Whistleblowing – ein Blick in die Praxis
Whistleblowing – ein Blick in die Praxis
Wenngleich das HinweisgeberInnenschutzgesetz (HSchG) bereits mit 25.2.2023 in Kraft getreten ist, stellt sich für Unternehmen und BR bei der praktischen Umsetzung des Hinweisgeber:innenschutzes eine Reihe von Fragen. Spezielle arbeitsrechtliche Bestimmungen zur Implementierung von Hinweisgeber:innenschutzsystemen, etwa darüber, ob und in welcher Weise eine Einbindung des BR zu erfolgen hat, fehlen. In diesem Beitrag sollen wesentliche Herausforderungen der praktischen Umsetzung des Hinweisgeber:innenschutzes auf betrieblicher Ebene erörtert werden.
Whistleblower:innen oder Hinweisgeber:innen sind Personen, die im Rahmen ihrer beruflichen Tätigkeit von Rechtsverletzungen oder anderen Missständen Kenntnis erlangen und darüber Meldung erstatten oder die Öffentlichkeit auf ein Fehlverhalten aufmerksam machen, damit wirksam gegengesteuert werden kann. Häufig machen sie sich damit jedoch auch sehr unbeliebt und werden von ihren AG selbst rechtlich belangt oder durch Maßnahmen wie Kündigung oder Versetzung sanktioniert. Nicht zuletzt zeugen Fälle wie jene von Julian Assange oder Edward Snowden von der Brisanz des Themas und sind weithin bekannt. Das HSchG soll Hinweisgeber:innen nun besseren Schutz vor (arbeits-)rechtlichen Sanktionen bieten. In der Praxis stoßen Unternehmen und Betriebsrät:innen bei der Umsetzung der Hinweisgeber:innenschutzregelungen jedoch auf einige Herausforderungen.
Bereits im Jahr 2019 trat die EU-Whistleblowing-RL („RL zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“)* – mit welcher Mindeststandards zur Gewährleistung eines wirksamen Schutzes von Hinweisgeber:innen, deren Meldungen ein öffentliches Interesse berühren, geschaffen werden sollten – in Kraft. Das mit 25.2.2023 in Kraft getretene HSchG* bezweckt die Umsetzung der Whistleblowing-RL in nationales Recht. Die Beschlussfassung des HSchG erfolgte jedoch erst mit großer Verzögerung und nach der zwischenzeitlichen Einleitung eines Vertragsverletzungsverfahrens durch die EU-Kommission – die Whistleblowing-RL wäre eigentlich bis 17.12.2021 in nationales Recht umzusetzen gewesen.
Die RL sieht für Unternehmen und juristische Personen des öffentlichen Sektors mit 50 oder mehr AN die Verpflichtung zur Einrichtung von (internen) Meldestellen vor und sichert Hinweisgeber:innen Schutz vor Repressalien des AG, etwa in Form von Kündigungen oder Entlassungen aufgrund der Erstattung einer Meldung, zu. In sachlicher Hinsicht werden durch die RL jedoch – schon aus kompetenzrechtlichen Gründen – nur bestimmte inhaltliche Bereiche abgedeckt. Diese sind insb das öffentliche Auftragswesen, Finanzdienstleistungen, Finanzprodukte und Finanzmärkte sowie Verhinderung von Geldwäsche und Terrorismusfinanzierung, Produktsicherheit und -konformität, Verkehrssicherheit, Umweltschutz, kerntechnische Sicherheit, Lebensmittelsicherheit, Tiergesundheit und Tierschutz, öffentliche Gesundheit, Verbraucher:innenschutz und der Schutz der Privatsphäre bzw Datenschutz sowie die Sicherheit von Netz- und Informationssystemen.
