Wer ist zur Einrichtung eines internen Meldekanals in Luxemburg verpflichtet?

Einleitung: Das Hinweisgeberschutzgesetz im Großherzogtum Luxemburg

Mit der Verabschiedung des Gesetzes vom 16. Mai 2023 hat das Großherzogtum Luxemburg einen grundlegenden Wandel in seiner Unternehmens- und Verwaltungskultur vollzogen. Ziel des Gesetzgebers war es nicht bloß, die europäische Richtlinie (EU) 2019/1937 formal in nationales Recht zu überführen, sondern einen robusten, lückenlosen und praxistauglichen Rechtsrahmen zu schaffen, der Hinweisgeber vor Vergeltungsmaßnahmen schützt und zugleich die Integrität des internationalen Finanzplatzes und der nationalen Wirtschaft stärkt.

In einem Land, das als globales Zentrum für Investmentfonds, Private Banking, grenzüberschreitende Versicherungsdienstleistungen und multinationale Konzernsitze fungiert, sind die Anforderungen an Compliance und Risikomanagement naturgemäß überdurchschnittlich hoch. Die Pflicht zur Einrichtung eines sicheren, vertraulichen und unabhängigen internen Meldekanals trifft daher nicht nur industrielle Großbetriebe, sondern erstreckt sich über ein weit verzweigtes Spektrum von Finanzinstituten, Wirtschaftsprüfern, Treuhandgesellschaften, Rechtsanwaltskanzleien und Einrichtungen des öffentlichen Sektors.

Dieser Leitfaden erläutert detailliert, welche Organisationen gesetzlich zur Implementierung eines Meldesystems verpflichtet sind, nach welchen Berechnungsregeln die Schwellenwerte für Arbeitnehmer ermittelt werden, welche Ausnahmen ohne jeden Schwellenwert (ab dem ersten Beschäftigten) gelten und welche drastischen Verwaltungssanktionen von bis zu 250.000 Euro (bzw. 500.000 Euro im Wiederholungsfall) bei Säumnis drohen.

Der allgemeine Schwellenwert von 50 Beschäftigten im privaten Sektor

Gemäß Artikel 6 Absatz 1 des Gesetzes vom 16. Mai 2023 sind alle juristischen Personen des privaten Sektors, die mindestens 50 Arbeitnehmer beschäftigen, gesetzlich verpflichtet, interne Meldekanäle und Verfahren für Meldungen und Folgemaßnahmen einzurichten:

« Les entités juridiques du secteur privé comptant au moins 50 travailleurs sont tenues de mettre en place des canaux et des procédures de signalement interne et de suivi. »

Zeitliche Staffelung des Inkrafttretens

Das luxemburgische Gesetz sah einen zweistufigen Zeitplan für die betriebliche Umsetzung vor:

• Großunternehmen mit 250 oder mehr Arbeitnehmern: Für diese Unternehmen trat die Verpflichtung unmittelbar am 21. Mai 2023 (vier Tage nach Veröffentlichung im Mémorial A) in Kraft. Es galt keinerlei Übergangsfrist;
• Mittelständische Unternehmen mit 50 bis 249 Arbeitnehmern: Für diese Unternehmenskategorie gewährte der Gesetzgeber eine Übergangsfrist bis zum 17. Dezember 2023. Seit diesem Datum müssen ausnahmslos alle Betriebe ab 50 Beschäftigten über einen voll funktionsfähigen, gesetzeskonformen Meldekanal verfügen.

Rechtsformen der verpflichteten Rechtsträger

Die Verpflichtung knüpft an die Existenz einer juristischen Person des Privatrechts an, unabhängig von ihrer Rechtsform oder ihrem satzungsmäßigen Zweck. Erfasst sind unter anderem:

• Aktiengesellschaften (Société Anonyme - S.A.) und Europäische Gesellschaften (SE);
• Gesellschaften mit beschränkter Haftung (Société à responsabilité limitée - S.à r.l. und vereinfachte S.à r.l.-S);
• Kommanditgesellschaften (Société en commandite simple - SCS und Société en commandite spéciale - SCSp);
• Gemeinnützige Vereinigungen und Stiftungen (Associations sans but lucratif - ASBL und Fondations);
• Genossenschaften (Sociétés coopératives) und wirtschaftliche Interessengemeinschaften (GIE).

