwendungsbereich des Gesetzes der Hauptkritikpunkt im Bundesrat. Im operativen Betrieb führt der weitreichende Diskriminierungsschutz zu erheblichen Einschränkungen, die jedem Geschäftsführer vor Ergreifung von Maßnahmen gegen den Whistleblower bewusst sein müssen.
Der Whistleblower darf für die Beschaffung von oder den Zugriff auf Informationen, die später gemeldet oder offengelegt wurden, nicht rechtlich verantwortlich gemacht werden, sofern die Beschaffung bzw. der Zugriff nicht als solcher eine Straftat darstellt. Die Meldung stellt auch keine Verletzung der Offenlegungsbeschränkungen dar, sofern ein hinreichender Grund zur Annahme bestand, dass die Weitergabe der Informationen erforderlich zur Aufdeckung eines Verstoßes war. Dies ist gerade bei Lieferanten und sonstigen Geschäftspartnern auch im Hinblick auf üblicherweise bestehende Vertraulichkeitsvereinbarungen oder Non-Disclosure Agreements zu berücksichtigen. Schon deshalb empfiehlt es sich, Lieferanten oder sonstige Geschäftspartner zur Nutzung der internen Meldestelle anzuregen, da so im Vergleich zu der bei Nutzung externer Meldestellen einhergehenden Offenlegung von Betriebsgeheimnissen leichter „Damage-Control“ betrieben werden kann.
Ausdrücklich verboten sind (und werden bleiben) gegen den Whistleblower gerichtete (auch versuchte) Repressalien und deren Androhung. Dieser Schutz wird durch eine in praxi bedeutsame Beweislastumkehrregelung unterstützt, wonach vermutet wird, dass eine Benachteiligung des Whistleblowers im Zusammenhang mit seiner beruflichen Tätigkeit auch eine Repressalie ist.
Unternehmensleiter sollten daher in Zukunft besonders behutsam mit Abmahnungen oder Kündigungen gegenüber Whistleblowern umgehen, da ihr Unternehmen in einem Gerichtsverfahren beweispflichtig wäre, sprich aktiv nachweisen müsste, dass die Kündigung/ Abmahnung in keinem Zusammenhang mit dem Whistleblowing steht oder aber dass eine Straftat des Whistleblowers vorliegt oder die Weitergabe der Informationen nicht erforderlich war, was in der Praxis in aller Regel kaum gelingen dürfte. Arbeitgeber können sich dadurch absichern, dass die in der internen Meldestelle eingegangenen – geschwärzten – Meldungen lückenlos dokumentiert sind und der Personalabteilung zur Verfügung gestellt werden, damit diese die fehlende Kausalität zwischen dem Whistleblowing und einer zeitlich nachfolgenden arbeitsdisziplinarischen Maßnahme nachweisen kann.
Haftungsrisiken
Abgesehen von Reputationsrisiken und wirtschaftlichen Risiken durch zu späte Aufklärung und Schadensminderung/-prävention infolge von Offenlegungen bei externen Meldestellen, gehen mit dem aktuellen HinSchG auch erhebliche Haftungsrisiken für Geschäftsführer und Vorstände einher, die auch bei einer etwaigen inhaltlichen Abschwächung der gesetzlichen Inhalte jedenfalls dem Grunde nach bleiben werden.
Die Bußgelder können für die Nichteinrichtung interner Meldestellen bis zu EUR 20.000 und für Repressalien gegen Whistleblower bei Unternehmen als Verbandsgeldbuße sogar bis zu EUR 1 Mio, ggf. zzgl. einer Gewinnabschöpfung betragen, § 40 HinSchG.
Ein Unternehmen macht sich zudem gemäß § 37 HinSchG schadensersatzpflichtig, wenn gegen das Verbot von Repressalien verstoßen wird. Demgegenüber macht sich gemäß § 38 HinSchG ein Whistleblower nur bei vorsätzlicher oder grob fahrlässiger Meldung oder Offenlegung unrichtiger Informationen schadensersatzpflichtig, was die Durchsetzung von Regressansprüchen bei Falschmeldungen erheblich erschwert.
Für Unternehmensleiter bedeutet dies im Rahmen der Organhaftung gemäß §§ 43 GmbHG, 93 AktG, dass solche Haftungsrisiken partout vermieden werden müssen, insbesondere da die sog. Legalitätspflicht einen Kern der Sorgfaltspflichten eines Unternehmensleiters darstellt. Indem insbesondere das Verbot von Repressalien durch die Beweislastumkehr schnell kaum zu widerlegende Verstöße begründet, steigt auch angesichts der Schadensersatzpflicht des Unternehmens schnell die Gefahr einer persönlichen Haftung des Geschäftsführers oder Vorstands.
I. Fazit
Ungeachtet dessen, ob das HinSchG letztlich mit seinem bisher erweiterten Anwendungsbereich und einer anonymen Meldemöglichkeit in Kraft treten wird oder nicht, ein akuter Handlungsbedarf besteht für Unternehmensleiter bereits jetzt, sich zeitnah mit der Implementierung einer internen Meldestelle und den entsprechenden Sicherheitsvorkehrungen (Personalabteilung) zu befassen, um spätere Schadensersatzforderungen zu vermeiden.
Für kleinere und mittelgroße Unternehmen dürfte sich die Beauftragung kommerzieller Anbieter von Hinweisgebersystemen empfehlen, insbesondere um etwaige Bußgelder auf diese abwälzen zu können und die Kosten niedrig zu halten. Dabei darf indes nicht vergessen werden, dass die aus dem Verbot von Repressalien entstehenden haftungsrechtlichen Risiken auch bei Beauftragung externer Dienstleister beim Unternehmen verbleiben und sogar zur persönlichen Haftung der Unternehmensleiter führen können, so dass neben der Einholung rechtlichen Rats eine entsprechende versicherungsvertragliche Risikodeckung sichergestellt sein sollte.