Sanktionen bei fehlendem Verfahren für interne Meldungen und bei Repressalien

Katalog der Straftatbestände

Kapitel 6 des Gesetzes enthält fünf Strafvorschriften. Ihr Adressat ist eine natürliche Person: das Vorstandsmitglied, der Leiter der Einheit, der Vorgesetzte, der Beschäftigte, der Zugang zur Meldung hatte.

Fehlendes Verfahren: Geldstrafe, aber nicht nur

Art. 58 betrifft die Person, die für die Einrichtung des Verfahrens verantwortlich ist, in einer Gesellschaft also in der Regel den Vorstand, in einer öffentlichen Einheit deren Leiter. „Erheblicher Verstoß gegen die Anforderungen des Gesetzes“ ist ein unbestimmter Begriff, aber einige Situationen lassen sich kaum anders bewerten: ein Verfahren ohne Benennung der Personen, die Meldungen entgegennehmen, ohne Fristen für Eingangsbestätigung und Rückmeldung, ohne Informationen zu externen Meldungen, eingeführt ohne Konsultation der Arbeitnehmervertreter oder nie bekannt gemacht. Eine in der Arbeitsordnung angegebene E-Mail-Adresse ist kein Verfahren im Sinne von Art. 25.

Die Geldstrafe wird in Tagessätzen nach dem Strafgesetzbuch verhängt, ihre Höhe hängt also vom Einkommen des Täters ab. Die strafrechtliche Sanktion ist jedoch das kleinere Problem. Das größere ist, dass eine Organisation ohne Verfahren im Streit um Repressalien nichts hat, worauf sie ihre Verteidigung stützen könnte: Sie kann weder nachweisen, dass die Meldung entgegengenommen wurde, noch wer sie bearbeitet hat, noch dass die personelle Entscheidung ohne Kenntnis der Meldung getroffen wurde.

Behinderung einer Meldung: auch durch die Konstruktion des Kanals

Art. 54 stellt das Verhindern und erhebliche Erschweren einer Meldung unter Strafe. In der Praxis betrifft das Einschüchterung und Druck, aber die Vorschrift beschränkt sich nicht auf Verhalten gegenüber einer konkreten Person. Ein Kanal, der entgegen einem Verfahren, das Anonymität zusichert, die Angabe der Identität verlangt, ein Formular, das nur über ein Firmenkonto erreichbar ist, für Beschäftigte ohne ein solches Konto, eine „zufällig“ nicht funktionierende Meldeseite: Jedes davon kann als erhebliches Erschweren bewertet werden, wenn sich der Vorsatz nachweisen lässt.

Repressalien: strafrechtliche Sanktion neben dem Schadensersatz

Art. 55 sieht eine strafrechtliche Verantwortlichkeit für Repressalien unabhängig von der zivilrechtlichen vor: Die hinweisgebende Person hat Anspruch auf Schadensersatz von nicht weniger als dem durchschnittlichen Monatsentgelt (Art. 14), und der Täter der Repressalie, zum Beispiel ein Vorgesetzter, der einen Beschäftigten nach der Meldung entlassen hat, haftet persönlich. Beharrlichkeit, also die Wiederholung der Handlungen gegenüber derselben Person, hebt die Obergrenze auf 3 Jahre an.

Vertraulichkeitsbruch: ein Jahr für einen Satz

Art. 56 betrifft die Preisgabe der Identität der hinweisgebenden Person entgegen den Vorschriften des Gesetzes. Täter kann jede Person sein, die die Identität erfahren hat: ein Kommissionsmitglied, ein HR-Mitarbeiter, ein IT-Administrator mit Zugriff auf das Postfach. Die Bemerkung auf dem Flur „das hat Kowalski gemeldet“ erfüllt den Tatbestand. Diese Vorschrift ist das stärkste Argument dafür, den Zugang zur Identität auf ein Minimum zu beschränken und ein Protokoll zu führen, das zeigt, wer diesen Zugang hatte: Es erlaubt, die Personen auszuschließen, die ihn nicht hatten.

Falsche Meldung: Sicherung, keine Waffe

Art. 57 schützt vor dem Missbrauch des Kanals, setzt aber das Wissen voraus, dass kein Verstoß stattgefunden hat. Eine Meldung, die auf einer Fehleinschätzung beruht, übertrieben oder emotional ist, ist im Sinne dieser Vorschrift nicht falsch. Eine Organisation, die auf eine unbequeme Meldung mit einer Strafanzeige nach Art. 57 reagiert, muss damit rechnen, dass das Gericht dies als Repressalie nach Art. 55 wertet.

Kosten, die keine Artikelnummer haben

Strafrechtliche Sanktionen sind selten das, was wirklich wehtut. Vier Folgen eines fehlenden funktionierenden Kanals sind teurer:

1. Externe statt interne Meldung. Eine hinweisgebende Person, die dem internen Kanal nicht vertraut oder keine fristgerechte Antwort erhalten hat, geht zum Bürgerrechtsbeauftragten, zur Aufsichtsbehörde oder zur Presse. Die Organisation verliert die Möglichkeit, den Fall im eigenen Haus aufzuklären.
2. Streit um Repressalien mit umgekehrter Beweislast. Ohne Register, Protokoll und Trennung von Identität und Inhalt hat der Arbeitgeber keine Beweise dafür, dass die personelle Entscheidung unabhängig von der Meldung war.
3. Prüfung durch die Staatliche Arbeitsinspektion (PIP) oder die Aufsichtsbehörde. Die Prüfung fragt nach Verfahren, Befugnissen, Register, Fristen und Konsultationen. Jeder Mangel wird festgehalten, und zusammen ergeben sie den „erheblichen Verstoß“ nach Art. 58.
4. Haftung für Datenschutzverletzungen. Meldungen sind Daten mit hohem Risiko. Ein Datenabfluss aus einem ungesicherten E-Mail-Postfach ist eine DSGVO-Verletzung mit eigener Geldbuße von bis zu 4 % des Umsatzes.

Was das Risiko minimiert

• Ein Verfahren nach Art. 25, konsultiert und bekannt gemacht mit Datumsnachweis.
• Ein Kanal, der allen hinweisgebenden Personen zugänglich ist, auch anonym, wenn das Verfahren dies vorsieht.
• Fristen, die das System überwacht, nicht das Gedächtnis einer einzelnen Person.
• Identität der hinweisgebenden Person getrennt vom Inhalt, mit Zugang auf Antrag und einem Protokoll, wer sie erfahren hat.
• Schriftliche Befugnisse für jede Person mit Zugang.
• Ein Register und ein Audit-Protokoll, die sich nicht ändern lassen, denn sie sind der Beweis vor der Prüfung und vor Gericht.

sygnadesk ist um diese Liste herum gebaut: Der Einführungsassistent führt durch die Anforderungen an das Verfahren, Fristen berechnet das System, die Identität ist durch einen von einer zweiten Person genehmigten Antrag geschützt, und Register und Audit-Protokoll sind unveränderbar und für eine Prüfung exportierbar.