Hinweisgebersysteme

Implementierung in Deutschland, Österreich und der Schweiz

von

Dr. Felix Ruhmannseder Rechtsanwalt (RAK Berlin) Rechtsanwalt (RAK Wien)
Dr. Nicolai Behr Rechtsanwalt

und

Mag. Georg Krakow, MBA Rechtsanwalt (RAK Wien)

2., völlig neu bearbeitete Auflage eine Marke der Verlagsgruppe Hüthig Jehle Rehm GmbH www.cfmueller.de

Impressum

Bibliografische Informationen der Deutschen Nationalbibliothek

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über <http://dnb.d-nb.de> abrufbar.

ISBN 978-3-8114-5735-5

E-Mail: kundenservice@cfmueller.de

Telefon: +49 6221 1859 599

Telefax: +49 6221 1859 598

www.cfmueller.de

© C.F. Müller GmbH, Waldhofer Straße 100, 69123 Heidelberg

Hinweis des Verlages zum Urheberrecht und Digitalen Rechtemanagement (DRM) Der Verlag räumt Ihnen mit dem Kauf des ebooks das Recht ein, die Inhalte im Rahmen des geltenden Urheberrechts zu nutzen. Dieses Werk, einschließlich aller seiner Teile, ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Dies gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und Einspeicherung und Verarbeitung in elektronischen Systemen. Der Verlag schützt seine ebooks vor Missbrauch des Urheberrechts durch ein digitales Rechtemanagement. Bei Kauf im Webshop des Verlages werden die ebooks mit einem nicht sichtbaren digitalen Wasserzeichen individuell pro Nutzer signiert. Bei Kauf in anderen ebook-Webshops erfolgt die Signatur durch die Shopbetreiber. Angaben zu diesem DRM finden Sie auf den Seiten der jeweiligen Anbieter.

Vorwort

Hinweisgebersysteme haben auf vielen Ebenen gesellschaftliche, politische und rechtliche Implikationen. Auch wenn es lange Zeit negativ konnotiert war, Meldungen über (vermeintliche) Missstände im Unternehmen abzugeben, sind Hinweisgebersysteme inzwischen auch im deutschsprachigen Raum als wesentlicher Bestandteil eines effektiven Compliance-Management-Systems anerkannt. Dazu beigetragen haben in den vergangenen Jahren neben öffentlich bekannt gewordenen spektakulären Einzelfällen nicht zuletzt Diskussionen auf nationaler, europäischer und globaler Ebene zur Frage eines angemessenen Schutzes von Hinweisgebern.

Maßgeblichen Einfluss auf die künftige Ausgestaltung von Hinweisgebersystemen hat insbesondere die Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden. Die EU-Hinweisgeberrichtlinie ist am 16.12.2019 in Kraft getreten und muss vom Gesetzgeber der jeweiligen EU-Mitgliedstaaten bis spätestens 17.12.2021 in nationales Recht umgesetzt werden. Die Richtlinie verfolgt dabei nicht nur das Ziel, die Hinweisgeber, sondern auch die von den Hinweisen betroffenen Personen zu schützen. Einen ersten Schritt in diese Richtung hat in Deutschland das Bundesministerium der Justiz und für Verbraucherschutz im November 2020 unternommen, indem es den Entwurf eines Gesetzes für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (Hinweisgeberschutzgesetz) fertig gestellt und zur Abstimmung an die anderen Ressorts versandt hat. Diese wichtige Entwicklung war in der vorliegenden Neuauflage noch kurzfristig entsprechend zu berücksichtigen. Denn bislang kam Hinweisgebern zwar durch die Rechtsprechung ein gewisser Schutz zu. Mit dem beabsichtigten Hinweisgeberschutzgesetz will der deutsche Gesetzgeber aber systematisch die Rechte der meldenden Personen sowie die von einem Hinweis Betroffenen stärken. Darüber hinaus unterstreicht der Gesetzesentwurf die Rolle eines effektiven Hinweisgebersystems im Unternehmen. Die rechtlichen Vorgaben können freilich nicht den Blick darauf verstellen, dass ein Hinweisgebersystem nur dann seine positive Wirkung entfalten kann, wenn in der jeweiligen Organisation eine nachhaltige Meldekultur gefördert und auch tatsächlich gelebt wird.

Der Weg zu einem effektiven Hinweisgebersystem ist in der Praxis alles andere als trivial. Es muss sich nahtlos in das Compliance-Programm einfügen, die einschlägigen rechtlichen Anforderungen berücksichtigen sowie – in Abhängigkeit der Geschäftsausrichtung des jeweiligen Unternehmens – international wirksam sein. Das vorliegende Handbuch soll Unternehmen eine Hilfestellung für die Aufgabe bieten, ein rechtskonformes und funktionierendes Hinweisgebersystem einzuführen oder zu ergänzen. Dabei sind neben einer Studie zur Frage des Missbrauchs von Hinweisgebersystemen auch Ausführungen zur allgemeinen Compliance-Organisation in Unternehmen sowie zu den erforderlichen Weichenstellungen bei der Implementierung enthalten. Hierzu zählen insbesondere die Beachtung der arbeits- und datenschutzrechtlichen Vorgaben sowie der einschlägigen Judikatur. Die zitierte Literatur und Rechtsprechung sind auf dem Stand Dezember 2020.

Zahlreiche Unternehmen sind im gesamten deutschsprachigen Raum tätig, weshalb die Neuauflage zwei internationale Kapitel mit den rechtlichen Rahmenbedingungen für Hinweisgebersysteme in Österreich und der Schweiz enthält. Auch in diesen Rechtsordnungen gibt es Besonderheiten, die Unternehmen bei der Implementierung bzw. internationalen Ausdehnung eines Hinweisgebersystems beachten sollten.

Als Herausgeber ist es uns eine große Freude, mit den Autorinnen und Autoren dieser Neuauflage erstklassige Vertreter ihres Fachgebietes in Deutschland, Österreich und der Schweiz gewonnen zu haben. Ihnen sowie Frau Annette Steffenkock, Frau Andrea Markutzyk, Frau Julia Wild und Herrn Tilmann Datow vom Verlag C.F. Müller, die die Arbeiten dieser Neuauflage hochprofessionell begleitet haben, gebührt unser großer Dank. Der Dank gilt auch den vielen helfenden Händen im Hintergrund, allen voran Annette Müller.

Berlin/München/Wien, im Februar 2021

Felix Ruhmannseder Nicolai Behr Georg Krakow

Aus dem Vorwort zur 1. Auflage

In den USA ist das Thema Whistleblowing bereits seit vielen Jahren ein fester Bestandteil der politischen Kultur und des Rechts. Ins Bewusstsein der deutschen Öffentlichkeit hat das Phänomen hingegen erst seit einigen Jahren Eingang gefunden. Auf ein erhebliches Medienecho ist insbesondere die Entscheidung Heinisch ./. Deutschland des EGMR vom 21.7.2011 gestoßen: Die Kündigung einer Berliner Altenpflegerin, die bestehende Pflegemissstände öffentlich angeprangert hatte, wurde von den Straßburger Richtern als Verstoß gegen die Meinungsfreiheit gewertet. Nicht wenige betrachten dieses Urteil als Meilenstein auf dem Weg zu einem besseren Schutz für Hinweisgeber in Deutschland.

Auch der deutsche Gesetzgeber hat sich inzwischen mehrfach mit der Thematik auseinandergesetzt. Nach wie vor sucht man jedoch sowohl im Arbeits- als auch im Datenschutzrecht vergeblich nach einer Sonderregelung. Der Plan, ins Bürgerliche Gesetzbuch eine Vorschrift zu integrieren, die speziell dem Schutz von Hinweisgebern vor arbeitsrechtlichen Sanktionen dient, wurde von der Regierung (vorerst) wieder aufgegeben. Die von den Oppositionsfraktionen unterbreiteten Gesetzesvorschläge (siehe z.B. BT-Drucks. 17/8567) haben nach derzeitigem Stand wenig Aussicht, realisiert zu werden.

Ungeachtet des Fehlens einschlägiger gesetzlicher Regelungen erweist sich die juristische Auseinandersetzung mit dem Thema insbesondere deshalb als schwierig, weil zahlreiche unterschiedliche Rechtsgebiete betroffen sind: Der Rechtsanwender muss sich intensiv mit Fragen des (Individual- und Kollektiv-)Arbeitsrechts, des Straf-, Gesellschafts- und Datenschutzrechts befassen, um eine umfassende, in sich schlüssige rechtliche Würdigung vornehmen zu können. Obgleich die Anzahl der einschlägigen Publikationen in der Fachliteratur in den vergangenen Jahren geradezu explodiert ist, gibt es nach wie vor nur sehr wenige Veröffentlichungen, die das Thema (aus rechtlicher Perspektive) in all seinen Facetten beleuchten. Im Rahmen der vorliegenden Arbeit haben wir den Versuch unternommen, dies zu tun. Insbesondere mit den in der Praxis überaus bedeutsamen, nicht selten stiefmütterlich behandelten datenschutzrechtlichen Aspekten haben wir uns vertieft auseinandergesetzt.

In den Führungsetagen vieler Unternehmen wird Whistleblowing nach wie vor in erster Linie als Bedrohung für den Unternehmenserfolg betrachtet. Werden Informationen über (angebliche) Missstände oder (vermeintlich) illegale Machenschaften im Unternehmen an die Medien oder die Strafverfolgungsbehörden weitergegeben, kann dies in der Tat einen immensen Imageverlust sowie erhebliche wirtschaftliche Schäden zur Folge haben. Die Implementierung eines funktionstüchtigen Hinweisgebersystems stellt ein geeignetes Mittel dar, derartige Konsequenzen zu verhindern. Dies ist einer der Gründe, weshalb ein solches „Frühwarnsystem“ anerkanntermaßen einen wesentlichen Bestandteil effektiver Compliance-Strukturen bildet. Nicht nur die großen, börsennotierten Unternehmen, welche nicht selten nach US-amerikanischem Recht (Sec. 301 (4) SOX) ohnehin dazu verpflichtet sind, ein Hinweisgebersystem zu implementieren, beschäftigten sich daher mit der Frage, welche Ausgestaltung den Interessen des Unternehmens bestmöglich gerecht wird, ohne in Konflikt mit dem geltenden Recht zu geraten. Auch immer mehr mittelständische Unternehmen erwägen, ein Hinweisgebersystem einzurichten. Im Rahmen des vorliegenden Werks werden die Vorteile aufgezeigt, die ein derartiger Schritt aus Unternehmenssicht mit sich bringt. Ferner wird ausführlich dargelegt, was in rechtlicher, aber auch tatsächlicher Hinsicht bei der Implementierung eines Hinweisgebersystems zu beachten ist, welche unterschiedlichen Möglichkeiten im Hinblick auf die konkrete Ausgestaltung bestehen und was die Vor- und Nachteile der einzelnen Gestaltungsvarianten sind. Dabei stützen wir uns insbesondere auf das Wissen und die Erfahrungen, welche wir in den letzten Jahren im Rahmen unserer anwaltlichen Tätigkeit bei der Beratung von Unternehmen sowie in der Funktion als unternehmensexterne Ombudsstelle gesammelt haben.

Dementsprechend ist dieses Buch in erster Linie an die Verantwortlichen in Unternehmen gerichtet, die sich über die Vorteile eines Hinweisgebersystems informieren möchten, die Implementierung eines derartigen Systems planen oder ein bereits vorhandenes System verbessern wollen. Ferner kann es Rechtsanwälten, welche in diesem Bereich beratend tätig sind (oder dies zukünftig beabsichtigen), wertvolle Anregungen liefern.

Die zentralen Erkenntnisse und Praxishinweise sind in grauen Kästen zusammengefasst, um den Lesern die Möglichkeit zu eröffnen, das Wichtigste rasch aufzufinden und zu erfassen. Das Buch schließt mit einem Praxisleitfaden.

Für die Erstellung des Sachverzeichnisses danken wir Frau Nicola Wollring.

München/Wien/Passau, im April 2012

Alexander Schemmel Felix Ruhmannseder Tobias Witzigmann

Bearbeiterverzeichnis

Dr. Nicolai Behr Rechtsanwalt, Baker McKenzie, München | 1. Kapitel Rn. 1–18 (zusammen mit Ruhmannseder und Krakow) 2. Kapitel (zusammen mit Ruhmannseder)
Dr. Anastasia Berger Rechtsanwältin, Traton SE, München | 4. Kapitel
Dr. Lukas Feiler Rechtsanwalt, Baker McKenzie, Wien | 8. Kapitel (zusammen mit Rieken, Ruhmannseder und Krakow)
Dominik Guttenberger Rechtsanwalt, Munich Re, München | 3. Kapitel
Mag. Georg Krakow, MBA Rechtsanwalt, Baker McKenzie, Wien | 1. Kapitel Rn. 1–18 (zusammen mit Ruhmannseder und Behr) 8. Kapitel (zusammen mit Rieken, Feiler und Ruhmannseder
Christoph Kurth, LL.M. Rechtsanwalt, Baker McKenzie, Zürich | 9. Kapitel (zusammen mit Winkler und Projer)
Dr. Michael Nuster, MSc. inecos – Integrity Ethics Compliance Solutions, Wien | 7. Kapitel
Dr. Kaspar Projer Rechtsanwalt, Baker McKenzie, Zürich | 9. Kapitel (zusammen mit Kurth und Winkler)
Simone Rieken, LL.M. Rechtsanwältin, Baker McKenzie, Frankfurt | 5. Kapitel 8. Kapitel (zusammen mit Feiler, Ruhmannseder und Krakow)
Dr. Felix Ruhmannseder Rechtsanwalt (RAK Berlin & RAK Wien), wkk law Rechtsanwälte, Berlin/Wien | 1. Kapitel Rn. 1–18 (zusammen mit Behr und Krakow) 2. Kapitel (zusammen mit Behr) 6. Kapitel 8. Kapitel (zusammen mit Rieken, Feiler und Krakow)
Cristin Schacht M.A. (Master of Arts), Hannover | 1. Kapitel Rn. 19–40 (zusammen mit Walter)
Dr. Martin Walter Unternehmensberater, Bad Honnef | 1. Kapitel Rn. 19–40 (zusammen mit Schacht)
Dr. Markus Winkler Rechtsanwalt, Baker McKenzie, Zürich | 9. Kapitel (zusammen mit Kurth und Projer)

Zitiervorschlag:

Rieken in Ruhmannseder/Behr/Krakow, Hinweisgebersysteme, Rn. 432.

Inhaltsverzeichnis

Vorwort

Aus dem Vorwort zur 1. Auflage

Bearbeiterverzeichnis

Abkürzungsverzeichnis

Literaturverzeichnis

1. Kapitel Einführung

I. Der Begriff „Whistleblowing“ als Ausgangspunkt

II. Implikationen für den Hinweisgeber und die betroffene Organisation

III. EU-Hinweisgeberrichtlinie und Hinweisgeberschutzgesetz

IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung

1. Einleitung

2. Die Kernthesen

a) KT1: Fast 90 % aller Hinweise werden in guter Absicht abgegeben

b) KT2: Der Prozentsatz missbräuchlicher Meldungen ist unabhängig davon, ob der Hinweis anonym abgegeben worden ist oder nicht

c) KT3: Die Öffnung des Hinweisgebersystems für Externe führt nicht zu einer Erhöhung missbräuchlicher Meldungen

3. Untersuchungsergebnisse im Detail

2. Kapitel Grundprinzipien eines Compliance Management Systems

I. Grundlagen

1. Ziele

2. Rechtsgrundlagen im deutschen Recht

3. Internationale Vorgaben und Ansätze zum Aufbau eines Compliance Management Systems

a) Internationale Standards zur Korruptionsbekämpfung

aa) US Foreign Corrupt Practices, DOJ- und SEC-Vorgaben, sowie Sentencing Guidelines

bb) UK Bribery Act und adequate procedures

cc) Sapin II

dd) ISO 37001

ee) Spezielle Vorgaben für Pharma und Medizintechnik

b) Internationale Standards im Bereich Kartellrecht

aa) USA

bb) ICC-Toolkit

c) Internationale Standards im Bereich Außenwirtschaftsrecht

d) Internationale Standards im Bereich Datenschutz

II. Der Weg zu einem effektiven Compliance Management System

1. Führungskultur und Compliance-Organisation

2. Risikoanalyse

a) Top-Down-Analyse

b) Risikoszenarioanalyse

c) Risikofaktorenanalyse

d) Fazit

3. Richtlinien und Kontrollen

a) Grundsätze der Ausarbeitung von Richtlinien

b) Anzahl und inhaltliche Ausgestaltung der Richtlinien

c) Implementierung der Richtlinien

4. Schulungen und Kommunikation

5. Überwachung und Revision

6. Reaktion auf Verstöße und Nachhaltigkeit

3. Kapitel Pflicht zur Einführung eines Hinweisgebersystems

I. Rechtspflicht zur Implementierung eines Hinweisgebersystems?

1. Allgemeine Erforderlichkeit von Hinweisgebersystemen

a) Schutzbedürftigkeit der Hinweisgeber

b) Schutzbedürftigkeit der Interessen der Allgemeinheit

2. Künftige allgemeine Rechtspflichten nach Maßgabe der Richtlinie zum Schutz von Hinweisgebern

a) Historische Entwicklung hin zur Pflicht einer Implementierung von Hinweisgebersystemen für deutsche Unternehmen

b) Grundsätze einer generellen Implementierungspflicht

aa) Ziel der EU-Hinweisgeberrichtlinie

bb) Pflicht zur Einrichtung interner Meldekanäle

(1) Sachlicher Anwendungsbereich

(2) Persönlicher Anwendungsbereich

c) Inhaltliche Ausgestaltung der Implementierung eines Hinweisgebersystems

aa) Vertraulichkeitsgebot

bb) Information des Hinweisgebers

cc) Dokumentation der Meldungen

dd) Schutzmaßnahmen

(1) Schutz vor Repressalien

(2) Schutz vor Haftung des Hinweisgebers

(3) Schutz der betroffenen Person

d) Exkurs: Pflicht zur Errichtung externer Meldekanäle

3. Bereichsspezifische Pflichten zur Einführung von Hinweisgebersystemen nach (deutschem) Recht

a) Rechtspflicht nach dem Kreditwesengesetz

b) Rechtspflicht nach der Marktmissbrauchsverordnung

c) Rechtspflicht nach Versicherungsaufsichtsgesetz

d) Rechtspflicht nach dem Finanzdienstleistungsaufsichtsgesetz

e) Rechtspflicht nach dem Allgemeinen Gleichbehandlungsgesetz

f) Rechtspflicht nach dem Betriebsverfassungsgesetz

g) Weitere Regelungen zum Schutz von Hinweisgebern

aa) Schutz von Hinweisgebern im Arbeitsschutzgesetz

bb) Schutz von Hinweisgebern nach dem Geschäftsgeheimnisgesetz

cc) Schutz von Hinweisgebern nach dem Geldwäschegesetz, dem Wertpapierhandelsgesetz, dem Bürgerlichen Gesetzbuch

4. Wieso ein Hinweisgebersystem auch ohne gesetzliche Pflicht Sinn ergibt

5. Fazit

4. Kapitel Weichenstellungen bei der Implementierung

I. Weichenstellung innerhalb der Unternehmensleitung

II. Rahmenbedingungen eines Hinweisgebersystems

1. Vertikale Delegation und Berichterstattung

2. Einleitung interner Untersuchungen durch den Aufsichtsrat

3. Verankerung des Hinweisgebersystems innerhalb des Unternehmens

a) Thematische Zuständigkeit

b) Zuständigkeit für Bearbeitungsschritte

aa) Hinweiseingangsstelle

bb) Untersuchende Stelle

cc) Untersuchungskoordination

dd) Remediation

4. Schnittstellenzusammenarbeit

a) Compliance-Abteilung und interne Revision

b) Personalabteilung

c) Rechtsabteilung

d) Datenschutzabteilung und Betriebsrat

e) Weitere Schnittstellen

5. Hinweispflicht der Mitarbeiter

a) Rechtliche Grenzen einer Ausweitung bestehender Hinweispflichten

b) Vor- und Nachteile einer Ausweitung von Hinweispflichten

c) Empfehlung zur konkreten Umsetzung

6. Datenschutzrechtliche Abstimmung

7. Information und Schulung potentieller Hinweisgeber

8. Implementierung im Unternehmen

a) Implementierung im Rahmen eines Verhaltenskodex

b) Implementierung im Rahmen einer Richtlinie

c) Möglichkeiten der Einführung entsprechender Regelungen in das Arbeitsverhältnis

aa) Weisung (§ 106 GewO)

bb) Arbeitsvertragliche Regelungen

cc) Betriebsvereinbarung

dd) Tarifvertrag

ee) Zusammenfassung

III. Beachtung von Mitbestimmungsrechten des Betriebsrats

1. Zwingende Mitbestimmung

a) Mitbestimmung nach § 87 Abs. 1 Nr. 1 BetrVG

b) Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG

2. Freiwillige Mitbestimmung und Kooperation mit dem Betriebsrat

3. Zuständigkeitsfragen

a) Betriebsrat

b) Gesamtbetriebsrat

c) Konzernbetriebsrat

IV. Ausgestaltung des Meldeprozesses

1. Schutz des Hinweisgebers

2. Hinweis

a) Schranken privater Lebenssachverhalte

b) Inhaltliche Bestimmung

c) Hinweisgeberkreis

d) Zeitliche Komponente

e) Fehlverhalten Dritter

f) Weitere Einschränkungen

3. Meldekanäle

a) Gesetzliche Rahmenbedingungen

b) Vertraulichkeit des Hinweisgebersystems

c) Praktische Umsetzung

d) Einzelne Meldekanäle

aa) Elektronische Meldekanäle

bb) Telefon-Hotline

cc) Fachabteilungen und Management

dd) Externe Ombudsperson

V. Aufklärung

1. Prozess

2. Untersuchungsschritte

a) Kommunikation mit dem Hinweisgeber

b) Vorprüfung

c) Kategorisierung

d) Vorbereitung der internen Untersuchung

3. Handlungsprinzipien

4. Abschluss der internen Untersuchung

VI. Remediation

5. Kapitel Beachtung datenschutzrechtlicher Vorgaben

I. Einleitung und Begriffsbestimmung

II. Rechtlicher Rahmen

III. Anwendungsbereich

1. Anwendungsbereich der DSGVO

2. Anwendungsbereich des BDSG n.F

IV. Grundlegende Erwägungen vor der Einführung eines Hinweisgebersystems

V. Rechtsgrundlage für die Datenverarbeitung

1. Rechtmäßigkeit der Verarbeitung – Art. 6 DSGVO

a) Einwilligung, Art. 6 Abs. 1 lit. a) DSGVO

aa) Freiwilligkeit

bb) Bestimmtheit und Information

cc) Keine Einwilligung in die Verarbeitung von Daten Dritter

dd) Widerruflichkeit der Einwilligung

b) Vertragliche Zwecke, Art. 6 Abs. 1 lit. b) DSGVO

c) Rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c) DSGVO

d) Berechtigte Interessen, Art. 6 Abs. 1 lit. f) DSGVO

2. Nationale Erlaubnisnormen auf der Grundlage von Art. 88 DSGVO: § 26 BDSG n.F

a) § 26 Abs. 1 S. 1 BDSG n.F

b) § 26 Abs. 1 S. 2 BDSG n.F

c) Betriebsvereinbarung, § 26 Abs. 4 BDSG n.F

VI. Verarbeitung strafrechtlich relevanter Daten – Art. 10 DSGVO

VII. Anonymität des Hinweisgebers

VIII. Interner vs. externer Betrieb des Hinweisgebersystems, Datenübermittlungen

IX. Information der betroffenen Person

X. Sicherheit der Datenverarbeitung

XI. Einbindung des Datenschutzbeauftragten und Datenschutzfolgenabschätzung

XII. Einbindung des Betriebsrats

XIII. Datenlöschung

XIV. Empfehlungen aus datenschutzrechtlicher Sicht

6. Kapitel Informationen aus Hinweisgebersystemen im Lichte strafprozessualer Ermittlungshandlungen

I. Staatliche Ermittlungsmaßnahmen gegenüber interner Ombudsperson

1. Vernehmung als Zeuge

2. Durchsuchung und Beschlagnahme

3. Syndikusanwalt als interne Ombudsperson

II. Strafprozessuale Ermittlungsmaßnahmen bei externer Ombudsperson

1. Vernehmung als Zeuge

2. Durchsuchung und Beschlagnahme bei externer Ombudsperson

3. Grundsätze der Beschlagnahme von Informationen aus internen Untersuchungen

III. Beschlagnahmeschutz durch Regelungen in EU-Hinweisgeberrichtlinie und Hinweisgeberschutzgesetz?

IV. Ausblick auf mögliche Änderungen durch das Verbandssanktionengesetz

7. Kapitel Praktische Herausforderungen und Lösungen

I. Einleitung

II. Herausforderungen meistern

1. Meldekultur sicherstellen

a) Verhaltenskodex und interne Hinweisgeber-Richtlinie

b) Die Rolle des Managements

c) Vorteile und Nutzen verständlich kommunizieren

2. Konkrete Ausgestaltung des Hinweisgebersystems – organisatorische und technische Maßnahmen, um hilfreiche Meldungen zu erhalten

a) Organisatorische und technische Anforderungen

b) Anforderungen an Hinweisempfänger

c) Vertraulichkeit sicherstellen

d) Welche Kanäle sollen angeboten werden?

