Am 31. August 2022 hat der Bundesrat die neue Datenschutzverordnung ("DSGVO") verabschiedet und beschlossen, dass das neue DSG und die neue DSGVO am 1. September²⁰²³² in Kraft treten sollen. Im Hinblick auf den Datenschutz bei Whistleblowing-Prozessen ist es wichtig, Themen wie den Umgang mit personenbezogenen Daten sowohl der meldenden als auch der beschuldigten Person, Informationspflichten, Auskunftsrechte, Aufbewahrung von Aufzeichnungen und Praktiken und Richtlinien zur Datenspeicherung und -aufbewahrung zu berücksichtigen.

Gemäss Art. 321 a Abs.. 1 des Obligationenrechts ("OR") hat der Arbeitnehmer die berechtigten Interessen des Arbeitgebers nach Treu und Glauben zu wahren. Art. 321 a Abs.. 4 OR legt die Verpflichtung zur Vertraulichkeit fest.
Demnach müssen Arbeitnehmer Fehlverhalten zunächst intern an den Arbeitgeber melden. Erst wenn alle Möglichkeiten der internen Meldung ausgeschöpft sind und nur dann, wenn ein öffentliches Interesse besteht, kann der Mitarbeiter die betreffende Angelegenheit den Behörden gegenüber offenlegen. Wenn die Behörden keine Massnahmen ergreifen, kann der Mitarbeiter als letzten Ausweg das Fehlverhalten der Öffentlichkeit melden. Es liegt daher im eigenen Interesse einer Organisation, für angemessene interne Meldemöglichkeiten zu sorgen und Meldungen unvoreingenommen und gründlich zu untersuchen. Wenn sich ein Mitarbeiter dazu entscheidet, ausserhalb des Unternehmens zu berichten, kann die Angelegenheit schnell ausser Kontrolle geraten und zu einer grossen Krise führen.

Das Schweizer Recht und die Best Practices erwarten, dass der Verwaltungsrat die Verantwortung für das interne Kontrollsystem übernimmt und sich mit Risiken und Compliance befasst^.3 Im Swiss Code of Best Practice for Corporate Governance heisst es: "Der Verwaltungsrat sollte für interne Kontroll- und Risikomanagementsysteme sorgen, die für das Unternehmen geeignet sind. Das Risikomanagement bezieht sich auf finanzielle, operative und reputationsbezogene Risiken". Somit ist der Verwaltungsrat auch für Datenschutzangelegenheiten und die korrekte Umsetzung des überarbeiteten Datenschutzgesetzes verantwortlich. Da der Datenschutz ein Schlüsselelement in jedem Whistleblowing-System ist, bedeutet diese Verantwortung auch, dass der Vorstand strafrechtlichen Sanktionen ausgesetzt sein kann, die sich aus der Datenschutzgesetzgebung ergeben. Es ist bemerkenswert, dass es sich bei den Sanktionen nach dem revidierten Datenschutzgesetz um (verwaltungs-)strafrechtliche Sanktionen handelt, die in einem Strafverfahren verhängt werden, die verantwortlichen Personen persönlich betreffen und nicht vom Unternehmen bezahlt oder versichert werden dürfen.

Es reicht nicht aus, nur eine Whistleblowing-Hotline zu haben. Unternehmen müssen auch über ein umfassendes Ethikprogramm und eine entsprechende Unternehmenskultur verfügen, damit sich die Mitarbeiter befähigt und sicher genug fühlen, um ihre Meinung zu sagen. Dies ist besonders wichtig in der Schweiz, wo die Angst vor Vergeltungsmassnahmen nach wie vor sehr real ist. Laut der internationalen Umfrage Ethics at Work: 2021 haben in der Schweiz nur 41% der Mitarbeiter (einer der niedrigsten Werte unter den 13 untersuchten Ländern), die von einem Fehlverhalten am Arbeitsplatz erfahren haben, dieses gegenüber der Geschäftsleitung, einer anderen geeigneten Person oder über einen anderen Mechanismus zur Sprache gebracht. Mit anderen Worten, mehr als die Hälfte der Arbeitnehmer schweigt, wenn Betrug oder Fehlverhalten am Arbeitsplatz beobachtet wird, was eine schockierend hohe Zahl ist. Der Hauptgrund, warum Schweizer Arbeitnehmer ihre Bedenken nicht äussern, ist, dass sie meinen, es könnte ihren Arbeitsplatz gefährden.

Wenn Sie zeigen, dass Whistleblowing-Meldungen ernst genommen und zügig bearbeitet werden, schaffen Sie Vertrauen bei Ihren Mitarbeitern und ermutigen sie letztlich, sich zu melden, wenn sie Zeugen von Fehlverhalten werden. Der Vorstand ist daher gut beraten, das Betrugsrisiko ernst zu nehmen und den Ansatz der Organisation zur Prävention, Aufdeckung und Reaktion auf Betrug und Fehlverhalten zu überprüfen. Dazu gehört auch eine Überprüfung des Whistleblowing-Systems der Organisation (z.B. anhand der Grundsätze der ISO 37002) und eine Überprüfung, um sicherzustellen, dass die Mitarbeiter wissen, wann und wie sie es nutzen können. Darüber hinaus sollte die Organisation sicherstellen, dass die mit der Bearbeitung von Whistleblowing-Fällen betrauten Mitarbeiter alle potenziell relevanten Risiken kennen und wissen, wie ein Fall angemessen zu behandeln ist. Ein Beispiel: Ein Mitarbeiter meldet über die Whistleblowing-Hotline, dass sich hinter dem Werk der Organisation ein Loch in der Wiese befindet, in dem nichts mehr wächst. Handelt es sich hier nur um Verschwendung oder könnte dies möglicherweise ein Umweltrisiko darstellen?

Die zunehmende wirtschaftliche Unsicherheit erzeugt Druck auf verschiedenen Ebenen einer Organisation. Wir haben beobachtet, dass in Zeiten wirtschaftlicher Instabilität die Rechtfertigung für betrügerische Handlungen zunehmen kann, sei es in Form von Diebstahl, Bilanzbetrug, Interessenkonflikten oder sogar Korruption. Unternehmen sollten ihren Rahmen für das Betrugsmanagement überdenken, Kontrollen anpassen und Hintertüren für erhöhte Betrugsrisiken schliessen, insbesondere angesichts der jüngsten Veränderung der Arbeitsmuster hin zu hybriden Arbeitsmodellen.

In der heutigen, sich ständig verändernden Welt ist es wichtig, auch Themen wie ökologische und soziale Unternehmensführung (Environmental Social Governance, ESG), moderne Sklaverei, Sanktionen und Datenschutz/Datentransfer in die Whistleblowing-Politik zu integrieren.
Nicht nur finanzieller Betrug und Fehlverhalten können sich negativ auf ein Unternehmen auswirken, indem sie z.B. den Ruf des Unternehmens zerstören, das Unternehmen einer intensiven Prüfung durch die Medien aussetzen, die Beziehungen zu Lieferanten, Kunden, Finanzinstituten und Finanzmärkten unterminieren und/oder die Moral der Mitarbeiter schädigen und zu einer erhöhten Fluktuation führen.