Die „Whistleblower-Richtlinie“ zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden

Am 16.12.2019 ist die EU-Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (sog. „Whistleblower-Richtlinie“) in Kraft getreten. Die Mitgliedsstaaten haben nun bis zum 17.12.2021 Zeit, die Richtlinie in nationales Recht umzusetzen. Unternehmen sind gut beraten, sich bereits jetzt mit den Vorgaben der Richtlinie vertraut zu machen und ein internes Meldesystem zu implementieren oder anzupassen, um bestmöglich auf die kommenden Änderungen vorbereitet zu sein.

I. Probleme nach aktueller Gesetzeslage

Durch rechtswidriges Verhalten entstehen jährlich wirtschaftliche Schäden in Milliardenhöhe. Diese könnten durch funktionierende Hinweisgeber-Systeme und konsequente Aufdeckung der Verstöße drastisch reduziert werden. Bisher gibt es im EU-Recht allerdings nur sektorspezifische Regelungen zum Schutz von Hinweisgebern. In der Regel steht ein Hinweisgeber, auch wenn er gutgläubig handelte und die von ihm erteilten Hinweise der Sache nach richtig sind, etwaigen daraus folgenden Repressalien daher schutzlos gegenüber. Er muss mit dem Verlust des Arbeitsplatzes rechnen, privater Isolation und finanziellem Ruin. Die Angst vor diesen Konsequenzen hält potenzielle Hinweisgeber oft davon ab, ihren Verdacht eines rechtswidrigen Verhaltens zu melden („chilling effect“).

II. Ziel der Richtlinie

Durch die Richtlinie sollen EU-weit Mindeststandards geschaffen werden, welche es ermöglichen sollen, Kenntnisse weiterzuleiten, ohne dass der Hinweisgeber persönliche oder wirtschaftliche Nachteile befürchten muss. Die Durchsetzung des Unionsrechts soll verbessert werden in den Bereichen, in denen Verstöße nicht nur Güter und Interessen einzelner Personen, sondern auch das öffentliche Interesse ernsthaft schädigen. Dieses Ziel soll erreicht werden zum einen durch den passiven Schutz der Hinweisgeber, indem die Vertraulichkeit der Identität der Hinweisgeber gewahrt wird und Hinweisgeber vor Repressalien geschützt werden. Zum anderen sollen Hinweisgeber aktiv geschützt werden, indem die EU-Mitgliedsstaaten verpflichtet sind, die Einrichtung interner und externer Meldekanäle sicherzustellen. Darüber hinaus besteht die Möglichkeit, finanzielle Anreize für Hinweisgeber einzuführen.
Den Mitgliedsstaaten steht es frei, den Anwendungsbereich auf nationaler Ebene weiter auszugestalten und auf andere Bereiche auszudehnen, um einen umfassenden Schutz des Hinweisgebers sicherzustellen.

III. Anwendungsbereich der Richtlinie

1. Sachlicher Anwendungsbereich

Die Richtlinie hat einen breiten Anwendungsbereich, gleichwohl beschränkt durch die Kompetenzen der Union. Sie erfasst Meldungen von Verstößen gegen bestimmte, im Anhang der Richtlinie aufgezählte Rechtsgebiete, wobei die sektorspezifischen Regelungen weiterhin Geltung behalten und Vorrang haben. Bei der Umsetzung in nationales Recht ist zu erwarten, dass der Anwendungsbereich auf Verstöße gegen nationales Recht ausgedehnt wird, zumindest was die Meldung von Verstößen gegen Straftatbestände und unternehmensrechtliche Ordnungswidrigkeiten betrifft. Denn zum einen besteht kein Anlass, Hinweisgeber im europarechtlichen Kontext besser zu schützen als im nationalen Kontext. Zum anderen kann auch nicht erwartet werden, dass der Hinweisgeber zwischen nationalen und europäischen Normen sicher unterscheidet und damit selbst feststellen kann, ob er sich im Anwendungsbereich der Richtlinie befindet und damit geschützt ist.

