Whistleblower-RL kommt zur Anwendung – innerstaatliche Umsetzung bleibt aus

17. Feb. 2022 Anica Karlic

Die Whistleblower-Richtlinie soll Hinweisgebern durch Einführung von Mindeststandards einen ausreichenden Schutz gewährleisten. Am 16.12.2019 trat die Richtlinie in Kraft – die Vorgaben sind bis 17.12.2021 in innerstaatliches Recht umzusetzen. In Österreich ist die Richtlinie noch nicht umgesetzt. Unternehmen bleibt wenig Zeit zur Vorbereitung.

Ziel der Whistleblower-Richtlinie (Whistleblower-RL)^[1] ist die Einführung von Mindeststandards für einen wirksamen Hinweisgeberschutz. Gemäß Art 4 Whistleblower-RL ist der persönliche Anwendungsbereich recht weit. Sämtliche Personen, die in einem beruflichen Kontext von einem Verstoß gegen Unionsrecht oder von missbräuchlichen Praktiken, die dem Ziel oder Zweck des Unionsrechts zuwiderlaufen, erfahren und dies nach den Vorgaben der Richtlinie melden, fallen unter den Schutz. Sichere Meldesysteme sollen diesen Schutz ermöglichen. Nachstehend ein Überblick über die wesentlichen Eckpunkte der Whistleblower-RL sowie eine Skizze der wichtigsten Anforderungen an die Umsetzung im Unternehmen.

Pflicht zur Implementierung eines Meldesystems

Zentraler Bestandteil der Richtlinie ist die Implementierung von Meldesystemen, um eine vertrauliche Informationsweitergabe zu ermöglichen. Die Richtlinie sieht keine spezifische Form des Meldesystems vor – von Postkasten bis zur digitalen Plattform sind sämtliche Formen der Ausgestaltung denkbar. Allerdings ist ein mehrstufiges Meldesystem vorgesehen. Zunächst sind Verstöße über ein internes Meldesystem zu melden. Werden keine Maßnahmen ergriffen, sind externe Meldesysteme in Anspruch zu nehmen. Wen sowohl nach interner als auch externer Meldung keine Maßnahmen ergriffen wurden, ist die Offenlegung vorgesehen.

Internes Meldesystem

Bei einer internen Meldung handelt es sich nach Art 5 Z 4 Whistleblower-RL um „die mündliche oder schriftliche Mitteilung von Informationen über Verstöße innerhalb einer juristischen Person des privaten oder öffentlichen Sektors“. Die Pflicht ein Meldesystem innerhalb der Organisation zu errichten ergibt sich aus Art 8 Whistleblower-RL. Darüber hinaus werden in Art 9 Whistleblower-RL Mindestvorgaben für die Ausgestaltung des internen Systems gesetzt: ua die Wahrung der Vertraulichkeit der Identität sowie die Einhaltung einer angemessenen Frist zur Rückmeldungsverpflichtung.^[2]

Die Pflicht zur Implementierung eines internen Meldesystems trifft gemäß Art 8 Abs 3 Whistleblower-RL im privaten Sektor jene juristischen Personen, die 50 oder mehr Arbeitnehmer beschäftigen.^[3] Nach Art 8 Abs 2 Whistleblower-RL müssen diese juristischen Personen es ihren Arbeitnehmern^[4] ermöglichen intern über Verstöße berichten zu können.^[5]

Externes Meldesystem

Eine externe Meldung ist nach Art 5 Z 5 Whistleblower-RL „die mündliche oder schriftliche Mitteilung von Informationen über Verstöße an die zuständigen Behörden“ des Mitgliedstaates.

Die Behörden nehmen die Meldungen entgegen, geben Rückmeldungen dazu ab und leiten entsprechende Folgemaßnahmen ein. Genaueres zur Pflicht der Mitgliedsstaaten zur Errichtung externer Meldesysteme und der Ergreifung von Folgemaßnahmen nach Meldungen ergibt sich aus den Art 11 – 14 Whistleblower-RL.

