Hinweisgebersystem (Whistleblowing): Pflichten, Hinweisgeberschutz und unternehmerische Compliance

In der globalisierten Geschäftswelt stellt Whistleblowing – die interne oder externe Meldung von Missständen – eine Schlüsselinstitution der Unternehmenskultur und der Rechtsstaatlichkeit dar. Nach der 2019 verabschiedeten EU-Whistleblowing-Richtlinie (2019/1937/EU) hat auch Ungarn diesen Bereich umfassend geregelt: Das Gesetz XXV von 2023 über Beschwerden, Meldungen im öffentlichen Interesse und die Regeln im Zusammenhang mit der Meldung von Missständen (im Folgenden: Whistleblowing-Gesetz) trat am 24. Juli 2023 in Kraft. Im Folgenden werden die Pflichtbestandteile des Systems, die Garantien des Hinweisgeberschutzes und die praktischen Schritte dargestellt.

Rechtsrahmen

EU-Ebene

• Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates (Whistleblowing-Richtlinie) – zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden
• Die Richtlinie ist eine Mindestharmonisierung: Die Mitgliedstaaten dürfen ein höheres Schutzniveau gewähren

Ungarisches Recht

• Gesetz XXV von 2023 – über Beschwerden, Meldungen im öffentlichen Interesse und die Regeln im Zusammenhang mit der Meldung von Missständen (Whistleblowing-Gesetz)
• Gesetz I von 2012 – Arbeitsgesetzbuch (Mt.) – für arbeitsrechtliche Rechtsfolgen
• Gesetz V von 2013 – Bürgerliches Gesetzbuch (Ptk.) – Schadensersatzregeln
• DSGVO (Verordnung (EU) 2016/679) und Gesetz CXII von 2011 (Infotv.) – Datenschutzvorschriften im Zusammenhang mit Meldungen

Welche Organisationen sind verpflichtet?

Pflicht zur Einrichtung eines internen Meldesystems (Whistleblowing-Gesetz § 18)

Das Gesetz sieht gestaffelte Fristen vor:

• Arbeitgeber mit mindestens 250 Beschäftigten: Pflicht ab 17. Dezember 2023
• Arbeitgeber mit 50–249 Beschäftigten: Pflicht ab 17. Dezember 2025
• Sektoral verpflichtete Organisationen (Finanzsektor, öffentlicher Sektor usw.) – unabhängig von der Beschäftigtenzahl

Wichtig: Die Pflicht ist nicht ausschließlich an die Beschäftigtenzahl geknüpft – Organisationen, die den Vorschriften zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung (Gesetz LIII von 2017) unterliegen, sind unabhängig von der Beschäftigtenzahl verpflichtet (Whistleblowing-Gesetz § 18 Abs. 2).

Zwingende Elemente des internen Meldesystems

Anforderungen an den Betrieb (Whistleblowing-Gesetz §§ 19–22)

Das interne Meldesystem muss den folgenden zwingenden Vorschriften entsprechen:

1. Meldekanäle (§ 19)

Dem Hinweisgeber müssen mindestens folgende Meldemöglichkeiten zur Verfügung stehen:

• Schriftlich (per Post, elektronisches Formular, E-Mail)
• Mündlich (per Telefon oder persönliche Anhörung – letztere muss auf Antrag innerhalb von 15 Tagen ermöglicht werden)

2. Vertraulichkeit und Datenschutz (§ 29)

• Die Identität des Hinweisgebers muss vertraulich behandelt werden – sie darf ohne ausdrückliche Zustimmung des Hinweisgebers niemandem außer der die Untersuchung durchführenden Person offengelegt werden
• Den Betreiber des Systems trifft eine Verschwiegenheitspflicht
• Personenbezogene Daten in Meldungen sind nach den Vorschriften der DSGVO und des Infotv. zu verarbeiten

Wichtige Klarstellung: Das Gesetz schreibt Vertraulichkeit (vertrauliche Behandlung) zwingend vor, nicht technische „vollständige Anonymität.” Die Möglichkeit der anonymen Meldung kann von der Organisation bereitgestellt werden, ist aber gesetzlich nicht vorgeschrieben – anonyme Meldungen können untersucht werden (§ 20 Abs. 1), ihre Bearbeitung ist jedoch nicht verpflichtend.

