Whistleblower-Richtlinie nicht fristgerecht umgesetzt – Was gilt jetzt?

Die Frist zur Umsetzung der Whistleblower-Richtlinie in deutsches Recht ist am 17. Dezember abgelaufen. Die Ampel-Fraktionen haben im Koalitionsvertrag angekündigt, die Richtlinie „rechtssicher und praktikabel“ umzusetzen. Zeitliche Angaben machen sie dazu nicht. Was gilt also bis zur Einführung eines nationalen Hinweisgeberschutzgesetzes in Deutschland?

Worum geht es in der Richtlinie?

Die EU-Hinweisgeber-Richtlinie (Richtlinie (EU) 2019/1937) legt hohe Schutzstandards für Hinweisgeber (Whistleblower) fest, die Verstöße von bzw. in Unternehmen gegen das Unionsrecht melden.

Hinweisgeber fallen dann unter den Schutzbereich der Richtlinie, wenn sie Informationen über Verstöße im „beruflichen Kontext“, also im Zusammenhang mit ihrer Tätigkeit erlangen (und melden). Dazu müssen sie nicht unbedingt beim betroffenen Unternehmen angestellt sein, sie können auch Freiwillige, Praktikanten oder Selbstständige sein, die durch ihren Beruf Einblick in unternehmensinterne Abläufe gewinnen. Die Meldung muss bei gesondert eingerichteten internen oder externen Meldestellen eingereicht werden. Eine öffentliche Bekanntgabe soll nur in Ausnahmefällen zulässig sein (z.B. wenn Unternehmen und Behörden auf eine Meldung nicht reagieren).

Unternehmen werden verpflichtet, interne Meldestellen einzurichten. Unabhängig von ihrer Größe gilt das für juristische Personen des öffentlichen Sektors sowie insbesondere für private juristische Personen im Finanz-, Versicherungs- und Bankensektor. Andere juristische Personen des Privatrechts werden verpflichtet, wenn sie 250 oder mehr Arbeitnehmer beschäftigen. Für private Unternehmen ab 50 Arbeitnehmern ist eine Verpflichtung erst ab dem 17. Dezember 2023 vorgesehen. Dabei trifft die Verpflichtung jedes Unternehmen einzeln, das heißt die Einrichtung eines zentralen Hinweisgebersystems für einen Konzern reicht nicht aus. Jedes Tochter- und Enkelunternehmen wird einen eigenen Meldekanal vorhalten müssen.

Die Richtlinie macht verschiedene Vorgaben an die Umsetzung der Meldesysteme. Insbesondere sollen Zugang und Nutzung dem Hinweisgeber möglichst einfach gemacht werden. Dazu müssen Informationen zu Zugang, zuständigen Personen und Durchführung einer Meldung öffentlich (z.B. auf der Unternehmenswebsite) bekannt gegeben werden. Die Meldung muss in mündlicher und/oder schriftlicher Form möglich sein. Der Eingang einer Meldung muss dem Whistleblower bestätigt werden. Und die mit dem Betrieb der Meldestelle betrauten Personen müssen weisungsungebunden und unparteiisch sein. Unternehmen müssen außerdem auf verfügbare externe Meldestellen (also solche bei Behörden) hinweisen.

Sollte ein Hinweisgeber eine Meldung gemacht haben, gilt das Vertraulichkeitsgebot, d.h. die Identität darf nur der Meldestelle gegenüber offengelegt werden. Unbefugten muss der Zugriff darauf verwehrt sein. Androhung, Versuch und Durchführung von Repressalien gegen den Whistleblower sind untersagt. Dazu gehören insbesondere arbeitsrechtliche Maßnahmen wie Kündigung oder eine Gehaltsminderung, aber auch Mobbing, Rufschädigung (vor allem über Social Media) oder das Führen einer „Schwarzen Liste“.

Was gilt seit dem 17. Dezember 2021…

Die Richtlinie hätte bis zum 17. Dezember 2021 in deutsches Recht umgesetzt werden müssen. Da das nicht geschehen ist, sehen Unternehmen sich mit einer unsicheren Rechtslage konfrontiert. Grundsätzlich gelten Richtlinien zwar nicht direkt auf nationaler Ebene. Einzelne Vorgaben können aber unmittelbar gelten, wenn die Richtlinie nicht rechtzeitig umgesetzt wurde und die einzelnen Vorgaben inhaltlich unbedingt und hinreichend klar sind. Bei der Pflicht zur Einrichtung interner Meldesysteme muss man zudem zwischen Unternehmen des privaten und des öffentlichen Sektors unterscheiden.

… für juristische Personen des Privatrechts?

Nach ständiger Rechtsprechung des Europäischen Gerichtshofs können Richtlinien ohne Umsetzung in nationales Recht keine unmittelbare Wirkung zulasten von Privatpersonen entfalten. Unternehmen im privaten Sektor (z.B. GmbHs, AGs oder Vereine) können also ohne ein deutsches Hinweisgeberschutzgesetz nicht zur Einführung eines internen Meldesystems verpflichtet werden. Für Unternehmen mit 50 bis 249 Beschäftigten sieht die Richtlinie ohnehin eine Übergangsfrist bis Dezember 2023 vor, wenn der nationale Gesetzgeber nichts anderes geregelt hat.

