Читать книгу: «Hinweisgebersysteme»
Hinweisgebersysteme
Implementierung in Deutschland, Österreich und der Schweiz
| von | |
| Dr. Felix Ruhmannseder Rechtsanwalt (RAK Berlin) Rechtsanwalt (RAK Wien) | Dr. Nicolai Behr Rechtsanwalt |
| und | |
| Mag. Georg Krakow, MBA Rechtsanwalt (RAK Wien) | |
2., völlig neu bearbeitete Auflage  eine Marke der Verlagsgruppe Hüthig Jehle Rehm GmbH www.cfmueller.de | |
Impressum
Bibliografische Informationen der Deutschen Nationalbibliothek
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über <http://dnb.d-nb.de> abrufbar.
ISBN 978-3-8114-5735-5
E-Mail: kundenservice@cfmueller.de
Telefon: +49 6221 1859 599
Telefax: +49 6221 1859 598
www.cfmueller.de
© C.F. Müller GmbH, Waldhofer Straße 100, 69123 Heidelberg
Hinweis des Verlages zum Urheberrecht und Digitalen Rechtemanagement (DRM) Der Verlag räumt Ihnen mit dem Kauf des ebooks das Recht ein, die Inhalte im Rahmen des geltenden Urheberrechts zu nutzen. Dieses Werk, einschließlich aller seiner Teile, ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Dies gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und Einspeicherung und Verarbeitung in elektronischen Systemen. Der Verlag schützt seine ebooks vor Missbrauch des Urheberrechts durch ein digitales Rechtemanagement. Bei Kauf im Webshop des Verlages werden die ebooks mit einem nicht sichtbaren digitalen Wasserzeichen individuell pro Nutzer signiert. Bei Kauf in anderen ebook-Webshops erfolgt die Signatur durch die Shopbetreiber. Angaben zu diesem DRM finden Sie auf den Seiten der jeweiligen Anbieter.
Vorwort
Hinweisgebersysteme haben auf vielen Ebenen gesellschaftliche, politische und rechtliche Implikationen. Auch wenn es lange Zeit negativ konnotiert war, Meldungen über (vermeintliche) Missstände im Unternehmen abzugeben, sind Hinweisgebersysteme inzwischen auch im deutschsprachigen Raum als wesentlicher Bestandteil eines effektiven Compliance-Management-Systems anerkannt. Dazu beigetragen haben in den vergangenen Jahren neben öffentlich bekannt gewordenen spektakulären Einzelfällen nicht zuletzt Diskussionen auf nationaler, europäischer und globaler Ebene zur Frage eines angemessenen Schutzes von Hinweisgebern.
Maßgeblichen Einfluss auf die künftige Ausgestaltung von Hinweisgebersystemen hat insbesondere die Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden. Die EU-Hinweisgeberrichtlinie ist am 16.12.2019 in Kraft getreten und muss vom Gesetzgeber der jeweiligen EU-Mitgliedstaaten bis spätestens 17.12.2021 in nationales Recht umgesetzt werden. Die Richtlinie verfolgt dabei nicht nur das Ziel, die Hinweisgeber, sondern auch die von den Hinweisen betroffenen Personen zu schützen. Einen ersten Schritt in diese Richtung hat in Deutschland das Bundesministerium der Justiz und für Verbraucherschutz im November 2020 unternommen, indem es den Entwurf eines Gesetzes für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (Hinweisgeberschutzgesetz) fertig gestellt und zur Abstimmung an die anderen Ressorts versandt hat. Diese wichtige Entwicklung war in der vorliegenden Neuauflage noch kurzfristig entsprechend zu berücksichtigen. Denn bislang kam Hinweisgebern zwar durch die Rechtsprechung ein gewisser Schutz zu. Mit dem beabsichtigten Hinweisgeberschutzgesetz will der deutsche Gesetzgeber aber systematisch die Rechte der meldenden Personen sowie die von einem Hinweis Betroffenen stärken. Darüber hinaus unterstreicht der Gesetzesentwurf die Rolle eines effektiven Hinweisgebersystems im Unternehmen. Die rechtlichen Vorgaben können freilich nicht den Blick darauf verstellen, dass ein Hinweisgebersystem nur dann seine positive Wirkung entfalten kann, wenn in der jeweiligen Organisation eine nachhaltige Meldekultur gefördert und auch tatsächlich gelebt wird.
Der Weg zu einem effektiven Hinweisgebersystem ist in der Praxis alles andere als trivial. Es muss sich nahtlos in das Compliance-Programm einfügen, die einschlägigen rechtlichen Anforderungen berücksichtigen sowie – in Abhängigkeit der Geschäftsausrichtung des jeweiligen Unternehmens – international wirksam sein. Das vorliegende Handbuch soll Unternehmen eine Hilfestellung für die Aufgabe bieten, ein rechtskonformes und funktionierendes Hinweisgebersystem einzuführen oder zu ergänzen. Dabei sind neben einer Studie zur Frage des Missbrauchs von Hinweisgebersystemen auch Ausführungen zur allgemeinen Compliance-Organisation in Unternehmen sowie zu den erforderlichen Weichenstellungen bei der Implementierung enthalten. Hierzu zählen insbesondere die Beachtung der arbeits- und datenschutzrechtlichen Vorgaben sowie der einschlägigen Judikatur. Die zitierte Literatur und Rechtsprechung sind auf dem Stand Dezember 2020.
Zahlreiche Unternehmen sind im gesamten deutschsprachigen Raum tätig, weshalb die Neuauflage zwei internationale Kapitel mit den rechtlichen Rahmenbedingungen für Hinweisgebersysteme in Österreich und der Schweiz enthält. Auch in diesen Rechtsordnungen gibt es Besonderheiten, die Unternehmen bei der Implementierung bzw. internationalen Ausdehnung eines Hinweisgebersystems beachten sollten.
Als Herausgeber ist es uns eine große Freude, mit den Autorinnen und Autoren dieser Neuauflage erstklassige Vertreter ihres Fachgebietes in Deutschland, Österreich und der Schweiz gewonnen zu haben. Ihnen sowie Frau Annette Steffenkock, Frau Andrea Markutzyk, Frau Julia Wild und Herrn Tilmann Datow vom Verlag C.F. Müller, die die Arbeiten dieser Neuauflage hochprofessionell begleitet haben, gebührt unser großer Dank. Der Dank gilt auch den vielen helfenden Händen im Hintergrund, allen voran Annette Müller.
Berlin/München/Wien, im Februar 2021
Felix Ruhmannseder Nicolai Behr Georg Krakow
Aus dem Vorwort zur 1. Auflage
In den USA ist das Thema Whistleblowing bereits seit vielen Jahren ein fester Bestandteil der politischen Kultur und des Rechts. Ins Bewusstsein der deutschen Öffentlichkeit hat das Phänomen hingegen erst seit einigen Jahren Eingang gefunden. Auf ein erhebliches Medienecho ist insbesondere die Entscheidung Heinisch ./. Deutschland des EGMR vom 21.7.2011 gestoßen: Die Kündigung einer Berliner Altenpflegerin, die bestehende Pflegemissstände öffentlich angeprangert hatte, wurde von den Straßburger Richtern als Verstoß gegen die Meinungsfreiheit gewertet. Nicht wenige betrachten dieses Urteil als Meilenstein auf dem Weg zu einem besseren Schutz für Hinweisgeber in Deutschland.
Auch der deutsche Gesetzgeber hat sich inzwischen mehrfach mit der Thematik auseinandergesetzt. Nach wie vor sucht man jedoch sowohl im Arbeits- als auch im Datenschutzrecht vergeblich nach einer Sonderregelung. Der Plan, ins Bürgerliche Gesetzbuch eine Vorschrift zu integrieren, die speziell dem Schutz von Hinweisgebern vor arbeitsrechtlichen Sanktionen dient, wurde von der Regierung (vorerst) wieder aufgegeben. Die von den Oppositionsfraktionen unterbreiteten Gesetzesvorschläge (siehe z.B. BT-Drucks. 17/8567) haben nach derzeitigem Stand wenig Aussicht, realisiert zu werden.
Ungeachtet des Fehlens einschlägiger gesetzlicher Regelungen erweist sich die juristische Auseinandersetzung mit dem Thema insbesondere deshalb als schwierig, weil zahlreiche unterschiedliche Rechtsgebiete betroffen sind: Der Rechtsanwender muss sich intensiv mit Fragen des (Individual- und Kollektiv-)Arbeitsrechts, des Straf-, Gesellschafts- und Datenschutzrechts befassen, um eine umfassende, in sich schlüssige rechtliche Würdigung vornehmen zu können. Obgleich die Anzahl der einschlägigen Publikationen in der Fachliteratur in den vergangenen Jahren geradezu explodiert ist, gibt es nach wie vor nur sehr wenige Veröffentlichungen, die das Thema (aus rechtlicher Perspektive) in all seinen Facetten beleuchten. Im Rahmen der vorliegenden Arbeit haben wir den Versuch unternommen, dies zu tun. Insbesondere mit den in der Praxis überaus bedeutsamen, nicht selten stiefmütterlich behandelten datenschutzrechtlichen Aspekten haben wir uns vertieft auseinandergesetzt.
In den Führungsetagen vieler Unternehmen wird Whistleblowing nach wie vor in erster Linie als Bedrohung für den Unternehmenserfolg betrachtet. Werden Informationen über (angebliche) Missstände oder (vermeintlich) illegale Machenschaften im Unternehmen an die Medien oder die Strafverfolgungsbehörden weitergegeben, kann dies in der Tat einen immensen Imageverlust sowie erhebliche wirtschaftliche Schäden zur Folge haben. Die Implementierung eines funktionstüchtigen Hinweisgebersystems stellt ein geeignetes Mittel dar, derartige Konsequenzen zu verhindern. Dies ist einer der Gründe, weshalb ein solches „Frühwarnsystem“ anerkanntermaßen einen wesentlichen Bestandteil effektiver Compliance-Strukturen bildet. Nicht nur die großen, börsennotierten Unternehmen, welche nicht selten nach US-amerikanischem Recht (Sec. 301 (4) SOX) ohnehin dazu verpflichtet sind, ein Hinweisgebersystem zu implementieren, beschäftigten sich daher mit der Frage, welche Ausgestaltung den Interessen des Unternehmens bestmöglich gerecht wird, ohne in Konflikt mit dem geltenden Recht zu geraten. Auch immer mehr mittelständische Unternehmen erwägen, ein Hinweisgebersystem einzurichten. Im Rahmen des vorliegenden Werks werden die Vorteile aufgezeigt, die ein derartiger Schritt aus Unternehmenssicht mit sich bringt. Ferner wird ausführlich dargelegt, was in rechtlicher, aber auch tatsächlicher Hinsicht bei der Implementierung eines Hinweisgebersystems zu beachten ist, welche unterschiedlichen Möglichkeiten im Hinblick auf die konkrete Ausgestaltung bestehen und was die Vor- und Nachteile der einzelnen Gestaltungsvarianten sind. Dabei stützen wir uns insbesondere auf das Wissen und die Erfahrungen, welche wir in den letzten Jahren im Rahmen unserer anwaltlichen Tätigkeit bei der Beratung von Unternehmen sowie in der Funktion als unternehmensexterne Ombudsstelle gesammelt haben.
Dementsprechend ist dieses Buch in erster Linie an die Verantwortlichen in Unternehmen gerichtet, die sich über die Vorteile eines Hinweisgebersystems informieren möchten, die Implementierung eines derartigen Systems planen oder ein bereits vorhandenes System verbessern wollen. Ferner kann es Rechtsanwälten, welche in diesem Bereich beratend tätig sind (oder dies zukünftig beabsichtigen), wertvolle Anregungen liefern.
Die zentralen Erkenntnisse und Praxishinweise sind in grauen Kästen zusammengefasst, um den Lesern die Möglichkeit zu eröffnen, das Wichtigste rasch aufzufinden und zu erfassen. Das Buch schließt mit einem Praxisleitfaden.
Für die Erstellung des Sachverzeichnisses danken wir Frau Nicola Wollring.
München/Wien/Passau, im April 2012
Alexander Schemmel Felix Ruhmannseder Tobias Witzigmann
Bearbeiterverzeichnis
| Dr. Nicolai Behr Rechtsanwalt, Baker McKenzie, München | 1. Kapitel Rn. 1–18 (zusammen mit Ruhmannseder und Krakow) 2. Kapitel (zusammen mit Ruhmannseder) |
| Dr. Anastasia Berger Rechtsanwältin, Traton SE, München | 4. Kapitel |
| Dr. Lukas Feiler Rechtsanwalt, Baker McKenzie, Wien | 8. Kapitel (zusammen mit Rieken, Ruhmannseder und Krakow) |
| Dominik Guttenberger Rechtsanwalt, Munich Re, München | 3. Kapitel |
| Mag. Georg Krakow, MBA Rechtsanwalt, Baker McKenzie, Wien | 1. Kapitel Rn. 1–18 (zusammen mit Ruhmannseder und Behr) 8. Kapitel (zusammen mit Rieken, Feiler und Ruhmannseder |
| Christoph Kurth, LL.M. Rechtsanwalt, Baker McKenzie, Zürich | 9. Kapitel (zusammen mit Winkler und Projer) |
| Dr. Michael Nuster, MSc. inecos – Integrity Ethics Compliance Solutions, Wien | 7. Kapitel |
| Dr. Kaspar Projer Rechtsanwalt, Baker McKenzie, Zürich | 9. Kapitel (zusammen mit Kurth und Winkler) |
| Simone Rieken, LL.M. Rechtsanwältin, Baker McKenzie, Frankfurt | 5. Kapitel 8. Kapitel (zusammen mit Feiler, Ruhmannseder und Krakow) |
| Dr. Felix Ruhmannseder Rechtsanwalt (RAK Berlin & RAK Wien), wkk law Rechtsanwälte, Berlin/Wien | 1. Kapitel Rn. 1–18 (zusammen mit Behr und Krakow) 2. Kapitel (zusammen mit Behr) 6. Kapitel 8. Kapitel (zusammen mit Rieken, Feiler und Krakow) |
| Cristin Schacht M.A. (Master of Arts), Hannover | 1. Kapitel Rn. 19–40 (zusammen mit Walter) |
| Dr. Martin Walter Unternehmensberater, Bad Honnef | 1. Kapitel Rn. 19–40 (zusammen mit Schacht) |
| Dr. Markus Winkler Rechtsanwalt, Baker McKenzie, Zürich | 9. Kapitel (zusammen mit Kurth und Projer) |
Zitiervorschlag:
Rieken in Ruhmannseder/Behr/Krakow, Hinweisgebersysteme, Rn. 432.
Inhaltsverzeichnis
Vorwort
Aus dem Vorwort zur 1. Auflage
Bearbeiterverzeichnis
Abkürzungsverzeichnis
Literaturverzeichnis
1. Kapitel Einführung
I. Der Begriff „Whistleblowing“ als Ausgangspunkt
II. Implikationen für den Hinweisgeber und die betroffene Organisation
III. EU-Hinweisgeberrichtlinie und Hinweisgeberschutzgesetz
IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung
1. Einleitung
2. Die Kernthesen
a) KT1: Fast 90 % aller Hinweise werden in guter Absicht abgegeben
b) KT2: Der Prozentsatz missbräuchlicher Meldungen ist unabhängig davon, ob der Hinweis anonym abgegeben worden ist oder nicht
c) KT3: Die Öffnung des Hinweisgebersystems für Externe führt nicht zu einer Erhöhung missbräuchlicher Meldungen
3. Untersuchungsergebnisse im Detail
2. Kapitel Grundprinzipien eines Compliance Management Systems
I. Grundlagen
1. Ziele
2. Rechtsgrundlagen im deutschen Recht
3. Internationale Vorgaben und Ansätze zum Aufbau eines Compliance Management Systems
a) Internationale Standards zur Korruptionsbekämpfung
aa) US Foreign Corrupt Practices, DOJ- und SEC-Vorgaben, sowie Sentencing Guidelines
bb) UK Bribery Act und adequate procedures
cc) Sapin II
dd) ISO 37001
ee) Spezielle Vorgaben für Pharma und Medizintechnik
b) Internationale Standards im Bereich Kartellrecht
aa) USA
bb) ICC-Toolkit
c) Internationale Standards im Bereich Außenwirtschaftsrecht
d) Internationale Standards im Bereich Datenschutz
II. Der Weg zu einem effektiven Compliance Management System
1. Führungskultur und Compliance-Organisation
2. Risikoanalyse
a) Top-Down-Analyse
b) Risikoszenarioanalyse
c) Risikofaktorenanalyse
d) Fazit
3. Richtlinien und Kontrollen
a) Grundsätze der Ausarbeitung von Richtlinien
b) Anzahl und inhaltliche Ausgestaltung der Richtlinien
c) Implementierung der Richtlinien
4. Schulungen und Kommunikation
5. Überwachung und Revision
6. Reaktion auf Verstöße und Nachhaltigkeit
3. Kapitel Pflicht zur Einführung eines Hinweisgebersystems
I. Rechtspflicht zur Implementierung eines Hinweisgebersystems?
1. Allgemeine Erforderlichkeit von Hinweisgebersystemen
a) Schutzbedürftigkeit der Hinweisgeber
b) Schutzbedürftigkeit der Interessen der Allgemeinheit
2. Künftige allgemeine Rechtspflichten nach Maßgabe der Richtlinie zum Schutz von Hinweisgebern
a) Historische Entwicklung hin zur Pflicht einer Implementierung von Hinweisgebersystemen für deutsche Unternehmen
b) Grundsätze einer generellen Implementierungspflicht
aa) Ziel der EU-Hinweisgeberrichtlinie
bb) Pflicht zur Einrichtung interner Meldekanäle
(1) Sachlicher Anwendungsbereich
(2) Persönlicher Anwendungsbereich
c) Inhaltliche Ausgestaltung der Implementierung eines Hinweisgebersystems
aa) Vertraulichkeitsgebot
bb) Information des Hinweisgebers
cc) Dokumentation der Meldungen
dd) Schutzmaßnahmen
(1) Schutz vor Repressalien
(2) Schutz vor Haftung des Hinweisgebers
(3) Schutz der betroffenen Person
d) Exkurs: Pflicht zur Errichtung externer Meldekanäle
3. Bereichsspezifische Pflichten zur Einführung von Hinweisgebersystemen nach (deutschem) Recht
a) Rechtspflicht nach dem Kreditwesengesetz
b) Rechtspflicht nach der Marktmissbrauchsverordnung
c) Rechtspflicht nach Versicherungsaufsichtsgesetz
d) Rechtspflicht nach dem Finanzdienstleistungsaufsichtsgesetz
e) Rechtspflicht nach dem Allgemeinen Gleichbehandlungsgesetz
f) Rechtspflicht nach dem Betriebsverfassungsgesetz
g) Weitere Regelungen zum Schutz von Hinweisgebern
aa) Schutz von Hinweisgebern im Arbeitsschutzgesetz
bb) Schutz von Hinweisgebern nach dem Geschäftsgeheimnisgesetz
cc) Schutz von Hinweisgebern nach dem Geldwäschegesetz, dem Wertpapierhandelsgesetz, dem Bürgerlichen Gesetzbuch
4. Wieso ein Hinweisgebersystem auch ohne gesetzliche Pflicht Sinn ergibt
5. Fazit
4. Kapitel Weichenstellungen bei der Implementierung
I. Weichenstellung innerhalb der Unternehmensleitung
II. Rahmenbedingungen eines Hinweisgebersystems
1. Vertikale Delegation und Berichterstattung
2. Einleitung interner Untersuchungen durch den Aufsichtsrat
3. Verankerung des Hinweisgebersystems innerhalb des Unternehmens
a) Thematische Zuständigkeit
b) Zuständigkeit für Bearbeitungsschritte
aa) Hinweiseingangsstelle
bb) Untersuchende Stelle
cc) Untersuchungskoordination
dd) Remediation
4. Schnittstellenzusammenarbeit
a) Compliance-Abteilung und interne Revision
b) Personalabteilung
c) Rechtsabteilung
d) Datenschutzabteilung und Betriebsrat
e) Weitere Schnittstellen
5. Hinweispflicht der Mitarbeiter
a) Rechtliche Grenzen einer Ausweitung bestehender Hinweispflichten
b) Vor- und Nachteile einer Ausweitung von Hinweispflichten
c) Empfehlung zur konkreten Umsetzung
6. Datenschutzrechtliche Abstimmung
7. Information und Schulung potentieller Hinweisgeber
8. Implementierung im Unternehmen
a) Implementierung im Rahmen eines Verhaltenskodex
b) Implementierung im Rahmen einer Richtlinie
c) Möglichkeiten der Einführung entsprechender Regelungen in das Arbeitsverhältnis
aa) Weisung (§ 106 GewO)
bb) Arbeitsvertragliche Regelungen
cc) Betriebsvereinbarung
dd) Tarifvertrag
ee) Zusammenfassung
III. Beachtung von Mitbestimmungsrechten des Betriebsrats
1. Zwingende Mitbestimmung
a) Mitbestimmung nach § 87 Abs. 1 Nr. 1 BetrVG
b) Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG
2. Freiwillige Mitbestimmung und Kooperation mit dem Betriebsrat
3. Zuständigkeitsfragen
a) Betriebsrat
b) Gesamtbetriebsrat
c) Konzernbetriebsrat
IV. Ausgestaltung des Meldeprozesses
1. Schutz des Hinweisgebers
2. Hinweis
a) Schranken privater Lebenssachverhalte
b) Inhaltliche Bestimmung
c) Hinweisgeberkreis
d) Zeitliche Komponente
e) Fehlverhalten Dritter
f) Weitere Einschränkungen
3. Meldekanäle
a) Gesetzliche Rahmenbedingungen
b) Vertraulichkeit des Hinweisgebersystems
c) Praktische Umsetzung
d) Einzelne Meldekanäle
aa) Elektronische Meldekanäle
bb) Telefon-Hotline
cc) Fachabteilungen und Management
dd) Externe Ombudsperson
V. Aufklärung
1. Prozess
2. Untersuchungsschritte
a) Kommunikation mit dem Hinweisgeber
b) Vorprüfung
c) Kategorisierung
d) Vorbereitung der internen Untersuchung
3. Handlungsprinzipien
4. Abschluss der internen Untersuchung
VI. Remediation
5. Kapitel Beachtung datenschutzrechtlicher Vorgaben
I. Einleitung und Begriffsbestimmung
II. Rechtlicher Rahmen
III. Anwendungsbereich
1. Anwendungsbereich der DSGVO
2. Anwendungsbereich des BDSG n.F
IV. Grundlegende Erwägungen vor der Einführung eines Hinweisgebersystems
V. Rechtsgrundlage für die Datenverarbeitung
1. Rechtmäßigkeit der Verarbeitung – Art. 6 DSGVO
a) Einwilligung, Art. 6 Abs. 1 lit. a) DSGVO
aa) Freiwilligkeit
bb) Bestimmtheit und Information
cc) Keine Einwilligung in die Verarbeitung von Daten Dritter
dd) Widerruflichkeit der Einwilligung
b) Vertragliche Zwecke, Art. 6 Abs. 1 lit. b) DSGVO
c) Rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c) DSGVO
d) Berechtigte Interessen, Art. 6 Abs. 1 lit. f) DSGVO
2. Nationale Erlaubnisnormen auf der Grundlage von Art. 88 DSGVO: § 26 BDSG n.F
a) § 26 Abs. 1 S. 1 BDSG n.F
b) § 26 Abs. 1 S. 2 BDSG n.F
c) Betriebsvereinbarung, § 26 Abs. 4 BDSG n.F
VI. Verarbeitung strafrechtlich relevanter Daten – Art. 10 DSGVO
VII. Anonymität des Hinweisgebers
VIII. Interner vs. externer Betrieb des Hinweisgebersystems, Datenübermittlungen
IX. Information der betroffenen Person
X. Sicherheit der Datenverarbeitung
XI. Einbindung des Datenschutzbeauftragten und Datenschutzfolgenabschätzung
XII. Einbindung des Betriebsrats
XIII. Datenlöschung
XIV. Empfehlungen aus datenschutzrechtlicher Sicht
6. Kapitel Informationen aus Hinweisgebersystemen im Lichte strafprozessualer Ermittlungshandlungen
I. Staatliche Ermittlungsmaßnahmen gegenüber interner Ombudsperson
1. Vernehmung als Zeuge
2. Durchsuchung und Beschlagnahme
3. Syndikusanwalt als interne Ombudsperson
II. Strafprozessuale Ermittlungsmaßnahmen bei externer Ombudsperson
1. Vernehmung als Zeuge
2. Durchsuchung und Beschlagnahme bei externer Ombudsperson
3. Grundsätze der Beschlagnahme von Informationen aus internen Untersuchungen
III. Beschlagnahmeschutz durch Regelungen in EU-Hinweisgeberrichtlinie und Hinweisgeberschutzgesetz?
IV. Ausblick auf mögliche Änderungen durch das Verbandssanktionengesetz
7. Kapitel Praktische Herausforderungen und Lösungen
I. Einleitung
II. Herausforderungen meistern
1. Meldekultur sicherstellen
a) Verhaltenskodex und interne Hinweisgeber-Richtlinie
b) Die Rolle des Managements
c) Vorteile und Nutzen verständlich kommunizieren
2. Konkrete Ausgestaltung des Hinweisgebersystems – organisatorische und technische Maßnahmen, um hilfreiche Meldungen zu erhalten
a) Organisatorische und technische Anforderungen
b) Anforderungen an Hinweisempfänger
c) Vertraulichkeit sicherstellen
d) Welche Kanäle sollen angeboten werden?
