Whistleblower-Richtlinie greift nun auch für kleinere Unternehmen

Nicht selten werden Rechtsverstöße in Unternehmen zuerst von den Mitarbeitern bemerkt. Aus Angst vor Kündigung oder Abmahnung trauen sich viele nicht, den Betrug zu melden. Die EU-Whistleblower-Richtlinie bzw. das deutsche Hinweisgeberschutzgesetz sollen das ändern. Seit dem 17. Dezember 2023 gelten die neuen Pflichten für Betriebe ab 50 Mitarbeitern.

Von Jana Tashina Wörrle

Gammelfleisch, Abgasaffäre oder Betrug bei Corona-Hilfen – viele derartige Rechtsverstöße von Unternehmen kamen ans Licht, weil einzelne Personen Hinweise darauf weitergegeben oder öffentlich gemacht hatten. Wer dies wagt und als sogenannter Whistleblower bzw. Hinweisgeber agiert, setzt aber nicht selten seinen Job aufs Spiel oder geht zumindest die Gefahr ein, berufliche Nachteile zu spüren.

Um Menschen vor solchen Nachteilen zu schützen, hat der Europäische Gesetzgeber die Whistleblower-Richtlinie geschaffen. In Deutschland wurde sie durch das Hinweisgeberschutzgesetz in die nationale Gesetzgebung übernommen – letztendlich durch einen Kompromiss im Bundesrat. Seit Anfang Juni 2023 ist das sogenannte Hinweisgeberschutzgesetz im Bundesgesetzblatt veröffentlicht. Es trat nun am 2. Juli 2023 in Kraft. Für große Unternehmen brachte es direkt neue Regelungen. Für kleinere Betriebe ab 50 Mitarbeitern gelten seit dem 17. Dezember 2023 Vorgaben hinsichtlich des Schutzes von Hinweisgebern. Das regelt bereits das EU-Recht.

Whistleblower-Richtlinie gilt seit 17. Dezember 2023 auch für kleinere Unternehmen

Die Richtlinie bringt Pflichten für Unternehmen mit sich, passende Meldekanäle zu schaffen, über die die Hinweisgeber Missstände melden können. Deutschland hinkte lange Zeit dem von der EU vorgegebenen Zeitplan hinterher, ein nationales Gesetz zur Umsetzung der Richtlinie zu schaffen. Hinweisgeber waren allerdings auch schon durch die EU-Richtlinie selbst geschützt. Ein Überblick.

Für wen gilt die Whistleblower-Richtlinie ab wann?

Das Hinweisgeberschutzgesetz trat im ersten Schritt für Unternehmen mit mehr als 250 Mitarbeitern in Kraft. Für sie gilt sie seit dem 2. Juli 2023. In Deutschland fallen damit nach Angaben von PwC Deutschland rund 90.000 Unternehmen in den Anwendungsbereich. Seit dem 17. Dezember 2023 gilt die Richtlinie auch für Unternehmen mit 50 oder mehr Mitarbeitenden. Damit kommen mehr als 70.000 weitere Betriebe hinzu.

Whistleblower-Richtlinie: Was sieht das deutsche Gesetz vor?

Wer im Arbeitsleben rechtliche Verstöße mitbekommt, scheut es manches Mal diese anzusprechen oder gar öffentlich zu machen. Der Hinweis auf Fehler in der Verkehrssicherheit, bei Produkten, beim Umwelt- oder Tierschutz, wenn es um öffentliche Aufträge oder Gelder geht, die unrechtmäßig fließen, könnte berufliche Konsequenzen haben, so die Befürchtung. Diese Scheu möchte die EU-Gesetzgebung den vermeintlichen Hinweisgebern nehmen. Sie hat schon Ende 2019 ihren Vorschlag für die Whistleblower-Richtlinie vorgelegt, den die Mitgliedstaaten in nationales Recht umsetzen sollten. Der darin formulierte Schutz bezieht sich allerdings nur auf Verstöße gegen EU-Vorschriften.