3. Verfahrensfristen (§ 22)

• Innerhalb von 7 Tagen: schriftliche Eingangsbestätigung der Meldung
• Innerhalb von 30 Tagen: Durchführung der Untersuchung und Informierung des Hinweisgebers über das Ergebnis
• Verlängerung: In komplexen Fällen kann die 30-Tage-Frist einmal um weitere 30 Tage verlängert werden (insgesamt max. 60 Tage), bei gleichzeitiger Benachrichtigung des Hinweisgebers (§ 22 Abs. 4)

Was kann gemeldet werden?

Gegenstand der Meldungen (Whistleblowing-Gesetz §§ 1, 16)

Über das interne Meldesystem können folgende Verstöße gemeldet werden:

• Verstöße gegen EU-Recht in den im Anhang der Richtlinie aufgeführten Bereichen (Vergaberecht, Finanzdienstleistungen, Produktsicherheit, Umweltschutz, Steuerbetrug, Verbraucherschutz usw.)
• Verstöße gegen ungarisches Recht – im Zusammenhang mit der Tätigkeit der Organisation
• Schwere Verstöße gegen interne Vorschriften

Wichtig: Der Schutz des Gesetzes erstreckt sich nur auf Hinweisgeber, die begründet annehmen, dass die gemeldeten Informationen zum Zeitpunkt der Meldung wahr waren (Gutglaubenserfordernis – § 4 Abs. 1).

Externe Meldekanäle

Verfahren des Beauftragten für Grundrechte (Whistleblowing-Gesetz §§ 24–28)

Neben dem internen Kanal – oder anstelle dessen – kann der Hinweisgeber einen externen Meldekanal nutzen. In Ungarn ist die für den Empfang externer Meldungen zuständige Stelle der Beauftragte für Grundrechte (Ombudsman).

Die externe Meldung hängt nicht davon ab, ob der Hinweisgeber zuvor den internen Kanal genutzt hat – der Hinweisgeber kann frei zwischen den Kanälen wählen.

Hinweisgeberschutz: Verbot von Repressalien

Umfang des Schutzes (Whistleblowing-Gesetz §§ 41–43)

Das Gesetz gewährt dem Hinweisgeber strengen Schutz gegen Repressalien im Zusammenhang mit der Meldung:

Verbotene Repressalien (§ 41 Abs. 2) – unter anderem:

• Kündigung, Entlassung
• Versetzung, Degradierung
• Disziplinarmaßnahmen
• Diskriminierung
• Einschüchterung, Belästigung
• Zurückhaltung von Zahlungen

Umgekehrte Beweislast (§ 43 Abs. 5)

Eine der wichtigsten Garantien des Hinweisgeberschutzes ist die umgekehrte Beweislast:

• Erleidet der Hinweisgeber nach seiner Meldung einen Nachteil, stellt das Gesetz eine widerlegbare Vermutung (praesumptio iuris) auf: der Nachteil ist wegen der Meldung eingetreten
• Der Arbeitgeber muss beweisen, dass die Maßnahme aus einem von der Meldung unabhängigen, rechtmäßigen Grund erfolgte
• Dies ist eine widerlegbare Vermutung (nicht unwiderlegbar!) – der Arbeitgeber kann sie durch erfolgreichen Gegenbeweis widerlegen

Hinweis: Zwischen einer „unwiderlegbaren Vermutung” (praesumptio iuris et de iure) und einer „widerlegbaren Vermutung” (praesumptio iuris tantum) besteht ein wesentlicher Unterschied. Das Gesetz enthält eine widerlegbare Vermutung: der Arbeitgeber kann die Vermutung durch Beweismittel widerlegen. Gegen eine unwiderlegbare Vermutung ist kein Gegenbeweis zulässig.

