Sichere Kanäle für Whistleblower

Bisher ist der Schutz von Hinweisgebern in der EU lückenhaft geregelt. Nun schreibt eine EU-Richtlinie Standards zum Schutz von Whistleblowern vor, um Verstöße gegen Unionsrecht wirksamer zu bekämpfen.

Die EU–Whistleblowing-Richtlinie soll Hinweisgebern künftig EU-weit einheitliche Standards für ihren Schutz bieten. Die am 23. Oktober 2019 von den Mitgliedstaaten beschlossenen Vorschriften verpflichten Unternehmen mit mehr als 50 Mitarbeitern dazu, sichere Kanäle einzurichten, über die Hinweisgeber Verstöße gegen das EU-Recht melden können, ohne Repressalien fürchten zu müssen. Die Mitgliedstaaten haben bis zum 17. Dezember 2021 Zeit, um die Vorschriften in nationales Recht umzusetzen.

Was ist ein Hinweisgebersystem? Der Begriff Hinweisgebersystem bezeichnet ein System zur Informationsgewinnung, welches Fachabteilungen wie Compliance- oder Rechtsabteilungen in Unternehmen einsetzen, um Mitarbeitern, Lieferanten oder Kunden einen vertraulichen Kommunikationskanal zu eröffnen. Dieser kann von dem Personenkreis zum Melden möglicher Rechtsverstöße und anderer Verstöße (zum Beispiel interner Richtlinien) genutzt werden. Zu Hinweisgebersystemen zählen beispielsweise Ombudspersonen, webbasierte Systeme oder kombinierte Mechanismen zur vertraulichen und sicheren Kommunikation von Missständen und Unregelmäßigkeiten. Unterschiede bei Meldekanälen liegen insbesondere in der Anonymitätswahrung, Verfügbarkeit und Kontaktmöglichkeit (mündlich, schriftlich). Der gewählte Kanal hat eine Auswirkung auf die Hemmschwelle, sich zu melden. Die Hemmschwelle sollte möglichst gering sein, sodass keine zusätzliche Hürde zu überwinden ist. Ziel dieser Systeme ist – neben der frühzeitigen Aufdeckung – die Prävention interner Missstände und Risiken.

Vorgaben für einen Meldekanal Eine unabhängige Person muss als Ansprechpartner zur Verfügung stehen. Der Hinweisgeber muss uneingeschränkten Zugang zum Meldekanal haben, der Dialog mit ihm muss gewährleistet sein. Er erhält eine Eingangsbestätigung innerhalb von sieben Tagen. Nach drei bis sechs Monaten erfolgt eine Rückmeldung. Über den Fall wird eine revisionssichere und datenschutzkonforme Dokumentation angelegt.

n  Umweltschutz, Zunächst muss sich ein Unternehmen für ein passendes Hinweisgebersystem entscheiden und bei der Implementierung frühzeitig den Betriebsrat und die für den Datenschutz beauftragte Person involvieren. Fachlich ist zu klären, welche Sachverhalte über das System kommuniziert werden sollen. Anschließend informiert das Unternehmen über die Einführung des Hinweisgebersystems nach innen und außen. Dieser Aspekt ist für die Qualität und Quantität der Hinweise wesentlich. Zuletzt muss das System durch eine vertrauensvolle Person im Unternehmen betreut werden. Rechtsgebiete für ein Hinweisgebersystem Folgende Themengebiete werden in der Richtlinie als wesentlich benannt: n  Schutz der Privatsphäre und personenbezogener Daten, n  Sicherheit von Netz- und Informationssystemen, n  Lebensmittel- und Futtermittelsicherheit, Tiergesundheit und

Tierschutz, n  öffentliche Gesundheit, n  Verbraucherschutz, n  Produktsicherheit und -konformität, n  Verkehrssicherheit, n  öffentliches Auftragswesen, n  Finanzdienstleistungen, Finanzprodukte und Finanzmärkte sowie

Verhinderung von Geldwäsche und Terrorismusfinanzierung, n  Strahlenschutz und kerntechnische Sicherheit.

Im Zuge der nationalen Umsetzung ist von einer Ausweitung der Tatbestände auszugehen

Das dreistufige Meldesystem Hinweisgebern wird empfohlen, zunächst die internen Kanäle ihrer Organisation zu nutzen (Stufe 1), bevor sie auf externe, von den Behörden eingerichtete Kanäle zurückgreifen (Stufe 2) oder sich an die Öffentlichkeit wenden (Stufe 3).

Der Hinweisgeber kann sich je nach Sachverhalt direkt an Behörden wie etwa das Gesundheitsamt oder über die Presse an die Öffentlichkeit wenden. Einen Nachteil hat die Person hierdurch grundsätzlich nicht. Insbesondere kann dies der Fall sein, wenn der Hinweis beson-

Implementierung

dere Relevanz für die Öffentlichkeit hat oder Eile geboten ist. Wenn ein Mitarbeiter Hinweisgeber ist Arbeitnehmer werden in der Form geschützt, dass weder eine Kündigung oder vergleichbare Maßnahme noch eine Aufgabenverlagerung oder Änderung des Arbeitsortes stattfinden darf. Die Teilnahme an Weiterbildungsmaßnahmen darf nicht versagt, Disziplinarmaßnahmen nicht auferlegt werden. Diskriminierung oder die Erfassung auf einer schwarzen Liste verbieten sich.

Es erfolgt eine Beweislastumkehr: Der Arbeitgeber muss beweisen, dass der beschriebene Sachverhalt nicht zutrifft.

n  Prävention statt Reaktion! Wer ein Hinweisgebersystem hat, wird auf

Sachverhalte aufmerksam, bevor diese öffentlich werden oder enttäuschte Mitarbeiter kündigen n  Die EU-Whistleblowing-Richtlinie muss bis zum 17. Dezember 2021 in nationales Recht umgesetzt werden n  Unternehmen ab 50 Mitarbeitern werden verpflichtet, mit Zustimmung des Betriebsrats einen uneingeschränkt zugänglichen Meldekanal vorzuhalten

Geschäftsführer der iwhistle GmbH Healthcare Compliance Officer, Interner Revisor DIIR BVMW-Mitglied