Alle Gesetze im Blick haben

ITD: Herr Dr. Schemmel, beinah täglich erscheinen neue Gesetzesentwürfe – darunter vor allem auch Gesetze und Regeln, die Sicherheit und Datenschutz in den Fokus rücken. Welche wären das aktuell?
Frank Schemmel: Der aktuelle Entwurf eines Hinweisgeber-Schutz-Gesetzes (HinSchG) enthält in seinem § 10 einen speziellen Erlaubnistatbestand zur Verarbeitung personenbezogener Daten im Kontext von Whistleblowing sowie Vorgaben zur Wahrung der Vertraulichkeit. Auf EU-Ebene werden derzeit verschiedene Rechtsakte diskutiert, die zumindest mittelbar auch die Themenbereiche „Datenschutz und -sicherheit“ flankieren und ergänzen. Zu nennen sind hier der Data Act (DA), Digital Markets Act (DMA), Digital Services Act (DSA) und Artificial Intelligence Act (AIA). Zudem wurde erst eine führende Norm für Informationssicherheit (ISO 27002) grundlegend überarbeitet; diese regelt die Kontrollmechanismen für die Sicherheit gegen Angriffe. Mit dem Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG) wurde Ende des Jahres 2021 auch ein neuer Rechtsrahmen für die Verarbeitung von Daten durch Websites, Apps oder sonstiger Plattformen geschaffen, insbesondere was das Thema „Cookies“ anbelangt.

ITD: Inwieweit haben sich deutsche Unternehmen bereits mit dem Lieferketten-Sorgfaltspflichten-Gesetz beschäftigt, das sie ab 2023 zur aktiven Überwachung ihrer Lieferketten verpflichtet?
Schemmel: Viele große Unternehmen beschäftigen sich schon lange und intensiv mit dem Thema „Lieferketten-Sorgfaltspflichten-Gesetz (LkSG)“ und passen derzeit ihre Prozesse an bzw. setzen neue Prozesse und Governance-Strukturen auf. Nicht wenige Unternehmen sind aber teilweise entweder überfordert aufgrund der komplexen Anforderungen oder warten weitere Entwicklungen ab. Denn auch auf EU-Ebene wird derzeit eine Lieferkettenregulierung diskutiert und die Entwürfe gehen weit über die Anforderungen des deutschen LkSG hinaus. Nichtsdestotrotz ist den Unternehmen (insbesondere KMU) zu raten, sich bereits jetzt mit dem Thema zu befassen, auch wenn sie nicht direkt in den Anwendungsbereich des LkSG fallen oder hiervon (noch nicht) als unmittelbarer Zulieferer betroffen sind. Denn es ist schon jetzt absehbar, dass direkt betroffene Unternehmen ihre Anforderungen entlang der Lieferkette weitergeben werden und entsprechende Verpflichtungen in ihren Supplier Code of Conducts anpassen oder neu aufnehmen werden.

ITD: Haben hier Konzerne und Mittelständler die gleichen Auflagen?
Schemmel: Nicht zwangsläufig. Das LkSG gilt ab dem 1. Januar 2023 erstmal nur für Unternehmen mit i.d.R. 3.000 im Inland beschäftigten Mitarbeitern, ab 2024 reduziert sich dieser Schwellenwert auf 1.000 Mitarbeiter – damit sind etwa 2.800 Unternehmen in Deutschland direkt vom Anwendungsbereich des Gesetzes betroffen. Es ist aber davon auszugehen, dass direkt betroffene Unternehmen ihre Partner vertraglich verpflichten werden, wirksame Risikoprüfungen und -mechanismen – soweit noch nicht vorhanden – zu etablieren und entsprechende Nachweise zur Einhaltung menschenrechtlicher und umweltbezogener Sorgfaltspflichten zu fordern. Insoweit werden auch KMU mittelbar einige der Auflagen aus dem LkSG erfüllen müssen, sofern sie bestehende und zukünftige Geschäftsbeziehungen nicht gefährden wollen. 

