Das Gesetz 2/2023 vom 20. Februar zur Regulierung des Schutzes von Personen, die Verstöße gegen Vorschriften melden, und zur Korruptionsbekämpfung setzt die europäische Richtlinie 2019/1937 (die Hinweisgeberrichtlinie) in spanisches Recht um. Die Verordnung verpflichtet Unternehmen mit 50 oder mehr Beschäftigten, politische Parteien, Gewerkschaften und öffentlich geförderte Stiftungen zur Einrichtung eines internen Meldekanals. Für die meisten privatwirtschaftlichen Einrichtungen sind die Umsetzungsfristen bereits abgelaufen — Compliance ist damit eine unmittelbare operative Priorität und keine Zukunftsplanung.
Kontext: Die Hinweisgeberrichtlinie und Spaniens verzögerte Umsetzung
Die Richtlinie 2019/1937/EU des Europäischen Parlaments und des Rates vom 23. Oktober 2019 legte eine Umsetzungsfrist bis zum 17. Dezember 2021 fest. Spanien verpasste diese Frist wie mehrere andere Mitgliedstaaten: Das Gesetz 2/2023 wurde erst am 20. Februar 2023 im BOE veröffentlicht, mehr als ein Jahr verspätet. Diese Verzögerung enthob Unternehmen nicht von ihren Compliance-Pflichten: Im Übergangszeitraum konnte die Richtlinie direkt gegenüber öffentlichen Stellen geltend gemacht werden, und viele privatwirtschaftliche Organisationen entschieden sich für eine frühe Einrichtung von Meldekanälen.
Das Gesetz 2/2023 geht über eine einfache Umsetzung hinaus. Es erweitert den Schutzumfang und führt zusätzliche Verpflichtungen ein. Insbesondere erstreckt es die Kanalpflicht auf politische Parteien, Gewerkschaften und Arbeitgeberverbände, die jährliche öffentliche Mittel von mehr als 100.000 Euro erhalten, und erfasst Verstöße, die von der Richtlinie nicht direkt angesprochen werden, einschließlich solcher im Zusammenhang mit Produktsicherheit, Umweltschutz und öffentlichem Auftragswesen.
Anwendungsbereich
Privatrechtliche Einrichtungen mit mehr als 249 Beschäftigten mussten den Kanal bis zum 13. Juni 2023 einrichten. Jene mit 50 bis 249 Beschäftigten hatten eine verlängerte Frist bis zum 1. Dezember 2023. Öffentliche Einrichtungen unabhängig von ihrer Größe waren ebenfalls ab Inkrafttreten des Gesetzes erfasst.
Der Schwellenwert von 50 Beschäftigten wird anhand des Jahresdurchschnitts des vorangegangenen Kalenderjahres berechnet, wobei sowohl unbefristete als auch auf mehr als einen Monat befristete Verträge gezählt werden. Unternehmensgruppen, die gemeinsam mehr als 50 Beschäftigte haben, können einen einzigen gemeinsamen Kanal für alle Gruppenunternehmen einrichten, sofern die Unabhängigkeit des Kanalmanagements und die Vertraulichkeit jedes Hinweisgebers gewährleistet sind.
Unternehmen mit weniger als 50 Beschäftigten fallen nicht in den obligatorischen Anwendungsbereich, können jedoch freiwillig einen Kanal nach denselben Standards einrichten. In der Praxis entscheiden sich viele KMU mit öffentlichen Aufträgen oder als Teil der Lieferketten größerer Gruppen für eine freiwillige Einrichtung.
Anforderungen an den Kanal
Der Kanal muss die Vertraulichkeit der Identität des Hinweisgebers während des gesamten Prozesses gewährleisten, außer wenn eine Offenlegung im Rahmen gerichtlicher Ermittlungen zwingend erforderlich ist. Der Kanalmanager — intern oder extern — hat 7 Tage Zeit zur Empfangsbestätigung und 3 Monate zur Untersuchung und Antwort. Das Gesetz verbietet ausdrücklich Vergeltungsmaßnahmen gegen Hinweisgeber.
Die technischen und organisatorischen Anforderungen sind spezifisch:
Vertraulichkeit: Das System muss sicherstellen, dass die Identität des Hinweisgebers für niemanden außer dem Kanalmanager zugänglich ist, auch nicht intern. Dies bedeutet, dass der Kanal nicht direkt von der Personalabteilung oder der Unternehmensleitung verwaltet werden kann, es sei denn, organisatorische Maßnahmen garantieren deren Unabhängigkeit. Die meisten mittleren und großen Unternehmen entscheiden sich für die Auslagerung des Kanalmanagements an einen spezialisierten externen Anbieter oder unabhängigen Rechtsberater.
Anonyme Meldungen: Im Gegensatz zur Optionalität, die die Richtlinie erlaubt, schreibt das spanische Recht vor, dass Kanäle anonyme Meldungen akzeptieren müssen. Der Manager muss ein bidirektionales Kommunikationssystem mit dem anonymen Hinweisgeber aufrechterhalten, das die Anforderung von Klarstellungen oder zusätzlichen Informationen ermöglicht, ohne seine Identität preiszugeben.
