Spanisches Whistleblower-Gesetz "Ley 2/2023"

Ley 2/2023 vom 20. Februar ist das spanische Whistleblower-Gesetz. Es schützt Menschen, die Verstöße melden, und hilft im Kampf gegen Korruption. Es überführt die EU-Richtlinie 2019/1937 in spanisches Recht. Das Gesetz ist seit dem 13. März 2023 in Kraft. Es legt klare Pflichten für Unternehmen und öffentliche Stellen fest. Im Folgenden erklären wir, für wen es gilt, was Sie vorbereiten müssen und welche Bußgelder drohen.

Wer muss die Ley 2/2023 einhalten?

Im privaten Sektor beginnt die Pflicht bei 50 Personen. Jedes Unternehmen mit 50 oder mehr Beschäftigten muss ein internes Meldesystem haben. Unternehmen in regulierten Branchen wie dem Finanzwesen sind unabhängig von ihrer Größe erfasst.

„Verpflichtet, ein internes Informationssystem nach den Vorgaben dieses Gesetzes vorzuhalten, sind [...]: natürliche oder juristische Personen des privaten Sektors, die fünfzig oder mehr Beschäftigte unter Vertrag haben.“
Artikel 10.1 der Ley 2/2023 vom 20. Februar

Im öffentlichen Sektor gilt die Pflicht für alle. Sie erfasst die Zentralregierung, die Regionen und alle kommunalen Stellen. Die EU-Richtlinie ließ Gemeinden unter 10.000 Einwohnern die Möglichkeit, sich herauszunehmen, doch Spanien hat diese Ausnahme gestrichen. Sie erfasst auch politische Parteien, Gewerkschaften, Arbeitgeberverbände und ihre Stiftungen, sofern diese öffentliche Gelder verwalten.

Kleine Unternehmen und kleine Gemeinden erhielten mehr Zeit. Die allgemeine Regel gewährte 3 Monate ab dem Tag des Inkrafttretens des Gesetzes, um das System einzurichten. Private Unternehmen mit weniger als 250 Beschäftigten und Gemeinden unter 10.000 Einwohnern durften bis zum 1. Dezember 2023 warten. Unternehmen mit 50 bis 249 Beschäftigten dürfen außerdem Werkzeuge und Personal zur Bearbeitung von Meldungen gemeinsam nutzen.

Wie richten Sie das interne Meldesystem ein?

Der interne Kanal ist die erste Anlaufstelle. Das Gesetz verlangt, ihn zuerst zu nutzen, wenn der Verstoß innerhalb des Unternehmens gelöst werden kann und keine Gefahr von Repressalien besteht. Er muss Beschäftigten, Selbstständigen, Praktikanten und anderen mit dem Unternehmen verbundenen Personen offenstehen. Vor der Einführung muss das Leitungsorgan die gesetzlichen Arbeitnehmervertreter anhören.

Das System muss mehrere Anforderungen erfüllen:

• Meldungen schriftlich, mündlich oder auf beiden Wegen ermöglichen, wobei mündliche Meldungen mit vorheriger Zustimmung des Hinweisgebers als Aufzeichnung oder Abschrift zu dokumentieren sind, die er prüfen, berichtigen und unterschreiben kann;
• anonyme Meldungen annehmen und bearbeiten;
• die Vertraulichkeit des Whistleblowers und genannter Dritter wahren;
• eine für das System verantwortliche Person benennen, die eigenständig und frei von Druck arbeitet;
• ein vertrauliches Meldungsregister führen, in dem personenbezogene Daten keinesfalls länger als 10 Jahre gespeichert werden dürfen, wobei innerhalb dieser Höchstgrenze kürzere Löschpflichten gelten, vor allem drei Monate ab Eingang, wenn keine Untersuchung eingeleitet wurde;
• Daten gemäß der DSGVO und den spanischen Datenschutzvorschriften verarbeiten.

Die für das System verantwortliche Person hat eine Schlüsselrolle. Das Leitungsorgan der Einrichtung benennt sie. Ihre Bestellung und Abberufung müssen der Unabhängigen Behörde zum Schutz von Whistleblowern (A.A.I.) innerhalb von 10 Werktagen gemeldet werden. Sie übt ihre Tätigkeit aus, ohne Weisungen anderer Stellen entgegenzunehmen.

Das Gesetz setzt strenge Fristen. Sie müssen die Meldung innerhalb von 7 Kalendertagen bestätigen. Sie müssen dem Whistleblower innerhalb von 3 Monaten antworten. In schwierigen Fällen kann sich dies um weitere 3 Monate verlängern.