Obwohl die Ausweitung des Geltungsbereiches in den nationalen Umsetzungsgesetzen in den Erwägungsgründen der RL ausdrücklich angeregt wird, erfolgte eine solche im HSchG jedoch lediglich in Bezug auf die in §§ 302–309 StGB angeführten Amtsdelikte und somit besonders zurückhaltend. Das Aufdecken von Delikten, wie Betrug, Untreue, Lohn- und Sozialdumping und Schwarzarbeit oder von Verstößen gegen AN-Schutzvorschriften, ist somit nicht vom Hinweisgeber:innenschutz erfasst. Zudem sind vom Anwendungsbereich des HSchG grundsätzlich nur Rechtsverletzungen in Unternehmen und juristischen Personen des öffentlichen Sektors mit 50 oder mehr AN erfasst. Der in der RL angeführte Schwellenwert von 50 AN bezieht sich jedoch lediglich auf die Verpflichtung zur Einrichtung einer internen Meldestelle, weshalb ein derart eingeschränkter Geltungsbereich des HSchG als unionsrechtswidrig anzusehen ist.*
Werden AN im Zusammenhang mit der Erstattung einer Meldung behindert, die Whistleblower:innen durch mutwillig angestrengte Verfahren unter Druck gesetzt, werden Repressalien gegen sie ergriffen oder wird die Vertraulichkeit der Meldung verletzt, sieht das HSchG Verwaltungsstrafen in der Höhe von grundsätzlich bis zu € 20.000,- (im Wiederholungsfall bis zu € 40.000,-) vor. Angesichts der 117Vorgabe der RL,* in derartigen Fällen wirksame, angemessene und abschreckende Strafen vorzusehen, erscheinen die vorgesehenen Strafhöhen jedoch gerade im Hinblick auf große und finanzstarke Unternehmen kaum geeignet, den Schutz von Whistleblower:innen effektiv sicherzustellen.
Gem § 91 Abs 2 S 1 ArbVG trifft den Betriebsinhaber die Pflicht, dem BR Mitteilung darüber zu machen, welche Arten von personenbezogenen AN-Daten automationsunterstützt aufgezeichnet werden und welche Verarbeitungen und Übermittlungen vorgesehen sind. Hierbei handelt es sich um eine Pflicht des Betriebsinhabers, welche nicht erst durch eine entsprechende Anfrage des BR ausgelöst wird.* Auf Anfrage müssen dem BR gem § 91 Abs 2 S 2 ArbVG noch weitere Detailinformationen über diese Datenverarbeitungen bereitgestellt werden.*
Schon aus dieser gesetzlichen Bestimmung lässt sich ableiten, dass eine Einbindung des BR bei der Einführung eines Whistleblowing-Systems, soweit durch dieses AN-Daten automationsunterstützt verarbeitet werden, verpflichtend zu erfolgen hat. Beim Einbringen von Meldungen werden jedenfalls personenbezogene AN-Daten verarbeitet, sei es über den/die Melder:in, die in einer Meldung erwähnten Personen oder den/die Bearbeiter:in der Meldung. Daher muss der Betriebsinhaber den BR jedenfalls informieren, was mit etwaigen personenbezogenen AN-Daten in diesem Kontext passiert und – auf Anfrage – auch, wie diese Verarbeitungen im Detail vonstattengehen.*
In der Praxis stellt sich neben der Information des BR vielfach die Frage, ob der BR direkt an der Verwaltung des Systems, bspw als Teil der im Unternehmen eingerichteten Meldestelle, beteiligt werden soll. Dies ist uE gut zu überlegen, da es oftmals zu Situationen kommen kann, in denen der BR sowohl die Interessen des/der Hinweisgeber:in, als auch jene des/der Beschuldigten zu vertreten hat und sich somit potenzielle Interessenkonflikte auftun können.
In weiterer Folge bedarf es einer Klärung, ob es lediglich bei der Information an den BR bleibt, oder es für die Einführung solcher Systeme der Zustimmung des BR in Form einer BV bedarf.