2. Personaler Anwendungsbereich

Zur Erreichung des Ziels der Richtlinie, das Unionsrecht wirksam durchzusetzen, ist Voraussetzung, dass ein möglichst breites Spektrum von Personengruppen geschützt wird. Bei der Meldung von Informationen, die im beruflichen Kontext erlangt werden, drohen aber, beispielsweise aufgrund einer Verletzung der Vertraulichkeits- oder Loyalitätspflicht, in besonderer Weise berufsbezogene Repressalien. Die Richtlinie definiert Hinweisgeber daher als natürliche Personen, die im Zusammenhang mit ihren Arbeitstätigkeiten erlangte Informationen über Verstöße melden oder offenlegen. Der Schutz der Richtlinie gilt also zuallererst dem Arbeitnehmer im Sinne von Art. 45 Abs. 1 AEUV. Darüber hinaus geschützt sind natürliche Personen, die zwar nicht „Arbeitnehmer“ in diesem Sinne sind, aber entscheidend zur Aufdeckung von Verstößen gegen das Unionsrecht beitragen können, und sich möglicherweise im Zusammenhang mit ihrer beruflichen Tätigkeit in wirtschaftlicher Abhängigkeit befinden (bspw. Selbstständige, die Dienstleistungen erbringen, Freiberufler, Auftragnehmer, Unterauftragnehmer und Lieferanten). Zuletzt sind auch Personengruppen geschützt, die zwar auf ihre berufliche Tätigkeit nicht wirtschaftlich angewiesen sind, aber infolge einer Meldung von Verstößen dennoch Repressalien erleiden können (Freiwillige und bezahlte oder unbezahlte Praktikanten).

3. Voraussetzungen zur Erlangung des Hinweisgeberschutzes

Der Hinweisgeber soll nur dann geschützt sein, wenn er zum Zeitpunkt der Meldung angesichts der Umstände und der verfügbaren Informationen hinreichenden Grund zu der Annahme hat, dass die von ihm gemeldeten Sachverhalte der Wahrheit entsprechen und in den Anwendungsbereich der Richtlinie fallen. Bei dieser Voraussetzung handelt es sich um eine wichtige Schutzvorkehrung gegen böswillige oder missbräuchliche Meldungen. Wenn wissentlich oder willentlich falsche bzw. irreführende Informationen gemeldet werden, oder Informationen gemeldet werden, die bereits öffentlich in vollem Umfang verfügbar sind oder bei denen es sich um unbegründete Spekulationen oder Gerüchte handelt, ist der Hinweisgeber durch die Richtlinie nicht geschützt. Nicht relevant ist aber, welche Motive den Hinweisgeber zur Meldung veranlasst haben.

IV. Das Meldeverfahren

Die Richtlinie sieht drei Formen der Meldung von Hinweisen vor. Es wird unterschieden zwischen der internen Meldung, der externen Meldung und der Offenlegung. Zwischen der internen und der externen Meldung ist keine Rangfolge festgelegt, es wird vielmehr dem Hinweisgeber überlassen, selbst den geeigneten Empfänger seiner Meldung zu wählen. Jedoch sollen die nationalen Gesetzgeber Anreize dafür schaffen, dass die Nutzung interner Meldewege in den Fällen bevorzugt wird, in denen intern wirksam gegen den Verstoß vorgegangen werden kann. Die Wahlmöglichkeit zwischen interner und externer Meldung und die Schaffung effektiver externer Meldekanäle soll die Arbeitgeber motivieren, wirkungsvolle interne Kanäle einzurichten. Denn die Arbeitgeber haben in der Regel ein großes Interesse, Verstöße zunächst intern aufzuklären, nicht zuletzt, um einen möglichen Reputationsschaden zu vermeiden.
Ob eine Verpflichtung zur Entgegennahme und Weiterverfolgung anonymer Meldungen von Verstößen bestehen soll, bleibt der Entscheidung der nationalen Gesetzgeber überlassen.