3. Kreis möglicher Hinweisgeber und zulässiger Hinweisgegenstände

4. Verpflichtungen zu und Prämien für Meldungen?

5. Risiko des Missbrauchs und Sanktionen gegen böswillige Falschmeldungen

6. Kommunikation und Training – Bekanntheit der Kanäle sicherstellen und Hilfe zur Nutzung bieten

7. Die ersten Schritte nach dem Eingang eines Hinweises – Plausibilisierung, Kategorisierung und Feedback

8. Ermittlungen und Folgemaßnahmen

9. Monitoring und Reporting

8. Kapitel Länderteil Österreich

I. Einleitung

1. Zentrale Staatsanwaltschaft zur Verfolgung von Wirtschaftsstrafsachen und Korruption (WKStA)

2. Finanzmarktaufsichtsbehörde

II. Rechtspflicht zur Einführung von Hinweisgebersystemen in österreichischen Unternehmen?

1. § 99g BWG

2. §§ 95 Abs. 1, 195 Abs. 1 BörseG

3. § 40 Abs. 1 FM-GwG

4. Bislang Ermessensspielraum in sonstigen Fällen

III. Beachtung arbeitsrechtlicher Vorgaben

1. § 96 Abs. 1 Ziff. 3 ArbVG

2. § 10 AVRAG

IV. Beachtung datenschutzrechtlicher Vorgaben

1. Begriffsbestimmung

2. Rechtlicher Rahmen

3. Anwendungsbereich der DSGVO

4. Grundlegende Erwägungen vor der Einführung eines Hinweisgebersystems

5. Rechtsgrundlage für die Datenverarbeitung

a) Rechtmäßigkeit der Verarbeitung – Art. 6 DSGVO

aa) Einwilligung, Art. 6 Abs. 1 lit. a) DSGVO

(1) Freiwilligkeit

(2) Bestimmtheit und Information

(3) Keine Einwilligung in die Verarbeitung von Daten Dritter

(4) Widerruflichkeit der Einwilligung

bb) Vertragliche Zwecke, Art. 6 Abs. 1 lit. b) DSGVO

cc) Rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c) DSGVO

dd) Berechtigte Interessen, Art. 6 Abs. 1 lit. f) DSGVO

b) Verarbeitung strafrechtlich relevanter Daten – Art. 10 DSGVO

c) Betriebsvereinbarung oder arbeitsrechtliche Zustimmung

6. Anonymität des Hinweisgebers

7. Interner vs. externer Betrieb des Hinweisgebersystems, Datenübermittlungen

8. Konzerninterne Datenübermittlung

9. Information der betroffenen Person

10. Sicherheit der Datenverarbeitung

11. Einbindung des Datenschutzbeauftragten und Datenschutzfolgenabschätzung

12. Datenlöschung

13. Empfehlungen für die Implementierung in Österreich

9. Kapitel Länderteil Schweiz

I. Einleitung

II. Anforderungen an Compliance-Programme, einschließlich Hinweisgebersysteme

1. Grundlegendes

2. Gesellschaftsrechtliche Vorgaben

3. Strafrechtliche Sanktionierung

4. Verwaltungs(straf)recht

5. Ausgestaltung des Compliance-Programms

III. Whistleblowing aus Sicht des Hinweisgebers

1. Ausgangspunkt und Umfeld von Hinweisen

2. Melderecht oder Meldepflicht? Je nach Stellung im Unternehmen

3. Adressat der Meldung

4. Kaskade der Meldeadressaten gem. bundesgerichtlicher Rechtsprechung

IV. Whistleblowing aus Sicht des Unternehmens

1. Pflicht zur Entgegennahme und Bearbeitung von Hinweisen?

2. Verfahren im Allgemeinen und Vorgehen bei internen Untersuchungen

3. Maßnahmen aufgrund festgestellter Ergebnisse; Kündigungsschutz

V. Whistleblowing aus Sicht der betroffenen Personen

1. Mitwirkungspflicht bei internen Untersuchungen

2. Schutzmaßnahmen und Verteidigungsrechte

VI. Hinweisgebersysteme in internationalen Konzernen

VII. Melde- und Informationspflichten betreffend den Betrieb von Hinweisgebersystemen

VIII. Zusammenfassung und Empfehlungen für die Implementierung in der Schweiz

Stichwortverzeichnis

Abkürzungsverzeichnis

Länderteil Deutschland und Österreich

a.A. | anderer Ansicht
abl. | ablehnend
ABlEG | Amtsblatt der Europäischen Gemeinschaft
ABlEU | Amtsblatt der Europäischen Union
Abs. | Absatz
a.E. | am Ende
a.F. | alte Fassung
AG | Die Aktiengesellschaft (Zeitschrift); Amtsgericht
AGG | Allgemeines Gleichbehandlungsgesetz
AktG | Aktiengesetz
Alt. | Alternative
AiB | Arbeitsrecht im Betrieb (Zeitschrift)
AMEX | American Stock Exchange
Anm. | Anmerkung
AnwBl. | Anwaltsblatt (Zeitschrift)
AO | Abgabenordnung
ArbGG | Arbeitsgerichtsgesetz
ArbRAktuell | Arbeitsrecht Aktuell (Zeitschrift)
ArbRB | Der Arbeits-Rechts-Berater (Zeitschrift)
ArbSchG | Arbeitsschutzgesetz
Art. | Artikel
AuA | Arbeit und Arbeitsrecht (Zeitschrift)
Aufl. | Auflage
AuR | Arbeit und Recht (Zeitschrift)
AWG | Außenwirtschaftsgesetz
BAG | Bundesarbeitsgericht
BAGE | Entscheidungen des Bundesarbeitsgerichts
BAT | Bundesangestelltentarifvertrag
BB | Betriebs-Berater (Zeitschrift)
BBG | Bundesbeamtengesetz
BbiG | Berufsbildungsgesetz
BDG | Bundesdisziplinargesetz
BDSG | Bundesdatenschutzgesetz
Bespr. | Besprechung
BetrVG | Betriebsverfassungsgesetz
BGB | Bürgerliches Gesetzbuch
BGBl | Bundesgesetzblatt
BGH | Bundesgerichtshof
BGHSt | Entscheidungssammlung des BGH in Strafsachen
BGHZ | Entscheidungssammlung des BGH in Zivilsachen
BilMoG | Bilanzrechtsmodernisierungsgesetz
BImSchG | Bundesimmissionsschutzgesetz
BKR | Zeitschrift für Bank und Kapitalmarktrecht (Zeitschrift)
BORA | Berufsordnung der Rechtsanwälte
BörsenG | Börsengesetz
BPersVG | Bundespersonalvertretungsgesetz
BRAO | Bundesrechtsanwaltsordnung
BR-Drucks. | Bundesratsdrucksache
BT-Drucks. | Bundestagsdrucksache
BtMG | Betäubungsmittelgesetz
BVerfG | Bundesverfassungsgericht
BVerfGE | Entscheidungen des Bundesverfassungsgerichts
bzw. | beziehungsweise
ca. | circa
CCZ | Corporate Compliance Zeitschrift (Zeitschrift)
CEA | Commodity Exchange Act
CR | Computer und Recht (Zeitschrift)
DB | Der Betrieb (Zeitschrift)
DCGK | Deutscher Corporate Governance Kodex
ders. | derselbe
d.h. | das heißt
dies. | dieselbe/n
DNotZ | Deutsche Notar-Zeitschrift (Zeitschrift)
DöD | Der öffentliche Dienst (Zeitschrift)
DriG | Deutsches Richtergesetz
DStR | Deutsches Steuerrecht (Zeitschrift)
DuD | Datenschutz und Datensicherheit (Zeitschrift)
EGBGB | Einführungsgesetz zum Bürgerlichen Gesetzbuch
EGMR | Europäischer Gerichtshof für Menschenrechte
Einl. | Einleitung
EMRK | Europäische Menschenrechtskonvention
entspr. | entsprechend
EU | Europäische Union
EuGH | Europäischer Gerichtshof
EU-GRCh | Europäische Grundrechtscharta
EUV | Vertrag über die Europäische Union
EUZW | Europäische Zeitschrift für Wirtschaftsrecht (Zeitschrift)
EWiR | Entscheidungen zum Wirtschaftsrecht (Zeitschrift)
etc. | et cetera
f. | folgende
FD-StrafR | Fachdienst Strafrecht (Zeitschrift)
FCA | Federal False Claims Act
FCPA | Foreign Corrupt Practices Act
ff. | fortfolgende
FGO | Finanzgerichtsordnung
Fn. | Fußnote
FS | Festschrift
GA | Goltdammer‘s Archiv für Strafrecht (Zeitschrift)
GebrMG | Gebrauchsmustergesetz
GefStoffV | Gefahrenstoffverordnung
gem. | gemäß
GenG | Genossenschaftsgesetz
GeschmMG | Geschmacksmustergesetz
GewO | Gewerbeordnung
GG | Grundgesetz
ggf. | gegebenenfalls
GmbHG | Gesetz betreffend die Gesellschaften mit beschränkter Haftung
GmbHR | GmbH-Rundschau (Zeitschrift)
grds. | grundsätzlich
GRUR | Gewerblicher Rechtsschutz und Urheberrecht (Zeitschrift)
GVG | Gerichtsverfassungsgesetz
GWG | Geldwäschegesetz
GWR | Gesellschafts- und Wirtschaftsrecht (Zeitschrift)
HGB | Handelsgesetzbuch
h.L. | herrschende Lehre
h.M. | herrschende Meinung
HRRS | Höchstrichterliche Rechtsprechung im Strafrecht (Zeitschrift)
Hrsg. | Herausgeber
HS | Halbsatz
InsO | Insolvenzordnung
i.S.d. | im Sinne des/der
i.S.v. | im Sinne von
i.Ü. | im Übrigen
ITRB | Der IT-Rechtsberater (Zeitschrift)
i.V.m. | in Verbindung mit
JA | Juristische Arbeitsblätter (Zeitschrift)
JR | Juristische Rundschau (Zeitschrift)
JuS | Juristische Schulung (Zeitschrift)
JZ | Juristenzeitung (Zeitschrift)
Kap. | Kapitel
KJ | Kritische Justiz (Zeitschrift)
krit. | kritisch
KonTraG | Gesetz zur Kontrolle und Transparenz im Unternehmensbereich
KrW-/AbfG | Kreislaufwirtschafts- und Abfallgesetz
KSchG | Kündigungsschutzgesetz
KWG | Gesetz über das Kreditwesen
LG | Landgericht
lit. | litera
MarkenG | Markengesetz
MDR | Monatsschrift für Deutsches Recht (Zeitschrift)
MitbestG | Gesetz über die Mitbestimmung der Arbeitnehmer
MMR | MultiMedia und Recht (Zeitschrift)
MschrKrim | Monatsschrift für Kriminologie und Strafrechtsreform (Zeitschrift)
m.w.N. | mit weiteren Nachweisen
NASDAQ | National Association of Securities Dealers Automated Quotations
n.F. | neue Fassung
Nr. | Nummer
NJOZ | Neue Juristische Online Zeitschrift (Zeitschrift)
NJW | Neue Juristische Wochenschrift (Zeitschrift)
NStZ | Neue Zeitschrift für Strafrecht (Zeitschrift)
NStZ-RR | NStZ-Rechtssprechungsreport (Zeitschrift)
NVwZ | Neue Zeitschrift für Verwaltungsrecht (Zeitschrift)
NYSE | New York Stock Exchange
NZA | Neue Zeitschrift für Arbeitsrecht (Zeitschrift)
NZG | Neue Zeitschrift für Gesellschaftsrecht (Zeitschrift)
NZI | Neue Zeitschrift für das Recht der Insolvenz und Sanierung (Zeitschrift)
NZWiSt | Neue Zeitschrift für Wirtschafts-, Steuer- und Unternehmensstrafrecht (Zeitschrift)
OLG | Oberlandesgericht
OWiG | Gesetz über Ordnungswidrigkeiten
PatG | Patentgesetz
PersR | Der Personalrat (Zeitschrift)
PublG | Publizitätsgesetz
PuR | Personal und Recht (Zeitschrift)
RdA | Recht der Arbeit (Zeitschrift)
RDV | Recht der Datenverarbeitung (Zeitschrift)
RG | Reichsgericht
RIW | Recht der internationalen Wirtschaft (Zeitschrift)
Rspr. | Rechtsprechung
SOA (SOX) | Sarbanes-Oxley Act
S., s. | Satz, Seite, siehe
SchwarzArbG | Schwarzarbeitergesetz
SEA | Securities Excange Act
SGB VII | Sozialgesetzbuch
s.o. | siehe oben
SOX | Sarbanes-Oxley-Act
SprAuG | Sprecherausschussgesetz
StBW | Steuerberater Woche (Zeitschrift)
StGB | Strafgesetzbuch
StPO | Strafprozessordnung
StraFo | Strafverteidigerforum (Zeitschrift)
StV | Strafverteidiger (Zeitschrift)
s.u. | siehe unten
str. | streitig
TdL | Tarifgemeinschaft deutscher Länder
TDDSG | Teledienstdatenschutzgesetz
TVG | Tarifvertragsgesetz
TV-L | Tarifvertrag für den öffentlichen Dienst der Länder
TVöD | Tarifvertrag für den öffentlichen Dienst
u.a. | unter anderem, und andere
UKBA | UK Bribery Act
UrhG | Urhebergesetz
usw. | und so weiter
u.U. | unter Umständen
UWG | Gesetz gegen den unlauteren Wettbewerb
VAG | Gesetz über die Beaufsichtigung der Versicherungsunternehmen
Var. | Variante
vert. | vertiefend
vgl. | vergleiche
VOB/A | Verdingungsordnung für Bauleistungen, Teil A
VOL/A | Verdingungsordnung für Leistungen, Teil A
WHG | Wasserhaushaltsgesetz
WiStG | Wirtschaftsstrafgesetz
wistra | Zeitschrift für Wirtschafts- und Steuerstrafrecht (Zeitschrift)
WPA | Whistleblower Protection Act
WpDVerOV | Wertpapierdienstleistungs- Verhaltens- und Organisationsverordnung
WpHG | Wertpapierhandelsgesetz
WM | Zeitschrift für Wirtschafts- und Bankrecht (Zeitschrift)
z.B. | zum Beispiel
ZCG | Zeitschrift für Corporate Governance (Zeitschrift)
ZD | Zeitschrift für Datenschutz (Zeitschrift)
ZFA | Zeitschrift für Arbeitsrecht (Zeitschrift)
ZGR | Zeitschrift für Unternehmens- und Gesellschaftsrecht (Zeitschrift)
ZIP | Zeitschrift für Wirtschaftsrecht (Zeitschrift)
ZIS | Zeitschrift für Internationale Strafrechtsdogmatik (Zeitschrift)
zit. | zitiert
ZPO | Zivilprozessordnung
ZRP | Zeitschrift für Rechtspolitik (Zeitschrift)
ZStW | Zeitschrift für die gesamte Strafrechtswissenschaft (Zeitschrift)
z.T. | zum Teil
zust. | zustimmend
zutr. | zutreffend
ZWH | Zeitschrift für Wirtschaftsstrafrecht und Haftung im Unternehmen (Zeitschrift)

Länderteil Schweiz

AJP/PJA. | Aktuelle Juristische Praxis/Pratique Juridique Actuelle (Zeitschrift)
ArGV 3 | Verordnung 3 zum Arbeitsgesetz (SR 822.113) (Schweiz)
BankG | Bundesgesetz über die Banken und Sparkassen (Bankengesetz) (SR 952.0) (Schweiz)
BBl | Bundesblatt (Schweiz)
BGE | Bundesgerichtsentscheid (Schweiz)
BGer | Bundesgericht (Schweiz)
BPG | Bundespersonalgesetz (SR 172.220.1) (Schweiz)
BV | Bundesverfassung der Schweizerischen Eidgenossenschaft (SR 101) (Schweiz)
COSO | Committee of Sponsoring Organizations of the Treadway Commission
Digma | Zeitschrift für Datenrecht und Informationssicherheit (Zeitschrift)
DOJ | U.S. Department of Justice
DSG | Bundesgesetz über den Datenschutz (SR 235.1) (Schweiz)
DSGVO | Datenschutz-Grundverordnung der Europäischen Union
Economiesuisse | Verband der Schweizer Unternehmen
EDÖB | Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (Schweiz)
FIFA | Fédération Internationale de Football Association/Internationaler Verband des Association Football
FINIG | Bundesgesetz über die Finanzinstitute (Finanzinstitutsgesetz) (SR 954.1) (Schweiz)
FINMA | Eidgenössische Finanzmarktaufsicht (Schweiz)
FINMAG | Bundesgesetz über die Eidgenössische Finanzmarktaufsicht (Finanzmarktaufsichtsgesetz) (SR 956.1) (Schweiz)
GesKR | Gesellschafts- und Kapitalmarktrecht (Zeitschrift)
GKV | Verordnung über die Kontrolle zivil und militärisch verwendbarer Güter, besonderer militärischer Güter sowie strategischer Güter (Güterkontrollverordnung) (SR 946.202.1) (Schweiz)
GwG | Bundesgesetz über die Bekämpfung der Geldwäscherei und der Terrorismusfinanzierung (Geldwäschereigesetz) (SR 955.0) (Schweiz)
GwV-FINMA | Verordnung der Eidgenössischen Finanzmarktaufsicht über die Bekämpfung von Geldwäscherei und Terrorismusfinanzierung im Finanzsektor (Geldwäschereiverordnung-FINMA) (SR 955.033.0) (Schweiz)
ICC | International Chamber of Commerce
IDW | Institut der Wirtschaftsprüfer (Schweiz)
ISO | International Organisation for Standardization
ISO 19600 | Internationaler Standard für Compliance Management Systeme
ISO 37001 | Internationaler Standard für Anti-Korruptions Management Systeme
KMU | Kleine und mittlere Unternehmen
MWSTG | Bundesgesetz über die Mehrwertsteuer (Mehrwertsteuergesetz) (SR 641.20) (Schweiz)
OECD | Organisation für wirtschaftliche Zusammenarbeit und Entwicklung
OR | Bundesgesetz betreffend die Ergänzung des Schweizerischen Zivilgesetzbuches (Fünfter Teil: Obligationenrecht) (SR 220) (Schweiz)
PS 980 | Schweizer Prüfungsstandard (PS) 980: Grundsätze zur Prüfung von Compliance Management Systemen
RAB | Eidgenössische Revisionsaufsichtsbehörde (Schweiz)
recht | Zeitschrift für juristische Weiterbildung und Praxis (Zeitschrift)
RiU | Recht in privaten und öffentlichen Unternehmen (Zeitschrift)
SJ | La Semaine Judiciaire (Zeitschrift)
SJZ/RSJ | Schweizerische Juristen-Zeitung/Revue Suisse de Jurisprudence (Zeitschrift)
SR | Systematische Rechtssammlung (Schweiz)
StGB | Schweizerisches Strafgesetzbuch (SR 311.0) (Schweiz)
StPO | Schweizerische Strafprozessordnung (Strafprozessordnung) (SR 312.0) (Schweiz)
SwissHoldings | Verband der Industrie- und Dienstleistungskonzerne
USG | Bundesgesetz über den Umweltschutz (Umweltschutzgesetz) (SR 814.01) (Schweiz)
VStrR | Bundesgesetz über das Verwaltungsstrafrecht (SR 313.0) (Schweiz)
VwVG | Bundesgesetz über das Verwaltungsverfahren (Verwaltungsverfahrensgesetz) (SR 172.021) (Schweiz)
ZGB | Schweizerisches Zivilgesetzbuch (SR 210) (Schweiz)
ZStrR/RPS | Schweizerische Zeitschrift für Strafrecht/Revue Pénale Suisse (Zeitschrift)

Literaturverzeichnis

Altebach/Dierkes EU-Whistlebowing-Richtlinie und DSGVO, CCZ 2020, 126

Artikel 29 Gruppe Leitlinien für Transparenz gem. der Verordnung 2016/679, WP 260 rev.01

Artikel 29 Gruppe Stellungnahme 1/2006 zur Anwendung der EU-Datenschutzvorschriften auf interne Verfahren zur Meldung mutmaßlicher Missstände in den Bereichen Rechnungslegung, interne Rechnungslegungskontrollen, Fragen der Wirtschaftsprüfung, Bekämpfung von Korruption, Banken- und Finanzkriminalität, WP 117

Ballo Beschlagnahmeschutz im Rahmen von Internal Investigations – Zur Reichweite und Grenze des § 160a StPO, NZWiSt 2013, 46

Baranowski/Pant Die janusköpfigen Verschwiegenheitsrechte und -pflichten des Rechtsanwalts in der Funktion einer Ombudsperson, CCZ 2018, 250

Bauschke Aktuelles zum Whistleblowing – Erläuterung der neuen EU-Richtlinie, öAT 2019, 250

Behr/Guttenberger Verschärfung der Unternehmenssanktionierung – Was ändert sich durch das Verbandssanktionengesetz (RefE)?, DB 2020, 1218

Behrendt/Kaufmann Whistleblowing-Hotlines aus arbeits- und datenschutzrechtlicher Sicher – Lösungswege im Unternehmen, CR 2006, 642

Bernhard Rechte und Pflichten externer Ombudspersonen, CCZ 2014, 152

Bertheau § 160a StPO neuer Fassung – doch offene Fragen bleiben, StV 2012, 303

Beukelmann Schutz von Hinweisgebern, NJW-Spezial 2019, 312

Beulke Beschlagnahmefreiheit von Verteidigerunterlagen, FS Lüderssen 2002, S. 693

ders. Rechtliche Probleme der Entbindung von Rechtsbeiständen juristischer Personen von der Schweigepflicht (§ 53 Abs. 2 S. 1 StPO) bei personellem Wechsel innerhalb der Vertretungsorgane, FS Achenbach, 2011, S. 39

Beulke/Lüdke/Swoboda Unternehmen im Fadenkreuz. Über den Umfang anwaltlicher Privilegien von Syndici/Rechtsabteilungen im Ermittlungsverfahren, 2009 (zit.: Unternehmen im Fadenkreuz)

Beulke/Ruhmannseder Die Strafbarkeit des Verteidigers, 2. Aufl. 2010 (zit.: Strafbarkeit)

dies. in Ruhmannseder/Lehner/Beukelmann Compliance aktuell, Unternehmensinterne Ermittlungen, Fach 12010

Beulke/Swoboda Strafprozessrecht, 15. Aufl. 2020 (zit.: Beulke/Swoboda StPO)

Bürkle Die Bußgeldrelevanz des Compliance-Managements, BB 2018, 525

ders. Die versicherungsaufsichtsrechtliche Regulierung des internen Hinweisgebersystems, VersR 2020, 1