Hinsichtlich jener Betriebsvereinbarungstatbestände, die eine verpflichtende Zustimmung des BR vorsehen, sind in diesem Kontext insb § 96 Abs 1 Z 3 und § 96a Abs 1 Z 1 ArbVG von Relevanz.
Bei § 96 Abs 1 Z 3 ArbVG sind Kontrollmaßnahmen und technische Systeme zur Kontrolle, welche die Menschenwürde berühren, getroffen. Gemeint sind hier vor allem Kontrollmaßnahmen, welche eine gewisse Intensität aufweisen und über jene allgemeinen Kontrollen, welche zum Wesen eines Arbeitsverhältnisses gehören, hinausgehen.* Es kommt bei derartigen Maßnahmen auf die objektive Eignung eines Systems zu intensiven Kontrollen an, unabhängig von einer Kontrollabsicht des Betriebsinhabers.* Hinsichtlich der Frage, ob die Einrichtung eines Meldesystems der Zustimmung des BR gem § 96 Abs 1 Z 3 ArbVG bedarf, ist also stets das konkrete System bzw dessen Ausgestaltung zu prüfen.
IZm Whistleblowing-Systemen kann eine objektive Eignung zu intensiven Kontrollen in der Möglichkeit jedes/jeder AN, alle anderen AN zu überwachen und bei einem (wenn auch nur vermuteten) Fehlverhalten eine Meldung zu erstatten, liegen. Dies ist insb dann der Fall, wenn seitens des AG eine solche Meldung über jegliches Fehlverhalten erwartet oder – durch „Compliance-Richtlinien“ oder dergleichen – verlangt wird.*
Bislang, also vor Inkrafttreten des HSchG, wurde daher überwiegend vertreten, dass die Einführung eines Whistleblowing-Systems betriebsvereinbarungspflichtig iSd § 96 Abs 1 Z 3 ArbVG ist.* Vor dem Hintergrund der neuen gesetzlichen Bestimmungen samt der Verpflichtung von Betrieben, einen internen Meldekanal einzurichten, könnte jedoch ein differenzierterer Ansatz geboten sein. Aufgrund der in § 96 ArbVG vorgesehenen notwendigen Zustimmung des BR könnte die Situation eintreten, dass der Betriebsinhaber seiner gesetzlichen Pflicht zur Einrichtung einer Meldestelle aufgrund der Weigerung des BR, seine Zustimmung zu erteilen, nicht nachkommen kann.* Im Hinblick auf dieses Problem überzeugend erscheint 118 daher die Rechtsansicht von Kovacs,* wonach darauf abzustellen sei, ob der AG lediglich die Inhalte des HSchG – innerhalb dessen sachlichen Anwendungsbereiches – umsetzt, oder ob das Meldesystem und die möglichen Meldebereiche darüber hinausgehen. Wird nur das Gesetz umgesetzt, brauche es demnach keine BV nach § 96 Abs 1 Z 3 ArbVG, was zunehmend auch von anderen Stimmen in der Literatur geteilt wird.*
Im Ergebnis wird der Betriebsvereinbarungstatbestand des § 96 Abs 1 Z 3 ArbVG bei Hinweisgeber:innensystemen dann erfüllt sein, wenn das konkret eingesetzte System in der Umsetzung über die Anforderungen des HSchG hinausgeht oder aufgrund seiner konkreten Ausgestaltung – bspw aufgrund der Verpflichtung der AN zur Erstattung von Meldungen – schon per se als Kontrollsystem anzusehen ist, was in der Praxis allerdings regelmäßig der Fall ist.
Der zweite in Frage kommende Tatbestand ist jener des § 96a Abs 1 Z 1 ArbVG. Dieser sieht vor, dass Systeme zur automationsunterstützten Ermittlung, Verarbeitung und Übermittlung von personenbezogenen Daten des/der AN, die über die Ermittlung von allgemeinen Angaben zur Person und deren fachlichen Voraussetzungen hinausgehen, betriebsvereinbarungspflichtig sind. Eine Ausnahme davon besteht dann, wenn die tatsächliche oder vorgesehene Verwendung dieser Daten über die Erfüllung von Verpflichtungen, welche sich aus Gesetz, Normen der kollektiven Rechtsgestaltung oder des Arbeitsvertrages ergeben, nicht hinausgeht.
