EU-Whistleblower-Richtlinie kompakt

Impressum

ISBN 978-3-85402-404-0

Auch als Buch verfügbar

ISBN 978-3-85402-403-3

1. Auflage 2020

Das Werk ist urheberrechtlich geschützt.

Alle Rechte vorbehalten.

Nachdruck oder Vervielfältigung, Aufnahme

auf oder in sonstige Medien oder Datenträger,

auch bei nur auszugsweiser Verwertung,

sind nur mit ausdrücklicher Zustimmung der

Austrian Standards plus GmbH gestattet.

Alle Angaben in diesem Fachbuch erfolgen

trotz sorgfältiger Bearbeitung ohne Gewähr

und eine Haftung der Herausgeber, der Autorinnen

oder des Verlages ist ausgeschlossen.

Aus Gründen der besseren Lesbarkeit wird in vorliegendem Werk die Sprachform des generischen Maskulinums angewendet.

Es wird an dieser Stelle darauf hingewiesen, dass die ausschließliche Verwendung der männlichen Form geschlechtsunabhängig verstanden werden soll.

© Austrian Standards plus GmbH, Wien 2020

Die Austrian Standards plus GmbH ist ein

Unternehmen von Austrian Standards International.

Austrian Standards plus GmbH

1020 Wien, Heinestraße 38

T +43 1 213 00-300

F +43 1 213 00-818

E service@austrian-standards.at

www.austrian-standards.at/fachliteratur

ProjektManagement

Gertraud Reznicek

LEKTORAT

Anna Giricz

Cover – Fotocredit

© iStockphoto.com/1xpert

gestaltung

Martin Aschauer

Druck

Prime Rate Kft., H-1044 Budapest

Inhalt

Abkürzungsverzeichnis

Vorwort

1 Die neue EU-Whistleblower-Richtlinie

1.1 Bedeutung der Whistleblower-Richtlinie

1.2 Inkrafttreten

1.3 Bisherige Rechtslage

1.3.1 Nationale Grundlagen

1.3.2 Internationale Grundlagen

1.3.3 Internationale Standards

2 Anwendungsbereich

2.1 Sachlicher Anwendungsbereich

2.2 Persönlicher Anwendungsbereich

2.3 Bedingungen für den Schutz

2.3.1 Sanktionen gegen Whistleblower

2.3.2 Weitere Sanktionen

2.4 Wovor Whistleblower geschützt werden müssen

3 Meldungserstattung

3.1 Interne Meldungserstattung

3.1.1 Pflicht zur Errichtung interner Meldesysteme

3.1.2 Wahl des internen Meldesystems

3.1.3 Internes Vorgehen nach erfolgter Meldung

3.2 Externe Meldekanäle

3.3 Offenlegung

4 Whistleblowing und Arbeitsrecht

4.1 Arbeitsrechtliche Rahmenbedingungen

4.1.1 Treuepflicht und Whistleblowing

4.1.2 Meldung von Verstößen in der Belegschaft und allgemeine Missstände

4.1.3 Meldung von Verstößen des Arbeitgebers

4.1.4 Verpflichtung zur internen Anzeige

4.1.5 Whistleblowing durch den Betriebsrat – Besonderheiten

4.1.6 Exkurs: Whistleblowing durch potentielle Arbeitnehmer im Bewerbungsverfahren

4.1.7 Fazit der arbeitsvertraglichen Rahmenbedingungen

4.1.8 Mitbestimmung und Betriebsvereinbarung

4.2 Arbeitsrechtliche Konsequenzen von Whistleblowing

4.3 Internal Investigations

4.3.1 Mitarbeiterbefragungen

4.3.2 Screening von E-Mails

4.3.3 Fazit von Internal Investigations

5 Whistleblowing und Geheimnisschutz

6 Whistleblowing und Compliance

6.1 Warum ist Whistleblowing ein Compliance-Thema?