Bürkle/Hauschka Der Compliance Officer – Ein Handbuch in eigener Sache, 2015 (zit.: Bürkle/Hauschka/Bearbeiter)

Bussche v.d./Voigt Konzerndatenschutz 2. Aufl. 2019 (zit.: Bussche v.d./Voigt)

Busekist/Hein Der IDW PS 980 und die allgemeinen rechtlichen Mindestanforderungen an ein wirksames Compliance Management System, (1) – Grundlagen, Kultur und Ziele, CCZ 2012, 41

Busekist/Schlitt Der IDW PS 980 und die allgemeinen rechtlichen Mindestanforderungen an ein wirksames Compliance Management System, (2) – Risikoermittlungspflicht, CCZ 2012, 86

Dann/Markgraf Das neue Gesetz zum Schutz von Geschäftsgeheimnissen, NJW 2019, 1774

Däubler/Bertzbach Allgemeines Gleichbehandlungsgesetz: AGG, 4. Aufl. 2018 (zit.: Däubler/Bertzach/Bearbeiter)

Datenschutzkonferenz Kurzpapier Nr. 13 Auftragsverarbeitung, Art. 28 DS-GVO

dies. Orientierungshilfe der Datenschutzaufsichtsbehörden zu Whistleblowing-Hotlines: Firmeninterne Warnsysteme und Beschäftigtendatenschutz, 14. November 2018

de Lind van Wijngaarden/Egler Der Beschlagnahmeschutz von Dokumenten aus unternehmensinternen Untersuchungen, NJW 2013, 3549

Diepold/Loof Konzernweite Implementierung von Hinweisgebersystemen, CB 2017, 25

Dilling Der Schutz von Hinweisgebern und betroffenen Personen nach der EU-Whistleblower-Richtlinie, CCZ 2019, 214

ders Interne Ermittlungen im Spanungsfeld zwischen Unternehmensstrafrecht und Whistleblowing, CCZ 2020, 132

Dzida/Granetzny Die neue EU-Whistleblowing-Richtlinie und ihre Auswirkungen auf Unternehmen, NZA 2020, 1201

Egger Hinweisgebersysteme und Informantenschutz, CCZ 2018, 126

Eisenbeis/Nießen Auf Kollisionskurs: Ethikrichtlinien nach US-amerikanischem Vorbild und deutsches Arbeitsrecht, FS Leinemann, 2006, S. 97

Erbs/Kohlhaas Strafrechtliche Nebengesetze, Loseblattwerk, 232. Aufl. 2020 (zit.: Erbs/Kohlhaas/Bearbeiter)

Erfurter Kommentar zum Arbeitsrecht, 21. Aufl. 2021 (zit.: ErfK-Bearbeiter)

Erlebach Die Regelungen der EU-Hinweisgeberrichtlinie und ihre Auswirkungen auf deutsche Unternehmen, CB 2020, 284

Ernst Die Einwilligung nach der Datenschutzgrundverordnung, ZD 2017, 110

European Data Protection Board Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data – version for public consultation

European Data Protection Board Recommendations 02/2020 on the European Essential Guarantees for surveillance measures

European Data Protection Supervisor Guidelines on processing personal information within a whistleblowing procedure, July 2016

Eufinger Verletzung der Fürsorgepflicht durch arbeitgeberseitiges Whistleblowing, NZA 2017, 619

Fahrig Die Einführung eines Verhaltenskodexes und das Whistleblowing, 2010 (zit.: Einführung Verhaltenskodex)

Fassbach/Hülsberg Beschäftigtendatenschutz im Hinweisgeberverfahren: Interessenkonflikt zwischen Hinweisgeberschutz und Auskunftsrecht des Beschuldigten, GWR 2020, 255

Federmann/Racky/Modrzyk/Kalb in Die Whistleblower-Richtlinie der EU: Die neuen Regeln und deren Auswirkungen auf Unternehmen des privaten Sektors, DB 2019, 1665

Ferner Anforderungen an Hinweisgebersysteme im Lichte des Geschäftsgeheimnis- und Datenschutzes, WPg 2020, 1322

Fleischer Corporate Compliance im aktienrechtlichen Unternehmensverbund, CCZ 2008, 1

Forgó/Helfrich/Schneider Betrieblicher Datenschutz, 3. Aufl. 2019 (zit.: Forgó/Helfrich/Schneider/Bearbeiter)

Forst Die Richtlinie der Europäischen Union zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (Whistleblowing-Richtlinie), EuZA 2020, 283

Fritz Whistleblowing – Denunziation oder Wettbewerbsvorteil? Inhalt und Grenzen des Whistleblowings im Rahmen von Corporate Compliance, in: Maschmann, Frank (Hrsg.), Corporate Compliance und Arbeitsrecht, 2009, S. 111 (zit.: Maschmann/Fritz Arbeitsrecht)

Gerdemann Revolution des Whistleblowing-Rechts oder Pfeifen im Walde?, RdA 2019, 16

Gierschmann/Schlender/Stentzel/Veil Kommentar Datenschutz-Grundverordnung, 2017 (zit.: Gierschmann/Schlender/Stentzel/Veil/Bearbeiter)

Götz EU-Richtlinie zum Schutz von Hinweisgebern, in Ruhmannseder/Lehner/Beukelmann, Compliance aktuell, Fach 2102

Gola Datenschutz-Grundverordnung: DS-GVO, 2. Aufl. 2018 (zit.: Gola/Bearbeiter)

Gola/Heckmann Bundesdatenschutzgesetz, Kommentar, 13. Aufl. 2019 (zit.: Gola/Heckmann/Bearbeiter)

Gola/Klug Die Entwicklung des Datenschutzrechts, NJW 2020, 2774

Granetzny/Krause Was kostet ein gutes Gewissen? – Förderung von Whistleblowing durch Prämien nach US-Vorbild?, CCZ 2020, 29

Grambow Beteiligungsrechte des Betriebsrats bei der Einführung von Compliance-Management-Systemen – Teil 1, CB 2016, 210 (Teil 1) und CB 2016, 245 (Teil 2)

Groß/Platzer Whistleblowing: Keine Klarheit beim Umgang mit Informationen und Daten, NZA 2017, 1097

Habbe Interne Untersuchungen durch den Aufsichtsrat, CCZ 2019, 27

Haefcke Beschlagnahmefähigkeit der Interviewprotokolle einer Internal Investigation, CCZ 2014, 39

Hauschka/Moosmayer/Lösler Corporate Compliance, 3. Aufl. 2016 (zit.: Hauschka/Moosmayer/Lösler/Bearbeiter Corporate Compliance)

Hassemer Das Zeugnisverweigerungsrecht des Syndikusanwalts, wistra 1986, 1

Hastenrath E-Learning in der Compliance-Praxis: Anforderungen, Möglichkeiten, Grenzen, Kosten, in: CCZ 2014, 132

Hauser/Hergovits/Blumer Whistleblowing Report 2019

von Heintschel-Heinegg BeckOK StGB, 47. Edition – Stand: 1.8.2020 (zit.: BeckOK/StGB/Bearbeiter)

Herse/Aszmons EU-Whistleblowing-Richtlinie: Der richtige Umgang mit den neuen Vorgaben und deren Umsetzung, DB 2019, 1849

Heuchemer Die Praxis der Hausdurchsuchung und Beschlagnahme und die Wirksamkeit von Rechtsbehelfen im Wirtschaftsstrafrecht, NZWiSt 2012, 137

Hiéramente/Garden Die neue Whistleblowing-Richtlinie der EU – Handlungsbedarf für Unternehmen und Gesetzgeber, BB 2019, 963

Hopson/Graham Koehlern Effektive ethische Compliance-Programme im Sinne der United States Federal Sentencing Guidelines, in: CCZ 2008, 208

Hopt Interne Untersuchungen, Whistleblowing und externes Monitoring, ZGR 2020, 373

Hüffer/Koch Aktiengesetz, 14. Aufl. 2020 (zit.: Hüffer/Koch/Bearbeiter AktG)

dies. Compliance im Innen- und Außenrecht der Unternehmen, FS Roth, 2011, S. 299

Ignor Rechtsstaatliche Standards für interne Erhebungen in Unternehmen – Die „Thesen zum Unternehmensanwalt im Strafrecht“ des Strafrechtsausschusses der Bundesrechtsanwaltskammer, CCZ 2011, 143

Johnson Die Regelung zur Beweislastumkehr nach Maßgabe des Richtlinienentwurfs der EU-Kommission zum Schutz von Hinweisgebern – Quell eines institutionellen Rechtsmissbrauchs?, CCZ 2019, 66

Jung Datenschutz-(Compliance-)Management-Systeme – Nachweis- und Rechenschaftspflichten nach der DS-GVO, ZD 2018, 208

Kaufmann/Häferer/Grimhardt The new EU Whistleblowing Directive, CRi 1/2020, 14

Kehr/Zapp DSGVO – Ein erster Überblick aus der Bußgeldpraxis der Aufsichtsbehörden, CB 2020, 100

Kempter/Steinat Compliance – arbeitsrechtliche Gestaltungsinstrumente und Auswirkungen in der Praxis, NZA 2017, 1505

Kimberly Die Regelungen der EU-Hinweisgeberrichtlinie und ihre Auswirkungen auf deutsche Unternehmen, CB 2020, 284

Klaas Unternehmensinterne Verstöße und „Whistleblowing“: Zum Grundrechtsschutz der Beteiligten und den Anforderungen an eine einfachrechtliche Regelung, CCZ 2019, 163

Klasen/Schaefer Whistleblower, Zeuge und „Beschuldigter” – Informationsweitergabe im Spannungsfeld grundrechtlicher Positionen, BB 2012, 641

Knierim/Rübenstahl/Tsambikakis Internal Investigations, 2. Aufl. 2016 (zit.: Knierim/Rübenstahl/Tsambikakis/Bearbeiter)

Kock Einführung einer Ethikrichtlinie im Unternehmen, MDR 2006, 673

Köhler/Häferer Mitbestimmungsrechte des Betriebsrats im Zusammenhang mit Compliance-Systemen, GWR 2015, 159

Kort Betriebsverfassungsrechtliche Mitbestimmung bei der Einführung von „Ethik-Richtlinien“, FS Buchner, 2009, S. 477

ders. Individualarbeitsrechtliche Fragen des Whistleblowing, FS Kreutz, 2010, S. 247

ders. Rechtsfragen der Compliance-Organisation von Unternehmen außerhalb spezialgesetzlich geregelter Branchen im deutschen Recht, FS Roth, 2011, S. 407

Kühling/Buchner DS-GVO BDSG, 3. Aufl. 2020 (zit.: Kühling/Buchner/Bearbeiter)

Küttner Personalbuch, 27. Aufl. 2020 (zit.: Küttner/Bearbeiter)

Lehne Whistleblowing. Wirksame Korruptionsprävention durch Einsatz anonymer Hinweisgebersysteme am Beispiel deutscher Krankenhäuser, 2009 (zit.: Whistleblowing)

Leipziger Kommentar zum Strafgesetzbuch Großkommentar, 12. Aufl. 2007 (zit.: LK-Bearbeiter)

LfDI Baden-Württemberg Ratgeber Beschäftigtendatenschutz, Stand: August 2019

Lütke/Gramlich Schutz von Hinweisgebern und betroffenen Personen im GeschGehG und in der Hinweisgeber-Richtlinie, wistra 2020, 354

Mann Anwaltsprivileg und Zeugnisverweigerungsrecht des unternehmensinternen Syndikus, DB 2011, 978

Maume/Haffke Whistleblowing als Teil der Unternehmenscompliance – Rechtlicher Rahmen und Best Practice, ZIP 2016, 199

Maunz/Dürig Grundgesetz. Kommentar, Loseblatt, 91. EL April 2020 (zit.: Maunz/Dürig/Bearbeiter GG)

Mengel Arbeitsrechtliche Besonderheiten der Implementierung von Compliance-Programmen in internationalen Konzernen, CCZ 2008, 85

dies. Compliance und Arbeitsrecht, 2009

Mengel/Hagemeister Compliance und arbeitsrechtliche Implementierung im Unternehmen, BB 2007, 1386

Menner/Bexa Praktische Vorgehensweise bei der Einführung eines Tax Compliance Management Systems im Unternehmen, CCZ 2019, 129

Meyer Korruptionsvermeidung – eine Frage des richtigen Trainings?, CCZ 2014, 113

Miceli/Near Blowing the Whistle, The Organizational and Legal Implications for Companies and Employees, 1992

Michalke, R. Durchsuchung und Beschlagnahme – Verfassungsrecht im Alltag, StraFo 2014, 89

ders. Wenn der Staatsanwalt klingelt – Verhalten bei Durchsuchung und Beschlagnahme, NJW 2008, 1490

Miege Einrichtung eines Hinweisgebersystems, CCZ 2018, 45

Momsen Volkswagen, Jones Day und interne Ermittlungen – Zur Zukunft strafrechtlicher Vertretung von Unternehmen in Deutschland, NJW 2018, 2362

Moosmayer Compliance. Praxisleitfaden für Unternehmen, 2. Aufl. 2012 (zit.: Compliance)

Moosmayer/Hartwig Interne Untersuchungen. Praxisleitfaden für Unternehmen, 2012 (zit.: Moosmayer/Hartwig/Bearbeiter)

Müller-Petzer Verlangt die Treuepflicht im Beschäftigungsverhältnis Missstände aufzudecken und Rechtskonformität einzufordern?, CCZ 2018, 162

Münchener Kommentar zum Aktiengesetz Band 2, 5. Aufl. 2019; Band 5, 5. Aufl. 2020; Band 6, 4. Aufl. 2017 (zit.: MüKo-AktG-Bearbeiter)

Münchener Kommentar zum Bürgerlichen Gesetzbuch Band 4, 8. Aufl. 2019, (zit.: MüKo-BGB-Bearbeiter)

Münchener Kommentar zum Handelsgesetzbuch Band 4, 4. Aufl. 2020 (zit.: MüKo-HGB-Bearbeiter)

Neufeld/Knitter Mitbestimmung des Betriebsrats bei Compliance-Systemen, BB 2013, 821

Nezmeskal-Berggötz Einführung und Inhalte von Ethikrichtlinien in multinationalen Unternehmen, CCZ 2009, 209

Nienaber/Schauenburg/Wenglarczyk Ein Blick auf das geplante Verbandssanktionengesetz aus der anwaltlichen Praxis unter besonderer Berücksichtigung der Anforderungen an Interne Untersuchungen, NZWiSt 2020, 223

Oesterle Die Beschlagnahme anwaltlicher Unterlagen und ihre Bedeutung für die Compliance-Organisation von Unternehmen, 2016

Ott/Lüneborg Internal Investigations in der Praxis – Umfang und Grenzen der Aufklärungspflicht, Mindestaufgriffsschwelle und Verdachtsmanagement, CCZ 2019, 72

dies Das neue Verbandssanktionengesetz – Fragen und Auswirkungen für die Compliance-Praxis, NZG 2019, 1361

Paal/Pauly DS-GVO BDSG, 2. Aufl. 2018 (zit.: Paal/Pauly/Bearbeiter)

Pelz Die Beschlagnahmefähigkeit von Unterlagen aus Internal Investigations – zugleich eine Besprechung von BVerfG, Beschluss vom 27.6.2018 – 2 BvR 1405/17, 2 BvR 1780/17, CCZ 2018, 211

Peters/Klingberg Die Entbindung von der Schweigepflicht bei Wirtschaftsprüfern und gemischten Sozietäten durch juristische Personen, ZWH 2012, 11

Preis/Seiwerth Geheimnisschutz im Arbeitsrecht nach dem Geschäftsgeheimnisgesetz, RdA 2019, 351

Prölss/Dreher Versicherungsaufsichtsgesetz: VAG, 13. Aufl. 2018 (zit.: Prölls/Dreher/Bearbeiter)

Queling/Bayer Beschlagnahmeverbot gem. § 97 Abs. 1 Nr. 3 StPO im Hinweisgebersystem unter Einsatz von Ombudsanwälten, NZWiSt 2016, 417

Ramb Healthcare Compliance: Aktuelle Entwicklungen und globale Trends, CCZ 2015, 262

Reinhard Mitbestimmungsrechte des Betriebsrats bei der Implementierung von Unternehmens-, insbesondere Verhaltensrichtlinien, NZA 2016, 1233

Reifert Codes of Conduct nach der DSGVO, ZD 2019, 305

Richardi Betriebsverfassungsgesetz mit Wahlordnung, Kommentar, 16. Aufl. 2018 (zit.: Richardi/Bearbeiter BetrVG)

Rolfs/Giesen/Kreikebohm/Udsching BeckOK Arbeitsrecht, 57. Edition – Stand: 1.9.2020 (zit.: BeckOK-ArbR-Bearbeiter)

Rotsch/Mutschler/Grobe Der Regierungsentwurf zum Verbandssanktionengesetz – kritische Analyse und Ausblick, CCZ 2020, 169

Rütters/Schneider Die Beschlagnahme anwaltlicher Unterlagen im Unternehmensgewahrsam, GA 2014, 160

Ruhmannseder Unternehmensinterne Ermittlungen – rechtliche Fallstricke in Deutschland und Österreich in Festschrift für Imme Roxin, 2012, 501

Ruhmannseder/Lehner/Beukelmann Compliance aktuell, Sammelwerk – Stand November 2020 (zit.: Ruhmannseder/Lehner/Beukelmann/Bearbeiter)

Sänger Whistleblowing in der börsennotierten Aktiengesellschaft, 2011 (zit.: Whistleblowing)

Schmidt, B. Compliance in Kapitalgesellschaften, 2010 (zit.: Compliance)

Schmidt, R. H./Weiß Shareholder vs. stakeholder. Ökonomische Fragestellungen, 2003 (zit.: Shareholder vs. stakeholder)

Schmolke Die neue Whistleblower-Richtlinie ist da! Und nun?, NZG 2020, 5

Schneider, U. H./Nowak Sind die Einrichtung einer Whistleblowing-Stelle und der Schutz des Whistleblowers Teil guter Corporate Compliance?, FS Kreutz, 2010, S. 855

Schneider V. Die arbeitsrechtliche Implementierung von Compliance- und Ethikrichtlinien, 2009 (zit.: Implementierung)

Schreiber Das neue Gesetz zum Schutz von Geschäftsgeheimnissen – ein „Freifahrtschein“ für Whistleblower, NZWiSt 2019, 332

Schröder Integration von Whistleblowing in die nationale Rechtsordnung, ZRP 2020, 212

Schulz, C. N. Whistleblowing in der Wissenschaft, Rechtliche Aspekte im Umgang mit wissenschaftlichem Fehlverhalten, 2008 (zit.: Whistleblowing)

Schulz, M. Ethikrichtlinien und Whistleblowing – Arbeitsrechtliche Aspekte der Einführung eines Compliance-Systems, 2009 (zit.: Ethikrichtlinien)

Schumacher/Saby „Loi Sapin 2“: Die Revolution im französischen Anti-Korruptionsrecht, CCZ 2017, 68

Schwartmann/Jaspers/Thüsing/Kugelmann DS-GVO/BDSG, 2. Aufl. 2020 (zit.: Schwartmann/Jaspers/Thüsing/Kugelmann/Bearbeiter)

Sidhu/von Saucken/Ruhmannseder Der Unternehmensanwalt im Strafrecht und die Lösung von Interessenkonflikten, NJW 2011, 881

Siegler Wie ein FCPA-Verstoß vermieden werden kann, wenn ein Geschäftspartner „ausländischer Amsträger“ wird, CCZ 2014, 186

Simitis (Hrsg.) Bundesdatenschutzgesetz, 7. Aufl. 2011 (zit.: Simitis/Bearbeiter BDSG)

Simitis/Hornung/Spiecker Datenschutzrecht, 2019 (zit.: Simitis/Hornung/Spiecker/Bearbeiter)

Spehl/Momsen/Grützner Unternehmensinterne Ermittlungen – Ein internationaler Überblick, CCZ 2013, 260 (Teil I), CCZ 2014, 2 (Teil II), CCZ 2014, 170 (Teil III)

Spindler/Stilz Kommentar zum Aktiengesetz, 4. Aufl. 2019 (zit.: Spindler/Stilz/Bearbeiter AktG)

Steffen/Stöhr Die Umsetzung von Compliance-Maßnahmen im Arbeitsrecht, RdA 2017, 43

Tinnefeld/Conrad Die selbstbestimmte Einwilligung im europäischen Recht, ZD 2018, 391

Triskatis Ethikrichtlinien im Arbeitsrecht, 2008 (zit.: Ethikrichtlinien)

Umnuß Corporate Compliance Checklisten, 4. Aufl. 2020 (zit.: Umnuß/Bearbeiter)

Veljović Hinweisgebersysteme – Treiber der unternehmensinternen Sozialisation, CB 2019, 475

Wagner Ethikrichtlinien: Inhalte – Implementierung – Mitbestimmung, in: Maschmann (Hrsg.), Corporate Compliance und Arbeitsrecht, 2009, S. 65 (zit.: Maschmann/Wagner Arbeitsrecht)

Weidmann Datenschutzrechtliche Anforderungen an die Einrichtung interner Hinweisgebersysteme unter Berücksichtigung der EU-Whistleblowing-Richtlinie, DB 2019, 2393

Weiler/Kaspers Arbeits- und datenschutzrechtliche Auskunftsansprüche versus Schutz von Whistleblowern in Ruhmannseder/Lehner/Beukelmann, Compliance aktuell, Fach 2103

Wessing/Dann Deutsch-Amerikanische Korruptionsverfahren, 2013 (zit.: Wessing/Dann/Bearbeiter)

Wichtermann Einführung eines Datenschutz-Management-Systems im Unternehmen – Pflicht oder Kür? – Kurzüberblick über die Erweiterungen durch die DS-GVO, ZD 2016, 421

Wiedmann/Greubel Compliance Management Systeme – Ein Beitrag zur effektiven und effizienten Ausgestaltung, CCZ 2019, 88

Willemsen Einführung und Inhaltskontrolle von Ethikrichtlinien, 2009 (zit.: Ethikrichtlinien)

Wisskirchen/Jordan/Bissels Arbeitsrechtlicher Probleme bei der Einführung internationaler Verhaltens- und Ethikrichtlinien (Codes of Conduct/Codes of Ethics), DB 2005, 2190

Withus/Hein Prüfung oder Zertifizierung eines Compliance Management Systems – Voraussetzungen und mögliche Rechtsfolgen, CCZ 2011, 125

Wolff/Brink BeckOK DatenschutzR, 33. Edition – Stand: 1.8.2020 (zit.: Wolff/Brink/Bearbeiter)

Wybitul Compliance und Betriebsrat – typische Konfliktfelder und praktische Lösungen, CB 2015, 77

ders. EU: Datenschutzgrundverordnung verabschiedet – die wichtigsten Folgen für die Praxis auf einen Blick, ZD-Aktuell 2016, 04185

ders. „Whistleblowing“ – datenschutzkonformer Einsatz von Hinweisgebersystemen? – Für und Wider zum rechtskonformen Betrieb, ZD 2011, 118, 122

Länderteil Österreich

Aicher-Hadler Kronzeugen und Whistleblower, RFG 2010, 47

Brodil Verpfeifer, Pfeifen und Verpfiffene – Whistleblowing aus arbeitsrechtlicher Perspektive, ecolex 2009, 1024

ders. Arbeitsrechtliche Aspekte von Whistleblowing, in Lewisch (Hrsg), Zauberwort Compliance, 2012, S. 89

ders. Betriebsverfassungsrechtlich determinierter Datenschutz?, ZAS 2013, 269

ders. Arbeitnehmerdatenschutz und Datenschutz-Grundverordnung (DSGVO), exolex 2019, 486

Brunner/Nagel Whistleblowing – Sicherstellung des Hinweisgeberschutzes im Lichte der DSGVO, DaKo 2020, 32

Bundesministerium für Justiz Information über die Einrichtung eines Hinweisgebersystems (BKMS®-System) bei der Zentralen Staatsanwaltschaft zur Verfolgung von Wirtschaftsstrafsachen, 2013

Glaser/Komenda Whistleblowing in Österreich – Gefahren, Probleme und Lösungsmöglichkeiten, JRP 2012, 207

Huber Der Arbeitnehmer als Whistleblower, ASoK 2011, 255

Lechner (Datenschutzbehörde), Hinweisgebersysteme, 2017

Naderhirn Whistleblowing im Arbeitsrecht – Ausgewählte Aspekte, DRdA 2014, 14

Rebhahn Mitarbeiterkontrolle am Arbeitsplatz, 2009;

Reis Zur Zulässigkeit von Whistleblowing-Hotlines, RdW 2009, 396

Risak Whistleblowing durch den Betriebsrat, ecolex 2012, 243

Ruhmannseder in Ruhmannseder/Lehner/Beukelmann, Compliance aktuell, Whistleblowing in Österreich – Einführung von Hinweisgebersystemen in Unternehmen, Fach O 1105

ders. in Soyer (Hrsg.), Handbuch Unternehmensstrafrecht, 2020, Kapitel 13 – Compliance-Strategien

Schrank/Kristöfl Whistleblower: ein Segen für Unternehmen?, SWK 2020, 1398;

Schweiger Die Richtlinie zum Schutz von Hinweisgebern – arbeitsrechtliche Konsequenzen, RdW 2020, 453 (Teil I), 533 (Teil II)

Simones Notwendigkeit eines Gesetzes zum Schutz von Whistleblowern?, RdA 2013, 236

Soyer Handbuch Unternehmensstrafrecht, 2020 (zit.: Soyer/Bearbeiter)

Spring „Whistleblowing“ – „Verpfeif“-Maßnahmen aus datenschutzrechtlicher Sicht, ecolex 2007, 139

Wess Unternehmensinterne Ermittlungen – Erfahrungen und Problemstellungen in Österreich, AnwBl 2013, 223.

