Hinweisgebersystem

Rechtsrahmen und Pflicht

Das spanische Gesetz 2/2023 vom 20. Februar (im Folgenden Gesetz 2/2023) setzt die EU-Richtlinie 2019/1937 in spanisches Recht um und verpflichtet bestimmte Einrichtungen, ein Internes Informationssystem zu betreiben, über das Hinweise auf Verstöße gegen Unionsrecht und spanisches Recht eingereicht werden können.

Estrategeos S.L. ist verpflichteter Adressat des spanischen Geldwäschegesetzes 10/2010 vom 28. April in ihrer Eigenschaft als Steuerberatungskanzlei (Art. 2.1.t des Gesetzes 10/2010). Gemäß Art. 10.1 und der fünften Zusatzbestimmung des Gesetzes 2/2023 sind alle Adressaten des Gesetzes 10/2010 unabhängig von ihrer Mitarbeiterzahl verpflichtet, ein Internes Informationssystem zu unterhalten.

Sachlicher Geltungsbereich

Über diesen Kanal können Handlungen oder Unterlassungen gemeldet werden, die nach Art. 2 des Gesetzes 2/2023 darstellen können:

• Handlungen oder Unterlassungen, die Verstöße gegen Unionsrecht in den im Anhang der Richtlinie 2019/1937 aufgeführten Bereichen darstellen können — einschließlich öffentliches Auftragswesen, Finanzdienstleistungen, Verhinderung von Geldwäsche, Umweltschutz, Produktsicherheit, Schutz personenbezogener Daten und Schutz der finanziellen Interessen der Union.
• Handlungen oder Unterlassungen, die eine Straftat oder eine schwere oder sehr schwere Ordnungswidrigkeit darstellen können, einschließlich solcher, die zu wirtschaftlichen Schäden für die öffentlichen Kassen oder die Sozialversicherung führen.
• Verhalten, das gegen das von Estrategeos S.L. nach dem Gesetz 10/2010 und der Königlichen Verordnung 304/2014 verabschiedete Handbuch zur Verhinderung von Geldwäsche und Terrorismusfinanzierung verstößt.
• Verhalten, das gegen den Berufsethik-Kodex des spanischen Registers der Steuerberatenden Ökonomen (REAF) und gegen die für die Dienstleistungen der Gesellschaft geltenden Berufsstandards verstößt.
• Verstöße gegen die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) und gegen das spanische Datenschutzgesetz (LO 3/2018) bei der Verarbeitung personenbezogener Daten durch die Gesellschaft.

Vom Geltungsbereich dieses Kanals ausdrücklich ausgeschlossen sind nach Art. 2.4 des Gesetzes 2/2023 Hinweise auf eingestufte Informationen, Informationen, die dem Berufsgeheimnis juristischer Berufe unterliegen, der Vertraulichkeit gerichtlicher Beratungen und den Strafverfahrensvorschriften. Geschäftliche Beschwerden über die Erbringung von Dienstleistungen werden ebenfalls nicht über diesen Kanal bearbeitet, sondern auf den ordentlichen Wegen.

Hinweisgebende Personen

Gemäß Art. 3 des Gesetzes 2/2023 können den Kanal natürliche Personen nutzen, die im Rahmen einer arbeits- oder berufsrechtlichen Beziehung zu Estrategeos S.L. Kenntnis von Verhaltensweisen aus dem sachlichen Geltungsbereich erlangen — unabhängig davon, ob diese Beziehung beendet wurde oder noch nicht aufgenommen wurde:

• Personen mit gegenwärtiger oder vergangener arbeitsrechtlicher, handelsrechtlicher oder satzungsrechtlicher Beziehung zur Gesellschaft.
• Praktikanten, Freiwillige und externe Mitarbeiter in Ausbildung.
• Personen, deren Beschäftigungsverhältnis beendet wurde, sowie Bewerber, deren Auswahlverfahren oder vorvertragliche Verhandlungen nicht zustande gekommen sind.
• Selbstständige Berufstätige, Auftragnehmer und Subunternehmer, die mit Estrategeos S.L. in Beziehung stehen, sowie deren Beschäftigte.
• Aktionäre, Gesellschafter, Mitglieder des Geschäftsführungsorgans und Führungskräfte.
• Mandanten, interessierte Dritte und Mitglieder der Öffentlichkeit, die im Rahmen einer beruflichen Beziehung zur Gesellschaft Kenntnis von dem Verhalten erlangen.

