Die Koalitionsparteien der letzten Legislaturperiode konnten sich nicht auf ein Hinweisgeberschutzgesetz verständigen, obwohl die EU-Hinweisgeberschutzrichtlinie [EU-Whistleblowing-Richtlinie (EU-WBRL)] vom 23.10.2019 bis zum 17.12.2021 umzusetzen ist. Die EU-WBRL verpflichtet Unternehmen ab 250 Mitarbeitenden, vertrauliche Meldekanäle für Hinweisgeber, die Verstöße gegen EU-Recht anzeigen möchten, einzurichten. Spätestens ab dem 17.12.2023 haben Unternehmen mit 50 bis 249 Mitarbeitenden nachzuziehen [für die Details und weiteren Verpflichtungen der EU-WBRL siehe die Beiträge von Pyrcek/Meyer, ComplianceBusiness 2 (2021), 22; Szesny, ComplianceBusiness 2 (2019), 5]. Laut einer Studie ist nur jedes siebte deutsche Unternehmen auf diese Regularien vollständig vorbereitet [Blumer, Deutscher AnwaltSpiegel 22 (2021), 3]. Zwar kann die Richtlinie ab dem 17.12.2021 nur im Bürger-Staat-Verhältnis unmittelbar wirken, so dass die neuen Verpflichtungen für die Unternehmen vorerst nicht greifen. Die nächste Koalition wird aber zur Vermeidung eines EU-Vertragsverletzungsverfahrens das Hinweisgeberschutzgesetz rasch angehen und möglicherweise den sachlichen Anwendungsbereich der Verpflichtungen auch auf Meldungen von Verstößen gegen deutsches Recht ausweiten. Es besteht für Unternehmen somit reichlich Anlass, sich mit der Thematik auseinanderzusetzen, zumal ein Hinweisgebersystem auch unabhängig von gesetzlichen Anforderungen ein zentraler Bestandteil eines robusten Compliance-Management-Systems ist.
Allerdings existiert keine „One Size Fits All“-Lösung, sondern Unternehmen haben sich zwischen verschiedenen Hinweisgebersystemen zu entscheiden:
Interne Ansprechperson
Einen Mitarbeiter oder eine Abteilung des Unternehmens als persönlichen Ansprechpartner für Hinweisgebende zu benennen, ist die naheliegendste Form eines Hinweisgebersystems. Die Aufgaben können etwa von bereits bestehenden Compliance-Officern oder der Rechtsabteilung wahrgenommen werden; in jedem Fall verursacht diese Lösung einen Personalaufwand im Unternehmen. Wenn die zuständige Stelle schriftlich, telefonisch und physisch erreichbar ist und Vertraulichkeitsvorkehrungen vorliegen, erfüllt diese Variante bereits alle grundlegenden Anforderungen der EU-WBRL (Art. 8 Abs. 5; 9 Abs. 1 lit. a, Abs. 2). Daneben müssen – wie bei allen Hinweisgebersystemen – die weitergehenden Verhaltensverpflichtungen im Fall einer Hinweismeldung eingehalten werden. Hierzu gehören die Eingangsbestätigung innerhalb von sieben Tagen, die ordnungsgemäße Dokumentation des Hinweises und eine inhaltliche Rückmeldung an den Hinweisgebenden innerhalb von drei Monaten (Art. 9 Abs. 1 lit. b, f; 18).
Die Eingangsbestätigung und insbesondere die spätere Rückmeldung sind nur schwierig umzusetzen, wenn der Hinweisgeber anonym bleiben möchte. Dieser oft vorhandene Wunsch nach Anonymität verträgt sich gerade bei kleineren Unternehmen aufgrund der häufigen räumlichen und persönlichen Nähe nur schlecht mit der rein internen Personallösung. Zwar erfordert die EU-WBRL nur, dass die Hinweiskanäle Vertraulichkeit und keine vollständige Anonymität garantieren (Art. 16), allerdings liegt es regelmäßig im Interesse der Unternehmen, dem Wunsch nach Anonymität zu entsprechen. Denn anders als nach der bisherigen Rechtsprechung hat der Hinweisgeber gemäß der EU-WBRL ein Wahlrecht, ob er sich an interne Hinweiskanäle oder direkt an externe Behörden wendet (Art. 10). Je niedriger die Meldehemmschwelle im Unternehmen, desto wahrscheinlicher ist es, dass Hinweise intern und nicht bei den Behörden erfolgen.
Technische Hinweisgeberkanäle
Niedrige Meldehemmschwellen können etwa durch technische Lösungen erreicht werden. Verbreitet sind intern oder extern betreute Telefon-Hotlines oder digitale Hinweisgeberportale, die von verschiedenen Anbietern bereitgestellt werden.
