Sind Unternehmen mit mehr als 249 Arbeitnehmern bereits ab Dezember 2021 verpflichtet, interne Meldekanäle einzurichten, wird Unternehmen mit 50 bis 249 Arbeitnehmern eine letzte Schonfrist bis Dezember 2023 eingeräumt. Um Sanktionen zu vermeiden, wird ein Großteil der deutschen Unternehmen bis spätestens zu diesem Zeitpunkt ein Hinweisgebersystem einrichten und bereitstellen müssen.
Hintergrund
Mit der EU-Richtlinie 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, wurde seitens der EU-Gesetzgeber beschlossen, unionsweit einen einheitlichen Mindeststandard hinsichtlich Hinweisgebersysteme zu schaffen. Im Vordergrund steht dabei ganz deutlich der Schutz von hinweisgebenden Personen vor Sanktionen und Repressalien.
Ziel der Richtlinie ist die Stärkung der Rechtspositionen von Hinweisgebern, welche sich mit ihrem Handeln gegen Rechtsverstöße einsetzen und damit einen Beitrag zum Schutz des Gemeinwohls leisten. Waren Hinweisgeber bisher dem Risiko von Sanktionen ausgesetzt, werden sie nun unter den Schutz der Rechtsordnung gestellt. Der für die Gesellschaft entstehende Mehrwert der durch den Hinweis geschaffenen Transparenz, welche vielfach erst die Aufdeckung, Untersuchung und Verfolgung von Rechtsverstößen ermöglicht, soll nun auch gezielt der meldenden Person zu Gute kommen. Selbst die bloße Androhung von Repressalien wird daher untersagt.
War bisher zuvorderst der Finanzdienstleistungssektor zur Einrichtung von Hinweisgebersystemen verpflichtet, adressiert die Richtlinie nun juristische Personen aller Wirtschaftsbereiche. Der umfassende Schutz von Hinweisgebern wird damit insbesondere den Mittelstand vor bedeutende Herausforderungen stellen, blieb er doch bisher von derartigen Regelungen verschont.
Anforderungen
Die Richtlinie erfasst alle privaten und öffentlichen juristischen Personen mit 50 oder mehr Arbeitnehmern, unabhängig von der Branche, und verpflichtet diese zur Einrichtung und zum Betrieb eines Hinweisgebersystems. Bei Tausenden Unternehmen in Deutschland mit einer solchen Anzahl an Mitarbeitern ist es deutlich absehbar, dass die Umsetzung der Richtlinie die gesamte Wirtschaft vor erhebliche Herausforderungen stellen wird. Es ist daher genau zu beleuchten, welche Verpflichtungen den Mittelstand treffen werden.
Den verpflichteten Unternehmen kommt die Aufgabe zu, interne Meldekanäle so zu konzipieren, einzurichten und zu betreiben, dass die Identität des Hinweisgebers, aber auch von etwaigen Dritten, die in der Meldung erwähnt werden, gewahrt bleibt. Um die Anonymität der Hinweisgeber zu gewährleisten, muss eine unparteiische Person oder Stelle benannt werden, welche für die Entgegennahme der Hinweise und mögliche Folgemaßnahmen zuständig ist. Allen weiteren Mitarbeitern des Unternehmens und sonstigen Unbefugten muss der Zugriff auf das Hinweisgebersystem verwehrt bleiben. Alternativ besteht die Möglichkeit, eine externe Stelle mit der Bereitstellung und dem Betrieb eines Hinweisgebersystems zu betrauen. Die Anforderungen an das Verfahren, die Anonymität und die Vertraulichkeit gelten für einen solche Stelle in gleichem Maße.