Das reichte der Bundesregierung nicht, und so forderte das Bundesjustizministerium bereits im vergangenen Jahr über die EU-Richtlinie hinausgehende Schutzvorschriften. Sie sollten auch Verstöße gegen nationales Recht umfassen. Das deutsche Gesetz zur Umsetzung der Whistleblower-Richtlinie kam zwar verspätet, ist aber seit dem 2. Juli 2023 in Kraft. Es sieht genau das vor, was angekündigt wurde: einen erweiterten Schutz, der alle nationalen Straf- und Bußgeldvorschriften bzw. Verstöße gegen diese umfasst.

Verspätet kommt das Hinweisgebergesetz in Deutschland vor allem deshalb, da es im Bundesrat keine Zustimmung bekam. Erst ein Vermittlungsausschuss klärte vorhandene Kritikpunkte, die sich vor allem auf unterschiedlichen Regelungen für öffentliche Stellen und Unternehmen bezogen. Im Vermittlungsausschuss wurde ein Kompromiss gefunden. Dieser findet sich nun auch im Gesetz wieder und sieht vor, dass nur öffentliche Stellen zusätzlich zu internen, auch externe Meldekanäle einrichten müssen. Unternehmen haben nur die Pflicht, interne Möglichkeiten zu schaffen, über die sich Hinweisgeber melden können. Abgeschwächt wurde ebenso die Pflicht, dass ein Weg geschaffen werden muss, um anonyme Meldungen von Hinweisgebern möglich zu machen.

Schutz für Whistleblower: Was galt vor dem neuen Gesetz in Deutschland?

Zwar hatten Arbeitnehmer auch schon vor dem Gesetz die Möglichkeit, Missstände oder Verstöße gegen geltendes Recht im Betrieb zu melden. Und sie konnten sich auch an öffentliche Stellen wenden, wenn sie Kenntnis von Rechtsverstößen hatten. Voraussetzung war, dass sie sich zuvor um eine innerbetriebliche Klärung bemüht hatten. Ein Hinweisgeberschutz war damit in Deutschland zwar grundsätzlich gesetzlich geregelt. Allerdings nur verstreut in einzelnen Gesetzen und nicht explizit in einem Gesetz.

So beinhaltet etwa das Arbeitsschutzgesetz eine Regelung für Fälle des Gesundheitsschutzes und der Sicherheit am Arbeitsplatz. Danach ist der erste Ansprechpartner eines Arbeitnehmers der Arbeitgeber, wenn ihm vermeintliche Rechtsverstöße aufgefallen sind. Erst wenn dieser nicht auf die Hinweise reagiert und es konkrete Anhaltspunkte gibt, dass wirklich Verstöße im Unternehmen vorliegen, können sich Arbeitnehmer extern Hilfe holen. Dann können sie sich an die zuständige Behörde wenden, ohne dass ihnen hieraus Nachteile entstehen. Außerdem regelt das Betriebsverfassungsgesetz explizit ein Beschwerderecht von Arbeitnehmern bei den zuständigen Stellen des Betriebes wegen Benachteiligung oder ungerechter Behandlung. Demnach darf der Arbeitnehmer bei der zulässigen Ausübung seiner Rechte nicht vom Arbeitgeber gemaßregelt werden.

Whistleblower-Richtlinie: Was ändert das neue Gesetz in Deutschland?

Das nun vorliegende Gesetz für die nationale Umsetzung der Whistleblower-Richtlinie geht über eine 1:1-Umsetzung der EU-Vorgabe hinaus. Es sieht einen Schutz für Hinweisgeber vor einer Abmahnung oder Kündigung vor, wenn die betreffenden Unternehmen oder Organisationen gegen nationale Vorgaben verstoßen und nicht nur gegen reines EU-Recht.

Das Gesetz beschreibt dabei einen erweiterten Schutz, auf den sich Arbeitnehmer berufen können. So sind Whistleblower nicht nur vor einem Verlust des Arbeitsplatzes geschützt oder vor Abmahnungen. Sie müssen grundsätzlich keine Nachteile erwarten wie eine Verweigerung von Weiterbildungen und Beförderungen.