Berechnungsmethode der Belegschaftsschwelle nach luxemburgischem Arbeitsrecht

Eine zentrale Frage in der Unternehmenspraxis lautet: Wie genau wird der Schwellenwert von 50 Arbeitnehmern berechnet? Das Gesetz vom 16. Mai 2023 verweist auf die bewährten Grundsätze des luxemburgischen Arbeitsgesetzbuches (Code du travail), die auch für die Einrichtung einer Personaldelegation (Délégation du personnel) herangezogen werden (Artikel L. 411-1 ff. Code du travail).

Referenzzeitraum: Jahresdurchschnitt der vorangegangenen 12 Monate

Der Schwellenwert wird nicht an einem willkürlichen Stichtag gemessen, sondern berechnet sich als arithmetischer Monatsdurchschnitt der während der vorangegangenen 12 Monate beschäftigten Arbeitnehmer. Dies verhindert, dass kurzfristige saisonale Spitzen oder vorübergehende Auftragsschwankungen eine dauerhafte Meldekanalpflicht auslösen oder künstlich umgangen werden.

Anrechnungsregeln für verschiedene Beschäftigtengruppen

Bei der Ermittlung der Gesamtzahl der Arbeitnehmer sind folgende differenzierte Kriterien zu beachten:

Die Null-Schwelle: Verpflichtete Finanz- und regulierte Unternehmen ab 1 Arbeitnehmer

Eine der weitreichendsten Besonderheiten des luxemburgischen Hinweisgeberschutzrechts ist die sogenannte Null-Schwelle. Nach Artikel 6 Absatz 3 des Gesetzes vom 16. Mai 2023 gilt der Schwellenwert von 50 Arbeitnehmern nicht für Unternehmen, die unter spezifische Rechtsakte der Europäischen Union zur Finanzmarktregulierung oder zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung (AML/CFT) fallen.

Solche Institute sind bereits ab dem ersten Beschäftigten (1 Mitarbeiter) zwingend verpflichtet, einen internen Meldekanal einzurichten und zu betreiben:

Von der CSSF beaufsichtigte Finanzinstitute

Die Commission de Surveillance du Secteur Financier (CSSF) überwacht die Einhaltung bei sämtlichen regulierten Akteuren des Banken- und Investmentsektors:

• Kreditinstitute und Spezialbanken (Art. 2 des Gesetzes vom 5. April 1993 über den Finanzsektor);
• Verwaltungsgesellschaften von OGAW (UCITS ManCos) und Verwalter alternativer Investmentfonds (AIFM) nach dem Gesetz vom 12. Juli 2013;
• Wertpapierfirmen, Anlageberater und Broker;
• Professionelle des Finanzsektors (PSF) spezialisierter, unterstützender oder anlagebezogener Natur;
• Zahlungsinstitute und E-Geld-Institute.

Vom CAA beaufsichtigter Versicherungssektor

Das Commissariat aux Assurances (CAA) kontrolliert den Versicherungs- und Rückversicherungssektor. Der Null-Schwellenwert greift für:

• Direktversicherungsgesellschaften (Lebens- und Nichtlebensversicherung);
• Rückversicherungsunternehmen (Sociétés de réassurance);
• Versicherungsmakler und zugelassene Versicherungsvermittler.

Verpflichtete nach dem Geldwäschegesetz vom 12. November 2004

Auch Freiberufler und Dienstleister, die der Aufsicht bezüglich der Verhinderung von Geldwäsche unterliegen, müssen ab dem ersten Mitarbeiter einen internen Kanal vorhalten:

• Treuhand- und Domizilierungsgesellschaften (Sociétés de domiciliation);
• Wirtschaftsprüfer (Réviseurs d'entreprises agréés) und Buchsachverständige (Experts-comptables);
• Notare und Rechtsanwälte (Avocats à la Cour), soweit sie Finanz-, Immobilien- oder Gesellschaftstransaktionen für Mandanten strukturieren oder begleiten;
• Immobilienmakler und Händler hochwertiger Güter.

Verpflichtungen des öffentlichen Sektors in Luxemburg

Das Gesetz vom 16. Mai 2023 erfasst den öffentlichen Sektor umfassend und untersagt jegliche Diskriminierung zwischen öffentlich Bediensteten und Beschäftigten der Privatwirtschaft:

Staatliche Verwaltung und Ministerien

Alle staatlichen Ministerien, Verwaltungen (z. B. Steuerverwaltung Administration des contributions directes, Zollverwaltung Administration des douanes et accises) und Gerichte sind ausnahmslos zur Bereitstellung interner Meldesysteme verpflichtet.