WeMoral ist eine zugriffskontrollierte Hinweisgeber-Software, gemacht für die Ley 2/2023. Sie gibt dem Systembeauftragten einen einzigen Ort für jede Meldung und führt das vertrauliche Verzeichnis, das das Gesetz bis zu zehn Jahre verlangt. Der Zugriff bleibt bei den Personen, die Sie benennen, und anonyme Meldungen treffen verschlüsselt ein. Sie enthält eine Richtlinienvorlage und eine Anleitung, um den internen Kanal aufzubauen. Wenn Sie sie lieber nicht selbst betreiben möchten, führen die Anwaltskanzleien und Compliance-Berater in unserem Partnerprogramm WeMoral für ihre Mandanten.

Welche Verstöße können gemeldet werden?

Das Gesetz erfasst ein breites Spektrum an Themen. Über das interne System oder den externen Kanal können Sie Folgendes melden:

• Verstöße gegen das Recht der Europäischen Union nach der Richtlinie 2019/1937, etwa solche, die dem Binnenmarkt oder den Finanzmitteln der EU schaden;
• schwere oder besonders schwere straf- oder verwaltungsrechtliche Verstöße gegen spanisches Recht;
• vor allem solche, die dem Fiskus oder der Sozialversicherung Geld kosten.

Einige Bereiche bleiben ausgenommen. Das Gesetz erfasst keine Verschlusssachen, das Berufsgeheimnis von Ärzten und Anwälten und das Beratungsgeheimnis gerichtlicher Entscheidungen. Auch andere Branchen mit eigenen Regelungen bleiben ausgenommen. Der Arbeitsschutz ist keine Ausnahme. Artikel 2.3 stellt klar, dass der Schutz von Beschäftigten, die Verstöße in diesem Bereich melden, unbeschadet des Schutzes gilt, den die einschlägigen Fachvorschriften vorsehen.

Wer kann Whistleblower sein?

Nicht nur der fest angestellte Beschäftigte. Ein Whistleblower ist jede Person, die einen Verstoß meldet oder öffentlich macht, von dem sie im Rahmen ihrer Arbeit erfahren hat. Wir erläutern dies ausführlich in unserem Beitrag dazu, wer ein Whistleblower ist. Nach dem Gesetz kann dies sein:

• der öffentlich Bedienstete oder abhängig Beschäftigte;
• der Selbstständige;
• der Gesellschafter sowie Mitglieder des Leitungs- oder Verwaltungsorgans;
• jede Person, die für Auftragnehmer, Subunternehmer und Lieferanten tätig ist;
• der Freiwillige, Praktikant und Auszubildende;
• der Bewerber, der die Informationen während des Einstellungsverfahrens erhalten hat;
• der ehemalige Beschäftigte, sogar nach Beendigung des Arbeitsverhältnisses.

Der Schutz erstreckt sich auch auf Arbeitnehmervertreter und nahestehende Personen, die deswegen bestraft werden könnten, etwa Familienangehörige oder Kollegen.

Wie wird der Whistleblower geschützt?

Das Hauptziel des Gesetzes ist der Schutz vor Repressalien. Der Schutz beginnt mit der Meldung oder der Offenlegung. Es gibt eine Bedingung. Der Whistleblower muss zum Zeitpunkt der Meldung berechtigten Grund zu der Annahme gehabt haben, dass die Informationen wahr waren und dass sie in den Anwendungsbereich des Gesetzes fielen.

Verbot von Repressalien

Die Liste der Repressalien ist nicht abschließend. Sie umfasst Entlassung, einen ausgesetzten oder nicht verlängerten Vertrag, Degradierung, blockierte Beförderungen, eine erhebliche Änderung der Arbeitsbedingungen, Rufschädigung oder finanziellen Schaden, Nötigung, Drohungen, Belästigung, Ausgrenzung, schwarze Listen oder verweigerte Schulungen. Das Verbot erfasst auch die Drohung oder den Versuch, all dies zu tun.

„Handlungen, die eine Repressalie darstellen, einschließlich der Drohung mit Repressalien und des Versuchs von Repressalien gegen Personen, die eine Meldung nach diesem Gesetz erstatten, sind ausdrücklich verboten.“
Artikel 36.1 der Ley 2/2023 vom 20. Februar

Verwaltungsakte, die eine Repressalie darstellen, sind von Anfang an nichtig. Artikel 36.5 erklärt sie für nichtig, eine als Vergeltung ergangene Verwaltungsentscheidung entfaltet also keinerlei Rechtswirkung. Diese vollständige Nichtigkeit gilt nur für Verwaltungsakte. Auch dem privaten Arbeitgeber verbietet Artikel 36.1 Repressalien, seine Maßnahmen werden jedoch nicht für nichtig erklärt. Dort sind die Folgen die Wiederherstellungs- und Disziplinarmaßnahmen, die derselbe Artikel vorsieht, und, wo anwendbar, der Ersatz des entstandenen Schadens.