Der Schutz nach dem Gesetz 2/2023 erstreckt sich auch auf Mittler, auf mit der hinweisgebenden Person verbundene Dritte (Kollegen, Familienangehörige) sowie auf juristische Personen, für die diese Person tätig ist oder mit denen sie in einer arbeitsbezogenen Verbindung steht.

Meldewege

Das Interne Informationssystem von Estrategeos S.L. lässt schriftliche und mündliche Meldungen zu — identifiziert oder anonym — über folgende Kanäle:

• Verschlüsselte E-Mail: canal.etico@estrategeos.com — zugriffsbeschränktes Postfach, das ausschließlich von der Systemverantwortlichen Person eingesehen werden kann, mit verstärkter Vertraulichkeit gegenüber den übrigen Unternehmenspostfächern.
• Eingeschriebener Postweg: Estrategeos S.L. — Verantwortliche/r des Internen Informationssystems — C/ Postas, 16 — 4. OG DC, 28012 Madrid, Spanien, in einem verschlossenen Umschlag mit dem Vermerk „Vertraulich — Ethik-Kanal".
• Mündliche Meldung: auf schriftliche Anfrage an das obige Postfach durch persönliches Treffen oder Videokonferenz mit der Systemverantwortlichen Person innerhalb von höchstens sieben Tagen nach Anfrage. Das Gespräch wird in einem von beiden Parteien unterzeichneten Protokoll dokumentiert; die hinweisgebende Person kann die Aufzeichnung ablehnen.

Anonyme Meldungen werden gemäß Art. 7.3 des Gesetzes 2/2023 angenommen und bearbeitet. In diesem Fall stellt die Gesellschaft einen wechselseitigen Kommunikationskanal zur Verfügung, der die Verfolgung des Falls ohne Offenlegung der Identität der hinweisgebenden Person ermöglicht.

Systemverantwortliche

Gemäß Art. 8 des Gesetzes 2/2023 hat das Geschäftsführungsorgan von Estrategeos S.L. eine natürliche Person als Verantwortliche/n des Internen Informationssystems bestellt, mit funktionaler Autonomie und Unabhängigkeit gegenüber den übrigen Organen der Gesellschaft sowie unter verstärkter Vertraulichkeits- und Berufsgeheimnispflicht.

Die Identität der Systemverantwortlichen sowie die direkten Kontaktwege, die über die oben beschriebenen allgemeinen Kanäle hinausgehen, wurden dem Geschäftsführungsorgan und dem Personal der Gesellschaft auf den entsprechenden internen Wegen mitgeteilt und sind hinweisgebenden Personen auf schriftliche Anfrage an canal.etico@estrategeos.com zugänglich.

Die Bestellung der/des Systemverantwortlichen wurde nach Art. 8.5 des Gesetzes 2/2023 der Unabhängigen Behörde zum Schutz von Hinweisgebenden (A.A.I.) mitgeteilt. Eine Abberufung oder Ersetzung darf nur aus berechtigten Gründen erfolgen und ist dieser Behörde mitzuteilen.

Garantien und Repressalienverbot

Estrategeos S.L. gewährleistet hinweisgebenden Personen und allen nach Art. 3 des Gesetzes 2/2023 geschützten Personen:

