Bei dem Hinweisgebersystem müssen eingegangene Meldungen auf ihre Stichhaltigkeit geprüft werden. Was heißt das genau?
Das im Referentenentwurf vorliegende neue Hinweisgeberschutzgesetz regelt in § 17 was die interne Meldestelle zu tun hat, wenn eine Meldung eingegangen ist:
Im angesprochenen Referentenentwurf ist die Stichhaltigkeitsprüfung eingegangener Meldungen also verbindlich vorgeschrieben. Was der Gesetzgeber aber genau hierunter versteht, wird im Gesetz nicht erläutert.
In der Praxis besteht die Stichhaltigkeitsprüfung aus mehreren Schritten. Am Anfang steht die „Substanzprüfung“. In dieser Phase wird ermittelt, ob der Hinweis genügend Substanz aufweist, um weiterführende Ermittlungen sinnvoll erscheinen zu lassen. Ein Beispiel: „Es könnte sein, dass in unserem Unternehmen jemand bestochen worden ist.“ Enthält der Hinweis keine weiteren Informationen, reicht die Substanz nicht aus, um das angesprochene potenzielle Fehlverhalten zu konkretisieren. Technisch gesprochen wird der Hinweis nicht zu einem Fall.
Danach muss der Hinweis auf Plausibilität geprüft werden. Mit anderen Worten: Können die übermittelten Informationen grundsätzlich überhaupt stimmen? Auch hier ein Beispiel: „Herr Müller hat vorgestern im Materiallager mehrere Druckerpatronen gestohlen“. Stellt sich heraus, dass Herr Müller seit einer Woche krankgeschrieben ist und das Werksgelände nicht betreten hat, so ist der Hinweis nicht stichhaltig.
Wenn ein Hinweis auf Fehlverhalten im Unternehmen oder der Dienststelle zu wenig Substanz hat oder unplausibel ist, wird er die Stichhaltigkeitsprüfung nicht bestehen. Dann ist im Einklang mit § 18 des Hinweisgeberschutzgesetzes das Verfahren abzuschließen. Falls die Stichhaltigkeitsprüfung jedoch bestanden wird, wird aus dem Hinweis ein Fall, der gegebenenfalls detaillierte forensische Untersuchungen erforderlich macht und abschließend die Umsetzung konkreter Maßnahmen, die verhindern sollen, dass ein gleiches oder ähnlich gelagertes Fehlverhalten künftig noch einmal vorkommen kann.
Wenn Sie sich über dieses Thema weiter informieren möchten, hören Sie gerne unseren Podcast WHISTLEpedia. Er ist bei iTunes, Spotify, YouTube oder direkt hier auf der Seite kostenlos hörbar.
Stephan Rheinwald ist Gesellschafter und Geschäftsführer der Hinweisgebersystem24 GmbH und der Compliance Officer Services GmbH. Er schreibt diesen Blog für Einsteiger und Fortgeschrittene, die sich näher über Hinweisgebersysteme und interne Meldestellen informieren wollen.
Im Juni gab die EU-Kommission zwei Stellungnahme ab, in denen es heißt, dass ein rein zentrales Hinweisgebersystem im Konzern nicht ausreicht. Unternehmen mit mehr als 50 Mitarbeiter sind daher verpflichtet ein eigenes dezentrales Hinweisgebersystem einzurichten. Was das für die Unternehmen zur Folge hat und welche Umstrukturierungen auf sie zukommen werden, wird in einem Blogbeitrag der Kanzlei CMS von Partner Florian Block und Associate Pia Kremer erläutert.
Quelle: Florian Beck/ Pia Kremer: „Whistleblowing im Konzern: Eine zentrale Stelle ist zu wenig!“ auf: https://www.cmshs-bloggt.de/compliance/whistleblowing-im-konzern-eine-zentrale-stelle-ist-zu-wenig/ (abgerufen am 16. September 2021)
Erstmalig seit Verabschiedung der EU-Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (Richtlinie (EU) 2019/1937), hat sich die EU-Kommission (Kommission) in zwei kürzlich bekannt gewordenen Stellungnahmen (am 2. Juni und am 29. Juni 2021) zu Wort gemeldet und Auslegungshinweise zur Umsetzung der Hinweisgeberrichtlinie gegeben. Den Stellungnahmen waren Anfragen verschiedener Großkonzerne vorausgegangen.