1. Interne Meldnung

Die relevante Information sollte möglichst schnell zu demjenigen gelangen, der der Ursache des Problems am nächsten ist und die Befugnisse hat, dem Problem gegebenenfalls nachzugehen. Dazu ist eine effektive interne Meldeinfrastruktur erforderlich. Der nationale Gesetzgeber hat daher sicherzustellen, dass juristische Personen des privaten und des öffentlichen Sektors solche internen Verfahren einrichten. Nach der Richtlinie sind zumindest alle privaten Unternehmen mit mehr als 50 Beschäftigten hierzu verpflichtet. Dabei soll darauf geachtet werden, dass ein angemessenes Verhältnis zwischen der Verpflichtung zur Einrichtung interner Meldekanäle und der Größe des Unternehmens und dem Ausmaß des Risikos der Tätigkeit für das öffentliche Interesse gewahrt wird. Die Verpflichtung zur Errichtung eines Meldeverfahrens richtet sich an die jeweilige Organisation als Ganzes und untersteht damit der jeweiligen Leitungs- bzw. Geschäftsführungsebene.
Das Meldeverfahren muss gewisse Mindeststandards einhalten, insbesondere die Wahrung der Vertraulichkeit der Identität des Hinweisgebers, die Transparenz des Verfahrens und Rückmeldungen innerhalb angemessener Frist. Aus diesem Grund sollte die Funktion der Person bzw. Abteilung, welche die Meldung entgegennimmt, dergestalt sein, dass ihre Unabhängigkeit gewährleistet wird und Interessenkonflikte ausgeschlossen werden. Die Rückmeldungen über die geplanten oder ergriffenen Folgemaßnahmen und die Gründe für die Wahl jener Folgemaßnahmen an den Hinweisgeber sollte innerhalb eines angemessenen Zeitrahmens erfolgen. Ein angemessener Zeitrahmen zur Unterrichtung des Hinweisgebers sollte drei Monate nicht überschreiten.
Die Art des Meldeverfahrens können die juristischen Personen des privaten und öffentlichen Sektors selbst festlegen, solange die Vertraulichkeit der Identität des Hinweisgebers gewahrt bleibt. Die Meldekanäle sollen es den Hinweisgebern ermöglichen, schriftlich Meldung zu erstatten und diese Meldung auf dem Postweg, über einen Beschwerde-Briefkasten oder über eine Online-Plattform, sei es eine Plattform im Intranet oder im Internet, einzureichen, oder mündlich Meldung zu erstatten, über eine Telefon-Hotline oder ein anderes System für gesprochene Nachrichten, oder beides. Auf Anfrage des Hinweisgebers sollte es über diese Kanäle auch möglich sein, innerhalb eines angemessenen Zeitraums im Rahmen von physischen Zusammenkünften Meldung zu erstatten. Auch Dritte können ermächtigt werden, Meldungen von Verstößen im Namen der juristischen Person des privaten und öffentlichen Sektors entgegenzunehmen, sofern sie entsprechende Garantien für die Wahrung der Unabhängigkeit und Vertraulichkeit, des Datenschutzes und der Geheimhaltung bieten (bspw. externe Anbieter von Meldeplattformen, externe Berater, Prüfer, Gewerkschaftsvertreter oder Arbeitnehmervertreter, Anwälte als Ombudsperson)