Antwortfristen: Die Empfangsbestätigung muss innerhalb von maximal sieben Werktagen nach Eingang der Mitteilung erteilt werden. Das Ergebnis der Untersuchung und etwaige ergriffene Maßnahmen müssen dem Hinweisgeber innerhalb von maximal drei Monaten nach Bestätigung mitgeteilt werden, in besonders komplexen Fällen verlängerbar um weitere drei Monate.
Vergeltungsverbot: Das Gesetz etabliert einen verstärkten Schutz vor Vergeltungsmaßnahmen: Die Beweislast dafür, dass eine gegen einen Hinweisgeber ergriffene Maßnahme — Kündigung, Sanktion, Änderung der Arbeitsbedingungen — keine Vergeltungsmaßnahme ist, liegt beim Arbeitgeber. Diese Umkehr der Beweislast hat direkte praktische Implikationen für die Verwaltung von Arbeitsverhältnissen mit Arbeitnehmern, die eine Meldung eingereicht haben.
Sanktionen
Das Durchsetzungsregime unterscheidet zwischen besonders schweren Vergehen (Bußgelder bis zu einer Million Euro für juristische Personen), schweren und leichten Vergehen. Das Fehlen des Kanals oder sein unzureichendes Funktionieren stellt ein besonders schweres Vergehen dar.
Besonders schwere Vergehen umfassen auch Vergeltungsmaßnahmen gegen Hinweisgeber, unbefugte Offenlegung der Identität eines Hinweisgebers und Behinderung von Ermittlungen. Schwere Vergehen betreffen die Nichteinhaltung der Managementfristen oder das Versäumnis, Empfangsbestätigungen auszustellen. Leichte Vergehen erfassen geringfügige Verfahrensunregelmäßigkeiten.
Für Einzelpersonen, die in beruflicher Eigenschaft handeln, beträgt das Höchstbußgeld für besonders schwere Vergehen 300.000 Euro. In beiden Fällen kann die Sanktionsentscheidung die Veröffentlichung der Sanktion einschließen, mit entsprechendem Reputationsschaden.
Die zuständige Aufsichtsbehörde auf nationaler Ebene ist die Unabhängige Behörde für Hinweisgeberschutz (A.A.I.), deren Einrichtung das Gesetz selbst vorsah, die bis Ende 2023 jedoch ihre formelle Konstituierung noch nicht abgeschlossen hatte.
Integration in den Rahmen der strafrechtlichen Compliance
Die Einrichtung eines wirksamen Meldekanals ist nicht nur eine gesetzliche Verpflichtung gemäß Gesetz 2/2023 — sie ist auch ein grundlegendes Element des Modells zur Verhinderung strafrechtlicher Haftung, das Artikel 31 bis des Strafgesetzbuchs für juristische Personen verlangt, um von strafrechtlicher Haftung befreit oder eine Strafmilderung zu erhalten. Die Kanalanforderungen des Strafgesetzbuches und des Gesetzes 2/2023 sind kompatibel und ergänzend: Ein gemäß Gesetz 2/2023 konzipierter Kanal kann gleichzeitig als Meldemechanismus für das strafrechtliche Compliance-Modell dienen, sofern er auch die für die Tätigkeiten des Unternehmens relevanten Straftaten abdeckt.
Diese Integration reduziert Betriebskosten und vermeidet Kanalverdoppelung, erfordert jedoch, dass der Kanalmanager eine spezifische Ausbildung sowohl im Hinweisgeberrecht als auch in der strafrechtlichen Compliance hat. Ein technisch konformer Kanal mit mangelhaften Untersuchungsverfahren kann unzureichend sein, um die gemäß Artikel 31 bis des Strafgesetzbuches erforderliche Sorgfalt nachzuweisen.
Umsetzungsempfehlungen
Unternehmen, die noch keinen Kanal haben oder einen vor Gesetz 2/2023 eingerichteten Kanal ohne aktuelle Anforderungen besitzen, sollten einen Prüf- und Anpassungsprozess in vier Schritten durchführen: erstens prüfen, ob die Einrichtung in den Anwendungsbereich des Gesetzes fällt und welche Frist galt; zweitens bestehende Dokumentation — Kanalrichtlinie, Untersuchungsverfahren, Datenschutzhinweis — anhand der gesetzlichen Anforderungen prüfen; drittens die technologische Plattform implementieren oder anpassen, um Vertraulichkeit und anonyme bidirektionale Kommunikation zu gewährleisten; und viertens den Kanalmanager schulen und das gesamte Personal über Existenz und Funktionsweise informieren.
Bei BMC bieten wir die Konzeption und Umsetzung von Hinweisgeberkanälen als Teil unserer Compliance-Dienstleistungen an. Unsere rechtlichen Compliance-Dienstleistungen ansehen.
