Dem portugiesischen Hacker Rui Pinto, der den als Football Leaks bekannt gewordenen Betrugsskandal aufgedeckt hat, hätten auch die neuen Regeln nichts gebracht. Er wurde im März von Ungarn an sein Heimatland ausgeliefert, wo er wegen Cyberkriminalität und Erpressung angeklagt wird.

Foto: APA / AFP / Ferenc Isza

In wenigen Tagen wird im Europäischen Parlament die EU-Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, beschlossen. Damit endet vorläufig die europapolitische Debatte, ob und in welchen Grenzen Personen, die rechtswidriges Verhalten in ihrem Arbeitsumfeld melden – sogenannte Hinweisgeber – künftig vor Repressalien zu schützen sind.

Auslöser für die Initiative war die Erkenntnis, dass Whistleblower einen wichtigen Beitrag dazu leisten, Verstöße gegen das Unionsrecht aufzudecken und (drohende) Schäden des öffentlichen Interesses abzuwenden. Aus Angst vor beruflichen und persönlichen Nachteilen schrecken sie aber häufig davor zurück, Meldung zu erstatten.

Die EU-Richtlinie baut den Hinweisgeberschutz innerhalb der EU-28 zwar aus, beschränkt sich aber auf Mindeststandards, die nur bei Meldungen zu Verstößen gegen gewisse europäische Rechtsakte greifen.

Dissens über Rangordnung

Die Trilog-Verhandlungen zwischen EU-Kommission, EU-Parlament und Rat kreisten vor allem um die brennende Frage, unter welchen Bedingungen Hinweisgeber Schutz genießen sollen. Unstrittig war, dass Hinweisgeber nur dann geschützt werden sollen, wenn sie zum Meldezeitpunkt hinreichenden Grund zur Annahme haben, dass die von ihnen gemeldeten Informationen der Wahrheit entsprechen.

Einen offenen Dissens gab es aber zur Rangordnung der verfügbaren Meldekanäle (intern, extern, Öffentlichkeit/Medien): Strittig war, ob Hinweisgeber zur Aufrechterhaltung ihres Schutzes zunächst interne Meldekanäle ausschöpfen müssen, wie von der EU-Kommission als Regelfall vorgeschlagen, oder sich auch gleich an die zuständigen Behörden wenden dürfen, wie vom Europäischen Parlament gefordert.

Letztendlich setzte sich das Parlament durch: Ein Hinweisgeber hat also die Wahl, ob er zunächst intern meldet oder sich gleich an die zuständige Behörde wendet.

Spielräume für österreichischen Gesetzgeber

Unternehmen stehen daher EU-weit unter spürbarem Druck. Sie müssen sich überlegen, ob sie das Thema proaktiv angehen oder abwarten, da es ohnedies eine zweijährige Umsetzungsfrist gibt. Letztere Frage ist auch im Zusammenhang mit den Spielräumen des österreichischen Gesetzgebers und seiner proklamierten Selbstbeschränkung – Aus für Gold Plating – zu sehen:

  • Unternehmer mit mindestens 50 Mitarbeitern werden künftig einen internen Meldekanal einrichten und betreiben müssen, der die Vertraulichkeit der Identität des Hinweisgebers wahrt. Die EU-Richtlinie stellt den Mitgliedstaaten allerdings frei, Unternehmen auch zur Bearbeitung anonymer Meldungen zu verpflichten.

Dazu muss man wissen, dass Hinweisgeber Rechtsverstöße in ihrem Unternehmen zwar wahrnehmen, aber in seltenen Fällen tatsächlich an Vorgesetzte oder eine zuständige interne Abteilung melden. Den nunmehr rechtlich verankerten Schutz werden Insider zwar begrüßen; ob damit aber ihre Bedenken hinsichtlich beruflicher und persönlicher Nachteile endgültig ausgeräumt werden können, wird man sehen.

Anonyme Meldungen könnten hier weiterhelfen, bergen aber auch Missbrauchspotenzial. Unternehmen sollten diese Option im Lichte ihrer Unternehmensgröße und -kultur, ihres Tätigkeitsbereiches etc. bewerten.

Nachteile anonymer Meldesysteme könnten durch interne Maßnahmen, wie zum Beispiel durch eine interne Whistleblower-Richtlinie, welche als Dienstanweisung konzipiert ist und relativ enge Vorgaben für schutzwürdige Meldungen definiert, zumindest abgefedert werden. Zahlreiche, in der Regel große, Unternehmen haben bereits anonyme Hinweisgebersysteme als Teil ihrer Compliance-Organisation etabliert.

Weitergehender Schutz?

  • Hinweisgeber werden nur dann geschützt, wenn sie Verstöße zu Materien gemäß Anhang 1 der EU-Richtlinie (Vergaberecht, Produktsicherheit, Umweltschutz, Finanzdienstleistungen etc.) melden. Auch hier stellt sich die Frage, ob Hinweisgeber auf nationaler oder Unternehmensebene einen weitergehenden Schutz genießen sollen.
  • Wünschenswert wäre es, dass der Gesetzgeber kleine Unternehmen mit bis zu 50 Mitarbeitern von der verpflichtenden Einrichtung interner Meldekanäle ausnimmt. Diese Möglichkeit ist in der EU-Richtlinie vorgesehen und würde den Grundsatz der Verhältnismäßigkeit verwirklichen.

Die Debatte auf nationaler Ebene ist hiermit eröffnet. (Johannes Barbist, Regina Kröll, 15.4.2019)