Gerade bei den IT-gestützten Plattformen kann die Anonymität des Hinweisgebers durch Verschlüsselungstechniken gewahrt und trotzdem eine Dialogmöglichkeit geschaffen werden, die häufig wichtig für eine erfolgreiche Sachverhaltsaufklärung ist. Darüber hinaus kann durch Meldekategorien eine Vorsystematisierung der Hinweise stattfinden und die Plattform bei internationalen Unternehmen vielsprachig betrieben werden.
„Die unabhängige Stellung des Ombudsmanns, die Anonymitätsgewährleistung und das Zeugnisverweigerungsrecht stellen gerade bei sensiblen Hinweisen vertrauenserweckende Vorzüge für den Hinweisgeber dar. “
Bei der Einführung von technischen Hinweisgeberkanälen hat der Betriebsrat möglicherweise ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG; bei rein persönlichen Hinweisgeberkanälen kann sich ein solches – etwa bei der arbeitsvertraglichen Vereinbarung von Meldepflichten – aus § 87 Abs. 1 Nr. 1 BetrVG ergeben.
Ausschließlich technische Hinweisgeberkanäle erfüllen aber nicht die Vorgaben der EU-WBRL, deren Art. 9 Abs. 2 normiert, dass auf Ersuchen des Hinweisgebers eine physische Zusammenkunft innerhalb eines angemessenen Zeitrahmens möglich sein muss.
Externer Ombudsmann
Eine weitere verbreitete Lösung ist die Heranziehung eines externen Ombudsmanns. Auch die EU-WBRL erlaubt diese Herangehensweise (Art. 8 Abs. 5; in der Terminologie der Richtlinie sind die unternehmensexternen Dritten Teil der internen Meldekanäle, während die externen Meldekanäle ausschließlich die Behörden umfassen). Der Ombudsmann nimmt den Hinweis entgegen, unterzieht ihn regelmäßig einer ersten Plausibilitätsprüfung und leitet ihn anschließend aufbereitet und anonymisiert an das Unternehmen weiter.
Die Rolle des Ombudsmannes wird üblicherweise von Rechtsanwälten, Wirtschaftsprüfern oder Steuerberatern übernommen, die gemäß § 53 Abs. 1 Satz 1 Nr. 3 StPO ein Zeugnisverweigerungsrecht bezüglich der ihnen anvertrauten Hinweise haben. Die unabhängige Stellung des Ombudsmanns, die Anonymitätsgewährleistung und das Zeugnisverweigerungsrecht stellen gerade bei sensiblen Hinweisen vertrauenserweckende Vorzüge für den Hinweisgeber dar. Allerdings ist der höhere Geheimnisschutz auch nicht lückenlos. Je nach Sachverhaltskonstellation und Ausgestaltung der konkreten Mandatsbeziehung können Unterlagen bei der Ombudsperson beschlagnahmt werden (siehe hierzu Park, Durchsuchung und Beschlagnahme, 4. Auflage, München 2018, Rn. 545).
Fazit: Maßschneidern statt Hinweisgebersystem von der Stange
Die verschiedenen Hinweisgebersysteme weisen somit alle Vor- und Nachteile auf, so dass die Wahl von dem jeweiligen Unternehmen abhängt. Größe, Internationalität, Art des Geschäfts, personelle, technische und finanzielle Kapazitäten sind zu berücksichtigende Faktoren. Im Rahmen von Konzernen ist zudem zu beachten, dass Art. 8 Abs. 6 EU-WBRL bei Unternehmen mit 50 bis 249 Mitarbeitern erlaubt, dass sie ihre Ressourcen bei der Entgegennahme von Hinweisen mit anderen Unternehmen teilen. Hat ein Tochterunternehmen mehr als 249 Mitarbeitende, muss es ein vollständig eigenes Hinweisgebersystem aufbauen (siehe kritisch hierzu Metzner/Gloeckner, CCZ 2021, 256).
Regelmäßig stehen die drei dargestellten Hinweisgebersysteme auch nicht monolithisch nebeneinander, sondern werden miteinander kombiniert. Gerade wenn der Hinweisgeber zwischen verschiedenen unternehmensbezogenen Kanälen aussuchen kann, wird er sich nicht an die externen Behörden wenden.
Die Effektivität des Hinweisgebersystems hängt aber nicht nur von den hier dargestellten Formen der Hinweiskanäle ab. Die unternehmensinterne Kommunikation der jeweiligen Lösung, Schulungen der Mitarbeitenden und der häufig zitierte „tone from the top“ entscheiden darüber, ob in einem Unternehmen eine gelebte „Speak up“-Kultur herrscht.
