Warum es für Unternehmen sinnvoll ist, ein Whistleblowing-System einzurichten und worauf dabei geachtet werden sollte, um Datenschutzregelungen zu genügen, erläutern Thomas Sonnenberg und Peter Rempp in einem Gastbeitrag.
Wistleblowing braucht Schutz. Das hat auch der Gesetzgeber erkannt. Dennoch ist der rechtliche Rahmen dafür noch nicht optimal.
Natalia Merzlyakova/stock.adobe.com
Whistleblowing hat in den letzten Jahren mit Enthüllungen wie etwa Cum‑Ex, Football Leaks, Panama Papers und Paradise Papers steigende Aufmerksamkeit erfahren. Whistleblowing findet aber nicht nur im Zusammenhang mit großen Wirtschaftsskandalen, sondern auch in normalen mittelständischen Unternehmen statt. Das zeigt auch der Whistleblowing-Report der schweizerischen HTW Chur und der EQS-Gruppe. In mehr als 40 Prozent der 350 befragten deutschen Unternehmen gab es demnach Missstände, die von eigenen Mitarbeitern gemeldet wurden. Besteht eine Meldestelle, wird auch mehr gemeldet, zeigt die Studie weiter. Aber nur 56 Prozent der befragten deutschen Unternehmen haben eine solche Stelle eingerichtet. Und auch um den Whistleblower-Schutz ist es bislang nicht gut bestellt.
Zunehmende Dynamik beim Whistleblower-Schutz erkennbar
Rechtlich gibt es in Deutschland die arbeitsgerichtliche Rechtsprechung zur Treuepflicht des Arbeitnehmers, wonach dieser zunächst zur unternehmensinternen Meldung verpflichtet sein soll, bevor er sich rechtmäßiger Weise an Dritte wenden darf. Solche Dritten können Behörden oder Verbände, aber auch Medien oder direkt die Öffentlichkeit sein. Darüber hinaus war Whistleblowing in Deutschland bis zuletzt nur sehr fragmentiert und zumeist nur aufgrund europarechtlicher Einflüsse und auch nur für bestimmte Sektoren geregelt.
Das änderte sich jüngst durch das Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG). Dieses basiert ebenfalls auf einer EU-Richtlinie, regelt aber erstmals Whistleblower-Schutz mit breitem Anwendungsbereich. Gemäß § 5 Nr. 2 GeschGehG ist die Preisgabe von Geschäftsgeheimnissen insbesondere dann nicht verboten, wenn dies zur Aufdeckung einer rechtswidrigen Handlung oder eines beruflichen oder sonstigen Fehlverhaltens erfolgt. So sollten sich Unternehmen spätestens seit Inkrafttreten dieser Regelung im April 2019 mit Whistleblowing auseinandersetzen.
Weitere Regelungen zum Whistleblower-Schutz stehen noch aus: In circa zwei Jahren muss der deutsche Gesetzgeber die EU-Whistleblower-Richtlinie umgesetzt haben. Unternehmen mit mehr als 50 Mitarbeitern sollten bis dahin Meldestellen für EU-Rechtsverstöße einrichten und einen Whistleblower-Schutz implementieren. Wie der Whistleblower-Report vermuten lässt, verfügen viele der dazu verpflichteten Unternehmen heute noch nicht über eine solche Stelle beziehungsweise einen solchen Schutz.
Meldestellen nur für EU-Rechtsverstöße verpflichtend
Das große Manko der EU-Whistleblower-Richtlinie liegt darin, dass sie ein Hinweisgeber- beziehungsweise Whistleblowing-System nur für EU-Rechtsverstöße, beispielsweise gegen das Geldwäscherecht, nicht aber für Verstöße gegen nationales Recht verbindlich vorschreibt. Der deutsche Gesetzgeber kann die Richtlinie umsetzen und Meldestellen sowie Whistleblower-Schutz auch für Verstöße gegen nationales Recht verpflichtend machen, muss es aber nicht.
