Whistleblowing und Schutz von Geschäftsgeheimnissen

1. Was ist Whistleblowing

Allgemeinsprachlich versteht man unter einem Whistleblower (dt.: „Hinweisgeber“) eine Person, die (meist medienwirksam) bislang der Öffentlichkeit nicht bekannte Vorgänge und/oder Umstände bekannt macht, häufig anonym.

Im eher rechtlichen Sprachgebrauch gilt als Whistleblower üblicherweise eine Person, die als „ein ehemaliges oder aktuelles Mitglied einer Organisation Kenntnis von illegalen, unmoralischen oder illegitimen Verhaltensweisen hat, die im Verantwortungsbereich der Organisationsführung liegen und dieses Fehlverhalten mangels Möglichkeiten, es selbst zu beheben, gegenüber Personen oder Organisationen aufdeckt, die Handlungsmöglichkeiten besitzen“ (Vgl. Kortstock, Creifelds Rechtswörterbuch, „Whistleblower“).

Hinsichtlich des Vorgangs der Bekanntmachung wird dabei regelmäßig unterschieden zwischen einem externen Whistleblower, der sich mit seinen Informationen an einen Meldeadressaten außerhalb der Organisation wendet und einem internen Whistleblower, der seine Meldung gegenüber einem Meldeadressaten innerhalb der Organisation abgibt. Daneben wird inzwischen zwischen offenem, vertraulichem oder auch anonymem Whistleblowing unterschieden – je nachdem, ob und wie die Identität des Whistleblowers geheim gehalten wird.

Gesamtgesellschaftlich wird Whistleblowing am häufigsten im arbeitsrechtlichen Kontext wahrgenommen. Beachten Sie speziell zur arbeitsrechtlichen Relevanz (und häufig: Brisanz) dieses Themas bei Interesse den Sonderbeitrag "Hinweisgeberschutzgesetz auf dem Weg: Unternehmen müssen tätig werden" unserer Arbeitsrechtskolleginnen und -kollegen.

Bislang gab es in Deutschland kein eigenständiges Gesetz (sog. „Stammgesetz“) zum Whistleblowing. Dies wird sich in naher Zukunft aufgrund entsprechender EU-Regelungsinitiativen ändern. Zusätzlich besteht naturgemäß – wegen des Bekanntwerdens bislang unbekannter Vorgänge (also „Geheimnisse“) – eine bedeutsame Schnittstelle zum Geschäftsgeheimnisschutz. Letzterer ist, ebenfalls ausgehend von einem europäischen Regelungsimpuls, seit 2019 in Deutschland durch das Geschäftsgeheimnisschutzgesetz (GeschGehG) geregelt.

Informationen zu allen vorgenannten Regelungsaspekten finden Sie auf der vorliegenden Themenseite.

2. EU-Whistleblower-Richtlinie

Da eine einheitliche Rechtsgrundlage für die Regelung von Whistleblowing-Tatbeständen in der EU bislang fehlte, beschloss die EU im Oktober 2019 die „Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ (RL (EU) 2019/1937 v. 23.10.2019). Diese sog. „Whistleblower-Richtlinie“ ist am 16. Dezember 2019 in Kraft getreten und muss von den Mitgliedsstaaten bis zum 17. Dezember 2021 in nationales Recht umgesetzt werden.

3. Hinweisgeberschutzgesetz

Das Bundesministerium für Justiz und Verbraucherschutz (BMJV) hat zur Umsetzung der WBRL einen ersten Entwurf für ein Hinweisgeberschutzgesetz (HinSchG-E) erarbeitet, welcher im Mai 2021 veröffentlicht wurde. Aktuell erscheint es aufgrund des nicht weiter betriebenen Gesetzgebungsverfahrens und der Sommerpause des Bundestages unwahrscheinlich, dass der Entwurf noch in dieser Legislaturperiode bzw. vor den diesjährigen Bundestagswahlen als Gesetz beschlossen wird.

1. Schutzbereich

Die EU-Whistleblower-Richtlinie soll denjenigen Whistleblowern Schutz bieten, die im privaten oder öffentlichen Sektor tätig sind und im beruflichen Kontext Informationen erlangt haben bzw. bekannt machen wollen. In sachlicher Hinsicht ist der Schutzbereich auf solche Informationen beschränkt, die Verstöße gegen Rechtsakte des in der Art. 6 der Richtlinie aufgezählten Unionsrechts betreffen.

Der deutsche HinSchG-Entwurf („HinschG-E“) geht über die unionsrechtlichen Vorgaben hinaus und will Whistleblower nicht nur dann schützen, wenn sie Verstöße gegen das Unionsrecht melden, sondern auch umsetzungsüberschießend dann, wenn sie auf Verstöße gegen das deutsche Recht hinweisen. Neben Verstößen gegen straf- und bußgeldbewehrte Vorschriften, bezieht sich der Entwurf auch auf solche gegen Gesetze, Rechtsverordnungen des Bundes und der Länder sowie gegen Rechtsakte der EU, soweit diese einen der in § 2 Abs. 1 Nr. 2, Abs. 2 HinSchG-E aufgezählten Rechtsbereiche betreffen.

