Whistleblowing und interne Meldestellen: neue rechtliche Bestimmungen

Ende Februar 2023 ist das lange überfällige HinweisgeberInnenschutzgesetz (HSchG) in Kraft getreten und damit wurde die EU-Whistleblower-Richtlinie in nationales Recht umgesetzt. Diese sieht vor, dass alle Mitgliedsstaaten der EU entsprechende Schutzmechanismen für Whistleblower:innen einführen, um sicherzustellen, dass diese Personen vor Vergeltungsmaßnahmen geschützt sind, wenn sie Verstöße gegen das Unionsrecht melden.

Die Einrichtung von Meldekanälen

Eine Verpflichtung zur Einrichtung interner Meldekanäle besteht für Unternehmen ab einer Größe von 250 Arbeitnehmer:innen und ab 17.12.2023 ab einer Größe von 50 Arbeitnehmer:innen; weiters für bestimmte Unternehmen (insbesondere im Finanzsektor) unabhängig von der Anzahl der Beschäftigten und für den öffentlichen Sektor (Bund, Länder, Gemeinden, Kammern … ). Darüber hinaus sind externe Meldekanäle einzurichten. Externe Meldestelle ist grundsätzlich das Bundesamt für Korruptionsprävention und Korruptionsbekämpfung.

Für die Meldekanäle gibt es bestimmte Anforderungen in Bezug auf Sicherheit, Vertraulichkeit, Unparteilichkeit, Einhaltung eines bestimmten Verfahrens etc.

Schutzbestimmungen für Whistleblower:innen

Die Identität des Hinweisgebers oder der Hinweisgeberin soll streng gewahrt werden. Dies gilt auch für Informationen, aus denen die Identität von Hinweisgeber:innen direkt oder indirekt abgeleitet werden kann. Wird der Inhalt eines Hinweises anderen als den zuständigen Mitarbeiter:innen einer internen oder externen Meldestelle bekannt, insbesondere weil der Hinweis nicht unmittelbar in der zuständigen Stelle eingelangt ist (z.B. eine Hinweisgeberin wendet sich an ein Mitglied des Betriebsrats), ist dieser Person, abgesehen von der Weiterleitung an die zuständige Stelle, die Bekanntgabe des Inhalts des Hinweises oder der Identität des Hinweisgebers oder der Hinweisgeberin untersagt.

Es ist darüber hinaus ein umfassender Schutz vor Repressalien durch den Arbeitgeber oder die Arbeitgeberin vorgesehen und Whistleblower:innen können nicht wegen Verleumdung, Verletzung des Urheberrechts, Verletzung von Geheimhaltungspflichten und Ähnlichem haftbar gemacht werden.

Für Personen, die Meldungen behindern, gegen Hinweisgeber:innen Repressalien ergreifen oder die Bestimmungen zum Schutz der Vertraulichkeit verletzen sind Verwaltungsstrafen vorgesehen. Bestraft werden kann aber auch jemand, der wissentlich einen falschen Hinweis gibt.

Die Anforderungen an die interne Meldestelle

Die Meldekanäle müssen so sicher konzipiert, eingerichtet und betrieben werden, dass die Vertraulichkeit der Identität des Hinweisgebers bzw. der Hinweisgeberin und Dritter, die in der Meldung erwähnt werden, gewahrt bleibt. Nicht befugten Mitarbeiter:innen muss der Zugriff darauf verwehrt sein.

Solange die Vertraulichkeit gewahrt bleibt, kann jedes Unternehmen bzw. jede Einrichtung selbst festlegen, welche Art von Meldekanal es wählt (Briefkasten, Telefon-Hotline, Onlineplattform, interne Vertrauensperson, externe Ombudsperson). Die Meldungen müssen in schriftlicher oder mündlicher bzw. in beiden Formen möglich sein und auf Anfrage des Hinweisgebers bzw. der Hinweisgeberin soll auch ein persönliches Treffen stattfinden. Wenn eine Meldung eingeht, dann muss innerhalb einer Frist von sieben Tagen an den Hinweisgeber bzw. die Hinweisgeberin der Eingang der Meldung bestätigt werden. Für Folgemaßnahmen (weitere Nachforschungen, Ermittlungen oder sonstige Maßnahmen zum weiteren Vorgehen auf Grund des Hinweises) kann die interne Stelle oder ein damit eigenes Organ betraut werden.

