Nur keine Panik! – Zu was Unternehmen in Deutschland nach der Umsetzung der EU-Whistleblower-Richtlinie verpflichtet sind, ist noch ungewiss

Die sogenannte EU-Whistleblower-Richtlinie 2019/1937 scheint Goldgräberstimmung insbesondere im IT-Sektor geweckt zu haben. Fast täglich erreichen uns E-Mails von Software-Anbietern, die mehr oder weniger deutlich suggerieren, dass eine IT-gestützte Lösung zur anonymen Entgegennahme von Hinweisen auf Rechtsverstöße demnächst verpflichtend für Unternehmen werde.

Das ist so nicht richtig. Es mag zwar zutreffen, dass eine verschlüsselte Lösung zur elektronischen Kommunikation zwischen einem Unternehmen und einem Hinweisgeber der beste Weg zur Wahrung der Anonymität des Hinweisgebers ist. Nach der EU-Richtlinie besteht jedoch keine Pflicht, Hinweise in anonymer Form entgegenzunehmen. Die Vorhaltung eines elektronischen Meldesystems ist ebenfalls nicht vorgesehen. Auch der Entwurf eines Hinweisgeberschutzgesetzes in Deutschland enthielt solche Vorgaben nicht. Ohnehin ist die Umsetzung vorerst gescheitert, da sich die Regierungsparteien nicht einigen konnten, ob der Hinweisgeberschutz in Deutschland neben Verstößen zum EU-Recht auch auf nationales Recht erstreckt werden soll. Mit einer Umsetzung vor der Bundestagswahl ist nicht mehr zu rechnen. Die Umsetzungsfrist läuft grundsätzlich zum 17. Dezember 2021 aus, für Unternehmen mit 50-249 Mitarbeitern erst zum 17. Dezember 2023.

Es bleibt daher nach der EU-Richtlinie dabei, dass Unternehmen ab 50 Mitarbeitern nach Umsetzung der Richtlinie im nationalen Recht einen Meldekanal für Hinweisgeber vorhalten müssen. Dieser muss so sicher konzipiert, eingerichtet und betrieben werden, dass die Vertraulichkeit der Identität des Hinweisgebers und etwaiger Dritter, die in der Meldung erwähnt werden, gewahrt bleibt und nicht befugten Mitarbeitern der Zugriff darauf verwehrt wird. Hinweisgeber müssen ihre Meldungen in schriftlicher oder mündlicher Form abgeben können. Wenn es der Hinweisgeber wünscht, muss das Unternehmen eine persönliche Besprechung in Form einer „physischen Zusammenkunft“ ermöglichen. Das Unternehmen muss den Eingang der Meldung innerhalb von sieben Tagen bestätigen und dem Hinweisgeber innerhalb von drei Monaten eine inhaltliche Rückmeldung zu seinem Hinweis geben.

Wie Unternehmen diese Voraussetzungen umsetzen, bleibt in ihrem Gestaltungsspielraum. Rein formal betrachtet, dürfte schon ein gesicherter Briefkasten im Unternehmen für schriftliche Meldungen genügen, den nur bestimmte, zur Verschwiegenheit verpflichtete Personen öffnen können. Auch eine interne Telefonhotline, auf die nur eine zur vertraulichen Behandlung der Identität des Hinweisgebers verpflichtete Person Zugriff hat, dürfte alternativ die Voraussetzungen der Whistleblower-Richtlinie erfüllen. In beiden Fällen muss das Unternehmen dem Hinweisgeber zusätzlich eine persönliche Besprechung ermöglichen.

Problematisch kann bei der internen Entgegennahme und Bearbeitung von Hinweisen die Weisungsgebundenheit von Mitarbeitern einerseits und die Pflicht zur vertraulichen Behandlung der Identität des Hinweisgebers andererseits sein. Jedenfalls im Hinblick auf die Offenlegung der Identität müsste die Weisungsgebundenheit arbeitsvertraglich gegenüber den mit der Entgegennahme von Hinweisen betrauten Mitarbeitern aufgehoben werden.

Alternativ haben Unternehmen die Möglichkeit, die vertrauliche Entgegennahme und Bearbeitung von Hinweisen an eine externe, zur Verschwiegenheit verpflichtete Vertrauensperson („externer Ombudsmann“) auszulagern. Falls zu diesem Zweck ein Rechtsanwalt beauftragt wird, hat dies neben der Haftungsverlagerung für die Einhaltung der Vorgaben der Whistleblower-Richtlinie den weiteren Vorteil, dass sich der Anwalt vor Gericht auch hinsichtlich der Identität des Hinweisgebers auf sein Zeugnisverweigerungsrecht berufen kann.

Fazit

Angesichts der Unklarheiten über die Umsetzung der EU-Whistleblower-Richtlinie im deutschen Recht, empfiehlt sich, zunächst abzuwarten, welche Vorgaben der deutsche Gesetzgeber für die Entgegennahme von Hinweisen in deutschen Unternehmen vorsieht. Unternehmen werden aller Voraussicht nach die Wahlmöglichkeit zwischen einer „internen“ Lösung (bspw. vertrauliche Entgegennahme von Hinweisen durch die Compliance-Abteilung) und einer „externen“ Lösung (so etwa die Entgegennahme von Hinweisen durch eine von Berufs wegen zur Verschwiegenheit verpflichtet externe Ombudsperson) haben. Aktionismus ist jedenfalls nicht angebracht.