3. Kreis möglicher Hinweisgeber und zulässiger Hinweisgegenstände
4. Verpflichtungen zu und Prämien für Meldungen?
5. Risiko des Missbrauchs und Sanktionen gegen böswillige Falschmeldungen
6. Kommunikation und Training – Bekanntheit der Kanäle sicherstellen und Hilfe zur Nutzung bieten
7. Die ersten Schritte nach dem Eingang eines Hinweises – Plausibilisierung, Kategorisierung und Feedback
8. Ermittlungen und Folgemaßnahmen
9. Monitoring und Reporting
8. Kapitel Länderteil Österreich
I. Einleitung
1. Zentrale Staatsanwaltschaft zur Verfolgung von Wirtschaftsstrafsachen und Korruption (WKStA)
2. Finanzmarktaufsichtsbehörde
II. Rechtspflicht zur Einführung von Hinweisgebersystemen in österreichischen Unternehmen?
1. § 99g BWG
2. §§ 95 Abs. 1, 195 Abs. 1 BörseG
3. § 40 Abs. 1 FM-GwG
4. Bislang Ermessensspielraum in sonstigen Fällen
III. Beachtung arbeitsrechtlicher Vorgaben
1. § 96 Abs. 1 Ziff. 3 ArbVG
2. § 10 AVRAG
IV. Beachtung datenschutzrechtlicher Vorgaben
1. Begriffsbestimmung
2. Rechtlicher Rahmen
3. Anwendungsbereich der DSGVO
4. Grundlegende Erwägungen vor der Einführung eines Hinweisgebersystems
5. Rechtsgrundlage für die Datenverarbeitung
a) Rechtmäßigkeit der Verarbeitung – Art. 6 DSGVO
aa) Einwilligung, Art. 6 Abs. 1 lit. a) DSGVO
(1) Freiwilligkeit
(2) Bestimmtheit und Information
(3) Keine Einwilligung in die Verarbeitung von Daten Dritter
(4) Widerruflichkeit der Einwilligung
bb) Vertragliche Zwecke, Art. 6 Abs. 1 lit. b) DSGVO
cc) Rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c) DSGVO
dd) Berechtigte Interessen, Art. 6 Abs. 1 lit. f) DSGVO
b) Verarbeitung strafrechtlich relevanter Daten – Art. 10 DSGVO
c) Betriebsvereinbarung oder arbeitsrechtliche Zustimmung
6. Anonymität des Hinweisgebers
7. Interner vs. externer Betrieb des Hinweisgebersystems, Datenübermittlungen
8. Konzerninterne Datenübermittlung
9. Information der betroffenen Person
10. Sicherheit der Datenverarbeitung
11. Einbindung des Datenschutzbeauftragten und Datenschutzfolgenabschätzung
12. Datenlöschung
13. Empfehlungen für die Implementierung in Österreich
9. Kapitel Länderteil Schweiz
I. Einleitung
II. Anforderungen an Compliance-Programme, einschließlich Hinweisgebersysteme
1. Grundlegendes
2. Gesellschaftsrechtliche Vorgaben
3. Strafrechtliche Sanktionierung
4. Verwaltungs(straf)recht
5. Ausgestaltung des Compliance-Programms
III. Whistleblowing aus Sicht des Hinweisgebers
1. Ausgangspunkt und Umfeld von Hinweisen
2. Melderecht oder Meldepflicht? Je nach Stellung im Unternehmen
3. Adressat der Meldung
4. Kaskade der Meldeadressaten gem. bundesgerichtlicher Rechtsprechung
IV. Whistleblowing aus Sicht des Unternehmens
1. Pflicht zur Entgegennahme und Bearbeitung von Hinweisen?
2. Verfahren im Allgemeinen und Vorgehen bei internen Untersuchungen
3. Maßnahmen aufgrund festgestellter Ergebnisse; Kündigungsschutz
V. Whistleblowing aus Sicht der betroffenen Personen
1. Mitwirkungspflicht bei internen Untersuchungen
2. Schutzmaßnahmen und Verteidigungsrechte
VI. Hinweisgebersysteme in internationalen Konzernen
VII. Melde- und Informationspflichten betreffend den Betrieb von Hinweisgebersystemen
VIII. Zusammenfassung und Empfehlungen für die Implementierung in der Schweiz
Stichwortverzeichnis
Abkürzungsverzeichnis
Länderteil Deutschland und Österreich
| a.A. | anderer Ansicht |
| abl. | ablehnend |
| ABlEG | Amtsblatt der Europäischen Gemeinschaft |
| ABlEU | Amtsblatt der Europäischen Union |
| Abs. | Absatz |
| a.E. | am Ende |
| a.F. | alte Fassung |
| AG | Die Aktiengesellschaft (Zeitschrift); Amtsgericht |
| AGG | Allgemeines Gleichbehandlungsgesetz |
| AktG | Aktiengesetz |
| Alt. | Alternative |
| AiB | Arbeitsrecht im Betrieb (Zeitschrift) |
| AMEX | American Stock Exchange |
| Anm. | Anmerkung |
| AnwBl. | Anwaltsblatt (Zeitschrift) |
| AO | Abgabenordnung |
| ArbGG | Arbeitsgerichtsgesetz |
| ArbRAktuell | Arbeitsrecht Aktuell (Zeitschrift) |
| ArbRB | Der Arbeits-Rechts-Berater (Zeitschrift) |
| ArbSchG | Arbeitsschutzgesetz |
| Art. | Artikel |
| AuA | Arbeit und Arbeitsrecht (Zeitschrift) |
| Aufl. | Auflage |
| AuR | Arbeit und Recht (Zeitschrift) |
| AWG | Außenwirtschaftsgesetz |
| BAG | Bundesarbeitsgericht |
| BAGE | Entscheidungen des Bundesarbeitsgerichts |
| BAT | Bundesangestelltentarifvertrag |
| BB | Betriebs-Berater (Zeitschrift) |
| BBG | Bundesbeamtengesetz |
| BbiG | Berufsbildungsgesetz |
| BDG | Bundesdisziplinargesetz |
| BDSG | Bundesdatenschutzgesetz |
| Bespr. | Besprechung |
| BetrVG | Betriebsverfassungsgesetz |
| BGB | Bürgerliches Gesetzbuch |
| BGBl | Bundesgesetzblatt |
| BGH | Bundesgerichtshof |
| BGHSt | Entscheidungssammlung des BGH in Strafsachen |
| BGHZ | Entscheidungssammlung des BGH in Zivilsachen |
| BilMoG | Bilanzrechtsmodernisierungsgesetz |
| BImSchG | Bundesimmissionsschutzgesetz |
| BKR | Zeitschrift für Bank und Kapitalmarktrecht (Zeitschrift) |
| BORA | Berufsordnung der Rechtsanwälte |
| BörsenG | Börsengesetz |
| BPersVG | Bundespersonalvertretungsgesetz |
| BRAO | Bundesrechtsanwaltsordnung |
| BR-Drucks. | Bundesratsdrucksache |
| BT-Drucks. | Bundestagsdrucksache |
| BtMG | Betäubungsmittelgesetz |
| BVerfG | Bundesverfassungsgericht |
| BVerfGE | Entscheidungen des Bundesverfassungsgerichts |
| bzw. | beziehungsweise |
| ca. | circa |
| CCZ | Corporate Compliance Zeitschrift (Zeitschrift) |
| CEA | Commodity Exchange Act |
| CR | Computer und Recht (Zeitschrift) |
| DB | Der Betrieb (Zeitschrift) |
| DCGK | Deutscher Corporate Governance Kodex |
| ders. | derselbe |
| d.h. | das heißt |
| dies. | dieselbe/n |
| DNotZ | Deutsche Notar-Zeitschrift (Zeitschrift) |
| DöD | Der öffentliche Dienst (Zeitschrift) |
| DriG | Deutsches Richtergesetz |
| DStR | Deutsches Steuerrecht (Zeitschrift) |
| DuD | Datenschutz und Datensicherheit (Zeitschrift) |
| EGBGB | Einführungsgesetz zum Bürgerlichen Gesetzbuch |
| EGMR | Europäischer Gerichtshof für Menschenrechte |
| Einl. | Einleitung |
| EMRK | Europäische Menschenrechtskonvention |
| entspr. | entsprechend |
| EU | Europäische Union |
| EuGH | Europäischer Gerichtshof |
| EU-GRCh | Europäische Grundrechtscharta |
| EUV | Vertrag über die Europäische Union |
| EUZW | Europäische Zeitschrift für Wirtschaftsrecht (Zeitschrift) |
| EWiR | Entscheidungen zum Wirtschaftsrecht (Zeitschrift) |
| etc. | et cetera |
| f. | folgende |
| FD-StrafR | Fachdienst Strafrecht (Zeitschrift) |
| FCA | Federal False Claims Act |
| FCPA | Foreign Corrupt Practices Act |
| ff. | fortfolgende |
| FGO | Finanzgerichtsordnung |
| Fn. | Fußnote |
| FS | Festschrift |
| GA | Goltdammer‘s Archiv für Strafrecht (Zeitschrift) |
| GebrMG | Gebrauchsmustergesetz |
| GefStoffV | Gefahrenstoffverordnung |
| gem. | gemäß |
| GenG | Genossenschaftsgesetz |
| GeschmMG | Geschmacksmustergesetz |
| GewO | Gewerbeordnung |
| GG | Grundgesetz |
| ggf. | gegebenenfalls |
| GmbHG | Gesetz betreffend die Gesellschaften mit beschränkter Haftung |
| GmbHR | GmbH-Rundschau (Zeitschrift) |
| grds. | grundsätzlich |
| GRUR | Gewerblicher Rechtsschutz und Urheberrecht (Zeitschrift) |
| GVG | Gerichtsverfassungsgesetz |
| GWG | Geldwäschegesetz |
| GWR | Gesellschafts- und Wirtschaftsrecht (Zeitschrift) |
| HGB | Handelsgesetzbuch |
| h.L. | herrschende Lehre |
| h.M. | herrschende Meinung |
| HRRS | Höchstrichterliche Rechtsprechung im Strafrecht (Zeitschrift) |
| Hrsg. | Herausgeber |
| HS | Halbsatz |
| InsO | Insolvenzordnung |
| i.S.d. | im Sinne des/der |
| i.S.v. | im Sinne von |
| i.Ü. | im Übrigen |
| ITRB | Der IT-Rechtsberater (Zeitschrift) |
| i.V.m. | in Verbindung mit |
| JA | Juristische Arbeitsblätter (Zeitschrift) |
| JR | Juristische Rundschau (Zeitschrift) |
| JuS | Juristische Schulung (Zeitschrift) |
| JZ | Juristenzeitung (Zeitschrift) |
| Kap. | Kapitel |
| KJ | Kritische Justiz (Zeitschrift) |
| krit. | kritisch |
| KonTraG | Gesetz zur Kontrolle und Transparenz im Unternehmensbereich |
| KrW-/AbfG | Kreislaufwirtschafts- und Abfallgesetz |
| KSchG | Kündigungsschutzgesetz |
| KWG | Gesetz über das Kreditwesen |
| LG | Landgericht |
| lit. | litera |
| MarkenG | Markengesetz |
| MDR | Monatsschrift für Deutsches Recht (Zeitschrift) |
| MitbestG | Gesetz über die Mitbestimmung der Arbeitnehmer |
| MMR | MultiMedia und Recht (Zeitschrift) |
| MschrKrim | Monatsschrift für Kriminologie und Strafrechtsreform (Zeitschrift) |
| m.w.N. | mit weiteren Nachweisen |
| NASDAQ | National Association of Securities Dealers Automated Quotations |
| n.F. | neue Fassung |
| Nr. | Nummer |
| NJOZ | Neue Juristische Online Zeitschrift (Zeitschrift) |
| NJW | Neue Juristische Wochenschrift (Zeitschrift) |
| NStZ | Neue Zeitschrift für Strafrecht (Zeitschrift) |
| NStZ-RR | NStZ-Rechtssprechungsreport (Zeitschrift) |
| NVwZ | Neue Zeitschrift für Verwaltungsrecht (Zeitschrift) |
| NYSE | New York Stock Exchange |
| NZA | Neue Zeitschrift für Arbeitsrecht (Zeitschrift) |
| NZG | Neue Zeitschrift für Gesellschaftsrecht (Zeitschrift) |
| NZI | Neue Zeitschrift für das Recht der Insolvenz und Sanierung (Zeitschrift) |
| NZWiSt | Neue Zeitschrift für Wirtschafts-, Steuer- und Unternehmensstrafrecht (Zeitschrift) |
| OLG | Oberlandesgericht |
| OWiG | Gesetz über Ordnungswidrigkeiten |
| PatG | Patentgesetz |
| PersR | Der Personalrat (Zeitschrift) |
| PublG | Publizitätsgesetz |
| PuR | Personal und Recht (Zeitschrift) |
| RdA | Recht der Arbeit (Zeitschrift) |
| RDV | Recht der Datenverarbeitung (Zeitschrift) |
| RG | Reichsgericht |
| RIW | Recht der internationalen Wirtschaft (Zeitschrift) |
| Rspr. | Rechtsprechung |
| SOA (SOX) | Sarbanes-Oxley Act |
| S., s. | Satz, Seite, siehe |
| SchwarzArbG | Schwarzarbeitergesetz |
| SEA | Securities Excange Act |
| SGB VII | Sozialgesetzbuch |
| s.o. | siehe oben |
| SOX | Sarbanes-Oxley-Act |
| SprAuG | Sprecherausschussgesetz |
| StBW | Steuerberater Woche (Zeitschrift) |
| StGB | Strafgesetzbuch |
| StPO | Strafprozessordnung |
| StraFo | Strafverteidigerforum (Zeitschrift) |
| StV | Strafverteidiger (Zeitschrift) |
| s.u. | siehe unten |
| str. | streitig |
| TdL | Tarifgemeinschaft deutscher Länder |
| TDDSG | Teledienstdatenschutzgesetz |
| TVG | Tarifvertragsgesetz |
| TV-L | Tarifvertrag für den öffentlichen Dienst der Länder |
| TVöD | Tarifvertrag für den öffentlichen Dienst |
| u.a. | unter anderem, und andere |
| UKBA | UK Bribery Act |
| UrhG | Urhebergesetz |
| usw. | und so weiter |
| u.U. | unter Umständen |
| UWG | Gesetz gegen den unlauteren Wettbewerb |
| VAG | Gesetz über die Beaufsichtigung der Versicherungsunternehmen |
| Var. | Variante |
| vert. | vertiefend |
| vgl. | vergleiche |
| VOB/A | Verdingungsordnung für Bauleistungen, Teil A |
| VOL/A | Verdingungsordnung für Leistungen, Teil A |
| WHG | Wasserhaushaltsgesetz |
| WiStG | Wirtschaftsstrafgesetz |
| wistra | Zeitschrift für Wirtschafts- und Steuerstrafrecht (Zeitschrift) |
| WPA | Whistleblower Protection Act |
| WpDVerOV | Wertpapierdienstleistungs- Verhaltens- und Organisationsverordnung |
| WpHG | Wertpapierhandelsgesetz |
| WM | Zeitschrift für Wirtschafts- und Bankrecht (Zeitschrift) |
| z.B. | zum Beispiel |
| ZCG | Zeitschrift für Corporate Governance (Zeitschrift) |
| ZD | Zeitschrift für Datenschutz (Zeitschrift) |
| ZFA | Zeitschrift für Arbeitsrecht (Zeitschrift) |
| ZGR | Zeitschrift für Unternehmens- und Gesellschaftsrecht (Zeitschrift) |
| ZIP | Zeitschrift für Wirtschaftsrecht (Zeitschrift) |
| ZIS | Zeitschrift für Internationale Strafrechtsdogmatik (Zeitschrift) |
| zit. | zitiert |
| ZPO | Zivilprozessordnung |
| ZRP | Zeitschrift für Rechtspolitik (Zeitschrift) |
| ZStW | Zeitschrift für die gesamte Strafrechtswissenschaft (Zeitschrift) |
| z.T. | zum Teil |
| zust. | zustimmend |
| zutr. | zutreffend |
| ZWH | Zeitschrift für Wirtschaftsstrafrecht und Haftung im Unternehmen (Zeitschrift) |
Länderteil Schweiz
| AJP/PJA. | Aktuelle Juristische Praxis/Pratique Juridique Actuelle (Zeitschrift) |
| ArGV 3 | Verordnung 3 zum Arbeitsgesetz (SR 822.113) (Schweiz) |
| BankG | Bundesgesetz über die Banken und Sparkassen (Bankengesetz) (SR 952.0) (Schweiz) |
| BBl | Bundesblatt (Schweiz) |
| BGE | Bundesgerichtsentscheid (Schweiz) |
| BGer | Bundesgericht (Schweiz) |
| BPG | Bundespersonalgesetz (SR 172.220.1) (Schweiz) |
| BV | Bundesverfassung der Schweizerischen Eidgenossenschaft (SR 101) (Schweiz) |
| COSO | Committee of Sponsoring Organizations of the Treadway Commission |
| Digma | Zeitschrift für Datenrecht und Informationssicherheit (Zeitschrift) |
| DOJ | U.S. Department of Justice |
| DSG | Bundesgesetz über den Datenschutz (SR 235.1) (Schweiz) |
| DSGVO | Datenschutz-Grundverordnung der Europäischen Union |
| Economiesuisse | Verband der Schweizer Unternehmen |
| EDÖB | Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (Schweiz) |
| FIFA | Fédération Internationale de Football Association/Internationaler Verband des Association Football |
| FINIG | Bundesgesetz über die Finanzinstitute (Finanzinstitutsgesetz) (SR 954.1) (Schweiz) |
| FINMA | Eidgenössische Finanzmarktaufsicht (Schweiz) |
| FINMAG | Bundesgesetz über die Eidgenössische Finanzmarktaufsicht (Finanzmarktaufsichtsgesetz) (SR 956.1) (Schweiz) |
| GesKR | Gesellschafts- und Kapitalmarktrecht (Zeitschrift) |
| GKV | Verordnung über die Kontrolle zivil und militärisch verwendbarer Güter, besonderer militärischer Güter sowie strategischer Güter (Güterkontrollverordnung) (SR 946.202.1) (Schweiz) |
| GwG | Bundesgesetz über die Bekämpfung der Geldwäscherei und der Terrorismusfinanzierung (Geldwäschereigesetz) (SR 955.0) (Schweiz) |
| GwV-FINMA | Verordnung der Eidgenössischen Finanzmarktaufsicht über die Bekämpfung von Geldwäscherei und Terrorismusfinanzierung im Finanzsektor (Geldwäschereiverordnung-FINMA) (SR 955.033.0) (Schweiz) |
| ICC | International Chamber of Commerce |
| IDW | Institut der Wirtschaftsprüfer (Schweiz) |
| ISO | International Organisation for Standardization |
| ISO 19600 | Internationaler Standard für Compliance Management Systeme |
| ISO 37001 | Internationaler Standard für Anti-Korruptions Management Systeme |
| KMU | Kleine und mittlere Unternehmen |
| MWSTG | Bundesgesetz über die Mehrwertsteuer (Mehrwertsteuergesetz) (SR 641.20) (Schweiz) |
| OECD | Organisation für wirtschaftliche Zusammenarbeit und Entwicklung |
| OR | Bundesgesetz betreffend die Ergänzung des Schweizerischen Zivilgesetzbuches (Fünfter Teil: Obligationenrecht) (SR 220) (Schweiz) |
| PS 980 | Schweizer Prüfungsstandard (PS) 980: Grundsätze zur Prüfung von Compliance Management Systemen |
| RAB | Eidgenössische Revisionsaufsichtsbehörde (Schweiz) |
| recht | Zeitschrift für juristische Weiterbildung und Praxis (Zeitschrift) |
| RiU | Recht in privaten und öffentlichen Unternehmen (Zeitschrift) |
| SJ | La Semaine Judiciaire (Zeitschrift) |
| SJZ/RSJ | Schweizerische Juristen-Zeitung/Revue Suisse de Jurisprudence (Zeitschrift) |
| SR | Systematische Rechtssammlung (Schweiz) |
| StGB | Schweizerisches Strafgesetzbuch (SR 311.0) (Schweiz) |
| StPO | Schweizerische Strafprozessordnung (Strafprozessordnung) (SR 312.0) (Schweiz) |
| SwissHoldings | Verband der Industrie- und Dienstleistungskonzerne |
| USG | Bundesgesetz über den Umweltschutz (Umweltschutzgesetz) (SR 814.01) (Schweiz) |
| VStrR | Bundesgesetz über das Verwaltungsstrafrecht (SR 313.0) (Schweiz) |
| VwVG | Bundesgesetz über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz) (SR 172.021) (Schweiz) |
| ZGB | Schweizerisches Zivilgesetzbuch (SR 210) (Schweiz) |
| ZStrR/RPS | Schweizerische Zeitschrift für Strafrecht/Revue Pénale Suisse (Zeitschrift) |
Literaturverzeichnis
Altebach/Dierkes EU-Whistlebowing-Richtlinie und DSGVO, CCZ 2020, 126
Artikel 29 Gruppe Leitlinien für Transparenz gem. der Verordnung 2016/679, WP 260 rev.01
Artikel 29 Gruppe Stellungnahme 1/2006 zur Anwendung der EU-Datenschutzvorschriften auf interne Verfahren zur Meldung mutmaßlicher Missstände in den Bereichen Rechnungslegung, interne Rechnungslegungskontrollen, Fragen der Wirtschaftsprüfung, Bekämpfung von Korruption, Banken- und Finanzkriminalität, WP 117
Ballo Beschlagnahmeschutz im Rahmen von Internal Investigations – Zur Reichweite und Grenze des § 160a StPO, NZWiSt 2013, 46
Baranowski/Pant Die janusköpfigen Verschwiegenheitsrechte und -pflichten des Rechtsanwalts in der Funktion einer Ombudsperson, CCZ 2018, 250
Bauschke Aktuelles zum Whistleblowing – Erläuterung der neuen EU-Richtlinie, öAT 2019, 250
Behr/Guttenberger Verschärfung der Unternehmenssanktionierung – Was ändert sich durch das Verbandssanktionengesetz (RefE)?, DB 2020, 1218
Behrendt/Kaufmann Whistleblowing-Hotlines aus arbeits- und datenschutzrechtlicher Sicher – Lösungswege im Unternehmen, CR 2006, 642
Bernhard Rechte und Pflichten externer Ombudspersonen, CCZ 2014, 152
Bertheau § 160a StPO neuer Fassung – doch offene Fragen bleiben, StV 2012, 303
Beukelmann Schutz von Hinweisgebern, NJW-Spezial 2019, 312
Beulke Beschlagnahmefreiheit von Verteidigerunterlagen, FS Lüderssen 2002, S. 693
ders. Rechtliche Probleme der Entbindung von Rechtsbeiständen juristischer Personen von der Schweigepflicht (§ 53 Abs. 2 S. 1 StPO) bei personellem Wechsel innerhalb der Vertretungsorgane, FS Achenbach, 2011, S. 39
Beulke/Lüdke/Swoboda Unternehmen im Fadenkreuz. Über den Umfang anwaltlicher Privilegien von Syndici/Rechtsabteilungen im Ermittlungsverfahren, 2009 (zit.: Unternehmen im Fadenkreuz)
Beulke/Ruhmannseder Die Strafbarkeit des Verteidigers, 2. Aufl. 2010 (zit.: Strafbarkeit)
dies. in Ruhmannseder/Lehner/Beukelmann Compliance aktuell, Unternehmensinterne Ermittlungen, Fach 12010
Beulke/Swoboda Strafprozessrecht, 15. Aufl. 2020 (zit.: Beulke/Swoboda StPO)
Bürkle Die Bußgeldrelevanz des Compliance-Managements, BB 2018, 525
ders. Die versicherungsaufsichtsrechtliche Regulierung des internen Hinweisgebersystems, VersR 2020, 1
Bürkle/Hauschka Der Compliance Officer – Ein Handbuch in eigener Sache, 2015 (zit.: Bürkle/Hauschka/Bearbeiter)
Bussche v.d./Voigt Konzerndatenschutz 2. Aufl. 2019 (zit.: Bussche v.d./Voigt)
Busekist/Hein Der IDW PS 980 und die allgemeinen rechtlichen Mindestanforderungen an ein wirksames Compliance Management System, (1) – Grundlagen, Kultur und Ziele, CCZ 2012, 41
Busekist/Schlitt Der IDW PS 980 und die allgemeinen rechtlichen Mindestanforderungen an ein wirksames Compliance Management System, (2) – Risikoermittlungspflicht, CCZ 2012, 86
Dann/Markgraf Das neue Gesetz zum Schutz von Geschäftsgeheimnissen, NJW 2019, 1774
Däubler/Bertzbach Allgemeines Gleichbehandlungsgesetz: AGG, 4. Aufl. 2018 (zit.: Däubler/Bertzach/Bearbeiter)
Datenschutzkonferenz Kurzpapier Nr. 13 Auftragsverarbeitung, Art. 28 DS-GVO
dies. Orientierungshilfe der Datenschutzaufsichtsbehörden zu Whistleblowing-Hotlines: Firmeninterne Warnsysteme und Beschäftigtendatenschutz, 14. November 2018
de Lind van Wijngaarden/Egler Der Beschlagnahmeschutz von Dokumenten aus unternehmensinternen Untersuchungen, NJW 2013, 3549
Diepold/Loof Konzernweite Implementierung von Hinweisgebersystemen, CB 2017, 25
Dilling Der Schutz von Hinweisgebern und betroffenen Personen nach der EU-Whistleblower-Richtlinie, CCZ 2019, 214
ders Interne Ermittlungen im Spanungsfeld zwischen Unternehmensstrafrecht und Whistleblowing, CCZ 2020, 132
Dzida/Granetzny Die neue EU-Whistleblowing-Richtlinie und ihre Auswirkungen auf Unternehmen, NZA 2020, 1201
Egger Hinweisgebersysteme und Informantenschutz, CCZ 2018, 126
Eisenbeis/Nießen Auf Kollisionskurs: Ethikrichtlinien nach US-amerikanischem Vorbild und deutsches Arbeitsrecht, FS Leinemann, 2006, S. 97
Erbs/Kohlhaas Strafrechtliche Nebengesetze, Loseblattwerk, 232. Aufl. 2020 (zit.: Erbs/Kohlhaas/Bearbeiter)
Erfurter Kommentar zum Arbeitsrecht, 21. Aufl. 2021 (zit.: ErfK-Bearbeiter)
Erlebach Die Regelungen der EU-Hinweisgeberrichtlinie und ihre Auswirkungen auf deutsche Unternehmen, CB 2020, 284
Ernst Die Einwilligung nach der Datenschutzgrundverordnung, ZD 2017, 110
European Data Protection Board Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data – version for public consultation
European Data Protection Board Recommendations 02/2020 on the European Essential Guarantees for surveillance measures
European Data Protection Supervisor Guidelines on processing personal information within a whistleblowing procedure, July 2016
Eufinger Verletzung der Fürsorgepflicht durch arbeitgeberseitiges Whistleblowing, NZA 2017, 619
Fahrig Die Einführung eines Verhaltenskodexes und das Whistleblowing, 2010 (zit.: Einführung Verhaltenskodex)
Fassbach/Hülsberg Beschäftigtendatenschutz im Hinweisgeberverfahren: Interessenkonflikt zwischen Hinweisgeberschutz und Auskunftsrecht des Beschuldigten, GWR 2020, 255
Federmann/Racky/Modrzyk/Kalb in Die Whistleblower-Richtlinie der EU: Die neuen Regeln und deren Auswirkungen auf Unternehmen des privaten Sektors, DB 2019, 1665
Ferner Anforderungen an Hinweisgebersysteme im Lichte des Geschäftsgeheimnis- und Datenschutzes, WPg 2020, 1322
Fleischer Corporate Compliance im aktienrechtlichen Unternehmensverbund, CCZ 2008, 1
Forgó/Helfrich/Schneider Betrieblicher Datenschutz, 3. Aufl. 2019 (zit.: Forgó/Helfrich/Schneider/Bearbeiter)
Forst Die Richtlinie der Europäischen Union zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (Whistleblowing-Richtlinie), EuZA 2020, 283
Fritz Whistleblowing – Denunziation oder Wettbewerbsvorteil? Inhalt und Grenzen des Whistleblowings im Rahmen von Corporate Compliance, in: Maschmann, Frank (Hrsg.), Corporate Compliance und Arbeitsrecht, 2009, S. 111 (zit.: Maschmann/Fritz Arbeitsrecht)
Gerdemann Revolution des Whistleblowing-Rechts oder Pfeifen im Walde?, RdA 2019, 16
Gierschmann/Schlender/Stentzel/Veil Kommentar Datenschutz-Grundverordnung, 2017 (zit.: Gierschmann/Schlender/Stentzel/Veil/Bearbeiter)
Götz EU-Richtlinie zum Schutz von Hinweisgebern, in Ruhmannseder/Lehner/Beukelmann, Compliance aktuell, Fach 2102
Gola Datenschutz-Grundverordnung: DS-GVO, 2. Aufl. 2018 (zit.: Gola/Bearbeiter)
Gola/Heckmann Bundesdatenschutzgesetz, Kommentar, 13. Aufl. 2019 (zit.: Gola/Heckmann/Bearbeiter)
Gola/Klug Die Entwicklung des Datenschutzrechts, NJW 2020, 2774
Granetzny/Krause Was kostet ein gutes Gewissen? – Förderung von Whistleblowing durch Prämien nach US-Vorbild?, CCZ 2020, 29
Grambow Beteiligungsrechte des Betriebsrats bei der Einführung von Compliance-Management-Systemen – Teil 1, CB 2016, 210 (Teil 1) und CB 2016, 245 (Teil 2)
Groß/Platzer Whistleblowing: Keine Klarheit beim Umgang mit Informationen und Daten, NZA 2017, 1097
Habbe Interne Untersuchungen durch den Aufsichtsrat, CCZ 2019, 27
Haefcke Beschlagnahmefähigkeit der Interviewprotokolle einer Internal Investigation, CCZ 2014, 39
