Hinweisgebersystem (Canal de Denuncias)

Die EU-Hinweisgeberrichtlinie

Die EU-Richtlinie 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, schuf einen gemeinsamen Mindestrahmen für alle EU-Mitgliedstaaten zum Schutz von Hinweisgebern. Ihre Kernziele sind:

• Sicherstellen, dass Personen, die Verstöße gegen das EU-Recht melden, vor Vergeltungsmaßnahmen geschützt werden
• Organisationen ab bestimmten Schwellenwerten zur Einrichtung interner Meldekanäle verpflichten
• Zuständige Behörden für die Entgegennahme externer Meldungen benennen
• Die Vertraulichkeit der Identität des Hinweisgebers garantieren

Spaniens Umsetzung: Gesetz 2/2023

Spanien setzte die Richtlinie durch die Ley 2/2023 de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción um. Das Gesetz trat im März 2023 in Kraft, mit einem gestaffelten Umsetzungszeitplan:

• März 2023: Öffentliche Einrichtungen und Privatunternehmen mit 250 oder mehr Mitarbeitern
• Dezember 2023: Privatunternehmen mit 50 bis 249 Mitarbeitern

Spanien ging in mehreren wichtigen Punkten über den EU-Mindeststandard hinaus — das Gesetz erfasst nicht nur Verstöße gegen EU-Recht, sondern auch gegen spanisches nationales Recht und erstreckt sich auf Straftaten und Ordnungswidrigkeiten in allen Regulierungsbereichen (nicht nur die spezifischen EU-Rechtsbereiche der Richtlinie).

Wer muss die Anforderungen erfüllen?

Gemäß Gesetz 2/2023 müssen folgende Einrichtungen einen internen Meldekanal einrichten:

• Privatsektor: Alle Unternehmen mit 50 oder mehr Mitarbeitern
• Politische Parteien, Gewerkschaften und Arbeitgeberverbände, die öffentliche Mittel erhalten
• Stiftungen: Unabhängig von der Größe, wenn öffentliche Mittel empfangen werden
• Öffentlicher Sektor: Alle öffentlichen Verwaltungen, staatseigene Unternehmen und Körperschaften des öffentlichen Rechts
• Unternehmen im Finanzdienstleistungsbereich: Unabhängig von der Größe (aufgrund sektorspezifischer Regulierung)

Bei Unternehmensgruppen muss jede Tochtergesellschaft mit 50 oder mehr Mitarbeitern einen eigenen Kanal einrichten oder die Gruppe kann einen gemeinsamen Kanal einrichten (unter der Voraussetzung, dass Vertraulichkeitsanforderungen für jede Einheit eingehalten werden).

Anforderungen an einen rechtskonformen Hinweisgeberkanal

Ein rechtskonformer Kanal gemäß Gesetz 2/2023 muss:

• Anonyme Meldungen ermöglichen (das Gesetz schreibt keine Anonymität vor, verlangt aber die Entgegennahme und Bearbeitung anonymer Meldungen)
• Die Identität des Hinweisgebers und aller in der Meldung genannten Dritten schützen (Vertraulichkeit ist zwingend vorgeschrieben)
• Innerhalb von 7 Kalendertagen eine Eingangsbestätigung versenden
• Dem Hinweisgeber innerhalb von 3 Monaten eine inhaltliche Antwort geben (in komplexen Fällen auf 6 Monate verlängerbar)
• Unabhängig sein — von einer funktional unabhängig benannten Person oder Stelle verwaltet werden
• Sowohl schriftliche als auch mündliche Meldungen ermöglichen (die mündliche Option kann durch eine Telefonhotline mit Sprachaufzeichnung oder einem persönlichen Gespräch erfüllt werden)
• Sicher sein — ausreichend gegen unbefugten Zugriff geschützt

Datenschutzanforderungen (Schnittstelle zur DSGVO)

Der Hinweisgeberkanal verarbeitet zwangsläufig personenbezogene Daten — die Identität des Hinweisgebers (auch wenn diese nicht an Ermittler weitergegeben wird), die Identität der beschuldigten Person und die Details einer etwaigen Untersuchung. Das bedeutet:

• Eine Datenschutz-Folgenabschätzung (DSFA) ist in der Regel erforderlich (systematische Verarbeitung von Daten im Zusammenhang mit mutmaßlichem Fehlverhalten fällt unter die Hochrisikokategorien des DSGVO-Art. 35)
• Die Kanaldaten müssen von anderen HR-Datensystemen getrennt gespeichert werden
• Aufbewahrungsfristen gelten: Die Daten müssen nach Abschluss der Untersuchung und aller daraus resultierenden Verfahren gelöscht werden (in der Regel nicht länger als 10 Jahre)
• Das Recht der beschuldigten Person auf Information muss sorgfältig gehandhabt werden — sie muss letztendlich benachrichtigt werden, die Benachrichtigung kann jedoch während der Untersuchung aufgeschoben werden

Die Anforderung des unabhängigen Kanalverwalters

Gesetz 2/2023 verlangt, dass der Kanal von einer zu diesem Zweck mit funktionaler Unabhängigkeit benannten Person oder Stelle verwaltet wird. Für kleinere Unternehmen sind das typischerweise:

• Ein interner Compliance-Beauftragter (sofern echte Unabhängigkeit gewährleistet ist)
• Ein externer Drittanbieter, der auf die Verwaltung von Hinweisgebersystemen spezialisiert ist
• Ein externer Rechtsanwalt, der den Kanal im Rahmen eines Dienstleistungsvertrags verwaltet

Das externe Modell wird kleineren Organisationen empfohlen, bei denen echte Unabhängigkeit von der Geschäftsführung intern schwer zu gewährleisten ist, und insbesondere wenn Meldungen das leitende Management betreffen könnten.

Strafen bei Nichteinhaltung

Die Behörde für den Schutz von Informanten (Autoridad Independiente de Protección del Informante — A.A.I.) überwacht die Einhaltung des Gesetzes 2/2023. Strafen:

• Sehr schwere Verstöße (z. B. Vergeltungsmaßnahmen gegen Hinweisgeber, Vernichtung von Beweismitteln): bis zu 1 Million EUR für private Einrichtungen; höher für öffentliche Einrichtungen
• Schwere Verstöße (z. B. Verletzung der Vertraulichkeit, Nichteinrichtung eines Kanals): bis zu 300.000 EUR
• Geringfügige Verstöße (Verfahrensverstöße): bis zu 100.000 EUR

Wie BMC helfen kann

Wir implementieren rechtskonforme Hinweisgebersysteme für Unternehmen — von der Kanalgestaltung über die Erstellung von Richtlinien, die DSFA, Mitarbeiterkommunikation und Schulungen, die Benennung eines unabhängigen Kanalverwalters bis hin zur laufenden Fallbearbeitung und jährlichen Berichterstattung an den Vorstand.