Whistleblowing: DSGVO-Pflichten nach EuGH-Urteil

Mit Urteil vom Dezember 2024 hat der Europäische Gerichtshof (EuGH) Deutschland wegen der verspäteten und unvollständigen Umsetzung der EU-Whistleblower-Richtlinie verurteilt. Die Entscheidung betrifft nicht nur öffentliche Institutionen, sondern vor allem Unternehmen, die interne Meldesysteme betreiben. Der EuGH kritisierte insbesondere, dass das deutsche Hinweisgeberschutzgesetz (HinSchG) zu eng gefasst sei und zentrale Anforderungen der Richtlinie nicht erfülle. Dazu zählen der unzureichende Schutz von Hinweisgebern vor Repressalien sowie fehlende klare Sanktionen bei Verstößen gegen die Meldepflicht. Für HR-Abteilungen bedeutet dies, dass bestehende Prozesse überprüft und an die verschärften Vorgaben angepasst werden müssen. ^[1][5]

Die Whistleblower-Richtlinie verpflichtet Unternehmen ab einer bestimmten Größe, interne Meldesysteme für Verstöße gegen EU-Recht einzurichten. Dazu gehören Bereiche wie Korruption, Datenschutz oder Umweltdelikte. In Deutschland trat das HinSchG mit erheblicher Verspätung in Kraft, was nun zu finanziellen Konsequenzen führt. Besonders problematisch ist, dass viele Unternehmen die gesetzlichen Anforderungen noch nicht vollständig umgesetzt haben. Dies betrifft vor allem die technische und organisatorische Ausgestaltung der Meldesysteme, die sowohl den Schutz der Hinweisgeber als auch den Datenschutz gewährleisten müssen. ^[1][3]

Ein zentraler Kritikpunkt des EuGH betrifft die datenschutzrechtlichen Anforderungen an Whistleblowing-Systeme. Da diese Systeme sensible personenbezogene Daten verarbeiten, müssen Unternehmen eine rechtliche Grundlage nach der DSGVO nachweisen. Betriebsvereinbarungen allein reichen hierfür nicht aus, wenn sie nicht vollständig DSGVO-konform sind. Dies stellt insbesondere mittelständische Unternehmen vor Herausforderungen, da sie oft keine eigenen Compliance-Abteilungen haben. Die Aufsichtsbehörden in Deutschland, Österreich und der Schweiz verschärfen bereits die Prüfungen und verhängen Bußgelder bei Verstößen. ^[7][8]

Die datenschutzrechtlichen Implikationen des EuGH-Urteils gehen über die reine Einrichtung von Meldesystemen hinaus. Unternehmen müssen sicherstellen, dass die Verarbeitung personenbezogener Daten in Whistleblowing-Systemen transparent und nachvollziehbar erfolgt. Dies erfordert nicht nur technische Maßnahmen, wie sichere Speicherung und Zugriffskontrollen, sondern auch organisatorische Vorkehrungen, wie Schulungen für Mitarbeiter und klare interne Richtlinien. Besonders kritisch ist der Umgang mit den Daten von Beschuldigten, die oft ohne ihr Wissen in Meldesysteme aufgenommen werden. ^[4][8]

Gewerkschaften und Betriebsräte fordern eine stärkere Mitbestimmung bei der Ausgestaltung von Whistleblowing-Systemen. Sie argumentieren, dass ohne klare Regelungen die Gefahr bestehe, dass Meldesysteme für Überwachungszwecke missbraucht werden könnten. Dies betrifft insbesondere die Frage, wie mit anonymen Hinweisen umgegangen wird und welche Rechte betroffene Mitarbeiter haben. In Deutschland und Österreich ist die betriebliche Mitbestimmung bereits ein zentraler Bestandteil der Diskussion, während in der Schweiz die Regelungen weniger streng sind. ^[6]

Die Umsetzung der EuGH-Vorgaben stellt Unternehmen vor erhebliche Herausforderungen, insbesondere in Bezug auf die Compliance-Kosten. Externe Beratungsleistungen zur Überprüfung und Anpassung der Meldesysteme sind deutlich nachgefragt. Dies betrifft vor allem Unternehmen, die bisher keine strukturierten Compliance-Prozesse etabliert haben. Die Aufsichtsbehörden in der DACH-Region haben bereits angekündigt, die Einhaltung der neuen Vorgaben verstärkt zu kontrollieren. Unternehmen, die keine DSGVO-konformen Prozesse nachweisen können, riskieren nicht nur Bußgelder, sondern auch Reputationsschäden. ^[1][3]

HR-Verantwortliche müssen jetzt handeln, um die neuen Anforderungen umzusetzen. Dazu gehört die Überprüfung bestehender Meldesysteme auf DSGVO-Konformität sowie die Schulung von Mitarbeitern und Führungskräften. Zudem sollten klare interne Richtlinien für den Umgang mit Hinweisen und den Schutz personenbezogener Daten erstellt werden. Die Zusammenarbeit mit Datenschutzbeauftragten und externen Beratern kann helfen, die Compliance sicherzustellen und Risiken zu minimieren. ^[7][8]