Hauschka/Moosmayer/Lösler Corporate Compliance, 3. Aufl. 2016 (zit.: Hauschka/Moosmayer/Lösler/Bearbeiter Corporate Compliance)
Hassemer Das Zeugnisverweigerungsrecht des Syndikusanwalts, wistra 1986, 1
Hastenrath E-Learning in der Compliance-Praxis: Anforderungen, Möglichkeiten, Grenzen, Kosten, in: CCZ 2014, 132
Hauser/Hergovits/Blumer Whistleblowing Report 2019
von Heintschel-Heinegg BeckOK StGB, 47. Edition – Stand: 1.8.2020 (zit.: BeckOK/StGB/Bearbeiter)
Herse/Aszmons EU-Whistleblowing-Richtlinie: Der richtige Umgang mit den neuen Vorgaben und deren Umsetzung, DB 2019, 1849
Heuchemer Die Praxis der Hausdurchsuchung und Beschlagnahme und die Wirksamkeit von Rechtsbehelfen im Wirtschaftsstrafrecht, NZWiSt 2012, 137
Hiéramente/Garden Die neue Whistleblowing-Richtlinie der EU – Handlungsbedarf für Unternehmen und Gesetzgeber, BB 2019, 963
Hopson/Graham Koehlern Effektive ethische Compliance-Programme im Sinne der United States Federal Sentencing Guidelines, in: CCZ 2008, 208
Hopt Interne Untersuchungen, Whistleblowing und externes Monitoring, ZGR 2020, 373
Hüffer/Koch Aktiengesetz, 14. Aufl. 2020 (zit.: Hüffer/Koch/Bearbeiter AktG)
dies. Compliance im Innen- und Außenrecht der Unternehmen, FS Roth, 2011, S. 299
Ignor Rechtsstaatliche Standards für interne Erhebungen in Unternehmen – Die „Thesen zum Unternehmensanwalt im Strafrecht“ des Strafrechtsausschusses der Bundesrechtsanwaltskammer, CCZ 2011, 143
Johnson Die Regelung zur Beweislastumkehr nach Maßgabe des Richtlinienentwurfs der EU-Kommission zum Schutz von Hinweisgebern – Quell eines institutionellen Rechtsmissbrauchs?, CCZ 2019, 66
Jung Datenschutz-(Compliance-)Management-Systeme – Nachweis- und Rechenschaftspflichten nach der DS-GVO, ZD 2018, 208
Kaufmann/Häferer/Grimhardt The new EU Whistleblowing Directive, CRi 1/2020, 14
Kehr/Zapp DSGVO – Ein erster Überblick aus der Bußgeldpraxis der Aufsichtsbehörden, CB 2020, 100
Kempter/Steinat Compliance – arbeitsrechtliche Gestaltungsinstrumente und Auswirkungen in der Praxis, NZA 2017, 1505
Kimberly Die Regelungen der EU-Hinweisgeberrichtlinie und ihre Auswirkungen auf deutsche Unternehmen, CB 2020, 284
Klaas Unternehmensinterne Verstöße und „Whistleblowing“: Zum Grundrechtsschutz der Beteiligten und den Anforderungen an eine einfachrechtliche Regelung, CCZ 2019, 163
Klasen/Schaefer Whistleblower, Zeuge und „Beschuldigter” – Informationsweitergabe im Spannungsfeld grundrechtlicher Positionen, BB 2012, 641
Knierim/Rübenstahl/Tsambikakis Internal Investigations, 2. Aufl. 2016 (zit.: Knierim/Rübenstahl/Tsambikakis/Bearbeiter)
Kock Einführung einer Ethikrichtlinie im Unternehmen, MDR 2006, 673
Köhler/Häferer Mitbestimmungsrechte des Betriebsrats im Zusammenhang mit Compliance-Systemen, GWR 2015, 159
Kort Betriebsverfassungsrechtliche Mitbestimmung bei der Einführung von „Ethik-Richtlinien“, FS Buchner, 2009, S. 477
ders. Individualarbeitsrechtliche Fragen des Whistleblowing, FS Kreutz, 2010, S. 247
ders. Rechtsfragen der Compliance-Organisation von Unternehmen außerhalb spezialgesetzlich geregelter Branchen im deutschen Recht, FS Roth, 2011, S. 407
Kühling/Buchner DS-GVO BDSG, 3. Aufl. 2020 (zit.: Kühling/Buchner/Bearbeiter)
Küttner Personalbuch, 27. Aufl. 2020 (zit.: Küttner/Bearbeiter)
Lehne Whistleblowing. Wirksame Korruptionsprävention durch Einsatz anonymer Hinweisgebersysteme am Beispiel deutscher Krankenhäuser, 2009 (zit.: Whistleblowing)
Leipziger Kommentar zum Strafgesetzbuch Großkommentar, 12. Aufl. 2007 (zit.: LK-Bearbeiter)
LfDI Baden-Württemberg Ratgeber Beschäftigtendatenschutz, Stand: August 2019
Lütke/Gramlich Schutz von Hinweisgebern und betroffenen Personen im GeschGehG und in der Hinweisgeber-Richtlinie, wistra 2020, 354
Mann Anwaltsprivileg und Zeugnisverweigerungsrecht des unternehmensinternen Syndikus, DB 2011, 978
Maume/Haffke Whistleblowing als Teil der Unternehmenscompliance – Rechtlicher Rahmen und Best Practice, ZIP 2016, 199
Maunz/Dürig Grundgesetz. Kommentar, Loseblatt, 91. EL April 2020 (zit.: Maunz/Dürig/Bearbeiter GG)
Mengel Arbeitsrechtliche Besonderheiten der Implementierung von Compliance-Programmen in internationalen Konzernen, CCZ 2008, 85
dies. Compliance und Arbeitsrecht, 2009
Mengel/Hagemeister Compliance und arbeitsrechtliche Implementierung im Unternehmen, BB 2007, 1386
Menner/Bexa Praktische Vorgehensweise bei der Einführung eines Tax Compliance Management Systems im Unternehmen, CCZ 2019, 129
Meyer Korruptionsvermeidung – eine Frage des richtigen Trainings?, CCZ 2014, 113
Miceli/Near Blowing the Whistle, The Organizational and Legal Implications for Companies and Employees, 1992
Michalke, R. Durchsuchung und Beschlagnahme – Verfassungsrecht im Alltag, StraFo 2014, 89
ders. Wenn der Staatsanwalt klingelt – Verhalten bei Durchsuchung und Beschlagnahme, NJW 2008, 1490
Miege Einrichtung eines Hinweisgebersystems, CCZ 2018, 45
Momsen Volkswagen, Jones Day und interne Ermittlungen – Zur Zukunft strafrechtlicher Vertretung von Unternehmen in Deutschland, NJW 2018, 2362
Moosmayer Compliance. Praxisleitfaden für Unternehmen, 2. Aufl. 2012 (zit.: Compliance)
Moosmayer/Hartwig Interne Untersuchungen. Praxisleitfaden für Unternehmen, 2012 (zit.: Moosmayer/Hartwig/Bearbeiter)
Müller-Petzer Verlangt die Treuepflicht im Beschäftigungsverhältnis Missstände aufzudecken und Rechtskonformität einzufordern?, CCZ 2018, 162
Münchener Kommentar zum Aktiengesetz Band 2, 5. Aufl. 2019; Band 5, 5. Aufl. 2020; Band 6, 4. Aufl. 2017 (zit.: MüKo-AktG-Bearbeiter)
Münchener Kommentar zum Bürgerlichen Gesetzbuch Band 4, 8. Aufl. 2019, (zit.: MüKo-BGB-Bearbeiter)
Münchener Kommentar zum Handelsgesetzbuch Band 4, 4. Aufl. 2020 (zit.: MüKo-HGB-Bearbeiter)
Neufeld/Knitter Mitbestimmung des Betriebsrats bei Compliance-Systemen, BB 2013, 821
Nezmeskal-Berggötz Einführung und Inhalte von Ethikrichtlinien in multinationalen Unternehmen, CCZ 2009, 209
Nienaber/Schauenburg/Wenglarczyk Ein Blick auf das geplante Verbandssanktionengesetz aus der anwaltlichen Praxis unter besonderer Berücksichtigung der Anforderungen an Interne Untersuchungen, NZWiSt 2020, 223
Oesterle Die Beschlagnahme anwaltlicher Unterlagen und ihre Bedeutung für die Compliance-Organisation von Unternehmen, 2016
Ott/Lüneborg Internal Investigations in der Praxis – Umfang und Grenzen der Aufklärungspflicht, Mindestaufgriffsschwelle und Verdachtsmanagement, CCZ 2019, 72
dies Das neue Verbandssanktionengesetz – Fragen und Auswirkungen für die Compliance-Praxis, NZG 2019, 1361
Paal/Pauly DS-GVO BDSG, 2. Aufl. 2018 (zit.: Paal/Pauly/Bearbeiter)
Pelz Die Beschlagnahmefähigkeit von Unterlagen aus Internal Investigations – zugleich eine Besprechung von BVerfG, Beschluss vom 27.6.2018 – 2 BvR 1405/17, 2 BvR 1780/17, CCZ 2018, 211
Peters/Klingberg Die Entbindung von der Schweigepflicht bei Wirtschaftsprüfern und gemischten Sozietäten durch juristische Personen, ZWH 2012, 11
Preis/Seiwerth Geheimnisschutz im Arbeitsrecht nach dem Geschäftsgeheimnisgesetz, RdA 2019, 351
Prölss/Dreher Versicherungsaufsichtsgesetz: VAG, 13. Aufl. 2018 (zit.: Prölls/Dreher/Bearbeiter)
Queling/Bayer Beschlagnahmeverbot gem. § 97 Abs. 1 Nr. 3 StPO im Hinweisgebersystem unter Einsatz von Ombudsanwälten, NZWiSt 2016, 417
Ramb Healthcare Compliance: Aktuelle Entwicklungen und globale Trends, CCZ 2015, 262
Reinhard Mitbestimmungsrechte des Betriebsrats bei der Implementierung von Unternehmens-, insbesondere Verhaltensrichtlinien, NZA 2016, 1233
Reifert Codes of Conduct nach der DSGVO, ZD 2019, 305
Richardi Betriebsverfassungsgesetz mit Wahlordnung, Kommentar, 16. Aufl. 2018 (zit.: Richardi/Bearbeiter BetrVG)
Rolfs/Giesen/Kreikebohm/Udsching BeckOK Arbeitsrecht, 57. Edition – Stand: 1.9.2020 (zit.: BeckOK-ArbR-Bearbeiter)
Rotsch/Mutschler/Grobe Der Regierungsentwurf zum Verbandssanktionengesetz – kritische Analyse und Ausblick, CCZ 2020, 169
Rütters/Schneider Die Beschlagnahme anwaltlicher Unterlagen im Unternehmensgewahrsam, GA 2014, 160
Ruhmannseder Unternehmensinterne Ermittlungen – rechtliche Fallstricke in Deutschland und Österreich in Festschrift für Imme Roxin, 2012, 501
Ruhmannseder/Lehner/Beukelmann Compliance aktuell, Sammelwerk – Stand November 2020 (zit.: Ruhmannseder/Lehner/Beukelmann/Bearbeiter)
Sänger Whistleblowing in der börsennotierten Aktiengesellschaft, 2011 (zit.: Whistleblowing)
Schmidt, B. Compliance in Kapitalgesellschaften, 2010 (zit.: Compliance)
Schmidt, R. H./Weiß Shareholder vs. stakeholder. Ökonomische Fragestellungen, 2003 (zit.: Shareholder vs. stakeholder)
Schmolke Die neue Whistleblower-Richtlinie ist da! Und nun?, NZG 2020, 5
Schneider, U. H./Nowak Sind die Einrichtung einer Whistleblowing-Stelle und der Schutz des Whistleblowers Teil guter Corporate Compliance?, FS Kreutz, 2010, S. 855
Schneider V. Die arbeitsrechtliche Implementierung von Compliance- und Ethikrichtlinien, 2009 (zit.: Implementierung)
Schreiber Das neue Gesetz zum Schutz von Geschäftsgeheimnissen – ein „Freifahrtschein“ für Whistleblower, NZWiSt 2019, 332
Schröder Integration von Whistleblowing in die nationale Rechtsordnung, ZRP 2020, 212
Schulz, C. N. Whistleblowing in der Wissenschaft, Rechtliche Aspekte im Umgang mit wissenschaftlichem Fehlverhalten, 2008 (zit.: Whistleblowing)
Schulz, M. Ethikrichtlinien und Whistleblowing – Arbeitsrechtliche Aspekte der Einführung eines Compliance-Systems, 2009 (zit.: Ethikrichtlinien)
Schumacher/Saby „Loi Sapin 2“: Die Revolution im französischen Anti-Korruptionsrecht, CCZ 2017, 68
Schwartmann/Jaspers/Thüsing/Kugelmann DS-GVO/BDSG, 2. Aufl. 2020 (zit.: Schwartmann/Jaspers/Thüsing/Kugelmann/Bearbeiter)
Sidhu/von Saucken/Ruhmannseder Der Unternehmensanwalt im Strafrecht und die Lösung von Interessenkonflikten, NJW 2011, 881
Siegler Wie ein FCPA-Verstoß vermieden werden kann, wenn ein Geschäftspartner „ausländischer Amsträger“ wird, CCZ 2014, 186
Simitis (Hrsg.) Bundesdatenschutzgesetz, 7. Aufl. 2011 (zit.: Simitis/Bearbeiter BDSG)
Simitis/Hornung/Spiecker Datenschutzrecht, 2019 (zit.: Simitis/Hornung/Spiecker/Bearbeiter)
Spehl/Momsen/Grützner Unternehmensinterne Ermittlungen – Ein internationaler Überblick, CCZ 2013, 260 (Teil I), CCZ 2014, 2 (Teil II), CCZ 2014, 170 (Teil III)
Spindler/Stilz Kommentar zum Aktiengesetz, 4. Aufl. 2019 (zit.: Spindler/Stilz/Bearbeiter AktG)
Steffen/Stöhr Die Umsetzung von Compliance-Maßnahmen im Arbeitsrecht, RdA 2017, 43
Tinnefeld/Conrad Die selbstbestimmte Einwilligung im europäischen Recht, ZD 2018, 391
Triskatis Ethikrichtlinien im Arbeitsrecht, 2008 (zit.: Ethikrichtlinien)
Umnuß Corporate Compliance Checklisten, 4. Aufl. 2020 (zit.: Umnuß/Bearbeiter)
Veljović Hinweisgebersysteme – Treiber der unternehmensinternen Sozialisation, CB 2019, 475
Wagner Ethikrichtlinien: Inhalte – Implementierung – Mitbestimmung, in: Maschmann (Hrsg.), Corporate Compliance und Arbeitsrecht, 2009, S. 65 (zit.: Maschmann/Wagner Arbeitsrecht)
Weidmann Datenschutzrechtliche Anforderungen an die Einrichtung interner Hinweisgebersysteme unter Berücksichtigung der EU-Whistleblowing-Richtlinie, DB 2019, 2393
Weiler/Kaspers Arbeits- und datenschutzrechtliche Auskunftsansprüche versus Schutz von Whistleblowern in Ruhmannseder/Lehner/Beukelmann, Compliance aktuell, Fach 2103
Wessing/Dann Deutsch-Amerikanische Korruptionsverfahren, 2013 (zit.: Wessing/Dann/Bearbeiter)
Wichtermann Einführung eines Datenschutz-Management-Systems im Unternehmen – Pflicht oder Kür? – Kurzüberblick über die Erweiterungen durch die DS-GVO, ZD 2016, 421
Wiedmann/Greubel Compliance Management Systeme – Ein Beitrag zur effektiven und effizienten Ausgestaltung, CCZ 2019, 88
Willemsen Einführung und Inhaltskontrolle von Ethikrichtlinien, 2009 (zit.: Ethikrichtlinien)
Wisskirchen/Jordan/Bissels Arbeitsrechtlicher Probleme bei der Einführung internationaler Verhaltens- und Ethikrichtlinien (Codes of Conduct/Codes of Ethics), DB 2005, 2190
Withus/Hein Prüfung oder Zertifizierung eines Compliance Management Systems – Voraussetzungen und mögliche Rechtsfolgen, CCZ 2011, 125
Wolff/Brink BeckOK DatenschutzR, 33. Edition – Stand: 1.8.2020 (zit.: Wolff/Brink/Bearbeiter)
Wybitul Compliance und Betriebsrat – typische Konfliktfelder und praktische Lösungen, CB 2015, 77
ders. EU: Datenschutzgrundverordnung verabschiedet – die wichtigsten Folgen für die Praxis auf einen Blick, ZD-Aktuell 2016, 04185
ders. „Whistleblowing“ – datenschutzkonformer Einsatz von Hinweisgebersystemen? – Für und Wider zum rechtskonformen Betrieb, ZD 2011, 118, 122
Länderteil Österreich
Aicher-Hadler Kronzeugen und Whistleblower, RFG 2010, 47
Brodil Verpfeifer, Pfeifen und Verpfiffene – Whistleblowing aus arbeitsrechtlicher Perspektive, ecolex 2009, 1024
ders. Arbeitsrechtliche Aspekte von Whistleblowing, in Lewisch (Hrsg), Zauberwort Compliance, 2012, S. 89
ders. Betriebsverfassungsrechtlich determinierter Datenschutz?, ZAS 2013, 269
ders. Arbeitnehmerdatenschutz und Datenschutz-Grundverordnung (DSGVO), exolex 2019, 486
Brunner/Nagel Whistleblowing – Sicherstellung des Hinweisgeberschutzes im Lichte der DSGVO, DaKo 2020, 32
Bundesministerium für Justiz Information über die Einrichtung eines Hinweisgebersystems (BKMS®-System) bei der Zentralen Staatsanwaltschaft zur Verfolgung von Wirtschaftsstrafsachen, 2013
Glaser/Komenda Whistleblowing in Österreich – Gefahren, Probleme und Lösungsmöglichkeiten, JRP 2012, 207
Huber Der Arbeitnehmer als Whistleblower, ASoK 2011, 255
Lechner (Datenschutzbehörde), Hinweisgebersysteme, 2017
Naderhirn Whistleblowing im Arbeitsrecht – Ausgewählte Aspekte, DRdA 2014, 14
Rebhahn Mitarbeiterkontrolle am Arbeitsplatz, 2009;
Reis Zur Zulässigkeit von Whistleblowing-Hotlines, RdW 2009, 396
Risak Whistleblowing durch den Betriebsrat, ecolex 2012, 243
Ruhmannseder in Ruhmannseder/Lehner/Beukelmann, Compliance aktuell, Whistleblowing in Österreich – Einführung von Hinweisgebersystemen in Unternehmen, Fach O 1105
ders. in Soyer (Hrsg.), Handbuch Unternehmensstrafrecht, 2020, Kapitel 13 – Compliance-Strategien
Schrank/Kristöfl Whistleblower: ein Segen für Unternehmen?, SWK 2020, 1398;
Schweiger Die Richtlinie zum Schutz von Hinweisgebern – arbeitsrechtliche Konsequenzen, RdW 2020, 453 (Teil I), 533 (Teil II)
Simones Notwendigkeit eines Gesetzes zum Schutz von Whistleblowern?, RdA 2013, 236
Soyer Handbuch Unternehmensstrafrecht, 2020 (zit.: Soyer/Bearbeiter)
Spring „Whistleblowing“ – „Verpfeif“-Maßnahmen aus datenschutzrechtlicher Sicht, ecolex 2007, 139
Wess Unternehmensinterne Ermittlungen – Erfahrungen und Problemstellungen in Österreich, AnwBl 2013, 223.
Länderteil Schweiz
Ackermann Unterlassungsrisiken in der Unternehmensleitung – am Beispiel der Geldwäscherei in: Ackermann/Hilf (Hrsg.), Geldwäscherei – Asset Recovery, 2012, S. 133
Berger/Lee Do Corporate Whistleblower Laws Deter Accounting Fraud?, Working paper, 2019
Bettex Le cadre légal des enquêtes internes dans les banques et autres grandes entreprises en droit du travail SJ 2/2013, S. 157
ders. Le whistleblowing: quelques considérations sur le whistleblowing et le droit suisse Der Schweizer Treuhänder 6-7/2014, S. 492
Böckli Schweizer Aktienrecht – mit Fusionsgesetz, Börsengesellschaftsrecht, Konzernrecht, Corporate Governance, Recht der Revisionsstelle und der Abschlussprüfung in neuer Fassung unter Berücksichtigung der angelaufenen Revision des Aktien- und Rechnungslegungsrechts, 4. Aufl. 2009
Bowen/Call/Rajgopal Whistle-Blowing: Target Firm Characteristics and Economic Consequences, The Accounting Review 4/2010, S. 1239
Buff Compliance: Führungskontrolle durch den Verwaltungsrat, 2000
COSO International Control – Integrated Framework, 2019
Von der Crone Aktienrecht, 2. Aufl. 2020
DOJ Criminal Division Evaluation of Corporate Compliance Programs, June 2020
Economiesuisse Swiss Code of Best Practice for Corporate Governance, ursprünglich 2002, überarbeitete Fassung 2014
Economiesuisse/SwissHoldings Grundzüge eines wirksamen Compliance-Managements, 2014
EDÖB 20. Tätigkeitsbericht, 2012/2013
Ehmann/Selmayr Beck'sche Kurz-Kommentare, Datenschutz-Grundverordnung (DS-GVO), 2. Aufl. 2018 (zit.: Ehmann/Selmayr/Bearbeiter)
Forster Die strafrechtliche Verantwortlichkeit des Unternehmens nach Art. 102 StGB, 2006
Forstmoser/Meier-Hayoz/Nobel Schweizerisches Aktienrecht, 1996
Fritsche Interne Untersuchungen in der Schweiz – Ein Handbuch für regulierte Finanzinstitute und andere Unternehmen, 2013
Gauch/Schmid Zürcher Handkommentar ZK, Kommentar zum schweizerischen Zivilrecht, Obligationenrecht, Kommentar zur 1. und 2. Abteilung, Art. 1-529 OR, 4. Aufl. 2006 (zit.: Gauch/Schmid/Bearbeiter)
Geiser Die Treuepflicht des Arbeitnehmers und ihre Schranken, 1983
Geiser/Fountoulakis Basler Kommentar BSK, Zivilgesetzbuch I, Art. 1-456 ZGB, 6. Aufl. 2018 (zit.: Geiser/Fountoulakis/Bearbeiter)
Häner Öffentlichkeitsprinzip – Geschäftsgeheimnis, Digma 3/2016, S. 118
Hauser/Hergovits/Blumer Whistleblowing Report 2019, 2019
Hausheer/Walter Berner Kommentar BK, Einleitung und Kommentar zu den Art. 319-330b OR, Schweizerisches Zivilgesetzbuch, Das Obligationenrecht, Die einzelnen Vertragsverhältnisse, Der Arbeitsvertrag, Art. 319-362 OR, 2010 (zit.: Hausheer/Walter/Bearbeiter)
Hilti Schutz von Whistleblowing in Europa? – zu den rechtlichen Regelungen zum Schutz von Whistleblower(inne)n in Europa, Digma 6/2016, S. 6
Hofstetter Corporate Governance in der Schweiz – Bericht im Zusammenhang mit den Arbeiten der Expertengruppe „Corporate Governance“, 2002
ders. Grundlagenbericht zur Revision: Swiss Code of Best Practice for Corporate Governance, 2. Aufl. 2014
Honsell/Vogt/Watter Basler Kommentar BSK, Obligationenrecht II, Art. 530-964 OR, 5. Aufl. 2016 (zit.: Honsell/Vogt/Watter/Bearbeiter)
Hug Whistleblowing et secrets pénalement protégés: quels risques pour le lanceur d'alerte eb Suisse? ZStrR/RPS 1/2013, S. 1
ICC Comisssion on Competition The ICC Antitrust Compliance Toolkit – practical antitrust compliance tools for SMEs and larger companies, 2013
Imbach-Haumüller Whistleblowing – Bestandteil einer effektiven internen Kontrolle, GesKR 1/2013, S. 71
Jositsch/Conte Bankgeheimnisverletzung durch Whistleblowing, SJZ/RSJ 15/2017, S. 357
Jositsch/Drzalic Revision des Korruptionsstrafrechts, AJP/PJA 3/2016, S. 349
Jungo Whistleblowing – Lage in der Schweiz, recht 2/2012, S. 65
Kiener/Kälin/Wyttenbach Grundrechte, 3. Aufl. 2018
Knecht Arbeitsvertrag – Leitende Arbeitnehmende in: Münch/Kasper-Lehne/Probst (Hrsg.), Schweizer Vertragshandbuch, 3. Aufl. 2018, S. 707
Kunz/Jutzi/Schären Stämpflis Handkommentar SHK, Geldwäschereigesetz, 2017 (zit.: Kunz/Jutzi/Schären/Bearbeiter)
Kurer Legal and Compliance Risk: A Strategic Response to a Rising Threat for Global Business, 2015
Länzlinger Rechtliche Rahmenbedingungen und praktische Erfahrungen im Zusammenhang mit Mitarbeiterbefragungen in: Romerio/Bazzani (Hrsg.), Interne und regulatorische Untersuchungen, 2015, S. 107
Lengauer/Ruckstuhl Compliance, 2017
Licci Codes of Conduct im Arbeitsverhältnis mit besonderem Blick auf das Whistleblowing, AJP/PJA 8/2015, S. 1168
Livschitz Datenschutz in Compliance und Rechtsverfahren in: Passadelis/Rosenthal/Thür (Hrsg.), Datenschutzrecht – Beraten in Privatwirtschaft und öffentlicher Verwaltung, 2015, S. 613
Locher Whistleblowing durch Staatsangestellte: datenschutzrechtliche Voraussetzungen der Offenlegung von Missständen im öffentlich-rechtlichen Arbeitsverhältnis, Digma 1/2016, S. 26
Maurer-Lambrou/Blechta Basler Kommentar BSK, Datenschutzgesetz (DSG) / Öffentlichkeitsgesetz (BGÖ), 2014 (zit.: Maurer-Lambrou/Blechta/Bearbeiter)
Meier-Hayoz/Forstmoser/Sethe Schweizerisches Gesellschaftsrecht, Mit neuem Firmen- und künftigem Handelsregisterrecht und unter Einbezug der Aktienrechtsreform, 12. Aufl. 2018
Niggli/Wiprächtiger Basler Kommentar BSK, Strafrecht I, Art 1-110 StGB/JStG, 3. Aufl. 2013 (zit.: Niggli/Wiprächtiger/Bearbeiter 3. Aufl.)
dies. Basler Kommentar BSK, Strafrecht, StGB/JStG, 4. Aufl. 2019 (zit.: Niggli/Wiprächtiger/Bearbeiter)
OECD Anti-Bribery Convention, Phase 4 Report: Switzerland, 2018
Rieder Whistleblowing als interne Risikokommunikation – Ausgestaltung eines unternehmensinternen Whistleblowing-Systems aus arbeits- und datenschutzrechtlicher Sicht in Müller/Geiser (Hrsg.), Recht in privaten und öffentlichen Unternehmen RiU Band 2, 2013
Rosenthal/Jöhri Handkommentar zum Datenschutzgesetz sowie weiteren, ausgewählten Bestimmungen, 2. Aufl. 2018 (zit.: Rosenthal/Jöhri/Bearbeiter)
Rotz Die Garantenstellung und die Garantenpflicht des Compliance Officers einer Bank – unter Berücksichtigung der strafrechtlichen Bestimmungen des Finanzmarktrechts, 2019
Rudolph Interne Untersuchungen: Spannungsfelder aus arbeitsrechtlicher Sicht, SJZ/RSJ 16-17/2018, S. 385
Sethe/Andreotti Compliance und Verantwortlichkeit in: Isler/Sethe (Hrsg.), Verantwortlichkeit im Unternehmensrecht VIII, 2016, S. 85
Strasser Strafrechtliche Verantwortung des Unternehmensjuristen einer Schweizer Bank in: Von und zu Liechtenstein/Monti/Vesterdorf/Westbrook/Wildhaber (Hrsg.), Economic Law and Justice in Times of Globalisation – Wirtschaftsrecht und Justiz in Zeiten der Globalisierung, FS für Carl Baudenbacher, 2007, S. 749
Streiff/von Kaenel/Rudolph Arbeitsvertrag, Praxiskommentar zu Art. 319-362 OR, 7. Aufl. 2012 (zit.: Streiff/von Kaenel/Rudolph/Bearbeiter)
Stubben/Welch Evidence on the Use and Efficacy of Internal Whistleblowing Systems, Journal of Accounting Research, 2/2020, S. 473
dies. Research: Whistleblowers Are a Sign of Healthy Companies, Harvard Business Review, 14.11.2018
Trechsel/Pieth Schweizerisches Strafgesetzbuch, Praxiskommentar, 3. Aufl. 2018 (zit.: Trechsel/Pieth/Bearbeiter)
Vasella Whistleblowing-Systeme im Konzern, Digma 2/2016, S. 76
Watter/Vogt/Bauer/Winzeler Basler Kommentar BSK, Bankengesetz (BankG), 2. Aufl. 2013 (zit.: Watter/Vogt/Bauer/Winzeler/Bearbeiter)
Widmer-Lüchinger/Oser Basler Kommentar BSK, Obligationenrecht I, Art. 1-529 OR, 7. Aufl. 2020 (zit.: Widmer-Lüchinger/Oser/Bearbeiter)
1. Kapitel Einführung
Inhaltsverzeichnis
I. Der Begriff „Whistleblowing“ als Ausgangspunkt
II. Implikationen für den Hinweisgeber und die betroffene Organisation
III. EU-Hinweisgeberrichtlinie und Hinweisgeberschutzgesetz
IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung
1
Der Umgang mit Hinweisgebern wird seit jeher kontrovers diskutiert. Gerade in Deutschland ist dieses Thema historisch vorbelastet. In den letzten Jahren hat allerdings eine deutlich wahrnehmbare Veränderung stattgefunden. Wurden Hinweisgeber früher häufig noch als Spitzel oder Denunzianten angesehen, verändert sich die öffentliche Wahrnehmung dahingehend, dass Hinweisgeber einen wertvollen Beitrag dazu leisten, dass Missstände in der Zivilgesellschaft, Wirtschaft oder Politik öffentlich gemacht und so adressiert werden.