Die von der Kommission nun vorgegebenen Anforderungen dürften sich in der Praxis vielfach nur mit erheblichem Aufwand umsetzen lassen – vor allem in Unternehmen mit größeren Tochtergesellschaften.
Gerade in weltweit tätigen Großunternehmen sind Hinweisgebersysteme schon heute vergleichsweise verbreitet. Dabei ist es gängige Praxis, dass eine zentrale oder mehrere regionale Meldestellen eingerichtet werden, die Hinweise auf mögliche Compliance-Verstöße entgegennehmen. Häufig werden diese Meldungen durch eine zentrale Stelle – nicht selten die Compliance-Abteilung – bearbeitet und etwaige Aufklärungsmaßnahmen von dort koordiniert.
Die Gründe hierfür liegen auf der Hand: Die zentrale Bearbeitung führt zu Erfahrungs- und Effizienzgewinnen, die regelmäßig knappen personellen Ressourcen werden geschont und die Compliance-Abteilung erhält einen Überblick über mögliche Gesetzesverstöße im gesamten Konzern oder Schwachstellen in der Compliance-Organisation.
Diese Art der Organisation des Whistleblowings dürfte jedoch künftig nicht mehr ausreichen. Denn ein zentral organisiertes, konzernweites Hinweisgebersystem soll nach Auffassung der Kommission den Anforderungen der Hinweisgeberrichtlinie nicht genügen. Die Kommission findet deutliche Worte in Bezug auf Hinweisgebersysteme, bei denen sowohl Melde- als auch Untersuchungsstelle bei einer zentralen Einheit im Konzern angesiedelt sind. Ein solches System sei „contra legem″ – jede Gesellschaft, die mehr als 50 Mitarbeiter beschäftige, sei nach Art. 8 Abs. 3 der Hinweisgeberrichtlinie verpflichtet, ein eigenes Hinweisgebersystem einzurichten. Dies gelte für eigenständige Gesellschaften ebenso wie für Konzerngesellschaften und unabhängig davon, ob bereits ein konzernweites Hinweisgebersystem bestehe. Die Hinweisgeberrichtlinie lasse hier keinen Raum für Interpretationen.
Immerhin stellt die Kommission klar, dass ein bereits bestehendes zentrales Hinweisgebersystem selbstverständlich weiterhin parallel betrieben werden kann. Es sei dann die Entscheidung des Hinweisgebers, ob er sich an die dezentrale Stelle in „seiner″ eigenen Tochtergesellschaft oder an das zentrale System wenden wolle. Durch eine gezielte Informationspolitik könne das Unternehmen versuchen, die Akzeptanz des bestehenden zentralen Systems zu stärken und somit darauf hinwirken, dass dieses System bevorzugt genutzt werde. Notwendig sei aber in jedem Fall, dass dem Hinweisgeber neben dem zentralen auch ein dezentrales Hinweisgebersystem offen stehe.
Die Kommission zeigt immerhin auf, dass auch im Konzernverbund für mittelgroße (Tochter-)Gesellschaften mit 50 bis 249 Mitarbeitern gewisse Erleichterungen gelten sollen.
So sieht Art. 8 Abs. 6 der Hinweisgeberrichtlinie vor, dass sich mittelgroße Gesellschaften zum Betrieb eines gemeinsamen Hinweisgebersystems zusammentun und Kapazitäten sowohl für die Entgegennahme von Meldungen als auch für anschließende Untersuchungsmaßnahmen teilen können; dies soll auch für konzernangehörige Gesellschaften gelten. Jedenfalls für Tochtergesellschaften mit weniger als 250 Mitarbeitern steht daher die Möglichkeit offen, ein regionales Hinweisgebersystem aufzubauen, bei welcher eine (Tochter-)Gesellschaft für mehrere Gesellschaften als Melde- und Untersuchungsstelle fungiert.