Innerhalb von maximal drei Monaten ab Eingang der Meldung muss eine Rückmeldung an den Hinweisgeber bzw. die Hinweisgeberin über die Folgemaßnahmen erfolgen. Die Unternehmen müssen auch sicherstellen, dass mögliche Hinweisgeber:innen einfachen Zugang zu klaren Informationen über die Möglichkeit und das Verfahren der Hinweisgebung an die interne Stelle und der Hinweisgebung an externe Stellen erhalten.

Die Meldestellen nach dem Bankwesengesetz

Nichts gänzlich Neues sind interne Meldestellen für den Bankenbereich. Hier besteht bereits seit 2014 gemäß § 99 g Bankwesengesetz die Verpflichtung der Kreditinstitute zur Einrichtung eines Hinweisgebersystems, welches bestimmte Anforderungen (insbesondere in Bezug auf Vertraulichkeit und Datenschutz) erfüllen muss. Nichtsdestotrotz haben Kreditinstitute (auch) die neuen Vorgaben zu erfüllen. In der Praxis wird es also insbesondere darum gehen, das bestehende Hinweisgebersystem zu erweitern (Anwendungsbereich – siehe sogleich) und zu adaptieren (zusätzliche Anforderungen an Vertraulichkeit, Datenschutz, Verfahren etc).

Aufpassen: Whistleblower:in ist nicht gleich Whistleblower:in

Die Richtlinie schränkt den Schutz des Whistleblowers bzw. der Whistleblowerin auf bestimmte Meldeinhalte ein. Es handelt sich dabei um Bereiche, in denen sekundäre Unionsrechtsakte erlassen wurden, wie das Öffentliche Auftragswesen, Verhütung von Geldwäsche und Terrorismusfinanzierung, Produktsicherheit, Umweltschutz, Lebensmittelsicherheit, Tierschutz, Öffentliche Gesundheit oder der Verbraucherschutz. Zentrale strafrechtliche Bestimmungen, wie Betrug, Untreue, Bilanzfälschung, Korruption, Förderungsmissbrauch, Sozialbetrug, Urkundenfälschung oder das Finanzstrafrecht sind in der Richtlinie nicht angeführt.

Dies ist darauf zurückzuführen, dass die EU keine Zuständigkeit hat eine allgemeine Regelung zum Whistleblowing zu erlassen. So musste die Richtlinie den Anwendungsbereich auf europarechtliche Bestimmungen beschränken. In den Erwägungsgründen zur Richtlinie wird den Mitgliedstaaten jedoch nahegelegt, den Anwendungsbereich auszudehnen. Deutschland etwa ist dieser Anregung insofern gefolgt, als der Regierungsentwurf das gesamte Strafrecht und Verwaltungsstrafen erfasst, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Das österreichische HSchG hingegen erweitert den auf Grund der Richtlinie vorgegebenen Anwendungsbereich bloß um die Korruptionsdelikte der §§ 302 bis 309 StGB. Nur in diesem Anwendungsbereich, also insbesondere Öffentliches Auftragswesen, Verhütung von Geldwäsche und Terrorismusfinanzierung, Produktsicherheit, Umweltschutz, Lebensmittelsicherheit, Tierschutz, Öffentliche Gesundheit, Verbraucherschutz und Korruptionsdelikte greift also der angeführte Hinweisgeber:innenschutz. Darüber hinaus sind Unternehmen mit weniger als 50 Arbeitnehmer:innen gar nicht vom HSchG erfasst!

Außerhalb dieses Anwendungsbereichs, also außerhalb des HSchG orientiert sich der Schutz von Hinweisgeber:innen an der bisherigen Rechtsprechung, die unter bestimmten Umständen einen Schutz vor Kündigung und Entlassung gewährt. Dieser Schutz ist aber wesentlich schwächer als der Schutz nach dem HSchG. Auch lässt sich auf Grund der wenigen Entscheidungen meist nicht mit Klarheit vorhersagen, wo die Grenzen des Schutzes sind. Ein potenzieller Whistleblower oder eine potenzielle Whistleblowerin sollte sich daher vor der Hinweisgebung gut beraten lassen.

Hinweisgebersystem und Aufsichtsrat

Das Gesetz ist am 25.2.2023 in Kraft getreten. Unternehmen mit 250 Arbeitnehmer:innen oder mehr müssen innerhalb von 6 Monaten, also bis längstens 25.8.2023 interne Meldestellen einrichten. Für Unternehmen mit 50 bis 249 Arbeitnehmer:innen läuft diese Frist bis 17.12.2023.