2
Dazu beigetragen haben spektakuläre Fälle wie die von Edward Snowden, Chelsea Manning, den Paradise und Panama Papers, Luxleaks oder Football Leaks. Mal ging es um umfassende Überwachung durch Geheimdienste oder Verbrechen von Militärs, mal um Steuerhinterziehung durch betuchte Bürger aus aller Herren Länder. Wenn sich Hinweisgeber gutgläubig verhalten, kann nicht überschätzt werden, welchen Beitrag sie leisten können, damit Fehlverhalten in der Gesellschaft oder – insoweit das Thema dieses Buches – in einem Unternehmen erkannt und abgestellt wird.
3
Zwar kann auch das beste Compliance-Programm nicht jede kriminell-kreative Idee Einzelner unterbinden. Wenn aber Personen, die im Begriff sind, die Regeln zu brechen, zu umgehen oder dies bereits getan haben, befürchten müssen, dass ihr Verhalten ans Licht kommen, hält es den ein oder anderen möglicherweise von einem Fehltritt ab, wenn die greifbare Möglichkeit der Aufdeckung durch einen Hinweisgeber besteht. Dementsprechend wird ein Hinweisgebersystem inzwischen auch im deutschsprachigen Raum als wesentlicher Bestandteil eines effektiven Compliance Management Systems angesehen.[1] Die Bedeutung von Hinweisgebersystemen wird nicht zuletzt aufgrund der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden[2] (kurz „EU-Hinweisgeberrichtlinie“), künftig deutlich zunehmen. Die EU-Hinweisgeberrichtlinie ist am 16.12.2019 in Kraft getreten und muss vom Gesetzgeber der jeweiligen EU-Mitgliedstaaten bis spätestens 17.12.2021 in nationales Recht umgesetzt werden.[3] In Deutschland wird dies durch das Gesetz zum Schutz hinweisgebender Personen (Hinweisgeberschutzgesetz – HinSchG) erfolgen.
4
Der Vorteil von Hinweisgebersystemen gegenüber anderen Kontrollmechanismen wie Richtlinien, Handlungsanweisungen oder Schulungen ist, dass ein Hinweisgebersystem „bottom up“ funktioniert. Das bedeutet, nicht die Compliance-Abteilung selbst entscheidet zentral, welche Themen für die Mitarbeiter und die Organisation relevant sind, sondern die Mitarbeiter entscheiden zu einem gewissen Teil selbst, welche Themen mit dem jeweiligen Rechtsempfinden nicht im Einklang stehen. Dabei können auch regionale und kulturelle Unterschiede eine Rolle spielen.
5
Natürlich haben einige Hinweisgeber ihre eigene Agenda und verfolgen möglicherweise primär egoistische Ziele. An dieser Stelle setzt aber die Verantwortung der zuständigen Personen im Unternehmen ein, Prozesse zu entwickeln, um falsche Hinweise oder fehlgeleitete Motive zu erkennen und von den wichtigen Details zu trennen. Derartige globale Konzepte in einer lebenden Organisation wie einem Unternehmen sind nicht einfach zu implementieren und zu steuern. Mit der nötigen Aufmerksamkeit für die Prozesse und deren kontinuierliche Anpassung, kann jedes Unternehmen über das Hinweisgebersystem einen wertvollen Beitrag dazu leisten, dass sich das Unternehmen und seine Mitarbeiter an die geltenden Gesetze halten und zugleich eine Arbeitsumgebung schaffen, in der sich alle Unternehmensangehörige sicher und wohl fühlen.
6
Die Schwierigkeit liegt in der Praxis aktuell noch darin begründet, dass sich nicht alle Unternehmensleiter und Compliance-Verantwortlichen darüber bewusst sind, wie wichtig der Beitrag eines Hinweisgebersystems für die Unternehmenskultur und die Effektivität des Compliance-Programms ist. Möglicherweise hat auch der ein oder andere Entscheider noch eine Leiche im Keller, die er lieber begraben lassen möchte. Positive Änderungen des Verhaltens oder der Kultur können in einem Unternehmen aber nur durch Offenheit und Transparenz herbeigeführt werden.[4] Das gilt für technische Fehler genauso wie für Korruption oder Kartellabsprachen oder die Sicherheit am Arbeitsplatz inklusive dem Schutz vor sexuellen Übergriffen oder unangebrachtem Verhalten. Wer ein Unternehmen betreibt oder leitet, hat sowohl die gesellschaftliche als auch die rechtliche Verantwortung dafür Sorge zu tragen, dass sich die Mitarbeiter in dem Unternehmen sicher und wohl fühlen und die Gesellschaft und Kunden nicht durch Fehlverhalten aus dem Unternehmen heraus geschädigt werden.
Anmerkungen
[1]
Vgl. hierzu statt vieler Hauschka/Moosmayer/Lösler/Buchert Corporate Compliance, § 42 Rn. 62 ff.
[2]
Richtlinie des Europäischen Parlaments und des Rates v. 23.10.2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, ABlEU Nr. L 305/17 v. 26.11.2019.
[3]
Zu den Einzelheiten vgl. etwa Dilling CCZ 2019, 214; Erlebach CB 2020, 284; Ruhmannseder/Lehner/Beukelmann/Götz Compliance aktuell, Fach 2102.
[4]
Vgl. dazu auch Ruhmannseder/Lehner/Beukelmann/Götz Compliance aktuell, Fach 2102 Rn. 5.
1. Kapitel Einführung › I. Der Begriff „Whistleblowing“ als Ausgangspunkt
I. Der Begriff „Whistleblowing“ als Ausgangspunkt
7
Hinweisgebersysteme beinhalten Verfahren und Prozesse zum „Whistleblowing“. Für diesen Begriff gibt es bisher keine einheitliche, allgemein anerkannte Definition. Die im anglo-amerikanischen Raum gebräuchlichste Definition liefern Miceli/Near Journal of Business Ethics 1995, Vol. 4, No. 1, S. 1: „The disclosure by organization members (former or current) of illegal, immoral or illegitimate practices under the control of their employers, to persons or organizations that may be able to effect action“. Übertragen ins Deutsche kann der Begriff „Whistleblowing“ daher – verkürzt – als „Aufdeckung von Missständen“ umschrieben werden.
8
Für den „Whistleblower“ selbst wird (ins Deutsche übersetzt) häufig auch der wertneutrale und daher sachgerechte Begriff „Hinweisgeber“ verwendet.[1] Bei der Organisation, welcher der Hinweisgeber angehört und welcher das (angeblich) unlautere Verhalten entspringt, handelt es sich in den meisten Fällen um ein Wirtschaftsunternehmen. Hinweisempfänger können aber auch andere Institutionen – insbesondere Behörden – sein. Ist der Hinweisempfänger Teil der Organisation, der das angeprangerte Fehlverhalten entspringt (oder wurde er von dieser beauftragt, entsprechende Hinweise entgegenzunehmen), spricht man vom „internen“ Whistleblowing.[2] Die Unterrichtung von Strafverfolgungs- und Aufsichtsbehörden, Medien oder anderen öffentlichen Stellen wird als „externes“ Whistleblowing bezeichnet.[3]
9
Ein sog. „Hinweisgebersystem“ in Unternehmen ermöglicht es Beschäftigten bzw. je nach Ausgestaltung Dritten (z.B. Kunden), über ein bestimmtes Verfahren (anonym) Informationen über Verhaltensweisen von Beschäftigten des Unternehmens abzugeben, die nicht im Einklang mit dem Gesetz oder unternehmensinternen Verhaltensregeln stehen.[4] Ziel eines unternehmensinternen Hinweisgebersystems ist es, durch Meldungen frühzeitig Probleme, Kontrollmängel und Missstände aufzudecken und ihnen entsprechend entgegenzuwirken.[5]
Anmerkungen
[1]
So ist etwa auch in der EU-Hinweisgeberrichtline durchgängig vom „Hinweisgeber“ die Rede.
[2]
Gem. Art. 5 Ziff. 4 EU-Hinweisgeberrichtlinie ist eine „interne Meldung“ die mündliche oder schriftliche Mitteilung von Informationen über Verstöße innerhalb einer juristischen Person des privaten oder öffentlichen Sektors.
[3]
Gem. Art. 5 Ziff. 5 EU-Hinweisgeberrichtlinie ist eine „externe Meldung“ die mündliche oder schriftliche Mitteilung von Informationen über Verstöße an die zuständigen Behörden.
[4]
Mahnhold NZA 2008, 737; vgl. auch Eufinger NZA 2017, 619, Johnson CCZ 2019, 66.
[5]
Vgl. hierzu auch IDW PS 980 A 17 „Compliance Programm“.
1. Kapitel Einführung › II. Implikationen für den Hinweisgeber und die betroffene Organisation
II. Implikationen für den Hinweisgeber und die betroffene Organisation
10
Die eingangs erwähnten positiven Auswirkungen eines Hinweises dienen – jedenfalls mittel- und langfristig – auch den Interessen und Zielen der betroffenen Organisation. Insoweit werden vor allem die positiven wirtschaftlichen Effekte von Hinweisen betont: Hinweisgeber sollen dazu beitragen, durch Rechtsverstöße entstehende Schäden zu vermeiden und Bedrohungen oder Schäden des öffentlichen Interesses, die andernfalls unentdeckt blieben, aufzudecken.[1] Gleichwohl sind Hinweisgeber in der Praxis häufig negativen Reaktionen aus den Reihen der betroffenen Organisation und deren Angehörigen (Kollegen) ausgesetzt. Nicht selten ergreift die Organisation gegenüber dem Hinweisgeber zivil- oder arbeitsrechtliche Schritte (z.B. Herabstufung oder Versagung einer Beförderung, Versetzung oder Kündigung). Aus dem Kreis der Kollegen drohen Stigmatisierung, sozialer Ausschluss bis hin zum Mobbing.[2] Zwar bildet ein Hinweisgebersystem aufgrund der Erhöhung des subjektiven Entdeckungsrisikos sowie der Verstärkung der Sozialisationseffekte der Mitarbeiter eine wesentliche Grundlage für eine effektive Kriminalprävention in Organisationen.[3] Erweist sich der Hinweis als stichhaltig und bezieht er sich auf illegale Verhaltensweisen, wird die Hinweiserteilung intern gerade von den Führungskräften und den übrigen Arbeitskollegen oftmals als illoyal empfunden.[4] Dies gilt vor allem in Organisationen, in denen ein ausgeprägtes Gruppengefühl vorhanden ist und sich daher viele in erheblichem Maße mit der Organisation und ihren Zielen identifizieren.[5] Ein vertrauensvolles Zusammenwirken, ausgerichtet auf eine offene Kommunikation sowie Kooperation mit Vorgesetzten und Kollegen, ist aber zentrale Voraussetzung für die Funktionstüchtigkeit und den Erfolg jeder Organisation. Die Implementierung eines funktionstüchtigen Hinweisgebersystems (als Bestandteil eines effektiven Compliance-Management-Systems) hängt daher maßgeblich davon ab, inwieweit es gelingt, die möglichen negativen Folgen, die zum einen der betroffenen Organisation, zum anderen dem Hinweisgeber drohen, zu vermeiden oder jedenfalls abzumildern. Das Spannungsverhältnis zwischen dem Interesse an der Aufdeckung von Rechtsverstößen sowie Missständen in Unternehmen und Behörden einerseits und den zivil-, arbeits- und dienstrechtlichen Pflichten von Hinweisgebern andererseits verstärkt sich bei Meldungen an externe Stellen. Wann in diesem Spannungsverhältnis die Wahrnehmung staatsbürgerlicher Pflichten die Verschwiegenheits- und Loyalitätspflicht gegenüber dem Arbeitgeber oder dem Dienstherrn überwiegt und damit eine Offenbarung von Missständen rechtfertigt, war gesetzlich bislang nicht ausdrücklich geregelt.
11
In seiner Grundsatzentscheidung im Fall Heinisch hat sich der Europäische Gerichtshof für Menschenrechte (EGMR) mit dem Schutz von Hinweisgebern befasst und Kriterien für die Abwägung zwischen Arbeitgeber- und Arbeitnehmerinteressen festgestellt.[6] 2003 hatte eine Pflegerin in einem Berliner Pflegeheim mehrfach Personalnotstand und unhaltbare Pflegezustände zunächst bei ihrem Arbeitgeber, dann bei der übergeordneten Heimaufsicht angezeigt. Diese stellte gravierende Pflegemängel fest. Da der Arbeitgeber keine Maßnahmen ergriff, um die Mängel abzustellen, erstattete die Pflegerin Strafanzeige gegen die verantwortlichen Personen wegen Betrugs. Die Staatsanwaltschaft stellte das Verfahren ein und der Pflegerin wurde von ihrem Arbeitgeber gekündigt. Die Kündigung hielt einer arbeitsgerichtlichen Prüfung stand. Im Juli 2011 urteilte der EGMR, dass die von den deutschen Gerichten bestätigte Kündigung eine Verletzung von Artikel 10 (Freiheit der Meinungsäußerung) der Europäischen Menschenrechtskonvention (EMRK) darstelle. Der EGMR bestätigte dabei die Pflicht des Arbeitnehmers zu Loyalität, Zurückhaltung und Vertraulichkeit gegenüber seinem Arbeitgeber und bezeichnete den Gang an die Öffentlichkeit als „letztes Mittel“. Im Rahmen der Verhältnismäßigkeitsprüfung seien unter anderem das öffentliche Interesse an der Information, deren Wahrheitsgehalt, Handlungsalternativen des Arbeitnehmers, aber auch die Gründe.[7] Die Umstände dieses Falles, die vorausgegangenen erfolglosen internen Meldungen, die Reaktion des Arbeitgebers und die Dauer des Verfahrens zeigen beispielhaft, wie notwendig klare gesetzliche Regelungen für hinweisgebende Personen sind.
12
Die Vorgaben des EGMR im Fall Heinisch zum Schutz von Hinweisgebern wurden zwar seitdem in der deutschen Zivil- und Arbeitsgerichtsbarkeit im Wesentlichen übernommen.[8] Es verblieben für Hinweisgeber aufgrund der Einzelfallbezogenheit der Entscheidungen aber nicht unerhebliche rechtliche Risiken, wenn sie einen Missstand aufdecken wollten. Durch die Umsetzung europarechtlicher Vorgaben für einzelne Sektoren – speziell im Bereich der Finanzdienstleistungen – wurden diese Risiken in den vergangenen Jahren bereits etwas abgemildert.[9] Zudem verbreitete sich in jüngster Zeit auch auf internationaler Ebene der Konsens, dass Hinweisgeber einen effektiven gesetzlichen Schutz benötigen, um vor allem der Korruption Einhalt zu gebieten.
Anmerkungen
[1]
Dilling CCZ 2019, 214 unter Hinweis auf die Begründung des Vorschlags der Europäischen Kommission für eine Richtlinie des europäischen Parlaments und des Rates zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden v. 23.4.2018, 2018/0106 (COD), S. 3.
[2]
Vgl. nur Veljović CB 2019, 475, 477.
[3]
Veljović CB 2019, 475, 477 f.
[4]
Vgl. hierzu bereits Berndt/Hoppler BB 2005, 2623, 2628.
[5]
Näher zur Soziologie von Hinweisgebersystemen etwa Veljović CB 2019, 475.
[6]
EGMR Urteil vom 21.7.2011 – 28274/08 (Heinisch/Deutschland), NZA 2011, 1269.
[7]
EGMR NZA 2011, 1269, 1271 ff.
[8]
Vgl. etwa BAG NZA 2012, 317, 320; NZA 2015, 245, 251; LAG Berlin-Brandenburg BeckRS 2014, 74315; LAG Düsseldorf BeckRS 2016, 68431; LAG Hamm BeckRS 2013, 69437; LAG Köln BeckRS 2012, 75713; LAG Rheinland-Pfalz BeckRS 2016, 112640; LAG Schleswig-Holstein BeckRS 2012, 68879; OLG Frankfurt NJW 2014, 3376.
[9]
Vgl. dazu die Einzelheiten im 3. Kap. Rn. 158 ff.
1. Kapitel Einführung › III. EU-Hinweisgeberrichtlinie und Hinweisgeberschutzgesetz
III. EU-Hinweisgeberrichtlinie und Hinweisgeberschutzgesetz
13
Vor diesem Hintergrund hat die Kommission am 23.04.2018 ihren „Vorschlag für eine Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ veröffentlicht. Ziel des Vorschlages war eine Mindestharmonisierung des Schutzes von hinweisgebenden Personen durch eine horizontale Richtlinie mit einem weiten Anwendungsbereich.[1] Erreicht werden sollte eine bessere Rechtsdurchsetzung in der EU sowie ein europaweit geltendes einheitliches hohes Schutzniveau für Hinweisgeber durch eine gesetzgeberische Ausgestaltung des durch den EGMR herausgearbeiteten Grundrechtsschutzes. Der Richtlinienvorschlag wurde von einer Mitteilung flankiert, die weitere Empfehlungen zum Schutz von Hinweisgebern auf EU-Ebene und durch die Mitgliedstaaten enthält.[2] Darin beschreibt die Kommission verschiedene Maßnahmen auf EU-Ebene zum Schutz von Hinweisgebern wie den Schutz von Journalisten, die Förderung des Schutzes von Hinweisgebern im Bereich der Korruptionsbekämpfung sowie die aktive Rolle des europäischen Bürgerbeauftragten beim Schutz von Hinweisgebern.
14
Die im Amtsblatt der EU vom 26.11.2019 veröffentlichte und am 16.12.2019 in Kraft getrete EU-Hinweisgeberrichtlinie sieht die Einführung von Hinweisgebersystemen (nur) für die Meldung von Verstößen gegen das Unionsrecht vor und enthält neben Vorgaben zur grundsätzlichen Regelung des einzuführenden Systems vor allem umzusetzende Bestimmungen zum Schutz von Hinweisgebern. Ab dem Zeitpunkt des Inkrafttretens des nationalen Gesetzes werden Unternehmen mit mindestens 250 Mitarbeitern sofort oder bei 50 bis 249 Mitarbeitern bis spätestens 17.12.2023 verpflichtet sein, ein Hinweisgebersystem einzurichten. Mit der EU-Hinweisgeberrichtlinie werden rechtliche Rahmenbedingungen und EU-weit gemeinsame Mindeststandards geschaffen, die es den Wissensträgern erlauben sollen, Hinweise zu geben, ohne dafür persönliche und wirtschaftliche Nachteile erleiden zu müssen. Ein wesentliches Anliegen der Richtlinie besteht dabei im Schutz des Hinweisgebers vor Repressalien. Diese werden in Art. 6 Ziff. 11 EU-Hinweisgeberrichtlinie definiert als direkte oder indirekte Handlungen oder Unterlassungen in einem beruflichen Kontext, die durch eine interne oder externe Meldung oder eine Offenlegung ausgelöst werden und durch die dem Hinweisgeber ein ungerechtfertigter Nachteil entsteht oder entstehen kann. Dementsprechend muss der Hinweis kausal für die Repressalie sein.[3] Entsprechende Repressalien werden in Art. 19 EU-Hinweisgeberrichtlinie untersagt und nicht abschließend aufgezählt.
15
Flankierend dazu sind in der EU-Hinweisgeberrichtlinie Vorgaben für unterstützende Maßnahmen (Art. 20) sowie Maßnahmen zum Schutz vor Repressalien (Art. 21) enthalten. Zu den Unterstützungsmaßnahmen insbesondere ein einfacher und kostenloser Zugang zu umfassender sowie unabhängiger Information und Beratung über die verfügbaren Abhilfemöglichkeiten und Verfahren gegen Repressalien.[4] Dem praxisrelevanten Umstand, dass etwaige Repressalien gegenüber Hinweisgebern jedenfalls nicht offenkundig aufgrund eines Hinweises erfolgen, sondern für eine insoweit nachteilhafte Behandlung andere – oftmals nur vermeintlich bestehende – Gründe bemüht werden, soll durch eine in Art. 21 Abs. 5 EU-Hinweisgeberrichtlinie vorgesehene weitreichende prozessuale Beweislastumkehr Rechnung getragen werden. Danach wird in Verfahren vor einem Gericht oder einer anderen Behörde, die sich auf eine vom Hinweisgeber erlittene Benachteiligung beziehen und in denen der Hinweisgeber geltend macht, diese Benachteiligung infolge seiner Meldung oder der Offenlegung erlitten zu haben, vermutet, dass die Benachteiligung eine Repressalie für die Meldung oder Offenlegung war. In diesen Fällen obliegt es der Person, welche die benachteiligende Maßnahme ergriffen hat, zu beweisen, dass diese Maßnahme auf hinreichend gerechtfertigten Gründen basierte.[5]
16
In Deutschland hat das Bundesministerium der Justiz und für Verbraucherschutz (BMJV) im November 2020 den Entwurf eines Gesetzes für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden („Hinweisgeberschutzgesetz“ – HinSchG-E) fertig gestellt und zur Abstimmung an die anderen Ressorts versandt.[6] Mit dem HinSchG-E soll der bislang lückenhafte und unzureichende Schutz von Hinweisgebern ausgebaut und zugleich die Vorgaben der EU-Hinweisgeberrichtlinie in nationales Recht umgesetzt werden. Neben der Einführung des HinSchG-E als Kernstück erfordert die Umsetzung der EU-Hinweisgeberrichtlinie Anpassungen im Bundesbeamtengesetz sowie Beamtenrechtsrahmengesetz, um die obligatorische Einbeziehung der Beamten in den persönlichen Anwendungsbereich des Gesetzes sicherzustellen. Das HinSchG-E gliedert sich in Regelungen zum Anwendungsbereich (§§ 1 und 2 HinSchG-E), zum Verhältnis zu sonstigem geltenden Recht (§§ 4–6 HinSchG-E), zu internen und externen Meldesystemen (§§ 7–30 HinSchG-E), zur Offenlegung (§ 31 HinSchG-E), zu Schutzmaßnahmen (§§ 32–38 HinSchG-E) sowie zu Sanktionen (§ 39 HinSchG-E).
17
Hervorgehoben werden soll an dieser Stelle die in § 4 Abs. 1 HinSchG-E enthaltene Aufzählung bereits bestehender Meldesysteme für Verstöße, die unionsrechtlich vorgegeben wurden und entweder unmittelbar gelten oder bereits für bestimmte Sektoren in nationales Recht umgesetzt wurden. Diese bereits eingerichteten Meldesysteme sollen durch das neue horizontale Instrument nicht abgeschafft werden, sondern mit ihrer jeweiligen Sonderzuständigkeit weiterhin bestehen bleiben. Neben diesen Systemen soll auch keine zusätzliche neue Zuständigkeit für bereits erfasste Sachverhalte eingerichtet werden. Soweit bereits ein Meldesystem greift, auf das § 4 Abs. 1 HinSchG-E verweist, geht dieses vor und das HinSchG soll nicht angewendet werden.[7] Ungeachtet dessen wurde der sachliche Anwendungsbereich des HinSchG-E zur Vermeidung von Wertungswidersprüchen und zur Schaffung von praktikablen Regelungen die in der EU-Hinweisgeberrichtlinie angelegten Rechtsbereiche in begrenztem Umfang auf nationales, korrespondierendes Recht ausgeweitet. Dabei wurden insbesondere das Strafrecht und das Recht der Ordnungswidrigkeiten einbezogen.[8]
18
Die EU-Hinweisgeberrichtlinie verfolgt nicht nur das Ziel, die Hinweisgeber sondern auch die von den Hinweisen betroffenen Personen zu schützen. Dabei hat ein Hinweisgeber Anspruch auf Schutz im Rahmen der EU-Hinweisgeberrichtlinie, wenn er „hinreichenden Grund zu der Annahme hat, dass die von ihm gemeldeten Informationen zum Zeitpunkt ihrer Übermittlung der Wahrheit entsprachen und in den Anwendungsbereich dieser Richtlinie fallen“.[9] Schutzbedürftig sollen also nur gutgläubige Hinweisgeber sein.[10] Dementsprechend sind Personen, die wissentlich falsche oder irreführende Informationen melden, nicht vom Schutzbereich der Richtlinie erfasst. Der Missbrauch von Hinweisgebersystemen kann vielmehr straf- und zivilrechtliche Sanktionen nach sich ziehen.[11] Dies ist natürlich keine Besonderheit der EU-Hinweisgeberrichtlinie, sondern ist auch schon bislang geltendes nationales Recht. Die Meldung oder Offenlegung wissentlich falscher Informationen durch hinweisgebende Personen wird durch das HinSchG-E nicht durch eine Neuregelung von Sanktionen (vgl. § 39 HinSchG-E) zusätzlich mit einer Geldbuße belegt. Zwar ist eine Sanktionierung wichtig, um Denunziantentum und das leichtfertige Weitertragen ungeprüfter Informationen zu verhindern. Allerdings genügen die Rechtsinstrumente des geltenden Rechts. Hierzu zählen neben den allgemeinen Schadensersatzvorschriften auch eine mögliche Strafbarkeit (Vortäuschen einer Straftat nach § 145d StGB, falsche Verdächtigung nach § 164 StGB sowie Verleumdung nach § 187 StGB).[12] Nach § 37 HinSchG-E ist die hinweisgebende Person zum Ersatz des Schadens verpflichtet, der aus einer vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen entstanden ist. In diesem Zusammenhang ist insbesondere die Frage angesprochen, ob und inwieweit es in der Praxis überhaupt zu einem Missbrauch von Hinweisgebersystemen kommt.
Anmerkungen
[1]
KOM (2018) 218 endgültig.
[2]
KOM (2018) 214 endgültig.
[3]
Vgl. auch Erwägungsgrund Nr. 44 der EU-Hinweisgeberrichtlinie.
[4]
Vgl. Art. 20 Abs. 1 lit a) EU-Hinweisgeberrichtlinie.
[5]
Vgl. ausführlich zur Beweislastumkehr etwa Johnson CCZ 2019, 66.
[6]
Referentenentwurf, Bearbeitungsstand 26.11.2020.
[7]
Begründung Referentenentwurf (Stand: 26.11.2020), S. 30.
[8]
Vgl. hierzu Begründung Referentenentwurf (Stand: 26.11.2020), S. 30.
[9]
Art. 6 Abs. 1 lit. a) der EU-Hinweisgeberrichtlinie.
[10]
Siehe hierzu auch Erwägungsgrund Nr. 32 der EU-Hinweisgeberrichtlinie.
