Spaniens Whistleblower-Gesetz, die Ley 2/2023

Ley 2/2023 vom 20. Februar ist das spanische Whistleblower-Gesetz. Es schützt Menschen, die Verstöße melden, und hilft im Kampf gegen Korruption. Es überführt die EU-Richtlinie 2019/1937 in spanisches Recht. Das Gesetz ist seit dem 13. März 2023 in Kraft. Es legt klare Pflichten für Unternehmen und öffentliche Stellen fest. Im Folgenden erklären wir, für wen es gilt, was Sie vorbereiten müssen und welche Bußgelder drohen.

Wer muss die Ley 2/2023 einhalten?

Im privaten Sektor beginnt die Pflicht bei 50 Personen. Jedes Unternehmen mit 50 oder mehr Beschäftigten muss ein internes Meldesystem haben. Unternehmen in regulierten Branchen wie dem Finanzwesen sind unabhängig von ihrer Größe erfasst.

Im öffentlichen Sektor gilt die Pflicht für alle. Sie erfasst die Zentralregierung, die Regionen und alle kommunalen Stellen. Die EU-Richtlinie ließ Gemeinden unter 10.000 Einwohnern die Möglichkeit, sich herauszunehmen, doch Spanien hat diese Ausnahme gestrichen. Sie erfasst auch politische Parteien, Gewerkschaften, Arbeitgeberverbände und ihre Stiftungen, sofern diese öffentliche Gelder verwalten.

Kleine Unternehmen und kleine Gemeinden erhielten mehr Zeit. Die allgemeine Regel gewährte 3 Monate ab dem Tag des Inkrafttretens des Gesetzes, um das System einzurichten. Private Unternehmen mit weniger als 250 Beschäftigten und Gemeinden unter 10.000 Einwohnern durften bis zum 1. Dezember 2023 warten. Unternehmen mit 50 bis 249 Beschäftigten dürfen außerdem Werkzeuge und Personal zur Bearbeitung von Meldungen gemeinsam nutzen.

Wie richten Sie das interne Meldesystem ein?

Der interne Kanal ist die erste Anlaufstelle. Das Gesetz verlangt, ihn zuerst zu nutzen, wenn der Verstoß innerhalb des Unternehmens gelöst werden kann und keine Gefahr von Repressalien besteht. Er muss Beschäftigten, Selbstständigen, Praktikanten und anderen mit dem Unternehmen verbundenen Personen offenstehen.

Das System muss mehrere Anforderungen erfüllen:

• Meldungen schriftlich, mündlich oder auf beiden Wegen ermöglichen;
• anonyme Meldungen annehmen und bearbeiten;
• die Vertraulichkeit des Whistleblowers und genannter Dritter wahren;
• eine für das System verantwortliche Person benennen, die eigenständig und frei von Druck arbeitet;
• ein Meldungsregister führen, das bis zu 10 Jahre vertraulich bleibt;
• Daten gemäß der DSGVO und den spanischen Datenschutzvorschriften verarbeiten.

Die für das System verantwortliche Person hat eine Schlüsselrolle. Das Leitungsorgan der Einrichtung benennt sie. Ihre Bestellung und Abberufung müssen der Unabhängigen Behörde zum Schutz von Whistleblowern (A.A.I.) innerhalb von 10 Werktagen gemeldet werden. Sie übt ihre Tätigkeit aus, ohne Weisungen anderer Stellen entgegenzunehmen.

Das Gesetz setzt strenge Fristen. Sie müssen die Meldung innerhalb von 7 Kalendertagen bestätigen. Sie müssen dem Whistleblower innerhalb von 3 Monaten antworten. In schwierigen Fällen kann sich dies um weitere 3 Monate verlängern.

Das Verfahren ist nicht dasselbe wie das Werkzeug. Der Kanal legt den Ablauf fest. Doch das gesamte System muss zuverlässig sein, Daten sicher aufbewahren und steuern, wer sie einsehen darf. Wemoral erfüllt als Whistleblowing-System diese Anforderungen. Es ermöglicht Ihnen die Einführung, ohne ein Werkzeug von Grund auf zu entwickeln. Wenn Sie bei null anfangen, helfen wir Ihnen mit einer Vorlage für eine Whistleblowing-Richtlinie und einer Anleitung zur Einrichtung des Systems.

Welche Verstöße können gemeldet werden?

Das Gesetz erfasst ein breites Spektrum an Themen. Über das interne System oder den externen Kanal können Sie Folgendes melden:

• Verstöße gegen das Recht der Europäischen Union nach der Richtlinie 2019/1937, etwa solche, die dem Binnenmarkt oder den Finanzmitteln der EU schaden;
• schwere oder besonders schwere straf- oder verwaltungsrechtliche Verstöße gegen spanisches Recht;
• vor allem solche, die dem Fiskus oder der Sozialversicherung Geld kosten.

Einige Bereiche bleiben ausgenommen. Das Gesetz erfasst keine Verschlusssachen, das Berufsgeheimnis von Ärzten und Anwälten, das Beratungsgeheimnis gerichtlicher Entscheidungen oder den Arbeitsschutz. Auch andere Branchen mit eigenen Regelungen bleiben ausgenommen.

Wer kann Whistleblower sein?

