Die Schweiz hat kein Whistleblower-Gesetz. Schweizer Unternehmen brauchen trotzdem einen Meldekanal #
Die Schweiz hat kein Gesetz zum Schutz von Whistleblowern. Die Revision des Obligationenrechts, die der Bundesrat vorgelegt hatte, wurde am 5. März 2020 vom Nationalrat mit 147 zu 42 Stimmen abgelehnt. Eine Motion, die einen neuen Rechtsrahmen für den Privatsektor verlangte, wurde am 27. Februar 2024 abgelehnt; der Bundesrat hatte sich dagegen ausgesprochen. Die EU-Richtlinie 2019/1937 erstreckt sich nicht über die bilateralen Abkommen auf die Schweiz.
Für die meisten Schweizer Unternehmen schreibt kein Gesetz einen Meldekanal vor. Rechtsprechung und Strafgesetzbuch machen ihn dennoch notwendig, und einige Unternehmen sind verpflichtet, einen zu betreiben. Die gesetzlichen Einzelheiten stehen auf unserer Seite zum Schweizer Recht .
Die Schweizer Rechtsprechung verlangt, dass zuerst intern gemeldet wird #
Ohne Gesetz entscheidet das Bundesgericht, wann eine Meldung rechtmässig ist. Es wendet eine Kaskade an. Mitarbeitende müssen die Sache zuerst im Unternehmen vorbringen. Eine Meldung an eine Behörde ist erst gerechtfertigt, wenn der interne Versuch scheitert oder offensichtlich aussichtslos wäre. Der Gang an die Öffentlichkeit kommt zuletzt.
Die FINMA hält in ihren eigenen Hinweisen für Meldende fest, dass diese «für ein erlaubtes Whistleblowing grundsätzlich zuerst versuchen müssen, den mutmasslichen Missstand innerhalb des betroffenen Instituts zu melden». Sie warnt, dass sich wegen Verletzung der Geheimnispflichten strafbar machen kann, wer diesen Schritt überspringt.
Ein Unternehmen mit einem funktionierenden internen Meldekanal ist der Ort, an dem Meldungen ankommen. Ein Unternehmen ohne einen solchen hat den internen Schritt aussichtslos gemacht, und genau das rechtfertigt den Gang zu einer Behörde oder zur Presse. Das Unternehmen erfährt dann als Letztes davon.
Die Mitarbeitenden bindet Art. 321a OR an Treue und Verschwiegenheit. Werden sie wegen einer Meldung entlassen, begrenzt Art. 336a OR die Entschädigung auf sechs Monatslöhne, und die Kündigung bleibt wirksam. Was die interne Meldung das Risiko wert macht, ist ein Meldekanal, der sichtbar funktioniert.
Das Strafrecht fragt, was das Unternehmen organisiert hat #
Art. 102 Abs. 2 StGB bestraft das Unternehmen selbst für Bestechung, Geldwäscherei, Terrorismusfinanzierung und Delikte im Zusammenhang mit kriminellen Organisationen, wenn ihm vorzuwerfen ist, dass es «nicht alle erforderlichen und zumutbaren organisatorischen Vorkehren getroffen hat, um eine solche Straftat zu verhindern». Die Busse kann 5 Millionen Franken erreichen, unabhängig davon, ob eine natürliche Person verurteilt wird.
Das Schweizer Recht zählt die Vorkehren nicht auf. Ein Unternehmen, dessen Mitarbeitende keine Möglichkeit hatten, es auf eine Bestechung hinzuweisen, argumentiert aus einer schwachen Position über die Vorkehren, die es getroffen hat. Der Swiss Code of Best Practice for Corporate Governance von 2023 fasst es für Verwaltungsräte in einem Satz: Mitarbeitende sollen mutmassliche Unregelmässigkeiten «bei einer unabhängigen internen oder externen Stelle melden können, ohne mit Nachteilen rechnen zu müssen».
Zwei Fälle, in denen ein Meldekanal Pflicht ist #
Sorgfaltspflichten in der Lieferkette. Unternehmen, die Zinn, Tantal, Wolfram oder Gold oberhalb der Schwellenwerte der Verordnung einführen oder bearbeiten oder die Produkte oder Dienstleistungen anbieten, bei denen ein begründeter Verdacht auf Kinderarbeit besteht, müssen nach Art. 14 der Verordnung über Sorgfaltspflichten und Transparenz (VSoTr, SR 221.433) ein Meldeverfahren betreiben. Es muss «allen interessierten Personen» offenstehen, also auch Personen ausserhalb des Unternehmens. Die Meldungen sind zu dokumentieren.
EU-Tochtergesellschaften. Der Schwellenwert der EU-Richtlinie von 50 Beschäftigten gilt pro rechtliche Einheit. Eine Schweizer Gruppe mit einer Tochtergesellschaft von 120 Personen in Deutschland muss für diese Tochtergesellschaft einen Meldekanal nach dem deutschen HinSchG bereitstellen, gleichgültig, was die Muttergesellschaft tut. Die Gruppe kann mehrere Gesellschaften über ein System bedienen, aber jede EU-Gesellschaft im Anwendungsbereich trägt ihre eigenen nationalen Pflichten. Die Einzelheiten nach Ländern stehen auf den Länderseiten .