[11]
Vgl. Art. 23 Abs. 2 der EU-Hinweisgeberrichtlinie.
[12]
Begründung Referentenentwurf (Stand: 26.11.2020), S. 31. Siehe Rn. 3.
1. Kapitel Einführung › IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung
IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung
1. Kapitel Einführung › IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung › 1. Einleitung
1. Einleitung
19
Mit der Verabschiedung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden[1] („EU-Hinweisgeberrichtlinie“) ist die Einführung von Hinweisgebersystemen auf europäischer Ebene neu geregelt worden. In diesem Zusammenhang ist erneut und auch zu Recht auf die mannigfachen Vorteile derartiger Systeme hingewiesen worden.
20
Diskutiert man das Thema in der betrieblichen Praxis, so stößt man dennoch häufig auf eine Reaktion, die sich umschreiben lässt mit „der Verstand sagt ja, der Bauch sagt nein“. Dieses Bauchgefühl resultiert aus einem einzigen Sachverhalt: das System, so die Befürchtung, kann missbraucht werden. Hinweise könnten wissentlich falsch abgegeben und Personen zu Unrecht beschuldigt werden. Und in der Tat kommt es leider vor, dass, aus welchen Gründen auch immer, bewusst falsche Meldungen abgegeben werden (was übrigens selbst einen schwerwiegenden Compliance-Verstoß darstellt). Aber die grundlegende Frage bleibt, ob es sich hierbei um beklagenswerte Einzelfälle handelt oder ob der Missbrauch von Hinweisgebersystemen nicht doch in einem größeren Umfang stattfindet. Diese Fragestellung gewinnt zusätzliche Relevanz, sobald die Möglichkeit einer anonymen Meldung oder einer Meldung durch externe Dritte besteht.
21
Umso erstaunlicher ist es, dass es hierzu bisher kaum belastbare neutrale Untersuchungen gibt. Allein die Anbieter von Internet-basierten Meldesystemen haben bei ihren jeweiligen Kunden Ergebnisse erhoben,[2] jedoch mit unterschiedlichem Rahmen und unterschiedlichem Untersuchungsdesign. Doch nur durch gesicherte empirische Erkenntnisse kann das vorhandene Misstrauen gegenüber Hinweisgebersystemen beseitigt werden. Daher wurde im Rahmen einer Masterarbeit an der TU Dresden diese Fragestellung aufgegriffen. Die durchgeführte Umfrage wurde von 43 Unternehmen beantwortet, deren Größenverteilung nach Anzahl der Mitarbeiter aus Abb. 1 unter Rn. 34 ersichtlich ist. Aus den Antworten lassen sich Kernthesen ableiten, die im nächsten Abschnitt vorgestellt und begründet werden. Es folgt ein weiterer Abschnitt mit den Untersuchungsergebnissen im Detail.
Anmerkungen
[1]
Richtlinie des Europäischen Parlaments und des Rates v. 23.10.2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, ABlEU Nr. L 305/17 v. 26.11.2019.
[2]
Siehe etwa BKMS Benchmarking Report (nur Untersuchungsteilnehmern zugänglich) und Hauser/Hergovits/Blumer EQS HTW Chur Whistleblowingreport 2019.
1. Kapitel Einführung › IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung › 2. Die Kernthesen
2. Die Kernthesen
22
Die wichtigsten Auswertungsergebnisse der Antworten der 43 Unternehmen lassen sich in drei Kernthesen (KT1 bis KT3) zusammenfassen.
23
Dabei beziehen sich alle nachfolgend aufgeführten Prozentsätze ausschließlich auf Compliance-relevante Hinweise, bei denen also aufgrund des eingegangenen Hinweises im Case-Management ein Fall eröffnet worden ist. Mit anderen Worten: die Grundgesamtheit der hier betrachteten Hinweise ist um fehlgeleitete Hinweise (z.B. Kundenbeschwerden) und fehlerhafte Hinweise (z.B. vollkommen unspezifisch oder offensichtlich unsinnig) bereinigt.
24
Diese Compliance-relevanten Hinweise werden dann kategorisiert in
| – | kein Missbrauch, |
| – | eventuell Missbrauch und |
| – | definitiv Missbrauch. |
25
In die Kategorie „eventuell Missbrauch“ fallen Hinweise, bei denen am Ende der Untersuchung zur Aufklärung des Sachverhalts ein Missbrauch nicht nachgewiesen, aber auch nicht ausgeschlossen werden kann.
26
Das Untersuchungsdesign erlaubt die Auswertung getrennt nach anonymen und nicht-anonymen Hinweisen, nach Unternehmensgröße, nach Branche des Unternehmens und nach der Möglichkeit, ob auch Unternehmensexterne Hinweise abgeben können.
a) KT1: Fast 90 % aller Hinweise werden in guter Absicht abgegeben
27
Bei 84 % der Hinweise liegt nach Aussage der teilnehmenden Unternehmen mit Sicherheit kein Missbrauch vor. Hinzu kommt der nicht exakt zu bestimmende Anteil der rund 6 % der Hinweise, die eventuell Missbrauch darstellen.
28
Umgekehrt lässt sich somit feststellen, dass mindestens 10 % der Hinweise in missbräuchlicher Absicht abgegeben werden.
29
Während die fast 90 % in guter Absicht gegebenen Hinweise eindrucksvoll die Berechtigung und Bedeutung von Hinweisgebersystemen unterstreichen, verdeutlichen die verbleibenden (mindestens) 10 % die Notwendigkeit eines professionellen Case-Managements. Wenn jeder zehnte Hinweis bewusst falsch abgegeben wird und wenn darüber hinaus Hinweise zwar in guter Absicht abgegeben werden, aber trotzdem faktisch falsch sein können, dann müssen die in den Hinweisen ggf. beschuldigten Personen bis zum Beweis des Gegenteils zwingend als unschuldig gelten und müssen durch größtmögliche Vertraulichkeit in der Phase der Ermittlungen besonders geschützt werden. Falls beschuldigte, aber unschuldige Personen im Zuge von Aktivitäten zur Aufklärung abgegebener Hinweise Schaden nehmen, entsteht ein fast irreparabler Schaden für das Instrument des Hinweisgebersystems.
b) KT2: Der Prozentsatz missbräuchlicher Meldungen ist unabhängig davon, ob der Hinweis anonym abgegeben worden ist oder nicht
30
Sowohl bei anonymer als auch bei nicht-anonymer Hinweisabgabe liegt der Prozentsatz nicht missbräuchlich abgegebener Hinweise bei 84 %. Bei anonymen (nicht anonymen) Hinweisen liegt in 9 % (11 %) der Fälle definitiv Missbrauch vor, in 7 % (5 %) der Fälle eventuell (vgl. Abb. 2 und 3 unter Rn. 35 f.).
31
Das oft vorhandene intuitive Gefühl, dass bei anonymen Hinweisen häufiger Missbrauch vorliegt, hat die Studie nicht bestätigt.[1] Ein oftmals vorgetragenes Argument gegen die anonyme Hinweisabgabe ist somit nicht stichhaltig. Eine offene Hinweisabgabe als bevorzugte Alternative ist unbestritten, aber die Vorteile der Anonymität als „Ultima Ratio“ (niedrigere Hemmschwelle, höhere Anzahl an Meldungen) überwiegen deutlich die Nachteile (evtl. kulturelle Aspekte). Wenngleich im HinSchG-E keine Pflicht zur Nachverfolgung anonymer Meldungen vorgesehen ist,[2] kann auf der Basis der vorliegenden empirischen Ergebnisse den Unternehmen und Dienststellen nur angeraten werden, im eigenen Interesse auch anonymen Hinweisen nachzugehen und so das diesen inhärente Erkenntnispotenzial zu nutzen.
c) KT3: Die Öffnung des Hinweisgebersystems für Externe führt nicht zu einer Erhöhung missbräuchlicher Meldungen
32
Wird das Hinweisgebersystem für Externe, also z.B. für Kunden und Lieferanten, geöffnet, steigt der Anteil eindeutig nicht-missbräuchlicher anonymer und nicht-anonymer Meldungen im Mittel von 80 % auf 85 % (vgl. Abbildungen 4-7 unter Rn. 37 ff.).
33
Zusätzlich sinkt mit der Systemöffnung deutlich (-9 %) der Prozentsatz der Hinweise, bei denen eventuell Missbrauch vorliegt, während der Prozentsatz definitiv missbräuchlicher Meldungen im Mittel um 4 % steigt. Allerdings sind es nur sechs Unternehmen, die externe Hinweisabgabe nicht zulassen. Die empirische Basis ist somit nur durchschnittlich. Die Kernthese, dass die Öffnung des Systems für Externe nicht zu einer Erhöhung missbräuchlicher Meldungen führt, erscheint jedoch gerechtfertigt.
Anmerkungen
[1]
In diesem Sinne auch Hauser/Hergovits/Blumer EQS HTW Chur Whistleblowingreport 2019, S. 58.
[2]
Vgl. hierzu § 16 und 26 Abs. 1 S. 2 HinSchG-E sowie die Begründung Referentenentwurf (Stand: 26.11.2020), S. 29: „Verpflichtende Vorgaben für den Umgang mit anonymen Hinweisen sieht die HinSch-RL nicht vor. Weder interne noch externe Meldestellen sind verpflichtet, technische Mittel oder Verfahren für anonyme Meldungen vorzuhalten.“ Siehe auch Begründung Referentenentwurf (Stand: 26.11.2020), S. 31 f.: „Um das neue Hinweisgeberschutzsystem nicht zu überlasten und erste Erfahrungen sowohl interner wie auch externer Meldestellen abzuwarten, ist keine Pflicht zur Bearbeitung anonymer Hinweise vorgesehen. Denn damit einhergehen würden nicht nur zusätzliche Kosten für die notwendigen technischen Vorrichtungen, sondern auch die Gefahr von denunzierenden Meldungen und einer Überlastung der Meldestellen. Gleichwohl fallen anonyme Hinweisgeberinnen und Hinweisgeber unter die Schutzbestimmungen, wenn ihre zunächst verdeckte Identität bekannt wird (vergleiche § 27 Absatz 1 Satz 2 HinSchG-E).“
1. Kapitel Einführung › IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung › 3. Untersuchungsergebnisse im Detail
3. Untersuchungsergebnisse im Detail
34
Abb. 1
[Bild vergrößern]
35
Abb. 2
[Bild vergrößern]
36
Abb. 3
[Bild vergrößern]
37
Abb. 4
[Bild vergrößern]
38
Abb. 5
[Bild vergrößern]
39
Abb. 6
[Bild vergrößern]
40
Abb. 7
[Bild vergrößern]
2. Kapitel Grundprinzipien eines Compliance Management Systems
Inhaltsverzeichnis
I. Grundlagen
II. Der Weg zu einem effektiven Compliance Management System
2. Kapitel Grundprinzipien eines Compliance Management Systems › I. Grundlagen
I. Grundlagen
41
Es ist inzwischen anerkannt, dass ein Hinweisgebersystem wesentlicher Bestandteil eines effektiven Compliance Management Systems (CMS) ist.[1] Die Bedeutung von effektiven Compliance-Strukturen in Unternehmen hat in den vergangenen Jahren stetig zugenommen. Vor diesem Hintergrund werden in diesem Kapitel mögliche Schritte auf dem Weg zu einem effektiven CMS dargestellt. Hierzu werden in einem Überblick insbesondere die nationalen und internationalen Vorgaben sowie die organisatorischen Grundlagen der Compliance erläutert. Im Anschluss daran erfolgt eine ausführliche Darstellung der Elemente, die bei der Umsetzung von Compliance-Strategien in der Praxis eine wesentliche Rolle einnehmen.
Anmerkungen
[1]
Vgl. nur Maume/Haffke ZIP 2016, 199, 201; Veljović CB 2019, 475, 477 f.
2. Kapitel Grundprinzipien eines Compliance Management Systems › I. Grundlagen › 1. Ziele
1. Ziele
42
Die primäre Funktion eines CMS ist es, Fehlverhalten im Unternehmen und aus dem Unternehmen heraus zu verhindern. Quasi als Reflex führt ein effektives CMS auch dazu, dass sich zum Beispiel die zuständigen Abteilungen auf die Qualität der Produkte und Dienstleistungen besinnen und diese kontinuierlich weiterentwickeln, um durch Qualität und Preis und nicht durch unlautere Praktiken im Markt zu bestehen. Auch eine positive Änderung der Unternehmenskultur ist spürbar, wenn ein wirksames Compliance Management System im Unternehmen implementiert ist.
43
Mit Blick auf die rechtlichen Risiken führt ein effektives CMS primär dazu, dass die Haftungsrisiken des Unternehmens, der Geschäftsleitung und auch der Mitarbeiter deutlich reduziert sind.
2. Kapitel Grundprinzipien eines Compliance Management Systems › I. Grundlagen › 2. Rechtsgrundlagen im deutschen Recht
2. Rechtsgrundlagen im deutschen Recht
44
In Deutschland werden seit jeher dogmatische Diskussionen darüber geführt, welche gesetzlichen Grundlagen bestehen, die deutsche Unternehmen verpflichten, ein CMS einzuführen. Sowohl im Gesellschaftsrecht, als auch im Straf- und Ordnungswidrigkeitenrecht, finden sich Rechtsgrundlagen für unterschiedliche Rechtsformen, Industrien oder Rechtsgebiete. Diese verpflichten die Unternehmen, im Rahmen des jeweiligen Anwendungsbereichs der Normen, ein Compliance Management System einzuführen. Beispielhaft seien die folgenden Vorschriften aufgelistet:
| – | § 91 Abs. 2 AktG, |
| – | §§ 30, 130 OWiG, |
| – | § 12 Abs. 1 S. 2 AGG, |
| – | § 25a Abs. 1 S. 1 KWG. |
45
Auch der aktuelle Entwurf eines Verbandssanktionengesetzes enthält keine konkreten Vorgaben zu der Einführung und den Bestandteilen eines CMS. Da das Vorhandensein eines effektiven CMS aber nach diesem neuen Konzept dazu führen kann, dass eine Haftung des Unternehmens und der Geschäftsführung nicht eintritt oder das CMS jedenfalls bei der Zumessung der Sanktionshöhe einen positiven Effekt hat, besteht eine gewisse Obliegenheit, ein CMS einzuführen.[1]
46
Für die überwiegende Anzahl der Unternehmen, nämlich all diejenigen Unternehmen, die international tätig sind, ist die dogmatische Suche nach der richtigen Rechtsgrundlage in der Praxis irrelevant. In zahlreichen Ländern bestehen allgemeine Voraussetzungen, die ein CMS erfüllen muss. Gleiches gilt für bestimmte Industrien oder Rechtsgebiete. Operieren Unternehmen in diesen Märkten oder Industrien, müssen sie unausweichlich diese Vorgaben befolgen, um die Haftungsrisiken so gering wie möglich zu halten. Im nachfolgenden Abschnitt stellen wir einige dieser internationalen Regelungen und Vorgaben vor.
47
Aus der Gesamtschau der lokalen und internationalen Vorgaben folgt, dass Unternehmen ab einer gewissen Größe und internationalen Ausrichtung ihres Geschäfts verpflichtet sind, ein adäquates CMS zu implementieren.[2] Das CMS darf an die Umstände des jeweiligen Unternehmens angepasst sein. Der Umsatz, die internationale Ausbreitung, die Industrie, das Marktumfeld, die Kundenlandschaft oder der Umfang der Datennutzung sind relevante Faktoren, die eine Rolle dabei spielen, wie das Compliance Management System in den einzelnen Rechtsbereichen ausgestaltet sein sollte.[3]
Anmerkungen
[1]
Vgl. Behr/Guttenberger DB 2020, 1218, 1221.
[2]
Vgl. dazu auch LG München I (Neubürger) NZWiSt 2014, 183, 187.
[3]
Withus/Hein CCZ 2011, 125, 131.
2. Kapitel Grundprinzipien eines Compliance Management Systems › I. Grundlagen › 3. Internationale Vorgaben und Ansätze zum Aufbau eines Compliance Management Systems
3. Internationale Vorgaben und Ansätze zum Aufbau eines Compliance Management Systems
48
International gibt es einige Standards, die Hilfestellungen dabei bieten können, wie ein CMS ausgestaltet sein sollte. ISO 19600 (künftig ISO 37301)[1] sowie der IDW PS 980 sind die bekanntesten Standards. Sie geben einen groben Rahmen vor, den das jeweilige Unternehmen für die unterschiedlichen Rechtsbereiche beachten muss.
49
Für einzelne Rechtsgebiete stehen darüber hinaus teils weitere internationale Standards und Vorgaben zur Verfügung. Auch wenn diese Standards möglicherweise keine rechtsverbindliche Wirkung entfalten, können sie dennoch hilfreich sein, den richtigen Maßstab für ein angemessenes CMS zu bestimmen.
50
Die aktuell relevantesten Rechtsgebiete, die im Fokus von CMS stehen, sind allgemein Anti-Korruption, das Kartellrecht, Geldwäsche, das Außenwirtschaftsrecht und Datenschutz. Die meisten CMS sehen zudem Regelungen zu Interessenkonflikten vor. Hierbei handelt es sich zwar nicht um ein eigenes Rechtsgebiet und häufig stellen Verstöße gegen die entsprechenden Vorgaben keine Verstöße gegen Gesetzesrecht dar. Dennoch ist der Umgang mit Interessenkonflikten ein wichtiger Gradmesser für die Compliance-Kultur in einem Unternehmen.
a) Internationale Standards zur Korruptionsbekämpfung
51
Besonders im Bereich der Korruptionsbekämpfung haben diverse Länder internationale Organisationsstandards veröffentlicht, die für Unternehmen hilfreiche Hinweise enthalten, wie ein Compliance Management System zur Korruptionsbekämpfung ausgestaltet sein sollte.
aa) US Foreign Corrupt Practices, DOJ- und SEC-Vorgaben, sowie Sentencing Guidelines
52
Aus den Vorgaben rund um den US Foreign Corrupt Practices Act („FCPA“) können Unternehmen eine Vielzahl von wertvollen Vorgaben ableiten, wie ein CMS ausgestaltet sein sollte.[2] Zum einen enthalten die veröffentlichten Entscheidungen der US-Behörden zahlreiche Hinweise, welche Schwachstellen in CMS bestehen können und wie diese nach Vorstellung der US-Behörden geschlossen werden sollten. Zum anderen veröffentlichen die US-Behörden, allen voran das US Justizministerium („DOJ“), sowie die US Börsenaufsicht („SEC“), regelmäßig überarbeitete Stellungnahmen zu CMS. Zuletzt gab das DOJ am 1.6.2020 eine adaptierte Richtlinie zur Bewertung von Compliance-Programmen heraus, welche die Versionen aus den Jahren 2017 und 2019 ersetzt.[3] Die Leitlinie beinhaltet die Erwartungen und Standards, die US-amerikanische Staatsanwälte bei der Bewertung eines Compliance-Programms während einer Untersuchung anwenden. Nur ein Monat später wurde gemeinsam mit der SEC Anfang Juli 2020 auch der Leitfaden zum FCPA[4] neu herausgegeben.
53
Diese Vorgaben bieten aufgrund ihres Detailreichtums und ihrer Transparenz wichtige Hinweise, wie ein CMS zur Korruptionsbekämpfung ausgestaltet sein sollte. Zu berücksichtigen ist hier allerdings der Schwerpunkt des FCPA. Dieser ist primär darauf ausgerichtet, Bestechung von (aus US-Sicht) ausländischen Amtsträgern und damit zusammenhängende Buchhaltungsverstöße zu verhindern.[5] Für die Bestechung im geschäftlichen Verkehr sind die Hinweise nur indirekt anwendbar. Gleiches gilt für die Bestechlichkeit der eigenen Mitarbeiter.
54
Der FCPA enthält selbst keine Pflicht zur Einführung eines Hinweisgebersystems. Der FCPA Resource Guide 2020 vom DOJ und der SEC erachtet ein Hinweisgebersystem aber als einen wesentlichen Bestandteil eines CMS.[6]
bb) UK Bribery Act und adequate procedures
55
Der UK Bribery Act („UKBA“) ist mittlerweile seit zehn Jahren in Kraft und hat sich zu einem der primären internationalen Standards für die Korruptionsbekämpfung entwickelt. Der UKBA verbietet umfassend Bestechung von ausländischen und inländischen Amtsträgern, sowie Bestechung im geschäftlichen Verkehr. Er enthält eine Haftung des Unternehmens, wenn es zu Korruption aus dem Unternehmen heraus gekommen ist. Das Unternehmen kann sich exkulpieren, wenn es nachweisen kann, dass es sogenannte „adequate procedures“, also angemessene Sicherungsvorkehrungen implementiert hatte, um Fehlverhalten vorzubeugen.[7] Die entsprechenden Leitfäden enthalten eine Vielzahl von Vorgaben, wie aus Sicht der britischen Behörden ein Compliance Management System zur Korruptionsbekämpfung ausgestaltet sein sollte.[8]
56
Der Leitfaden des Justizministeriums sieht ebenfalls vor, dass die Geschäftsführung dafür Sorge trägt, dass Unternehmen ein Hinweisgebersystem implementieren.[9]
cc) Sapin II
57
Der französische Sapin II ist seit dem 8.11.2016 in Kraft. Sapin II ist ein spezifisches Anti-Korruptionsgesetz. Es gilt für Unternehmen mit mehr als 500 Mitarbeitern oder einem Gesamtumsatz von 100 Mio. EUR pro Jahr.[10] Es enthält diverse Vorgaben für das Compliance Management System der betroffenen Unternehmen. Dieses muss jedenfalls folgende Elemente enthalten: (i) einen Code of Conduct, (ii) interne Hinweisgebermechanismen, (iii) Risikoanalysen, (iv) Prüfprozesse von Drittparteien (v) Buchhaltungskontrollen, (vi) Compliance Schulungen, (vii) Vorgaben zu arbeitsrechtlichen Maßnahmen bei Fehlverhalten, und (viii) ein internes Kontrollsystem.[11]
dd) ISO 37001
58
Der im Jahr 2016 veröffentlichte, internationale Standard für ein Anti-Korruptions-Compliance Management System ISO 37001 ist kein verpflichtender Standard, sondern ein Leitfaden für Unternehmen. Der Standard enthält dabei Mindestanforderungen für die Korruptionsbekämpfung im Unternehmen. Er kann unabhängig von der Größe, internationalen Ausrichtung oder Industrie des Unternehmens angewendet werden. Es besteht die Möglichkeit für Unternehmen, sich nach diesem Standard zertifizieren zu lassen.
59
In Abschnitt 8.9 enthält der ISO 37001 Vorgaben zu einem Hinweisgebersystem. Dieser sieht vor, dass (i) Mitarbeiter dazu angehalten werden, ehrliche Hinweise auf Korruption zu melden, dass (ii) die Hinweise vertraulich behandelt werden und (iii) anonym abgegeben werden können, (iv) Hinweisgebern keine negativen Konsequenzen drohen und (v) Anlaufstellen für Mitarbeiter zum Umgang mit Verdachtsmomenten geschaffen werden.[12]
ee) Spezielle Vorgaben für Pharma und Medizintechnik
60
Aufgrund des systeminhärenten Kontakts zwischen Pharmaunternehmen oder Medizingeräteherstellern und Ärzten oder Vertretern anderer Heilberufe, haben diverse Verbände ihren Mitgliedern Selbstverpflichtungen auferlegt, damit die besonderen Risiken in der Industrie durch Prozesse und Kontrollen reduziert werden.[13]
61
Auf europäischer Ebene agiert die „European Federation of Pharmaceutical Industries and Associations“ („EFPIA“) als Dachverband der Pharmaindustrie und erarbeitet industrieinterne Kodizes.[14] Der internationale Verband „International Federation of Pharmaceutical Manufacturers & Associations“ („IFPMA“) hat 2019 seinen Code Practice erneuert.[15] In Deutschland hat der „Arzneimittel und Kooperation im Gesundheitswesen e.V.“ einen Verhaltenskodex für seine Mitglieder veröffentlicht.[16]
62
Im Bereich der Medizingerätehersteller hat „MedTech Europe“ einen Code of Ethical Business Principles eingeführt.[17]
63
Die Grundsätze der Kodizes sind vor allem die Transparenz und der Umgang mit Zuwendungen oder Kooperationen mit Personen, die im Gesundheitswesen tätig sind. In vielen Ländern sind diese Personen Amtsträger, sodass besondere Regelungen im Umgang mit diesen Personen bestehen.[18] Welches Risiko diese Beziehungen bergen, verdeutlicht der Umstand, dass die Gesundheitsindustrie in der Historie des FCPA eine der Industrien ist, in der die meisten Untersuchungen wegen Korruptionsverstößen eingeleitet wurden.[19]
b) Internationale Standards im Bereich Kartellrecht
64
Zwar existieren neben den allgemeinen Standards ISO 19600 und IDW PS 980 auch für das Kartellrecht spezielle Leitlinien, diese sind bislang allerdings weniger bekannt als einige der Vorgaben zur Korruptionsbekämpfung.
aa) USA
65
Im Juli 2019 änderten die US-Behörden ihre bisherige Position zu CMS. Zuvor hatten die US-Behörden die Implementierung eines Kartellrechts-Compliance Management Systems im Unternehmen nicht als strafmildernden Faktor angesehen. Ähnlich wie der Evaluation Guide im Bereich Anti-Korruption gibt es nun einen Leitfaden für Staatsanwälte im Bereich des Kartellrechts mit detaillierten Vorgaben, wie sie ein CMS prüfen und dessen Effektivität bewerten sollen.[20]
66
In Abschnitt 7 enthält der Leitfaden diverse Aspekte, die im Hinblick auf ein Hinweisgebersystem überprüft werden sollen.[21]
bb) ICC-Toolkit
67
Von der Internationalen Handelskammer wurde 2013 das Antitrust Compliance Toolkit veröffentlicht.[22] Dabei handelt es sich um eine internationale Leitlinie, die Unternehmen mögliche Instrumente aufzeigt, um ein kartellrechtlich effektives Compliance Management System zu entwickeln. Die Leitlinie verdeutlicht, dass es keine „one-size-fits-all“-Lösungen für Unternehmen geben kann, denn die kartellrechtlichen Compliance-Anforderungen variieren stark nach der Größe des Unternehmens und der Industrie.[23] Dennoch zeigt die Leitlinie, teils anhand von konkreten Case Studies und Registerbeispielen, wie kartellrechtsspezifische Risiken aussehen können, und wie die Unternehmen diesen Risiken begegnen können. Eine wichtige Rolle soll dabei insbesondere die kartellrechtliche Due Diligence spielen. Insgesamt fordert die Leitlinie eine konsequente Berücksichtigung von kartellrechtlichem Know-how in der Gestaltung des CMS.[24]
c) Internationale Standards im Bereich Außenwirtschaftsrecht
68
Für das Außenwirtschaftsrecht wird Compliance unter anderem dann relevant, wenn es darum geht Embargoregelungen zu befolgen, Geschäftspartner mit Sanktionslisten abzugleichen, die auszuführenden Güter zu klassifizieren und möglicherweise erforderliche Ausfuhr- oder Verbringungsgenehmigungen zu erhalten.
69
Im Mai 2019 veröffentlichte das US Office of Foreign Assets Control („OFAC“) Leitlinien für ein CMS mit Fokus auf das Außenwirtschaftsrecht. Ganz ähnlich zu den Vorgaben des DOJ, fordert das OFAC folgende Elemente eine CMS: (1) Verpflichtung der Unternehmensleitung, (2) Risikoanalysen, (3) interne Kontrollen, (4) Prüfungen und Auditierungen sowie (5) Schulungen.[25]
d) Internationale Standards im Bereich Datenschutz
70
Die Relevanz von Datenschutz im Verhältnis zu anderen Rechtsgebieten nimmt aktuell erheblich an Bedeutung zu. Das liegt vor allem auch daran, dass durch die DSGVO und das darin enthaltene Haftungssystem empfindliche Strafen bei Verstößen drohen. Die ersten Folgen waren bereits im Jahr 2019 zu spüren, als zwei Geldbußen in Höhe von 10 Mio. EUR und 14 Mio. EUR für Verstöße im Bereich des mittleren bis unteren Ende des Schwerespektrums verhängt wurden.[26] Ein Nebenaspekt ist das Thema Cyber Security. Schützt ein Unternehmen die Daten seiner Kunden oder Mitarbeiter nicht in ausreichendem Maß, drohen auch hierfür Geldbußen nach der DSGVO.