Zwar konnten sich Hinweisgeber bereits zuvor direkt auf die EU-Richtlinie berufen. Das galt, da die Richtlinienvorgaben zum Schutz von Hinweisgebern hinreichend genau und bestimmt sind. Aber dies galt eben auch nur für Verstöße gegen EU-Recht. Jetzt, da Deutschland die Richtlinie in nationales Gesetz übernommen hat, können sich Hinweisgeber auch auf den in der nationalen Gesetzgebung gebotenen Schutz berufen. Aus Sicht von Carsten Hasemeier, Director im Bereich Risk & Regulatory bei der Unternehmensberatungsgesellschaft PwC Deutschland, sollte das aber nicht der einzige Schutz sein, den ein Hinweisgeber erfährt. "Es ist in der Regel im Interesse des Unternehmens, Hinweisgeber vor Repressalien zu schützen", erklärt er.

Denn zum einen stelle jeder Hinweis ein gewisses Risiko für ein Unternehmen dar – sei es in Hinblick auf finanzielle Schäden (z.B. Strafzahlungen) oder Reputationsschäden. "Deshalb sollte jedes Unternehmen bemüht sein als erstes von möglichen Verstößen zu erfahren, um den Sachverhalt frühzeitig und eigenständig aufklären zu können sowie entsprechende Konsequenzen und Folgemaßnahmen umzusetzen", so Hasemeier. Zum anderen biete sich mit jedem Hinweis die Möglichkeit, Schwachstellen in Prozessen und Kontrollen zu beheben und das implementierte Compliance Management System somit stetig zu verbessern.

Seit wann gilt die EU-Whistleblower-Richtlinie?

Die Richtlinie zum Schutz von Hinweisgebern (sog. Whistleblower-Richtlinie) war von den Mitgliedstaaten eigentlich bis zum 17. Dezember 2021 in nationales Recht umzusetzen. Da der bis dahin diskutierte Gesetzesentwurf keine Mehrheit gefunden hatte, konnte Deutschland die Frist nicht einhalten. Die EU hat deshalb ein sogenanntes Vertragsverletzungsverfahren gestartet. Ende Januar 2022 gab es in diesem Zusammenhang bereits eine erste Mahnung. Die Europäische Kommission hat ein Aufforderungsschreiben an alle Länder gerichtet, die noch keine nationalen Gesetzgebungsverfahren zur Umsetzung der EU-Whistleblower-Richtlinie eingeleitet haben. Den Ländern wurde eine Frist zur Reaktion eingeräumt.

Schutz für Whistleblower: Welche neue Pflichten haben Unternehmen jetzt? Gibt es Ausnahmen für kleine Betriebe?

Sowohl nach der EU-Whistleblower-Richtlinie als auch, da jetzt das deutsche Gesetz dazu gilt, müssen Unternehmen mit mehr als 50 Mitarbeitern interne Meldekanäle einrichten, über die Mitarbeiter Hinweise auf potenzielle Verstöße geben können. Dabei sieht das Gesetz vor, dass Unternehmen eine Hinweisabgabe in mündlicher, schriftlicher oder auch persönlicher Weise ermöglichen müssen. Für noch kleinere Betriebe mit weniger als 50 Mitarbeitern sind im Gesetz keine Pflichten vorgesehen.

"Für eine optimale Aufnahme von Hinweisen, sollten Unternehmen ihren Mitarbeitenden auch mehrere Kanäle zur Verfügung stellen", sagt Carsten Hasemeier. Dazu könnten beispielsweise eine Hinweisgeber-Hotline, das persönliche Gespräch, ein Postfach, ein Ombudsmann, aber auch digitale Lösungen wie beispielsweise mobile Apps oder webbasierte Meldekanäle gehören.

Grundsätzlich gilt laut EU-Richtlinie und nach dem deutschen Gesetz:

Innerhalb von sieben Tagen muss der Arbeitgeber dem Hinweisgeber ein Feedback dazu geben, dass die Meldung bei ihm angekommen ist.
Innerhalb von drei Monaten muss eine Rückmeldung an den Hinweisgeber erfolgen zu den geplanten sowie bereits ergriffenen Folgemaßnahmen zum eingegangenen Hinweis.