2. Pflicht zur Einrichtung einer Meldestelle

Die EU-Whistleblower-Richtlinie und entsprechend der Referentenentwurf in § 12 HinSchG-E sehen für Arbeitgeber mit mindestens 50 Mitarbeitern eine Pflicht zur Errichtung einer internen Meldestelle vor, an die sich Beschäftigte wenden können. Hinsichtlich Unternehmen mit 50 bis 249 Beschäftigten sieht der Entwurf eine verlängerte Einrichtungsfrist bis zum 17. Dezember 2023 vor und erlaubt diesen Unternehmen die Einrichtung einer gemeinsam betriebenen Meldestelle mit anderen Unternehmen.

Zu den wesentlichen Aufgaben der internen Meldestellen gehört die Entgegennahme von Meldungen, die Prüfung auf ihre Stichhaltigkeit und die Einleitung geeigneter Folgemaßnahmen, insbesondere die interne Untersuchung des gemeldeten Sachverhalts einschließlich einer Rückmeldung über den Verfahrensstand innerhalb einer Frist von drei Monaten.

Als mögliche interne Meldestellen werden z. B. Mitarbeiter mit einer Doppelfunktion, Leiter der Complianceabteilung, Integritätsbeauftragte, Rechts- oder Datenschutzbeauftragte genannt. Alternativ können mit der Einrichtung und dem Betreiben einer internen Meldestelle auch externer Anwälte als Ombudspersonen, Berater, Prüfer, Gewerkschaftsvertreter oder Arbeitnehmervertreter beauftragt werden.

3. Gleichstellung interner und externer Meldewege – Whistleblower haben die Wahl

Die EU-Richtlinie und der deutsche Entwurf sehen zwei gleichwertig nebeneinanderstehende Meldewege für hinweisgebende Personen vor, zwischen denen sie frei wählen können. Dies sind zum einen interne Meldestellen bspw. innerhalb des Unternehmens und zum anderen auf Bundesebene eingerichtete externe Meldestellen. Die Richtlinie in Art. 7 Abs. 2 und der Gesetzesentwurf in § 7 Abs. 3 HinSchG-E sehen jedoch auch vor, dass Arbeitgeber Anreize dafür schaffen sollen, dass Whistblower sich zunächst an die interne Meldestelle wenden, ohne dass die Möglichkeit einer externen Meldung hierdurch erschwert oder beschränkt wird.

4. Benachteiligungsverbot: Schutz durch Beweislastumkehr

Whistleblower sollen einen umfangreichen Schutz vor Repressalien infolge einer Meldung über Missstände im Unternehmen erfahren. Unter den Begriff der Repressalie fallen alle beruflichen Nachteile, wie beispielweise Kündigung, Versagung einer Beförderung, Disziplinarmaßnahmen, Diskriminierung oder Mobbing. Der wichtigste rechtliche Mechanismus zur Erreichung des beabsichtigten Schutzes des Whistleblowers ist dabei eine Beweislastumkehr. Erleidet ein Whistleblower nach einer Meldung eine Benachteiligung, so wird widerleglich vermutet, dass dies auf der Meldung des Whistleblowers beruht. Der Arbeitgeber muss dann darlegen und beweisen, dass die ergriffene Maßnahme nicht im Zusammenhang mit der Meldung steht. Inwiefern eine solche Beweislastumkehr „Schutzmeldungen“ von abgemahnten Arbeitnehmern dahingehend Vorschub leistet, dass diese möglicherweise geneigt sind, zur Abwehr sich abzeichnender Sanktionen entsprechende Hinweise zu geben, bleibt ebenso abzuwarten wie die Detailregelung dieses Mechanismus durch die Arbeitsgerichte.

5. Besondere datenschutzrechtliche Aspekte

Die Anzeige von Missständen setzt stets voraus, dass der Whistleblower den Namen etc. des möglichen Täters nennt. Dies hat naturgemäß erhebliche Auswirkungen für den vermeintlichen Täter. Im Dilemma befindet sich aber auch der Whistleblower: Benennt er seinen Namen und hat er den angezeigten Täter falsch beschuldigt, kann er selbst Sanktionen ausgesetzt sein. Daneben muss er Reaktionen des angezeigten Täters befürchten, sofern sein Name nicht vertraulich behandelt wird.