Schadensersatzfolgen

Bei rechtswidrigen Repressalien kann der Hinweisgeber seinen Anspruch nach den allgemeinen Schadensersatzregeln des Bürgerlichen Gesetzbuches (§§ 6:519–6:534) geltend machen:

• Vermögensschaden: entgangenes Einkommen, Aufwendungen
• Nichtvermögensschaden: Schmerzens­geld nach § 2:52 des Bürgerlichen Gesetzbuches (sérelemdíj)

Die Höhe des Schadensersatzes wird vom Gericht unter Berücksichtigung aller Umstände des Falles festgesetzt – das Gesetz schreibt keine festen Beträge oder Multiplikatoren vor.

Sanktionen gegen den Arbeitgeber

Verwaltungsrechtliche Folgen

• Bei Nichteinrichtung oder mangelhaftem Betrieb des internen Meldesystems kann die Behörde ein Bußgeld verhängen
• Die Arbeitsaufsichtsbehörde kann arbeitsrechtliche Aspekte prüfen
• Sektorale Aufsichtsbehörden (z. B. die Ungarische Nationalbank im Finanzsektor) können in eigener Zuständigkeit handeln

Strafrechtliche Verantwortlichkeit

• Repressalien gegen einen Hinweisgeber können in bestimmten Fällen (z. B. Nötigung, Belästigung) strafrechtliche Verantwortlichkeit begründen (StGB § 195 – Nötigung, § 222 – Belästigung)
• Das Vertuschen von Missständen kann ebenfalls eine Straftat darstellen

Datenschutzrechtliche Aspekte

DSGVO-Konformität (Whistleblowing-Gesetz §§ 29–34)

Beim Betrieb des internen Meldesystems ist besonderes Augenmerk auf die datenschutzrechtlichen Anforderungen zu legen:

• Erstellung einer Datenschutzerklärung für Hinweisgeber und Betroffene
• Durchführung einer Datenschutz-Folgenabschätzung (DSFA) – Meldesysteme stellen in der Regel eine Datenverarbeitung mit hohem Risiko dar
• Aufbewahrungsfrist: Daten im Zusammenhang mit Meldungen dürfen für höchstens 5 Jahre nach Abschluss der Untersuchung aufbewahrt und müssen danach gelöscht werden (§ 34)
• Zugangsbeschränkung: Nur befugte, die Untersuchung durchführende Personen dürfen auf die Daten zugreifen

Praktische Ratschläge

Für Unternehmen

1. Systemwahl: Das Meldesystem kann intern (eigene Compliance-Abteilung) oder ausgelagert (externer Dienstleister, z. B. Rechtsanwaltskanzlei) betrieben werden – § 18 Abs. 5 erlaubt die Auslagerung ausdrücklich
2. Richtlinienentwicklung: Verabschiedung einer internen Whistleblowing-Richtlinie mit Meldekanälen, Verfahrensregeln und Rückmeldefristen
3. Schulung: Regelmäßige Information von Führungskräften und Mitarbeitern über Meldemöglichkeiten und das Repressalienverbot
4. Dokumentation: Sorgfältige Dokumentation aller Meldungen und Untersuchungen – aufgrund der umgekehrten Beweislast muss der Arbeitgeber darauf vorbereitet sein, die Rechtmäßigkeit jeder getroffenen Maßnahme zu beweisen

Für Arbeitnehmer (potenzielle Hinweisgeber)

1. Gutgläubigkeit: Eine Meldung genießt nur dann Schutz, wenn der Hinweisgeber begründet annimmt, dass die Informationen wahr sind
2. Kanalwahl: Der Hinweisgeber kann frei zwischen internem und externem Kanal (Ombudsman) wählen
3. Dokumentation: Es empfiehlt sich, die mit der Meldung zusammenhängenden Umstände festzuhalten (Daten, Kommunikation, Zeugen)
4. Rechtsberatung: In komplexen Fällen ist eine anwaltliche Beratung vor der Meldung empfehlenswert

Das Hinweisgebersystem ist nicht nur eine regulatorische Pflicht, sondern ein Instrument der Unternehmensführung und der ethischen Geschäftskultur. Das Gesetz XXV von 2023 setzt die EU-Richtlinie um und bietet einen soliden Rechtsrahmen sowohl für den Hinweisgeberschutz als auch für die Compliance-Pflichten der Organisationen – die ordnungsgemäße Anwendung des Systems liegt im gemeinsamen Interesse von Arbeitgebern und Arbeitnehmern.