71
Auch wenn die DSGVO selbst keine ausreichend spezifischen Anforderungen an ein effektives Compliance Management System formuliert, können die Grundsätze der DSGVO mithilfe bestehender IT-spezifischer ISO Normen (insbesondere ISO 27001 und ISO 27005) durchaus konkretisiert werden.[27]
72
Neben den klassischen Maßnahmen, wie beispielsweise der Durchführung von Schulungen und Audits, der Einrichtung von Anlaufstellen und der Implementierung unternehmensinterner Richtlinien, kommt dem Datenschutzbeauftragten als „Compliance-Organisation“ eine zentrale Funktion zu.[28]
Anmerkungen
[1]
Die ISO 19600 Compliance Management Systeme-Leitlinien wurde im Dezember 2014 veröffentlicht. Darin wird beschrieben, wie in einem Unternehmen ein CMS eingeführt, umgesetzt und die Wirksamkeit nachgewiesen werden kann. Aufgrund des Umstandes, dass die ISO 19600 nur als empfehlende Norm konzipiert war (Level-B-Norm), konnte sie zunächst nicht unmittelbar zertifiziert werden. Vor diesem Hintergrund wurde durch die ISO ein Prozess eingeleitet, um die ISO 19600 zu einer zertifizierbaren Norm (Level-A-Norm) weiterzuentwickeln. Dies wird voraussichtlich Anfang 2021 durch die Veröffentlichung der ISO 37301 erfolgen. Die neue ISO 37301 unterscheidet sich inhaltlich nur geringfügig von der bisherigen ISO 19600. Definiert werden die Anforderungen an den Aufbau, die Umsetzung und die Prozesse für Konzept, Umsetzung und Wirksamkeitskontrolle eines CMS. Zukünftig haben daher Unternehmen die Möglichkeit, durch eine Zertifizierung nach der ISO 37301 die Umsetzung eines wirksamen CMS nachweisen zu können.
[2]
Vgl. hierzu auch Soyer/Ruhmannseder Handbuch Unternehmensstrafrecht, Rn. 13.14 ff.
[3]
US DOJ, Evaluation of Corporate Compliance Programs, Updated June 2020. Auf: www.justice.gov/criminal-fraud/page/file/937501/download (zuletzt besucht: 11.3.2021).
[4]
US DOJ/US SEC, A Resource Guide to the US Foreign Corrupt Practices Act, Second Edition 2020. Auf www.justice.gov/criminal-fraud/file/1292051/download (zuletzt besucht: 11.3.2021).
[5]
Siegler CCZ 2014, 186, 187.
[6]
US DOJ/US SEC, A Resource Guide to the US Foreign Corrupt Practices Act, Second Edition 2020, Chapter 5, S. 66. Auf: www.justice.gov/criminal-fraud/file/1292051/download (zuletzt besucht: 11.3.2021).
[7]
Vgl. Scheint NJW-Spezial, in: 2011, 440.
[8]
Ministry of Justice, The Bribery Act 2010 Guidance, März 2011. Auf: www.justice.gov.uk/downloads/legislation/bribery-act-2010-guidance.pdf (zuletzt besucht: 11.3.2021).
[9]
The Bribery Act 2010 Guidance, S. 22-23.
[10]
Vgl. Art. 17 des Sapin 2.
[11]
Schumacher/Saby CCZ 2017, 68 f.
[12]
ISO 37001:2016 (E), 8.9 Raising concerns, S. 17 f.
[13]
Vgl. Hauschka/Moosmayer/Lösler/Leipold Corporate Compliance, § 50 Rn. 20.
[14]
Dieners Handbuch Compliance im Gesundheitswesen, J. EFPIA-Kodices, Rn. 54.
[15]
IFPMA, Code of Practice (2019). Auf: www.ifpma.org/wp-content/uploads/2018/09/IFPMA_Code_of_Practice_2019.pdf (zuletzt besucht: 11.3.2021).
[16]
AKG e.V., Verhaltenskodex der Mitglieder des „Arzneimittel und Kooperations im Gesundheitswesen e.V.“, April 2015. Auf: www.ak-gesundheitswesen.de/wp-content/uploads/akg-verhaltenskodex-22-04-2015-blanco.pdf (zuletzt besucht: 11.3.2021).
[17]
MedTech Europe, Code of ethical Business Practice, Dezember 2015. Auf: www.medtecheurope.org/wp-content/uploads/2017/06/2020_mte_medtech-europe-code-of-ethical-business-practice-qa-dg.pdf (zuletzt besucht: 11.03.2021).
[18]
Hauschka/Moosmayer/Lösler/Leipold Corporate Compliance, § 50 Rn. 7.
[19]
Ramb CCZ 2015, 262, 264.
[20]
US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, April 2019.
[21]
US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, April 2019, S. 11.
[22]
ICC The ICC Antitrust Compliance Toolkit, April 2013. Auf: https://cdn.iccwbo.org/content/uploads/sites/3/2013/04/ICC-Antitrust-Compliance-Toolkit-ENGLISH.pdf (zuletzt besucht: 11.03.2021).
[23]
ICC The ICC Antitrust Compliance Toolkit, 3. Risk identification and assessment, S. 16.
[24]
Kasten/Traugott CCZ 2015, 157, 160.
[25]
Department of the Treasury, A Framework for OFAC Compliance Commitments. Auf: https://home.treasury.gov/system/files/126/framework_ofac_cc.pdf (zuletzt besucht: 11.3.2021).
[26]
Vgl. dazu etwa Kehr/Zapp CB 2020, 100.
[27]
Jung ZD 2018, 208, 211.
[28]
Wichtermann ZD 2016, 421, 422.
2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System
II. Der Weg zu einem effektiven Compliance Management System
73
Wie im vorstehenden Kapitel dargestellt, bestehen für die einzelnen Rechtsgebiete unterschiedliche Standards und Vorgaben, wie ein CMS ausgestaltet sein soll. Unternehmen müssen daher wissen, welche Standards sie zwingend zu befolgen haben bzw. welche Standards sie sich als freiwillige Vorgabe auferlegen können. Auch wenn die einzelnen Standards teilweise unterschiedlich aufgebaut sind, so enthalten sie doch im Wesentlichen dieselben Bestandteile. In diesem Kapitel fassen wir kurz zusammen, was die Grundelemente eines CMS sind.
2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 1. Führungskultur und Compliance-Organisation
1. Führungskultur und Compliance-Organisation
74
Vorstände und Geschäftsführer prägen Unternehmen. Das gilt nicht nur für die wirtschaftlichen Entscheidungen, in welche Richtung sich das Unternehmen entwickeln soll. Das gilt vor allem auch für die Art und Weise, wie ein Unternehmen sein Geschäft betreibt. Es liegt in der Macht der Geschäftsführung, die Weichen dafür zu stellen, dass eine solide Zukunftsausrichtung, Integrität und Moral, sowie Nachhaltigkeit des Wirtschaftens das Unternehmen bestimmen werden.[1] Damit ein CMS effektiv sein kann, bedarf es seitens der Geschäftsleitung einer starken und regelmäßigen Kommunikation hin zur Integrität.[2] Damit die Geschäftsleitung aufrichtig und sinnvoll zu Compliance-Themen kommunizieren kann, muss sie zuerst selbst das notwendige Verständnis für diese wichtigen Themen entwickelt haben. Daher gehören regelmäßige Besprechungen zu Compliance-Themen in den Meetings der obersten Führungsebene und auch die regelmäßige Schulung zu Compliance-Themen zu den wesentlichen Bestandteilen eines CMS auf Ebene der Geschäftsleitung.[3] Im zweiten Schritt sollte die Geschäftsleitung regelmäßig im Rahmen von Betriebsversammlungen oder durch andere Kommunikationsmittel unterstreichen, dass sauberes und integres Geschäft zu den wichtigsten Säulen der eigenen Geschäftstätigkeit gehört („tone from the top“).
75
Die primäre Verpflichtung zur Einführung eines effektiven CMS trifft die Geschäftsleitung.[4] Sie darf aber die eigenen Pflichten teilweise delegieren, vor allem im alltäglichen Geschäft. Eine Delegation kann aber nur dann wirksam sein, wenn ausreichend Ressourcen und Befugnisse zur Verfügung stehen. Es gibt allgemein relativ wenig belastbare Zahlen darüber, wie viel Compliance auf eine bestimmte Unternehmensgröße entfallen sollte. Der Pflichtenkatalog einer Compliance-Organisation ist relativ lang. Je nach Industrie oder geographischer Ausbreitung können zusätzliche Pflichten hinzukommen. Die Compliance-Organisation sollte so aufgestellt sein, dass sie diesen Pflichten tatsächlich nachkommen kann und auch bei Ausfällen, etwa durch Krankheit, noch ausreichend Ressourcen zur Verfügung stehen, um den ordentlichen Geschäftsbetrieb der Compliance-Organisation zu gewährleisten. Internationale Standards verlangen auch, dass die Mitglieder der Compliance-Organisation für ihre Tätigkeit angemessen vergütet werden.[5] Die Angemessenheit richtet sich hierbei vor allem nach der Vergütung vergleichbarer Positionen im Konzern.
76
Der letzte Aspekt sind die Berichtslinien.[6] Es muss sichergestellt sein, dass etwa lokale Compliance-Verantwortliche in ausländischen Tochtergesellschaften – jedenfalls auch – direkt an die zentrale Organisation in der Konzernzentrale berichten. Eine zweite, direkte Berichtslinie muss zwischen der zentralen Compliance-Organisation, etwa dem Chief Compliance Officer, und der Geschäftsführung bestehen. Um eine wirksame Delegation zu gewährleisten, sollte sich die Geschäftsführung regelmäßig von der Compliance-Organisation zu den wesentlichen Entwicklungen Bericht erstatten lassen.
Anmerkungen
[1]
US DOJ/US SEC, A Resource Guide to the US Foreign Corrupt Practices Act, Chapter 5, Hallmarks of Effective Compliance Programs, S. 57 ff.; ISO 19600, Chapter 5. Leadership, S. 47-54.
[2]
Auch in: US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, April 2019, I. B. 2. Culture of Compliance, S. 5-6; ISO 37001:2016 (E), 5. Leadership, S. 8-9.
[3]
Vgl. Moosmayer Compliance, Rn. 180.
[4]
Für Deutschland beispielhaft LG München I NZG 2014, 345.
[5]
US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, Juli 2019, I. B. 3. Responsibility for the Compliance Program, S. 6 f.
[6]
Fleischer CCZ 2008, 1, 6; US DJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, Juli 2019, I. B. 3. Responsibility for the Compliance Program, S. 6; Hauschka/Moosmayer/Lösler/Klahold/Lochen Corporate Compliance, § 3 Rn. 52-57.
2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 2. Risikoanalyse
2. Risikoanalyse
77
Die oben genannten internationalen Standards bieten eine gute Hilfestellung um die wesentlichen Bestandteile eines CMS für die einzelnen Rechtsgebiete zu ermitteln.[1] Naturgemäß können diese Standards nur sehr allgemeine Vorgaben zur Verfügung stellen, die weder die Industrie, die Größe, noch die internationale Ausbreitung eines Unternehmens berücksichtigen.[2] Damit ein CMS effektiv sein kann, muss es aber bei den geschäftsinhärenten Risiken des Unternehmens ansetzen.[3] Haben etwa Unternehmen in der Öl- und Gasindustrie keine Prozesse und Sicherungen, um zu gewährleisten, dass bei dem Erwerb von Bohrrechten kein rechtswidriges Handeln die Vergabe beeinflusst, helfen dem Unternehmen auch die sorgfältigsten Register für Einladungen und Geschenke nicht dabei, eine Geldbuße abzuwenden.[4]
a) Top-Down-Analyse
78
Zu der Art und Weise, wie eine Risikoanalyse durchgeführt werden sollte, gibt es diverse Ansätze und Methoden. Der kosteneffizienteste und schnellste Ansatz ist eine sogenannte Top-Down-Analyse. Diese beschränkt sich darauf, Gespräche mit der obersten Führungsebene und den Leitern von risikorelevanten Unternehmensbereichen zu führen.[5] Bei diesen Gesprächen lassen sich in der Regel wertvolle Hinweise darauf gewinnen, wo in der Organisation möglicherweise Risiken verborgen sein können. Die Schwäche dieses Ansatzes ist der Umstand, dass die Geschäftsleitung in der Konzernzentrale häufig nicht alle Risiken in den einzelnen Konzerngesellschaften kennt. Eine (zusätzliche) detaillierte Analyse der Risiken in den lokalen Gesellschaften ist daher präziser, aber auch deutlich kostenintensiver. Damit nicht erhebliche Ressourcen und Zeit aufgewendet werden, um teils dutzende lokale Gesellschaften zu prüfen, stehen mittlerweile innovative Ansätze zur Verfügung. Diese sammeln sowohl das lokal vorhandene Wissen, als auch die dort vorhandenen Daten, korrigieren diese und bewerten sie auf Basis einer juristischen Prüfung.
79
Besonders in der Finanzindustrie haben sich mittlerweile feste Standards etabliert, um festzustellen, wie die Risiken in einem Konzern erfasst werden sollen. Diese Ansätze liefern für Unternehmen außerhalb des Finanzsektors wertvolle Hinweise, wie Risiken in Unternehmen effektiv erfasst werden können. Gleichzeitig müssen diese Ansätze für die übrigen Industrien adaptiert werden, weil häufig die Prozesse der übrigen Industrien nicht den Standards der Finanzindustrie entsprechen. Die im Finanzsektor etablierte Prozessrisikoanalyse ist beispielsweise dort nur möglich, weil alle relevanten Prozesse in Banken kartographiert sind. Für den Fall, dass keine umfassenden Prozessbeschreibungen vorhanden sind, müssten diese zunächst mit hohem Aufwand erstellt werden, bevor eine Risikoanalyse wirksam umgesetzt werden kann.
b) Risikoszenarioanalyse
80
Die Risikoszenarioanalyse arbeitet mit bestimmten Szenarien und analysiert mit welcher Wahrscheinlichkeit bestimmte Risikoszenarien eintreten können und welche finanziellen Auswirkungen der Eintritt haben kann. Auch dieser Ansatz ist nur schwer in Industrien außerhalb des Finanzsektors umzusetzen. Die Einschätzung, mit welcher Wahrscheinlichkeit ein Szenario eintritt und welche Konsequenzen dies haben kann, erfordert ein hohes Maß an Kenntnis der entsprechenden Risiken und regulatorischen Rahmenbedingungen. Häufig fehlt das Wissen über belastbare Informationen zu der möglichen Schadenshöhe. In solchen Fällen würde das Unternehmen aber Gefahr laufen, die Risikoanalyse aufgrund einer unsicheren Datenbasis durchzuführen.
c) Risikofaktorenanalyse
81
Die bislang effizienteste Vorgehensweise, um die Risiken in einem Unternehmen außerhalb der Finanzindustrie zu prüfen, ist die Risikofaktorenanalyse.[6] Dabei werden aufgrund von Erfahrungswerten, auch mit Blick auf die internationalen Standards, Risikofaktoren definiert, die das Risiko erhöhen, dass in bestimmten Bereichen rechtswidriges Handeln im Unternehmen vorkommen kann. Hierzu gehören etwa im Bereich der Anti-Korruption die Analyse, in welchem Umfang das Unternehmen Geschäfte mit staatlichen Institutionen oder Organisationen betreibt, in welchem Umfang es auf Vertriebsmittler oder sonstige Dritte zurückgreift, um Geschäft zu akquirieren oder etwa ob es Bargeldzahlungen in lokalen Tochtergesellschaften gibt.[7] Auch die wirtschaftliche Größe und der geographische Tätigkeitsbereich einer lokalen Gesellschaft sind wichtige Faktoren, um das Gesamtrisiko des Konzerns bemessen zu können.[8] Die einzelnen Risikofaktoren lassen sich im zweiten Schritt zu Risikoszenarien bündeln, wie beispielsweise die Bestechung von Amtsträgern (mit oder ohne konkretem Geschäftsbezug) oder die Bestechung im geschäftlichen Verkehr oder horizontale und vertikale Kartellrisiken.[9]
d) Fazit
82
Ziel der Risikoanalyse ist es nicht nur, die wesentlichen Risiken zu identifizieren, sondern darauf aufbauend entscheiden zu können, wo die vorhandenen Ressourcen am sinnvollsten eingesetzt werden müssen, um effektiv die Risiken des Unternehmens zu reduzieren bzw. zu minimieren.
83
Unternehmen sind lebende Organismen. Eine Risikoanalyse kann jeweils nur den Zustand zu einem bestimmten Zeitpunkt erfassen und ist daher regelmäßig zu wiederholen.[10] In welchem Abstand dies zu erfolgen hat, steht zu einem gewissen Grad im Ermessen des Unternehmens. Je nach Risikoexposition und struktureller Veränderungen im Unternehmen, ist generell ein Zeitraum von 1-3 Jahren für die Wiederholung der Risikoanalyse angemessen.
Anmerkungen
[1]
ISO 19600, 4.6 Identification, analysis and evaluation of compliance risks, S. 38 ff.; ISO 37001:2016(E), 4.5 Bribery risk assessment, S. 7; DOJ Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, I. B. 4. Risk Assessment, S. 7, f.; ICC, The ICC Antitrust Compliance Toolkit, April 2013, 3. Risk identification and assessment, S. 16 ff.; US DOJ, Evaluation of Corporate Compliance Programs, 4. Risk assessment, S. 7 f.
[2]
Hauschka/Moosmayer/Lösler/Pauthner/Stephan Corporate Compliance, § 16 Rn. 69.
[3]
Wiedmann/Greubel CCZ 2019, 88, 90; Bürkle BB 2018, 525, 526.
[4]
Vgl. Sonnenberg JuS 2017, 917, 919 f.
[5]
Hauschka/Moosmayer/Lösler/Pauthner/Stephan Corporate Compliance, § 16 Rn. 57 ff.
[6]
Hauschka/Moosmayer/Lösler/Pauthner/Stephan Corporate Compliance, § 16 Rn. 81 ff.
[7]
Moosmayer Compliance, Rn. 73 ff.
[8]
Hauschka/Moosmayer/Lösler/Pauthner/Stephan Corporate Compliance, § 16 Rn. 83.
[9]
Hauschka/Moosmayer/Lösler/Pauthner/Stephan Corporate Compliance, § 16 Rn. 111 ff.
[10]
Wiedmann/Greubel CCZ 2019, 88, 89, 92; Hopson/Graham Koehler CCZ 2008, 208, 213.
2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 3. Richtlinien und Kontrollen
3. Richtlinien und Kontrollen
84
Der Verhaltenskodex (Code of Conduct oder Code of Ethics) enthält die richtungsweisenden Vorgaben.[1] Kurz gesprochen, enthält er unter anderem das Verbot, Geschäftspartner oder Amtsträger zu bestechen oder sich wettbewerbswidriger Mittel zu bedienen, um den Umsatz zu steigern und den Schutz von Daten von Mitarbeitern und Kunden zu gewährleisten.[2] Ist das Verbot von Bestechung häufig auch in der Laiensphäre in der Regel nachvollziehbar, sind die Verbote im Bereich des Kartell- und Wettbewerbsrechts nicht ohne weiteres verständlich. Gleiches gilt für andere komplexe Materien, wie den Datenschutz. Steht auf Basis der Risikoanalyse fest, welche Risikobereiche im Unternehmen bestehen, bedarf es Richtlinien und Vorgaben, wie die Prozesse rund um die identifizierten Risiken zu steuern sind.[3]
a) Grundsätze der Ausarbeitung von Richtlinien
85
Um die entsprechenden Vorgaben zu entwickeln, verwenden Unternehmen häufig eine Mischung aus normativ geprägten und prozessorientierten Vorgaben. Normative Vorgaben funktionieren ähnlich wie Gesetze und stellen allgemeine Verbote oder Gebote auf. Ähnlich einem Gesetz, muss der Mitarbeiter diese abstrakten Vorgaben in der konkreten Situation selbst interpretieren und anwenden. Weil hierdurch das Risiko entsteht, dass nicht jeder Mitarbeiter die entsprechenden Vorgaben in der einzelnen Situation richtig versteht, gehen Unternehmen zunehmend dazu über, Richtlinien prozessorientiert auszurichten. Das bedeutet, dass sie aufbauend auf den im Rahmen der Risikoanalyse identifizierten Risikoszenarien Prozesse niederlegen, die Vorgaben enthalten, wie mit Compliance-relevanten Situationen umzugehen ist. Praktische Beispiele sind hierbei vor allem die Prüfung von Geschäftspartnern oder Prozessen rund um das Thema Wettbewerberkontakte, etwa bei Verbandstreffen, oder Sanktionsprüfungen.[4] Mit Blick auf die zunehmende Digitalisierung der Compliance-Arbeit, haben Compliance-Organisationen durch diesen Ansatz weitere Möglichkeiten der Kontrolle.[5] Die einmal definierten Prozesse lassen sich mittlerweile recht einfach digitalisieren.[6] Dies erlaubt es den Unternehmen nicht nur rückblickend, manuelle Kontrollen auszuführen, sondern diese digital und präventiv zu steuern. So wird ein Geschäftspartner zum Beispiel nur dann freigegeben, wenn der Vertriebsmitarbeiter die notwendige Prüfung erfolgreich abgeschlossen hat. Anderenfalls können Zahlungen an diesen Geschäftspartner nicht ausgelöst werden. Unternehmen können zudem Mitarbeitern über Apps bestimmte Prozesse an die Hand geben, um sicherzustellen, dass es beispielsweise im Zusammenhang mit Verbandstreffen nicht zu wettbewerbswidrigen Absprachen kommt.
b) Anzahl und inhaltliche Ausgestaltung der Richtlinien
86
Wie viele einzelne Richtlinien und Prozesse Unternehmen einführen, liegt im Ermessen der Geschäftsleitung bzw. Compliance-Organisation. Wichtig ist, dass die implementierten Richtlinien die wesentlichen Risiken, die im Rahmen der Risikoanalyse erfasst wurden, abdecken. Zu den wesentlichen Richtlinien gehören: Anti-Korruptionsrichtlinien, Kartellrichtlinien, Geldwäscherichtlinien, Richtlinien zu Exportkontrolle und Sanktionen, Datenschutzrichtlinien und Richtlinien zu Interessenkonflikten. Als Unterfall zur Anti-Korruptionsrichtlinie haben viele Unternehmen eine gesonderte Richtlinie zur Prüfung von Drittparteien (Third Party Due Diligence)[7].
87
Die Richtlinien und Handlungsanweisungen sollten derart ausgestaltet sein, dass die Anwender in den einzelnen Abteilungen wissen, welche Schritte sie unternehmen dürfen oder müssen, um die Risiken zu reduzieren. Hilfreich ist es, wenn die Compliance-Organisation nach Fertigstellung einer Richtlinie oder eines Prozesses diese oder diesen zunächst selbst durchspielt, um zu evaluieren, ob die Anwender damit zurechtkommen werden. Die operativen Einheiten sind im „Modell der drei Verteidigungslinien“ („Three Lines of Defense“-Modell)[8] die sogenannte 1st line of defense.[9] Die zuständigen Abteilungsleiter, etwa im Vertrieb, sind für die Risiken innerhalb ihres Zuständigkeitsbereichs verantwortlich („risk owner“).[10] Es ist ihre Aufgabe dafür Sorge zu tragen, dass sich die geschäftsinhärenten Risiken nicht realisieren. Tragen die einzelnen Abteilungen das Risiko, so ist es gleichzeitig Aufgabe der Compliance-Organisation, den Mitarbeitern verständliche Anweisungen an die Hand zu geben, um in ihrem jeweiligen Zuständigkeitsbereich die Risiken zu minimieren.
c) Implementierung der Richtlinien
88
Im Rahmen der Implementierung von Richtlinien und Prozessen im internationalen Kontext sollten Compliance-Organisationen berücksichtigen, welche lokalen Vorgaben es gibt, damit die Richtlinien rechtlich wirksam werden können. Die rechtliche Landschaft ist insofern sehr divers. Einige Länder verlangen, dass die Richtlinien übersetzt und an die lokale Gesetzgebung angepasst werden. In anderen Ländern muss vor Verabschiedung der Richtlinie der Betriebsrat eingebunden werden oder die Richtlinie ist durch die Geschäftsleitung selbst zu unterzeichnen.[11] Der letzte Aspekt bei der Implementierung von Richtlinien ist deren Verteilung im Unternehmen. Internationale Behörden erwarten zunehmend, dass die Verteilung von Richtlinien dokumentiert ist.[12] Daher reicht es häufig nicht mehr aus, diese schlicht per E-Mail an alle Mitarbeiter zu verteilen. Auch hier stehen mittlerweile technische Möglichkeiten zur Verfügung, damit die betreffenden Mitarbeiter digital bestätigen können, dass sie die auf sie anwendbaren Richtlinien erhalten und gelesen haben.
Anmerkungen
[1]
ISO 19600, 5.1 Leadership and commitment, S. 49 ff.
[2]
ISO 37001:2016 (E), 5.2 Anti-Bribery-Policy, S. 9; ICC, The ICC Antitrust Compliance Toolkit, April 2013, 1. c. Code of Conduct, S. 6 ff.; vgl. auch in Art. 40 DSGVO sowie dazu ausführlich Reifert ZD 2019, 305.
[3]
ISO 19600, 5.2.2 Development, S. 58 f.; US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, Juli 2019, 1. Design and Comprehensiveness, S. 4 f.
[4]
Vgl. Rotsch/Moosmayer Criminal Compliance, § 34 Rn. 60.
[5]
Hauschka/Moosmayer/Lösler/Schlaghecke Corporate Compliance, § 43 Rn. 69.
[6]
Rotsch/Moosmayer Criminal Compliance, § 34 Rn. 60.
[7]
Moosmayer Compliance, Rn. 162.
[8]
Vgl. im Einzelnen dazu FERMA/ECIIA Monitoring of effectiveness of internal control, internal audit and risk management systems, 2010, Guidance Paper zur 8th European Company Law Directive on Statutory Audit (Directive 2006/43/EC – Art. 41-2b); IIA Position Paper: The Three Lines of Defense in effective Risk Management and Control, 2013.
[9]
Vgl. Hauschka/Moosmayer/Lösler/Obermayr Corporate Compliance, § 44 Rn. 116 ff.
[10]
Vgl. dazu Soyer/Ruhmannseder Handbuch Unternehmensstrafrecht, Rn. 13.35 f.
[11]
Moosmayer Compliance, Rn. 209.
[12]
ISO 19600, 3.2.4 Documented information, S. 84 ff.