Nicht nur der fest angestellte Beschäftigte. Ein Whistleblower ist jede Person, die einen Verstoß meldet oder öffentlich macht, von dem sie im Rahmen ihrer Arbeit erfahren hat. Wir erläutern dies ausführlich in unserem Beitrag dazu, wer ein Whistleblower ist. Nach dem Gesetz kann dies sein:

• der öffentlich Bedienstete oder abhängig Beschäftigte;
• der Selbstständige;
• der Gesellschafter sowie Mitglieder des Leitungs- oder Verwaltungsorgans;
• jede Person, die für Auftragnehmer, Subunternehmer und Lieferanten tätig ist;
• der Freiwillige, Praktikant und Auszubildende;
• der Bewerber, der die Informationen während des Einstellungsverfahrens erhalten hat;
• der ehemalige Beschäftigte, sogar nach Beendigung des Arbeitsverhältnisses.

Der Schutz erstreckt sich auch auf Arbeitnehmervertreter und nahestehende Personen, die deswegen bestraft werden könnten, etwa Familienangehörige oder Kollegen.

Wie wird der Whistleblower geschützt?

Das Hauptziel des Gesetzes ist der Schutz vor Repressalien. Der Schutz beginnt mit der Meldung oder der Offenlegung. Es gibt eine Bedingung. Der Whistleblower muss zum Zeitpunkt der Meldung berechtigten Grund zu der Annahme gehabt haben, dass die Informationen wahr waren und dass sie in den Anwendungsbereich des Gesetzes fielen.

Verbot von Repressalien

Die Liste der Repressalien ist nicht abschließend. Sie umfasst Entlassung, einen ausgesetzten oder nicht verlängerten Vertrag, Degradierung, blockierte Beförderungen, eine erhebliche Änderung der Arbeitsbedingungen, Rufschädigung oder finanziellen Schaden, Nötigung, Drohungen, Belästigung, Ausgrenzung, schwarze Listen oder verweigerte Schulungen. Das Verbot erfasst auch die Drohung oder den Versuch, all dies zu tun.

Repressalien sind von Anfang an nichtig. Das Gesetz entzieht ihnen jede Wirkung. Sie können zu Wiederherstellungsmaßnahmen, Disziplinarmaßnahmen und, wo anwendbar, zum Ersatz des entstandenen Schadens führen.

Umkehr der Beweislast

Der Whistleblower muss die Repressalie nicht beweisen. Sobald er nachweist, dass er ordnungsgemäß gemeldet hat und ihm ein Schaden entstanden ist, gilt der Schaden als Repressalie. Es ist Sache der Gegenseite, das Gegenteil zu beweisen.

„Sobald der Whistleblower in angemessener Weise dargelegt hat, dass er im Einklang mit diesem Gesetz eine Meldung erstattet oder eine Offenlegung vorgenommen hat und dass ihm ein Schaden entstanden ist, wird vermutet, dass der Schaden als Repressalie für die Meldung eingetreten ist. In solchen Fällen obliegt es der Person, die die schädigende Maßnahme ergriffen hat, nachzuweisen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen beruhte, die nichts mit der Meldung zu tun hatten.“
Artikel 38.4 der Ley 2/2023 vom 20. Februar

Meldewege

Das Gesetz sieht drei Wege vor, denselben Verstoß zu melden:

Die A.A.I. betreibt den externen Kanal. Sie ist eine staatliche Aufsichtsbehörde, die eigenständig arbeitet. Sie bestätigt eine Meldung innerhalb von 5 Werktagen. Sie entscheidet innerhalb von 10 Werktagen, ob sie sich der Sache annimmt. Sie schließt den Fall innerhalb von 3 Monaten ab. Eine Offenlegung ist nur in drei Fällen geschützt: Die vorherigen Kanäle haben nicht rechtzeitig gehandelt, es besteht eine klare und drängende Gefahr für die Öffentlichkeit, oder der externe Kanal würde nicht funktionieren.

Welche Bußgelder sieht das Gesetz vor?

Die Bußgelder sind hart. Sie richten sich nach der Schwere des Verstoßes. Sie hängen auch davon ab, ob der Schuldige eine Person oder ein Unternehmen ist.

Repressalien und das Fehlen eines Kanals sind besonders schwere Verstöße. Ebenso die Preisgabe der Identität des Whistleblowers oder auch nur der Versuch dazu. In diesen Fällen kann die A.A.I. eine öffentliche Verwarnung, ein Verbot von Zuwendungen für bis zu 4 Jahre und ein Verbot öffentlicher Aufträge für bis zu 3 Jahre hinzufügen.

Die schwersten Sanktionen werden öffentlich gemacht. Bußgelder von 600.001 € oder mehr gegen Unternehmen können im Amtlichen Staatsanzeiger erscheinen, sobald sie rechtskräftig sind. Besonders schwere Verstöße verjähren nach 3 Jahren, schwere nach 2 und geringfügige nach 6 Monaten.

Die Ley 2/2023 ist bereits vollständig in Kraft. Die von ihr erfassten Stellen sollten daher ihren internen Meldekanal bereit haben. Um zu sehen, wie es sich in das übrige Europa einfügt, durchstöbern Sie unsere Liste der Whistleblowing-Gesetze nach Land. Je früher Sie das System einrichten, desto geringer ist das Risiko von Bußgeldern.