Länderteil Schweiz

Ackermann Unterlassungsrisiken in der Unternehmensleitung – am Beispiel der Geldwäscherei in: Ackermann/Hilf (Hrsg.), Geldwäscherei – Asset Recovery, 2012, S. 133

Berger/Lee Do Corporate Whistleblower Laws Deter Accounting Fraud?, Working paper, 2019

Bettex Le cadre légal des enquêtes internes dans les banques et autres grandes entreprises en droit du travail SJ 2/2013, S. 157

ders. Le whistleblowing: quelques considérations sur le whistleblowing et le droit suisse Der Schweizer Treuhänder 6-7/2014, S. 492

Böckli Schweizer Aktienrecht – mit Fusionsgesetz, Börsengesellschaftsrecht, Konzernrecht, Corporate Governance, Recht der Revisionsstelle und der Abschlussprüfung in neuer Fassung unter Berücksichtigung der angelaufenen Revision des Aktien- und Rechnungslegungsrechts, 4. Aufl. 2009

Bowen/Call/Rajgopal Whistle-Blowing: Target Firm Characteristics and Economic Consequences, The Accounting Review 4/2010, S. 1239

Buff Compliance: Führungskontrolle durch den Verwaltungsrat, 2000

COSO International Control – Integrated Framework, 2019

Von der Crone Aktienrecht, 2. Aufl. 2020

DOJ Criminal Division Evaluation of Corporate Compliance Programs, June 2020

Economiesuisse Swiss Code of Best Practice for Corporate Governance, ursprünglich 2002, überarbeitete Fassung 2014

Economiesuisse/SwissHoldings Grundzüge eines wirksamen Compliance-Managements, 2014

EDÖB 20. Tätigkeitsbericht, 2012/2013

Ehmann/Selmayr Beck'sche Kurz-Kommentare, Datenschutz-Grundverordnung (DS-GVO), 2. Aufl. 2018 (zit.: Ehmann/Selmayr/Bearbeiter)

Forster Die strafrechtliche Verantwortlichkeit des Unternehmens nach Art. 102 StGB, 2006

Forstmoser/Meier-Hayoz/Nobel Schweizerisches Aktienrecht, 1996

Fritsche Interne Untersuchungen in der Schweiz – Ein Handbuch für regulierte Finanzinstitute und andere Unternehmen, 2013

Gauch/Schmid Zürcher Handkommentar ZK, Kommentar zum schweizerischen Zivilrecht, Obligationenrecht, Kommentar zur 1. und 2. Abteilung, Art. 1-529 OR, 4. Aufl. 2006 (zit.: Gauch/Schmid/Bearbeiter)

Geiser Die Treuepflicht des Arbeitnehmers und ihre Schranken, 1983

Geiser/Fountoulakis Basler Kommentar BSK, Zivilgesetzbuch I, Art. 1-456 ZGB, 6. Aufl. 2018 (zit.: Geiser/Fountoulakis/Bearbeiter)

Häner Öffentlichkeitsprinzip – Geschäftsgeheimnis, Digma 3/2016, S. 118

Hauser/Hergovits/Blumer Whistleblowing Report 2019, 2019

Hausheer/Walter Berner Kommentar BK, Einleitung und Kommentar zu den Art. 319-330b OR, Schweizerisches Zivilgesetzbuch, Das Obligationenrecht, Die einzelnen Vertragsverhältnisse, Der Arbeitsvertrag, Art. 319-362 OR, 2010 (zit.: Hausheer/Walter/Bearbeiter)

Hilti Schutz von Whistleblowing in Europa? – zu den rechtlichen Regelungen zum Schutz von Whistleblower(inne)n in Europa, Digma 6/2016, S. 6

Hofstetter Corporate Governance in der Schweiz – Bericht im Zusammenhang mit den Arbeiten der Expertengruppe „Corporate Governance“, 2002

ders. Grundlagenbericht zur Revision: Swiss Code of Best Practice for Corporate Governance, 2. Aufl. 2014

Honsell/Vogt/Watter Basler Kommentar BSK, Obligationenrecht II, Art. 530-964 OR, 5. Aufl. 2016 (zit.: Honsell/Vogt/Watter/Bearbeiter)

Hug Whistleblowing et secrets pénalement protégés: quels risques pour le lanceur d'alerte eb Suisse? ZStrR/RPS 1/2013, S. 1

ICC Comisssion on Competition The ICC Antitrust Compliance Toolkit – practical antitrust compliance tools for SMEs and larger companies, 2013

Imbach-Haumüller Whistleblowing – Bestandteil einer effektiven internen Kontrolle, GesKR 1/2013, S. 71

Jositsch/Conte Bankgeheimnisverletzung durch Whistleblowing, SJZ/RSJ 15/2017, S. 357

Jositsch/Drzalic Revision des Korruptionsstrafrechts, AJP/PJA 3/2016, S. 349

Jungo Whistleblowing – Lage in der Schweiz, recht 2/2012, S. 65

Kiener/Kälin/Wyttenbach Grundrechte, 3. Aufl. 2018

Knecht Arbeitsvertrag – Leitende Arbeitnehmende in: Münch/Kasper-Lehne/Probst (Hrsg.), Schweizer Vertragshandbuch, 3. Aufl. 2018, S. 707

Kunz/Jutzi/Schären Stämpflis Handkommentar SHK, Geldwäschereigesetz, 2017 (zit.: Kunz/Jutzi/Schären/Bearbeiter)

Kurer Legal and Compliance Risk: A Strategic Response to a Rising Threat for Global Business, 2015

Länzlinger Rechtliche Rahmenbedingungen und praktische Erfahrungen im Zusammenhang mit Mitarbeiterbefragungen in: Romerio/Bazzani (Hrsg.), Interne und regulatorische Untersuchungen, 2015, S. 107

Lengauer/Ruckstuhl Compliance, 2017

Licci Codes of Conduct im Arbeitsverhältnis mit besonderem Blick auf das Whistleblowing, AJP/PJA 8/2015, S. 1168

Livschitz Datenschutz in Compliance und Rechtsverfahren in: Passadelis/Rosenthal/Thür (Hrsg.), Datenschutzrecht – Beraten in Privatwirtschaft und öffentlicher Verwaltung, 2015, S. 613

Locher Whistleblowing durch Staatsangestellte: datenschutzrechtliche Voraussetzungen der Offenlegung von Missständen im öffentlich-rechtlichen Arbeitsverhältnis, Digma 1/2016, S. 26

Maurer-Lambrou/Blechta Basler Kommentar BSK, Datenschutzgesetz (DSG) / Öffentlichkeitsgesetz (BGÖ), 2014 (zit.: Maurer-Lambrou/Blechta/Bearbeiter)

Meier-Hayoz/Forstmoser/Sethe Schweizerisches Gesellschaftsrecht, Mit neuem Firmen- und künftigem Handelsregisterrecht und unter Einbezug der Aktienrechtsreform, 12. Aufl. 2018

Niggli/Wiprächtiger Basler Kommentar BSK, Strafrecht I, Art 1-110 StGB/JStG, 3. Aufl. 2013 (zit.: Niggli/Wiprächtiger/Bearbeiter 3. Aufl.)

dies. Basler Kommentar BSK, Strafrecht, StGB/JStG, 4. Aufl. 2019 (zit.: Niggli/Wiprächtiger/Bearbeiter)

OECD Anti-Bribery Convention, Phase 4 Report: Switzerland, 2018

Rieder Whistleblowing als interne Risikokommunikation – Ausgestaltung eines unternehmensinternen Whistleblowing-Systems aus arbeits- und datenschutzrechtlicher Sicht in Müller/Geiser (Hrsg.), Recht in privaten und öffentlichen Unternehmen RiU Band 2, 2013

Rosenthal/Jöhri Handkommentar zum Datenschutzgesetz sowie weiteren, ausgewählten Bestimmungen, 2. Aufl. 2018 (zit.: Rosenthal/Jöhri/Bearbeiter)

Rotz Die Garantenstellung und die Garantenpflicht des Compliance Officers einer Bank – unter Berücksichtigung der strafrechtlichen Bestimmungen des Finanzmarktrechts, 2019

Rudolph Interne Untersuchungen: Spannungsfelder aus arbeitsrechtlicher Sicht, SJZ/RSJ 16-17/2018, S. 385

Sethe/Andreotti Compliance und Verantwortlichkeit in: Isler/Sethe (Hrsg.), Verantwortlichkeit im Unternehmensrecht VIII, 2016, S. 85

Strasser Strafrechtliche Verantwortung des Unternehmensjuristen einer Schweizer Bank in: Von und zu Liechtenstein/Monti/Vesterdorf/Westbrook/Wildhaber (Hrsg.), Economic Law and Justice in Times of Globalisation – Wirtschaftsrecht und Justiz in Zeiten der Globalisierung, FS für Carl Baudenbacher, 2007, S. 749

Streiff/von Kaenel/Rudolph Arbeitsvertrag, Praxiskommentar zu Art. 319-362 OR, 7. Aufl. 2012 (zit.: Streiff/von Kaenel/Rudolph/Bearbeiter)

Stubben/Welch Evidence on the Use and Efficacy of Internal Whistleblowing Systems, Journal of Accounting Research, 2/2020, S. 473

dies. Research: Whistleblowers Are a Sign of Healthy Companies, Harvard Business Review, 14.11.2018

Trechsel/Pieth Schweizerisches Strafgesetzbuch, Praxiskommentar, 3. Aufl. 2018 (zit.: Trechsel/Pieth/Bearbeiter)

Vasella Whistleblowing-Systeme im Konzern, Digma 2/2016, S. 76

Watter/Vogt/Bauer/Winzeler Basler Kommentar BSK, Bankengesetz (BankG), 2. Aufl. 2013 (zit.: Watter/Vogt/Bauer/Winzeler/Bearbeiter)

Widmer-Lüchinger/Oser Basler Kommentar BSK, Obligationenrecht I, Art. 1-529 OR, 7. Aufl. 2020 (zit.: Widmer-Lüchinger/Oser/Bearbeiter)

1. Kapitel Einführung

Inhaltsverzeichnis

I. Der Begriff „Whistleblowing“ als Ausgangspunkt

II. Implikationen für den Hinweisgeber und die betroffene Organisation

III. EU-Hinweisgeberrichtlinie und Hinweisgeberschutzgesetz

IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung

1

Der Umgang mit Hinweisgebern wird seit jeher kontrovers diskutiert. Gerade in Deutschland ist dieses Thema historisch vorbelastet. In den letzten Jahren hat allerdings eine deutlich wahrnehmbare Veränderung stattgefunden. Wurden Hinweisgeber früher häufig noch als Spitzel oder Denunzianten angesehen, verändert sich die öffentliche Wahrnehmung dahingehend, dass Hinweisgeber einen wertvollen Beitrag dazu leisten, dass Missstände in der Zivilgesellschaft, Wirtschaft oder Politik öffentlich gemacht und so adressiert werden.

2

Dazu beigetragen haben spektakuläre Fälle wie die von Edward Snowden, Chelsea Manning, den Paradise und Panama Papers, Luxleaks oder Football Leaks. Mal ging es um umfassende Überwachung durch Geheimdienste oder Verbrechen von Militärs, mal um Steuerhinterziehung durch betuchte Bürger aus aller Herren Länder. Wenn sich Hinweisgeber gutgläubig verhalten, kann nicht überschätzt werden, welchen Beitrag sie leisten können, damit Fehlverhalten in der Gesellschaft oder – insoweit das Thema dieses Buches – in einem Unternehmen erkannt und abgestellt wird.

3

Zwar kann auch das beste Compliance-Programm nicht jede kriminell-kreative Idee Einzelner unterbinden. Wenn aber Personen, die im Begriff sind, die Regeln zu brechen, zu umgehen oder dies bereits getan haben, befürchten müssen, dass ihr Verhalten ans Licht kommen, hält es den ein oder anderen möglicherweise von einem Fehltritt ab, wenn die greifbare Möglichkeit der Aufdeckung durch einen Hinweisgeber besteht. Dementsprechend wird ein Hinweisgebersystem inzwischen auch im deutschsprachigen Raum als wesentlicher Bestandteil eines effektiven Compliance Management Systems angesehen.[1] Die Bedeutung von Hinweisgebersystemen wird nicht zuletzt aufgrund der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden[2] (kurz „EU-Hinweisgeberrichtlinie“), künftig deutlich zunehmen. Die EU-Hinweisgeberrichtlinie ist am 16.12.2019 in Kraft getreten und muss vom Gesetzgeber der jeweiligen EU-Mitgliedstaaten bis spätestens 17.12.2021 in nationales Recht umgesetzt werden.[3] In Deutschland wird dies durch das Gesetz zum Schutz hinweisgebender Personen (Hinweisgeberschutzgesetz – HinSchG) erfolgen.

4

Der Vorteil von Hinweisgebersystemen gegenüber anderen Kontrollmechanismen wie Richtlinien, Handlungsanweisungen oder Schulungen ist, dass ein Hinweisgebersystem „bottom up“ funktioniert. Das bedeutet, nicht die Compliance-Abteilung selbst entscheidet zentral, welche Themen für die Mitarbeiter und die Organisation relevant sind, sondern die Mitarbeiter entscheiden zu einem gewissen Teil selbst, welche Themen mit dem jeweiligen Rechtsempfinden nicht im Einklang stehen. Dabei können auch regionale und kulturelle Unterschiede eine Rolle spielen.

5

Natürlich haben einige Hinweisgeber ihre eigene Agenda und verfolgen möglicherweise primär egoistische Ziele. An dieser Stelle setzt aber die Verantwortung der zuständigen Personen im Unternehmen ein, Prozesse zu entwickeln, um falsche Hinweise oder fehlgeleitete Motive zu erkennen und von den wichtigen Details zu trennen. Derartige globale Konzepte in einer lebenden Organisation wie einem Unternehmen sind nicht einfach zu implementieren und zu steuern. Mit der nötigen Aufmerksamkeit für die Prozesse und deren kontinuierliche Anpassung, kann jedes Unternehmen über das Hinweisgebersystem einen wertvollen Beitrag dazu leisten, dass sich das Unternehmen und seine Mitarbeiter an die geltenden Gesetze halten und zugleich eine Arbeitsumgebung schaffen, in der sich alle Unternehmensangehörige sicher und wohl fühlen.

6

Die Schwierigkeit liegt in der Praxis aktuell noch darin begründet, dass sich nicht alle Unternehmensleiter und Compliance-Verantwortlichen darüber bewusst sind, wie wichtig der Beitrag eines Hinweisgebersystems für die Unternehmenskultur und die Effektivität des Compliance-Programms ist. Möglicherweise hat auch der ein oder andere Entscheider noch eine Leiche im Keller, die er lieber begraben lassen möchte. Positive Änderungen des Verhaltens oder der Kultur können in einem Unternehmen aber nur durch Offenheit und Transparenz herbeigeführt werden.[4] Das gilt für technische Fehler genauso wie für Korruption oder Kartellabsprachen oder die Sicherheit am Arbeitsplatz inklusive dem Schutz vor sexuellen Übergriffen oder unangebrachtem Verhalten. Wer ein Unternehmen betreibt oder leitet, hat sowohl die gesellschaftliche als auch die rechtliche Verantwortung dafür Sorge zu tragen, dass sich die Mitarbeiter in dem Unternehmen sicher und wohl fühlen und die Gesellschaft und Kunden nicht durch Fehlverhalten aus dem Unternehmen heraus geschädigt werden.

Anmerkungen

[1]

Vgl. hierzu statt vieler Hauschka/Moosmayer/Lösler/Buchert Corporate Compliance, § 42 Rn. 62 ff.

[2]

Richtlinie des Europäischen Parlaments und des Rates v. 23.10.2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, ABlEU Nr. L 305/17 v. 26.11.2019.

[3]

Zu den Einzelheiten vgl. etwa Dilling CCZ 2019, 214; Erlebach CB 2020, 284; Ruhmannseder/Lehner/Beukelmann/Götz Compliance aktuell, Fach 2102.

[4]

Vgl. dazu auch Ruhmannseder/Lehner/Beukelmann/Götz Compliance aktuell, Fach 2102 Rn. 5.

1. Kapitel Einführung › I. Der Begriff „Whistleblowing“ als Ausgangspunkt

I. Der Begriff „Whistleblowing“ als Ausgangspunkt

7

Hinweisgebersysteme beinhalten Verfahren und Prozesse zum „Whistleblowing“. Für diesen Begriff gibt es bisher keine einheitliche, allgemein anerkannte Definition. Die im anglo-amerikanischen Raum gebräuchlichste Definition liefern Miceli/Near Journal of Business Ethics 1995, Vol. 4, No. 1, S. 1: „The disclosure by organization members (former or current) of illegal, immoral or illegitimate practices under the control of their employers, to persons or organizations that may be able to effect action“. Übertragen ins Deutsche kann der Begriff „Whistleblowing“ daher – verkürzt – als „Aufdeckung von Missständen“ umschrieben werden.

8

Für den „Whistleblower“ selbst wird (ins Deutsche übersetzt) häufig auch der wertneutrale und daher sachgerechte Begriff „Hinweisgeber“ verwendet.[1] Bei der Organisation, welcher der Hinweisgeber angehört und welcher das (angeblich) unlautere Verhalten entspringt, handelt es sich in den meisten Fällen um ein Wirtschaftsunternehmen. Hinweisempfänger können aber auch andere Institutionen – insbesondere Behörden – sein. Ist der Hinweisempfänger Teil der Organisation, der das angeprangerte Fehlverhalten entspringt (oder wurde er von dieser beauftragt, entsprechende Hinweise entgegenzunehmen), spricht man vom „internen“ Whistleblowing.[2] Die Unterrichtung von Strafverfolgungs- und Aufsichtsbehörden, Medien oder anderen öffentlichen Stellen wird als „externes“ Whistleblowing bezeichnet.[3]

9

Ein sog. „Hinweisgebersystem“ in Unternehmen ermöglicht es Beschäftigten bzw. je nach Ausgestaltung Dritten (z.B. Kunden), über ein bestimmtes Verfahren (anonym) Informationen über Verhaltensweisen von Beschäftigten des Unternehmens abzugeben, die nicht im Einklang mit dem Gesetz oder unternehmensinternen Verhaltensregeln stehen.[4] Ziel eines unternehmensinternen Hinweisgebersystems ist es, durch Meldungen frühzeitig Probleme, Kontrollmängel und Missstände aufzudecken und ihnen entsprechend entgegenzuwirken.[5]

Anmerkungen

[1]

So ist etwa auch in der EU-Hinweisgeberrichtline durchgängig vom „Hinweisgeber“ die Rede.

[2]

Gem. Art. 5 Ziff. 4 EU-Hinweisgeberrichtlinie ist eine „interne Meldung“ die mündliche oder schriftliche Mitteilung von Informationen über Verstöße innerhalb einer juristischen Person des privaten oder öffentlichen Sektors.

[3]

Gem. Art. 5 Ziff. 5 EU-Hinweisgeberrichtlinie ist eine „externe Meldung“ die mündliche oder schriftliche Mitteilung von Informationen über Verstöße an die zuständigen Behörden.

[4]

Mahnhold NZA 2008, 737; vgl. auch Eufinger NZA 2017, 619, Johnson CCZ 2019, 66.

[5]

Vgl. hierzu auch IDW PS 980 A 17 „Compliance Programm“.

1. Kapitel Einführung › II. Implikationen für den Hinweisgeber und die betroffene Organisation

II. Implikationen für den Hinweisgeber und die betroffene Organisation

10

Die eingangs erwähnten positiven Auswirkungen eines Hinweises dienen – jedenfalls mittel- und langfristig – auch den Interessen und Zielen der betroffenen Organisation. Insoweit werden vor allem die positiven wirtschaftlichen Effekte von Hinweisen betont: Hinweisgeber sollen dazu beitragen, durch Rechtsverstöße entstehende Schäden zu vermeiden und Bedrohungen oder Schäden des öffentlichen Interesses, die andernfalls unentdeckt blieben, aufzudecken.[1] Gleichwohl sind Hinweisgeber in der Praxis häufig negativen Reaktionen aus den Reihen der betroffenen Organisation und deren Angehörigen (Kollegen) ausgesetzt. Nicht selten ergreift die Organisation gegenüber dem Hinweisgeber zivil- oder arbeitsrechtliche Schritte (z.B. Herabstufung oder Versagung einer Beförderung, Versetzung oder Kündigung). Aus dem Kreis der Kollegen drohen Stigmatisierung, sozialer Ausschluss bis hin zum Mobbing.[2] Zwar bildet ein Hinweisgebersystem aufgrund der Erhöhung des subjektiven Entdeckungsrisikos sowie der Verstärkung der Sozialisationseffekte der Mitarbeiter eine wesentliche Grundlage für eine effektive Kriminalprävention in Organisationen.[3] Erweist sich der Hinweis als stichhaltig und bezieht er sich auf illegale Verhaltensweisen, wird die Hinweiserteilung intern gerade von den Führungskräften und den übrigen Arbeitskollegen oftmals als illoyal empfunden.[4] Dies gilt vor allem in Organisationen, in denen ein ausgeprägtes Gruppengefühl vorhanden ist und sich daher viele in erheblichem Maße mit der Organisation und ihren Zielen identifizieren.[5] Ein vertrauensvolles Zusammenwirken, ausgerichtet auf eine offene Kommunikation sowie Kooperation mit Vorgesetzten und Kollegen, ist aber zentrale Voraussetzung für die Funktionstüchtigkeit und den Erfolg jeder Organisation. Die Implementierung eines funktionstüchtigen Hinweisgebersystems (als Bestandteil eines effektiven Compliance-Management-Systems) hängt daher maßgeblich davon ab, inwieweit es gelingt, die möglichen negativen Folgen, die zum einen der betroffenen Organisation, zum anderen dem Hinweisgeber drohen, zu vermeiden oder jedenfalls abzumildern. Das Spannungsverhältnis zwischen dem Interesse an der Aufdeckung von Rechtsverstößen sowie Missständen in Unternehmen und Behörden einerseits und den zivil-, arbeits- und dienstrechtlichen Pflichten von Hinweisgebern andererseits verstärkt sich bei Meldungen an externe Stellen. Wann in diesem Spannungsverhältnis die Wahrnehmung staatsbürgerlicher Pflichten die Verschwiegenheits- und Loyalitätspflicht gegenüber dem Arbeitgeber oder dem Dienstherrn überwiegt und damit eine Offenbarung von Missständen rechtfertigt, war gesetzlich bislang nicht ausdrücklich geregelt.

