Whistleblower-Richtlinie: Das kommt auf kleine Unternehmen zu

Rechtsverstöße in Unternehmen fallen nicht selten als erstes den Angestellten auf. Aus Angst vor einer Kündigung oder Abmahnung trauen sich viele nicht, den Betrug zu melden. Das sollen die EU-Whistleblower-Richtlinie bzw. das deutsche Hinweisgeberschutzgesetz ändern. Das bringt 2023 neue Pflichten für große Unternehmen und auch kleine Betriebe.

Von Jana Tashina Wörrle

Gammelfleisch, Abgasaffäre oder Betrug bei Corona-Hilfen – viele derartige Rechtsverstöße von Unternehmen kamen ans Licht, weil einzelne Personen Hinweise darauf weitergegeben oder öffentlich gemacht hatten. Wer dies wagt und als sogenannter Whistleblower bzw. Hinweisgeber agiert, setzt aber nicht selten seinen Job aufs Spiel oder geht zumindest die Gefahr ein, berufliche Nachteile zu spüren.

Um Menschen vor solchen Nachteilen zu schützen, hat der Europäische Gesetzgeber die Whistleblower-Richtlinie geschaffen. In Deutschland wird sie durch das Hinweisgeberschutzgesetz in die nationale Gesetzgebung übernommen. Doch noch ist diese nicht in Kraft. Bund und Länder konnten sich zwar nun nach langen Verhandlungen auf einen Gesetzesentwurf einigen. Nachdem ein Vermittlungsausschuss einberufen wurde, gibt es nun einen Kompromiss.

Aber wann das Gesetz genau in Kraft tritt, steht noch nicht abschließend fest. In Kürze sollen aber Bundestag und Bundesrat dazu einen Beschluss fassen. Läuft dabei alles ohne weitere Einschränkungen, könnte das Gesetz ab Mitte Juni 2023 gelten. Damit legt der Gesetzgeber fest, ab wann es neue Regelungen für große Unternehmen gibt. Denn für die Betriebe ab 50 Mitarbeitern gelten ab Dezember 2023 Vorgaben zum Hinweisgeberschutz. Das regelt bereits das EU-Recht.

Whistleblower-Richtlinie gilt ab Dezember 2023 für kleinere Unternehmen

Die Richtlinie bringt Pflichten für Unternehmen mit sich, passende Meldekanäle zu schaffen, über die die Hinweisgeber Missstände melden können. Deutschland hinkt derzeit dem von der EU vorgegebenen Zeitplan hinterher, ein nationales Gesetz zur Umsetzung der Richtlinie zu schaffen. Hinweisgeber sind dennoch schon jetzt geschützt. Ein Überblick.

Für wen gilt die Whistleblower-Richtlinie ab wann?

Die Whistleblower-Richtlinie greift im ersten Schritt für Unternehmen mit mehr als 250 Mitarbeitern. Der genaue Zeitpunkt des Inkrafttretens steht noch nicht fest. Es wird voraussichtlich im Juni 2023 sein. In Deutschland fallen damit nach Angaben von PwC Deutschland rund 90.000 Unternehmen in den Anwendungsbereich. Ab dem 17. Dezember 2023 gilt die Richtlinie auch für Unternehmen mit 50 oder mehr Mitarbeitenden. Dann kommen mehr als 70.000 weitere Betriebe hinzu.

Whistleblower-Richtlinie: Was sieht der deutsche Gesetzesvorschlag vor?

Wer im Arbeitsleben rechtliche Verstöße mitbekommt, scheut es manches Mal diese anzusprechen oder gar öffentlich zu machen. Der Hinweis auf Fehler in der Verkehrssicherheit, bei Produkten, beim Umwelt- oder Tierschutz, wenn es um öffentliche Aufträge oder Gelder geht, die unrechtmäßig fließen, könnte berufliche Konsequenzen haben, so die Befürchtung. Diese Scheu möchte die EU-Gesetzgebung den vermeintlichen Hinweisgebern nehmen. Sie hat schon Ende 2019 ihren Vorschlag für die Whistleblower-Richtlinie vorgelegt, den die Mitgliedstaaten in nationales Recht umsetzen sollten. Der darin formulierte Schutz bezieht sich allerdings nur auf Verstöße gegen EU-Vorschriften.