2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 4. Schulungen und Kommunikation
4. Schulungen und Kommunikation
89
Sind die Risiken analysiert und darauf aufbauende Prozesse in Richtlinien und Handlungsanweisungen niedergelegt, geht es im nächsten Schritt darum, die Risiken und Gegenmaßnahmen den betreffenden Mitarbeitern näher zu bringen.[1] Die Tätigkeit der einzelnen Mitarbeiter unterscheidet sich in ihrer Risiko-Geneigtheit.[2] Das bedeutet im Umkehrschluss, dass nicht jeder Mitarbeiter im gleichen Umfang und in der gleichen Art und Weise geschult werden muss. Welche Mitarbeitergruppen wie zu schulen sind, sollte die Compliance-Organisation in einer global anzuwendenden Schulungsmatrix festhalten.[3] Diese enthält die Mitarbeitergruppen, die Art der Schulungen sowie die einzelnen Schulungsinhalte. Üblich ist es, dass alle Mitarbeiter, die über einen Schreibtisch-Arbeitsplatz verfügen regelmäßig ein E-Learning zum Code of Conduct durchlaufen müssen. Darauf aufbauend sollten die jeweiligen Mitarbeitergruppen je nach Tätigkeitsbereich zusätzliche online Schulungen oder Präsenzschulungen zu den jeweiligen Risikobereichen erhalten. Geschäftsleitung und Vertrieb sollen regelmäßige Präsenzschulungen zu denjenigen Risikofeldern durchlaufen, die mit dem Verkauf der Waren und oder Dienstleistungen im Zusammenhang stehen, allen voran Antikorruption und Kartellrecht.[4] Während bei aktuellen E-Learning Programmen eine Dokumentationsfunktion in der Regel bereits integriert ist, fehlt es bei Präsenzschulungen häufig an der erforderlichen Dokumentation. Besonders wenn lokal organisierte Schulungen stattfinden, sollten die zuständigen Compliance Officer angehalten werden, diese sorgfältig zu dokumentieren. Unternehmen sollten auch nicht vergessen, dass die Compliance Officer, also diejenigen Personen, die vor Ort für das Thema Compliance verantwortlich sind und andere Mitarbeiter unter Umständen schulen werden, selbst in ausreichendem Umfang zu den relevanten Compliance-Themen geschult sein müssen.[5]
90
Neben den Schulungen ist eine regelmäßige Kommunikation zu Compliance-Themen wichtig. Die Kommunikation sollte dabei nicht nur von der Geschäftsführung des Konzerns, sondern auch von der lokalen Geschäftsführung beziehungsweise. dem zuständigen Mittelmanagement in der Organisation verteilt werden.[6] Auch hier gilt, dass die Verteilung sorgfältig zu dokumentieren ist, damit das Unternehmen im Ernstfall zeigen kann, welche Anstrengungen es unternommen hat, um Fehlverhalten im Unternehmen zu unterbinden.
91
Zu der Kommunikation zu Compliance-Themen gehört auch eine Beratungsfunktion. Die Mitarbeiter sollten eine Anlaufstelle für Fragen rund um das Thema Compliance haben. Dem Unternehmen steht frei, hierfür eine zentrale Anlaufstelle einzurichten, oder den lokalen Compliance Officern ausreichend zeitlichen Spielraum einzuräumen, um diese Beratungsfunktion wahrzunehmen.
Anmerkungen
[1]
ICC, The ICC Antitrust Compliance Toolkit, April 2013, 4. b. Antitrust training, S. 45 ff.; FCPA Guide, Chapter 5, Training and Continuing Advise, S. 59.
[2]
Department of the Treasury, A Framework for OFAC Compliance Commitments, S. 7 f.
[3]
ISO 19600, 7.2.2 Training, S. 78.
[4]
Hauschka/Moosmayer/Lösler/Klahold/Lochen Corporate Compliance, § 37 Rn. 60; Hastenrath CCZ 2014, 132; Meyer CCZ 2014, 113, 117 f.
[5]
Hastenrath CCZ 2014, 132; Pauthner/de Lamboy CCZ 2011, 106, 109.
[6]
ICC, The ICC Antitrust Compliance Toolkit, April 2013, 1. e. Ongoing and sustained senior management commitment, S. 8; Moosmayer Compliance, Rn. 144 ff.
2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 5. Überwachung und Revision
5. Überwachung und Revision
92
Das für Unternehmen häufig herausfordernde Element eines CMS ist die ausreichende Überwachung und Revision der Compliance-Themen.
93
Überwachung bedeutet hier, dass eine zuständige Stelle in der Zentralabteilung aber auch in der lokalen Compliance-Organisation dafür zuständig ist, regelmäßig zu prüfen, ob die Vorgaben, die in den Richtlinien und Handlungsanweisungen niedergelegt sind, eingehalten werden:[1] Diskutiert die Geschäftsleitung regelmäßig Compliance-Themen in ihren Besprechungen? Sind die aktuellen Versionen der anwendbaren Richtlinien in der lokalen Gesellschaft verteilt? Haben alle neu eingestellten Mitarbeiter die wesentlichen Compliance Schulungen absolviert? Wurden alle Geschäftspartner überprüft, bevor der Vertrieb mit ihnen eine Geschäftsbeziehung einging? Wurden die entsprechenden Vertragsmuster für die Handelsvertreterverträge verwendet?[2]
94
Auf Ebene der „zweiten Verteidigungslinie“ (2nd line of defense) finden die operativen Kontrollen statt. Dies ist vor allem das Betätigungsfeld der Unternehmensbereiche „Risikomanagement“, „Compliance“, „IT-Security“ etc. Die Überwachung, dass die vorhandenen Richtlinien und Handlungsanweisungen eingehalten werden, ist dabei Aufgabe der Compliance-Organisation. Die „dritte Verteidigungslinie“ (3rd line of defense) stellt als objektive und unabhängige Prüfungs- und Beratungsinstanz die Interne Revision dar. Die Interne Revision unterstützt in dieser Funktion Unternehmensleitung, operatives Management und Überwachungsinstanzen. Sie soll der Unternehmensleitung die Gewähr dafür bieten, dass die Risiken wirksam erkannt, bewertet und gesteuert werden. Durch die Interne Revision werden insbesondere Effektivität und Effizienz der beiden vorgelagerten Verteidigungslinien bewertet. Sie bildet eine unabhängige Einheit, die nicht mit den vorgelagerten Stufen verwoben ist. Zum Aufgabenbereich der Internen Revision gehört auch die Überprüfung der Compliance-Funktion.[3] Zwischen der Internen Revision und der Compliance-Funktion sollte ein reger Austausch stattfinden, damit zum einen die vorhandenen Ressourcen möglichst effizient genutzt werden und damit zum anderen die Compliance-Organisation aus den Erkenntnissen der Internen Revision ggf. erforderliche Verbesserungsmaßnahmen entwickeln kann.
Anmerkungen
[1]
Vgl. Mössner/Reus CCZ 2013, 54, 59.
[2]
Moosmayer Rn. 286 ff.
[3]
Vgl. Hauschka/Moosmayer/Lösler/Obermayr Corporate Compliance, § 44 Rn. 117.
2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 6. Reaktion auf Verstöße und Nachhaltigkeit
6. Reaktion auf Verstöße und Nachhaltigkeit
95
Teil des Elements Reaktion und Nachhaltigkeit ist die Einführung eines Hinweisgebersystems, denn eine Reaktion auf Missstände ist nur möglich, wenn diese ans Licht kommen und beseitigt werden.[1] Ein effektives Hinweisgebersystem ist eine der wirkungsvollsten Möglichkeiten, um dies zu gewährleisten. Dafür ist entscheidend, dass das Hinweisgebersystem von den Mitarbeitern positiv angesehen wird. Basis für die erfolgreiche Einführung des Hinweisgebersystems ist daher eine an der jeweiligen Unternehmenskultur orientierte Kommunikationsstrategie und vorherige Einbindung der internen Stakeholder, um eine positive Aufnahme bei den Mitarbeitern zu gewährleisten und eine schädliche Fehlinterpretation als ein „System der Anschwärzung“ oder gar „Bespitzelung“ zu vermeiden.[2]
96
Von Unternehmen wird erwartet, dass sie auf Missstände adäquat reagieren und die Schwächen im System beheben, die sich durch die Aufklärung und eine regelmäßige Überprüfung des Compliance Management Systems ergeben.[3]
97
Unternehmen sollten klare Prozesse haben, wie sie mit Verdachtsmomenten für Fehlverhalten umgehen. Wer untersucht die Verdachtsmomente? Welcher Umfang und welche Prüftiefe sind erforderlich, um dem Problem auf den Grund zu gehen? Wie sollte das Unternehmen mit der Situation umgehen, wenn sich die Verdachtsmomente erhärten? Einen Standardweg gibt es hier nicht. Was Behörden von Unternehmen allerdings verlangen ist, dass sie konsequent handeln, wenn sich die Verdachtsmomente bestätigen.[4] Dann muss das Unternehmen sorgfältig prüfen, ob personelle Konsequenzen erforderlich sind und welche organisatorischen Maßnahmen dafür sorgen können, dass sich das Fehlverhalten nicht wiederholt.[5] Die Anforderungen der Behörden gehen teilweise sogar soweit, dass Unternehmen das aufgedeckte Fehlverhalten in abstrakter Art und Weise zum Gegenstand von Compliance Schulungen machen sollen. So soll sichergestellt werden, dass die relevanten Mitarbeiter wissen, welches Verhalten, das in ihrem Arbeitsumfeld bereits vorgekommen ist, unter keinen Umständen toleriert wird.
98
Neben der adäquaten Reaktion auf identifiziertes Fehlverhalten müssen Unternehmen auch dafür Sorge tragen, dass sich ihr Compliance Management System den Veränderungen im Unternehmen anpasst.[6] Viele Industrien sind aktuell einem raschen Wandel unterzogen. Insbesondere die Digitalisierung hat dafür gesorgt, dass viele Unternehmen sich von einem Produzenten physischer Produkte hin zu Servicedienstleistern entwickelt haben. Das kann dazu führen, dass die Risiken in bestimmten Bereichen sinken, dass aber Themen wie Cyber-Security oder Datenschutz an anderer Stelle erheblich zunehmen. Das Compliance Management System muss daher so ausgestaltet sein, dass es die anstehenden Veränderungen erfasst und frühzeitig die neuen Risiken identifiziert und entsprechende Maßnahmen und Kontrollen einführt.[7]
Anmerkungen
[1]
ISO 19600, 10.1.2 Escalation, S. 119 ff.; ISO 27001:2016 (E), 8.9 Raising concerns, S. 17 f.; ICC, The ICC Antitrust Compliance Toolkit, April 2013, 5. c. Whistleblowing, S. 34 ff.
[2]
ICC, The ICC Antitrust Compliance Toolkit, 5. d. Communicate, educate and create a culture of speaking up, S. 37; vgl. auch Menner/Bexa CCZ 2019, 129, 131.
[3]
ISO 19600, 10.1.2 Escalation und 10.2 Continual improvement, S. 120 ff.; Hauschka/Moosmayer/Lösler/Buchert Corporate Compliance, § 42 Rn. 4.
[4]
ISO 19600, 10.1.1 General, S. 114 ff. ISO 37001:2016 (E), 10.1 Nonconformity and corrective action, S. 21 ff. US DOJ, Evaluation of Corporate Compliance Programs, Juli 2019, 9. Remediation and Role of the Compliance Program in the Discovery of the Violation, S. 12 ff.
[5]
Moosmayer Compliance, Rn. 338 ff.; US DOJ, Evaluation of Corporate Compliance Programs, Juli 2019, 8. Incentives and Discipline, S. 12.
[6]
US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, I. B. 1. Design and Comprehensiveness, S. 4.
[7]
Department of the Treasury, A Framework for OFAC Compliance Commitments, S. 7.
3. Kapitel Pflicht zur Einführung eines Hinweisgebersystems
Inhaltsverzeichnis
I. Rechtspflicht zur Implementierung eines Hinweisgebersystems?
3. Kapitel Pflicht zur Einführung eines Hinweisgebersystems › I. Rechtspflicht zur Implementierung eines Hinweisgebersystems?
I. Rechtspflicht zur Implementierung eines Hinweisgebersystems?
99
Auf Augustus (Römischer Kaiser) geht das Sprichwort „Ich liebe den Verrat, aber Verräter lobe ich nicht“ zurück.[1] Obwohl Hinweise von Mitarbeitern für Unternehmen häufig die zentrale Informationsquelle zur Aufdeckung von Rechtsverletzungen sind, stehen Mitarbeiter, die solche Rechtsverletzungen aufdecken, auch heute noch in einem negativen Licht und gelten oftmals als Denunzianten. Dabei handelt ein Hinweisgeber in erster Linie altruistisch und leistet im Zweifelsfall einen Beitrag zur Aufklärung von Rechtsverstößen. Das Verhalten eines Denunzianten zielt hingegen auf persönliche Vorteile ab.
100
Mitarbeiter, die Informationen über mögliche oder begangene Rechtsverletzungen offenbaren, müssen jedoch darauf vertrauen können, dass sie für die Offenlegung von Rechtsverletzungen im Unternehmen, wenn schon nicht belohnt, dann wenigstens geschützt werden.
101
Ein solcher Schutz kann mittels effektiver Hinweisgebersysteme gewährleistet werden. In Schrifttum und den Gesetzgebungsvorschlägen ist mittlerweile geklärt, dass für die Abgabe von Hinweisen und zum Schutz des Hinweisgebers ein internes Hinweisgebersystem installiert werden muss.[2] In Europa wurde kürzlich die Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden[3] (kurz „EU-Hinweisgeberrichtlinie“) mit detaillierten Vorgaben zur Ausgestaltung der verpflichtend einzuführenden Hinweisgebersysteme erlassen.[4] Diese Richtlinie ist nun von den nationalen Gesetzgebern bis spätestens 17.12.2021 umzusetzen. Zudem gibt es in Deutschland bereits etliche bereichsspezifische Verpflichtungen zur Einführung von Hinweisgebersystemen.[5]
Anmerkungen
[1]
Bzw. „Der König liebt den Verrat, nicht den Verräter“. Der Ausspruch Augustus‚ (63 v. Chr. – 14 n. Chr.; Großneffe Cäsars, von dem er auch adoptiert wurde) betrifft den Thraker Rhoimetalkes, der von Antonius zu ihm übergelaufen war und sich bei Trinkgelagen über diesen ausließ; Plutarch, Moralia (Moralische Schriften und Abhandlungen), Aussprüche der Könige und Feldherren 92, 2. Plutarch, Große Griechen und Römer. Band 1. Eingeleitet und übersetzt von Konrat Ziegler. Übersetzung der Biographie des Themistokles von Walter Wuhrmann. Zürich; Stuttgart: Artemis-Verlag, 1954 (Die Bibliothek der Alten Welt : Griechische Reihe), S. 97: „Nun steht aber offenbar Antigonos nicht allein mit seinem Wort, er liebe die Leute, die Verrat üben, die aber Verrat geübt hätten, hasse er, noch Caesar Augustus, der von dem Thraker Rhoimetalkes gesagt hat, er liebe den Verrat, den Verräter aber hasse er, sondern dies ist die allgemeine Stimmung gegen die Lumpen bei denen, die sie brauchen, wie man das Gift und die Galle mancher Tiere braucht. Solange man Nutzen aus ihnen zieht, hat man sie gern, haßt aber ihre Gemeinheit, wenn man sein Ziel erreicht hat.“
[2]
Vgl. Egger CCZ 2018, 126, 128; Sonnenberg JuS 2017, 917.
[3]
Richtlinie des Europäischen Parlaments und des Rates v. 23.10.2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, ABlEU Nr. L 305/17 v. 26.11.2019.
[4]
Online veröffentlicht unter: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32019L1937 (zuletzt besucht am 11.3.2021).
[5]
Vgl. Näheres dazu unter Rn. 157 ff.
3. Kapitel Pflicht zur Einführung eines Hinweisgebersystems › I. Rechtspflicht zur Implementierung eines Hinweisgebersystems? › 1. Allgemeine Erforderlichkeit von Hinweisgebersystemen
1. Allgemeine Erforderlichkeit von Hinweisgebersystemen
a) Schutzbedürftigkeit der Hinweisgeber
102
In der Vergangenheit wurden zahlreiche Rechtsverstöße und Rechtsmissbräuche durch Hinweisgeber aufgedeckt. Internationale Beispiele reichen von der Offenlegung von Staatsdoping über Steuerhinterziehung bis hin zu Fehlverhalten von Regierungen.
103
In einigen dieser Fälle bezahlten die Hinweisgeber teuer für die Offenlegung der Verfehlungen ihrer Institutionen. Das bekannteste Beispiel ist wohl Edward Snowden, der US-amerikanische Whistleblower und ehemalige CIA-Mitarbeiter, der die Welt über das Ausmaß der globalen Überwachungs- und Spionagepraktiken von Geheimdiensten (hauptsächlich jenen der Vereinigten Staaten und Großbritanniens) informierte.[1] Edward Snowden lebt seit Juni 2013 zunächst in Hong Kong und seit August 2013 im Exil in Russland. Allgemein bekannt ist auch das Beispiel von Chelsea Manning, die 2010 als Mitglied der amerikanischen Streitkräfte vertrauliche Dokumente und Filmaufnahmen an die Plattform Wikileaks weiterleitete.[2] Die Unterlagen enthielten Informationen über den tödlichen Beschuss von Zivilisten und Journalisten durch US-Streitkräfte im Irak und Afghanistan. Manning wurde 2013 zu 35 Jahren Haft verurteilt. Der Großteil der Haftstrafe wurde durch den damaligen US-Präsidenten Barack Obama erlassen.[3] Ein weiteres Beispiel ist Antoine Deltour, ein ehemaliger Angestellter der Wirtschaftsprüfungsgesellschaft PwC in Luxemburg, der 2014 mit Hilfe eines französischen Journalisten die Öffentlichkeit darüber informierte, dass eine Reihe von großen internationalen Konzerne (z.B. Apple, Amazon, eBay, Ikea und rund 295 weitere Unternehmen) ihre europäischen Gewinne in Luxemburg versteuern. Die sehr geringen Steuersätze wurden dort mit den Steuerbehörden ausgehandelt.[4] Antoine Deltour wurde zunächst von luxemburgischen Gerichten zu hohen Geldstrafen verurteilt, in letzter Instanz jedoch nur zu einer symbolischen Geldstrafe von einem Euro wegen „Diebstahls“ von Firmenunterlagen. Das neu in Kraft getretene Gesetz zum Schutz von Geschäftsgeheimnissen soll Verurteilungen wegen Verletzungen von Geschäftsgeheimnissen verhindern.[5]
104
Auch das russische Ehepaar Julia und Vitaly Stepanov, die beiden Hinweisgeber, die das russische Staatsdoping enttarnten, zahlten einen hohen Preis für ihr Handeln. Beide mussten Russland verlassen, lebten zunächst in Berlin und zogen schließlich in die USA.[6]
105
In Deutschland wurde der Fall des LKW-Fahrers Miroslav Strecker bekannt, der 2007 den sog. Gammelfleisch-Skandal ans Licht brachte. Obwohl Herr Strecker vom damaligen Agrarminister Horst Seehofer mit der „Goldenen Plakette“ für sein Handeln ausgezeichnet wurde, wurde er Opfer diverser Schikanen am Arbeitsplatz, die schließlich zu seiner Kündigung führten.[7]
106
Ohne garantierten Schutz der Hinweisgeber ist es zweifelhaft, ob das Gewicht der moralischen Pflicht, Rechtsverletzungen zu melden, die Angst vor drohenden (un-)mittelbaren Repressalien überwiegt und Mitarbeiter in der Praxis wirklich dazu bereit sind, aus dem Schutz der grauen Masse hervorzutreten und sich für die Gerechtigkeit und den Schutz der Allgemeinheit einzusetzen.
b) Schutzbedürftigkeit der Interessen der Allgemeinheit
107
Immer wieder gibt es Fälle, in denen Hinweisen nicht nachgegangen wird. Dies hat zum Teil verheerende Folgen. Beispielhaft sei genannt die Tötung von 85 Patientinnen und Patienten zwischen 2000 und 2005 durch den ehemaligen Krankenpfleger Nils Högel. Bereits im Oktober 2001 wurde die Geschäftsleitung des Klinikums Oldenburg durch Pflegekräfte auf die überdurchschnittlich hohe Zahl an Reanimationen und Todesfällen während Nils Högels Dienstzeiten aufmerksam gemacht.[8] Aus Angst um den Ruf des Klinikums entschied sich die Geschäftsleitung jedoch gegen eine Einschaltung der Strafverfolgungsbehörden und versetzte Nils Högel zunächst nur in eine andere Abteilung, um ihn anschließend mit einem sehr guten Arbeitszeugnis freizustellen.[9] Sogar bei seinem neuen Arbeitgeber, dem Klinikum Delmenhorst, konnte Nils Högel weitere Patienten töten, weil auch dort Hinweisen auf seine Taten nicht nachgegangen wurde.[10]
108
Ebenfalls am Beispiel des US-Flugzeugbauers Boeing, zeigt sich, dass der ineffiziente Umgang mit Hinweisen zahlreiche Menschenleben kosten kann. Ed Pierson, ein Ex-Manager von Boeing, gab bei einer Anhörung vor US-Abgeordneten an, dass er sowohl vor dem ersten Unglück (am 29.10.2018 in Indonesien mit 189 Toten), als auch vor dem zweiten Unglück (am 10.3.2019 in Addis Abeba, Äthiopien mit 157 Toten) Probleme gemeldet habe, doch keinem seiner Hinweise nachgegangen worden sei.[11]
109
Unrühmliche Bekanntheit erlangte kürzlich auch die Danske Bank durch die Aufdeckung eines Geldwäscheskandals durch einen Mitarbeiter. Der Mitarbeiter hatte sich aufgrund verdächtiger Vorgänge mehrfach an seine Vorgesetzten gewandt. Da seine internen Meldungen jedoch erfolglos blieben, wandte er sich schließlich an die Öffentlichkeit.[12]
110
Die Beispiele zeigen, dass Hinweise von Personen oder Abteilungen innerhalb des Unternehmens unverzüglich nach deren Eingang bearbeitet und die erforderlichen Maßnahmen angestoßen werden müssen. Dazu gehört auch, dass der Hinweisgeber zeitnah über den Verfahrensstand informiert wird, damit dieser entscheiden kann, ob es nötig ist, sich an externe Stellen zu wenden. Ein effektives Hinweisgebersystem setzt dort an, wo interner Informationsfluss nicht gewährleistet oder ausreichend ist.[13]
Anmerkungen
[1]
Mehr hierzu: Beuth Alles Wichtige zum NSA-Skandal. Auf: www.zeit.de/digital/datenschutz/2013-10/hintergrund-nsa-skandal (zuletzt besucht am 11.3.2021).
[2]
Mehr hierzu: Guantánamo leaks lift lid on world‚s most controversial prison. Auf: www.theguardian.com/world/2011/apr/25/guantanamo-files-lift-lid-prison (zuletzt besucht am 11.3.2021).
[3]
Mehr hierzu: Medick Obamas große Geste. Auf: www.spiegel.de/politik/ausland/barack-obama-begnadigt-chelsea-manning-kommentar-a-1130460.html (zuletzt besucht am 11.3.2021).
[4]
Mehr hierzu: Steuer-Leaks und ihre meist unbekannten Whistleblower. Auf: www.anstageslicht.de/themen/whistleblower-kurzportraits/steuer-leaks-und-ihre-meist-unbekannten-whistleblower/ (zuletzt besucht am 11.3.2021).
[5]
Mehr hierzu: www.anstageslicht.de/themen/whistleblower-kurzportraits/steuer-leaks-und-ihre-meist-unbekannten-whistleblower/ (zuletzt besucht am 11.3.2021).
[6]
Veröffentlicht unter: www.anstageslicht.de/themen/whistleblower-kurzportraits/julia-und-vitaly-stepanov-zwei-whistleblower-die-mit-hilfe-eines-journalisten-das-russische-staatsdoping-enttarnen/ (zuletzt besucht am 11.3.2021).
[7]
Veröffentlicht unter www.anstageslicht.de/themen/whistleblower-kurzportraits/miroslaw-strecker-ein-lkw-fahrer-der-zum-whistleblower-wurde/ (zuletzt besucht am 11.3.2021).
[8]
Veröffentlicht unter: www.tagesschau.de/inland/hoegel-115.html (zuletzt besucht am 11.3.2021).
[9]
Veröffentlicht unter: https://taz.de/Patientinnenmoerder-Niels-Hoegel/!5627001/ (zuletzt besucht am: 11.3.2021).
[10]
Veröffentlicht unter: www.whistleblower-net.de/blog/2019/09/28/mordserie-krankenhausleitung-ignorierte-hinweisen-von-whistleblowern/ (zuletzt besucht am 11.3.2021).
[11]
Veröffentlicht unter: www.zeit.de/wirtschaft/2019-12/boeing-max737-flugzeugabsturz-ed-pierson-aussage-us-kongress (zuletzt besucht am 11.3.2021).
[12]
Veröffentlicht unter: www.capital.de/wirtschaft-politik/der-unglaubliche-230-milliarden-skandal (zuletzt besucht am 11.3.2021).
[13]
Vgl. Grambow CB 2016, 210, 212.
3. Kapitel Pflicht zur Einführung eines Hinweisgebersystems › I. Rechtspflicht zur Implementierung eines Hinweisgebersystems? › 2. Künftige allgemeine Rechtspflichten nach Maßgabe der Richtlinie zum Schutz von Hinweisgebern
2. Künftige allgemeine Rechtspflichten nach Maßgabe der Richtlinie zum Schutz von Hinweisgebern
111
Bis zur Veröffentlichung des Richtlinienvorschlags zum Schutz von Hinweisgebern durch die Europäische Kommission am 23.4.2018 lieferten weder die Rechtsprechung noch das Schrifttum den (europäischen) Unternehmen besondere Vorgaben hinsichtlich der Ausgestaltung eines effektiven Hinweisgebersystems.[1] Dies ist bemerkenswert, da Whistleblowing primär im öffentlichen Interesse erfolgt und mittelbar der Einhaltung von Rechtsvorschriften, Normen und Standards dient.[2] In den USA wird Whistleblowing in jüngerer Vergangenheit zunehmend in einem positiveren Licht betrachtet und als selbstverständlich angesehen. Die globale Diskrepanz in Bezug auf Hinweisgeber führt im Ergebnis zu Konflikten zwischen den im Einzelfall betroffenen Rechtsordnungen.[3]
112
Seit In-Kraft-Treten der EU-Hinweisgeberrichtlinie können sich die Unternehmen jedenfalls an folgenden Vorgaben bei der Ausgestaltung eines Hinweisgebersystems orientieren:
113
Entgegennahme und Untersuchung: Das Hinweisgebersystem soll es Unternehmen ermöglichen, vertrauliche Berichte von Mitarbeitern des Unternehmens und seinen Tochtergesellschaften oder verbundenen Unternehmen sowie von allen Vertretern und Lieferanten entgegenzunehmen und zu untersuchen.[4] Für die Entgegennahme und Untersuchung von diesen vertraulichen Berichten soll ein kleiner Personenkreis innerhalb des Unternehmens zuständig sein. Diese Personen müssen unabhängig sein und es darf kein Interessenkonflikt bestehen.[5]
114
Information des Hinweisgebers: Der Hinweisgeber soll innerhalb von drei Monaten über den Ausgang der Untersuchung und die geplanten Maßnahmen informiert werden. Eine Information des Hinweisgebers kann unterbleiben, wenn dies die Untersuchung oder die Rechte der betroffenen Person beeinträchtigen würde. Eine Rückmeldung an den Hinweisgeber kann divers ausfallen: Von der Information über die Schließung der Untersuchung aufgrund nicht plausibler Tatsachen oder unzureichender Beweise über die Einleitung einer internen Untersuchung und Details zu den getroffenen Feststellungen bis hin zur Weitergabe an eine zuständige Behörde zur weiteren Untersuchung. Für den Fall, dass es nicht möglich ist, innerhalb der Drei-Monats-Frist den Hinweis zu konkretisieren oder geeignete Schritte einzuleiten, sollte der Hinweisgeber auch darüber und über weitere Rückmeldungen, die er erwarten kann, informiert werden.[6]
115
Information der Mitarbeiter und Geschäftspartner über das Hinweisgebersystem: Damit Hinweisgeber eine fundierte Entscheidung darüber treffen können, ob, wann, an wen und in welcher Form sie zu berichten haben, müssen Unternehmen Informationen über das unternehmensinterne Verfahren sowie über die Möglichkeit zur externen Meldung an die zuständige Behörde bereitstellen. Die Informationen über das Hinweisgebersystem müssen leicht verständlich und zugänglich sein.[7] Die Informationen müssen auch für andere Personen und Mitarbeiter anderer Einrichtungen verfügbar sein, die mit dem betroffenen Unternehmen durch ihre arbeitsbezogenen Aktivitäten in Kontakt stehen (z.B. Dienstleister, Händler, Lieferanten und Geschäftspartner).[8] Dies kann durch sichtbaren Aushang an öffentlich zugängliche Orte oder durch Veröffentlichung im Internet erfolgen.[9]
a) Historische Entwicklung hin zur Pflicht einer Implementierung von Hinweisgebersystemen für deutsche Unternehmen
116
Vor Veröffentlichung der Richtlinie zum Schutz von Hinweisgebern und den weiteren Regelungen nach deutschem Recht, konnte eine Pflicht zur Implementierung von Hinweisgebersystemen für Unternehmen in Deutschland lediglich mittelbar aus dem amerikanischen Sarbanes-Oxley-Act (SOX) hergeleitet werden.[10] Die im SOX enthaltenen Regelungen zum Thema Whistleblowing betreffen vornehmlich die Einrichtung einer Anlaufstelle im Unternehmen (Sec. 301), den strafrechtlichen (Sec. 1107 = 18 U. S. C. § 1513 (e)) und zivilrechtlichen (Sec. 806 = 18 U. S. C. § 1514A) Schutz von Hinweisgebern.[11] Ferner betreffen die Vorschriften eine an Rechtsanwälte und Bevollmächtigte, die mit der US-Börsenaufsichtsbehörde (United States Securities and Exchange Commission, SEC) zusammenarbeiten, adressierte Pflicht, Regelverstöße unmittelbar zu melden (Sec. 307).