Das zunächst vorgesehene Konzept eines dreistufigen Meldesystems wurde in der aktuellen Fassung der Richtlinie aufgegeben. Nach einem früheren Entwurf der Hinweisgeberrichtlinie wäre ein Hinweisgeber zunächst verpflichtet gewesen, eine interne Meldung abzugeben. Erst danach hätte er sich an eine externe Stelle wenden dürfen, um bei deren Untätigkeit in einem dritten Schritt die Offenlegung der Informationen zu ermöglichen. Die Gesetzgeber haben sich nunmehr für ein dualistisches System entschieden. Hinweisgebern steht es nunmehr frei, sich entweder an das interne Hinweisgebersystem zu wenden oder unmittelbar an die zuständige externe Stelle zu melden. Ein wirksames und von allen Mitarbeitern akzeptiertes internes Hinweisgebersystem kann somit dazu beitragen, Hinweise „im Haus“ zu bearbeiten und Verdachtsfälle intern aufzuklären, ohne dass schon in einem frühen Verdachtsstadium externe Stellen involviert werden.
Die den Hinweis entgegennehmende Stelle muss sicherstellen, innerhalb von sieben Tagen den Eingang der Meldung zu bestätigen. Spätestens nach weiteren drei Monaten muss dem Hinweisgeber eine Rückmeldung gegeben werden. Kommt das Unternehmen dieser Vorgabe nicht rechtzeitig nach, ist der Hinweisgeber - nach vorheriger Meldung an eine zuständige Behörde als externe Stelle - zur Offenlegung seiner Informationen befugt. Die Folgen einer Offenlegung können zu strafrechtlichen Ermittlungen, wirtschaftlichen Repressalien oder Reputationsschäden führen.
Insb. die Konzeption und Einrichtung eines rechtskonformen und gleichsam effektiven internen Hinweisgebersystems dürfte viele Unternehmen vor Herausforderungen stellen. Zwar bietet die Richtlinie die Möglichkeit, Hinweise schriftlich, mündlich, telefonisch, im Wege einer physischen Zusammenkunft oder mittels aller soeben genannter Formen entgegenzunehmen. Doch schon bei der Einrichtung eines internen E-Mail-Postfachs wird sich das Problem stellen, dass IT-Mitarbeiter mit umfassenden Administrator-Berechtigungen unbefugt auf das Hinweisgebersystem zugreifen könnten. Ebenso verhält es sich mit einer internen Telefonhotline mit eingerichteter Mailbox. Die Anonymität des Hinweisgebers und der Informationen wäre dann nicht gesichert.
Darüber hinaus ist zu beachten, dass auch hinsichtlich der Dokumentation und der Aufbewahrung von Informationen und Meldungen strenge Anforderungen an die Unternehmen gestellt werden, um die Vertraulichkeit zu wahren. Denn selbst Informationen, aus welchen die Identität des Hinweisgebers direkt oder indirekt abgeleitet werden kann, müssen vor unberechtigtem Zugriff geschützt werden.
Kommt ein Unternehmen den Anforderungen nicht nach, drohen Sanktionen. Die Richtlinie verpflichtet die Mitgliedsstaaten ausdrücklich, wirksame, angemessene und abschreckende Sanktionen für juristische Personen festzulegen, welche Meldungen behindern, Repressalien gegen Hinweisgeber oder geschützte Dritte ergreifen oder gegen die Verpflichtung zur Vertraulichkeit verstoßen. Somit besteht ein nicht zu unterschätzendes Risiko für Unternehmen, in das Fadenkreuz von staatlichen Ermittlungen zu geraten.
Ausblick
Es ist absehbar, dass der deutsche Gesetzgeber seiner Verpflichtung zur Umsetzung der Richtlinie in deutsches Recht bis zum 17.12.2021 nachkommen wird.
Insb. der Mittelstand sollte sich daher mit dem Thema Whistleblowing und Hinweisgebersystemen auseinandersetzen. Es gilt, die noch verbleibende Zeit zu nutzen, um sich auf die Ausgestaltung und Einführung eines adäquaten Hinweisgebersystems im Unternehmen vorzubereiten und sich gleichsam auf die neue Rechtslage einzustellen.
Philipp Külz und Dominic Vallera, Ebner Stolz Köln