6.1.1 Whistleblowing als wesentlicher Teil eines CMS

6.1.2 Compliance Officer als unternehmensintern zuständige Stelle

6.2 Whistleblowing-Managementsysteme

7 Whistleblowing und Datenschutz

7.1 Datenschutzrechtliche Ausgangssituation

7.2 Whistleblowingsysteme aus datenschutzrechtlicher Sicht

7.2.1 Whistleblowingsysteme bei Konzernen

7.2.2 Verarbeitung personenbezogener Daten

7.3 Datenschutzrechtliche Vorkehrungen

8 Frequently Asked Questions

9 Ausblick

Literaturverzeichnis

Die Herausgeber und die Autorinnen

Abkürzungsverzeichnis

Vorwort

Die Bedeutung des Whistleblowings für das effiziente Funktionieren der Märkte, des Wettbewerbs, der Rechtsverfolgung und zuletzt auch der Vorbeugung von Schäden des öffentlichen Interesses hat in den letzten Jahren europaweit zugenommen. Die uneinheitliche Rechtslage in den Mitgliedsstaaten führte zu großer Rechtsunsicherheit bei Hinweisgebern. Vor diesem Hintergrund wurde die Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23. Oktober 2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (kurz: Whistleblower-RL), erlassen.

Die durch die Whistleblower-RL auferlegte Pflicht zur Einrichtung von internen Meldekanälen hat auch für Unternehmen durchaus Vorteile. Ohne die Hinweiserstattung bestehen für die Führungsebenen nur beschränkt Möglichkeiten, von unternehmensinternen Fehlverhalten und Verstößen Kenntnis zu erlangen. Gerade dieses Wissen kann jedoch entscheidend dazu beitragen, Haftungen vorzubeugen.

Bis 17. Dezember 2021 haben die Mitgliedsstaaten Zeit, die Whistleblower-RL national umzusetzen. Eine Ausnahme gibt es für private Unternehmen, die zwischen 50 bis 249 Arbeitnehmer beschäftigen: Für diese müssen die Mitgliedsstaaten erst bis 17. Dezember 2023 eine Verpflichtung zur Implementierung von internen Meldekanälen in den nationalen Gesetzen vorsehen.

Dieses Buch soll daher jedem interessierten Leser einen Überblick über die neue Whistleblower-RL geben und zeigen, welche Schritte Unternehmen zukünftig setzen müssen, um einen hinreichenden Hinweisgeberschutz zu garantieren. Die Maßnahmen zum Hinweisgeberschutz werden aus praktischer Sicht und im Zusammenspiel mit anderen Rechtsgebieten erläutert.

Über Ihre Kommentare und Ihr Feedback freuen wir uns unter verlag@austrian-standards.at.

1 Die neue EU-Whistleblower-Richtlinie

Diana Gretzer

1 Die neue EU-Whistleblower-Richtlinie
1.1 Bedeutung der Whistleblower-Richtlinie

Meldungen sind wichtig, um Rechtsverstöße ans Licht zu bringen. Vor allem auch, um interne Prozesse dahingehend zu optimieren, dass weiteren Missständen vorgebeugt wird. Dabei hat die Rolle von Whistleblowern in den letzten Jahren zunehmend an Bedeutung gewonnen. Welche Brisanz diesem Thema zukommt, verdeutlichen vor allem medial bekanntgewordene Whistleblowing-Fälle, denn ohne die entsprechenden Meldungen wären sämtliche Verstöße erst gar nicht öffentlich geworden.