2. Externe Meldung

Für den Fall, dass keine internen Kanäle bestehen oder dass sie zwar verwendet wurden, aber nicht ordnungsgemäß funktionierten oder dass trotz der Bestätigung eines Verstoßes als Ergebnis der entsprechenden internen Untersuchung keine Maßnahmen ergriffen wurden, um gegen den Verstoß vorzugehen, sollen zudem externe Meldekanäle eingerichtet werden. Auch die externen Meldekanäle müssen die Vertraulichkeit der Identität des Hinweisgebers wahren. Um Vertrauen in die Wirksamkeit der Meldungen zu stiften, werden die zuständigen Behörden verpflichtet, geeignete externe Meldekanäle zu schaffen, eingegangene Meldungen sorgfältig nachzuverfolgen und dem Hinweisgeber innerhalb eines angemessenen Zeitrahmens Rückmeldung zu geben. Dieser Zeitrahmen sollte, je nach Art und Komplexität des Gegenstands der Meldung, drei bis sechs Monate nicht überschreiten. Dadurch wird sichergestellt, dass dem gemeldeten Verstoß unverzüglich nachgegangen wird und zugleich wird eine unnötige Offenlegung vermieden. Die Meldekanäle müssen nutzerfreundlich, unabhängig und autonom sein und zudem auch in der Lage sein, das Problem, welches dem gemeldeten Verstoß zugrunde liegt, zu beheben.
Damit der Hinweisgeber eine fundierte Entscheidung darüber treffen kann, ob, wann und wie er Meldung erstatten kann, muss ihm leicht verständliche Information über das Verfahren für externe Meldungen leicht zugänglich gemacht werden.

3. Offenlegung

Mit Offenlegung ist laut Richtlinie das öffentliche Zugänglichmachen von Informationen über Verstöße z.B. gegenüber der Presse gemeint. Hinweisgeber, die Informationen über vermeintliche Verstöße gegen Unionsrecht offenlegen, sollen nur unter Wahrung höherer Anforderungen Schutz durch die Richtlinie genießen. Eine Offenlegung ist demnach nur zulässig, wenn zunächst eine interne oder externe Meldung ohne Erfolg blieb, d.h. innerhalb der Höchstfristen keine geeignete Maßnahme ergriffen wurden. Eine Offenlegung ist auch dann zulässig, wenn der Hinweisgeber hinreichenden Grund zur Annahme hatte, dass der Verstoß eine unmittelbare oder offenkundige Gefährdung des öffentlichen Interesses darstellen kann oder wenn der Hinweisgeber im Fall einer externen Meldung Repressalien zu befürchten hat oder aufgrund der besonderen Umstände des Falls geringe Aussichten bestehen, dass wirksam gegen den Verstoß vorgegangen wird, beispielsweise wegen Zusammenwirkens mit der zuständigen Behörde.

V. Umfang des Schutzes der Hinweisgeber

Die Richtlinie hat das Ziel, gutgläubige Hinweisgeber im Hinblick auf ihre Identität zu schützen, für den Fall, dass die Identität bekannt wird, einen Schutz vor Repressalien aus dem beruflichen Umfeld zu gewähren und den Hinweisgeber vor einer möglichen Haftung zu schützen.

1. Vertraulichkeit der Identität des Hinweisgebers

Die Wahrung der Vertraulichkeit der Identität der Hinweisgeber während des Meldeverfahrens und der durch die Meldung ausgelösten Untersuchungen ist eine wesentliche Vorsorgemaßnahme gegen Repressalien. Das Vertraulichkeitsgebot verlangt deshalb von den Mitgliedsstaaten sicherzustellen, dass die Identität des Hinweisgebers ohne dessen ausdrückliche Zustimmung keinen anderen Personen gegenüber offengelegt wird als den befugten Mitarbeitern, die für die Entgegennahme von und/oder Folgemaßnahmen zu Meldungen zuständig sind. Eine Ausnahme hiervon gilt, wenn die Offenlegung der Identität nach Unionsrecht oder nationalem Recht eine notwendige und verhältnismäßige Pflicht im Rahmen von Untersuchungen durch nationale Behörden oder von Gerichtsverfahren darstellt. Voraussetzung für eine Offenlegung ist aber die Gewährung angemessener Garantien und die Unterrichtung des Hinweisgebers vor Offenlegung seiner Identität. Welches Meldeverfahren die Identität des Hinweisgebers am besten schützt ist fraglich.
Bei Einschaltung eines Rechtsanwalts als Ombudsperson etwa besteht die Gefahr der Aufdeckung der Identität des Hinweisgebers, wenn in der Folge eine Durchsuchung der Kanzleiräumlichkeiten stattfindet. Nach derzeitiger Rechtslage unterliegen die Unterlagen, welche ein Rechtsanwalt als Ombudsmann über eingehende Hinweise erstellt, nicht dem Beschlagnahmeverbot gemäß § 97 Abs. 1 Nr. 3 StPO, da dies ein Vertrauensverhältnis des Berufsgeheimnisträgers zu einem Beschuldigten voraussetzt. Vorliegend aber besteht das Mandatsverhältnis nur zum Unternehmen, außerdem ist der Hinweisgeber kein Beschuldigter. Immerhin kann die fehlende Verhältnismäßigkeit eines Durchsuchungsbeschlusses aufgrund der Vertraulichkeit der Kommunikation zwischen Rechtsanwalt und Mandant angegriffen werden. Dies ist nicht möglich bei rein internen Meldeverfahren, bei denen Unterlagen grundsätzlich vollständig beschlagnahmefähig sind.
Es wird der nationalen Umsetzung der Richtlinie überlassen, diesen Konflikt zwischen Strafverfolgungsinteresse einerseits und der Vertraulichkeit der persönlichen Daten des Hinweisgebers andererseits im Einklang mit den Zielen der Richtlinie aufzulösen.