Offenlegung

Als dritte Möglichkeit sieht Art 15 Whistleblower-RL die Offenlegung vor. Art 5 Z 3 Whistleblower-RL definiert die Offenlegung als das öffentliche Zugänglichmachen von Informationen über Verstöße innerhalb einer Organisation. Der Hinweisgeber hat zunächst intern und extern Meldung zu erstatten. Wenn innerhalb eines Zeitraums von drei bzw sechs Monaten (Art 9 Abs 1 lit f iVm Art 11 Abs 2 lit d Whistleblower-RL) keine geeigneten Maßnahmen ergriffen wurden oder er hinreichenden Grund zur Annahme hat, dass er aufgrund der externen Meldung Verletzungsmaßnahmen zu befürchten hat bzw die Meldung erfolglos bleibt oder, wenn der Verstoß eine unmittelbare oder offenkundige Gefährdung des öffentlichen Interesses darstellt, hat der Hinweisgeber Anspruch auf Schutz im Rahmen der Richtlinie. Hier bleibt die konkrete Ausgestaltung des nationalen Gesetzgebers abzuwarten.

Schutz vor Repressalien

Jegliche Form von Repressalien gegen Hinweisgeber und Personen, die in einer Beziehung zum Hinweisgeber stehen, sowie die in Art 4 Whistleblower-RL genannten Personen, sind durch erforderliche Maßnahmen zu untersagen. Hinweisgeber können für eine Meldung weder zivil,- straf-, noch verwaltungsrechtlich haftbar gemacht werden, wenn sie hinreichenden Grund zur Annahme hatten, dass die Meldung oder die Offenlegung notwendig war, um einen Verstoß gegen die Richtlinie aufzudecken.

Umsetzung in Unternehmen

Unternehmen müssen interne Meldesysteme zum Schutz von Hinweisgebern einrichten. Diese Meldesysteme können von einer intern benannten Person betrieben oder von einem Dritten bereitgestellt werden.^[6]

Nachstehend eine Übersicht über die Anforderungen an interne Meldesysteme nach Art 9 Whistleblower-RL:

• Meldesysteme müssen die Vertraulichkeit der Identität des Hinweisgebers und Dritter, die in der Meldung erwähnt werden, wahren sowie unbefugten Mitarbeitern den Zugriff verwehren.
• Dem Hinweisgeber ist binnen sieben Tagen eine Eingangsbestätigung zu übermitteln.
• Eine unparteiische Person oder Abteilung ist zu benennen, die für Folgemaßnahmen zu den Meldungen zuständig ist.
• Es müssen ordnungsgemäße Folgemaßnahmen gesetzt werden.
• Bei anonymen Meldungen sind ordnungsgemäße Folgemaßnahmen zu setzen, sofern dies durch nationales Recht vorgesehen ist.
• Innerhalb eines angemessenen zeitlichen Rahmens von maximal drei Monaten nach Übermittlung der Empfangsbestätigung muss dem Hinweisgeber eine Rückmeldung erteilt werden.
• Es sind klare und leicht zugängliche Informationen über die Verfahren für externe Meldungen an die zuständigen Behörden und gegebenenfalls andere Stelle zu übermitteln.
• Die Meldungen müssen in sowohl in schriftlicher als auch mündlicher Form bzw in beiden Varianten möglich sein. Auf Ersuchen des Hinweisgeber ist sogar eine physische Zusammenkunft zu ermöglichen.

In Art 26 Abs 1 Whistleblower-RL wird eine Frist zur Umsetzung ins nationale Recht bis spätestens 17.12.2021 normiert. Im Hinblick auf die verpflichtende Einführung von internen Meldesystemen durch Betriebe, die weniger als 250 Arbeitnehmer beschäftigen, endet die Umsetzungsfrist gemäß Absatz 2 erst am 17.12.2023.

Unternehmen haben die Vorgaben der Whistleblower-RL in ihren Betrieben umzusetzen und sollten damit nicht auf die nationale Umsetzung warten. Bei der Implementierung von Meldesystemen im eigenen Unternehmen können sich Unternehmer auch Dritte (bspw Kanzleien, die Meldesysteme anbieten) zur Hilfe nehmen. Bei einer entsprechenden Umsetzung sind zunächst die bestehenden Compliance-Strukturen anzupassen und klare Verantwortungsbereiche zu definieren. Darüber hinaus sind Mitarbeiter über neue Meldesysteme in Kenntnis zu setzen. Mitarbeiter-Schulungen im Hinblick auf die organisatorischen und technischen Abläufe des Meldesystems sind bestimmt hilfreich.