ITD: Was ist bei der Umsetzung des Gesetzes seitens der Unternehmen zu beachten?
Schemmel: Wer bereits ein effektives Compliance-Management-System aufgesetzt hat, kann (und sollte) auf Prozesse und Strukturen zur Risikoermittlung und -steuerung zurückgreifen. Gleiches gilt für Unternehmen, die bereits ein Whistleblowing-System betreiben – dieses kann um die erforderlichen Punkte des Beschwerdeverfahrens nach LkSG erweitert werden. Das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) als zuständige Aufsichtsbehörde hat jüngst einen ausführlichen Praxisleitfanden veröffentlicht, den die betroffenen Unternehmen unbedingt beachten sollten. Grundsätzlich gilt: Ein Mix aus Software-gestützter Lösungen und individueller Beratung durch Experten bei der Umsetzung ist üblicherweise der effizienteste Erfolgsgarant einer erfolgreichen Umsetzung.

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2022. Bestellen Sie ein kostenfreies Probe-Abo.

ITD: Welche Sanktionen bzw. Fallstricke gibt es bei Nichtbeachtung?
Schemmel: Bei Verstößen gegen das Gesetz können Bußgelder von bis zu 800.000 Euro verhängt werden, bei Unternehmen mit einem Umsatz von mehr als 400 Mio. Euro sogar bis zu zwei Prozent des weltweiten Konzernumsatzes. Gravierender dürfte jedoch für viele Unternehmen sein, dass sie für bis zu drei Jahre von der Vergabe öffentlicher Aufträge ausgeschlossen werden, sollte ein Bußgeld von 175.000 Euro oder mehr verhängt werden. Daneben haftet auch die Geschäftsleitung im Rahmen ihrer üblichen organisationsrechtlichen Pflichten zur Einrichtung eines effektiven Compliance-Managements und Überwachung dessen ggf. persönlich für unzureichende Umsetzung des LkSG.

ITD: Inwieweit sind Arbeitnehmer geschützt, die Missstände in ihrem Unternehmen aufdecken?
Schemmel: Genau das ist das Ziel des Entwurfs eines Hinweisgeber-Schutz-Gesetzes als (verspätete) Umsetzung der entsprechenden EU-Richtlinie. Das Gesetz verbietet Repressalien (wie Kündigungen, Versetzungen oder andere Disziplinarmaßnahmen) gegenüber Hinweisgebern, sofern diese keine mutwillig falsche Meldung abgeben und sich im Übrigen an das Meldeprozedere des Gesetzes halten. Dies bedeutet für Whistleblower insbesondere, dass Meldungen über mögliche Verstöße immer zuerst über interne Meldekanäle beim betroffenen Unternehmen oder externe Meldekanäle bei den zuständigen Behörden eingereicht werden müssen, bevor sie die Öffentlichkeit (z.B. Medien und Presse) informieren. Nur dann greift der Schutz des Gesetzes. Halten sich die Arbeitnehmer an diese Vorgaben und werden dennoch aufgrund einer erfolgten Meldung gemaßregelt, greift ein weiterer Schutzmechanismus des HinSchG: Bei gerichtlichen Auseinandersetzungen gilt eine Beweislastumkehr zugunsten der meldenden Mitarbeiter, d.h., es wird grundsätzliche vermutet, dass die Repressalie eine Reaktion auf den erfolgten Hinweis darstellt und der Arbeitgeber beweisen muss, dass seine Disziplinarmaßnahmen keine Sanktion und unmittelbare Folge der Meldung durch den Arbeitnehmer sind. Um Missbräuche seitens der Arbeitnehmer zu verhindern, sieht das Gesetz jedoch Schadensersatzansprüche für mutwillige oder grob fahrlässige Falschmeldungen vor. Arbeitnehmer sollten sich also davor hüten, bewusste Falschmeldungen zu lancieren, etwa um unliebsame Kollegen oder Vorgesetzte zu diskreditieren.