Vertraulichkeit und Rechtsschutz, erklärt

Zwei verschiedene Schutzmechanismen, oft verwechselt

"Vertraulichkeit" und "Rechtsschutz" werden oft als ein und dasselbe behandelt, aber die Richtlinie regelt sie als zwei getrennte Garantien, in zwei verschiedenen Artikeln, mit zwei verschiedenen Aufgaben: Artikel 16 regelt, wer die Identität einer meldenden Person erfahren darf; Artikel 21 regelt, ob die Handlung des Meldens selbst in einem rechtlichen Verfahren gegen sie verwendet werden kann. Ein Kanal — oder ein Unternehmen — kann das eine richtig machen und das andere falsch.

Die Vertraulichkeitspflicht: wer es erfahren darf

Artikel 16(1) ist eindeutig: Die Identität einer meldenden Person darf ohne deren ausdrückliche Zustimmung niemandem außer den zur Entgegennahme oder Weiterverfolgung von Meldungen befugten Mitarbeitern offengelegt werden. Nicht "angemessen privat gehalten" — auf eine konkrete, namentlich festgelegte Personengruppe beschränkt, standardmäßig.

Geschäftsgeheimnisse unterliegen einer eigenen Version derselben Pflicht: Artikel 16(4) verlangt von einer zuständigen Behörde, die eine Meldung mit Geschäftsgeheimnissen erhält, diese nicht über das hinaus zu nutzen oder offenzulegen, was für eine ordnungsgemäße Weiterverfolgung erforderlich ist. Vertraulichkeit betrifft nicht nur den Namen der meldenden Person — sie erstreckt sich auf sensibles Material, das die Meldung selbst enthalten könnte.

Wann die Vertraulichkeit aufgehoben werden darf — und was zuvor passieren muss

Artikel 16(2) erlaubt die Offenlegung der Identität einer meldenden Person, wo dies eine notwendige und verhältnismäßige Pflicht nach Unions- oder nationalem Recht ist — im Rahmen einer Untersuchung durch eine nationale Behörde oder eines Gerichtsverfahrens. Das ist kein Schlupfloch, das ein Unternehmen nach Belieben nutzen kann; es ist ausdrücklich an ein bereits laufendes rechtliches Verfahren gebunden. Selbst dann verlangt Artikel 16(3) angemessene Schutzmaßnahmen, und die meldende Person sollte schriftlich informiert werden, bevor die Offenlegung geschieht — es sei denn, eine vorherige Information würde die Untersuchung oder das Verfahren gefährden, zu dem sie gehört.

Der Haftungsschild: Melden selbst kann nicht gegen Sie verwendet werden

Getrennt von der Vertraulichkeit schützt Artikel 21 eine meldende Person vor einer Kategorie rechtlicher Konsequenzen, die es schon vor der Richtlinie gab: verklagt oder strafrechtlich verfolgt zu werden für die Handlung des Meldens. Zwei konkrete Schutzmechanismen:

• Beschaffung oder Zugriff auf die Information. Artikel 21(3) schützt eine meldende Person vor Haftung dafür, wie sie an die gemeldeten oder offengelegten Informationen gelangt ist — vorausgesetzt, die Beschaffung selbst stellte keine eigenständige Straftat dar. Ein Dokument zu lesen, das man nicht zugesandt bekam, zu dem man aber rechtmäßigen Zugang hatte, wird nicht allein deshalb sanktioniert, weil es zu einer Meldung geführt hat; in ein System einzudringen, um es zu beschaffen, wäre eine ganz andere Sache, außerhalb dieses Schutzes.
• Verklagt werden wegen der Meldung selbst. Artikel 21(7) schützt eine meldende Person vor Haftung in rechtlichen Verfahren wegen Verleumdung, Urheberrechtsverletzung, Verletzung des Geschäftsgeheimnisses, Verletzung von Datenschutzvorschriften, Offenlegung von Geschäftsgeheimnissen oder Schadensersatzansprüchen nach privatem, öffentlichem oder kollektivem Arbeitsrecht — wo diese Verfahren wegen der Meldung angestrengt werden. Eine meldende Person kann sich darauf berufen, eine geschützte Meldung gemacht zu haben, um die Abweisung eines solchen Verfahrens von vornherein zu erwirken.

Beide Schutzmechanismen teilen dieselbe Voraussetzung wie der übrige Schutz der Richtlinie: Die meldende Person braucht hinreichenden Grund zu der Annahme, dass die Information wahr war und dass das Melden notwendig war, um den Verstoß aufzudecken (Art. 6(1)) — keine Gewissheit, aber einen echten, vernünftigen Glauben, keine Vermutung und keine wissentlich falsche Behauptung.

Was der Schutz nicht abdeckt

Artikel 21(4) zieht eine klare Grenze: Die Haftung für Handlungen oder Unterlassungen, die nichts mit der Meldung oder öffentlichen Offenlegung selbst zu tun haben, richtet sich weiterhin nach dem allgemeinen Recht, genau wie schon immer. Der Schutz betrifft die Meldung — er immunisiert nicht rückwirkend unabhängiges Fehlverhalten nur, weil dieselbe Person irgendwann auch eine Meldung gemacht hat.

Rechtsgrundlage

• Art. 16(1), Richtlinie (EU) 2019/1937 — die Identität ist ohne ausdrückliche Zustimmung der meldenden Person auf befugte Mitarbeiter beschränkt.
• Art. 16(2)–(3) — die enge Ausnahme für Untersuchungen oder Gerichtsverfahren, und die damit verbundenen Schutzmaßnahmen und die Pflicht zur vorherigen Information.
• Art. 16(4) — die parallele Pflicht in Bezug auf Geschäftsgeheimnisse in einer Meldung.
• Art. 6(1) — die Voraussetzung des "hinreichenden Grundes zu der Annahme", die für den gesamten Schutz der Richtlinie gilt.
• Art. 21(3) — die Haftungsbefreiung für die Beschaffung oder den Zugriff auf die gemeldete Information.
• Art. 21(4) — die Grenze: unabhängige Handlungen oder Unterlassungen bleiben dem allgemeinen Recht unterworfen.
• Art. 21(7) — die Haftungsbefreiung in rechtlichen Verfahren, die wegen der Meldung selbst angestrengt werden (Verleumdung, Urheberrecht, Geheimnisschutz, Datenschutz, Geschäftsgeheimnisse, Arbeitsrecht).