Am 17. Dezember 2021 läuft für die EU-Mitgliedstaaten die Umsetzungsfrist für die EU-Whistleblowing-Richtlinie ab, die für alle Unternehmen gilt, die mindestens 50 Mitarbeiter haben. In Deutschland gibt es weiterhin kein nationales Umsetzungsgesetz. Für Unternehmen stellt sich die Frage, welche Folgen der Ablauf der Umsetzungsfrist hat und welche Maßnahmen jetzt ergriffen werden sollen oder müssen.
Welche wesentlichen Pflichten müssen Unternehmen nach der Richtlinie erfüllen?
Die EU-Whistleblowing-Richtlinie sieht unter anderem vor, dass Unternehmen mit 50 oder mehr Mitarbeitern eine "interne Meldestelle" (Hinweisgebersystem) einführen müssen, die bestimmte Anforderungen zu erfüllen hat. Die Meldestelle kann mit eigenen ("unabhängigen") Mitarbeitern oder mit externen Dritten besetzt werden. Die Meldestellen sind u.a. verpflichtet, die Identität des Whistleblowers innerhalb und außerhalb des Unternehmens streng zu schützen, Folgemaßnahmen zu ergreifen und innerhalb bestimmter Fristen Rückmeldungen an den Whistleblower zu geben.
Außerdem muss der Gesetzgeber eine externe Meldestelle schaffen, an die sich ein Whistleblower alternativ zur internen Meldestelle wenden darf. Whistleblower sind nach der Richtlinie umfangreich vor Repressalien aufgrund ihres Hinweises geschützt sind.
Was bedeutet der Ablauf der Umsetzungsfrist für Unternehmen?
Am 17. Dezember 2021 läuft für die EU-Mitgliedstaaten die Umsetzungsfrist für die Richtlinie ab. Ausnahmen gibt es nur für die Verpflichtungen für Unternehmen mit weniger als 250 Mitarbeitern, hier ist Stichtag der 17. Dezember 2023. Wann die Richtlinie in deutsches Recht umgesetzt wird, ist aufgrund des Regierungswechsels weiterhin nicht absehbar. Bereits jetzt ist jedoch klar, dass in Deutschland bis zum 17. Dezember 2021 kein nationales Umsetzungsgesetz in Kraft treten wird.
Solange es kein nationales Gesetz gibt, ist davon auszugehen, dass die Unternehmen in Deutschland (noch) nicht zur Einführung eines Hinweisgebersystems verpflichtet sind. Sanktionen für die Nichteinführung sieht die Richtlinie zudem nicht vor. Denkbar ist allenfalls, dass schon vor der Umsetzung der in der Richtlinie vorgesehene Schutz des Whistleblowers vor Repressalien, z.B. in arbeitsgerichtlichen Prozessen, berücksichtigt wird.
Unternehmen mit Tochtergesellschaften innerhalb der EU sollten bedenken, dass die Umsetzung der Richtlinie in anderen EU-Mitgliedstaaten früher als in Deutschland erfolgen kann und dementsprechend für die lokalen Tochtergesellschaften früher Verpflichtungen zur Einführung von Hinweisgebersystemen bestehen könnten. In einzelnen Mitgliedstaaten wurden bereits entsprechende Gesetze verabschiedet.
Was sollten Unternehmen jetzt tun?
Das nationale Umsetzungsgesetz zum Hinweisgeberschutz wird in absehbarer Zeit kommen, möglicherweise schon im ersten oder zweiten Quartal 2022. Unternehmen werden also auch in Deutschland nicht umhinkommen, ein Hinweisgebersystem einzuführen bzw. bestehende Meldestellen und "Hotlines" auf Anpassungsbedarf zu überprüfen. Dabei stellen sich diverse Fragen, für deren Abklärung Unternehmen ausreichend Zeit einplanen sollten und die Unternehmen bereits jetzt abklären können. Zum Beispiel:
Wie soll eine Meldestelle aufgebaut werden, die für Hinweisgeber attraktiv ist und die Anforderungen der Richtlinie (Vertraulichkeit, Unabhängigkeit, Datensicherheit, Prozessmanagement etc.) erfüllt? Welche Meldekanäle (Hotline, Ombudsperson, IT-Tool etc.) sind für das Unternehmen geeignet? Gibt es im Unternehmen die Expertise und Kapazitäten, um die Meldestelle durch eigene Mitarbeiter zu besetzen, oder soll das an einen externen Berater oder Dienstleister ausgelagert werden?
Welche Stakeholder sollten wann eingebunden werden?
Welche neuen Dokumente und Prozesse müssen aufgesetzt werden?
Soll das Hinweisgebersystem neben den Mitarbeitern auch Dritten (z.B. Lieferanten, Kunden) offenstehen?
Welche arbeits- und datenschutzrechtlichen Fragen sind zu bedenken?
Besteht an anderen Standorten innerhalb der EU bereits Handlungsbedarf?
Ziel muss es sein, spätestens mit Inkrafttreten des Umsetzungsgesetzes ein möglichst attraktives internes Hinweisgebersystem zu etablieren. Allein dadurch können Unternehmen das Risiko minimieren, dass ein Whistleblower sich an eine behördliche Meldestelle wendet. Ein attraktives und auf die Bedürfnisse eines Unternehmens abgestimmtes, internes Hinweisgebersystem bietet Unternehmen viele Vorteile und muss dabei nicht aufwändig und teuer sein.
Genügt ein zentrales Hinweisgebersystem für Unternehmensgruppen?
Die EU-Kommission hat nachträglich in einer Stellungnahme die Auffassung geäußert, dass ein zentrales Hinweisgebersystem einer Unternehmensgruppe nicht ausreichend sein soll, um für alle verbundenen Unternehmen die Pflichten der Richtlinie zu erfüllen. Vielmehr müsse jede Tochtergesellschaft ein eigenes Hinweisgebersystem einrichten. Lediglich für Tochtergesellschaften mit 50 bis 249 Mitarbeitern gebe es die Möglichkeit, gemeinsam (d.h. untereinander, nicht aber mit einer Muttergesellschaft mit mehr als 249 Mitarbeitern) ein Hinweisgebersystem vorzuhalten. Es bleibt abzuwarten, wie die Problematik in den nationalen Umsetzungsgesetzen abgebildet wird.
Was plant die neue Bundesregierung?
Der Koalitionsvertrag sieht vor, dass die Hinweisgebersysteme über die Anforderungen der Richtlinie hinaus nicht nur Verstöße gegen EU-Recht erfassen sollen, sondern u.a. auch erhebliche nationale Rechtsverstöße. Daneben möchte die Bundesregierung die "Durchsetzbarkeit von Ansprüchen wegen Repressalien gegen den Schädiger" verbessern und dafür "Beratungs- und finanzielle Unterstützungsangebote" prüfen. Zur Frage, wann mit einem Umsetzungsgesetz zu rechnen ist, sagt der Koalitionsvertrag hingegen nichts. Insgesamt ist damit davon auszugehen, dass es künftig einen verbesserten Hinweisgeberschutz und damit auch mehr Whistleblower in Deutschland geben wird.
BRP berät Sie zu allen Fragen rund um die Gestaltung eines Hinweisgebersystems, einschließlich einer attraktiven Softwarelösung (auch) für mittelständische Unternehmen, und unterstützt Sie beim Betrieb eines richtlinienkonformen Hinweisgebersystems.