11

In seiner Grundsatzentscheidung im Fall Heinisch hat sich der Europäische Gerichtshof für Menschenrechte (EGMR) mit dem Schutz von Hinweisgebern befasst und Kriterien für die Abwägung zwischen Arbeitgeber- und Arbeitnehmerinteressen festgestellt.[6] 2003 hatte eine Pflegerin in einem Berliner Pflegeheim mehrfach Personalnotstand und unhaltbare Pflegezustände zunächst bei ihrem Arbeitgeber, dann bei der übergeordneten Heimaufsicht angezeigt. Diese stellte gravierende Pflegemängel fest. Da der Arbeitgeber keine Maßnahmen ergriff, um die Mängel abzustellen, erstattete die Pflegerin Strafanzeige gegen die verantwortlichen Personen wegen Betrugs. Die Staatsanwaltschaft stellte das Verfahren ein und der Pflegerin wurde von ihrem Arbeitgeber gekündigt. Die Kündigung hielt einer arbeitsgerichtlichen Prüfung stand. Im Juli 2011 urteilte der EGMR, dass die von den deutschen Gerichten bestätigte Kündigung eine Verletzung von Artikel 10 (Freiheit der Meinungsäußerung) der Europäischen Menschenrechtskonvention (EMRK) darstelle. Der EGMR bestätigte dabei die Pflicht des Arbeitnehmers zu Loyalität, Zurückhaltung und Vertraulichkeit gegenüber seinem Arbeitgeber und bezeichnete den Gang an die Öffentlichkeit als „letztes Mittel“. Im Rahmen der Verhältnismäßigkeitsprüfung seien unter anderem das öffentliche Interesse an der Information, deren Wahrheitsgehalt, Handlungsalternativen des Arbeitnehmers, aber auch die Gründe.[7] Die Umstände dieses Falles, die vorausgegangenen erfolglosen internen Meldungen, die Reaktion des Arbeitgebers und die Dauer des Verfahrens zeigen beispielhaft, wie notwendig klare gesetzliche Regelungen für hinweisgebende Personen sind.

12

Die Vorgaben des EGMR im Fall Heinisch zum Schutz von Hinweisgebern wurden zwar seitdem in der deutschen Zivil- und Arbeitsgerichtsbarkeit im Wesentlichen übernommen.[8] Es verblieben für Hinweisgeber aufgrund der Einzelfallbezogenheit der Entscheidungen aber nicht unerhebliche rechtliche Risiken, wenn sie einen Missstand aufdecken wollten. Durch die Umsetzung europarechtlicher Vorgaben für einzelne Sektoren – speziell im Bereich der Finanzdienstleistungen – wurden diese Risiken in den vergangenen Jahren bereits etwas abgemildert.[9] Zudem verbreitete sich in jüngster Zeit auch auf internationaler Ebene der Konsens, dass Hinweisgeber einen effektiven gesetzlichen Schutz benötigen, um vor allem der Korruption Einhalt zu gebieten.

Anmerkungen

[1]

Dilling CCZ 2019, 214 unter Hinweis auf die Begründung des Vorschlags der Europäischen Kommission für eine Richtlinie des europäischen Parlaments und des Rates zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden v. 23.4.2018, 2018/0106 (COD), S. 3.

[2]

Vgl. nur Veljović CB 2019, 475, 477.

[3]

Veljović CB 2019, 475, 477 f.

[4]

Vgl. hierzu bereits Berndt/Hoppler BB 2005, 2623, 2628.

[5]

Näher zur Soziologie von Hinweisgebersystemen etwa Veljović CB 2019, 475.

[6]

EGMR Urteil vom 21.7.2011 – 28274/08 (Heinisch/Deutschland), NZA 2011, 1269.

[7]

EGMR NZA 2011, 1269, 1271 ff.

[8]

Vgl. etwa BAG NZA 2012, 317, 320; NZA 2015, 245, 251; LAG Berlin-Brandenburg BeckRS 2014, 74315; LAG Düsseldorf BeckRS 2016, 68431; LAG Hamm BeckRS 2013, 69437; LAG Köln BeckRS 2012, 75713; LAG Rheinland-Pfalz BeckRS 2016, 112640; LAG Schleswig-Holstein BeckRS 2012, 68879; OLG Frankfurt NJW 2014, 3376.

[9]

Vgl. dazu die Einzelheiten im 3. Kap. Rn. 158 ff.

1. Kapitel Einführung › III. EU-Hinweisgeberrichtlinie und Hinweisgeberschutzgesetz

III. EU-Hinweisgeberrichtlinie und Hinweisgeberschutzgesetz

13

Vor diesem Hintergrund hat die Kommission am 23.04.2018 ihren „Vorschlag für eine Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ veröffentlicht. Ziel des Vorschlages war eine Mindestharmonisierung des Schutzes von hinweisgebenden Personen durch eine horizontale Richtlinie mit einem weiten Anwendungsbereich.[1] Erreicht werden sollte eine bessere Rechtsdurchsetzung in der EU sowie ein europaweit geltendes einheitliches hohes Schutzniveau für Hinweisgeber durch eine gesetzgeberische Ausgestaltung des durch den EGMR herausgearbeiteten Grundrechtsschutzes. Der Richtlinienvorschlag wurde von einer Mitteilung flankiert, die weitere Empfehlungen zum Schutz von Hinweisgebern auf EU-Ebene und durch die Mitgliedstaaten enthält.[2] Darin beschreibt die Kommission verschiedene Maßnahmen auf EU-Ebene zum Schutz von Hinweisgebern wie den Schutz von Journalisten, die Förderung des Schutzes von Hinweisgebern im Bereich der Korruptionsbekämpfung sowie die aktive Rolle des europäischen Bürgerbeauftragten beim Schutz von Hinweisgebern.

14

Die im Amtsblatt der EU vom 26.11.2019 veröffentlichte und am 16.12.2019 in Kraft getrete EU-Hinweisgeberrichtlinie sieht die Einführung von Hinweisgebersystemen (nur) für die Meldung von Verstößen gegen das Unionsrecht vor und enthält neben Vorgaben zur grundsätzlichen Regelung des einzuführenden Systems vor allem umzusetzende Bestimmungen zum Schutz von Hinweisgebern. Ab dem Zeitpunkt des Inkrafttretens des nationalen Gesetzes werden Unternehmen mit mindestens 250 Mitarbeitern sofort oder bei 50 bis 249 Mitarbeitern bis spätestens 17.12.2023 verpflichtet sein, ein Hinweisgebersystem einzurichten. Mit der EU-Hinweisgeberrichtlinie werden rechtliche Rahmenbedingungen und EU-weit gemeinsame Mindeststandards geschaffen, die es den Wissensträgern erlauben sollen, Hinweise zu geben, ohne dafür persönliche und wirtschaftliche Nachteile erleiden zu müssen. Ein wesentliches Anliegen der Richtlinie besteht dabei im Schutz des Hinweisgebers vor Repressalien. Diese werden in Art. 6 Ziff. 11 EU-Hinweisgeberrichtlinie definiert als direkte oder indirekte Handlungen oder Unterlassungen in einem beruflichen Kontext, die durch eine interne oder externe Meldung oder eine Offenlegung ausgelöst werden und durch die dem Hinweisgeber ein ungerechtfertigter Nachteil entsteht oder entstehen kann. Dementsprechend muss der Hinweis kausal für die Repressalie sein.[3] Entsprechende Repressalien werden in Art. 19 EU-Hinweisgeberrichtlinie untersagt und nicht abschließend aufgezählt.

15

Flankierend dazu sind in der EU-Hinweisgeberrichtlinie Vorgaben für unterstützende Maßnahmen (Art. 20) sowie Maßnahmen zum Schutz vor Repressalien (Art. 21) enthalten. Zu den Unterstützungsmaßnahmen insbesondere ein einfacher und kostenloser Zugang zu umfassender sowie unabhängiger Information und Beratung über die verfügbaren Abhilfemöglichkeiten und Verfahren gegen Repressalien.[4] Dem praxisrelevanten Umstand, dass etwaige Repressalien gegenüber Hinweisgebern jedenfalls nicht offenkundig aufgrund eines Hinweises erfolgen, sondern für eine insoweit nachteilhafte Behandlung andere – oftmals nur vermeintlich bestehende – Gründe bemüht werden, soll durch eine in Art. 21 Abs. 5 EU-Hinweisgeberrichtlinie vorgesehene weitreichende prozessuale Beweislastumkehr Rechnung getragen werden. Danach wird in Verfahren vor einem Gericht oder einer anderen Behörde, die sich auf eine vom Hinweisgeber erlittene Benachteiligung beziehen und in denen der Hinweisgeber geltend macht, diese Benachteiligung infolge seiner Meldung oder der Offenlegung erlitten zu haben, vermutet, dass die Benachteiligung eine Repressalie für die Meldung oder Offenlegung war. In diesen Fällen obliegt es der Person, welche die benachteiligende Maßnahme ergriffen hat, zu beweisen, dass diese Maßnahme auf hinreichend gerechtfertigten Gründen basierte.[5]

16

In Deutschland hat das Bundesministerium der Justiz und für Verbraucherschutz (BMJV) im November 2020 den Entwurf eines Gesetzes für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden („Hinweisgeberschutzgesetz“ – HinSchG-E) fertig gestellt und zur Abstimmung an die anderen Ressorts versandt.[6] Mit dem HinSchG-E soll der bislang lückenhafte und unzureichende Schutz von Hinweisgebern ausgebaut und zugleich die Vorgaben der EU-Hinweisgeberrichtlinie in nationales Recht umgesetzt werden. Neben der Einführung des HinSchG-E als Kernstück erfordert die Umsetzung der EU-Hinweisgeberrichtlinie Anpassungen im Bundesbeamtengesetz sowie Beamtenrechtsrahmengesetz, um die obligatorische Einbeziehung der Beamten in den persönlichen Anwendungsbereich des Gesetzes sicherzustellen. Das HinSchG-E gliedert sich in Regelungen zum Anwendungsbereich (§§ 1 und 2 HinSchG-E), zum Verhältnis zu sonstigem geltenden Recht (§§ 4–6 HinSchG-E), zu internen und externen Meldesystemen (§§ 7–30 HinSchG-E), zur Offenlegung (§ 31 HinSchG-E), zu Schutzmaßnahmen (§§ 32–38 HinSchG-E) sowie zu Sanktionen (§ 39 HinSchG-E).

17

Hervorgehoben werden soll an dieser Stelle die in § 4 Abs. 1 HinSchG-E enthaltene Aufzählung bereits bestehender Meldesysteme für Verstöße, die unionsrechtlich vorgegeben wurden und entweder unmittelbar gelten oder bereits für bestimmte Sektoren in nationales Recht umgesetzt wurden. Diese bereits eingerichteten Meldesysteme sollen durch das neue horizontale Instrument nicht abgeschafft werden, sondern mit ihrer jeweiligen Sonderzuständigkeit weiterhin bestehen bleiben. Neben diesen Systemen soll auch keine zusätzliche neue Zuständigkeit für bereits erfasste Sachverhalte eingerichtet werden. Soweit bereits ein Meldesystem greift, auf das § 4 Abs. 1 HinSchG-E verweist, geht dieses vor und das HinSchG soll nicht angewendet werden.[7] Ungeachtet dessen wurde der sachliche Anwendungsbereich des HinSchG-E zur Vermeidung von Wertungswidersprüchen und zur Schaffung von praktikablen Regelungen die in der EU-Hinweisgeberrichtlinie angelegten Rechtsbereiche in begrenztem Umfang auf nationales, korrespondierendes Recht ausgeweitet. Dabei wurden insbesondere das Strafrecht und das Recht der Ordnungswidrigkeiten einbezogen.[8]

18

Die EU-Hinweisgeberrichtlinie verfolgt nicht nur das Ziel, die Hinweisgeber sondern auch die von den Hinweisen betroffenen Personen zu schützen. Dabei hat ein Hinweisgeber Anspruch auf Schutz im Rahmen der EU-Hinweisgeberrichtlinie, wenn er „hinreichenden Grund zu der Annahme hat, dass die von ihm gemeldeten Informationen zum Zeitpunkt ihrer Übermittlung der Wahrheit entsprachen und in den Anwendungsbereich dieser Richtlinie fallen“.[9] Schutzbedürftig sollen also nur gutgläubige Hinweisgeber sein.[10] Dementsprechend sind Personen, die wissentlich falsche oder irreführende Informationen melden, nicht vom Schutzbereich der Richtlinie erfasst. Der Missbrauch von Hinweisgebersystemen kann vielmehr straf- und zivilrechtliche Sanktionen nach sich ziehen.[11] Dies ist natürlich keine Besonderheit der EU-Hinweisgeberrichtlinie, sondern ist auch schon bislang geltendes nationales Recht. Die Meldung oder Offenlegung wissentlich falscher Informationen durch hinweisgebende Personen wird durch das HinSchG-E nicht durch eine Neuregelung von Sanktionen (vgl. § 39 HinSchG-E) zusätzlich mit einer Geldbuße belegt. Zwar ist eine Sanktionierung wichtig, um Denunziantentum und das leichtfertige Weitertragen ungeprüfter Informationen zu verhindern. Allerdings genügen die Rechtsinstrumente des geltenden Rechts. Hierzu zählen neben den allgemeinen Schadensersatzvorschriften auch eine mögliche Strafbarkeit (Vortäuschen einer Straftat nach § 145d StGB, falsche Verdächtigung nach § 164 StGB sowie Verleumdung nach § 187 StGB).[12] Nach § 37 HinSchG-E ist die hinweisgebende Person zum Ersatz des Schadens verpflichtet, der aus einer vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen entstanden ist. In diesem Zusammenhang ist insbesondere die Frage angesprochen, ob und inwieweit es in der Praxis überhaupt zu einem Missbrauch von Hinweisgebersystemen kommt.

Anmerkungen

[1]

KOM (2018) 218 endgültig.

[2]

KOM (2018) 214 endgültig.

[3]

Vgl. auch Erwägungsgrund Nr. 44 der EU-Hinweisgeberrichtlinie.

[4]

Vgl. Art. 20 Abs. 1 lit a) EU-Hinweisgeberrichtlinie.

[5]

Vgl. ausführlich zur Beweislastumkehr etwa Johnson CCZ 2019, 66.

[6]

Referentenentwurf, Bearbeitungsstand 26.11.2020.

[7]

Begründung Referentenentwurf (Stand: 26.11.2020), S. 30.

[8]

Vgl. hierzu Begründung Referentenentwurf (Stand: 26.11.2020), S. 30.

[9]

Art. 6 Abs. 1 lit. a) der EU-Hinweisgeberrichtlinie.

[10]

Siehe hierzu auch Erwägungsgrund Nr. 32 der EU-Hinweisgeberrichtlinie.

[11]

Vgl. Art. 23 Abs. 2 der EU-Hinweisgeberrichtlinie.

[12]

Begründung Referentenentwurf (Stand: 26.11.2020), S. 31. Siehe Rn. 3.

1. Kapitel Einführung › IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung

IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung

1. Kapitel Einführung › IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung › 1. Einleitung

1. Einleitung

19

Mit der Verabschiedung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden[1] („EU-Hinweisgeberrichtlinie“) ist die Einführung von Hinweisgebersystemen auf europäischer Ebene neu geregelt worden. In diesem Zusammenhang ist erneut und auch zu Recht auf die mannigfachen Vorteile derartiger Systeme hingewiesen worden.

20

Diskutiert man das Thema in der betrieblichen Praxis, so stößt man dennoch häufig auf eine Reaktion, die sich umschreiben lässt mit „der Verstand sagt ja, der Bauch sagt nein“. Dieses Bauchgefühl resultiert aus einem einzigen Sachverhalt: das System, so die Befürchtung, kann missbraucht werden. Hinweise könnten wissentlich falsch abgegeben und Personen zu Unrecht beschuldigt werden. Und in der Tat kommt es leider vor, dass, aus welchen Gründen auch immer, bewusst falsche Meldungen abgegeben werden (was übrigens selbst einen schwerwiegenden Compliance-Verstoß darstellt). Aber die grundlegende Frage bleibt, ob es sich hierbei um beklagenswerte Einzelfälle handelt oder ob der Missbrauch von Hinweisgebersystemen nicht doch in einem größeren Umfang stattfindet. Diese Fragestellung gewinnt zusätzliche Relevanz, sobald die Möglichkeit einer anonymen Meldung oder einer Meldung durch externe Dritte besteht.

21

Umso erstaunlicher ist es, dass es hierzu bisher kaum belastbare neutrale Untersuchungen gibt. Allein die Anbieter von Internet-basierten Meldesystemen haben bei ihren jeweiligen Kunden Ergebnisse erhoben,[2] jedoch mit unterschiedlichem Rahmen und unterschiedlichem Untersuchungsdesign. Doch nur durch gesicherte empirische Erkenntnisse kann das vorhandene Misstrauen gegenüber Hinweisgebersystemen beseitigt werden. Daher wurde im Rahmen einer Masterarbeit an der TU Dresden diese Fragestellung aufgegriffen. Die durchgeführte Umfrage wurde von 43 Unternehmen beantwortet, deren Größenverteilung nach Anzahl der Mitarbeiter aus Abb. 1 unter Rn. 34 ersichtlich ist. Aus den Antworten lassen sich Kernthesen ableiten, die im nächsten Abschnitt vorgestellt und begründet werden. Es folgt ein weiterer Abschnitt mit den Untersuchungsergebnissen im Detail.

Anmerkungen

[1]

Richtlinie des Europäischen Parlaments und des Rates v. 23.10.2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, ABlEU Nr. L 305/17 v. 26.11.2019.

[2]

Siehe etwa BKMS Benchmarking Report (nur Untersuchungsteilnehmern zugänglich) und Hauser/Hergovits/Blumer EQS HTW Chur Whistleblowingreport 2019.

1. Kapitel Einführung › IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung › 2. Die Kernthesen

2. Die Kernthesen

22

Die wichtigsten Auswertungsergebnisse der Antworten der 43 Unternehmen lassen sich in drei Kernthesen (KT1 bis KT3) zusammenfassen.

23

Dabei beziehen sich alle nachfolgend aufgeführten Prozentsätze ausschließlich auf Compliance-relevante Hinweise, bei denen also aufgrund des eingegangenen Hinweises im Case-Management ein Fall eröffnet worden ist. Mit anderen Worten: die Grundgesamtheit der hier betrachteten Hinweise ist um fehlgeleitete Hinweise (z.B. Kundenbeschwerden) und fehlerhafte Hinweise (z.B. vollkommen unspezifisch oder offensichtlich unsinnig) bereinigt.

24

Diese Compliance-relevanten Hinweise werden dann kategorisiert in

– | kein Missbrauch,
– | eventuell Missbrauch und
– | definitiv Missbrauch.

25

In die Kategorie „eventuell Missbrauch“ fallen Hinweise, bei denen am Ende der Untersuchung zur Aufklärung des Sachverhalts ein Missbrauch nicht nachgewiesen, aber auch nicht ausgeschlossen werden kann.

26

Das Untersuchungsdesign erlaubt die Auswertung getrennt nach anonymen und nicht-anonymen Hinweisen, nach Unternehmensgröße, nach Branche des Unternehmens und nach der Möglichkeit, ob auch Unternehmensexterne Hinweise abgeben können.

a) KT1: Fast 90 % aller Hinweise werden in guter Absicht abgegeben

27

Bei 84 % der Hinweise liegt nach Aussage der teilnehmenden Unternehmen mit Sicherheit kein Missbrauch vor. Hinzu kommt der nicht exakt zu bestimmende Anteil der rund 6 % der Hinweise, die eventuell Missbrauch darstellen.

28

Umgekehrt lässt sich somit feststellen, dass mindestens 10 % der Hinweise in missbräuchlicher Absicht abgegeben werden.

29

Während die fast 90 % in guter Absicht gegebenen Hinweise eindrucksvoll die Berechtigung und Bedeutung von Hinweisgebersystemen unterstreichen, verdeutlichen die verbleibenden (mindestens) 10 % die Notwendigkeit eines professionellen Case-Managements. Wenn jeder zehnte Hinweis bewusst falsch abgegeben wird und wenn darüber hinaus Hinweise zwar in guter Absicht abgegeben werden, aber trotzdem faktisch falsch sein können, dann müssen die in den Hinweisen ggf. beschuldigten Personen bis zum Beweis des Gegenteils zwingend als unschuldig gelten und müssen durch größtmögliche Vertraulichkeit in der Phase der Ermittlungen besonders geschützt werden. Falls beschuldigte, aber unschuldige Personen im Zuge von Aktivitäten zur Aufklärung abgegebener Hinweise Schaden nehmen, entsteht ein fast irreparabler Schaden für das Instrument des Hinweisgebersystems.

b) KT2: Der Prozentsatz missbräuchlicher Meldungen ist unabhängig davon, ob der Hinweis anonym abgegeben worden ist oder nicht

30

Sowohl bei anonymer als auch bei nicht-anonymer Hinweisabgabe liegt der Prozentsatz nicht missbräuchlich abgegebener Hinweise bei 84 %. Bei anonymen (nicht anonymen) Hinweisen liegt in 9 % (11 %) der Fälle definitiv Missbrauch vor, in 7 % (5 %) der Fälle eventuell (vgl. Abb. 2 und 3 unter Rn. 35 f.).

31

Das oft vorhandene intuitive Gefühl, dass bei anonymen Hinweisen häufiger Missbrauch vorliegt, hat die Studie nicht bestätigt.[1] Ein oftmals vorgetragenes Argument gegen die anonyme Hinweisabgabe ist somit nicht stichhaltig. Eine offene Hinweisabgabe als bevorzugte Alternative ist unbestritten, aber die Vorteile der Anonymität als „Ultima Ratio“ (niedrigere Hemmschwelle, höhere Anzahl an Meldungen) überwiegen deutlich die Nachteile (evtl. kulturelle Aspekte). Wenngleich im HinSchG-E keine Pflicht zur Nachverfolgung anonymer Meldungen vorgesehen ist,[2] kann auf der Basis der vorliegenden empirischen Ergebnisse den Unternehmen und Dienststellen nur angeraten werden, im eigenen Interesse auch anonymen Hinweisen nachzugehen und so das diesen inhärente Erkenntnispotenzial zu nutzen.

c) KT3: Die Öffnung des Hinweisgebersystems für Externe führt nicht zu einer Erhöhung missbräuchlicher Meldungen

32

Wird das Hinweisgebersystem für Externe, also z.B. für Kunden und Lieferanten, geöffnet, steigt der Anteil eindeutig nicht-missbräuchlicher anonymer und nicht-anonymer Meldungen im Mittel von 80 % auf 85 % (vgl. Abbildungen 4-7 unter Rn. 37 ff.).

33

Zusätzlich sinkt mit der Systemöffnung deutlich (-9 %) der Prozentsatz der Hinweise, bei denen eventuell Missbrauch vorliegt, während der Prozentsatz definitiv missbräuchlicher Meldungen im Mittel um 4 % steigt. Allerdings sind es nur sechs Unternehmen, die externe Hinweisabgabe nicht zulassen. Die empirische Basis ist somit nur durchschnittlich. Die Kernthese, dass die Öffnung des Systems für Externe nicht zu einer Erhöhung missbräuchlicher Meldungen führt, erscheint jedoch gerechtfertigt.

Anmerkungen

[1]

In diesem Sinne auch Hauser/Hergovits/Blumer EQS HTW Chur Whistleblowingreport 2019, S. 58.