• Vertraulichkeit der Identität der hinweisgebenden Person und Dritter, die in der Meldung erwähnt werden; nur die/der Systemverantwortliche und gegebenenfalls das beauftragte Untersuchungsorgan haben Zugriff auf diese Informationen.
• Absolutes Repressalienverbot nach Art. 36 des Gesetzes 2/2023, einschließlich jeglicher Form von Suspendierung, Entlassung, Veränderung der Bedingungen, Ablehnung einer Beförderung, Versetzung, negativer Bewertung oder Nichtverlängerung als Folge der Meldung.
• Beweislastumkehr in Verfahren wegen Repressalien: Der Gesellschaft obliegt der Nachweis, dass die ergriffenen Maßnahmen aus anderen, ordnungsgemäß begründeten Gründen erfolgten (Art. 38 des Gesetzes 2/2023).
• Beistand und Unterstützungsmaßnahmen: Anspruch auf unabhängige Beratung, gesetzlich vorgesehene unentgeltliche Rechtsberatung sowie psychologische Unterstützung gemäß Art. 41 und 42 des Gesetzes 2/2023.
• Haftungsfreistellung für die Meldung oder öffentliche Offenlegung rechtmäßig erlangter Informationen nach Art. 39 des Gesetzes 2/2023, außer im Fall vorsätzlich falscher Meldungen.

Repressalien gegen eine hinweisgebende Person stellen nach Art. 65 des Gesetzes 2/2023 eine sehr schwere Ordnungswidrigkeit dar und können bei juristischen Personen mit einer Geldbuße von bis zu 1.000.000 € geahndet werden; sie können zudem den Straftatbestand des Art. 197 quater des spanischen Strafgesetzbuchs erfüllen.

Verfahren und Fristen

Nach Eingang einer Meldung handelt das Interne Informationssystem innerhalb der Höchstfristen des Art. 9 des Gesetzes 2/2023:

• Eingangsbestätigung an die hinweisgebende Person innerhalb von höchstens sieben Kalendertagen nach Eingang, sofern eine solche Bestätigung die Vertraulichkeit der Meldung nicht gefährden würde.
• Vorprüfung der Zulässigkeit innerhalb einer angemessenen Frist, die in jedem Fall ausreicht, um die Entscheidung über Annahme, Ablehnung oder Weiterleitung an eine andere zuständige Behörde zu begründen.
• Entscheidung und Rückmeldung an die hinweisgebende Person innerhalb von höchstens drei Monaten nach Eingang, in besonders komplexen Fällen mit hinreichender Begründung um weitere drei Monate verlängerbar, mit vorheriger Mitteilung an die hinweisgebende Person.

Die Fallakte enthält mindestens: Identifikation der mit der Bearbeitung beauftragten Person, maßgebliche Daten, Beschreibung der gemeldeten Sachverhalte, durchgeführte Ermittlungsschritte, Ergebnis und gegebenenfalls die ergriffenen Korrektur- oder Disziplinarmaßnahmen. Die hinweisgebende Person wird über die Maßnahmen und gegebenenfalls über das Endergebnis informiert.

Können die Sachverhalte einen strafrechtlichen Tatbestand erfüllen, leitet das zuständige Organ die Information unverzüglich an die Staatsanwaltschaft oder — bei Beeinträchtigung der finanziellen Interessen der Union — an die Europäische Staatsanwaltschaft weiter.

Verarbeitung personenbezogener Daten

Die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Kanal erfolgt nach Kapitel IX des Gesetzes 2/2023 (Art. 30 bis 35), nach der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) und nach dem spanischen Datenschutzgesetz (LO 3/2018).