Aufgrund des bis dato nur beschränkt gewährten Schutzes standen der Meldungserstattung die Furcht vor nachteiligen persönlichen und beruflichen Konsequenzen entgegen, wodurch es zu einer geringen Anzahl an Meldungen kam. Für Unternehmen ist dies insofern nachteilig, als dass sie von vermeintlichen Missständen oftmals erst dann Kenntnis erlangen, wenn Behörden bereits ermitteln. Es macht für Unternehmen einen erheblichen Unterschied, ob ein Hinweisgeber zunächst unternehmensintern eine Meldung erstattet oder ob er sich direkt an die zuständige Behörde oder die Öffentlichkeit wendet. Wird der interne Weg umgangen, wird dem Unternehmen eine vorzeitige und schadensmindernde interne Aufklärung verwehrt. (Compliance-)Verstöße können zu beachtlichen monetären Schäden führen, was auch eine Studie der Europäischen Kommission aus dem Jahr 2017 verdeutlicht.[1] Es ist daher umso wichtiger, dass Unternehmen interne Vorkehrungen treffen, um potentiellen Hinweisgebern ausreichende und vor allem attraktive Möglichkeiten zu gewähren, Meldungen in erster Linie intern zu erstatten.

Bislang gab es auf Unionsebene keinen einheitlichen Rechtsschutz für Hinweisgeber. Vielmehr war es den Mitgliedsstaaten selbst überlassen, entsprechende Regelungen in das nationale Recht aufzunehmen. Dies resultierte nicht nur in schwerer Auffindbarkeit entsprechender Bestimmungen sowie Rechtsunsicherheit seitens der Whistleblower, sondern insbesondere im Fehlen eines allgemeinen, gesetzlich vorgesehenen Schutzsystems. Partieller Schutz – in bestimmten Wirtschaftszweigen oder für gewisse Kategorien von Arbeitnehmern – war nicht ausreichend, um Hinweisgeber zur Meldungserstattung zu ermutigen.

Vor diesem Hintergrund verfolgte auch die Gesetzgebung auf Ebene der Europäischen Union (EU) bereits seit dem Jahr 2014 das Ziel, einen gemeinsamen Mindeststandard zur Gewährleistung eines wirksamen Hinweisgeberschutzes zu erlassen. Dies wurde mit der Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23. Oktober 2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (kurz: Whistleblower-RL), realisiert. Sie basiert auf dem Grundgedanken, dass durch Whistleblower gewonnene Informationen massiv zur Aufdeckung und Verfolgung von Rechtsverstößen beitragen können. Das erklärte Ziel der Whistleblower-RL ist es also, einen unionsweit einheitlichen Mindeststandard zum Schutz von Whistleblowern zu schaffen.

1.2 Inkrafttreten

Dem Unionsgesetzgeber kommt aufgrund des Vertrags über die Arbeitsweise der Europäischen Union eine Harmonisierungskompetenz über diverse Rechtsgebiete zu. Gestützt auf diese Rechtsgrundlage wurde die Whistleblower-RL am 7. Oktober 2019 vom Europäischen Rat verabschiedet und ist seit dem 16. Dezember 2019 in Kraft.

Die Mitgliedsstaaten der EU haben nun zwei Jahre Zeit, um die Vorgaben in nationales Recht umzusetzen. Somit ist vorgesehen, dass mit Wirkung zum 17. Dezember 2021 der nationale Gesetzgeber rechtliche Rahmenbedingungen geschaffen hat, welche es Whistleblowern ermöglichen, den vorgesehenen Schutz in Anspruch zu nehmen.

Abweichend von dieser allgemeinen Umsetzungsverpflichtung, haben die nationalen Gesetzgeber jedoch auch eine Erleichterung vorzusehen: Die nationale Umsetzung muss vorsehen, dass juristische Personen des privaten Sektors, die 50 bis 249 Arbeitnehmer beschäftigen, bis zum 17. Dezember 2023 Zeit haben, Meldekanäle einzurichten.[2] Kleine und mittlere Unternehmen (kurz: KMU) haben somit zwar eine Schonfrist hinsichtlich der Implementierung von Whistleblowingsystemen erhalten, jedoch ist es auch für sie zum jetzigen Zeitpunkt schon notwendig, entsprechende Vorbereitungsmaßnahmen zu treffen.