[2]

Vgl. hierzu § 16 und 26 Abs. 1 S. 2 HinSchG-E sowie die Begründung Referentenentwurf (Stand: 26.11.2020), S. 29: „Verpflichtende Vorgaben für den Umgang mit anonymen Hinweisen sieht die HinSch-RL nicht vor. Weder interne noch externe Meldestellen sind verpflichtet, technische Mittel oder Verfahren für anonyme Meldungen vorzuhalten.“ Siehe auch Begründung Referentenentwurf (Stand: 26.11.2020), S. 31 f.: „Um das neue Hinweisgeberschutzsystem nicht zu überlasten und erste Erfahrungen sowohl interner wie auch externer Meldestellen abzuwarten, ist keine Pflicht zur Bearbeitung anonymer Hinweise vorgesehen. Denn damit einhergehen würden nicht nur zusätzliche Kosten für die notwendigen technischen Vorrichtungen, sondern auch die Gefahr von denunzierenden Meldungen und einer Überlastung der Meldestellen. Gleichwohl fallen anonyme Hinweisgeberinnen und Hinweisgeber unter die Schutzbestimmungen, wenn ihre zunächst verdeckte Identität bekannt wird (vergleiche § 27 Absatz 1 Satz 2 HinSchG-E).“

1. Kapitel Einführung › IV. Missbrauch von Hinweisgebersystemen – Eine empirische Untersuchung › 3. Untersuchungsergebnisse im Detail

3. Untersuchungsergebnisse im Detail

34

Abb. 1

[Bild vergrößern]

35

Abb. 2

[Bild vergrößern]

36

Abb. 3

[Bild vergrößern]

37

Abb. 4

[Bild vergrößern]

38

Abb. 5

[Bild vergrößern]

39

Abb. 6

[Bild vergrößern]

40

Abb. 7

[Bild vergrößern]

2. Kapitel Grundprinzipien eines Compliance Management Systems

Inhaltsverzeichnis

I. Grundlagen

II. Der Weg zu einem effektiven Compliance Management System

2. Kapitel Grundprinzipien eines Compliance Management Systems › I. Grundlagen

I. Grundlagen

41

Es ist inzwischen anerkannt, dass ein Hinweisgebersystem wesentlicher Bestandteil eines effektiven Compliance Management Systems (CMS) ist.[1] Die Bedeutung von effektiven Compliance-Strukturen in Unternehmen hat in den vergangenen Jahren stetig zugenommen. Vor diesem Hintergrund werden in diesem Kapitel mögliche Schritte auf dem Weg zu einem effektiven CMS dargestellt. Hierzu werden in einem Überblick insbesondere die nationalen und internationalen Vorgaben sowie die organisatorischen Grundlagen der Compliance erläutert. Im Anschluss daran erfolgt eine ausführliche Darstellung der Elemente, die bei der Umsetzung von Compliance-Strategien in der Praxis eine wesentliche Rolle einnehmen.

Anmerkungen

[1]

Vgl. nur Maume/Haffke ZIP 2016, 199, 201; Veljović CB 2019, 475, 477 f.

2. Kapitel Grundprinzipien eines Compliance Management Systems › I. Grundlagen › 1. Ziele

1. Ziele

42

Die primäre Funktion eines CMS ist es, Fehlverhalten im Unternehmen und aus dem Unternehmen heraus zu verhindern. Quasi als Reflex führt ein effektives CMS auch dazu, dass sich zum Beispiel die zuständigen Abteilungen auf die Qualität der Produkte und Dienstleistungen besinnen und diese kontinuierlich weiterentwickeln, um durch Qualität und Preis und nicht durch unlautere Praktiken im Markt zu bestehen. Auch eine positive Änderung der Unternehmenskultur ist spürbar, wenn ein wirksames Compliance Management System im Unternehmen implementiert ist.

43

Mit Blick auf die rechtlichen Risiken führt ein effektives CMS primär dazu, dass die Haftungsrisiken des Unternehmens, der Geschäftsleitung und auch der Mitarbeiter deutlich reduziert sind.

2. Kapitel Grundprinzipien eines Compliance Management Systems › I. Grundlagen › 2. Rechtsgrundlagen im deutschen Recht

2. Rechtsgrundlagen im deutschen Recht

44

In Deutschland werden seit jeher dogmatische Diskussionen darüber geführt, welche gesetzlichen Grundlagen bestehen, die deutsche Unternehmen verpflichten, ein CMS einzuführen. Sowohl im Gesellschaftsrecht, als auch im Straf- und Ordnungswidrigkeitenrecht, finden sich Rechtsgrundlagen für unterschiedliche Rechtsformen, Industrien oder Rechtsgebiete. Diese verpflichten die Unternehmen, im Rahmen des jeweiligen Anwendungsbereichs der Normen, ein Compliance Management System einzuführen. Beispielhaft seien die folgenden Vorschriften aufgelistet:

– | § 91 Abs. 2 AktG,
– | §§ 30, 130 OWiG,
– | § 12 Abs. 1 S. 2 AGG,
– | § 25a Abs. 1 S. 1 KWG.

45

Auch der aktuelle Entwurf eines Verbandssanktionengesetzes enthält keine konkreten Vorgaben zu der Einführung und den Bestandteilen eines CMS. Da das Vorhandensein eines effektiven CMS aber nach diesem neuen Konzept dazu führen kann, dass eine Haftung des Unternehmens und der Geschäftsführung nicht eintritt oder das CMS jedenfalls bei der Zumessung der Sanktionshöhe einen positiven Effekt hat, besteht eine gewisse Obliegenheit, ein CMS einzuführen.[1]

46

Für die überwiegende Anzahl der Unternehmen, nämlich all diejenigen Unternehmen, die international tätig sind, ist die dogmatische Suche nach der richtigen Rechtsgrundlage in der Praxis irrelevant. In zahlreichen Ländern bestehen allgemeine Voraussetzungen, die ein CMS erfüllen muss. Gleiches gilt für bestimmte Industrien oder Rechtsgebiete. Operieren Unternehmen in diesen Märkten oder Industrien, müssen sie unausweichlich diese Vorgaben befolgen, um die Haftungsrisiken so gering wie möglich zu halten. Im nachfolgenden Abschnitt stellen wir einige dieser internationalen Regelungen und Vorgaben vor.

47

Aus der Gesamtschau der lokalen und internationalen Vorgaben folgt, dass Unternehmen ab einer gewissen Größe und internationalen Ausrichtung ihres Geschäfts verpflichtet sind, ein adäquates CMS zu implementieren.[2] Das CMS darf an die Umstände des jeweiligen Unternehmens angepasst sein. Der Umsatz, die internationale Ausbreitung, die Industrie, das Marktumfeld, die Kundenlandschaft oder der Umfang der Datennutzung sind relevante Faktoren, die eine Rolle dabei spielen, wie das Compliance Management System in den einzelnen Rechtsbereichen ausgestaltet sein sollte.[3]

Anmerkungen

[1]

Vgl. Behr/Guttenberger DB 2020, 1218, 1221.

[2]

Vgl. dazu auch LG München I (Neubürger) NZWiSt 2014, 183, 187.

[3]

Withus/Hein CCZ 2011, 125, 131.

2. Kapitel Grundprinzipien eines Compliance Management Systems › I. Grundlagen › 3. Internationale Vorgaben und Ansätze zum Aufbau eines Compliance Management Systems

3. Internationale Vorgaben und Ansätze zum Aufbau eines Compliance Management Systems

48

International gibt es einige Standards, die Hilfestellungen dabei bieten können, wie ein CMS ausgestaltet sein sollte. ISO 19600 (künftig ISO 37301)[1] sowie der IDW PS 980 sind die bekanntesten Standards. Sie geben einen groben Rahmen vor, den das jeweilige Unternehmen für die unterschiedlichen Rechtsbereiche beachten muss.

49

Für einzelne Rechtsgebiete stehen darüber hinaus teils weitere internationale Standards und Vorgaben zur Verfügung. Auch wenn diese Standards möglicherweise keine rechtsverbindliche Wirkung entfalten, können sie dennoch hilfreich sein, den richtigen Maßstab für ein angemessenes CMS zu bestimmen.

50

Die aktuell relevantesten Rechtsgebiete, die im Fokus von CMS stehen, sind allgemein Anti-Korruption, das Kartellrecht, Geldwäsche, das Außenwirtschaftsrecht und Datenschutz. Die meisten CMS sehen zudem Regelungen zu Interessenkonflikten vor. Hierbei handelt es sich zwar nicht um ein eigenes Rechtsgebiet und häufig stellen Verstöße gegen die entsprechenden Vorgaben keine Verstöße gegen Gesetzesrecht dar. Dennoch ist der Umgang mit Interessenkonflikten ein wichtiger Gradmesser für die Compliance-Kultur in einem Unternehmen.

a) Internationale Standards zur Korruptionsbekämpfung

51

Besonders im Bereich der Korruptionsbekämpfung haben diverse Länder internationale Organisationsstandards veröffentlicht, die für Unternehmen hilfreiche Hinweise enthalten, wie ein Compliance Management System zur Korruptionsbekämpfung ausgestaltet sein sollte.

aa) US Foreign Corrupt Practices, DOJ- und SEC-Vorgaben, sowie Sentencing Guidelines

52

Aus den Vorgaben rund um den US Foreign Corrupt Practices Act („FCPA“) können Unternehmen eine Vielzahl von wertvollen Vorgaben ableiten, wie ein CMS ausgestaltet sein sollte.[2] Zum einen enthalten die veröffentlichten Entscheidungen der US-Behörden zahlreiche Hinweise, welche Schwachstellen in CMS bestehen können und wie diese nach Vorstellung der US-Behörden geschlossen werden sollten. Zum anderen veröffentlichen die US-Behörden, allen voran das US Justizministerium („DOJ“), sowie die US Börsenaufsicht („SEC“), regelmäßig überarbeitete Stellungnahmen zu CMS. Zuletzt gab das DOJ am 1.6.2020 eine adaptierte Richtlinie zur Bewertung von Compliance-Programmen heraus, welche die Versionen aus den Jahren 2017 und 2019 ersetzt.[3] Die Leitlinie beinhaltet die Erwartungen und Standards, die US-amerikanische Staatsanwälte bei der Bewertung eines Compliance-Programms während einer Untersuchung anwenden. Nur ein Monat später wurde gemeinsam mit der SEC Anfang Juli 2020 auch der Leitfaden zum FCPA[4] neu herausgegeben.

53

Diese Vorgaben bieten aufgrund ihres Detailreichtums und ihrer Transparenz wichtige Hinweise, wie ein CMS zur Korruptionsbekämpfung ausgestaltet sein sollte. Zu berücksichtigen ist hier allerdings der Schwerpunkt des FCPA. Dieser ist primär darauf ausgerichtet, Bestechung von (aus US-Sicht) ausländischen Amtsträgern und damit zusammenhängende Buchhaltungsverstöße zu verhindern.[5] Für die Bestechung im geschäftlichen Verkehr sind die Hinweise nur indirekt anwendbar. Gleiches gilt für die Bestechlichkeit der eigenen Mitarbeiter.

54

Der FCPA enthält selbst keine Pflicht zur Einführung eines Hinweisgebersystems. Der FCPA Resource Guide 2020 vom DOJ und der SEC erachtet ein Hinweisgebersystem aber als einen wesentlichen Bestandteil eines CMS.[6]

bb) UK Bribery Act und adequate procedures

55

Der UK Bribery Act („UKBA“) ist mittlerweile seit zehn Jahren in Kraft und hat sich zu einem der primären internationalen Standards für die Korruptionsbekämpfung entwickelt. Der UKBA verbietet umfassend Bestechung von ausländischen und inländischen Amtsträgern, sowie Bestechung im geschäftlichen Verkehr. Er enthält eine Haftung des Unternehmens, wenn es zu Korruption aus dem Unternehmen heraus gekommen ist. Das Unternehmen kann sich exkulpieren, wenn es nachweisen kann, dass es sogenannte „adequate procedures“, also angemessene Sicherungsvorkehrungen implementiert hatte, um Fehlverhalten vorzubeugen.[7] Die entsprechenden Leitfäden enthalten eine Vielzahl von Vorgaben, wie aus Sicht der britischen Behörden ein Compliance Management System zur Korruptionsbekämpfung ausgestaltet sein sollte.[8]

56

Der Leitfaden des Justizministeriums sieht ebenfalls vor, dass die Geschäftsführung dafür Sorge trägt, dass Unternehmen ein Hinweisgebersystem implementieren.[9]

cc) Sapin II

57

Der französische Sapin II ist seit dem 8.11.2016 in Kraft. Sapin II ist ein spezifisches Anti-Korruptionsgesetz. Es gilt für Unternehmen mit mehr als 500 Mitarbeitern oder einem Gesamtumsatz von 100 Mio. EUR pro Jahr.[10] Es enthält diverse Vorgaben für das Compliance Management System der betroffenen Unternehmen. Dieses muss jedenfalls folgende Elemente enthalten: (i) einen Code of Conduct, (ii) interne Hinweisgebermechanismen, (iii) Risikoanalysen, (iv) Prüfprozesse von Drittparteien (v) Buchhaltungskontrollen, (vi) Compliance Schulungen, (vii) Vorgaben zu arbeitsrechtlichen Maßnahmen bei Fehlverhalten, und (viii) ein internes Kontrollsystem.[11]

dd) ISO 37001

58

Der im Jahr 2016 veröffentlichte, internationale Standard für ein Anti-Korruptions-Compliance Management System ISO 37001 ist kein verpflichtender Standard, sondern ein Leitfaden für Unternehmen. Der Standard enthält dabei Mindestanforderungen für die Korruptionsbekämpfung im Unternehmen. Er kann unabhängig von der Größe, internationalen Ausrichtung oder Industrie des Unternehmens angewendet werden. Es besteht die Möglichkeit für Unternehmen, sich nach diesem Standard zertifizieren zu lassen.

59

In Abschnitt 8.9 enthält der ISO 37001 Vorgaben zu einem Hinweisgebersystem. Dieser sieht vor, dass (i) Mitarbeiter dazu angehalten werden, ehrliche Hinweise auf Korruption zu melden, dass (ii) die Hinweise vertraulich behandelt werden und (iii) anonym abgegeben werden können, (iv) Hinweisgebern keine negativen Konsequenzen drohen und (v) Anlaufstellen für Mitarbeiter zum Umgang mit Verdachtsmomenten geschaffen werden.[12]

ee) Spezielle Vorgaben für Pharma und Medizintechnik

60

Aufgrund des systeminhärenten Kontakts zwischen Pharmaunternehmen oder Medizingeräteherstellern und Ärzten oder Vertretern anderer Heilberufe, haben diverse Verbände ihren Mitgliedern Selbstverpflichtungen auferlegt, damit die besonderen Risiken in der Industrie durch Prozesse und Kontrollen reduziert werden.[13]

61

Auf europäischer Ebene agiert die „European Federation of Pharmaceutical Industries and Associations“ („EFPIA“) als Dachverband der Pharmaindustrie und erarbeitet industrieinterne Kodizes.[14] Der internationale Verband „International Federation of Pharmaceutical Manufacturers & Associations“ („IFPMA“) hat 2019 seinen Code Practice erneuert.[15] In Deutschland hat der „Arzneimittel und Kooperation im Gesundheitswesen e.V.“ einen Verhaltenskodex für seine Mitglieder veröffentlicht.[16]

62

Im Bereich der Medizingerätehersteller hat „MedTech Europe“ einen Code of Ethical Business Principles eingeführt.[17]

63

Die Grundsätze der Kodizes sind vor allem die Transparenz und der Umgang mit Zuwendungen oder Kooperationen mit Personen, die im Gesundheitswesen tätig sind. In vielen Ländern sind diese Personen Amtsträger, sodass besondere Regelungen im Umgang mit diesen Personen bestehen.[18] Welches Risiko diese Beziehungen bergen, verdeutlicht der Umstand, dass die Gesundheitsindustrie in der Historie des FCPA eine der Industrien ist, in der die meisten Untersuchungen wegen Korruptionsverstößen eingeleitet wurden.[19]

b) Internationale Standards im Bereich Kartellrecht

64

Zwar existieren neben den allgemeinen Standards ISO 19600 und IDW PS 980 auch für das Kartellrecht spezielle Leitlinien, diese sind bislang allerdings weniger bekannt als einige der Vorgaben zur Korruptionsbekämpfung.

aa) USA

65

Im Juli 2019 änderten die US-Behörden ihre bisherige Position zu CMS. Zuvor hatten die US-Behörden die Implementierung eines Kartellrechts-Compliance Management Systems im Unternehmen nicht als strafmildernden Faktor angesehen. Ähnlich wie der Evaluation Guide im Bereich Anti-Korruption gibt es nun einen Leitfaden für Staatsanwälte im Bereich des Kartellrechts mit detaillierten Vorgaben, wie sie ein CMS prüfen und dessen Effektivität bewerten sollen.[20]

66

In Abschnitt 7 enthält der Leitfaden diverse Aspekte, die im Hinblick auf ein Hinweisgebersystem überprüft werden sollen.[21]

bb) ICC-Toolkit

67

Von der Internationalen Handelskammer wurde 2013 das Antitrust Compliance Toolkit veröffentlicht.[22] Dabei handelt es sich um eine internationale Leitlinie, die Unternehmen mögliche Instrumente aufzeigt, um ein kartellrechtlich effektives Compliance Management System zu entwickeln. Die Leitlinie verdeutlicht, dass es keine „one-size-fits-all“-Lösungen für Unternehmen geben kann, denn die kartellrechtlichen Compliance-Anforderungen variieren stark nach der Größe des Unternehmens und der Industrie.[23] Dennoch zeigt die Leitlinie, teils anhand von konkreten Case Studies und Registerbeispielen, wie kartellrechtsspezifische Risiken aussehen können, und wie die Unternehmen diesen Risiken begegnen können. Eine wichtige Rolle soll dabei insbesondere die kartellrechtliche Due Diligence spielen. Insgesamt fordert die Leitlinie eine konsequente Berücksichtigung von kartellrechtlichem Know-how in der Gestaltung des CMS.[24]

c) Internationale Standards im Bereich Außenwirtschaftsrecht

68

Für das Außenwirtschaftsrecht wird Compliance unter anderem dann relevant, wenn es darum geht Embargoregelungen zu befolgen, Geschäftspartner mit Sanktionslisten abzugleichen, die auszuführenden Güter zu klassifizieren und möglicherweise erforderliche Ausfuhr- oder Verbringungsgenehmigungen zu erhalten.

69

Im Mai 2019 veröffentlichte das US Office of Foreign Assets Control („OFAC“) Leitlinien für ein CMS mit Fokus auf das Außenwirtschaftsrecht. Ganz ähnlich zu den Vorgaben des DOJ, fordert das OFAC folgende Elemente eine CMS: (1) Verpflichtung der Unternehmensleitung, (2) Risikoanalysen, (3) interne Kontrollen, (4) Prüfungen und Auditierungen sowie (5) Schulungen.[25]

d) Internationale Standards im Bereich Datenschutz

70

Die Relevanz von Datenschutz im Verhältnis zu anderen Rechtsgebieten nimmt aktuell erheblich an Bedeutung zu. Das liegt vor allem auch daran, dass durch die DSGVO und das darin enthaltene Haftungssystem empfindliche Strafen bei Verstößen drohen. Die ersten Folgen waren bereits im Jahr 2019 zu spüren, als zwei Geldbußen in Höhe von 10 Mio. EUR und 14 Mio. EUR für Verstöße im Bereich des mittleren bis unteren Ende des Schwerespektrums verhängt wurden.[26] Ein Nebenaspekt ist das Thema Cyber Security. Schützt ein Unternehmen die Daten seiner Kunden oder Mitarbeiter nicht in ausreichendem Maß, drohen auch hierfür Geldbußen nach der DSGVO.

71

Auch wenn die DSGVO selbst keine ausreichend spezifischen Anforderungen an ein effektives Compliance Management System formuliert, können die Grundsätze der DSGVO mithilfe bestehender IT-spezifischer ISO Normen (insbesondere ISO 27001 und ISO 27005) durchaus konkretisiert werden.[27]

72

Neben den klassischen Maßnahmen, wie beispielsweise der Durchführung von Schulungen und Audits, der Einrichtung von Anlaufstellen und der Implementierung unternehmensinterner Richtlinien, kommt dem Datenschutzbeauftragten als „Compliance-Organisation“ eine zentrale Funktion zu.[28]

Anmerkungen

[1]

Die ISO 19600 Compliance Management Systeme-Leitlinien wurde im Dezember 2014 veröffentlicht. Darin wird beschrieben, wie in einem Unternehmen ein CMS eingeführt, umgesetzt und die Wirksamkeit nachgewiesen werden kann. Aufgrund des Umstandes, dass die ISO 19600 nur als empfehlende Norm konzipiert war (Level-B-Norm), konnte sie zunächst nicht unmittelbar zertifiziert werden. Vor diesem Hintergrund wurde durch die ISO ein Prozess eingeleitet, um die ISO 19600 zu einer zertifizierbaren Norm (Level-A-Norm) weiterzuentwickeln. Dies wird voraussichtlich Anfang 2021 durch die Veröffentlichung der ISO 37301 erfolgen. Die neue ISO 37301 unterscheidet sich inhaltlich nur geringfügig von der bisherigen ISO 19600. Definiert werden die Anforderungen an den Aufbau, die Umsetzung und die Prozesse für Konzept, Umsetzung und Wirksamkeitskontrolle eines CMS. Zukünftig haben daher Unternehmen die Möglichkeit, durch eine Zertifizierung nach der ISO 37301 die Umsetzung eines wirksamen CMS nachweisen zu können.

[2]

Vgl. hierzu auch Soyer/Ruhmannseder Handbuch Unternehmensstrafrecht, Rn. 13.14 ff.

[3]

US DOJ, Evaluation of Corporate Compliance Programs, Updated June 2020. Auf: www.justice.gov/criminal-fraud/page/file/937501/download (zuletzt besucht: 11.3.2021).

[4]

US DOJ/US SEC, A Resource Guide to the US Foreign Corrupt Practices Act, Second Edition 2020. Auf www.justice.gov/criminal-fraud/file/1292051/download (zuletzt besucht: 11.3.2021).

[5]

Siegler CCZ 2014, 186, 187.

[6]

US DOJ/US SEC, A Resource Guide to the US Foreign Corrupt Practices Act, Second Edition 2020, Chapter 5, S. 66. Auf: www.justice.gov/criminal-fraud/file/1292051/download (zuletzt besucht: 11.3.2021).

[7]

Vgl. Scheint NJW-Spezial, in: 2011, 440.

[8]

Ministry of Justice, The Bribery Act 2010 Guidance, März 2011. Auf: www.justice.gov.uk/downloads/legislation/bribery-act-2010-guidance.pdf (zuletzt besucht: 11.3.2021).

[9]

The Bribery Act 2010 Guidance, S. 22-23.

[10]

Vgl. Art. 17 des Sapin 2.

[11]

Schumacher/Saby CCZ 2017, 68 f.

[12]

ISO 37001:2016 (E), 8.9 Raising concerns, S. 17 f.

[13]

Vgl. Hauschka/Moosmayer/Lösler/Leipold Corporate Compliance, § 50 Rn. 20.

[14]

Dieners Handbuch Compliance im Gesundheitswesen, J. EFPIA-Kodices, Rn. 54.

[15]

IFPMA, Code of Practice (2019). Auf: www.ifpma.org/wp-content/uploads/2018/09/IFPMA_Code_of_Practice_2019.pdf (zuletzt besucht: 11.3.2021).

[16]

AKG e.V., Verhaltenskodex der Mitglieder des „Arzneimittel und Kooperations im Gesundheitswesen e.V.“, April 2015. Auf: www.ak-gesundheitswesen.de/wp-content/uploads/akg-verhaltenskodex-22-04-2015-blanco.pdf (zuletzt besucht: 11.3.2021).

[17]

MedTech Europe, Code of ethical Business Practice, Dezember 2015. Auf: www.medtecheurope.org/wp-content/uploads/2017/06/2020_mte_medtech-europe-code-of-ethical-business-practice-qa-dg.pdf (zuletzt besucht: 11.03.2021).