Wie bei § 96 Abs 1 Z 3 ArbVG reicht die objektive Eignung eines Systems zu extensiven Datenverarbeitungen bereits aus, um eine Betriebsvereinbarungspflicht zu begründen.*
Analog zum Tatbestand des § 96 Abs 1 Z 3 ArbVG wird auch hinsichtlich § 96a Abs 1 Z 1 bei einer bloßen Erfüllung des gesetzlich vorgesehenen „Mindeststandards“ nicht von einer Betriebsvereinbarungspflicht ausgegangen werden können, hier aufgrund der Ausnahmeregelung in § 96a Abs 1 Z 1 selbst. Vor dem Hintergrund der Praxis, dass Hinweisgeber:innensysteme in der heutigen Zeit einer in vielen Bereichen umfassend digitalisierten Arbeitswelt größtenteils mittels Softwarelösungen abgewickelt werden, die objektiv idR weit mehr Datenverarbeitungen ermöglichen als tatsächlich notwendig wären, so wird aus diesem Aspekt heraus der Abschluss einer BV oftmals notwendig sein. Auch aus der Perspektive der Datensicherung nicht vergessen werden sollte, dass derartige Systeme auch im Hintergrund (teils) personenbezogene Daten generieren bzw verarbeiten, sogenannte Log-Daten. Inhalt dieser Dateien sind dann bspw der/die Benutzer:in, der/die sich zur Bearbeitung von Meldungen mit Benutzernamen und Passwort eingeloggt hat oder auch ein Zeitstempel, wann ein bestimmter Zugriff erfolgt ist. Da auch solche Daten personenbezogene AN-Daten darstellen, welche jedoch nicht verpflichtet verarbeitet werden müssen, wird bei einer Einrichtung eines Meldesystems auf Basis eines technischen Systems, beinahe jedes derartige System unter den Betriebsvereinbarungstatbestand des § 96a Abs 1 Z 1 ArbVG fallen.
UE ist daher in derartigen Fällen verpflichtend eine BV abzuschließen.
Daneben ist uU auch der Betriebsvereinbarungstatbestand des § 97 Abs 1 Z 1 („allgemeine Ordnungsvorschriften, die das Verhalten der Arbeitnehmer im Betrieb regeln“) einschlägig. Unter diesen Tatbestand fallen ua Verhaltensvorschriften, Ethik-Kodizes oder sogenannte Compliance-Richtlinien.* Diese weisen in vielen Fällen – unabhängig vom Einsatz eines technischen Systems und der Verarbeitung von AN-Daten und der Frage, ob das eingesetzte Hinweisgeber:innensystem als Kontrollsystem iSd § 96 Abs 1 Z 3 ArbVG anzusehen ist – starke Berührungspunkte mit dem Hinweisgeber:innenschutz auf, weil vom AG etwa vorgegeben wird, in welcher Weise ein Whistleblowing-System zu nutzen ist, hinsichtlich welcher Inhalte Meldung erstattet werden kann oder soll oder welche Verhaltensweisen als (meldewürdiges) Fehlverhalten angesehen werden. Im Unterschied zu den Tatbeständen der §§ 96 Abs 1 Z 3 und 96a Abs 1 Z 1 ArbVG ist eine notwendige Zustimmung des BR bei allgemeinen Ordnungsvorschriften nicht vorgesehen, jedoch hat der BR die Möglichkeit, den Abschluss einer BV durch Antrag an die Schlichtungsstelle zu erzwingen („erzwingbare BV“).
