Das neue Hinweisgeberschutzgesetz

Mit diesem Beitrag wollen wir Ihnen aufzeigen, welche Möglichkeiten Sie als Unternehmer, Geschäftsführer oder Führungskraft haben, um entsprechende Meldesysteme zu installieren.

In aller Kürze: Der rechtliche Hintergrund

Am 16. Dezember 2019 ist die „EU-Richtlinie 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ in Kraft getreten. Die Mitgliedstaaten hatten bis zum 16. Dezember 2021 Zeit, die Richtlinie in nationales Recht umzusetzen. Deutschland hat diese Frist verpasst und es wurde sogar ein Vertragsverletzungsverfahren durch die EU eingeleitet. Am 12. Mai 2023 wurde schließlich der zwischen den Ländern und dem Bund ausgehandelte Kompromiss auch im Bundesrat verabschiedet, so dass das Gesetz voraussichtlich Anfang Juli 2023 in Kraft tritt.

Bislang wurde der Schutz von Whistleblowern in Deutschland nur partiell oder sehr unbestimmt in einzelnen gesetzlichen Spezialnormen geregelt. Als Auffangnorm diente § 612a BGB, der die Benachteiligung von Arbeitnehmern durch den Arbeitgeber verbietet, sofern der Arbeitnehmer in zulässiger Weise seine Rechte ausübt. Für den Finanzsektor zum Beispiel wurde die Schaffung von Beschwerdemanagementsystemen in § 25a Abs. 1 S. 6 Nr. 3 KWG bzw. in § 4 d I FinDAG geregelt, für nach dem Geldwäschegesetz Verpflichtete in § 6 Abs. 5 GwG und in Betrieben mit einem Betriebsrat gelten §§ 84 ff. BetrVG.

Bei Unternehmen mit einem Betriebsrat sind bei der Einführung eines Whistleblowing-Systems außerdem bestimmte Mitbestimmungsrechte zu beachten. So können elektronische Systeme als elektronische Einrichtung gelten, bei deren Betrieb eine Mitbestimmung nach § 87 I Nr. 6 BetrVG erforderlich ist. Grundsätzlich führt die Einführung eines Whistleblowing-Systems zur Mitbestimmung nach § 87 I Nr. 1 BetrVG, da es sich bei den Meldungen um Verhalten des Arbeitnehmers im Betrieb handelt.

Verstöße gegen geltendes Recht: Was genau ist davon umfasst?

Sachlich bezieht sich das neue Gesetz auf alle Meldungen und Offenlegungen von Informationen über straf- und bußgeldbewehrte Verstöße, Verstöße gegen Gesetze, Rechtsverordnungen des Bundes und der Länder sowie gegen Rechtsakte der EU. Hierunter fallen zum Beispiel das öffentliche Auftragswesen, die Bekämpfung von Terrorismusfinanzierung, Verstöße aus den Bereichen Umweltschutz, Strahlenschutz und kerntechnische Sicherheit, Datenschutz oder Finanzdienstleistungen. Ebenfalls erfasst werden Vereinbarungen, die darauf abzielen, sich in rechtsmissbräuchlicher Weise einen steuerlichen Vorteil zu verschaffen, der dem Ziel oder dem Zweck des für Unternehmen geltenden Steuerrechts zuwiderläuft. Erfasst werden aber nur Verstöße, wenn sie sich auf den Beschäftigungsgeber oder eine andere Stelle, mit der der Hinweisgeber beruflich in Kontakt stand, beziehen.

Muss ich oder muss ich nicht: Welche Unternehmen sind künftig zur Einrichtung verpflichtet?

Unternehmen oder Dienststellen mit mehr als 50 Beschäftigten sind verpflichtet, eine Stelle für interne Meldungen einzurichten und zu betreiben. Für Gemeinden und Gemeindeverbände richtet sich die Pflicht zur Einrichtung einer internen Meldestelle nach dem jeweiligen Landesrecht. Die Pflicht zur Einrichtung eines Meldesystems wird mit Inkrafttreten des HinSchG eingeführt. Das Gesetz sieht für mittelständische Unternehmen von 50 bis 249 Beschäftigten eine verlängerte Einrichtungsfrist bis zum 17. Dezember 2023 vor. Für alle übrigen Unternehmen gilt die Pflicht ab Inkrafttreten des Gesetzes.

Sanktionen und Bußgelder: Was passiert bei Verstößen?