Alle Kanäle haben Vor- und Nachteile, so Hasemeier. Bei einer digitalen Lösung handelt es sich meist um ein Meldesystem, das in ein Compliance-Management-System integriert ist. "Ein solches Meldesystem bietet die Vorteile, dass es von jedem Ort und zu jeder Zeit erreichbar ist und, dass es ein hohes Maß an Anonymität gewährleistet", erklärt Hasemeier. Außerdem ermöglicht es die Kommunikation mit dem Hinweisgeber, sofern dieser zustimmt und sich ein entsprechendes Postfach einrichtet.

Dürfen Whistleblower anonym bleiben?

Zwar ist die Anonymität keine gesetzliche Pflicht, dennoch schafft sie Vertrauen und eventuell auch mehr Chancen dazu, dass sich Hinweisgeber überhaupt melden. "Die Abgabe eines Hinweises benötigt für viele Hinweisgeber auch ein hohes Maß an Überwindung", so der Compliance-Experte. Das sei auch bei der Wahl der Kanäle wichtig: Während es in einem persönlichen Gespräch oder per Telefon schwieriger ist, anonym zu bleiben, ist das bei einer Abgabe per Brief, Fax oder auch per E-Mail deutlich einfacher.

Deutschland sieht nach Angaben der Wirtschaftsprüfungsgesellschaft keine gesetzliche Pflicht vor, dass Unternehmen anonyme Meldungen ermöglichen müssen. Carsten Hasemeiers Kollege, Chris Rücker, rät aber dennoch dringend dazu, dies zu verwirklichen. "Ansonsten könnte die Hemmschwelle zur Hinweisabgabe in manchen Fällen nicht überwunden werden und relevante Informationen verblieben für Unternehmen im Verborgenen", sagt er voraus. Dabei bekommt auch die Einhaltung des Datenschutzes eine wichtige Rolle und dass Unterlagen zu den behandelten Problemen nur solange aufbewahrt werden wie nötig. Dabei legt der Gesetzgeber eine Frist von zwei Jahren nach Abschluss eines Verfahrens fest.

Für Handwerksbetriebe dürfte dabei Rückers Annahme zufolge vor allem §14 im Gesetzesvorschlag wichtig werden. Er soll es Unternehmen zwischen 50 und 249 Mitarbeitern ermöglichen, gemeinsam mit anderen eine Meldestelle aufzubauen. "Dabei gilt auch die Beauftragung eines Rechtsanwalts oder einer anderen entsprechend qualifizierten Person als interner Kanal", erklärt er. "Qualifizierte Person" bedeute dabei, dass es sich einerseits um eine Person mit entsprechender Weiterbildung handeln muss und andererseits, dass eine Unabhängigkeit bei der Fallbearbeitung gewährleistet ist. Das deutsche Gesetz erlaubt derartige Zusammenschlüsse für interne Meldekanäle auch bei größeren Konzernen, wenn diese für mehrere Tochtergesellschaften gemeinsame Stellen einrichten möchten. Hierbei sieht die EU-Whistleblower-Richtlinie eine Trennung vor.

In Bezug auf den §14 des Gesetzes ergänzt Chris Rücker außerdem, dass hier die Pflicht des Arbeitgebers genannt sei, Maßnahmen zu ergreifen, um den Verstoß abzustellen. Zusätzlich muss dieser der hinweisgebenden Person eine Rückmeldung geben, dass er sich um Maßnahmen kümmert und auch, wenn diese beendet sind.

Was sind externe Kanäle und wer muss sie einrichten?