Unternehmen als Betreiber des Whistleblower-Systems müssen indes die Transparenzpflichten der DSGVO umsetzen, so dass eine umfassende Anonymität ggf. nicht gewahrt werden kann. Zudem stehen den Betroffenen umfassende Rechte auf Auskunft, Löschung etc. zu, Art. 12 ff. DSGVO – auch dies kann zu Interessenkonflikten führen.

1. Das Gesetz zum Schutz von Geschäftsgeheimnissen (wie hängt es mit Whistleblowing zusammen)

Während Whistleblowing-Richtlinie und deutsches HinSchG(-E) den Hinweisgeber schützen sollen, sollen das deutsche Geschäftsgeheimnisschutzgesetz („GeschGehG“) und die ihr zugrundeliegende Know-How-Schutz-Richtlinie ein Unternehmen und seine Geschäftsgeheimnisse schützen. Schon aus der Natur der Regelungsmaterie beider Gesetzeswerke ergibt sich also eine Überschneidung bzw. ein Zielkonflikt.

Die gemeinsame Schnittmenge des GeschGehG und der Whistleblowing-Richtlinie zeigt sich konkret anhand des im GeschGehG geregelten Ausnahmetatbestand zum Schutz von Whistleblowern. Denn im Falle einer Meldung ist häufig auch Know-How des Unternehmens betroffen, dessen Offenlegung an sich verboten ist. Gemäß § 5 Nr. 2 GeschGehG ist die Offenlegung jedoch ausnahmsweise gerechtfertigt, wenn sie zur Aufdeckung einer rechtswidrigen Handlung oder eines beruflichen oder sonstigen Fehlverhaltens erfolgt und dem Schutz des allgemeinen öffentlichen Interesses dient. Diese Vorschriften gilt es in der Praxis daher ebenfalls zu berücksichtigen.

2. Geschäftsgeheimnis: Definition und verbotene / erlaubte Handlungen

Eine Information ist ein Geschäftsgeheimnis, wenn sie (1) geheim ist, (2) einen kommerziellen Wert hat, weil sie geheim ist, (3) Gegenstand angemessener Geheimhaltungsmaßnahmen ist und (4) bei der ein berechtigtes Interesse an der Geheimhaltung besteht.

Nach dem GeschGehG „erlaubte Handlungen“ in Bezug auf Geschäftsgeheimnisse ergeben sich aus dessen § 3. Gemäß § 3 Absatz 2 dürfen Geschäftsgeheimnisse durch ein Gesetz, auf Grund eines Gesetztes oder durch Rechtsgeschäft erlangt, genutzt oder offengelegt werden. Absatz 1 zählt beispielhaft Fälle auf, in denen die Erlangung von Geschäftsgeheimnissen erlaubt ist. Dazu zählen die eigenständige Entdeckung und Schöpfung (Nr.1), das „Reverse Engineering“ (Nr.2) sowie Informations- und Anhörungsrechte von Arbeitnehmern beziehungsweise Mitwirkungs- und Mitbestimmungsrechte der Arbeitnehmervertretung (Nr.3).

Ein Katalog der demgegenüber „verbotenen Handlungen“ findet sich in § 4 GeschGehG. Absatz 1 benennt dort die Formen des unbefugten Erlangens von Geschäftsgeheimnissen. Dazu zählen etwa das Erlangen durch unbefugten Zugang, unbefugte Aneignung oder unbefugtes Kopieren (Nr.1) sowie durch weitere Verhaltensweisen, die gegen den Grundsatz von Treu und Glauben verstoßen (Nr. 2). Nr. 2 dient insoweit als ein Auffangtatbestand. Absatz 2 regelt die verbotene Nutzung und Offenlegung von Geschäftsgeheimnissen, die im Wege des Absatzes 1 erlangt worden.

Bei Vorhalten eines funktionierenden und datenschutzrechtskonformen internen Meldesystems im Sinne der Whistleblower-Richtlinie kann sich der oben aufgezeigte Zielkonflikt von Hinweisgeberschutz und Geschäftsgeheimnisschutz auflösen lassen. Voraussetzung hierfür ist jedoch neben besagtem Meldesystem auch die Kenntnis und Verwaltung der Geschäftsgeheimnisse im Unternehmen durch das Unternehmen selbst. Beide Aspekte sind eine gesamtheitliche, systemische Aufgabe, die zwar anfänglich je nach Ausgangslage Ressourceneinsatz verlangen kann, mittel- und langfristig jedoch sowohl alternativlos als auch ressourcensparend sein können.

Den in Deutschland bereits 2019 in Kraft getretenen Geheimnisschutz nach dem GeschGehG sollten Unternehmen (hoffentlich) größtenteils bereits umgesetzt haben. Unternehmen sind gut beraten, den Stand ihres Geheimnisschutzkonzeptes anlässlich der Entwicklungen beim Whistleblowing erneut zu überprüfen und die Whistleblower-Vorgaben bereits jetzt im Rahmen der Richtlinienregelungen umzusetzen.