Was ein konformer Kanal tatsächlich erfordert

Vor der Frist steht eine Konstruktionsanforderung

Das meiste, was über die verfahrensrechtliche Seite der Richtlinie diskutiert wird, ist die 7-Tage/3-Monats-Frist — siehe die 7-Tage/3-Monats-Frist, erklärt. Das ist Artikel 9(1)(b) und (f). Aber Artikel 9(1) beginnt mit einer Anforderung, die noch vor all dem steht: Der Kanal selbst muss auf eine bestimmte Weise gebaut sein. Ein Kanal, der jede Frist perfekt einhält, aber nie von Anfang an sicher konzipiert wurde, hat Artikel 9 nicht wirklich erfüllt — er hatte bisher nur Glück.

Der Kanal muss von Anfang an sicher sein, nicht zufällig

Artikel 9(1)(a) verlangt, dass Meldekanäle "so konzipiert, eingerichtet und betrieben [werden], dass die Vertraulichkeit der Identität der hinweisgebenden Person und jedes in der Meldung genannten Dritten gewahrt wird." Das ist eine Anforderung an die Konstruktion des Kanals, nicht nur an dessen Ergebnisse — ein Unternehmen kann nicht darauf verweisen, dass bisher kein Datenleck passiert ist, als Beweis dafür, dass diese Anforderung erfüllt ist. Es muss von der Art und Weise gelten, wie der Kanal gebaut wurde, bevor überhaupt eine Meldung eingeht.

In der Praxis ist genau das die Stelle, an der ein gemeinsamer Posteingang oder ein generisches Ticketsystem tendenziell versagt — es gibt überhaupt keine überprüfbare Zugriffsliste. Jeder mit den gemeinsamen Zugangsdaten, oder auf einer Weiterleitungsregel, an die sich niemand mehr erinnert, kann jeden Fall lesen; nach sechs Monaten ist oft völlig unklar, wer tatsächlich Zugriff hat. Der Zugang zu einem eigens gebauten Kanal besteht aus einer definierten Menge benannter, authentifizierter Mitarbeiterkonten innerhalb des eigenen Unternehmenskontos — kein E-Mail-Alias, der über Jahre Weiterleitungen angesammelt hat. Siehe „Reicht eine E-Mail-Adresse als Meldekanal nach dem HinSchG?“ dafür, wie sich diese Lücke tatsächlich anfühlt, sobald eine Meldung im laufenden Betrieb ist.

Schriftlich, mündlich oder beides — und oft entscheidet das nationale Recht

Artikel 9(2) erlaubt dem Kanal, Meldungen schriftlich, mündlich oder in beiden Formen entgegenzunehmen. Nimmt er mündliche Meldungen an, müssen sie "telefonisch oder über andere Sprachnachrichtensysteme" möglich sein und, falls die meldende Person darum bittet, im Rahmen einer physischen Zusammenkunft innerhalb einer angemessenen Frist. Die Richtlinie allein macht einen rein textbasierten Kanal also nicht unzulässig.

Das nationale Recht geht oft weiter. Das niederländische Wbk verlangt schriftliche und mündliche Meldewege sowie ein Treffen auf Wunsch. Die italienische Aufsichtsbehörde ANAC verlangt, dass Unternehmen beide Formen gewährleisten. Deutschland geht den umgekehrten Weg: Nach der Begründung zum HinSchG genügt es, wenn Meldungen entweder mündlich oder in Textform möglich sind, eine persönliche Zusammenkunft muss auf Wunsch aber trotzdem ermöglicht werden. Prüfen Sie die Regeln Ihres Landes, bevor Sie sich auf einen rein schriftlichen Kanal festlegen. Und auch wo er freiwillig ist, zählt ein mündlicher Weg in der Praxis: Manche Menschen bringen ein Anliegen nicht zu Papier. Siehe Sprachmeldungen und Anonymisierung, einfach erklärt dafür, wie Provoxis' eigener Sprachkanal funktioniert.

Die Einrichtung des Kanals ist selbst ein Konsultationsschritt, kein einseitiger

Artikel 8(1) verlangt von den Mitgliedstaaten, sicherzustellen, dass interne Kanäle "nach Anhörung der Sozialpartner und im Einvernehmen mit ihnen, soweit dies im nationalen Recht vorgesehen ist," eingerichtet werden — im Klartext: Ein Arbeitgeber kann in der Regel nicht einfach einseitig entscheiden, wie der Kanal funktioniert, und ihn dann ausrollen. Genau welches Gremium konsultiert werden muss und wie viel Mitspracherecht es tatsächlich hat, überlässt die Richtlinie der jeweiligen nationalen Umsetzung — siehe etwa Deutschlands Mitbestimmung des Betriebsrats oder Frankreichs CSE-Konsultationspflicht dafür, wie sich das konkret in jedem Land darstellt. Die Pflicht, jemanden zu konsultieren, ist dabei jedoch keine nationale Eigenheit — sie ist die eigene Mindestvorgabe der Richtlinie; nur der Mechanismus variiert je nach Land.

Selbst betreiben oder an einen Dritten übergeben — beides ist erlaubt

Artikel 8(5) erlaubt ausdrücklich, den Kanal entweder intern zu betreiben, durch eine für diesen Zweck benannte Person oder Abteilung, oder extern, durch einen Drittanbieter — vorausgesetzt, die Schutzmaßnahmen von Artikel 9 gelten so oder so gleichermaßen. Die Auslagerung des Kanals senkt die Anforderungen nicht; sie verlagert nur, wer dafür verantwortlich ist, sie zu erfüllen.

Auch der öffentliche Sektor ist erfasst

Artikel 8(9) dehnt dieselbe Pflicht auf juristische Personen des öffentlichen Sektors aus, nicht nur auf private Unternehmen — mit einer eingebauten Option für Mitgliedstaaten: Sie können Gemeinden mit weniger als 10.000 Einwohnern oder weniger als 50 Beschäftigten von der Anforderung ausnehmen und mehreren Gemeinden erlauben, sich einen Kanal zu teilen. Wo der Länderleitfaden eines Landes eine Schwelle oder Ausnahme für den öffentlichen Sektor erwähnt — etwa Frankreichs — wird dort diese Bestimmung national umgesetzt, nicht eine unabhängige nationale Regel.

Rechtsgrundlage

• Art. 9(1)(a), Richtlinie (EU) 2019/1937 — die Anforderung an ein sicheres Design, das die Vertraulichkeit der Identität einer meldenden Person schützt.
• Art. 9(2) — Meldungen schriftlich, mündlich oder in beiden Formen; mündliche Meldungen per Telefon oder Sprachnachricht, sowie eine physische Zusammenkunft auf Anfrage.
• Art. 8(1) — die Einrichtung des Kanals nach Konsultation der Sozialpartner, soweit im nationalen Recht vorgesehen.
• Art. 8(5) — die Wahl zwischen internem Betrieb des Kanals oder durch einen Drittanbieter.
• Art. 8(9) — die Pflicht für den öffentlichen Sektor, und die Option für Mitgliedstaaten, kleine Gemeinden auszunehmen.