Obwohl Datenlokalisierungsanforderungen in Russland bereits in 2015 eingeführt wurden, blieben deren Auswirkungen auf die grenzüberschreitenden Meldekanäle in Hinweisgebersystemen multinationaler Unternehmen bislang größtenteils unbeachtet. Wegen der kürzlich erfolgten Verschärfung der Bußgelder für Verstöße haben wir die wichtigsten Fragen und Antworten nachfolgend zusammengestellt:
Warum sind grenzüberschreitende Meldekanäle in Russland problematisch?
Grenzüberschreitende Meldekanäle für Russland können gegen die russischen Datenlokalisierungsanforderungen verstoßen. Das ist insbesondere dann der Fall, wenn personenbezogene Daten russischer Staatsangehöriger bei Empfang der Meldungen erstmals außerhalb Russlands erfasst und gespeichert werden. Meldekanäle mit ausländischen Telefonnummern sowie E-Mailaddressen oder Webseiten mit Datenspeicherung auf Servern im Ausland sind in Russland also unzulässig. Gruppenweite Hinweisgebersysteme können deshalb nicht ohne weiteres auf Russland erstreckt werden.
Was passiert bei Nichtbeachtung der Lokalisierungsanforderungen?
Bei Verstößen gegen die Datenlokalisierungsanforderungen kann die russische Aufsichtsbehörde Roskomnadsor Webseiten sperren und Bußgelder verhängen. Diese Bußgelder wurden Ende letzten Jahres deutlich erhöht von zuvor unbedeutenden Beträgen auf nun ca. EUR 80.000 für erstmalige sowie EUR 240.000 für wiederholte Verstöße. Die Einhaltung der Lokalisierungsanforderungen wird von Roskomnadsor streng überwacht und in hunderten Prüfungen pro Jahr untersucht. Gegenstand einer solchen Prüfung sind sämtliche Informationssysteme der Gesellschaft einschließlich von Hinweisgebersystemen. Die Verwendung nicht-lokalisierter Meldekanäle ist also mit einem erheblichen Risiko jederzeitiger Bestrafung verbunden.
Was genau sind die russischen Datenlokalisierungsanforderungen?
Um den russischen Datenlokalisierungsanforderungen zu genügen, müssen Hinweisgebermeldungen aus Russland, die ja personenbezogene Daten russischer Staatsangehöriger enthalten können, zuerst in Russland gespeichert werden. Nur so lässt sich der Hauptanforderung nachkommen, dass sich die primäre Datenbank mit personenbezogenen Daten russischer Staatsangehöriger stets auf einem Server in Russland befindet. Sämtliche Datenbanken im Ausland dürfen nur Kopien der russischen Datenbank sein, immer muss die Datenbank in Russland vor der Datenbank im Ausland aktualisiert werden.
Sollten Unternehmen auf Meldekanäle für Russland verzichten?
Multinationale Unternehmen mit Russlandgeschäft stehen vor der schwierigen Entscheidung, entweder Meldekanäle vor Ort einzurichten oder auf die Einbindung Russlands in das gruppenweite Hinweisgebersystem zu verzichten. Jedoch dürfte es für die meisten Unternehmen keine Option sein, dauerhaft auf Hinweisgebermeldungen aus einem Hochrisikoland für Korruption und Bestechung wie Russland zu verzichten. Zu groß dürften die bei Untätigkeit erhöhten Haftungsrisiken nach russischem und vor allem ausländischem Recht sein (u.a. nach US FCPA und UK Bribery Act aber auch dem künftigen Verbandssanktionengesetz).
Können Meldekanäle bei der russischen Tochter eine Alternative sein?
Für Unternehmen mit einer Vertretung vor Ort bietet sich zunächst die Option an, bei dieser interne Meldekanäle einzurichten (z.B. zum lokalen Generaldirektor oder Compliance-Beauftragten). Solche internen Kanäle dürften aber nur in Ausnahmefällen eine zufriedenstellende Lösung darstellen. Wegen des endgültigen Scheiterns eines entsprechenden Gesetzesentwurfs im Juni 2019 sind Hinweisgeber in Russland kaum geschützt. Angst vor Repressalien sowie regelmäßig hinzukommende Bedenken hinsichtlich der Objektivität der Fallbearbeitung dürften die Hinweisgeberaktivität in vielen lokalen Vertretungen von Vornherein beschränken.
Was können multinationale Unternehmen tun?
In den meisten Fällen werden Unternehmen ein funktionierendes lokales Hinweisgebersystem in Russland nur bei externen Ombudsleuten einrichten können. Diese Ombudsleute können Meldungen vor Ort entgegennehmen und anschließend im Einklang mit den Datenlokalisierungsanforderungen in das gruppenweite Hinweisgebersystem einspeisen. Maßgebliche Kriterien bei der Auswahl der Ombudsleute werden die Verfügbarkeit der technischen Infrastruktur, die Befähigung zur Fallbearbeitung sowie deren Integrität sein. Gerade das letzte Kriterium dürfte bei der Auswahl von Ombudsleuten in Russland wohl die größten Schwierigkeiten bereiten.
Originally published by Noerr, July 2020
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