Öffentliche Einrichtungen und Kammern

Öffentliche Anstalten (Établissements publics wie die Universität Luxemburg, der Fonds National de la Recherche oder das Centre Hospitalier de Luxembourg) sowie die berufsständischen Kammern (Handelskammer, Arbeitskammer, Handwerkskammer) unterliegen der gleichen Verpflichtung.

Gemeinden (Communes) und Gemeindesyndikate

Für kommunale Gebietskörperschaften normiert Artikel 6 Absatz 1 Unterabsatz 2 eine differenzierte Regelung:

• Gemeinden mit mindestens 10.000 Einwohnern müssen zwingend einen eigenen Meldekanal einrichten;
• Gemeinden mit mindestens 50 Beschäftigten oder Beamten sind unabhängig von der Einwohnerzahl meldekanalpflichtig;
• Kleinere Gemeinden mit weniger als 10.000 Einwohnern und weniger als 50 Mitarbeitern können interne Meldekanäle gemeinsam mit anderen Gemeinden oder über Gemeindesyndikate (Syndicats intercommunaux wie SIGI) betreiben und Ressourcen bündeln.

Beteiligungsrechte der Personaldelegation (Code du travail)

In luxemburgischen Unternehmen bildet die Personaldelegation (Délégation du personnel) das Herzstück der Mitbestimmung. Die Implementierung eines internen Hinweisgebersystems berührt arbeitsrechtliche Kernbereiche und erfordert die strikte Beachtung der gesetzlichen Mitwirkungsverfahren:

Informations- und Konsultationspflicht (Art. L. 414-1 ff.)

Die Unternehmensleitung muss die Personaldelegation im Vorfeld der Einführung des Meldekanals umfassend unterrichten und anhören. Gegenstand der Konsultation sind:

• Die Wahl des technischen Meldesystems und dessen Sicherheitsarchitektur;
• Die Benennung und Unabhängigkeit der für die Bearbeitung zuständigen Person (z. B. Compliance Officer oder externer Ombudsmann);
• Die interne Melderichtlinie (Whistleblowing Policy) und der Schutz vor Vergeltungsmaßnahmen;
• Die Aufklärung der Beschäftigten über den Vorrang interner Meldeschritte.

Zwingende Mitbestimmung bei technischer Überwachung (Art. L. 414-9)

In Unternehmen mit mindestens 150 Arbeitnehmern räumt Artikel L. 414-9 Absatz 1 Ziffer 3 dem Betriebsrat ein echtes Mitbestimmungsrecht ein, wenn Systeme eingeführt werden, die zur Verhaltens- oder Leistungskontrolle der Beschäftigten geeignet sind:

« L'introduction ou la modification d'installations ayant pour objet de contrôler le comportement et le rendement des salariés à leur poste de travail requiert la codécision de la délégation du personnel. »

Wird ein Meldesystem genutzt, das Server-Logs auswertet oder IP-Adressen im Firmennetzwerk überwacht, ist die formelle Zustimmung der Personaldelegation unverzichtbar. Die neutrale, externe SaaS-Lösung UNOVOX mit Zero-Knowledge-Architektur vermeidet diese Überwachungsrisiken und erleichtert die einvernehmliche Zustimmung der Arbeitnehmervertreter erheblich.

Pooling-Möglichkeiten und Ressourcenteilung für KMU (50 bis 249 Mitarbeiter)

Um kleinere und mittlere Unternehmen nicht unverhältnismäßig administrativ zu belasten, gestattet Artikel 6 Absatz 4 des Gesetzes eine pragmatische Erleichterung:

• Gemeinsame Nutzung von Ressourcen: Juristische Personen des privaten Sektors mit 50 bis 249 Beschäftigten dürfen Meldekanäle, Ermittlungskapazitäten und externe Ombudspersonen gemeinsam mit anderen Unternehmen derselben Größenordnung nutzen;
• Eigenverantwortung bleibt bestehen: Auch bei geteilten Ressourcen verbleibt die rechtliche Gesamtverantwortung für die Einhaltung der Fristen (7 Tage für die Empfangsbestätigung, 3 Monate für die Rückmeldung), die Wahrung der Vertraulichkeit und das Abstellen festgestellter Missstände bei jedem einzelnen Unternehmen;
• Konzernstrukturen: Tochtergesellschaften mit 50 bis 249 Mitarbeitern können auf den Meldekanal der Konzernmutter zurückgreifen, sofern für die Beschäftigten vor Ort ein klar verständlicher, sprachlich zugänglicher und lokaler Ansprechpartner garantiert ist. Großunternehmen ab 250 Mitarbeitern müssen hingegen stets einen eigenen, eigenständigen Meldekanal vorhalten.