• Verantwortlicher: Estrategeos S.L., NIF B02715894, C/ Postas 16 — 4. OG DC, 28012 Madrid, Spanien.
• Zweck: Annahme, Registrierung, Analyse und Bearbeitung der über das Interne Informationssystem eingehenden Meldungen sowie Ergreifung der daraus folgenden Korrektur- und Disziplinarmaßnahmen.
• Rechtsgrundlage: Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt (Art. 6 Abs. 1 lit. c DSGVO), in Verbindung mit Art. 10 und 30 des Gesetzes 2/2023 sowie mit dem Gesetz 10/2010.
• Datenkategorien: Identifikationsdaten der hinweisgebenden Person (sofern nicht anonym), Identifikationsdaten der in der Meldung genannten Personen, Beschreibung des Sachverhalts, eingereichte Unterlagen und gegebenenfalls Daten zu verwaltungs- oder strafrechtlichen Verstößen nach Art. 30.1 des Gesetzes 2/2023.
• Empfänger: Systemverantwortliche/r, beauftragtes Untersuchungsorgan, externe Rechtsberater, die der Verschwiegenheitspflicht unterliegen, Verwaltungs- oder Justizbehörden bei gesetzlicher Offenbarungspflicht sowie Staatsanwaltschaft bzw. Europäische Staatsanwaltschaft, sofern die Sachverhalte einen Straftatbestand erfüllen können.
• Aufbewahrungsdauer: Daten werden nur so lange aufbewahrt, wie es zur Entscheidung über die Einleitung einer Untersuchung erforderlich ist. Vergehen drei Monate ohne Maßnahmen, werden sie gelöscht — es sei denn, der Zweck besteht in der Dokumentation des Funktionierens des Präventionsmodells. In jedem Fall beträgt die maximale Aufbewahrungsdauer zehn Jahre nach Art. 32 des Gesetzes 2/2023.
• Rechte: Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung und Datenübertragbarkeit können bei der/dem Systemverantwortlichen ausgeübt werden. Das Auskunftsrecht der von der Meldung betroffenen Person ist nach Art. 33 des Gesetzes 2/2023 modifiziert, um die Vertraulichkeit der hinweisgebenden Person zu wahren. Daneben besteht das Recht auf Beschwerde bei der spanischen Datenschutzbehörde (www.aepd.es).

Externe Meldung

Die Nutzung des internen Kanals ist nicht zwingend. Die hinweisgebende Person kann sich unmittelbar an den externen Kanal der Unabhängigen Behörde zum Schutz von Hinweisgebenden (A.A.I.) nach Titel IV des Gesetzes 2/2023 sowie an die je nach Sachgebiet zuständigen Fachbehörden wenden, ohne dass dadurch die durch das Gesetz 2/2023 anerkannten Garantien und Schutzmaßnahmen verloren gehen:

• Spanische Wertpapieraufsichtsbehörde (CNMV) in Bezug auf Wertpapiermärkte und Finanzinstrumente.
• Spanische Markt- und Wettbewerbsbehörde (CNMC) in wettbewerbsrechtlichen Angelegenheiten.
• SEPBLAC (Exekutivdienst der Kommission zur Verhinderung der Geldwäsche) in Geldwäsche- und Terrorismusfinanzierungsangelegenheiten.
• Spanische Datenschutzbehörde (AEPD) in datenschutzrechtlichen Angelegenheiten.
• Europäisches Amt für Betrugsbekämpfung (OLAF) und Europäische Staatsanwaltschaft beim Schutz der finanziellen Interessen der Union.
• Autonome Regionen, die eigene Behörden zum Schutz von Hinweisgebenden eingerichtet haben.

Das Recht zur öffentlichen Offenlegung nach Art. 28 des Gesetzes 2/2023 wird Personen zuerkannt, die bereits über interne und/oder externe Kanäle gemeldet haben, ohne dass innerhalb der gesetzlichen Fristen Maßnahmen ergriffen wurden, oder bei Vorliegen einer unmittelbaren oder offenkundigen Gefahr für das öffentliche Interesse.

Aufzeichnung und Aufbewahrung

Estrategeos S.L. führt ein Register der eingegangenen Meldungen und der dadurch ausgelösten internen Untersuchungen unter Wahrung der Vertraulichkeitsanforderungen des Gesetzes 2/2023 (Art. 26). Dieses Register ist nicht öffentlich und nur der zuständigen Behörde nach begründeter Entscheidung im Rahmen eines Verfahrens zur Feststellung möglicher Verantwortlichkeiten zugänglich.

Personenbezogene Daten, die für die Bearbeitung und Untersuchung der Meldung nicht erforderlich sind, werden unverzüglich gelöscht. Die Aufbewahrung der Fallakte endet mit Ablauf der in Art. 32 des Gesetzes 2/2023 vorgesehenen Fristen, unbeschadet der nach anderen Vorschriften anwendbaren handels-, steuer- oder gerichtsrechtlichen Aufbewahrungsfristen.

Für jede Anfrage zum Funktionieren des Internen Informationssystems, die nicht die Einreichung einer konkreten Meldung betrifft, wenden Sie sich bitte an canal.etico@estrategeos.com.