Das genügt der Bundesregierung nicht und so verlangte das Bundesjustizministerium schon im vergangenen Jahr Schutzvorschriften, die über die der EU-Richtlinie hinausgehen. Sie sollen auch Verstöße gegen nationale Gesetze miteinbeziehen. Zwar kommt der deutsche Gesetzesvorschlag zur Umsetzung der Whistleblower-Richtlinie verspätet, aber seit April 2022 liegt er vor. Und er sieht genau das Angekündigte vor: ein erweiterter Schutz, der alle nationalen Straf- und Bußgeldvorschriften bzw. einen Verstoß dagegen mit einbezieht.

Dieser Vorschlag bezieht sich allerdings gleichermaßen auf öffentliche Stellen und Unternehmen und fand bei den Bundesländern im ersten Anlauf keine Einigung. So wurde gefordert, dass Festlegungen ins Gesetz aufgenommen werden, dass sich Hinweisgeber bevorzugt an interne Meldestellen wenden sollen. Externe Meldestellen einzurichten, soll für Unternehmen keine Pflicht sein. Ähnlich sieht es mit der Pflicht aus, dass ein Weg geschaffen werden muss, um anonyme Meldungen von Hinweisgebern möglich zu machen. Beide Pflichten würden vor allem mittelständische Unternehmen überfordern, lautete die Kritik. Diese hat der Bundesrat nun aufgenommen.

"Dieser Entwurf befindet sich noch im Gesetzgebungsprozess, aber wir gehen davon aus, dass er hier durchgewunken wird", sagt dazu auch Chris Rücker von der Unternehmensberatungsgesellschaft PwC Deutschland, die Firmen bei der Implementierung von Hinweisgebersystemen unterstützt. Er rechnet damit, dass in Deutschland das "Gesetz für einen besseren Schutz hinweisgebender Personen" nun endlich bald in Kraft tritt.

Schutz für Whistleblower: Was gilt bisher in Deutschland?

Zwar haben Arbeitnehmer bereits jetzt die Möglichkeit, unternehmensintern auf Missstände oder Verstöße gegen geltendes Recht hinzuweisen. Und sie können sich auch an öffentliche Stellen wenden, wenn sie Rechtsverstöße mitbekommen. Voraussetzung dafür ist aber, dass sie sich zuvor um eine innerbetriebliche Klärung bemüht haben. Bisher ist der Hinweisgeberschutz in Deutschland nur punktuell gesetzlich geregelt.

So beinhaltet etwa das Arbeitsschutzgesetz eine Regelung für Fälle des Gesundheitsschutzes und der Sicherheit am Arbeitsplatz. Danach ist der erste Ansprechpartner eines Arbeitnehmers der Arbeitgeber, wenn ihm vermeintliche Rechtsverstöße aufgefallen sind. Erst wenn dieser nicht auf die Hinweise reagiert und es konkrete Anhaltspunkte gibt, dass wirklich Verstöße im Unternehmen vorliegen, können sich Arbeitnehmer extern Hilfe holen. Dann können sie sich an die zuständige Behörde wenden, ohne dass ihnen hieraus Nachteile entstehen. Außerdem regelt das Betriebsverfassungsgesetz explizit ein Beschwerderecht von Arbeitnehmern bei den zuständigen Stellen des Betriebes wegen Benachteiligung oder ungerechter Behandlung. Demnach darf der Arbeitnehmer bei der zulässigen Ausübung seiner Rechte nicht vom Arbeitgeber gemaßregelt werden.

Whistleblower-Richtlinie: Was soll sich in Deutschland ändern?

Der nun vorliegende Entwurf für die nationale Umsetzung der Whistleblower-Richtlinie geht über eine 1:1-Umsetzung der EU-Vorgabe hinaus. Er sieht einen Schutz für Hinweisgeber vor einer Abmahnung oder Kündigung vor, wenn die betreffenden Unternehmen oder Organisationen gegen nationale Vorgaben verstoßen und nicht nur gegen reines EU-Recht.