1.3 Bisherige Rechtslage

Insbesondere im Bereich der Finanzdienstleistungen enthielten einige Rechtsakte der Union bereits detaillierte Vorschriften zum Schutz von Hinweisgebern. Die verschiedenen nationalen Rechtsordnungen sahen ähnliche Regelungen vor. Diese sind jedoch von Uneinheitlichkeit geprägt und beziehen sich meist nur auf spezielle Bereiche.

1.3.1 Nationale Grundlagen

In Österreich sind Hinweisgebersysteme bereits bekannt und werden häufig genutzt, sind diese doch schon seit mehreren Jahren bei einigen Behörden im Einsatz, so etwa bei

+Wirtschafts- und Korruptionsstaatsanwaltschaft (kurz: WKStA), gemäß § 2a (6) StAG:

7.148 Meldungen zum Stichtag 31.12.2018[3] (insgesamte Anzahl der Meldungen seit der Implementierung im Jahr 2013),

+Finanzmarktaufsichtsbehörde (kurz: FMA), gemäß § 99 g (2) BWG:

263 Meldungen im Jahr 2019[4],

+Bundeswettbewerbsbehörde (kurz: BWB), gemäß § 11b (6) WettbG:

39 Meldungen im Jahr 2018[5].

Eine branchenunabhängige allgemeine Pflicht für Unternehmen zur Einrichtung von Hinweisgebersystemen gab es bislang nicht. Lediglich einzelne Rechtsnormen sehen vor, dass unternehmensinterne Stellen einzurichten sind, bei denen Mitarbeiter Verstöße gegen bestimmte Gesetze melden können. So bspw. § 99g Bankwesengesetz, welcher Kreditinstitute dazu verpflichtet, Hinweisgebersysteme einzurichten und vorsieht, die Anonymität der Meldenden zu wahren sowie diese vor Vergeltungsmaßnahmen zu schützen.

1.3.2 Internationale Grundlagen

Auch in anderen Ländern gab es bereits Rechtsnormen, die Ähnlichkeiten zu jenen der Whistleblower-RL aufweisen. Im Folgenden wird ein kurzer beispielhafter Überblick über entsprechende Länder und Bestimmungen gegeben.

Deutschland: Im deutschen Corporate Governance Kodex für börsennotierte AGs lässt sich eine Verpflichtung zur Einrichtung einer Stelle zur Meldung von Rechtsverstößen für Mitarbeiter und Dritte finden.

Frankreich: Das französische Antikorruptionsgesetz SAPIN II verpflichtet Unternehmen mit mehr als 50 Mitarbeitern eine Meldestelle für Whistleblower einzurichten. Es ist für Schutz vor Strafverfolgungen und der Wahrung der Anonymität zu sorgen.

Slowakei: Mit dem Gesetz über bestimmte, mit Anzeige der gesellschaftswidrigen Tätigkeit zusammenhängenden Maßnahmen (č. 54/2019) verfügt die Slowakei seit 2015 (novelliert 2019) über ein umfassendes Regelwerk zum Thema Whistleblowing. Durch den weiten Schutzbereich und der Einrichtung einer unabhängigen Zentralbehörde gilt sie als unionsweiter Vorreiter.

USA: Der Sarbanes-Oxley Act[6] trägt den an US-Börsen gelisteten Unternehmen sowie deren Tochterunternehmen, die Einrichtung von Whistleblower-Hotlines auf. Damit verbunden ist ein genereller Schutz von Whistleblowern.

Durch die neue Whistleblower-RL wird die bereits anerkannte Bedeutung dieses Themas nun endgültig auf europäischer Ebene vereinheitlicht. Die Mindeststandards stellen einen bedeutenden Schritt in Richtung Hinweisgeberschutz und der Bekämpfung von Rechtsverstößen dar und sind insofern zu begrüßen.