Gibt es daher noch keine Informationen im Aufsichtsrat über die Einrichtung einer Meldestelle, dann wäre es angebracht, diesbezüglich Fragen zu stellen und die weiteren Abläufe bis zur Einrichtung der Meldestelle "im Auge zu behalten“. Ist die Meldestelle dann eingerichtet, ist es empfehlenswert das Thema Whistleblowing mindestens einmal im Jahr im Aufsichtsrat zu thematisieren. Es geht vor allem darum, dass der Aufsichtsrat unter Wahrung der gebotenen Vertraulichkeit Informationen darüber bekommt, ob die Meldestelle in Anspruch genommen wird und ob sich dadurch Schwachstellen im Unternehmen gezeigt haben.

Betriebsvereinbarung – ja oder nein?

Auch für den Betriebsrat wird das Thema Meldestelle von Bedeutung sein. Da dadurch zweifellos die wirtschaftlichen Interessen der Arbeitnehmer:innen des Betriebes berührt werden, besteht jedenfalls gemäß § 91 ArbVG ein Informationsrecht gegenüber dem/der Betriebsinhaber:in. Dieses Informationsrecht bezieht sich auf die Einrichtung selbst (Welche Art der Meldestelle wurde eingerichtet? Welche Personen sind daran beteiligt? etc.) und in weiterer Folge auf allgemeine Daten und Erfahrungen mit der Meldestelle, nicht jedoch auf konkrete Daten von Hinweisgeber:innen oder im Hinweis genannter Personen.

Ob eine Betriebsvereinbarung über die Meldestelle abgeschlossen werden muss, ist rechtlich umstritten und komplex. So wie oft „kommt es darauf an“. Weitgehend anerkannt ist, dass es sich bei der Meldestelle um eine Kontrollmaßnahme handelt. Unklar ist, ob dadurch die Menschenwürde berührt wird. Sollte dies der Fall sein, dann ist eine Betriebsvereinbarung gemäß § 96 Abs 1 Z 3 ArbVG (Kontrollmaßnahmen, die die Menschenwürde berühren) notwendig. Falls nicht, dann wird es sich zumindest um eine Betriebsvereinbarung gemäß § 97 Abs 1 Z 1 ArbVG handeln. Letzteres würde dem Betriebsrat die Möglichkeit bieten, sich an die Schlichtungsstelle zu wenden, falls er die die Mitwirkung der Arbeitnehmerschaft für erforderlich hält.

Die Grenze kann darin gesehen werden, ob den Arbeitnehmer:innen bloß die Möglichkeit eingeräumt wird Hinweise über Gesetzesverstöße an die Meldestelle zu erstatten, oder ob es darüber hinaus seitens des Arbeitgebers oder der Arbeitgeberin eine Verpflichtung oder Anreize gibt Hinweise zu melden. Im letzteren Fall sprechen gute Argumente dafür, dass durch die Meldestelle die Menschenwürde berührt wird und somit die Zustimmung des Betriebsrats gemäß § 96 Abs 1 Z 3 ArbVG notwendig ist.

Getrennt von der Einrichtung der Meldestelle an sich müssen Kontrollmaßnahmen beurteilt werden, die nach dem Hinweis, also in Folge des Hinweises durch den Arbeitgeber bzw. die Arbeitgeberin bzw. durch die beauftragte Stelle erfolgen (Folgemaßnahmen). Wird durch diese Maßnahmen die Menschenwürde berührt (z. B. Installation einer Kamera im Kassenbereich) ist zweifellos eine Betriebsvereinbarung gemäß § 96 Abs 1 Z 3 ArbVG notwendig.

Die Notwendigkeit einer Betriebsvereinbarung ergibt sich auch dann, wenn in Folge der Einführung des Meldesystems personenbezogene Daten von Arbeitnehmer:innen EDV-mäßig verarbeitet oder übermittelt werden, die über die Verpflichtungen hinausgehen, die sich aus dem Gesetz ergeben (§ 96a Abs 1 Z 1 ArbVG).

ifam tipp

Die GPA hat eine Broschüre "Whistleblowing" verfasst, in der Vorbereitungsfragen, Checklisten, Praxistipps und rechtliche Rahmenbedingungen zum Thema Whistleblowing und dem Einsatz von einem Hinweisgeber:innen-System enthalten sind. Neben einer Muster-Betriebsvereinbarung findet sich auch eine umfassende FAQ-Liste.