Die Kommission legt Art. 8 Abs. 6 der Hinweisgeberrichtlinie außerdem dergestalt aus, dass mittelgroße (Tochter-)Gesellschaften unter bestimmten Bedingungen auch auf die zentrale Untersuchungsstelle des Konzerns zurückgreifen können und keine eigene Untersuchung durchführen müssen. Voraussetzung hierfür soll jedoch sein, dass diese Tochtergesellschaften gleichwohl eigene Meldekanäle anbieten, den Hinweisgeber über die Abgabe der Untersuchung an die zentrale Stelle informieren, dieser damit einverstanden ist und dass Folgemaßnahmen und Rückfragen gegenüber dem Hinweisgeber ausschließlich auf Ebene der Tochtergesellschaft erfolgen. Verweigert der Hinweisgeber sein Einverständnis mit der Abgabe der Untersuchung, so muss die Meldung auf Ebene der Tochtergesellschaft untersucht werden. Die Kommission stellt jedoch klar, dass in diesem Fall zumindest das Ergebnis der Untersuchung konzernintern mitgeteilt werden darf.
Für große (Tochter-)Gesellschaften mit mehr als 250 Mitarbeitern sollen die vorgenannten Erleichterungen hingegen nicht gelten. Diese Gesellschaften müssen daher zwingend eigene Melde- und Untersuchungsstellen einrichten, die eingehende Hinweise unabhängig vom und außerhalb des zentralen Hinweisgebersystems bearbeiten können. Eine Ressourcenteilung soll bei diesen Gesellschaften ausdrücklich nicht möglich sein.
Für den Fall, dass eine Meldung auf einen gesellschaftsübergreifenden Verstoß hinweist, der eine Untersuchung auf Konzernebene erforderlich macht, hat die Kommission eine ganz eigene Lösung parat: Die weitere Bearbeitung und Aufklärung des Hinweises soll durch eine andere Stelle im Konzern – z.B. die zentrale Compliance-Abteilung – erfolgen dürfen.
Dies soll allerdings nur dann gelten, wenn der Hinweisgeber zuvor über die geplante Weiterleitung der Meldung informiert wurde und sein Einverständnis zur Abgabe erteilt. Ist der Hinweisgeber mit der Abgabe der Untersuchung hingegen nicht einverstanden, soll er seine Meldung „zurücknehmen″ und eine externe Meldung bei der zuständigen Behörde abgeben können.
Wie das Unternehmen mit der zurückgenommenen Meldung umzugehen hat, wird von der Kommission nicht weiter thematisiert. Dabei wirft diese Regelung gewichtige Fragen auf. Darf das Unternehmen trotz Rücknahme der Meldung intern ermitteln und muss es das nicht sogar? Die Hinweisgeberrichtlinie sowie die Stellungnahmen der Kommission schweigen hierzu.
Die Stellungnahmen der Kommission dürften viele Großunternehmen etwas ratlos zurücklassen. Klar ist, dass es für Konzerne mit Blick auf ihre in der EU ansässigen Tochtergesellschaften nicht mehr ausreichend sein wird, ausschließlich ein zentral organisiertes Hinweisgebersystem zu betreiben, sofern diese mehr als 50 Mitarbeiter beschäftigen.
Zwar mögen die erwähnten Erleichterungen für mittelgroße Tochtergesellschaften mit bis zu 249 Mitarbeitern die Situation für manche Unternehmen etwas entschärfen. Nichtsdestotrotz bedeutet die Positionierung der EU-Kommission für Unternehmen mit Konzernstrukturen einen erheblichen Mehraufwand bei der Neuorganisation ihrer Hinweisgebersysteme. Vielfach wird es erforderlich sein, Doppelstrukturen zu schaffen und zusätzliche personelle Ressourcen aufzubauen, um Meldungen nicht nur zentral oder regional, sondern auf Wunsch des Hinweisgebers auch dezentral in der jeweiligen Tochtergesellschaft entgegenzunehmen und bearbeiten zu können.