Der Gesetzesvorschlag sieht dabei einen erweiterten Schutz vor, auf den sich Arbeitnehmer berufen können. So sollen Whistleblower nicht nur vor einem Verlust des Arbeitsplatzes geschützt sein oder vor Abmahnungen. Sie sollen grundsätzlich keine Nachteile erwarten müssen wie eine Verweigerung von Weiterbildungen und Beförderungen.

Zwar können sich Hinweisgeber bereits jetzt direkt auf die EU-Richtlinie berufen. Das gilt, da die Richtlinienvorgaben zum Schutz von Hinweisgebern hinreichend genau und bestimmt sind. Aber dies greift eben auch nur für Verstöße gegen EU-Recht. Sobald Deutschland die Richtlinie in nationales Gesetz übernommen hat, können sich Hinweisgeber dann auf den in der nationalen Gesetzgebung gebotenen Schutz berufen. Aus Sicht von Carsten Hasemeier, Director im Bereich Risk & Regulatory bei PwC Deutschland, sollte das aber nicht der einzige Schutz sein, den ein Hinweisgeber erfährt. "Es ist in der Regel im Interesse des Unternehmens, Hinweisgeber vor Repressalien zu schützen", erklärt er.

Denn zum einen stelle jeder Hinweis ein gewisses Risiko für ein Unternehmen dar – sei es in Hinblick auf finanzielle Schäden (z.B. Strafzahlungen) oder Reputationsschäden. "Deshalb sollte jedes Unternehmen bemüht sein als erstes von möglichen Verstößen zu erfahren, um den Sachverhalt frühzeitig und eigenständig aufklären zu können sowie entsprechende Konsequenzen und Folgemaßnahmen umzusetzen", so Hasemeier. Zum anderen biete sich mit jedem Hinweis die Möglichkeit, Schwachstellen in Prozessen und Kontrollen zu beheben und das implementierte Compliance Management System somit stetig zu verbessern.

Seit wann gilt die EU-Whistleblower-Richtlinie?

Die Richtlinie zum Schutz von Hinweisgebern (sog. Whistleblower-Richtlinie) war von den Mitgliedstaaten eigentlich bis zum 17. Dezember 2021 in nationales Recht umzusetzen. Da der bislang diskutierte Gesetzesentwurf keine Mehrheit gefunden hat, konnte Deutschland die Frist nicht einhalten. Die EU hat deshalb ein sogenanntes Vertragsverletzungsverfahren gestartet. Ende Januar 2022 gab es in dessen Rahmen auch bereits ist erste Mahnung. Die EU-Kommission hat ein Aufforderungsschreiben an alle Länder verfasst, die noch keine nationalen Gesetzgebungsverfahren zur Umsetzung der EU-Whistleblower-Richtlinie auf den Weg gebracht haben. Die Länder haben nun zwei Monate Zeit, darauf zu reagieren.

Gegebenenfalls können sich Hinweisgeber allerdings bereits jetzt direkt auf die EU-Richtlinie berufen. Das gilt, da die Richtlinienvorgaben zum Schutz von Hinweisgebern hinreichend genau und bestimmt sind. Konkret bedeutet dies, dass sich Arbeitnehmer auf die Schutzvorschriften zu ihren Gunsten beziehen können, auch wenn sie noch nicht in nationales Recht umgesetzt wurden.

Schutz für Whistleblower: Bekommen Unternehmen jetzt neue Pflichten? Gibt es Ausnahmen für kleine Betriebe?

Sowohl nach der EU-Whistleblower-Richtlinie als auch, wenn das deutsche Gesetz dazu gilt, müssen Unternehmen mit mehr als 50 Mitarbeitern interne Meldekanäle einrichten, über die Mitarbeiter interne Meldungen vornehmen können. Dabei sehen beide Vorlagen vor, dass Unternehmen eine Hinweisabgabe in mündlicher, schriftlicher oder auch persönlicher Weise ermöglichen. "Für eine optimale Aufnahme von Hinweisen, sollten Unternehmen ihren Mitarbeitenden auch mehrere Kanäle zur Verfügung stellen", sagt Carsten Hasemeier. Dazu könnten beispielsweise eine Hinweisgeber-Hotline, das persönliche Gespräch, ein Postfach, ein Ombudsmann, aber auch digitale Lösungen wie beispielsweise mobile Apps oder webbasierte Meldekanäle gehören.