117
Die dem Audit Committee[12] im Sec. 301 SOX auferlegte Pflicht zur Implementierung eines Hinweisgebersystems beschränkt sich jedoch lediglich auf die Bereiche Buchführung, interne Buchführungskontrollen und Abschlussprüfung.[13] Im Hinblick auf diese Teilbereiche sind Unternehmen, die dem SOX unterfallen verpflichtet, sämtlichen Mitarbeitern die Möglichkeit einer vertraulichen, anonymen Hinweiserteilung zu eröffnen.[14] Weitere inhaltliche Vorgaben zur Ausgestaltung des Hinweisgebersystems bestehen nicht.
118
Sec. 301 SOX richtet sich an alle Emittenten (Issuer) i.S.d. Sec. 2 (a) SOX, also an die Unternehmen, die einer fortwährenden Berichtspflicht bei der SEC unterliegen (vgl. Sec. 13 (a), 15 (d) SEA). Vereinfacht ausgedrückt sind das sämtliche Unternehmen, deren Wertpapiere an einer US-amerikanischen Börse gehandelt oder in den USA anderweitig öffentlich angeboten werden.[15] Dabei kann es sich um amerikanische oder ausländische Unternehmen (so genannte Foreign Private Issuers) handeln.[16] Darüber hinaus muss die Vorschrift auch von Tochtergesellschaften beachtet werden, deren Muttergesellschaft an einer US-amerikanischen Börse notiert ist.[17]
119
Der deutsche Gesetzgeber verwehrte sich lange Zeit dem Thema „Schutz von Hinweisgebern“ beziehungsweise der Frage, ob der deutsche Schutz von Hinweisgebern den internationalen Anforderungen gerecht wird. Seit 2008 sind mehrere Gesetzesvorschläge und Initiativen gescheitert.[18] Auch im Koalitionsvertrag vom 14.3.2018 spielt die Thematik keine Rolle.[19]
120
Anlässlich eines Treffens am 14.5.2018 kritisierte die damalige EU-Kommissarin für Justiz Vera Jourová gegenüber der damaligen Bundesjustizministerin Katarina Barley, dass in Deutschland weder Regelungen zu klaren Meldewegen noch ein ausreichender Schutz vor Vergeltungsmaßnahmen existiere.[20]
121
In Deutschland wird Whistleblowing unter den Schutzbereich der Meinungsfreiheit des Art. 5 Abs. 1 S. 1 GG subsumiert.[21] Besondere Schranken gelten für Meinungsäußerungen von Arbeitnehmern und Angehörigen des öffentlichen Dienstes, bei denen im Rahmen der Arbeitstätigkeit erlangte Informationen verwendet werden.[22]
122
Vom Europäischen Gerichtshof für Menschenrechte (EGMR) wurde im Heinisch-Urteil am 21.7.2011 klargestellt, dass das Recht des Arbeitnehmers auf freie Meinungsäußerung gem. Art. 10 Abs. 1 S. 1 EMRK auch Hinweise auf strafbares oder rechtswidriges Verhalten des Arbeitgebers umfasst.[23] Laut EGMR ist der Staat verpflichtet, diese Rechte im Verhältnis zwischen Privatpersonen ebenfalls zu schützen und staatliche Folgemaßnahmen (z.B. arbeitsgerichtliche Entscheidungen oder Strafverfahren) unterliegen dabei dem Grundsatz der Verhältnismäßigkeit.[24]
b) Grundsätze einer generellen Implementierungspflicht
123
Der Richtlinienvorschlag der Europäischen Kommission zum „Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ wurde am 23.4.2018 veröffentlicht. In den Verhandlungen, in denen Deutschland und andere EU-Staaten nur einen deutlich schwächeren Schutz für Hinweisgeber gewährleisten wollten, wenn diese sich nicht zuerst an eine interne Stelle in der eigenen Organisation wenden, wurde am 12.3.2019 schließlich eine Einigung erzielt.[25] Der Rat der EU hat die Vorschriften zum Schutz von Hinweisgebern am 7.10.2019 förmlich verabschiedet. Die Richtlinie (EU) 2019/1937 wurde am 26.11.2019 im Amtsblatt der Europäischen Union veröffentlicht und trat am 16.12.2019 final in Kraft.[26] Die EU-Mitgliedsstaaten müssen die Direktive nun bis zum 17.12.2021 in nationales Recht umsetzen.[27] Das Bundesministerium der Justiz und für Verbraucherschutz hat dazu einen entsprechenden Entwurf erarbeitet (Stand: 26.11.2020). Den Referentenentwurf eines „Gesetzes für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen des Unionsrecht melden“[28] hat das Bundesjustizministerium im Dezember 2020 zur Abstimmung an die anderen Ressorts versandt.
aa) Ziel der EU-Hinweisgeberrichtlinie
124
Grds. zielt die EU-Hinweisgeberrichtlinie darauf ab, Schädigungen des öffentlichen Interesses abzuwenden sowie die Freiheit der Meinungsäußerung und die Informationsfreiheit zu schützen.[29] Unmittelbar verfolgt die Richtlinie in Art. 1 einen verstärkten Schutz von Hinweisgebern.[30] Mittelbar verfolgt sie eine verbesserte Rechtsdurchsetzung sowie den Schutz der finanziellen Interessen der EU.[31]
bb) Pflicht zur Einrichtung interner Meldekanäle
125
Aus der Richtlinie gehen auch – nach Umsetzung durch die nationalen Gesetzgeber – die Adressaten hervor, die den Schutz der Hinweisgeber zu verantworten haben und die entsprechenden (Schutz-)Maßnahmen treffen müssen.
126
Gem. Art. 8 Abs. 3, 9 i.V.m. Art. 8 Abs. 1 der Richtlinie müssen juristische Personen des privaten und öffentlichen Sektors, die 50 oder mehr Arbeitnehmer haben oder mehr als 10 Mio. EUR Jahresumsatz erwirtschaften, geeignete Meldekanäle und Verfahren für interne Meldungen und für Folgemaßnahmen einrichten (§ 12 Abs. 2 HinSchG-E). Für Unternehmen ab 250 Mitarbeitern gilt diese Pflicht gem. Art. 26 Abs. 1 der Richtlinie bereits in zwei Jahren. Für Unternehmen mit 50 bis 249 Mitarbeitern gibt es nach Art. 26 Abs. 2 der Richtlinie eine Übergangsfrist von weiteren zwei Jahren. Die Richtlinie enthält auch Vorgaben zu den Anforderungen und der Ausgestaltung des internen Meldesystems.
127
Hinweisgebern soll die Möglichkeit eröffnet werden, Meldungen entweder schriftlich über ein Online-System, einen Briefkasten oder per Postweg abzugeben und mündlich per Telefonhotline oder Anrufbeantwortersystem.[32] Zudem sollen auf Verlangen des Hinweisgebers auch persönliche Treffen ermöglicht werden (§ 16 Abs. 3 HinSchG-E).
128
Die EU-Richtlinie stellt es den Unternehmen frei, ob die verpflichtend einzurichtenden Meldekanäle intern von zuständigen Personen oder Abteilungen betrieben werden oder externe Dritte herangezogen werden.[33] Gerade für Unternehmen mit 50 bis 249 Mitarbeiter präsentiert die EU-Richtlinie in Art. 8 Abs. 6 explizit die Möglichkeit, für die Entgegennahme von Meldungen bzw. die Durchführung von Untersuchungen Ressourcen zu teilen. Dabei stellt die Richtlinie klar, dass dies unbeschadet der Verpflichtung gilt, dass die Vertraulichkeit zu wahren, Rückmeldung zu geben und gegen den gemeldeten Verstoß vorzugehen ist.[34]
129
Den Mitgliedstaaten bleibt nach Art. 8 Abs. 7 der Richtlinie offen, auch juristische Personen des privaten Sektors mit weniger als 50 Arbeitnehmern zu verpflichten, interne Meldekanäle und -verfahren einzurichten, wenn dies nach Art der Tätigkeiten der juristischen Personen und den von ihnen ausgehenden Risiken, insbesondere für die Umwelt und die öffentliche Gesundheit erforderlich erscheint.
(1) Sachlicher Anwendungsbereich
130
Der Schutz des Hinweisgebers bezieht sich – auf Basis der EU-Richtlinie – jedoch lediglich auf das Melden von Missständen mit Bezug zu EU-Recht.[35] Art. 2 der Richtlinie (§ 2 Abs. 1 HinSchG-E) stellt klar, dass Verstöße, die in den Anwendungsbereich der im Anhang zur Richtlinie aufgeführten Rechtsakte der Union fallen und die folgenden Bereiche betreffen, vom Schutz durch die Richtlinie umfasst sind:
| – | öffentliches Auftragswesen; |
| – | Finanzdienstleistungen, Finanzprodukte und Finanzmärkte sowie Verhinderung von Geldwäsche und Terrorismusfinanzierung; |
| – | Produktsicherheit und -konformität; |
| – | Verkehrssicherheit; |
| – | Umweltschutz; |
| – | Strahlenschutz und kerntechnische Sicherheit; |
| – | Lebensmittel- und Futtermittelsicherheit, Tiergesundheit und Tierschutz; |
| – | öffentliche Gesundheit; |
| – | Verbraucherschutz; |
| – | Schutz der Privatsphäre und personenbezogener Daten sowie Sicherheit von Netz- und Informationssystemen; |
| – | Verstöße gegen die finanziellen Interessen der Union (i.S.v. Art. 325 AEUV); |
| – | Verstöße gegen die Binnenmarktvorschriften (i.S.v. Art. 26 Abs. 2 AEUV) einschließlich der Verstöße gegen unionsrechtliche Wettbewerbsvorschriften und staatliche Beihilfen, gegen Handlungen, die die Körperschaftssteuer-Vorschriften verletzen oder in Bezug auf Vereinbarungen, die darauf abzielen, sich einen steuerlichen Vorteil zu verschaffen, der dem Ziel oder dem Zweck des geltenden Körperschaftssteuerrechts zuwiderläuft. |
131
Mit Art. 2 Abs. 2 der Richtlinie ermächtigt und ermuntert die EU die nationalen Gesetzgeber dazu, den sachlichen Anwendungsbereich bei der Umsetzung in nationales Recht noch zu erweitern. Mit Erwägungsgrund 106 hält sich die EU die Ausweitung des sachlichen Anwendungsbereichs explizit offen, sofern neue Erkenntnisse oder eine Evaluierung der Effektivität der Richtlinie die Notwendigkeit ergibt, die Durchsetzung der Richtlinie zu verstärken. Diese Ermächtigung hat das Bundesjustizministerium aufgegriffen und den sachlichen Anwendungsbereich auch auf Verstöße gegen deutsches Recht erweitert.[36]
(2) Persönlicher Anwendungsbereich
132
Die EU-Richtlinie zielt nicht ausschließlich auf den Schutz von Mitarbeitern (Arbeitnehmer und Beamte) ab. Unter den Schutz der EU-Richtlinie fallen nach Art. 4 der Richtlinie auch Bewerber, bezahlte und unbezahlte Praktikanten, ehemalige Mitarbeiter, Unterstützer des Hinweisgebers sowie Journalisten, Anteilseigner und Personen, die dem Verwaltungs-, Leitungs- oder Aufsichtsorgan eines Unternehmens angehören. Auch Personen außerhalb des betroffenen Unternehmens fallen nach Art. 4 Abs. 4 unter den Schutz der Richtlinie. Dazu zählen Personen, die unter der Aufsicht und Leitung von Auftragnehmern, Unterauftragnehmern und Lieferanten arbeiten aber auch Kollegen oder Verwandte des Hinweisgebers, wenn ihnen im beruflichen Kontext Repressalien drohen. Geschützt sind somit alle Personen, die in einer „arbeitsbezogenen Verbindung“ mit dem Unternehmen stehen.[37]
c) Inhaltliche Ausgestaltung der Implementierung eines Hinweisgebersystems
133
Aus dem Schutz des Hinweisgebers als zentrales Ziel der Richtlinie folgt, dass die Identität des Hinweisgebers geheim zu halten ist und die Inhalte vertraulich behandelt werden müssen (ausführlich siehe unten Rn. 140, 145).[38]
134
Eine weitere Vorgabe betrifft die Information des Hinweisgebers über den Stand seiner Meldung und das weitere Verfahren (ausführlich siehe unten Rn. 146).[39]
135
Alle eingegangenen Meldungen müssen sicher aufbewahrt werden, damit sie ggf. als Beweismaterial verwendet werden können (zur Dokumentationspflicht siehe unten Rn. 147 f.).[40]
136
Die in Art. 8 Abs. 1 der Richtlinie statuierte Pflicht zur Einführung eines Hinweisgebersystems enthält zugleich das Verbot von Repressalien (ausführlich siehe unten Rn. 149, 155).[41]
137
Die Unternehmen sind zudem verpflichtet, Informationen über die internen Meldeverfahren und die Möglichkeit externer Meldungen transparent und verständlich bereitzustellen.[42] Diese Information muss auch den Personen zugänglich gemacht werden, die nicht selbst Mitarbeiter sind, aber in den persönlichen Anwendungsbereich der Richtlinie fallen.[43]
138
Um sicherzustellen, dass es sich bei den Vorgaben in der EU-Richtlinie nicht um einen „zahnlosen Tiger“ handelt, sind in der Richtlinie in Art. 23 Sanktionen vorgesehen.[44] Unternehmen, die das Melden von Missständen behindern oder zu behindern versuchen, müssen mit Strafen rechnen. Wenn Unternehmen die Identität des Hinweisgebers nicht vertraulich behandeln, soll dies ebenso geahndet werden, wie Vergeltungsmaßnahmen gegen den Hinweisgeber.[45] Die Höhe dieser Sanktionen ist gem. Art. 23 Abs. 1 der Richtlinie Sache der nationalen Gesetzgeber.
139
Neben dieser an die Unternehmen adressierten Pflicht, interne Meldestellen einzurichten, enthält die Richtlinie auch eine Verpflichtung für die nationalen Behörden. Nach Art. 11 der Richtlinie ist es Aufgabe der Mitgliedsstaaten, die zuständigen Behörden für die Entgegennahme von Meldungen (und entsprechende Folgemaßnahmen) zu benennen und diese mit den erforderlichen Ressourcen auszustatten.
aa) Vertraulichkeitsgebot
140
Wesentlichen Schutz soll die Einführung von Hinweisgebersystemen dadurch ermöglichen, dass die Vertraulichkeit der Identität des Hinweisgebers gewahrt bleiben soll. Gem. Art. 9 Abs. 1 a) der Richtlinie müssen die von Unternehmen einzurichtenden internen Hinweisgebersysteme so konzipiert, eingerichtet und betrieben werden, dass die Vertraulichkeit der Identität der Hinweisgeber und Dritter, die in der Meldung erwähnt werden, sichergestellt ist und nur befugte Mitarbeiter auf diese Information zugreifen können.[46]
141
Nach Art. 12 Abs. 1 a) der Richtlinie sind externe Meldekanäle so zu gestalten, dass die Vollständigkeit, Integrität und Vertraulichkeit der Information sichergestellt ist.
142
In beiden Fällen sind die Hinweisgebersysteme so zu gestalten, dass die Vertraulichkeit der übermittelten Informationen, einschließlich der Identität des Hinweisgebers gewährleistet ist. Dieser Schutz scheint nach dem formulierten Ziel der Richtlinie und nach Art. 16 Abs. 1 S. 1 der Richtlinie zunächst absolut zu sein. Das heißt, dass eine Preisgabe der Identität des Hinweisgebers an andere als die zur Entgegennahme von Meldungen und Durchführung von Folgemaßnahmen befugten Mitarbeiter dem Wortlaut des Abs. 1 der Richtlinie nach nur mit einer ausdrücklichen Zustimmung erlaubt ist. Dasselbe gilt nach Art. 16 Abs. 1 S. 2 der Richtlinie für alle anderen Informationen, aus denen die Identität des Hinweisgebers direkt oder indirekt abgeleitet werden kann.
143
Von diesem scheinbar absoluten Schutz macht Art. 16 Abs. 2 der Richtlinie eine Ausnahme.[47] Die Identität des Hinweisgebers darf dann offengelegt werden, wenn dies nach Unionsrecht oder nationalem Recht eine notwendige und verhältnismäßige Pflicht im Rahmen von Untersuchungen durch nationale Behörden oder von Gerichtsverfahren darstellt. Dazu zählt auch die Wahrung der Verteidigungsrechte der vom Hinweis betroffenen Person, Art. 16 Abs. 2 a.E. der Richtlinie. Allerdings ist der Hinweisgeber zu unterrichten, bevor seine Identität offengelegt wird, Art. 16 Abs. 3 S. 2 der Richtlinie.
144
Damit besteht zumindest nach der Richtlinie kein absoluter Schutz.[48] Die Richtlinie gewährt den Mitgliedsstaaten in Art. 25 Abs. 1 jedoch die Möglichkeit, die Rechte von Hinweisgebern günstiger auszugestalten, als es in der Richtlinie vorgesehen ist. Da der Schutz des Hinweisgebers das primäre Ziel der Richtlinie ist und nur eine effektive Meldekultur die finanziellen Interessen der Union sowie die Rechtsgüter der Allgemeinheit schützen kann, müssen die Identität des Hinweisgebers und dessen persönliche Daten absoluten Schutz erfahren.[49] Nur so kann sich ein Hinweisgeber sicher sein, dass er keine Repressalien zu befürchten hat.
145
Von dem Schutz der Identität des Hinweisgebers zu unterscheiden ist die Möglichkeit, Hinweise anonym abzugeben.[50] Dies ist in der Richtlinie nicht geregelt. Es ist daher dem nationalen Gesetzgeber bzw. dem Unternehmen überlassen, ob die Möglichkeit geschaffen werden soll, anonyme Hinweise entgegenzunehmen.[51] Eine etwaige Kollision mit den Vorschriften der DSGVO wird durch Erwägungsgrund 84 entschärft, der klarstellt, dass die Geheimhaltung der Identität des Hinweisgebers einen wichtigen Grund i.S.d. Art. 23 Abs. 1 e) und i) DSGVO darstellt und daher die Rechte und Pflichten der DSGVO in diesem Fall eingeschränkt beziehungsweise nicht anwendbar sind. Erwägungsgrund 85 enthält sogar eine explizite Aufforderung an die Mitgliedsstaaten, gesetzgeberische Maßnahmen zu treffen.[52]
bb) Information des Hinweisgebers
146
Hinweisgeber sind gem. Art. 9 Abs. 2, 11 Abs. 2 b) der Richtlinie innerhalb von sieben Tagen sowohl von internen als auch externen Stellen über den Eingang des Hinweises zu informieren.[53] Die Regelung des Art. 9 Abs. 1 Ziff. f) i.V.m. Abs. 5 Nr. 13 der Richtlinie sieht zudem vor, dass das Unternehmen den Hinweisgeber spätestens innerhalb von drei Monaten nach seiner Meldung darüber informieren soll, wie mit dem Hinweis verfahren wurde, sowie über den Stand beziehungsweise das Ergebnis der Ermittlungen und die ergriffenen Maßnahmen.[54] Diese in zeitlicher Hinsicht vorgegebene Informationspflicht stellt die zuständigen Abteilungen im Unternehmen vor enorme Hürden und wird wohl viele Unternehmen dazu zwingen, die betroffenen Abteilungen in personeller, prozessualer und technischer Hinsicht aufzurüsten. Eingegangene Hinweise müssen quasi unmittelbar plausibilisiert und bearbeitet werden, interne Ermittlungen müssen beauftragt und Stellungnahmen angefertigt werden.
cc) Dokumentation der Meldungen
147
Alle eingehenden Meldungen sind gem. Art. 18 der Richtlinie im Einklang mit den Vertraulichkeitspflichten aus Art. 16 der Richtlinie zu dokumentieren.[55] Die Meldungen sollen nicht länger aufbewahrt werden, als dies erforderlich und verhältnismäßig ist, Art. 18 Abs. 1 S. 2 der Richtlinie.
148
Bei verbal übermittelten Meldungen sind diese durch Erstellung einer Tonaufzeichnung des Gesprächs beziehungsweise durch vollständige und genaue Niederschrift des Gesprächs zu dokumentieren, Art. 18 Abs. 2 Ziff. a) und b) der Richtlinie. Dies gilt auch für Meldungen, die im Wege eines persönlichen Treffens gemacht werden, Art. 18 Abs. 4 der Richtlinie.
dd) Schutzmaßnahmen
149
Vor allem die Angst vor persönlichen Konsequenzen hindert Mitarbeiter daran, Rechts- oder Richtlinienverstöße zu melden.[56] Der Schutz vor Repressalien und Vergeltungsmaßnahmen aufgrund eines Hinweises ist ein wichtiges Ziel der Richtlinie. Die konkrete Ausgestaltung des Schutzes des Hinweisgebers ist im Hinweisgebersystem verortet.
(1) Schutz vor Repressalien
150
Art. 19 der Richtlinie enthält einen umfassenden Katalog an verbotenen Repressalien, der weit über die aus § 612a BGB bekannten Maßregelungen hinausgeht.[57] Zusätzlich zu dem Verbot von Versetzung, Degradierung, Gehaltseinbußen und Kündigung, regelt Art. 19 der Richtlinie auch verbotene Repressalien in Form von entgangenen Vorteilen, wie etwa die Nichtverlängerung von zeitlich befristeten Verträgen (j) oder reputationsbezogene Schädigungen (k). Maßnahmen wie Entlassungen oder die Nichtverlängerung von Verträgen können den Hinweisgeber in den finanziellen Ruin treiben und sind nur schwer rückgängig zu machen.[58] Im Detail sind folgende Repressalien verboten:
| – | Suspendierung, Kündigung oder vergleichbare Maßnahmen; |
| – | Herabstufung oder Versagung einer Beförderung; |
| – | Aufgabenverlagerung, Änderung des Arbeitsortes, Gehaltsminderung, Änderung der Arbeitszeit; |
| – | Versagung der Teilnahme an Weiterbildungsmaßnahmen; |
| – | negative Leistungsbeurteilung oder Ausstellung eines schlechten Arbeitszeugnisses; |
| – | Disziplinarmaßnahme, Rüge oder sonstige Sanktion einschließlich finanzieller Sanktionen; |
| – | Nötigung, Einschüchterung, Mobbing oder Ausgrenzung; |
| – | Diskriminierung, benachteiligende oder ungleiche Behandlung; |
| – | Nichtumwandlung eines befristeten Arbeitsvertrags in einen unbefristeten Arbeitsvertrag in Fällen, in denen der Arbeitnehmer zu Recht erwarten durfte, einen unbefristeten Arbeitsvertrag angeboten zu bekommen; |
| – | Nichtverlängerung oder vorzeitige Beendigung eines befristeten Arbeitsvertrags; |
| – | Schädigung (einschließlich Rufschädigung), insbesondere in den sozialen Medien, oder Herbeiführung finanzieller Verluste (einschließlich Auftrags- oder Einnahmeverluste); |
| – | Erfassung des Hinweisgebers auf einer „schwarzen Liste“ auf Basis einer informellen oder formellen sektor- oder branchenspezifischen Vereinbarung mit der Folge, dass der Hinweisgeber sektor- oder branchenweit keine Beschäftigung mehr findet; |
| – | vorzeitige Kündigung oder Aufhebung eines Vertrags über Waren oder Dienstleistungen; |
| – | Entzug einer Lizenz oder einer Genehmigung; |
| – | psychiatrische oder ärztliche Überweisungen. |
151
Geschützt sind nach Art. 6 Abs. 1 der Richtlinie nur gutgläubige Hinweisgeber, also solche, die einen hinreichenden Grund zu der Annahme hatten, dass die gemeldeten Informationen über Verstöße im Zeitpunkt der Meldung der Wahrheit entsprachen und dass die Information in den sachlichen Anwendungsbereich der Richtlinie fällt.[59] Zudem müssen sie intern nach Art. 7 der Richtlinie oder extern nach Art. 10 der Richtlinie den Verstoß gemeldet haben beziehungsweise unter Berücksichtigung der Voraussetzungen des Art. 15 der Richtlinie eine Offenlegung vorgenommen haben. Hinweisgeber, deren Meldung in den Anwendungsbereich der Richtlinie fällt, sollen vor jeglichen direkten oder indirekten Repressalien geschützt werden. Dieser Schutz ist bereits heute standardmäßig in den internen Richtlinien zu den Hinweisgebersystemen vieler Unternehmen garantiert.[60] Nach Art. 5 Nr. 6 der Richtlinie handelt es sich bei der Offenlegung um das „öffentliche Zugänglichmachen von Informationen über Verstöße“. Hierbei werden jedoch die sich gegenüberstehenden (Grund-)Rechtspositionen nicht weiter konkretisiert.[61]
152
Der in Art. 19 der Richtlinie verankerte Schutz wird flankiert von den in Art. 20 der Richtlinie genannten unterstützenden Maßnahmen und den in Art. 21 der Richtlinie statuierten Maßnahmen zum Schutz vor Repressalien. Zu den unterstützenden Maßnahmen gehört nach Art. 20 Abs. 1 a) i.V.m. Art. 20 Abs. 3 der Richtlinie ein einfacher und kostenloser Zugang zu umfassender und unabhängiger Information und Beratung über die verfügbaren Abhilfemöglichkeiten und Verfahren gegen Repressalien. Art. 21 Abs. 6 der Richtlinie eröffnet den Zugang zu geeigneten Abhilfemaßnahmen gegen Repressalien, einschließlich eines in Art. 21 Abs. 4 der Richtlinie statuierten einstweiligen Rechtsschutzes während laufender Gerichtsverfahren.
153
Hervorzuheben ist die in Art. 21 Abs. 5 S. 2 der Richtlinie festgelegte Beweislastumkehr bezüglich des Nachweises, dass eine benachteiligende Maßnahme nicht aufgrund einer Meldung erfolgt ist, sondern auf hinreichend gerechtfertigten Gründen basierte.[62] Diese kommt dem Hinweisgeber zugute. Dies bietet jedoch auch die Gefahr, dass sich Mitarbeiter durch einen „Hinweis“ einen zusätzlichen Kündigungsschutz verschaffen. Dieses Phänomen des Missbrauchs wurde in England beobachtet. In diesem Fall müssen Unternehmen eine umfangreiche Dokumentation durchführen um ggf. nachzuweisen, dass die Maßnahmen nicht mit dem Whistleblowing zusammenhängen.[63] Gelingt einem Unternehmen nicht der Gegenbeweis erleidet es einen Nachteil dadurch, dass die benachteiligende Maßnahme gegen den Arbeitnehmer für unwirksam erklärt wird, zum anderen ordnet Art. 23 Abs. 1 lit. b) und c) der Richtlinie an, dass angemessene Sanktionen und Strafen gegen solche Arbeitgeber verhängt werden sollen.[64]
Бесплатный фрагмент закончился.
