Martin Walter - Hinweisgebersysteme

70

Die Relevanz von Datenschutz im Verhältnis zu anderen Rechtsgebieten nimmt aktuell erheblich an Bedeutung zu. Das liegt vor allem auch daran, dass durch die DSGVO und das darin enthaltene Haftungssystem empfindliche Strafen bei Verstößen drohen. Die ersten Folgen waren bereits im Jahr 2019 zu spüren, als zwei Geldbußen in Höhe von 10 Mio. EUR und 14 Mio. EUR für Verstöße im Bereich des mittleren bis unteren Ende des Schwerespektrums verhängt wurden.[26] Ein Nebenaspekt ist das Thema Cyber Security. Schützt ein Unternehmen die Daten seiner Kunden oder Mitarbeiter nicht in ausreichendem Maß, drohen auch hierfür Geldbußen nach der DSGVO.

71

Auch wenn die DSGVO selbst keine ausreichend spezifischen Anforderungen an ein effektives Compliance Management System formuliert, können die Grundsätze der DSGVO mithilfe bestehender IT-spezifischer ISO Normen (insbesondere ISO 27001 und ISO 27005) durchaus konkretisiert werden.[27]

72

Neben den klassischen Maßnahmen, wie beispielsweise der Durchführung von Schulungen und Audits, der Einrichtung von Anlaufstellen und der Implementierung unternehmensinterner Richtlinien, kommt dem Datenschutzbeauftragten als „Compliance-Organisation“ eine zentrale Funktion zu.[28]

[1]

Die ISO 19600 Compliance Management Systeme-Leitlinien wurde im Dezember 2014 veröffentlicht. Darin wird beschrieben, wie in einem Unternehmen ein CMS eingeführt, umgesetzt und die Wirksamkeit nachgewiesen werden kann. Aufgrund des Umstandes, dass die ISO 19600 nur als empfehlende Norm konzipiert war (Level-B-Norm), konnte sie zunächst nicht unmittelbar zertifiziert werden. Vor diesem Hintergrund wurde durch die ISO ein Prozess eingeleitet, um die ISO 19600 zu einer zertifizierbaren Norm (Level-A-Norm) weiterzuentwickeln. Dies wird voraussichtlich Anfang 2021 durch die Veröffentlichung der ISO 37301 erfolgen. Die neue ISO 37301 unterscheidet sich inhaltlich nur geringfügig von der bisherigen ISO 19600. Definiert werden die Anforderungen an den Aufbau, die Umsetzung und die Prozesse für Konzept, Umsetzung und Wirksamkeitskontrolle eines CMS. Zukünftig haben daher Unternehmen die Möglichkeit, durch eine Zertifizierung nach der ISO 37301 die Umsetzung eines wirksamen CMS nachweisen zu können.

[2]

Vgl. hierzu auch Soyer/ Ruhmannseder Handbuch Unternehmensstrafrecht, Rn. 13.14 ff.

[3]

US DOJ, Evaluation of Corporate Compliance Programs, Updated June 2020. Auf: www.justice.gov/criminal-fraud/page/file/937501/download(zuletzt besucht: 11.3.2021).

[4]

US DOJ/US SEC, A Resource Guide to the US Foreign Corrupt Practices Act, Second Edition 2020. Auf www.justice.gov/criminal-fraud/file/1292051/download(zuletzt besucht: 11.3.2021).

[5]

Siegler CCZ 2014, 186, 187.

[6]

US DOJ/US SEC, A Resource Guide to the US Foreign Corrupt Practices Act, Second Edition 2020, Chapter 5, S. 66. Auf: www.justice.gov/criminal-fraud/file/1292051/download(zuletzt besucht: 11.3.2021).

[7]

Vgl. Scheint NJW-Spezial, in: 2011, 440.

[8]

Ministry of Justice, The Bribery Act 2010 Guidance, März 2011. Auf: www.justice.gov.uk/downloads/legislation/bribery-act-2010-guidance.pdf(zuletzt besucht: 11.3.2021).

[9]

The Bribery Act 2010 Guidance, S. 22-23.

[10]

Vgl. Art. 17 des Sapin 2.

[11]

Schumacher/Saby CCZ 2017, 68 f.

[12]

ISO 37001:2016 (E), 8.9 Raising concerns, S. 17 f.

[13]

Vgl. Hauschka/Moosmayer/Lösler/ Leipold Corporate Compliance, § 50 Rn. 20.

[14]

Dieners Handbuch Compliance im Gesundheitswesen, J. EFPIA-Kodices, Rn. 54.