Worauf ein Schweizer Meldekanal achten muss #
Eine unverändert übernommene EU-Vorlage gibt Schweizer Mitarbeitenden an vier Stellen falsche Hinweise.
- Der externe Meldeweg. EU-Vorlagen sagen Meldenden, sie könnten sich jederzeit an die zuständige Behörde wenden, ohne Pflicht, zuerst intern zu melden. Das kehrt die Schweizer Kaskade um und könnte Mitarbeitende, die sich darauf verlassen, einem Risiko aussetzen. Eine Schweizer Fassung erklärt die Kaskade. Die Schweiz hat keine allgemeine externe Behörde: Die FINMA nimmt Meldungen zum Finanzmarktrecht entgegen, die Eidgenössische Finanzkontrolle (EFK) zur Bundesverwaltung und die Strafverfolgungsbehörden zu Straftaten.
- Repressalien. Die Beweislastumkehr der EU-Richtlinie und ihre Haftungsfreistellung gibt es im Schweizer Recht nicht. Eine Schweizer Fassung kann Repressalien dennoch als eigene Verpflichtung des Unternehmens verbieten, und sie sollte sagen, dass es genau das ist.
- Datenschutz. Massgebend ist das Bundesgesetz über den Datenschutz (DSG), Aufsichtsbehörde ist der EDÖB. Nach Art. 19 Abs. 4 DSG muss die Datenschutzerklärung jeden Staat nennen, in den die Daten bekanntgegeben werden; «in der EU gehostet» genügt daher nicht.
- Wohin Meldungen gehen. Art. 273 StGB bestraft, wer ein Geschäftsgeheimnis einer fremden amtlichen Stelle oder einer ausländischen privaten Unternehmung zugänglich macht. Eine Gruppe, die Meldungen über eine Schweizer Gesellschaft an eine Meldestelle im Ausland leitet, muss diese Frage beantworten, bevor sie ein System wählt.
Für die Punkte, die das Schweizer Recht offenlässt, bleibt die EU-Richtlinie der beste verfügbare Massstab. Eine Eingangsbestätigung innert sieben Tagen und eine Rückmeldung innert drei Monaten machen einen internen Meldekanal glaubwürdig für die Menschen, die die Kaskade dorthin schickt.
EthicsPortal für Schweizer Gesellschaften #
EthicsPortal betreibt jetzt Meldekanäle für Organisationen, die in der Schweiz eingetragen sind. Ist die betreibende Gesellschaft schweizerisch, folgen die erzeugten Dokumente dem Schweizer Recht:
- Die Richtlinie zum Hinweisgeberschutz erklärt die Kaskade und die sektoriellen Behörden und stellt den Schutz vor Repressalien als eigene Verpflichtung der Organisation dar.
- Die Datenschutzerklärung ist nach dem DSG verfasst, nennt den EDÖB und nennt Deutschland als Staat, in dem die Meldungen gespeichert werden, sowie Frankreich und die Niederlande, wo die Anbieter für E-Mail-Versand und Monitoring ansässig sind. Alle drei Staaten anerkennt der Bundesrat als Staaten mit angemessenem Datenschutz.
- Compliance-Zertifikat und Compliance-Bericht beschreiben die EU-Richtlinie als freiwillig angewandten Standard und behaupten keine Konformität mit einem Schweizer Whistleblower-Gesetz.
- Der Auftragsverarbeitungsvertrag enthält die Bestimmungen, die das DSG für Auftragsbearbeiter verlangt.
Die Meldungen werden von Hetzner in Deutschland im Rahmen eines Auftragsverarbeitungsvertrags gespeichert; Meldungstext, Angaben zur meldenden Person, Antworten auf die Erfassungsfragen und Anhänge sind in der Anwendung verschlüsselt. Ein Gerichtsentscheid dazu, ob die Speicherung durch einen vertraglich gebundenen Auftragsbearbeiter im Ausland ein «Zugänglichmachen» im Sinne von Art. 273 StGB ist, ist uns nicht bekannt. Das Bundesgericht sieht ein Geheimnis als zugänglich gemacht, sobald der Adressat davon Kenntnis nehmen kann, verlangt aber einen Bezug zur Schweiz und hält fest, dass die herrschende Lehre Art. 273 zurückhaltend anwenden will (BGE 141 IV 155 ). In der Hand der Organisation liegt, wer die Meldungen liest: Nur die Personen, die sie hinzufügt, können sie öffnen, sodass eine Schweizer Gesellschaft die Fallbearbeitung in der Schweiz halten kann.
Meldende können in jeder der 14 Sprachen der Oberfläche melden, darunter Deutsch, Französisch und Italienisch, anonym und ohne Konto, und den Fall über einen Zugangscode weiterverfolgen.
Zuletzt aktualisiert: