Bulgarisches Whistleblower-Gesetz "ЗЗЛПСПОИН"

Bulgarien hat seinen Hinweisgeberschutz einer ungewöhnlichen Behörde übertragen. Die Kommission für den Schutz personenbezogener Daten betreibt den staatlichen Meldekanal. Das Gesetz zum Schutz von Personen, die Informationen über Verstöße melden oder öffentlich offenlegen (ЗЗЛПСПОИН) lässt anonyme Meldungen nicht zu und berücksichtigt nichts, was älter als zwei Jahre ist. Wer den internen Kanal auslässt, riskiert als Unternehmen ein Bußgeld von bis zu 20.000 Lewa. So funktionieren die Regeln.

Wen und was schützt das Gesetz?

Das Gesetz deckt ein weites Feld ab. Eine Meldung kann einen Verstoß gegen EU-Recht aufzeigen. Dazu gehören das öffentliche Auftragswesen, Finanzdienstleistungen und die Produktsicherheit. Erfasst sind auch die Verkehrssicherheit, die Umwelt, die öffentliche Gesundheit und der Datenschutz. Doch Bulgarien ging weiter, als die Richtlinie verlangt. Das Gesetz erfasst jede gewöhnliche Straftat, von der ein Beschäftigter bei der Arbeit erfährt. Es erfasst zudem bulgarische Vorschriften zum Arbeitsrecht, zum öffentlichen Dienst und zu öffentlichen Forderungen. So kann ein Beschäftigter einen Diebstahl oder die Vertuschung eines Sicherheitsmangels melden, nicht nur einen Verstoß gegen EU-Recht.

"Dieses Gesetz gilt für Meldungen oder die öffentliche Offenlegung von Informationen über ... eine Straftat allgemeiner Art, von der eine Person nach Artikel 5 im Zusammenhang mit der Ausübung ihrer Tätigkeit Kenntnis erlangt hat."
Artikel 3 Absatz 1 des Gesetzes zum Schutz von Personen, die Verstöße melden

Der Schutz erstreckt sich auf einen langen Personenkreis. Er umfasst Arbeitnehmer und Beamte. Auch Selbstständige, Auftragnehmer und Lieferanten sind eingeschlossen. Ebenso Freiwillige und Praktikanten. Der Schutz erstreckt sich auf Organmitglieder, Anteilseigner und den Alleininhaber eines Unternehmens. Er erreicht sogar einen Bewerber, der während des Einstellungsverfahrens von einem Verstoß erfuhr, und einen Beschäftigten, dessen Vertrag bereits beendet ist. Auch Helfer und Angehörige sind geschützt, da sie wegen der Meldung eines anderen Vergeltung erfahren können.

Einige Bereiche liegen außerhalb des Gesetzes. Es berührt keine Verschlusssachen und keine Verteidigungsgeschäfte, die von den EU-Verträgen erfasst sind. Das anwaltliche Berufsgeheimnis ist ausgenommen, sodass zur Verschwiegenheit verpflichtete Anwälte geschützt bleiben. Auch die ärztliche Schweigepflicht ist ausgenommen. Ebenso die richterliche Beratung und die Regeln des Strafverfahrens.

Welche Arbeitgeber müssen einen Kanal einrichten?

Die Pflicht trifft jeden Arbeitgeber des öffentlichen Sektors. Sie trifft auch private Unternehmen mit 50 oder mehr Beschäftigten. In manchen Bereichen spielt die Größe keine Rolle. Ein Unternehmen im Finanzwesen oder in der Geldwäschebekämpfung muss unabhängig von der Beschäftigtenzahl einen Kanal einrichten. Dasselbe gilt für weitere aufgeführte EU-Rechtsakte. Kleine Gemeinden erhalten eine Erleichterung. Eine Gemeinde mit weniger als 10.000 Einwohnern darf Ressourcen mit anderen teilen. Das gilt auch für eine Gemeinde mit weniger als 50 Beschäftigten.

Die Pflicht kam in Wellen. Das Gesetz trat am 4. Mai 2023 in Kraft, drei Monate nach seiner Veröffentlichung. Öffentliche Stellen und größere private Unternehmen mussten dann bereit sein. Private Unternehmen mit 50 bis 249 Beschäftigten erhielten mehr Zeit. Ihre Frist endete am 17. Dezember 2023. Diese mittelgroßen Unternehmen dürfen ebenfalls einen gemeinsamen Kanal betreiben. Sie können eine Person oder eine Einheit benennen, die Meldungen für die gesamte Gruppe bearbeitet.

Jeder verpflichtete Arbeitgeber muss bekanntgeben, wie gemeldet werden kann. Die Angaben gehören auf seine Website und in seine Räumlichkeiten. Und er muss seine eigenen Melderegeln mindestens alle drei Jahre überprüfen.

Wie richten Sie den internen Meldekanal ein?

Benennen Sie zunächst einen Beschäftigten, der Meldungen entgegennimmt und prüft. Das kann die Person sein, die bereits den Datenschutz betreut. Das funktioniert, solange kein Interessenkonflikt besteht. Nur sie darf eingehende Meldungen lesen. Sie muss den Namen jedes Hinweisgebers schützen. Sie muss alle ausschließen, die ihn nicht einsehen müssen. Beschäftigte müssen schriftlich, telefonisch oder persönlich melden können. Der Hinweisgeber füllt ein einheitliches Formular aus, das von der Datenschutzkommission festgelegt wird.

"Die für die Prüfung von Meldungen zuständigen Beschäftigten ... bestätigen den Eingang innerhalb von 7 Tagen, stellen sicher, dass die Identität des Hinweisgebers gebührend geschützt wird, und geben innerhalb einer Frist von höchstens drei Monaten eine Rückmeldung über die ergriffenen Maßnahmen."
Artikel 16 des Gesetzes zum Schutz von Personen, die Verstöße melden

Dann beginnt die Uhr zu laufen. Die zuständige Person muss den Eingang innerhalb von 7 Tagen bestätigen. Sie muss dem Hinweisgeber innerhalb von drei Monaten eine Rückmeldung geben. Jeder Arbeitgeber führt ein nicht-öffentliches Register der Meldungen. Das Register hält fest, wer die Meldung entgegennahm und wann. Es hält den mutmaßlichen Verstoß und die darauf folgende Maßnahme fest. Bestätigen sich die Tatsachen, schlägt die zuständige Person eine Abhilfe vor. Zeigt sich eine Straftat, geht die Akte unmittelbar an die Staatsanwaltschaft.

WeMoral übergibt dem benannten Beauftragten einen versiegelten Posteingang. Niemand sonst kann ihn öffnen. Es führt außerdem das nicht-öffentliche Register, das Artikel 18 verlangt, mit einem Zeitstempel für jeden Eintrag. Es ist eine selbst gehostete Hinweisgeber-Software, die erfüllt, was ЗЗЛПСПОИН vom internen Kanal verlangt. Ein privates Unternehmen darf die Aufgabe an einen externen Anbieter abgeben, und WeMoral nimmt diesen Platz ein. Wenn die Kommission einen Fall weiterleitet oder der Ombudsmann die Akte prüft, ist dieses mit Zeitstempel versehene Register der Nachweis, auf den Sie zurückgreifen. Sie können den internen Kanal an einem Tag eröffnen.

Was geschieht, wenn Sie an den Staat melden?

Der externe Weg führt über eine einzige Stelle. Bulgarien hat seine Kommission für den Schutz personenbezogener Daten als zentrale Behörde für externe Meldungen benannt. Dieselbe Aufsichtsbehörde, die personenbezogene Daten schützt, nimmt nun Hinweisgebermeldungen entgegen. Sie beurteilt die meisten Fälle nicht selbst. Sie leitet jede Meldung innerhalb von 7 Tagen an die richtige sektorale Aufsichtsbehörde weiter. Und sie hält den Namen des Hinweisgebers bei dieser Weitergabe heraus.

"Die zentrale Behörde für externe Meldungen und für den Schutz von Personen, denen nach diesem Gesetz Schutz gewährt wird, ist die Kommission für den Schutz personenbezogener Daten."
Artikel 19 des Gesetzes zum Schutz von Personen, die Verstöße melden

Die Liste der empfangenden Stellen ist lang. Eine Finanzmeldung geht an die Kommission für Finanzaufsicht. Eine Lebensmittelmeldung geht an die Bulgarische Agentur für Lebensmittelsicherheit. Eine Wettbewerbsmeldung geht an die Wettbewerbsbehörde. Insgesamt kann die Kommission Meldungen an 14 benannte Behörden weiterleiten. Sie muss dem Hinweisgeber innerhalb von drei Monaten eine Rückmeldung geben. Ein schwieriger Fall kann das auf sechs Monate ausdehnen. Die Kanalregeln können Sie auf der eigenen Website der Kommission nachlesen.

Der Kanal ist eine eigene Einheit innerhalb der Kommission. Die Meldungen werden zufällig auf geschulte Mitarbeiter verteilt. Diese Mitarbeiter dürfen Einzelheiten der Meldung an niemanden weitergeben. Dieses Verbot gilt sogar gegenüber den übrigen Mitgliedern der Kommission.

Eine weitere Kontrolle kommt obendrauf. Der Ombudsmann der Republik prüft die Arbeit der Kommission bei Meldungen. Der Ombudsmann prüft, ob Fristen eingehalten wurden, ob die Register dem Gesetz entsprechen und ob die Hinweisgeber geschützt wurden. Er nimmt auch Beschwerden gegen die Kommission entgegen und berichtet jedes Jahr dem Parlament. So wird die Stelle, die den Kanal betreibt, selbst überwacht.

Keine anonymen Meldungen und eine Zwei-Jahres-Frist

Bulgarien hat zwei Entscheidungen getroffen, die die Richtlinie offenließ. Es eröffnet kein Verfahren auf eine anonyme Meldung hin. Und es wird bei einem Verstoß, der vor mehr als zwei Jahren begangen wurde, nicht tätig. Das einheitliche Formular verlangt den vollständigen Namen und die Anschrift des Hinweisgebers. Es verlangt seine Telefonnummer und Unterschrift. So ist das System um namentliche Meldungen herum aufgebaut.

"Es wird kein Verfahren eröffnet bei: 1. anonymen Meldungen; 2. Meldungen über Verstöße, die vor mehr als zwei Jahren begangen wurden."
Artikel 9 des Gesetzes zum Schutz von Personen, die Verstöße melden

Es gibt ein Sicherheitsventil. Angenommen, eine Person hat anonym gemeldet. Angenommen, sie wurde später identifiziert und erlitt dann Vergeltung. Das Gesetz schützt sie dennoch. Sie muss nur guten Grund zu der Annahme haben, dass die Meldung zutraf. So engt die Zwei-Jahres-Frist zusammen mit der Regel ohne anonyme Meldungen die Eingangstür ein. Doch sie entziehen demjenigen keinen Schutz, der enttarnt und bestraft wird.

Wie werden Hinweisgeber vor Vergeltung geschützt?

Vergeltung ist rundheraus verboten. Das Gesetz führt 15 Formen davon auf. Sie reichen von Entlassung und Herabstufung bis zur Gehaltskürzung. Sie umfassen eine erzwungene Versetzung und ein schlechtes Zeugnis. Eine schwarze Liste, ein gekündigter Vertrag und eine entzogene Genehmigung stehen auf der Liste. Ebenso die Anordnung, sich einer ärztlichen Untersuchung zu unterziehen. Auch Drohungen und Versuche zählen dazu.

"Jede Form der Vergeltung gegen die in Artikel 5 genannten Personen, die den Charakter einer Repressalie hat und sie benachteiligt, sowie Drohungen oder Versuche solcher Handlungen sind verboten."
Artikel 33 des Gesetzes zum Schutz von Personen, die Verstöße melden

Das Gesetz neigt das Feld zudem zugunsten des Hinweisgebers. Ein Hinweisgeber, der von einer Repressalie getroffen wird, kann Schadensersatz verlangen. Der Schaden gilt als vorsätzlich, bis die Gegenseite das Gegenteil beweist. Und in einem Vergeltungsfall trägt der Arbeitgeber die Beweislast. Er muss beweisen, dass seine Maßnahme einen rechtmäßigen Grund hatte. Er muss zeigen, dass die Meldung nicht die Ursache war.

Mit dem Schutz kommt Unterstützung. Die Kommission berät kostenlos. Das Nationale Büro für Prozesskostenhilfe gewährt Rechtsbeistand. Das deckt Straf-, Zivil- und Verwaltungssachen ab. Ein Mediator kann bei grenzüberschreitenden Streitigkeiten helfen. Ein Hinweisgeber wird zudem von der Haftung für die Beschaffung der Informationen befreit. Und eine geschützte Offenlegung eines Geschäftsgeheimnisses gilt als rechtmäßig.

Ein Hinweisgeber, dem ein Gerichtsverfahren droht, hat noch ein weiteres Recht. Er kann das Gericht ersuchen, das Verfahren einzustellen. Er muss nur guten Grund zu der Annahme gehabt haben, dass die Meldung nötig war, um einen Verstoß aufzudecken.

Wie hoch sind die Bußgelder?

Die Bußgelder werden in Lewa berechnet, der Landeswährung. Der Lew ist mit 1,95583 an den Euro gebunden. Der Vorsitzende der Datenschutzkommission erlässt die Bußgeldbescheide. Das Geld fließt in den Staatshaushalt. Die Beträge unten steigen im Wiederholungsfall.

Bulgariens Modell steht für sich. Die meisten Länder schufen eine neue Behörde. Andere stützten sich auf eine Arbeitsaufsichtsbehörde. Bulgarien übertrug die Aufgabe seinem Datenschützer. Dann setzte es einen Ombudsmann ein, um den Wächter zu überwachen. Auf dem Papier ist das ein sauberer Zuschnitt. Die Kommission weiß bereits, wie man Namen geheim hält. Die offene Frage ist schwieriger. Hält die Weiterleitung einer Meldung über eine einzige Kommission und weiter an 14 Ministerien den Absender so sicher, wie es das Gesetz verspricht? Um zu sehen, wie Bulgarien neben dem Rest des Staatenbunds steht, stellt unsere Liste der Hinweisgebergesetze nach Land nebeneinander.