[15]

IFPMA, Code of Practice (2019). Auf: www.ifpma.org/wp-content/uploads/2018/09/IFPMA_Code_of_Practice_2019.pdf(zuletzt besucht: 11.3.2021).

[16]

AKG e.V., Verhaltenskodex der Mitglieder des „Arzneimittel und Kooperations im Gesundheitswesen e.V.“, April 2015. Auf: www.ak-gesundheitswesen.de/wp-content/uploads/akg-verhaltenskodex-22-04-2015-blanco.pdf(zuletzt besucht: 11.3.2021).

[17]

MedTech Europe, Code of ethical Business Practice, Dezember 2015. Auf: www.medtecheurope.org/wp-content/uploads/2017/06/2020_mte_medtech-europe-code-of-ethical-business-practice-qa-dg.pdf(zuletzt besucht: 11.03.2021).

[18]

Hauschka/Moosmayer/Lösler/ Leipold Corporate Compliance, § 50 Rn. 7.

[19]

Ramb CCZ 2015, 262, 264.

[20]

US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, April 2019.

[21]

US DOJ, Evaluation of Corporate Compliance Programs in Criminal Antitrust Investigations, April 2019, S. 11.

[22]

ICC The ICC Antitrust Compliance Toolkit, April 2013. Auf: https://cdn.iccwbo.org/content/uploads/sites/3/2013/04/ICC-Antitrust-Compliance-Toolkit-ENGLISH.pdf(zuletzt besucht: 11.03.2021).

[23]

ICC The ICC Antitrust Compliance Toolkit, 3. Risk identification and assessment, S. 16.

[24]

Kasten/Traugott CCZ 2015, 157, 160.

[25]

Department of the Treasury, A Framework for OFAC Compliance Commitments. Auf: https://home.treasury.gov/system/files/126/framework_ofac_cc.pdf(zuletzt besucht: 11.3.2021).

[26]

Vgl. dazu etwa Kehr/Zapp CB 2020, 100.

[27]

Jung ZD 2018, 208, 211.

[28]

Wichtermann ZD 2016, 421, 422.

2. Kapitel Grundprinzipien eines Compliance Management Systems› II. Der Weg zu einem effektiven Compliance Management System

73

Wie im vorstehenden Kapitel dargestellt, bestehen für die einzelnen Rechtsgebiete unterschiedliche Standards und Vorgaben, wie ein CMS ausgestaltet sein soll. Unternehmen müssen daher wissen, welche Standards sie zwingend zu befolgen haben bzw. welche Standards sie sich als freiwillige Vorgabe auferlegen können. Auch wenn die einzelnen Standards teilweise unterschiedlich aufgebaut sind, so enthalten sie doch im Wesentlichen dieselben Bestandteile. In diesem Kapitel fassen wir kurz zusammen, was die Grundelemente eines CMS sind.

2. Kapitel Grundprinzipien eines Compliance Management Systems› II. Der Weg zu einem effektiven Compliance Management System› 1. Führungskultur und Compliance-Organisation

74

Vorstände und Geschäftsführer prägen Unternehmen. Das gilt nicht nur für die wirtschaftlichen Entscheidungen, in welche Richtung sich das Unternehmen entwickeln soll. Das gilt vor allem auch für die Art und Weise, wie ein Unternehmen sein Geschäft betreibt. Es liegt in der Macht der Geschäftsführung, die Weichen dafür zu stellen, dass eine solide Zukunftsausrichtung, Integrität und Moral, sowie Nachhaltigkeit des Wirtschaftens das Unternehmen bestimmen werden.[1] Damit ein CMS effektiv sein kann, bedarf es seitens der Geschäftsleitung einer starken und regelmäßigen Kommunikation hin zur Integrität.[2] Damit die Geschäftsleitung aufrichtig und sinnvoll zu Compliance-Themen kommunizieren kann, muss sie zuerst selbst das notwendige Verständnis für diese wichtigen Themen entwickelt haben. Daher gehören regelmäßige Besprechungenzu Compliance-Themen in den Meetings der obersten Führungsebene und auch die regelmäßige Schulungzu Compliance-Themen zu den wesentlichen Bestandteilen eines CMS auf Ebene der Geschäftsleitung.[3] Im zweiten Schritt sollte die Geschäftsleitung regelmäßig im Rahmen von Betriebsversammlungen oder durch andere Kommunikationsmittel unterstreichen, dass sauberes und integres Geschäft zu den wichtigsten Säulen der eigenen Geschäftstätigkeit gehört („tone from the top“).