Es entsteht der Eindruck, als ob die Sichtweise der Kommission die Wirklichkeit in vielen Konzernen ausblendet. Insbesondere für Unternehmen mit gesellschaftsübergreifenden Matrixstrukturen sind diese neuen Vorgaben absolut unpraktikabel. Ob hierdurch die berechtigten Interessen der Hinweisgeber wirklich besser geschützt werden, ist fraglich.
Es bleibt abzuwarten, inwieweit die Auffassung der Kommission in den noch ausstehenden nationalen Umsetzungsgesetzen zur Hinweisgeberrichtlinie Niederschlag finden wird und welche konkreten Risiken für Unternehmen im Fall einer abweichenden Gestaltung ihrer Hinweisgebersysteme bestehen. Eine Ausgestaltung, die nicht im Einklang mit den Vorgaben der Hinweisgeberrichtlinie steht, kann sich aber negativ auf die Reputation des Unternehmens auswirken und birgt zudem das Risiko, dass sich Hinweisgeber sogleich an die externe (staatlich betriebene) Meldestelle wenden, was sicherlich nicht im Unternehmensinteresse liegt.
Fazit: Unternehmen, die ein den Anforderungen der Hinweisgeberrichtlinie entsprechendes Hinweisgebersystem mit den Vorzügen einer zentralen oder regionalen Lösung kombinieren möchten, werden daher ihr bestehendes System ergänzen und die verschiedenen Gestaltungsmöglichkeiten miteinander kombinieren müssen – einmal alles, bitte!
Nachdem wir uns in dem letzten Blogbeitrag dem Thema interne Meldestellen gewidmet haben, beschäftigen wir uns heute mit dem Thema Externe Meldestellen und Externe Meldungen. Denn neben den internen Meldestellen regelt das Hinweisgeberschutzgesetz (HinSchG) auch den Aufbau und Betrieb einer externen Meldestelle.
Grundsätzlich wird es künftig mehrere externe Meldestellen geben. Dazu gehört zunächst eine externe Meldestelle auf Bundesebene, die bei dem oder der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit eingerichtet werden. Darüber hinaus kann auch jedes Bundesland eine externe Meldestelle einrichten. Dort können Meldungen eingehen, die die Dienststellen des jeweiligen Bundeslandes betreffen. Weiterhin ist es vorgesehen, dass bei der Bundesanstalt für Finanzdienstleistungsaufsicht eine fachspezifische Meldestelle eingerichtet wird. Letztere ist z.B. zuständig für Meldungen von starf- oder bußgeldbewehrten Verstößen gegen Rechnungslegungsvorschriften. Zusätzlich richtet der Bund eine weitere externe Meldestelle für Meldungen ein, die die externe Meldestelle des Bundes selbst betreffen.
Die Aufgaben der externen Meldestellen sind mit denen der internen Meldestellen zu vergleichen. Die externe Meldestelle betreibt die Hinweisgebersysteme, über die die Meldungen von Whistleblowern abgegeben werden können. Außerdem überprüft die externe Meldestelle die Stichhaltigkeit der eingegangenen Meldungen. In ihren Aufgabenbereich fällt darüber hinaus das Ergreifen von Folgemaßnahmen. Externe Meldestellen sind zudem dazu verpflichtet auf der Website umfangreiche Informationen über Abhilfemöglichkeiten sowie über den Hinweisgeberschutz bereitzustellen.
Die externen Meldestellen arbeiten unabhängig und getrennt von den internen Meldestellen. Das Personal einer internen Meldestelle ist gemäß des Hinweisgeberschutzgesetzes (HinSchG) dazu verpflichtet, geschult zu werden. Im Hinblick auf die externen Meldestellen verhält sich das Hinweisgeberschutzgesetz (HinSchG) nicht anders. So ist auch das Personal einer externen Meldestelle zu einer regelmäßigen Schulung verpflichtet. Nicht zuletzt darf das Personal einer externen Meldestelle weitere Aufgaben wahrnehmen, solange ein Interessenkonflikt sicher ausgeschlossen ist.