2. Schutz vor Repressalien

Repressalien sind laut Definition der Richtlinie direkte oder indirekte Handlungen in einem beruflichen Kontext, die durch die interne oder externe Meldung oder eine Offenlegung ausgelöst werden und durch die dem Hinweisgeber ein ungerechtfertigter Nachteil entsteht bzw. entstehen kann. Die Angst vor Repressalien kann potentielle Hinweisgeber von der Meldung eines Verstoßes abhalten. Daher müssen durch den nationalen Gesetzgeber zur Abschreckung geeignete zivil-, straf- oder verwaltungsrechtliche Sanktionen gegen die Personen eingeführt werden, die Repressalien oder sonstige beschwerende Maßnahmen gegen Hinweisgeber ergreifen. Für den Fall erlittener Repressalien soll dem Hinweisgeber Zugang zu Rechtsbehelfen inklusive Prozesskostenhilfe sowie Anspruch auf Entschädigung gewährt werden. Dadurch wird sichergestellt, dass der Schaden tatsächlich und wirksam ausgeglichen oder ersetzt wird. Um Zugang zu diesen Schutzmaßnahmen zu erhalten muss ein enger Zusammenhang zwischen der Meldung und der unmittelbar oder mittelbar von dem Hinweisgeber erlittenen Benachteiligung bestehen, das heißt der Hinweis muss kausal für die Repressalie sein. Um dem Hinweisgeber den Nachweis der Kausalität zu erleichtern, erfolgt eine Beweislastumkehr, sofern der Hinweisgeber darlegt, dass er Verstöße im Einklang mit der Richtlinie gemeldet oder offengelegt und eine Benachteiligung erfahren hat.

3. Schutz vor Haftung

Nach der Richtlinie sollen Hinweisgeber in keiner Weise haftbar gemacht werden können, sofern sie hinreichenden Grund zu der Annahme hatten, dass die Meldung oder Offenlegung der Informationen notwendig war, um einen Verstoß gemäß der Richtlinie aufzudecken. Das bedeutet, dass es nicht möglich ist, sich auf die rechtlichen oder vertraglichen Pflichten des Einzelnen, beispielsweise Loyalitätsklauseln in Verträgen oder Vertraulichkeits- oder Geheimhaltungsvereinbarungen, zu stützen, um Hinweisgebern den Schutz zu versagen oder sie für die Meldung von Informationen über Verstöße mit Sanktionen zu belegen, wenn die Weitergabe der Informationen, die unter diese Klauseln und Vereinbarungen fallen, notwendig ist, um den Verstoß aufzudecken. Nicht geschützt wird der Hinweisgeber hingegen, wenn die Beschaffung der gemeldeten Information als solche eine eigenständige Straftat darstellt, er also beispielsweise einen Hausfriedensbruch begeht, um an die Dokumente zu gelangen.