Grundsätzlich gilt laut EU-Richtlinie und auch nach den deutschen Gesetzesplänen dabei:

Innerhalb von sieben Tagen muss der Arbeitgeber dem Hinweisgeber ein Feedback dazu geben, dass die Meldung bei ihm angekommen ist.
Innerhalb von drei Monaten muss eine Rückmeldung an den Hinweisgeber erfolgen zu den geplanten sowie bereits ergriffenen Folgemaßnahmen zum eingegangenen Hinweis.

Alle Kanäle bieten seiner Ansicht nach Vor- und Nachteile. Bei einer digitalen Lösung handelt es sich meistens um ein Meldesystem, das in einem Compliance Management System integriert ist. "Ein solches Meldesystem bietet die Vorteile, dass es von jedem Ort und zu jeder Zeit erreichbar ist und, dass es ein hohes Maß an Anonymität gewährleistet", erklärt Hasemeier. Außerdem erlaube es eine Kommunikation mit dem Hinweisgeber, sofern dieser zustimmt und sich ein entsprechendes Postfach einrichtet.

Dürfen Whistleblower anonym bleiben?

Zwar soll die Anonymität keine gesetzliche Pflicht mehr sein, dennoch schafft sie Vertrauen und eventuell auch mehr Chancen dazu, dass sich Hinweisgeber überhaupt melden. "Die Abgabe eines Hinweises benötigt für viele Hinweisgeber auch ein hohes Maß an Überwindung", so der Compliance-Experte. Das sei auch bei der Wahl der Kanäle wichtig: Während es in einem persönlichen Gespräch oder per Telefon schwieriger ist anonym zu bleiben, ist das bei einer Abgabe per Brief, Fax oder auch per E-Mail deutlich einfacher.

Deutschland sieht nach Angaben der Wirtschaftsprüfungsgesellschaft keine gesetzliche Pflicht vor, dass Unternehmen anonyme Meldungen ermöglichen müssen. Chris Rücker rät aber dennoch dringend dazu, dies zu verwirklichen. "Ansonsten könnte die Hemmschwelle zur Hinweisabgabe in manchen Fällen nicht überwunden werden und relevante Informationen verblieben für Unternehmen im Verborgenen", sagt er voraus. Dabei bekommt auch die Einhaltung des Datenschutzes eine wichtige Rolle und dass Unterlagen zu den behandelten Problemen nur solange aufbewahrt werden wie nötig. Dabei legt der Gesetzgeber eine Frist von zwei Jahren nach Abschluss eines Verfahrens fest.

Für Handwerksbetriebe dürfte dabei Rückers Annahme zufolge vor allem §14 im Gesetzesvorschlag wichtig werden. Er soll es Unternehmen zwischen 50 und 249 Mitarbeitern ermöglichen, gemeinsam mit anderen eine Meldestelle aufzubauen. "Dabei gilt auch die Beauftragung eines Rechtsanwalts oder einer anderen entsprechend qualifizierten Person als interner Kanal", erklärt er. Dabei bedeute "qualifizierte Person", dass es sich einerseits um eine Person mit entsprechender Weiterbildung handeln muss und andererseits, dass eine Unabhängigkeit bei der Fallbearbeitung gewährleistet ist.

Der deutsche Gesetzesentwurf erlaubt derartige Zusammenschlüsse für interne Meldekanäle auch bei größeren Konzernen, wenn diese für mehrere Tochtergesellschaften gemeinsame Stellen einrichten möchten. Hierbei sieht die EU-Whistleblower-Richtlinie eine Trennung vor. Laut Rücker wäre es für Konzerne erfreulich, wenn Hinweisgebersysteme gemäß des Referentenentwurfs zentral im Konzern eingerichtet werden können. Allerdings bleibe abzuwarten, ob diese Auslegung des Entwurfs europarechtlich standhalten wird.