Das Hinweisgeberschutzgesetz (HinSchG) sieht eine Berichtspflicht der externen Meldestellen vor. Es folgt jährlich ein öffentlich zugänglicher Bericht, der zusammengefasst und in anonymisierter Form über die eingegangenen Meldungen Auskunft gibt. Im Detail berichtet die externe Meldestelle über die Anzahl der eingegangenen Meldungen, die Anzahl der internen Untersuchungen, die Anzahl der Fälle, die Ermittlungen einer Staatsanwaltschaft oder ein gerichtliches Verfahren zur Folge hatte und die Anzahl der Abgaben an eine andere zuständige Stelle.
Im Folgenden gehen wir genauer auf das Thema „externe Meldungen“ ein.
Die externen Meldekanäle müssen Meldungen in mündlicher oder in Textform ermöglichen. Zudem muss eine persönliche Zusammenkunft mit der hinweisgebenden Person und den zuständigen Personen der externen Meldestelle möglich sein. Wichtig an dieser Stelle ist, dass eine Pflicht zur Bearbeitung anonymer Meldungen nicht besteht.
Das Verfahren zur Bearbeitung einer externen Meldung ähnelt dem einer internen Meldung. Laut des Hinweisgeberschutzgesetzes (HinSchG) hat die externe Meldestelle den Eingang einer Meldung umgehend, spätestens nach 7 Tagen zu bestätigen. Sie prüft die Stichhaltigkeit der Meldung und ergreift Folgemaßnahmen. Außerdem ist die externe Meldestelle dazu verpflichtet, der hinweisgebenden Person eine Rückmeldung nach spätestens 3 Monaten zu erteilen. In Fällen, in denen die Bearbeitung umfangreicher ist, sollte eine Rückmeldung der externen Meldestellen spätestens nach 6 Monaten erfolgt sein.
Auch den Umgang mit Meldungen in externen Meldestellen regelt das Hinweisgeberschutzgesetz (HinSchG) eindeutig. Sobald ein Hinweis in einer externen Meldestelle eingegangen ist, kann die externe Meldestelle im Rahmen von Stichhaltigkeitsprüfungen Auskünfte von den betroffenen natürlichen Personen, den Unternehmen, von Dritten und von der Behörde verlangen. Die externen Meldestellen können Folgemaßnahmen ergreifen. Sie können beispielsweise betroffene Unternehmen und Dienststellen kontaktieren, den Whistleblower an eine andere zuständige Stelle verweisen und das Verfahren abschließen oder gegebenenfalls an eine zuständige Behörde zwecks weiterer Untersuchungen abgeben. Weiter regelt der Referentenentwurf des Hinweisgeberschutzgesetzes (HinSchG) in § 29 explizit, dass die externen Meldestellen mit sonstigen für die Aufklärung, Verhütung und Verfolgung von Verstößen im Anwendungsbereich dieses Gesetzes zuständigen öffentlichen Stellen zusammenarbeiten und sich gegenseitig unterstützen.
Abschließend beschreibt das Hinweisgeberschutzgesetz (HinSchG) den Abschluss des Verfahrens. Das Verfahren kann wegen Geringfügigkeit abgeschlossen werden oder wenn die Meldung einen Sachverhalt betrifft, zu dem bereits ein Verfahren nach diesem Gesetz abgeschlossen wurde. Der hinweisgebenden Person sind die Gründe für den Verfahrensabschluss mitzuteilen beziehungsweise das Ergebnis der durch die Meldung ausgelösten Untersuchung.
Wenn Sie sich über dieses Thema weiter informieren möchten, hören Sie gerne unseren Podcast WHISTLEpedia. Er ist bei iTunes, Spotify, Youtube oder direkt hier auf der Seite kostenlos hörbar.
Stephan Rheinwald ist Gesellschafter und Geschäftsführer der Hinweisgebersystem24 GmbH und der Compliance Officer Services GmbH. Er schreibt diesen Blog für Einsteiger und Fortgeschrittene, die sich näher über Hinweisgebersysteme und interne Meldestellen informieren wollen.