Ausblick

Die Whistleblower-RL stellt Unternehmen vor die Herausforderung Meldesysteme einzurichten bzw bestehende Meldesysteme mit der neuen Rechtslage in Einklang zu bringen. Der Anwendungsbereich der Whistleblower-RL erstreckt sich über den privaten als auch öffentlichen Sektor und schließt alle Personen ein, die über das Arbeitsverhältnis hinaus von Repressalien durch das Whistleblowing betroffen sind.

Den konkreten Maßstab für die Einrichtung der Meldesysteme in den Unternehmen stellt die Umsetzung ins nationale Recht dar, welche bislang ausgeblieben ist. Die Umsetzungsfrist der Whistleblower-RL endet im Dezember 2021.^[7] Bei Richtlinien gilt gemäß Art 288 Abs 3 AEUV^[8] das zweistufige Rechtssetzungsverfahren. Allerdings können auch einzelne Vorschriften in Ausnahmefällen unmittelbar anwendbar sein (sog. Drittwirkung). Nach der Rechtsprechung kann eine Richtlinie selbst keine Verpflichtung für einen Einzelnen begründen.^[9] Der Pflicht zur Implementierung eines Meldesystems kommt keine Direktwirkung zu. Sollte das Gesetz ab Jänner 2022 gelten^[10], bleibt den Unternehmen nicht viel Zeit zur Umsetzung. Somit ist den Unternehmen nahezulegen nicht auf den nationalen Gesetzgeber zu warten und sich jetzt schon um die Umsetzung zu kümmern.^[11]

Positive Beispiele auf Österreichebene sind das Hinweisgebersystem der Staatsanwaltschaft zur Verfolgung von Wirtschaftsstrafsachen und Korruption (WKStA)^[12] sowie der Österreichischen Finanzmarktaufsicht (FMA).^[13]

^[1] RL (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23. Oktober 2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, ABl L 2019/305, 17.

^[2] Siehe auch unten im Abschnitt „Umsetzung in Unternehmen“.

^[3] Juristische Personen des öffentlichen Sektors sind dazu verpflichtet ein internes Meldesystem einzurichten, obgleich Art 8 Abs 9 den Mitgliedsstaaten einen gewissen Spielraum gewährt.

^[4] Hier wird gemäß Art 4 Abs 1 lit a auf den Arbeitnehmer-Begriff iSv Art 45 Abs 1 AEUV einschließlich Beamter Bezug genommen.

^[5] Nach Art 8 Abs 2 S 2 können auch Meldungen anderer Personen zugänglich gemacht werden.

^[6] Art 8 Abs 5 Whistleblower-RL.

^[7] Im Hinblick auf die verpflichtende Einführung von internen Meldesystemen durch juristische Personen des privaten Sektors mit 50 bis 249 Arbeitnehmern endet die Umsetzungsfrist erst am 17.12.2023 (Art 26 Abs 2 Whistleblower-RL).

^[8] Vertrag über die Arbeitsweise der Europäischen Union, ABl EU L 112/21, C 326/171 f.

^[9] Siehe zur unmittelbaren Wirkung des EU-Rechts.

^[10] Der parlamentarische Weg könnte sich ziehen, siehe der Entwurf zum Hinweisgebergesetz in DE, welcher es nicht durchs Parlament schaffte: Referentenentwurf des Bundesministeriums der Justiz und für Verbraucherschutz. Entwurf eines Gesetzes für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden.

^[11] Allerdings sind bei der Umsetzung die datenschutzrechtlichen Vorgaben im Hinblick auf eine DS-GVO-konforme Umsetzung nicht außer Acht zu lassen.

^[12] Die WKStA stellt eine gesicherte Kommunikationsplattform zur Abgabe anonymer und nicht rückverfolgbarer Hinweise zur Verfügung. Das Hinweisgebersystem der WKStA.

^[13] Die FMA stellt eine gesicherte Kommunikationsplattform zur Abgabe anonymer Hinweise mittels zertifizierter Verschlüsselungsverfahren zur Verfügung. Das Hinweisgebersystem der FMA.