… für juristische Personen des öffentlichen Sektors?

Gegenüber juristischen Personen des öffentlichen Sektors entfaltet die Richtlinie eine unmittelbare Wirkung. Sie müssen seit dem 18. Dezember 2021 interne Meldesysteme etabliert haben. Diese müssen die oben genannten Mindestanforderungen der Richtlinie erfüllen. Von der Einrichtungspflicht sind auch Kommunen mit weniger als 10.000 Einwohnern oder sonstige staatliche Stellen mit weniger als 50 Mitarbeitern betroffen. Die hierfür vorgesehene Abweichungsmöglichkeit kann nur durch ein nationales Gesetz gewährt werden, welches ja noch nicht umgesetzt wurde.

… für die Einrichtung externer Meldestellen?

Die Mitgliedsstaaten sind verpflichtet, Behörden zu nennen, die befugt sind, als externe Meldestellen Meldungen über Verstöße entgegenzunehmen. Für staatliche Stellen gilt die Richtlinie unmittelbar, Hinweisgeber können sich also gegenüber öffentlichen Stellen unmittelbar auf die Richtlinie berufen.

…für den Schutz von Hinweisgebern?

Gegenüber den juristischen Personen des öffentlichen Sektors können Hinweisgeber sich auf den Schutz berufen, den die Richtlinie ihnen gewährt. Komplizierter ist die Lage bei juristischen Personen des Privatrechts. Sie sind (noch) nicht verpflichtet, Meldesysteme einzurichten und aus der Richtlinie ergibt sich auch noch kein Verbot arbeitsrechtlicher Maßnahmen gegen Whistleblower, weil sie zwischen Privatpersonen nicht unmittelbar anwendbar ist.

Nationale Gerichte sind aber verpflichtet, deutsche Vorschriften europarechtskonform auszulegen. Sollte es wegen arbeitsrechtlicher Maßnahmen zu einem Gerichtsverfahren kommen, könnten Unternehmen also trotzdem unterliegen, weil Gerichte beispielsweise das bestehende Maßregelungsverbot des § 612a BGB auf das Schutzniveau der Richtlinie erweitern.

Was sollten Unternehmen jetzt tun?

Trotz fehlender unmittelbarer Geltung der Richtlinie zumindest für juristische Personen des Privatrechts sollten Unternehmen sich mit den Vorgaben der Richtlinie intensiv auseinandersetzen. Idealerweise richten sie interne Meldesysteme bereits jetzt ein. Das hat einige Vorteile:

Zum einen können Unternehmen so verhindern, dass unternehmensinterne Informationen nach außen gelangen. Da die Richtlinie direkt für Behörden gilt, werden externe Meldekanäle eingerichtet werden, an die Hinweisgeber sich direkt wenden können – sie sind nicht verpflichtet, zuerst den internen Meldeweg zu wählen. Unter Umständen könnten Hinweisgeber sich direkt an die Öffentlichkeit wenden (sog. Offenlegung). Durch die Einrichtung eines internen Meldekanals inklusive eines effektiven Folgesystems mit dem Hinweisen nachgegangen wird, kann das Unternehmen Anreize schaffen, zunächst intern Meldung zu erstatten. Damit wird das Vertrauen seiner Mitarbeiter in die eigene Compliance gestärkt, Informationen können im eigenen Unternehmen gehalten werden und die Gefahr von Reputationsschäden wird verringert.

In der Richtlinie finden sich übrigens keine Pflichten zur Entgegennahme anonymer Meldungen. Allerdings kann die Berücksichtigung anonymer Hinweise ebenso Vorteile haben: Mitarbeiter sind in der Regel eher bereit, Meldungen anonym abzugeben. Zudem genießen auch anonyme Hinweisgeber den Schutz der Richtlinie, sobald ihre Identität offengelegt ist. Wenn ihnen die Meldung im Unternehmen ermöglicht wird, verringert das die Wahrscheinlichkeit, dass sie sich an externe Meldestellen wenden.

Ein deutsches Hinweisgeberschutzgesetz wird kommen; wahrscheinlich schon in naher Zukunft. Die Ampel-Koalition hat in ihrem Koalitionsvertrag angekündigt, nicht nur die Richtlinie umzusetzen, sondern über die dort geregelten Mindeststandards sogar hinauszugehen. Gleichzeitig sind die technischen und personellen Anforderungen bei der Umsetzung nicht zu unterschätzen. Unternehmen, die zum Zeitpunkt eines deutschen Gesetzes bereits interne Meldesysteme etabliert haben – sei es auch „nur“ mit dem Mindeststandard der Richtlinie – werden einen Vorteil bei der Umsetzung der Vorgaben eines Hinweisgeberschutzgesetzes haben.