Dabei gibt es auch in Europa durchaus Staaten, die Whistleblower umfassend schützen, etwa die Niederlande mit dem House for Whistleblowers Act sowie neun weitere EU-Staaten. Die deutsche Rechtslage hinkt beim Whistleblower-Schutz hinterher. Zusätzlich ist unklar, wie Whistleblower differenzieren sollen, ob sich ihr Verdacht beispielsweise auf Geldwäsche oder auf eine Straftat fernab des EU-Rechts bezieht.
Whistleblowing-Systeme im Unternehmen noch freiwillig
Wenn der deutsche Gesetzgeber Whistleblower nicht umfassend schützt, sollten Unternehmen ihren Mitarbeitern einen Schutz vor Repressalien im Rahmen ihrer rechtlichen Möglichkeiten freiwillig gewähren. Denn die Zeiten, in denn die Geschäftsleitung von Compliance-Verstößen nichts wissen und diese nicht abstellen wollte, sind vorbei. Feinheiten der genannten arbeitsgerichtlichen Rechtsprechung dürften für den Whistleblower im Ernstfall nur eine untergeordnete Rolle spielen.
Ist der Hinweis erst einmal bei einer Behörde, können Informationsrechte Dritter über Informationsfreiheits- und Pressegesetze eingreifen. § 4d des Gesetzes über die Bundesanstalt für Finanzdienstleistungsaufsicht (FinDAG) hat dieses Problem bereits im Blick, wenn er in Absatz 5 regelt, dass das Informationsfreiheitsgesetz auf Vorgänge nach dem in diesem Gesetz niedergeschriebenen Hinweisgeberverfahren keine Anwendung findet. Dies gilt jedoch nur im Rahmen der Zuständigkeit der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin).
Whistleblower und Unternehmen schützen
Bei der Bearbeitung von Hinweisen sind das Informationsbedürfnis des Betroffenen und der Schutz des Whistleblowers auszubalancieren. Bei immer mehr Rechtsgebieten zeigt sich, dass diese das Whistleblowing zwar nicht ausdrücklich regeln, aber wesentlichen Einfluss hierauf haben.
Das Landesarbeitsgericht (LAG) Baden-Württemberg (Az 17 Sa 11/18) hat Ende 2018 entschieden, dass Akten zu personenbezogenen Hinweisen zur Personalakte "im materiellen Sinne" gehören. Wird also in Folge eines Hinweises eine Nebenakte zu einer betroffenen Person angelegt, ist diese ebenfalls als Personalakte zu qualifizieren. So stehen sich das Recht zur Einsicht in die Personalakte und die Zusicherung des Unternehmens, die Anonymität des Whistleblowers zu wahren, gegenüber. Der Whistleblower-Schutz steht dann in Frage. Hierzu führte das LAG aus, dass der Arbeitgeber dem betroffenen Arbeitnehmer nicht unter Hinweis auf die unterlassene Anonymisierung die Einsicht in die zur Personalakte gehörende Whistleblowing-Akte verweigern könne. Mögliche Lösungen sind Schwärzungen oder sonstige technische Vorkehrungen, die nicht erst dann umgesetzt werden sollten, wenn das Einsichtsrecht geltend gemacht wird.
Das vorgenannte Urteil adressiert auch die Zusammenhänge zwischen Whistleblowing und Datenschutzrecht. So kann man die Frage aufwerfen, ob schon der leiseste Verdacht eines geringen Compliance-Verstoßes, etwa gegen unternehmensinterne Richtlinien, eine bedenkenlose und weitgehende Verarbeitung der personenbezogenen Daten des Beschuldigten rechtfertigt.
Fazit: Insgesamt ist Unternehmen, die ihr passgenaues Whistleblower-System nebst Whistleblower-Schutz noch nicht gefunden und implementiert haben, anzuraten, bestehende Gestaltungsspielräume zu nutzen, um zu internen Hinweisen zu motivieren und die schutzwürdigen Interessen und Rechte sowohl des Hinweisgebers als auch des Betroffenen in angemessener Weise auszutarieren.