Lang ersehnt – nun endlich da: Der Referentenentwurf zum Hinweisgeberschutzgesetz
Am 6. April 2022 hat der Bundesjustizminister einen Referentenentwurf zur Umsetzung der EU-Whistleblower-Richtlinie (Richtlinie (EU) 2019/1937) an seine Kabinettskollegen* zur Abstimmung versandt. Damit soll eine liegengebliebene Aufgabe der Vorgängerregierung erledigt werden.
Zur Erinnerung: Wegen unüberbrückbarer Meinungsverschiedenheiten zwischen CDU- und SPD-geführten Ministerien über einen Referentenentwurf der damaligen Bundesjustizministerin Frau Lambrecht aus Dezember 2020 konnte die EU-Whistleblower-Richtlinie nicht rechtzeitig in nationales Recht umgesetzt werden; dies hätte schon zum 17. Dezember 2021 erfolgen müssen. Im Januar/Februar 2022 hatte die EU-Kommission deshalb Vertragsverletzungsverfahren gegen Deutschland und 26 andere, ebenfalls säumige EU-Mitgliedsstaaten eingeleitet.
Referentenentwurf entspricht im Wesentlichen dem Referentenentwurf des seinerzeit SPD-geführten Bundesjustizministeriums aus Dezember 2020
Der neue Referentenentwurf baut auf dem alten Referentenentwurf aus Dezember 2020 auf. Er enthält gleichwohl manche Änderung und auch einzelne Überraschungen mit erheblichen Folgen für die Praxis.
Der Referentenentwurf setzt die Ankündigung aus dem Koalitionsvertrag der Ampelregierung um und geht – wie schon der Entwurf der Bundesjustizministerin der Vorgängerregierung – über den sachlichen Anwendungsbereich der EU-Hinweisgeber-Richtlinie hinaus. Demnach sollen Hinweisgeber nicht nur bei Meldungen von Verstößen gegen EU-Recht geschützt sein, sondern auch dann, wenn sie bspw. Verstöße gegen deutsche Vorschriften melden. Die Vorgängerregierung konnte in dieser Frage keine Einigkeit erzielen.
Unterlassene Einrichtung von internen Meldestellen wird bußgeldpflichtig
Der alte Referentenentwurf aus 2020 hatte noch darauf verzichtet, die pflichtwidrige Nichteinrichtung von internen Meldestellen bußgeldpflichtig zu machen. Der neue Referentenentwurf sieht die unterlassene Einrichtung interner Meldestellen hingegen als Ordnungswidrigkeit an, für die Bußgelder i.H.v. bis zu EUR 20.000 verhängt werden können.
Im Übrigen bleiben die Ordnungswidrigkeiten im Vergleich zum alten Entwurf unverändert. Für Verletzungen der Vertraulichkeit der Identität von Hinweisgeber und betroffenen Personen drohen weiter Bußgelder von bis zu EUR 100.000 im Einzelfall.
Nach wie vor keine Pflicht zur Annahme anonymer Hinweise
Die EU-Whistleblower-Richtlinie hatte den Mitgliedsstaaten freigestellt, die betroffenen Unternehmen auch zur Annahme anonymer Hinweise zu verpflichten. Bereits der Referentenentwurf aus 2020 hatte hiervon keinen Gebrauch gemacht. Grund war vor allem die Sorge, hierdurch Denunziationen zu fördern. Dies wurde schon damals von Experten und NGOs kritisiert, weil Anonymität für Hinweisgeber zusätzlichen Schutz bedeutet und in bisherigen empirischen Untersuchungen eine erkennbare Steigerung von Denunziationen aufgrund zugelassener anonymer Hinweise nicht festgestellt werden konnte.
Überraschenderweise wiederholt der neue Referentenentwurf die Bedenken aus 2020 und überlässt es den Unternehmen, ob sie anonyme Hinweise annehmen und bearbeiten wollen.
Hinweisgeberstellen im Konzern
Die EU-Kommission hatte in 2021 in zwei Stellungnahmen (am 2. Juni und am 29. Juni 2021) rein zentrale Meldestellen im Konzern abgelehnt und für Tochtergesellschaften mit i.d.R. mehr als 249 Beschäftigten eine je eigene Meldestelle verlangt. Hingegen geht der neue Referentenentwurf in seiner Begründung davon aus, innerhalb eines Konzerns könne bei einer Gesellschaft eine zentrale Meldestelle als „ein Dritter“ eingerichtet werden, die auch für andere Konzerngesellschaften tätig sein könne.
Eine Beschränkung dieser Möglichkeit auf verbundene Unternehmen mit i.d.R. 249 oder weniger Beschäftigten nimmt der neue Referentenentwurf dabei nicht vor. Er geht erstaunlicherweise auch nicht auf die Stellungnahmen der EU-Kommission ein, obwohl diese Stellungnahmen in 2021 für erhebliche Aufmerksamkeit und Diskussionen gesorgt hatten. Im Gegenteil und anders als die EU-Kommission qualifiziert der neue Referentenentwurf solche Tochtergesellschaften, die die Funktion der Meldestelle auch für verbundene Unternehmen übernehmen, als „Dritte“ i.S.v. Art. 8 Abs. 5 S. 1 der EU-Whistleblower-Richtlinie. In dieser für Konzerne so wichtigen praktischen Frage ist also noch mit erheblichen Diskussionen zu rechnen.
Löschung der Dokumentation von Meldungen
Die EU-Whistleblower-Richtlinie sieht vor, dass Meldungen nur so lange aufbewahrt werden dürfen, wie dies notwendig und verhältnismäßig ist, um die von der Richtlinie aufgestellten Anforderungen zu erfüllen. Der neue Referentenentwurf ordnet nunmehr eine Löschung der Dokumentation spätestens zwei Jahre nach Abschluss des Verfahrens an. Hingegen gewährt Art. 17 DSGVO dem Betroffenen einen Anspruch auf Löschung seiner Daten, sobald sie für den ursprünglichen Verarbeitungszweck nicht mehr erforderlich sind. Während die Zweijahresfrist des Referentenentwurfs aus Sicht der Praxis zu begrüßen ist, bestehen doch Zweifel, ob diese Frist mit geltendem Datenschutzrecht und der EU-Whistleblower-Richtlinie in Einklang zu bringen ist.
Umsetzung der EU-Whistleblower-Richtlinie dürfte in Deutschland noch in 2022 erfolgen
Deutsche Unternehmen sollten sich darauf einstellen, dass sie noch in 2022 zur Einrichtung von Meldestellen und internen Meldekanälen verpflichtet werden. In Anbetracht der von der EU-Kommission eingeleiteten Vertragsverletzungsverfahren sind (großzügige) Übergangsfristen nicht zu erwarten. Wer keine Bußgelder riskieren möchte, sollte zügig mit den Vorbereitungen zur Einrichtung eines ordnungsgemäßen internen Hinweisgebersystems beginnen. Aber auch die Unternehmen, die bereits über ein Hinweisgebersystem verfügen, sind gut beraten, ihre internen Abläufe so zu strukturieren und zu dokumentieren, dass die empfindlichen Bußgelder für Verletzungen der Vertraulichkeit vermieden werden können.
*Gemeint sind Personen jeder Geschlechtsidentität. Lediglich der leichteren Lesbarkeit halber wird künftig bei allen Bezeichnungen nur noch die grammatikalisch männliche Form verwendet.