VI. Schutz der betroffenen Person

Betroffene Personen sind der Richtlinie zufolge natürliche oder juristische Personen, die in der Meldung oder in den offengelegten Informationen als eine Person bezeichnet werden, die den Verstoß begangen hat oder an diesem beteiligt ist. Auch diese Person muss geschützt werden, um eine Rufschädigung oder andere negative Folgen zu vermeiden. Dazu haben die Betroffenen das Recht auf einen wirksamen Rechtsbehelf, auf ein faires Gerichtsverfahren und die Wahrung der Unschuldsvermutung sowie ihre Verteidigungsrechte. Um den Schutz der betroffenen Personen zu gewährleisten, ist bei externen Meldungen sicherzustellen, dass diese von speziell geschulten Mitarbeitern entgegengenommen werden, die einer beruflichen Schweigepflicht sowie der Pflicht zur Wahrung der Vertraulichkeit unterliegen. Für interne Meldungen gibt es keine entsprechenden Vorgaben zum Schutz der betroffenen Personen.

VII. Erforderliche Änderungen der nationalen Rechtslage

Die Richtlinie verlangt in einigen Punkten eine Anpassung der derzeitigen Rechtslage in anderen Rechtsgebieten.
Bislang besteht auf Grund einer Pflicht zur Rücksichtnahme auf die Interessen des Arbeitgebers ein Vorrang der internen Meldung von Rechtsverstößen. Dies wird künftig zumindest im Anwendungsbereich der Richtlinie nicht mehr möglich sein, wenn der Hinweisgeber ein Wahlrecht zwischen der internen und externen Meldung hat und in beiden Fällen Schutz vor Repressalien, d.h. auch vor einer Kündigung, genießt.
Je nach Ausgestaltung des internen Meldesystems sind auch kollektivarbeitsrechtliche Bereiche betroffen. Da die Meldung von Rechts- und Pflichtverstößen innerhalb des Unternehmens das Ordnungsverhalten und nicht das Arbeitsverhalten der Arbeitnehmer betrifft, ist gem. § 87 Abs. 1 Nr. 1 BetrVG der Betriebsrat mitbestimmungsberechtigt.
Auch im Beamtenrecht werden Änderungen erforderlich sein, denn auch Beamte sind mögliche Hinweisgeber nach der Richtlinie. Bislang besteht auf Grund der Treuepflicht gegenüber dem Dienstherrn auch für den Beamten der Vorrang der internen Meldung. Dies ist allerdings im Anwendungsbereich der Richtlinie nicht länger haltbar.
Außerdem liegt die Errichtung eines Hinweisgeber-Systems nicht länger im Organisationsermessen des Vorstands bzw. der Geschäftsführung. Die Richtlinie knüpft die Pflicht zur Einrichtung eines Hinweisgebersystems allein an die Beschäftigtenzahl des Unternehmens (s.o.), so dass eine gesteigerte Compliance-Verantwortung besteht.

VIII. Bedeutung der Richtlinie für Unternehmen

Die Richtlinie weist auf Grund ihres mindestharmonisierenden Charakters einige Schwächen und Unschärfen auf. Es ist daher zu erwarten, dass der nationale Gesetzgeber bei der Umsetzung der Richtlinie einige Korrekturen vornehmen wird. Wie genau die Umsetzung erfolgen wird, ist derzeit aber noch offen.
Gleichwohl ist die Zielrichtung der Richtlinie ausreichend klar um absehen zu können, dass ein internes System zum Umgang mit Meldungen, das den Aufsichts- und Organisationspflichten der Unternehmensleitung genügt, den gutgläubigen Hinweisgeber schützt und gleichzeitig die Rechte der betroffenen Person sichert, elementarer Bestandteil eines effektiven Compliance-Management-Systems werden wird. Unternehmen sind daher gut beraten, zeitig solche internen Meldeverfahren in ihr Compliance-Management-System zu integrieren und diese zu implementieren, um nicht im Dezember 2021 eine böse Überraschung zu erleben.


Stand: 23.06.2020