12 Hinweisgeberverfahren (Whistleblowing-Verfahren)

Wertpapierfirmen sollten geeignete Richtlinien und Verfahren für interne Warnungen für Mitarbeiter zur Meldung potenzieller oder tatsächlicher Verstöße gegen die Verordnung (EU) 2019/2033 und nationale Vorschriften zur Umsetzung der Richtlinie(EU) 2019/2034, über einen speziellen, unabhängigen und autonomen Berichtsweg einführen und unterhalten. Es sollte für die meldenden Mitarbeiter nicht erforderlich sein, einen Beleg für einen Verstoß vorzulegen, allerdings sollten sie über ein ausreichendes Maß an Gewissheit verfügen, das einen hinreichenden Grund für die Einleitung einer Untersuchung bietet. Wertpapierfirmen sollten zudem geeignete Prozesse und Verfahren einrichten, mit denen sichergestellt wird, dass sie ihre Pflichten gemäß der nationalen Umsetzung der Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23. Oktober 2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, erfüllen.

Zur Vermeidung von Interessenkonflikten sollte für die Mitarbeiter eine Möglichkeit bestehen, Verstöße außerhalb der regulären Berichtswege zu melden (z. B. über die Compliance-Funktion, die interne Revision oder mittels eines unabhängigen internen Hinweisgeberverfahrens). Die Warnverfahren sollten den Schutz personenbezogener Daten im Einklang mit der Verordnung (EU) 2016/679²⁶ (DSGVO) sowohl für die Person, die den Verstoß anzeigt, als auch für die natürliche Person, die mutmaßlich für den Verstoß verantwortlich ist, sicherstellen.

²⁶ Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung).

Die Warnverfahren sollten allen Mitarbeitern einer Wertpapierfirma zugänglich gemacht werden.

Die von Mitarbeitern über die Warnverfahren bereitgestellten Informationen sollten, falls angemessen, dem Leitungsorgan und anderen verantwortlichen Funktionen, die in den Richtlinien für interne Warnungen festgelegt sind, zur Verfügung gestellt werden. Sofern dies der Mitarbeiter, der einen Verstoß meldet, verlangt, sollten die Informationen dem Leitungsorgan und anderen verantwortlichen Funktionen in anonymisierter Form vorgelegt werden. Die Wertpapierfirmen können auch ein Hinweisgeberverfahren einrichten, das es ermöglicht, Informationen anonym einzureichen.

Die Wertpapierfirmen sollten sicherstellen, dass die Person, die den Verstoß meldet, angemessen vor negativen Folgen geschützt ist, z. B. Vergeltung, Diskriminierung oder einer anderen Art von unfairer Behandlung. Die Wertpapierfirma sollte sicherstellen, dass sich keine Person unter der Kontrolle der Wertpapierfirma an der Viktimisierung einer Person beteiligt, die einen Verstoß gemeldet hat, und sollte geeignete Maßnahmen gegen die Personen ergreifen, die für eine etwaige Viktimisierung verantwortlich sind.

Die Wertpapierfirmen sollten zudem Personen, über die eine Meldung gemacht wurde, vor etwaigen negativen Folgen schützen, wenn im Zuge der Untersuchung keine Belege gefunden werden, die die Einleitung von Maßnahmen gegen die betreffende Person begründen. Falls Maßnahmen ergriffen werden, sollte die Wertpapierfirma diese in einer Weise einleiten, die auf den Schutz der betreffenden Person vor unbeabsichtigten negativen Folgen ausgerichtet ist, die über das Ziel der ergriffenen Maßnahme hinausgehen.

Insbesondere sollten die Verfahren für interne Warnungen

• a. dokumentiert sein (z. B. Handbücher für Mitarbeiter);
• b. klare Regeln vorsehen, mit denen sichergestellt wird, dass Informationen über die Meldung und die gemeldeten Personen sowie den Verstoß vertraulich gemäß der Verordnung (EU) 2016/679 behandelt werden, sofern nicht eine Offenlegung nach dem nationalen Recht im Rahmen weiterer Untersuchungen oder anschließender Gerichtsverfahren erforderlich ist;
• c. Mitarbeiter, die Bedenken äußern, vor einer Viktimisierung aufgrund der Tatsache, dass sie zu meldende Verstöße offengelegt haben, schützen;
• d. sicherstellen, dass potenzielle oder tatsächliche Verstöße bewertet und eskaliert werden, einschließlich, soweit angemessen, an die betreffende zuständige Behörde oder Strafverfolgungsbehörde;
• e. soweit möglich, sicherstellen, dass den Mitarbeitern, die potenzielle oder tatsächliche Verstöße gemeldet haben, der Erhalt der Information bestätigt wird;
• f. für die Weiterverfolgung des Ergebnisses einer Untersuchung zu einem gemeldeten Verstoß Sorge tragen und
• g. das Führen geeigneter Aufzeichnungen sicherstellen.