[18]

Hauschka/Moosmayer/Lösler/Leipold Corporate Compliance, § 50 Rn. 7.

[19]

Ramb CCZ 2015, 262, 264.

[20]

US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, April 2019.

[21]

US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, April 2019, S. 11.

[22]

ICC The ICC Antitrust Compliance Toolkit, April 2013. Auf: https://cdn.iccwbo.org/content/uploads/sites/3/2013/04/ICC-Antitrust-Compliance-Toolkit-ENGLISH.pdf (zuletzt besucht: 11.03.2021).

[23]

ICC The ICC Antitrust Compliance Toolkit, 3. Risk identification and assessment, S. 16.

[24]

Kasten/Traugott CCZ 2015, 157, 160.

[25]

Department of the Treasury, A Framework for OFAC Compliance Commitments. Auf: https://home.treasury.gov/system/files/126/framework_ofac_cc.pdf (zuletzt besucht: 11.3.2021).

[26]

Vgl. dazu etwa Kehr/Zapp CB 2020, 100.

[27]

Jung ZD 2018, 208, 211.

[28]

Wichtermann ZD 2016, 421, 422.

2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System

II. Der Weg zu einem effektiven Compliance Management System

73

Wie im vorstehenden Kapitel dargestellt, bestehen für die einzelnen Rechtsgebiete unterschiedliche Standards und Vorgaben, wie ein CMS ausgestaltet sein soll. Unternehmen müssen daher wissen, welche Standards sie zwingend zu befolgen haben bzw. welche Standards sie sich als freiwillige Vorgabe auferlegen können. Auch wenn die einzelnen Standards teilweise unterschiedlich aufgebaut sind, so enthalten sie doch im Wesentlichen dieselben Bestandteile. In diesem Kapitel fassen wir kurz zusammen, was die Grundelemente eines CMS sind.

2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 1. Führungskultur und Compliance-Organisation

1. Führungskultur und Compliance-Organisation

74

Vorstände und Geschäftsführer prägen Unternehmen. Das gilt nicht nur für die wirtschaftlichen Entscheidungen, in welche Richtung sich das Unternehmen entwickeln soll. Das gilt vor allem auch für die Art und Weise, wie ein Unternehmen sein Geschäft betreibt. Es liegt in der Macht der Geschäftsführung, die Weichen dafür zu stellen, dass eine solide Zukunftsausrichtung, Integrität und Moral, sowie Nachhaltigkeit des Wirtschaftens das Unternehmen bestimmen werden.[1] Damit ein CMS effektiv sein kann, bedarf es seitens der Geschäftsleitung einer starken und regelmäßigen Kommunikation hin zur Integrität.[2] Damit die Geschäftsleitung aufrichtig und sinnvoll zu Compliance-Themen kommunizieren kann, muss sie zuerst selbst das notwendige Verständnis für diese wichtigen Themen entwickelt haben. Daher gehören regelmäßige Besprechungen zu Compliance-Themen in den Meetings der obersten Führungsebene und auch die regelmäßige Schulung zu Compliance-Themen zu den wesentlichen Bestandteilen eines CMS auf Ebene der Geschäftsleitung.[3] Im zweiten Schritt sollte die Geschäftsleitung regelmäßig im Rahmen von Betriebsversammlungen oder durch andere Kommunikationsmittel unterstreichen, dass sauberes und integres Geschäft zu den wichtigsten Säulen der eigenen Geschäftstätigkeit gehört („tone from the top“).

75

Die primäre Verpflichtung zur Einführung eines effektiven CMS trifft die Geschäftsleitung.[4] Sie darf aber die eigenen Pflichten teilweise delegieren, vor allem im alltäglichen Geschäft. Eine Delegation kann aber nur dann wirksam sein, wenn ausreichend Ressourcen und Befugnisse zur Verfügung stehen. Es gibt allgemein relativ wenig belastbare Zahlen darüber, wie viel Compliance auf eine bestimmte Unternehmensgröße entfallen sollte. Der Pflichtenkatalog einer Compliance-Organisation ist relativ lang. Je nach Industrie oder geographischer Ausbreitung können zusätzliche Pflichten hinzukommen. Die Compliance-Organisation sollte so aufgestellt sein, dass sie diesen Pflichten tatsächlich nachkommen kann und auch bei Ausfällen, etwa durch Krankheit, noch ausreichend Ressourcen zur Verfügung stehen, um den ordentlichen Geschäftsbetrieb der Compliance-Organisation zu gewährleisten. Internationale Standards verlangen auch, dass die Mitglieder der Compliance-Organisation für ihre Tätigkeit angemessen vergütet werden.[5] Die Angemessenheit richtet sich hierbei vor allem nach der Vergütung vergleichbarer Positionen im Konzern.

76

Der letzte Aspekt sind die Berichtslinien.[6] Es muss sichergestellt sein, dass etwa lokale Compliance-Verantwortliche in ausländischen Tochtergesellschaften – jedenfalls auch – direkt an die zentrale Organisation in der Konzernzentrale berichten. Eine zweite, direkte Berichtslinie muss zwischen der zentralen Compliance-Organisation, etwa dem Chief Compliance Officer, und der Geschäftsführung bestehen. Um eine wirksame Delegation zu gewährleisten, sollte sich die Geschäftsführung regelmäßig von der Compliance-Organisation zu den wesentlichen Entwicklungen Bericht erstatten lassen.

Anmerkungen

[1]

US DOJ/US SEC, A Resource Guide to the US Foreign Corrupt Practices Act, Chapter 5, Hallmarks of Effective Compliance Programs, S. 57 ff.; ISO 19600, Chapter 5. Leadership, S. 47-54.

[2]

Auch in: US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, April 2019, I. B. 2. Culture of Compliance, S. 5-6; ISO 37001:2016 (E), 5. Leadership, S. 8-9.

[3]

Vgl. Moosmayer Compliance, Rn. 180.

[4]

Für Deutschland beispielhaft LG München I NZG 2014, 345.

[5]

US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, Juli 2019, I. B. 3. Responsibility for the Compliance Program, S. 6 f.

[6]

Fleischer CCZ 2008, 1, 6; US DJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, Juli 2019, I. B. 3. Responsibility for the Compliance Program, S. 6; Hauschka/Moosmayer/Lösler/Klahold/Lochen Corporate Compliance, § 3 Rn. 52-57.

2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 2. Risikoanalyse

2. Risikoanalyse

77

Die oben genannten internationalen Standards bieten eine gute Hilfestellung um die wesentlichen Bestandteile eines CMS für die einzelnen Rechtsgebiete zu ermitteln.[1] Naturgemäß können diese Standards nur sehr allgemeine Vorgaben zur Verfügung stellen, die weder die Industrie, die Größe, noch die internationale Ausbreitung eines Unternehmens berücksichtigen.[2] Damit ein CMS effektiv sein kann, muss es aber bei den geschäftsinhärenten Risiken des Unternehmens ansetzen.[3] Haben etwa Unternehmen in der Öl- und Gasindustrie keine Prozesse und Sicherungen, um zu gewährleisten, dass bei dem Erwerb von Bohrrechten kein rechtswidriges Handeln die Vergabe beeinflusst, helfen dem Unternehmen auch die sorgfältigsten Register für Einladungen und Geschenke nicht dabei, eine Geldbuße abzuwenden.[4]

a) Top-Down-Analyse

78

Zu der Art und Weise, wie eine Risikoanalyse durchgeführt werden sollte, gibt es diverse Ansätze und Methoden. Der kosteneffizienteste und schnellste Ansatz ist eine sogenannte Top-Down-Analyse. Diese beschränkt sich darauf, Gespräche mit der obersten Führungsebene und den Leitern von risikorelevanten Unternehmensbereichen zu führen.[5] Bei diesen Gesprächen lassen sich in der Regel wertvolle Hinweise darauf gewinnen, wo in der Organisation möglicherweise Risiken verborgen sein können. Die Schwäche dieses Ansatzes ist der Umstand, dass die Geschäftsleitung in der Konzernzentrale häufig nicht alle Risiken in den einzelnen Konzerngesellschaften kennt. Eine (zusätzliche) detaillierte Analyse der Risiken in den lokalen Gesellschaften ist daher präziser, aber auch deutlich kostenintensiver. Damit nicht erhebliche Ressourcen und Zeit aufgewendet werden, um teils dutzende lokale Gesellschaften zu prüfen, stehen mittlerweile innovative Ansätze zur Verfügung. Diese sammeln sowohl das lokal vorhandene Wissen, als auch die dort vorhandenen Daten, korrigieren diese und bewerten sie auf Basis einer juristischen Prüfung.

79

Besonders in der Finanzindustrie haben sich mittlerweile feste Standards etabliert, um festzustellen, wie die Risiken in einem Konzern erfasst werden sollen. Diese Ansätze liefern für Unternehmen außerhalb des Finanzsektors wertvolle Hinweise, wie Risiken in Unternehmen effektiv erfasst werden können. Gleichzeitig müssen diese Ansätze für die übrigen Industrien adaptiert werden, weil häufig die Prozesse der übrigen Industrien nicht den Standards der Finanzindustrie entsprechen. Die im Finanzsektor etablierte Prozessrisikoanalyse ist beispielsweise dort nur möglich, weil alle relevanten Prozesse in Banken kartographiert sind. Für den Fall, dass keine umfassenden Prozessbeschreibungen vorhanden sind, müssten diese zunächst mit hohem Aufwand erstellt werden, bevor eine Risikoanalyse wirksam umgesetzt werden kann.

b) Risikoszenarioanalyse

80

Die Risikoszenarioanalyse arbeitet mit bestimmten Szenarien und analysiert mit welcher Wahrscheinlichkeit bestimmte Risikoszenarien eintreten können und welche finanziellen Auswirkungen der Eintritt haben kann. Auch dieser Ansatz ist nur schwer in Industrien außerhalb des Finanzsektors umzusetzen. Die Einschätzung, mit welcher Wahrscheinlichkeit ein Szenario eintritt und welche Konsequenzen dies haben kann, erfordert ein hohes Maß an Kenntnis der entsprechenden Risiken und regulatorischen Rahmenbedingungen. Häufig fehlt das Wissen über belastbare Informationen zu der möglichen Schadenshöhe. In solchen Fällen würde das Unternehmen aber Gefahr laufen, die Risikoanalyse aufgrund einer unsicheren Datenbasis durchzuführen.

c) Risikofaktorenanalyse

81

Die bislang effizienteste Vorgehensweise, um die Risiken in einem Unternehmen außerhalb der Finanzindustrie zu prüfen, ist die Risikofaktorenanalyse.[6] Dabei werden aufgrund von Erfahrungswerten, auch mit Blick auf die internationalen Standards, Risikofaktoren definiert, die das Risiko erhöhen, dass in bestimmten Bereichen rechtswidriges Handeln im Unternehmen vorkommen kann. Hierzu gehören etwa im Bereich der Anti-Korruption die Analyse, in welchem Umfang das Unternehmen Geschäfte mit staatlichen Institutionen oder Organisationen betreibt, in welchem Umfang es auf Vertriebsmittler oder sonstige Dritte zurückgreift, um Geschäft zu akquirieren oder etwa ob es Bargeldzahlungen in lokalen Tochtergesellschaften gibt.[7] Auch die wirtschaftliche Größe und der geographische Tätigkeitsbereich einer lokalen Gesellschaft sind wichtige Faktoren, um das Gesamtrisiko des Konzerns bemessen zu können.[8] Die einzelnen Risikofaktoren lassen sich im zweiten Schritt zu Risikoszenarien bündeln, wie beispielsweise die Bestechung von Amtsträgern (mit oder ohne konkretem Geschäftsbezug) oder die Bestechung im geschäftlichen Verkehr oder horizontale und vertikale Kartellrisiken.[9]

d) Fazit

82

Ziel der Risikoanalyse ist es nicht nur, die wesentlichen Risiken zu identifizieren, sondern darauf aufbauend entscheiden zu können, wo die vorhandenen Ressourcen am sinnvollsten eingesetzt werden müssen, um effektiv die Risiken des Unternehmens zu reduzieren bzw. zu minimieren.

83

Unternehmen sind lebende Organismen. Eine Risikoanalyse kann jeweils nur den Zustand zu einem bestimmten Zeitpunkt erfassen und ist daher regelmäßig zu wiederholen.[10] In welchem Abstand dies zu erfolgen hat, steht zu einem gewissen Grad im Ermessen des Unternehmens. Je nach Risikoexposition und struktureller Veränderungen im Unternehmen, ist generell ein Zeitraum von 1-3 Jahren für die Wiederholung der Risikoanalyse angemessen.

Anmerkungen

[1]

ISO 19600, 4.6 Identification, analysis and evaluation of compliance risks, S. 38 ff.; ISO 37001:2016(E), 4.5 Bribery risk assessment, S. 7; DOJ Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, I. B. 4. Risk Assessment, S. 7, f.; ICC, The ICC Antitrust Compliance Toolkit, April 2013, 3. Risk identification and assessment, S. 16 ff.; US DOJ, Evaluation of Corporate Compliance Programs, 4. Risk assessment, S. 7 f.

[2]

Hauschka/Moosmayer/Lösler/Pauthner/Stephan Corporate Compliance, § 16 Rn. 69.

[3]

Wiedmann/Greubel CCZ 2019, 88, 90; Bürkle BB 2018, 525, 526.

[4]

Vgl. Sonnenberg JuS 2017, 917, 919 f.

[5]

Hauschka/Moosmayer/Lösler/Pauthner/Stephan Corporate Compliance, § 16 Rn. 57 ff.

[6]

Hauschka/Moosmayer/Lösler/Pauthner/Stephan Corporate Compliance, § 16 Rn. 81 ff.

[7]

Moosmayer Compliance, Rn. 73 ff.

[8]

Hauschka/Moosmayer/Lösler/Pauthner/Stephan Corporate Compliance, § 16 Rn. 83.

[9]

Hauschka/Moosmayer/Lösler/Pauthner/Stephan Corporate Compliance, § 16 Rn. 111 ff.

[10]

Wiedmann/Greubel CCZ 2019, 88, 89, 92; Hopson/Graham Koehler CCZ 2008, 208, 213.

2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 3. Richtlinien und Kontrollen

3. Richtlinien und Kontrollen

84

Der Verhaltenskodex (Code of Conduct oder Code of Ethics) enthält die richtungsweisenden Vorgaben.[1] Kurz gesprochen, enthält er unter anderem das Verbot, Geschäftspartner oder Amtsträger zu bestechen oder sich wettbewerbswidriger Mittel zu bedienen, um den Umsatz zu steigern und den Schutz von Daten von Mitarbeitern und Kunden zu gewährleisten.[2] Ist das Verbot von Bestechung häufig auch in der Laiensphäre in der Regel nachvollziehbar, sind die Verbote im Bereich des Kartell- und Wettbewerbsrechts nicht ohne weiteres verständlich. Gleiches gilt für andere komplexe Materien, wie den Datenschutz. Steht auf Basis der Risikoanalyse fest, welche Risikobereiche im Unternehmen bestehen, bedarf es Richtlinien und Vorgaben, wie die Prozesse rund um die identifizierten Risiken zu steuern sind.[3]

a) Grundsätze der Ausarbeitung von Richtlinien

85

Um die entsprechenden Vorgaben zu entwickeln, verwenden Unternehmen häufig eine Mischung aus normativ geprägten und prozessorientierten Vorgaben. Normative Vorgaben funktionieren ähnlich wie Gesetze und stellen allgemeine Verbote oder Gebote auf. Ähnlich einem Gesetz, muss der Mitarbeiter diese abstrakten Vorgaben in der konkreten Situation selbst interpretieren und anwenden. Weil hierdurch das Risiko entsteht, dass nicht jeder Mitarbeiter die entsprechenden Vorgaben in der einzelnen Situation richtig versteht, gehen Unternehmen zunehmend dazu über, Richtlinien prozessorientiert auszurichten. Das bedeutet, dass sie aufbauend auf den im Rahmen der Risikoanalyse identifizierten Risikoszenarien Prozesse niederlegen, die Vorgaben enthalten, wie mit Compliance-relevanten Situationen umzugehen ist. Praktische Beispiele sind hierbei vor allem die Prüfung von Geschäftspartnern oder Prozessen rund um das Thema Wettbewerberkontakte, etwa bei Verbandstreffen, oder Sanktionsprüfungen.[4] Mit Blick auf die zunehmende Digitalisierung der Compliance-Arbeit, haben Compliance-Organisationen durch diesen Ansatz weitere Möglichkeiten der Kontrolle.[5] Die einmal definierten Prozesse lassen sich mittlerweile recht einfach digitalisieren.[6] Dies erlaubt es den Unternehmen nicht nur rückblickend, manuelle Kontrollen auszuführen, sondern diese digital und präventiv zu steuern. So wird ein Geschäftspartner zum Beispiel nur dann freigegeben, wenn der Vertriebsmitarbeiter die notwendige Prüfung erfolgreich abgeschlossen hat. Anderenfalls können Zahlungen an diesen Geschäftspartner nicht ausgelöst werden. Unternehmen können zudem Mitarbeitern über Apps bestimmte Prozesse an die Hand geben, um sicherzustellen, dass es beispielsweise im Zusammenhang mit Verbandstreffen nicht zu wettbewerbswidrigen Absprachen kommt.

b) Anzahl und inhaltliche Ausgestaltung der Richtlinien

86

Wie viele einzelne Richtlinien und Prozesse Unternehmen einführen, liegt im Ermessen der Geschäftsleitung bzw. Compliance-Organisation. Wichtig ist, dass die implementierten Richtlinien die wesentlichen Risiken, die im Rahmen der Risikoanalyse erfasst wurden, abdecken. Zu den wesentlichen Richtlinien gehören: Anti-Korruptionsrichtlinien, Kartellrichtlinien, Geldwäscherichtlinien, Richtlinien zu Exportkontrolle und Sanktionen, Datenschutzrichtlinien und Richtlinien zu Interessenkonflikten. Als Unterfall zur Anti-Korruptionsrichtlinie haben viele Unternehmen eine gesonderte Richtlinie zur Prüfung von Drittparteien (Third Party Due Diligence)[7].

87

Die Richtlinien und Handlungsanweisungen sollten derart ausgestaltet sein, dass die Anwender in den einzelnen Abteilungen wissen, welche Schritte sie unternehmen dürfen oder müssen, um die Risiken zu reduzieren. Hilfreich ist es, wenn die Compliance-Organisation nach Fertigstellung einer Richtlinie oder eines Prozesses diese oder diesen zunächst selbst durchspielt, um zu evaluieren, ob die Anwender damit zurechtkommen werden. Die operativen Einheiten sind im „Modell der drei Verteidigungslinien“ („Three Lines of Defense“-Modell)[8] die sogenannte 1st line of defense.[9] Die zuständigen Abteilungsleiter, etwa im Vertrieb, sind für die Risiken innerhalb ihres Zuständigkeitsbereichs verantwortlich („risk owner“).[10] Es ist ihre Aufgabe dafür Sorge zu tragen, dass sich die geschäftsinhärenten Risiken nicht realisieren. Tragen die einzelnen Abteilungen das Risiko, so ist es gleichzeitig Aufgabe der Compliance-Organisation, den Mitarbeitern verständliche Anweisungen an die Hand zu geben, um in ihrem jeweiligen Zuständigkeitsbereich die Risiken zu minimieren.

c) Implementierung der Richtlinien

88

Im Rahmen der Implementierung von Richtlinien und Prozessen im internationalen Kontext sollten Compliance-Organisationen berücksichtigen, welche lokalen Vorgaben es gibt, damit die Richtlinien rechtlich wirksam werden können. Die rechtliche Landschaft ist insofern sehr divers. Einige Länder verlangen, dass die Richtlinien übersetzt und an die lokale Gesetzgebung angepasst werden. In anderen Ländern muss vor Verabschiedung der Richtlinie der Betriebsrat eingebunden werden oder die Richtlinie ist durch die Geschäftsleitung selbst zu unterzeichnen.[11] Der letzte Aspekt bei der Implementierung von Richtlinien ist deren Verteilung im Unternehmen. Internationale Behörden erwarten zunehmend, dass die Verteilung von Richtlinien dokumentiert ist.[12] Daher reicht es häufig nicht mehr aus, diese schlicht per E-Mail an alle Mitarbeiter zu verteilen. Auch hier stehen mittlerweile technische Möglichkeiten zur Verfügung, damit die betreffenden Mitarbeiter digital bestätigen können, dass sie die auf sie anwendbaren Richtlinien erhalten und gelesen haben.

Anmerkungen

[1]

ISO 19600, 5.1 Leadership and commitment, S. 49 ff.

[2]

ISO 37001:2016 (E), 5.2 Anti-Bribery-Policy, S. 9; ICC, The ICC Antitrust Compliance Toolkit, April 2013, 1. c. Code of Conduct, S. 6 ff.; vgl. auch in Art. 40 DSGVO sowie dazu ausführlich Reifert ZD 2019, 305.

[3]

ISO 19600, 5.2.2 Development, S. 58 f.; US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, Juli 2019, 1. Design and Comprehensiveness, S. 4 f.

[4]

Vgl. Rotsch/Moosmayer Criminal Compliance, § 34 Rn. 60.

[5]

Hauschka/Moosmayer/Lösler/Schlaghecke Corporate Compliance, § 43 Rn. 69.

[6]

Rotsch/Moosmayer Criminal Compliance, § 34 Rn. 60.

[7]

Moosmayer Compliance, Rn. 162.

[8]

Vgl. im Einzelnen dazu FERMA/ECIIA Monitoring of effectiveness of internal control, internal audit and risk management systems, 2010, Guidance Paper zur 8th European Company Law Directive on Statutory Audit (Directive 2006/43/EC – Art. 41-2b); IIA Position Paper: The Three Lines of Defense in effective Risk Management and Control, 2013.

[9]

Vgl. Hauschka/Moosmayer/Lösler/Obermayr Corporate Compliance, § 44 Rn. 116 ff.

[10]

Vgl. dazu Soyer/Ruhmannseder Handbuch Unternehmensstrafrecht, Rn. 13.35 f.

[11]

Moosmayer Compliance, Rn. 209.

[12]

ISO 19600, 3.2.4 Documented information, S. 84 ff.

2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 4. Schulungen und Kommunikation

4. Schulungen und Kommunikation

89

Sind die Risiken analysiert und darauf aufbauende Prozesse in Richtlinien und Handlungsanweisungen niedergelegt, geht es im nächsten Schritt darum, die Risiken und Gegenmaßnahmen den betreffenden Mitarbeitern näher zu bringen.[1] Die Tätigkeit der einzelnen Mitarbeiter unterscheidet sich in ihrer Risiko-Geneigtheit.[2] Das bedeutet im Umkehrschluss, dass nicht jeder Mitarbeiter im gleichen Umfang und in der gleichen Art und Weise geschult werden muss. Welche Mitarbeitergruppen wie zu schulen sind, sollte die Compliance-Organisation in einer global anzuwendenden Schulungsmatrix festhalten.[3] Diese enthält die Mitarbeitergruppen, die Art der Schulungen sowie die einzelnen Schulungsinhalte. Üblich ist es, dass alle Mitarbeiter, die über einen Schreibtisch-Arbeitsplatz verfügen regelmäßig ein E-Learning zum Code of Conduct durchlaufen müssen. Darauf aufbauend sollten die jeweiligen Mitarbeitergruppen je nach Tätigkeitsbereich zusätzliche online Schulungen oder Präsenzschulungen zu den jeweiligen Risikobereichen erhalten. Geschäftsleitung und Vertrieb sollen regelmäßige Präsenzschulungen zu denjenigen Risikofeldern durchlaufen, die mit dem Verkauf der Waren und oder Dienstleistungen im Zusammenhang stehen, allen voran Antikorruption und Kartellrecht.[4] Während bei aktuellen E-Learning Programmen eine Dokumentationsfunktion in der Regel bereits integriert ist, fehlt es bei Präsenzschulungen häufig an der erforderlichen Dokumentation. Besonders wenn lokal organisierte Schulungen stattfinden, sollten die zuständigen Compliance Officer angehalten werden, diese sorgfältig zu dokumentieren. Unternehmen sollten auch nicht vergessen, dass die Compliance Officer, also diejenigen Personen, die vor Ort für das Thema Compliance verantwortlich sind und andere Mitarbeiter unter Umständen schulen werden, selbst in ausreichendem Umfang zu den relevanten Compliance-Themen geschult sein müssen.[5]

90

Neben den Schulungen ist eine regelmäßige Kommunikation zu Compliance-Themen wichtig. Die Kommunikation sollte dabei nicht nur von der Geschäftsführung des Konzerns, sondern auch von der lokalen Geschäftsführung beziehungsweise. dem zuständigen Mittelmanagement in der Organisation verteilt werden.[6] Auch hier gilt, dass die Verteilung sorgfältig zu dokumentieren ist, damit das Unternehmen im Ernstfall zeigen kann, welche Anstrengungen es unternommen hat, um Fehlverhalten im Unternehmen zu unterbinden.