Umkehr der Beweislast

Der Whistleblower muss die Repressalie nicht beweisen. Sobald er nachweist, dass er ordnungsgemäß gemeldet hat und ihm ein Schaden entstanden ist, gilt der Schaden als Repressalie. Es ist Sache der Gegenseite, das Gegenteil zu beweisen.

„Sobald der Whistleblower in angemessener Weise dargelegt hat, dass er im Einklang mit diesem Gesetz eine Meldung erstattet oder eine Offenlegung vorgenommen hat und dass ihm ein Schaden entstanden ist, wird vermutet, dass der Schaden als Repressalie für die Meldung eingetreten ist. In solchen Fällen obliegt es der Person, die die schädigende Maßnahme ergriffen hat, nachzuweisen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen beruhte, die nichts mit der Meldung zu tun hatten.“
Artikel 38.4 der Ley 2/2023 vom 20. Februar

Meldewege

Das Gesetz sieht drei Wege vor, denselben Verstoß zu melden:

• Interner Kanal - an das interne Meldesystem der Einrichtung. Bevorzugter Weg, wenn der Verstoß innerhalb der Organisation gelöst werden kann.
• Externer Kanal - an die Unabhängige Behörde zum Schutz von Whistleblowern (A.A.I.) oder die regionalen Behörden. Sie können sich direkt an ihn wenden, ohne zuvor den internen Kanal zu nutzen.
• Offenlegung - an die Öffentlichkeit, zum Beispiel die Medien. Nur unter den Voraussetzungen des Artikels 28 des Gesetzes.

„Jede natürliche Person kann der Unabhängigen Behörde zum Schutz von Whistleblowern, A.A.I., oder den zuständigen regionalen Behörden oder Stellen die Begehung jeder Handlung oder Unterlassung melden, die in den Anwendungsbereich dieses Gesetzes fällt, sei es unmittelbar oder nach vorheriger Meldung über den entsprechenden internen Kanal.“
Artikel 16.1 der Ley 2/2023 vom 20. Februar

Die A.A.I. betreibt den externen Kanal. Sie ist eine staatliche Aufsichtsbehörde, die eigenständig arbeitet. Sie bestätigt eine Meldung innerhalb von 5 Werktagen. Sie entscheidet innerhalb von 10 Werktagen, ob sie sich der Sache annimmt. Sie schließt den Fall innerhalb von 3 Monaten ab. Eine Offenlegung ist in drei Fällen geschützt: Die vorherigen Kanäle haben nicht rechtzeitig gehandelt, es besteht eine klare und drängende Gefahr für die Öffentlichkeit, oder der externe Kanal würde nicht funktionieren. Artikel 28.2 fügt einen vierten Weg hinzu. Eine Offenlegung unmittelbar gegenüber der Presse, in Ausübung der verfassungsrechtlich garantierten Freiheit der Meinungsäußerung und der wahrheitsgemäßen Information, ist geschützt, ohne dass eine dieser drei Voraussetzungen erfüllt sein muss.

Welche Bußgelder sieht das Gesetz vor?

Die Bußgelder sind hart. Sie richten sich nach der Schwere des Verstoßes. Sie hängen auch davon ab, ob der Schuldige eine Person oder ein Unternehmen ist.

Repressalien und das Fehlen eines Kanals sind besonders schwere Verstöße. Ebenso die Preisgabe der Identität des Whistleblowers oder auch nur der Versuch dazu. In diesen Fällen kann die A.A.I. eine öffentliche Verwarnung, ein Verbot von Zuwendungen für bis zu 4 Jahre und ein Verbot öffentlicher Aufträge für bis zu 3 Jahre hinzufügen. Auch eine wissentlich falsche Meldung ist ein besonders schwerer Verstoß, für den eine natürliche Person bis zu 300.000 € zahlen kann.

Die schwersten Sanktionen werden öffentlich gemacht. Bußgelder von 600.001 € oder mehr gegen Unternehmen können im Amtlichen Staatsanzeiger erscheinen, sobald sie rechtskräftig sind. Besonders schwere Verstöße verjähren nach 3 Jahren, schwere nach 2 und geringfügige nach 6 Monaten.

Die Ley 2/2023 ist bereits vollständig in Kraft. Die von ihr erfassten Stellen sollten daher ihren internen Meldekanal bereit haben. Um zu sehen, wie es sich in das übrige Europa einfügt, durchstöbern Sie unsere Liste der Whistleblowing-Gesetze nach Land. Je früher Sie das System einrichten, desto geringer ist das Risiko von Bußgeldern.