Sanktionen bei Pflichtverletzung: Geldbußen bis zu 250.000 € (Art. 26)

Das Großherzogtum Luxemburg hat sich für ein drakonisches Sanktionsregime entschieden, um der Gesetzesinitiative echte Durchschlagskraft zu verleihen. Die zuständigen Kontrollbehörden (insbesondere die Gewerbeaufsicht Inspection du Travail et des Mines - ITM, die Finanzaufsicht CSSF, das Commissariat aux Assurances und die CNPD) verfügen über weitreichende Sanktionsbefugnisse:

Zwei Praxisfälle aus Luxemburg

Fallbeispiel 1: Eine Private-Equity-Boutique mit 14 Mitarbeitern am Boulevard Royal

Ausgangslage: Eine spezialisierte Vermögensverwaltungsgesellschaft strukturiert alternative Investmentfonds. Sie beschäftigt lediglich 14 feste Mitarbeiter, darunter 3 Geschäftsführer. Die Geschäftsleitung geht davon aus, dass das Hinweisgeberschutzgesetz erst ab 50 Arbeitnehmern gelte und kein Handlungsbedarf bestehe.

Rechtliche Prüfung: Da die Gesellschaft als Verwalter alternativer Investmentfonds (AIFM) unter der direkten Aufsicht der CSSF steht, greift die Schwellenwertbefreiung des Artikels 6 Absatz 3. Die Gesellschaft unterliegt der Verpflichtung ab dem ersten Arbeitnehmer.

Lösung: Um ein Bußgeld der CSSF von bis zu 250.000 Euro und Rügen im Jahresprüfungsbericht abzuwenden, implementiert die Gesellschaft die gesetzeskonforme Plattform UNOVOX mit externer Weiterleitung an einen unabhängigen Rechtsanwalt als Ombudsperson. Die Erfüllung der Meldepflicht wird innerhalb von 48 Stunden sichergestellt.

Fallbeispiel 2: Ein Industriebetrieb mit 110 Mitarbeitern in Differdingen

Ausgangslage: Ein mittelständisches Metallbauunternehmen beschäftigt 90 Vollzeitkräfte, 15 Grenzgänger aus Lothringen und 10 Leiharbeitnehmer im Jahresdurchschnitt. Die Personaldelegation beanstandet das Fehlen eines vertraulichen Meldekanals für Verstöße gegen Arbeitssicherheits- und Umweltauflagen.

Rechtliche Prüfung: Nach den Berechnungsregeln des Code du travail überschreitet das Unternehmen mit 105 Vollzeitäquivalenten deutlich den Schwellenwert von 50 Beschäftigten. Die Übergangsfrist zum 17. Dezember 2023 ist längst abgelaufen.

Lösung: Nach formaler Unterrichtung der Personaldelegation schaltet das Unternehmen das digitale Meldesystem UNOVOX live. Die Mitarbeiter können nun Sicherheitsmängel am Arbeitsplatz anonym oder vertraulich auf Deutsch, Französisch oder Luxemburgisch melden, ohne arbeitsrechtliche Repressalien befürchten zu müssen.

Warum UNOVOX die ideale Lösung für den luxemburgischen Markt ist

Die Softwareplattform UNOVOX wurde maßgeschneidert entwickelt, um den anspruchsvollen regulatorischen Anforderungen des luxemburgischen Rechts und der europäischen Datenschutzstandards gerecht zu werden:

• Vollständige Gesetzeskonformität: Abdeckung aller Vorgaben des Gesetzes vom 16. Mai 2023, der CSSF-Rundschreiben und der ITM-Richtlinien;
• Echtes Trilinguisme (Luxemburgisch, Deutsch, Französisch): Barrierefreie Bedienung in den drei Amtssprachen des Großherzogtums sowie auf Englisch für internationale Teams;
• Höchste IT-Sicherheit & Zero-Knowledge-Architektur: Ende-zu-Ende-Verschlüsselung (AES-256) garantiert, dass weder Administratoren noch Serverbetreiber Einsicht in vertrauliche Meldungen nehmen können;
• Revisionssicheres Fristen-Management: Automatische Erinnerungsfunktionen stellen sicher, dass die 7-Tage-Frist für Empfangsbestätigungen und die 3-Monate-Frist für Folgemaßnahmen punktgenau eingehalten werden;
• Rechtsstandort Europäische Union: Datenhaltung in ISO-27001-zertifizierten Rechenzentren innerhalb der EU unter strikter Einhaltung der Vorgaben der luxemburgischen Datenschutzkommission (CNPD).