91

Zu der Kommunikation zu Compliance-Themen gehört auch eine Beratungsfunktion. Die Mitarbeiter sollten eine Anlaufstelle für Fragen rund um das Thema Compliance haben. Dem Unternehmen steht frei, hierfür eine zentrale Anlaufstelle einzurichten, oder den lokalen Compliance Officern ausreichend zeitlichen Spielraum einzuräumen, um diese Beratungsfunktion wahrzunehmen.

Anmerkungen

[1]

ICC, The ICC Antitrust Compliance Toolkit, April 2013, 4. b. Antitrust training, S. 45 ff.; FCPA Guide, Chapter 5, Training and Continuing Advise, S. 59.

[2]

Department of the Treasury, A Framework for OFAC Compliance Commitments, S. 7 f.

[3]

ISO 19600, 7.2.2 Training, S. 78.

[4]

Hauschka/Moosmayer/Lösler/Klahold/Lochen Corporate Compliance, § 37 Rn. 60; Hastenrath CCZ 2014, 132; Meyer CCZ 2014, 113, 117 f.

[5]

Hastenrath CCZ 2014, 132; Pauthner/de Lamboy CCZ 2011, 106, 109.

[6]

ICC, The ICC Antitrust Compliance Toolkit, April 2013, 1. e. Ongoing and sustained senior management commitment, S. 8; Moosmayer Compliance, Rn. 144 ff.

2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 5. Überwachung und Revision

5. Überwachung und Revision

92

Das für Unternehmen häufig herausfordernde Element eines CMS ist die ausreichende Überwachung und Revision der Compliance-Themen.

93

Überwachung bedeutet hier, dass eine zuständige Stelle in der Zentralabteilung aber auch in der lokalen Compliance-Organisation dafür zuständig ist, regelmäßig zu prüfen, ob die Vorgaben, die in den Richtlinien und Handlungsanweisungen niedergelegt sind, eingehalten werden:[1] Diskutiert die Geschäftsleitung regelmäßig Compliance-Themen in ihren Besprechungen? Sind die aktuellen Versionen der anwendbaren Richtlinien in der lokalen Gesellschaft verteilt? Haben alle neu eingestellten Mitarbeiter die wesentlichen Compliance Schulungen absolviert? Wurden alle Geschäftspartner überprüft, bevor der Vertrieb mit ihnen eine Geschäftsbeziehung einging? Wurden die entsprechenden Vertragsmuster für die Handelsvertreterverträge verwendet?[2]

94

Auf Ebene der „zweiten Verteidigungslinie“ (2nd line of defense) finden die operativen Kontrollen statt. Dies ist vor allem das Betätigungsfeld der Unternehmensbereiche „Risikomanagement“, „Compliance“, „IT-Security“ etc. Die Überwachung, dass die vorhandenen Richtlinien und Handlungsanweisungen eingehalten werden, ist dabei Aufgabe der Compliance-Organisation. Die „dritte Verteidigungslinie“ (3rd line of defense) stellt als objektive und unabhängige Prüfungs- und Beratungsinstanz die Interne Revision dar. Die Interne Revision unterstützt in dieser Funktion Unternehmensleitung, operatives Management und Überwachungsinstanzen. Sie soll der Unternehmensleitung die Gewähr dafür bieten, dass die Risiken wirksam erkannt, bewertet und gesteuert werden. Durch die Interne Revision werden insbesondere Effektivität und Effizienz der beiden vorgelagerten Verteidigungslinien bewertet. Sie bildet eine unabhängige Einheit, die nicht mit den vorgelagerten Stufen verwoben ist. Zum Aufgabenbereich der Internen Revision gehört auch die Überprüfung der Compliance-Funktion.[3] Zwischen der Internen Revision und der Compliance-Funktion sollte ein reger Austausch stattfinden, damit zum einen die vorhandenen Ressourcen möglichst effizient genutzt werden und damit zum anderen die Compliance-Organisation aus den Erkenntnissen der Internen Revision ggf. erforderliche Verbesserungsmaßnahmen entwickeln kann.

Anmerkungen

[1]

Vgl. Mössner/Reus CCZ 2013, 54, 59.

[2]

Moosmayer Rn. 286 ff.

[3]

Vgl. Hauschka/Moosmayer/Lösler/Obermayr Corporate Compliance, § 44 Rn. 117.

2. Kapitel Grundprinzipien eines Compliance Management Systems › II. Der Weg zu einem effektiven Compliance Management System › 6. Reaktion auf Verstöße und Nachhaltigkeit

6. Reaktion auf Verstöße und Nachhaltigkeit

95

Teil des Elements Reaktion und Nachhaltigkeit ist die Einführung eines Hinweisgebersystems, denn eine Reaktion auf Missstände ist nur möglich, wenn diese ans Licht kommen und beseitigt werden.[1] Ein effektives Hinweisgebersystem ist eine der wirkungsvollsten Möglichkeiten, um dies zu gewährleisten. Dafür ist entscheidend, dass das Hinweisgebersystem von den Mitarbeitern positiv angesehen wird. Basis für die erfolgreiche Einführung des Hinweisgebersystems ist daher eine an der jeweiligen Unternehmenskultur orientierte Kommunikationsstrategie und vorherige Einbindung der internen Stakeholder, um eine positive Aufnahme bei den Mitarbeitern zu gewährleisten und eine schädliche Fehlinterpretation als ein „System der Anschwärzung“ oder gar „Bespitzelung“ zu vermeiden.[2]

96

Von Unternehmen wird erwartet, dass sie auf Missstände adäquat reagieren und die Schwächen im System beheben, die sich durch die Aufklärung und eine regelmäßige Überprüfung des Compliance Management Systems ergeben.[3]

97

Unternehmen sollten klare Prozesse haben, wie sie mit Verdachtsmomenten für Fehlverhalten umgehen. Wer untersucht die Verdachtsmomente? Welcher Umfang und welche Prüftiefe sind erforderlich, um dem Problem auf den Grund zu gehen? Wie sollte das Unternehmen mit der Situation umgehen, wenn sich die Verdachtsmomente erhärten? Einen Standardweg gibt es hier nicht. Was Behörden von Unternehmen allerdings verlangen ist, dass sie konsequent handeln, wenn sich die Verdachtsmomente bestätigen.[4] Dann muss das Unternehmen sorgfältig prüfen, ob personelle Konsequenzen erforderlich sind und welche organisatorischen Maßnahmen dafür sorgen können, dass sich das Fehlverhalten nicht wiederholt.[5] Die Anforderungen der Behörden gehen teilweise sogar soweit, dass Unternehmen das aufgedeckte Fehlverhalten in abstrakter Art und Weise zum Gegenstand von Compliance Schulungen machen sollen. So soll sichergestellt werden, dass die relevanten Mitarbeiter wissen, welches Verhalten, das in ihrem Arbeitsumfeld bereits vorgekommen ist, unter keinen Umständen toleriert wird.

98

Neben der adäquaten Reaktion auf identifiziertes Fehlverhalten müssen Unternehmen auch dafür Sorge tragen, dass sich ihr Compliance Management System den Veränderungen im Unternehmen anpasst.[6] Viele Industrien sind aktuell einem raschen Wandel unterzogen. Insbesondere die Digitalisierung hat dafür gesorgt, dass viele Unternehmen sich von einem Produzenten physischer Produkte hin zu Servicedienstleistern entwickelt haben. Das kann dazu führen, dass die Risiken in bestimmten Bereichen sinken, dass aber Themen wie Cyber-Security oder Datenschutz an anderer Stelle erheblich zunehmen. Das Compliance Management System muss daher so ausgestaltet sein, dass es die anstehenden Veränderungen erfasst und frühzeitig die neuen Risiken identifiziert und entsprechende Maßnahmen und Kontrollen einführt.[7]

Anmerkungen

[1]

ISO 19600, 10.1.2 Escalation, S. 119 ff.; ISO 27001:2016 (E), 8.9 Raising concerns, S. 17 f.; ICC, The ICC Antitrust Compliance Toolkit, April 2013, 5. c. Whistleblowing, S. 34 ff.

[2]

ICC, The ICC Antitrust Compliance Toolkit, 5. d. Communicate, educate and create a culture of speaking up, S. 37; vgl. auch Menner/Bexa CCZ 2019, 129, 131.

[3]

ISO 19600, 10.1.2 Escalation und 10.2 Continual improvement, S. 120 ff.; Hauschka/Moosmayer/Lösler/Buchert Corporate Compliance, § 42 Rn. 4.

[4]

ISO 19600, 10.1.1 General, S. 114 ff. ISO 37001:2016 (E), 10.1 Nonconformity and corrective action, S. 21 ff. US DOJ, Evaluation of Corporate Compliance Programs, Juli 2019, 9. Remediation and Role of the Compliance Program in the Discovery of the Violation, S. 12 ff.

[5]

Moosmayer Compliance, Rn. 338 ff.; US DOJ, Evaluation of Corporate Compliance Programs, Juli 2019, 8. Incentives and Discipline, S. 12.

[6]

US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, I. B. 1. Design and Comprehensiveness, S. 4.

[7]

Department of the Treasury, A Framework for OFAC Compliance Commitments, S. 7.

3. Kapitel Pflicht zur Einführung eines Hinweisgebersystems

Inhaltsverzeichnis

I. Rechtspflicht zur Implementierung eines Hinweisgebersystems?

3. Kapitel Pflicht zur Einführung eines Hinweisgebersystems › I. Rechtspflicht zur Implementierung eines Hinweisgebersystems?

I. Rechtspflicht zur Implementierung eines Hinweisgebersystems?

99

Auf Augustus (Römischer Kaiser) geht das Sprichwort „Ich liebe den Verrat, aber Verräter lobe ich nicht“ zurück.[1] Obwohl Hinweise von Mitarbeitern für Unternehmen häufig die zentrale Informationsquelle zur Aufdeckung von Rechtsverletzungen sind, stehen Mitarbeiter, die solche Rechtsverletzungen aufdecken, auch heute noch in einem negativen Licht und gelten oftmals als Denunzianten. Dabei handelt ein Hinweisgeber in erster Linie altruistisch und leistet im Zweifelsfall einen Beitrag zur Aufklärung von Rechtsverstößen. Das Verhalten eines Denunzianten zielt hingegen auf persönliche Vorteile ab.

100

Mitarbeiter, die Informationen über mögliche oder begangene Rechtsverletzungen offenbaren, müssen jedoch darauf vertrauen können, dass sie für die Offenlegung von Rechtsverletzungen im Unternehmen, wenn schon nicht belohnt, dann wenigstens geschützt werden.

101

Ein solcher Schutz kann mittels effektiver Hinweisgebersysteme gewährleistet werden. In Schrifttum und den Gesetzgebungsvorschlägen ist mittlerweile geklärt, dass für die Abgabe von Hinweisen und zum Schutz des Hinweisgebers ein internes Hinweisgebersystem installiert werden muss.[2] In Europa wurde kürzlich die Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden[3] (kurz „EU-Hinweisgeberrichtlinie“) mit detaillierten Vorgaben zur Ausgestaltung der verpflichtend einzuführenden Hinweisgebersysteme erlassen.[4] Diese Richtlinie ist nun von den nationalen Gesetzgebern bis spätestens 17.12.2021 umzusetzen. Zudem gibt es in Deutschland bereits etliche bereichsspezifische Verpflichtungen zur Einführung von Hinweisgebersystemen.[5]

Anmerkungen

[1]

Bzw. „Der König liebt den Verrat, nicht den Verräter“. Der Ausspruch Augustus‚ (63 v. Chr. – 14 n. Chr.; Großneffe Cäsars, von dem er auch adoptiert wurde) betrifft den Thraker Rhoimetalkes, der von Antonius zu ihm übergelaufen war und sich bei Trinkgelagen über diesen ausließ; Plutarch, Moralia (Moralische Schriften und Abhandlungen), Aussprüche der Könige und Feldherren 92, 2. Plutarch, Große Griechen und Römer. Band 1. Eingeleitet und übersetzt von Konrat Ziegler. Übersetzung der Biographie des Themistokles von Walter Wuhrmann. Zürich; Stuttgart: Artemis-Verlag, 1954 (Die Bibliothek der Alten Welt : Griechische Reihe), S. 97: „Nun steht aber offenbar Antigonos nicht allein mit seinem Wort, er liebe die Leute, die Verrat üben, die aber Verrat geübt hätten, hasse er, noch Caesar Augustus, der von dem Thraker Rhoimetalkes gesagt hat, er liebe den Verrat, den Verräter aber hasse er, sondern dies ist die allgemeine Stimmung gegen die Lumpen bei denen, die sie brauchen, wie man das Gift und die Galle mancher Tiere braucht. Solange man Nutzen aus ihnen zieht, hat man sie gern, haßt aber ihre Gemeinheit, wenn man sein Ziel erreicht hat.“

[2]

Vgl. Egger CCZ 2018, 126, 128; Sonnenberg JuS 2017, 917.

[3]

Richtlinie des Europäischen Parlaments und des Rates v. 23.10.2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, ABlEU Nr. L 305/17 v. 26.11.2019.

[4]

Online veröffentlicht unter: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32019L1937 (zuletzt besucht am 11.3.2021).

[5]

Vgl. Näheres dazu unter Rn. 157 ff.

3. Kapitel Pflicht zur Einführung eines Hinweisgebersystems › I. Rechtspflicht zur Implementierung eines Hinweisgebersystems? › 1. Allgemeine Erforderlichkeit von Hinweisgebersystemen

1. Allgemeine Erforderlichkeit von Hinweisgebersystemen

a) Schutzbedürftigkeit der Hinweisgeber

102

In der Vergangenheit wurden zahlreiche Rechtsverstöße und Rechtsmissbräuche durch Hinweisgeber aufgedeckt. Internationale Beispiele reichen von der Offenlegung von Staatsdoping über Steuerhinterziehung bis hin zu Fehlverhalten von Regierungen.

103

In einigen dieser Fälle bezahlten die Hinweisgeber teuer für die Offenlegung der Verfehlungen ihrer Institutionen. Das bekannteste Beispiel ist wohl Edward Snowden, der US-amerikanische Whistleblower und ehemalige CIA-Mitarbeiter, der die Welt über das Ausmaß der globalen Überwachungs- und Spionagepraktiken von Geheimdiensten (hauptsächlich jenen der Vereinigten Staaten und Großbritanniens) informierte.[1] Edward Snowden lebt seit Juni 2013 zunächst in Hong Kong und seit August 2013 im Exil in Russland. Allgemein bekannt ist auch das Beispiel von Chelsea Manning, die 2010 als Mitglied der amerikanischen Streitkräfte vertrauliche Dokumente und Filmaufnahmen an die Plattform Wikileaks weiterleitete.[2] Die Unterlagen enthielten Informationen über den tödlichen Beschuss von Zivilisten und Journalisten durch US-Streitkräfte im Irak und Afghanistan. Manning wurde 2013 zu 35 Jahren Haft verurteilt. Der Großteil der Haftstrafe wurde durch den damaligen US-Präsidenten Barack Obama erlassen.[3] Ein weiteres Beispiel ist Antoine Deltour, ein ehemaliger Angestellter der Wirtschaftsprüfungsgesellschaft PwC in Luxemburg, der 2014 mit Hilfe eines französischen Journalisten die Öffentlichkeit darüber informierte, dass eine Reihe von großen internationalen Konzerne (z.B. Apple, Amazon, eBay, Ikea und rund 295 weitere Unternehmen) ihre europäischen Gewinne in Luxemburg versteuern. Die sehr geringen Steuersätze wurden dort mit den Steuerbehörden ausgehandelt.[4] Antoine Deltour wurde zunächst von luxemburgischen Gerichten zu hohen Geldstrafen verurteilt, in letzter Instanz jedoch nur zu einer symbolischen Geldstrafe von einem Euro wegen „Diebstahls“ von Firmenunterlagen. Das neu in Kraft getretene Gesetz zum Schutz von Geschäftsgeheimnissen soll Verurteilungen wegen Verletzungen von Geschäftsgeheimnissen verhindern.[5]

104

Auch das russische Ehepaar Julia und Vitaly Stepanov, die beiden Hinweisgeber, die das russische Staatsdoping enttarnten, zahlten einen hohen Preis für ihr Handeln. Beide mussten Russland verlassen, lebten zunächst in Berlin und zogen schließlich in die USA.[6]

105

In Deutschland wurde der Fall des LKW-Fahrers Miroslav Strecker bekannt, der 2007 den sog. Gammelfleisch-Skandal ans Licht brachte. Obwohl Herr Strecker vom damaligen Agrarminister Horst Seehofer mit der „Goldenen Plakette“ für sein Handeln ausgezeichnet wurde, wurde er Opfer diverser Schikanen am Arbeitsplatz, die schließlich zu seiner Kündigung führten.[7]

106

Ohne garantierten Schutz der Hinweisgeber ist es zweifelhaft, ob das Gewicht der moralischen Pflicht, Rechtsverletzungen zu melden, die Angst vor drohenden (un-)mittelbaren Repressalien überwiegt und Mitarbeiter in der Praxis wirklich dazu bereit sind, aus dem Schutz der grauen Masse hervorzutreten und sich für die Gerechtigkeit und den Schutz der Allgemeinheit einzusetzen.

b) Schutzbedürftigkeit der Interessen der Allgemeinheit

107

Immer wieder gibt es Fälle, in denen Hinweisen nicht nachgegangen wird. Dies hat zum Teil verheerende Folgen. Beispielhaft sei genannt die Tötung von 85 Patientinnen und Patienten zwischen 2000 und 2005 durch den ehemaligen Krankenpfleger Nils Högel. Bereits im Oktober 2001 wurde die Geschäftsleitung des Klinikums Oldenburg durch Pflegekräfte auf die überdurchschnittlich hohe Zahl an Reanimationen und Todesfällen während Nils Högels Dienstzeiten aufmerksam gemacht.[8] Aus Angst um den Ruf des Klinikums entschied sich die Geschäftsleitung jedoch gegen eine Einschaltung der Strafverfolgungsbehörden und versetzte Nils Högel zunächst nur in eine andere Abteilung, um ihn anschließend mit einem sehr guten Arbeitszeugnis freizustellen.[9] Sogar bei seinem neuen Arbeitgeber, dem Klinikum Delmenhorst, konnte Nils Högel weitere Patienten töten, weil auch dort Hinweisen auf seine Taten nicht nachgegangen wurde.[10]

108

Ebenfalls am Beispiel des US-Flugzeugbauers Boeing, zeigt sich, dass der ineffiziente Umgang mit Hinweisen zahlreiche Menschenleben kosten kann. Ed Pierson, ein Ex-Manager von Boeing, gab bei einer Anhörung vor US-Abgeordneten an, dass er sowohl vor dem ersten Unglück (am 29.10.2018 in Indonesien mit 189 Toten), als auch vor dem zweiten Unglück (am 10.3.2019 in Addis Abeba, Äthiopien mit 157 Toten) Probleme gemeldet habe, doch keinem seiner Hinweise nachgegangen worden sei.[11]

109

Unrühmliche Bekanntheit erlangte kürzlich auch die Danske Bank durch die Aufdeckung eines Geldwäscheskandals durch einen Mitarbeiter. Der Mitarbeiter hatte sich aufgrund verdächtiger Vorgänge mehrfach an seine Vorgesetzten gewandt. Da seine internen Meldungen jedoch erfolglos blieben, wandte er sich schließlich an die Öffentlichkeit.[12]

110

Die Beispiele zeigen, dass Hinweise von Personen oder Abteilungen innerhalb des Unternehmens unverzüglich nach deren Eingang bearbeitet und die erforderlichen Maßnahmen angestoßen werden müssen. Dazu gehört auch, dass der Hinweisgeber zeitnah über den Verfahrensstand informiert wird, damit dieser entscheiden kann, ob es nötig ist, sich an externe Stellen zu wenden. Ein effektives Hinweisgebersystem setzt dort an, wo interner Informationsfluss nicht gewährleistet oder ausreichend ist.[13]

Anmerkungen

[1]

Mehr hierzu: Beuth Alles Wichtige zum NSA-Skandal. Auf: www.zeit.de/digital/datenschutz/2013-10/hintergrund-nsa-skandal (zuletzt besucht am 11.3.2021).

[2]

Mehr hierzu: Guantánamo leaks lift lid on world‚s most controversial prison. Auf: www.theguardian.com/world/2011/apr/25/guantanamo-files-lift-lid-prison (zuletzt besucht am 11.3.2021).

[3]

Mehr hierzu: Medick Obamas große Geste. Auf: www.spiegel.de/politik/ausland/barack-obama-begnadigt-chelsea-manning-kommentar-a-1130460.html (zuletzt besucht am 11.3.2021).

[4]

Mehr hierzu: Steuer-Leaks und ihre meist unbekannten Whistleblower. Auf: www.anstageslicht.de/themen/whistleblower-kurzportraits/steuer-leaks-und-ihre-meist-unbekannten-whistleblower/ (zuletzt besucht am 11.3.2021).

[5]

Mehr hierzu: www.anstageslicht.de/themen/whistleblower-kurzportraits/steuer-leaks-und-ihre-meist-unbekannten-whistleblower/ (zuletzt besucht am 11.3.2021).

[6]

Veröffentlicht unter: www.anstageslicht.de/themen/whistleblower-kurzportraits/julia-und-vitaly-stepanov-zwei-whistleblower-die-mit-hilfe-eines-journalisten-das-russische-staatsdoping-enttarnen/ (zuletzt besucht am 11.3.2021).

[7]

Veröffentlicht unter www.anstageslicht.de/themen/whistleblower-kurzportraits/miroslaw-strecker-ein-lkw-fahrer-der-zum-whistleblower-wurde/ (zuletzt besucht am 11.3.2021).

[8]

Veröffentlicht unter: www.tagesschau.de/inland/hoegel-115.html (zuletzt besucht am 11.3.2021).

[9]

Veröffentlicht unter: https://taz.de/Patientinnenmoerder-Niels-Hoegel/!5627001/ (zuletzt besucht am: 11.3.2021).

[10]

Veröffentlicht unter: www.whistleblower-net.de/blog/2019/09/28/mordserie-krankenhausleitung-ignorierte-hinweisen-von-whistleblowern/ (zuletzt besucht am 11.3.2021).

[11]

Veröffentlicht unter: www.zeit.de/wirtschaft/2019-12/boeing-max737-flugzeugabsturz-ed-pierson-aussage-us-kongress (zuletzt besucht am 11.3.2021).

[12]

Veröffentlicht unter: www.capital.de/wirtschaft-politik/der-unglaubliche-230-milliarden-skandal (zuletzt besucht am 11.3.2021).

[13]

Vgl. Grambow CB 2016, 210, 212.

Конец ознакомительного фрагмента.

Текст предоставлен ООО «ЛитРес».

Прочитайте эту книгу целиком, купив полную легальную версию на ЛитРес.

Безопасно оплатить книгу можно банковской картой Visa, MasterCard, Maestro, со счета мобильного телефона, с платежного терминала, в салоне МТС или Связной, через PayPal, WebMoney, Яндекс.Деньги, QIWI Кошелек, бонусными картами или другим удобным Вам способом.