Angesichts des sehr engen gesetzlichen sachlichen Geltungsbereiches des HSchG ist in der praktischen betrieblichen Umsetzung häufig der Wunsch nach einer Erweiterung des Hinweisgeber:innenschutzes über den gesetzlichen Rahmen hinaus zu beobachten. Erfolgt die Einführung eines Hinweisgeber:innensystems mittels BV, so legen die Betriebsvereinbarungsparteien also mitunter fest, dass auch Personen, die Meldungen zu bestimmten Themen, die nicht in der Aufzählung des § 3 HSchG enthalten sind, erstatten, geschützt sein sollen. In diesem Zusammenhang werden strafrechtliche Delikte, wie etwa Betrug, oder auch Verstöße gegen das Gleichbehandlungsrecht, angeführt. Fraglich ist 119jedoch, wie die Aufnahme zusätzlicher Meldetatbestände in die BV zu bewerten ist.
Klar ist zunächst, dass Personen, die Meldungen zu Themen, die nicht vom sachlichen Geltungsbereich des HSchG erfasst sind, erstatten, nicht unter den gesetzlichen Schutz des § 20 HSchG vor Vergeltungsmaßnahmen des AG fallen können. Schon aus diesem Grund erscheint bei der Erweiterung der Meldetatbestände mittels BV über den gesetzlichen Rahmen hinaus in der Praxis Vorsicht geboten. Sichert der AG durch Festlegung in der BV zu, keine Vergeltungsmaßnahmen gegenüber AN, die Meldungen zu nicht in den gesetzlichen Geltungsbereich fallenden Themen abgeben, zu ergreifen, tut dies aber dennoch, so ist fraglich, welches Niveau an Schutz AN, die mit der gebotenen Sorgfalt, im guten Glauben und im Vertrauen auf die Richtigkeit der Meldung (iSd § 6 Abs 1 HSchG) eine solche erstatten – bspw hinsichtlich einer Kündigung aufgrund der Erstattung der Meldung –, tatsächlich zukommt.
In diesem Zusammenhang ist an die Möglichkeit der Anfechtung der Kündigung aufgrund eines verpönten Motivs zu denken. So sieht § 105 Abs 3 Z 1 lit i ArbVG vor, dass die erfolgte Kündigung bei Gericht angefochten werden kann, wenn sie „wegen der offenbar nicht unberechtigten Geltendmachung vom Arbeitgeber in Frage gestellter Ansprüche aus dem Arbeitsverhältnis durch den Arbeitnehmer“ erfolgt ist. Dem OGH* zufolge verfolgt die Bestimmung des § 105 Abs 3 Z 1 lit i ArbVG den Zweck, die arbeitsrechtliche Stellung des/der AN zu schützen und die Rechtsdurchsetzung im aufrechten Arbeitsverhältnis zu ermöglichen; davon seien nicht nur Ansprüche auf (Geld-)Leistungen umfasst. Die Formulierung „Ansprüche aus dem Arbeitsverhältnis“ zielt auf sämtliche Ansprüche ab, die sich unmittelbar aus der Stellung als AN im aufrechten Arbeitsverhältnis ergeben, wobei unerheblich ist, ob sich der Anspruch aus Gesetz, KollV oder BV ergibt.*Wolligger* weist überdies darauf hin, dass durch § 105 Abs 3 Z 1 lit i ArbVG Vergeltungskündigungen verhindert werden sollen.
Daraus ergibt sich uE, dass die Festlegung von „Meldethemen“ über den Geltungsbereich des HSchG hinaus und die Zusicherung, keine Vergeltungsmaßnahmen gegenüber AN zu ergreifen, dazu führt, dass Kündigungen aufgrund der Erstattung eines Hinweises auf der Grundlage von § 105 Abs 3 Z 1 lit i ArbVG angefochten werden können, zumal der AG durch die Festlegung bestimmter Meldetatbestände in der BV zu erkennen gibt, dass die Erstattung von Meldungen zu diesen Themen erwünscht ist und als vertragskonformes Verhalten angesehen wird. Darüber hinausgehend besteht jedoch wohl – im Hinblick auf mögliche andere Sanktionsmaßnahmen – kein besonderer Schutz für Hinweisgeber:innen unmittelbar aufgrund der BV.