Was sind externe Kanäle und wer muss sie einrichten?

Neben dem internen Weg für Hinweisgeber im Unternehmen, kann es aber auch die Möglichkeit geben, externe Meldekanäle zu nutzen. Das heißt, Kontaktmöglichkeiten zu den betreffenden Behörden müssen eingerichtet werden. Der Entwurf der Bundesregierung (HinSchG-E) sieht nach dem Kompromiss im Bundesrat nun auch keine verpflichtende Implementierung eines externen Meldekanals mehr vor. Einzelne Behörden wie das Bundesamt für Justiz haben aber Medienberichten zufolge schon angekündigt, die Möglichkeit zu anonymen Dialogen mit Hinweisgebern bereitzustellen.

"Für die Länder hingegen besteht ein Wahlrecht, ob ein externer Meldekanal implementiert wird“, erklärt Arndt Engelmann, der als Partner ebenfalls im Bereich Risk & Regulatory bei PwC Deutschland arbeitet. Das HinSchG-E sieht aktuell vor, dass jede externe Meldestelle (auch wenn sie freiwillig eingerichtet wird) in einem gesonderten, leicht erkennbaren und leicht zugänglichen Abschnitt der jeweiligen Website alle wesentlichen Informationen offenlegt. "Was die technische Lösung betrifft können externe Meldekanäle grundsätzlich so ausgestaltet werden wie interne Meldekanäle, nur dass sie eben in den entsprechend verantwortlichen Behörden angesiedelt sein werden", sagt Engelmann.

Die EU-Hinweisgeberrichtlinie gibt dabei ein dreistufige Meldekonzept vor. Dieses sieht vor, dass ein Hinweisgeber stets den internen Meldekanal als erstes wählen sollte. So wäre der Arbeitgeber als erstes über Missstände im eigenen Unternehmen informiert. "Damit potenziellen Hinweisgebern auch die externen Meldekanäle bekannt sind, müssen die Behörden ein angemessenes Kommunikationskonzept entwickeln", erklärt Arndt Engelmann. Gegenstand eines solchen Kommunikationskonzept sei erfahrungsgemäß die Benennung von entsprechenden Ansprechpartnern.

Welche Probleme könnte die Whistleblower-Richtlinie bringen?

Als problematisch könnte sich außerdem die in der Hinweisgeberschutzrichtlinie vorgesehene Beweislastregelung für Unternehmen erweisen. Dabei geht es darum, dass Arbeitgeber gegebenenfalls belegen müssen, dass sie einen Arbeitnehmer nicht benachteiligen, wenn dieser auf Rechtsverstöße hingewiesen hat.

Das könnte dann greifen, wenn der Arbeitnehmer etwa eine andere Stelle im Betrieb anstrebt oder wenn er vom Arbeitgeber versetzt werden soll – also bei personalwirksamen Maßnahmen. In einem solchen Fall muss der Arbeitgeber nachweisen, dass die avisierte Maßnahme – beispielsweise eine Versetzung, gegen die sich der Arbeitnehmer wehrt – nicht aus Vergeltungsgründen geschieht. In der Praxis dürfte dies nur schwer gelingen. Denn selbst bei objektiv unzutreffenden Meldungen müsste nachgewiesen werden, dass der Arbeitnehmer willentlich und wissentlich falsche oder irreführende Informationen gemeldet hatte.

Welche Sanktionen sieht die Whistleblower-Richtlinie vor? Was gilt, wenn ein Unternehmen dagegen verstößt?

"Wenn ein Unternehmen kein Hinweisgebersystem einrichtet, muss es schlimmstenfalls damit rechnen, ein Bußgeld von bis zu 20.000 Euro zu zahlen", berichtet Chris Rücker über die Vorgaben im deutschen Gesetzesentwurf. Aber das ist noch nicht alles. Denn noch höhere Bußgelder dann, wenn ein Unternehmen Repressalien ergreift, die Hinweisabgabe oder die darauf folgende Kommunikation verhindert oder die Vertraulichkeit missachtet. "Dann können bis zu 50.000 Euro an Strafzahlungen fällig werden", erklärt Rücker.