1.3.3 Internationale Standards

Neben verbindlichen Rechtsnormen spielen internationale Standards als allgemein anerkannte Regelwerke in der Unternehmerpraxis eine zunehmende Rolle. In einigen von ihnen wurde Whistleblowing schon vor Beginn des Gesetzgebungsprozesses der Whistleblower-RL in unterschiedlichem Ausmaß thematisiert. Dazu zählen vor allem:

+ÖNORM ISO 19600 – Compliance-Managementsysteme – Leitlinien

Dieser Standard legt die Einrichtung eines Whistleblowingsystems als risikominimierende Maßnahme innerhalb eines Compliance- Management-Systems (kurz: CMS) nahe. Die ÖNORM ISO 19600 ist ein Typ-B Standard, damit ist eine Leitlinie gemeint. Die Kriterien in diesem Standard haben Empfehlungscharakter. Zertifizierbar ist dieser Standard aber trotzdem, weil die Empfehlungen als konkrete Anforderungen formuliert werden können und die Umsetzung dieser im Rahmen eines Audits geprüft wird. Die ISO 19600 wird derzeit überarbeitet und soll bis Ende des Jahres 2020 in die neue ISO 37301 überführt werden, es bleibt daher abzuwarten, inwieweit – bzw. ob die Bestimmungen zum Whistleblowing verändert werden.

+ÖNORM EN ISO 26000 – Leitfaden zur gesellschaftlichen Verantwortung

Diese ÖNORM EN ISO zeichnet sich durch ihren ausschließlichen Empfehlungscharakter aus, denn eine Zertifizierung ist nicht möglich. Als Leitfaden für eine gesellschaftlich verantwortliche Organisationsführung wird auch hier dazu geraten, Meldesysteme einzurichten, um Verstöße gegen grundlegende Prinzipien und Rechte bei der Arbeit aufzudecken.

+ISO 37001 – Anti-bribery management systems — Requirements with guidance for use

Dieser ISO-Standard sieht vor, dass Organisationen interne Richtlinien aufsetzen, welche der Prävention von Korruption und Bestechung dienen. Darüber hinaus sind Hinweisgeber-Meldekanäle verpflichtend einzurichten, um Verstöße gegen eben diese internen Richtlinien melden zu können. Zertifizierungen nach der ISO 37001 sind möglich und werden von Unternehmen auch vielmals angestrebt. Auffällig ist, dass diese Hinweisgebersysteme zwingend die Möglichkeit der anonymen Meldungserstattung vorsehen müssen.

Die internationale Akzeptanz dieser Standards schlägt sich vor allem darin nieder, dass sich Unternehmen – soweit möglich – danach zertifizieren lassen und dies als Best Practice gilt. Die Implementierung von Whistleblowingsystemen wird dabei insbesondere als wesentlicher Bestandteil eines funktionierenden CMS angesehen.

Die Internationale Organisation für Normung (kurz: ISO) hat in Anbetracht der Wichtigkeit des Themas Whistleblowing bereits im Juni 2018 den Beschluss gefasst, einen neuen internationalen Standard zu erarbeiten. Dieser soll Richtlinien für die Implementierung, Verwaltung, Bewertung, Aufrechterhaltung und Verbesserung eines robusten und effektiven Verwaltungssystems innerhalb einer Organisation für die Meldung von Missständen enthalten. Dieser branchen- und unternehmensgrößenunabhängige internationale Standard soll bis zum Ende des Jahres 2021 veröffentlicht werden. Vertrauen, Unparteilichkeit und Schutz sollen die leitenden Prinzipien des neuen Standards sein (siehe Näheres in Kapitel 6.2).

1Europäische Kommission, Estimating the economic benefits of whistleblower protection in public procurement (2017).

2Vgl. Whistleblower-RL 2019/1937 Art 26 Abs 2.

3Bundesministerium für Verfassung, Reformen, Deregulierung und Justiz, Sicherheitsbericht 2019 des Bundesministeriums für Verfassung, Reformen, Deregulierung und Justiz.

4Finanzmarktaufsichtsbehörde, Jahresbericht 2019.

5Bundeswettbewerbsbehörde, Tätigkeitsbericht 2018.

6Sarbanes-Oxley Act of 2002.