Da keine einheitlichen gesetzlichen Regelungen und Pflichten zur Einführung eines Whistleblowingsystems existieren, ist die praktische Umsetzung dem Arbeitgeber überlassen. Dabei sind grundlegende Entscheidungen des Arbeitgebers zu treffen, die bspw. die Anonymität des Whistleblowers oder auch den Schutz personenbezogener Daten betreffen.

Wie eine Whistleblowingstelle aufgebaut werden soll, bleibt dem Arbeitgeber überlassen. Ganz maßgeblich sind dabei die jeweiligen Gegebenheiten des Unternehmens. Bei größeren Unternehmen lohnt sich ggf. eine interne Whistleblowingstelle, bei kleineren Unternehmen ist es sonnvoller diese an Externe zu verlagern, da die Mitarbeiter sich besser kennen. Dementsprechend wäre damit die Wahrscheinlichkeit höher, dass Hinweise nicht mehr anonym bleiben. Beim externen Whistleblowing sollte allerdings vorher der Arbeitgeber eingeschaltet werden. D.h. die Offenbarung eines Missstandes gegenüber Behörden oder der Öffentlichkeit ist hingegen abseits gesetzlicher Offenlegungspflichten, wie § 138 StGB, ohne vorherige Einschaltung des Arbeitgebers, als grundsätzlich unzulässig anzusehen. Die Interessen des Arbeitgebers gebieten es, stets zunächst einmal innerbetriebliche Hilfe einzufordern. Der Arbeitgeber soll nicht leichtfertig irgendwelchen Anschuldigungen ausgesetzt werden. Nach dem Ultima-Ratio-Prinzip ist es jedoch für Arbeitnehmer zulässig sich an Behörden bzw. externe öffentliche Stellen zu wenden, wenn sich der Arbeitnehmer zuvor ernsthaft um eine Klärung bemüht hat und die Anzeige auch nicht leichtfertig erfolgt ist – soweit der Arbeitgeber der Beschwerde nicht abhilft. Im Einzelfall kann auch von einer vorherigen internen Meldung ausnahmsweise abgesehen werden, wenn es um schwerwiegende Straftaten geht, insbesondere wenn diese der Arbeitgeber selbst begeht.

Anonymität

Grundsätzlich hat der Arbeitgeber abzuwägen ob er dem Whistleblower Anonymität ermöglichen möchte oder nicht. Eine Verpflichtung gibt es prinzipiell nicht. Ausnahmen bestehen für Unternehmen unter Bankaufsicht; hier besteht die Pflicht der Anonymität gem. § 25a I S. 6 Nr. 3 KWG. Es wird ein Prozess verlangt, der es den Mitarbeitern ermöglicht, „unter Wahrung der Vertraulichkeit und Identität“ mögliche Verstöße zu berichten.   

Themenbereiche

Die Themenvielfalt von Whistleblowing ist groß. Es kann sich dabei um jeden internen oder externen Regelverstoß handeln. Typische Fälle sind meistens Verstöße gegen arbeitsrechtliche Vorschriften oder korrupte Handlungen. In einem Spannungsverhältnis zum Whistleblowing stehen allerdings der strafbewehrte Schutz von Geschäfts- und Betriebsgeheimnissen. Die strafrechtliche Seite ist daher zwingend in die Diskussion zum Whistleblowerschutz mit einzubeziehen. Die für den Whistleblower bestehenden strafrechtlichen Risiken ergeben sich insbesondere aus den strafbewehrten Geheimnisschutzvorschriften. In Betracht kommen Geheimnisschutzvorschriften aus dem Strafgesetzbuch (§§ 93 ff, 201 ff., 353b2, 355 StGB) und Vorschriften aus dem Nebenstrafrecht (§ 17 UWG, § 333 HGB, § 404 AktG, § 85 GmbHG, § 151 GenG, § 315 UmwG, § 19 PublG, § 120 BetrVG und § 138 VAG).

Das Whistleblowing könnte auch durch das Datenschutzrecht eingeschränkt sein. Bei jeder Anzeige im Rahmen eines betriebsinternen Whistleblowinsystems, welche das persönliche Verhalten eines Mitarbeiters betrifft, sind personenbezogene Daten gem. § 3 Abs. 1 BDSG betroffen, deren Erhebung, Verarbeitung und Nutzung an bestimmte Voraussetzungen zum Schutz der angezeigten Person geknüpft sind. Je nach Gegenstand des Hinweises kann dies dennoch gem. § 28 Abs. 1 BDSG zulässig sein. Mit Blick auf die datenschutzrechtlichen Prinzipien der Fairness und Transparenz ist dabei jedoch das anonyme Anzeigen problematisch. § 4 Abs. 2 BDSG macht deutlich, dass dem Betroffenen grundsätzlich die Möglichkeit eröffnet werden muss, über personenbezogene Daten selbst zu entscheiden.

Konsequenzen

Nachdem ein Hinweis eingegangen ist und die Vermutung einer Rechtsverletzung naheliegt, stellt sich natürlich die Frage, welche Konsequenzen daraus folgen und ob eine Ermittlungspflicht besteht.

Grundsätzlich hat der Arbeitgeber selbst zu entscheiden, ob und wie er selbst ermittelt und ob er die gewonnenen Ergebnisse an eine Behörde weiterleitet. Eine mittelbare Pflicht kann sich für den Betriebsinhaber aus § 130 Abs. 1 OWiG ergeben. Ansonsten wird der Grundsatz noch teilweise von Anzeige- und Ermittlungspflichten des Straf- und Aufsichtsrechts überlagert. Siehe näheres dazu unten.

Hinweisverfahren und interne Richtlinien 

Ein höchst vertraulicher Kommunikationskanal zwischen den Whistleblowern und dem Fallbetreuer ist der Kernpunkt eines Whistleblowingsystems in Deutschland. Es gibt genügend zuverlässige Dienstleister, welche die geeignete Technologie, IT Sicherheit, Datenschutz und Expertise für ein solches elektronisches System mit Fallmanagement (auch Case Management genannt) am Markt anbieten. Das Whistleblowingsystem, das die Unternehmensorganisation abbildet, sollte in einem Prozessmanagementsystem integriert sein. Dieses System übernimmt die Steuerung der Fälle, so dass die Hinweise ihre richtigen Ansprechpartner sofort erreichen können. Das interne Verfahren, das sich unter dieser Steuerung versteckt, ist von jeder Organisation selbst zu bestimmen: Geltungsbereich, Anonymität, Maßregelungsschutz etc. Es gibt kein spezifisches Gesetz in Deutschland, die das interne Verfahren und die Abstimmungsrunde vorsieht. Das Verfahren sollte vorab mit dem Datenschutzbeauftragten geprüft und mit dem Vorstand und/oder der Arbeitnehmervertretung z.B. Betriebsrat abgestimmt werden. Das interne Whistleblowingverfahren ist dagegen eine interne Angelegenheit und soll nicht detailliert im Verhaltenskodex auftauchen, da es sich dabei oft um eine öffentliche Richtlinie auf der Webseite des Unternehmens handelt. Es sollte in einem separaten Dokument festgehalten werden. Dieses Dokument kann auch eine Betriebsvereinbarung sein.