Zusammenfassend ist festzuhalten, dass bei der Einführung von Hinweisgeber:innensystemen im Betrieb der BR idR – und insb bei der Ausgestaltung des Hinweisgeber:innenschutzes mittels eines technischen Systems – umfassend einzubinden ist. So trifft den AG bereits gem § 91 Abs 2 ArbVG die Pflicht, den BR darüber zu informieren, welche AN-Daten automationsunterstützt verarbeitet werden.
Da marktübliche und regelmäßig eingesetzte Hinweisgeber:innensysteme hinsichtlich ihrer Datenverarbeitung typischerweise deutlich über die bloße Ermittlung von allgemeinen Angaben zur Person und deren fachlichen Voraussetzungen hinausgehen, weil zumindest sogenannte Log-Daten generiert werden, ist in vielen Fällen von einer Betriebsvereinbarungspflicht gem § 96a Abs 1 Z 1 ArbVG auszugehen. Ist ein eingesetztes Hinweisgeber:innensystem nicht auf die im sachlichen Geltungsbereich des HSchG festgelegten Meldeinhalte beschränkt oder bereits aufgrund seiner konkreten Ausgestaltung als Kontrollsystem anzusehen, was in der Praxis regelmäßig der Fall ist, so ist § 96 Abs 1 Z 3 ArbVG einschlägig und vor Einführung eines Hinweisgeber:innensystems jedenfalls die Zustimmung des BR einzuholen. Daneben kommt uU auch der Betriebsvereinbarungstatbestand des § 97 Abs 1 Z 1 ArbVG zum Tragen.
In Bezug auf die in der Praxis häufig anzutreffende Erweiterung der zulässigen Meldebereiche – über den sachlichen Geltungsbereich des HSchG hinaus – ist festzuhalten, dass bei Zusicherung des AG mittels Bestimmung in einer BV keine Sanktionsmaßnahmen gegenüber AN zu ergreifen, allenfalls die Möglichkeit der Anfechtung der Kündigung aufgrund eines verpönten Motivs gem § 105 Abs 3 Z 1 lit i ArbVG besteht, abseits davon jedoch kein besonderer Schutz für Hinweisgeber:innen existiert, weshalb bei der Erweiterung des Hinweisgeber:innenschutzes mittels Betriebsvereinbarungsregelung Vorsicht geboten ist.
UE sollten im Zusammenhang mit der Erstellung einer BV zu einem Hinweisgeber:innensystem zudem die folgenden Punkte berücksichtigt werden:
Je nachdem, ob ein Meldesystem intern eingerichtet wird, oder ob ein solches von einem externen Anbieter eingesetzt wird, bedarf es unterschiedlicher Prüfmaßstäbe. Handelt es sich um einen externen Anbieter, so müssen insb die datenschutzrechtlichen Erfordernisse geprüft werden, ob etwa ein Auftragsdatenverarbeitungsvertrag gem Art 28 Abs 3 DSGVO abgeschlossen 120 wurde und in welchem Staat die Daten verarbeitet werden. Bei eigenen Meldesystemen des AG wird der Fokus eher auf der Vergabe der Zugriffsberechtigungen und der Wahrung der Vertraulichkeit liegen.
Obwohl die Besetzung der Meldestelle durch ein Betriebsratsmitglied uE nicht in jedem Fall vorbehaltlos zu empfehlen ist, sollte eine Einbindung des BR jedenfalls – gegebenenfalls auf andere Art und Weise, wie bspw durch quartalsmäßige Übermittlung der Anzahl der eingegangenen Meldungen nach Themen – stattfinden.
Da das HSchG bezüglich des Prozederes und des Ermittlungsverfahrens nach eingegangen Meldungen wenig bis gar keine Regelungen trifft, sollte auch dies in der BV konkret definiert werden.