Neben dem internen Weg für Hinweisgeber im Unternehmen, gibt es aber auch die Möglichkeit für Hinweisgeber externe Meldekanäle zu nutzen. Das heißt, Kontaktmöglichkeiten zu den betreffenden Behörden müssen eingerichtet werden. Das Hinweisgeberschutzgesetz sieht eine verpflichtende Implementierung eines externen Meldekanals nach dem Kompromiss im Bundesrat aber nur noch für öffentliche Stellen vor. Eine zentrale externe Meldestelle soll es beim Bundesamt für Justiz geben. Darüber hinaus existieren unter anderem Meldestellen bei der BaFin und beim Bundeskartellamt.

Für die Länder hingegen besteht nach Angaben von PwC Deutschland ein Wahlrecht, ob ein externer Meldekanal implementiert wird. Das Hinweisgeberschutzgesetz sieht aktuell vor, dass jede externe Meldestelle (auch wenn sie freiwillig eingerichtet wird) in einem gesonderten, leicht erkennbaren und leicht zugänglichen Abschnitt der jeweiligen Website alle wesentlichen Informationen offenlegt. Was die technische Lösung betrifft, können externe Meldekanäle grundsätzlich so ausgestaltet werden wie interne Meldekanäle.

Die EU-Hinweisgeberrichtlinie gibt dabei ein dreistufige Meldekonzept vor. Dieses sieht vor, dass ein Hinweisgeber stets zunächst den internen Meldekanal wählen sollte. So wäre der Arbeitgeber als Erstes über Missstände im eigenen Unternehmen informiert. Damit potenziellen Hinweisgebern auch die externen Meldekanäle bekannt sind, müssen die Behörden ein angemessenes Kommunikationskonzept entwickeln. Gegenstand eines solchen Kommunikationskonzepts sei erfahrungsgemäß die Benennung von entsprechenden Ansprechpartnern.

Nach dem deutschen Gesetz steht es Hinweisgebern frei, ob sie sich an eine interne Meldestelle des Unternehmens oder an eine externe Meldestelle der Behörden wenden. Allerdings sollen von Unternehmen Anreize geschaffen werden, dass Hinweisgeber eine Meldung über einen internen Meldekanal vorziehen. So sieht es §7(3) des Gesetzes vor.

Welche Probleme könnte die Whistleblower-Richtlinie langfristig bringen?

Als problematisch könnte sich außerdem die in der Hinweisgeberschutzrichtlinie vorgesehene Beweislastregelung für Unternehmen erweisen. Dabei geht es darum, dass Arbeitgeber gegebenenfalls belegen müssen, dass sie einen Arbeitnehmer nicht benachteiligen, wenn dieser auf Rechtsverstöße hingewiesen hat.

Das könnte dann greifen, wenn der Arbeitnehmer etwa eine andere Stelle im Betrieb anstrebt oder wenn er vom Arbeitgeber versetzt werden soll – also bei personalwirksamen Maßnahmen. In einem solchen Fall muss der Arbeitgeber nachweisen, dass die avisierte Maßnahme – beispielsweise eine Versetzung, gegen die sich der Arbeitnehmer wehrt – nicht aus Vergeltungsgründen geschieht. In der Praxis dürfte dies nur schwer gelingen. Denn selbst bei objektiv unzutreffenden Meldungen müsste nachgewiesen werden, dass der Arbeitnehmer willentlich und wissentlich falsche oder irreführende Informationen gemeldet hatte.

Welche Sanktionen sieht das Gesetz vor? Was gilt, wenn ein Unternehmen dagegen verstößt?

"Wenn ein Unternehmen kein Hinweisgebersystem einrichtet, muss es schlimmstenfalls damit rechnen, ein Bußgeld von bis zu 20.000 Euro zu zahlen", berichtet Chris Rücker über die Vorgaben des deutschen Gesetzes. Doch damit nicht genug. Denn noch höhere Bußgelder drohen, wenn ein Unternehmen Repressalien ergreift, die Hinweisabgabe oder die darauf folgende Kommunikation verhindert oder die Vertraulichkeit missachtet. "Dann können bis zu 50.000 Euro an Strafzahlungen fällig werden", erklärt Rücker.

Hinweisgeberschutzgesetz Whistleblower-Richtlinie greift nun auch für kleinere Unternehmen