Verstöße gegen das HinSchG können als Ordnungswidrigkeit mit einer Geldbuße geahndet werden. Bei Verstößen z.B. gegen die Pflicht zur Einrichtung einer Meldestelle kann das Bußgeld bis zu 50.000 Euro betragen. Die Bußgeldandrohung wird jedoch erst sechs Monate nach Veröffentlichung des HinSchG in Kraft treten.

Auch das wissentliche Offenlegen unrichtiger Informationen wird mit einem Bußgeld belegt.

Persönlicher Anwendungsbereich: Wer kann Verstöße melden?

Ziel ist es, künftig alle Personen zu schützen, die im Zusammenhang mit ihrer beruflichen oder dienstlichen Tätigkeit Informationen über Verstöße erlangen und diese an die nach diesem Gesetz vorgesehenen Meldestellen melden oder offenlegen. Damit können sich zum Beispiel alle Arbeitnehmerinnen und Arbeitnehmer, Auszubildenden, Beamtinnen und Beamte und Personen, die sich in „arbeitnehmerähnlichen“ Situationen befinden, auf das Gesetz berufen.

Hinweisgebersysteme und Meldestellen: Welche Möglichkeiten gibt es?

Mit dem neuen Hinweisgeberschutzgesetz wird die Pflicht zur Einrichtung interner und externer Meldestellen statuiert.

Bei der internen Meldestelle handelt es sich um eine Stelle, die Unternehmen oder Dienststellen mit mindestens 50 Beschäftigten bei sich einrichten müssen. Dabei kann die interne Meldestelle sowohl durch eine einzelne, beim Unternehmen beschäftigte Person oder durch eine interne Organisationseinheit installiert werden. Auch können mit der Einrichtung der internen Meldestelle externe Dritte, etwa Rechtsanwälte, Wirtschaftsprüfer oder Steuerberater, als Ombudspersonen betraut werden. Kleine Unternehmen mit in der Regel 50 bis 249 Beschäftigten können zur Kosteneinsparung eine gemeinsame Stelle betreiben oder einen Dritten beauftragen, eine gemeinsame Stelle für sie zu betreiben.

Im Hinblick auf externe Meldestellen sieht das Hinweisgeberschutzgesetz die Einrichtung einer zentralen Meldestelle vor. Diese zentrale Meldestelle soll organisatorisch beim Bundesamt für Justiz angesiedelt werden. Sie wird mit einer Bund-Länder-übergreifenden Zuständigkeit ausgestattet und sowohl den Öffentlichen Sektor als auch die Privatwirtschaft umfassen. Die bestehenden Meldesysteme beim Bundeskartellamt und der BaFin bleiben bestehen.

Dem Hinweisgeber selbst steht es frei, an welche Meldestelle er sich wendet. So kann er sich unmittelbar an eine externe Meldestelle wenden oder auch erst, nachdem er sich zunächst an eine interne Meldestelle gewandt hat. Er soll den Meldekanal wählen können, der für seine fallspezifischen Umstände am besten geeignet ist. Allerdings wurde in das Gesetz eine Formulierung aufgenommen, dass der Hinweisgeber die Meldung an eine interne Meldestelle bevorzugen soll, wenn er keine Repressalien zu befürchten hat und intern wirksam gegen den Verstoß vorgegangen werden kann.

Internes Hinweisgebersystem: Was ist bei der Einrichtung zu beachten?

Im HinSchG (Entwurf) sind keine Vorgaben enthalten, welche Personen oder Organisationseinheiten am besten geeignet sind, um die Aufgabe der internen Meldestelle zu erfüllen. Die Unternehmen sollen angesichts unterschiedlicher Größen und Organisationsstrukturen bislang möglichst frei bei der Erfüllung der Anforderungen sein. Unerlässlich ist es jedoch, dass die Person oder Organisationseinheit, die mit der Aufgabe betraut wird, im Rahmen dieser Tätigkeit unabhängig arbeiten kann. Auch mögliche Interessenkonflikte müssen auszuschließen sein.

Wenn möglich, sollte eine gewisse Kontinuität bei der Besetzung der Stelle durch die jeweilige Person oder Organisationseinheit gegeben sein. Damit soll Vertrauen in die Meldestelle selbst und in ihre Expertise geschaffen werden. Insbesondere in kleineren Unternehmen können Mitarbeiter auch eine Doppelfunktion innehaben. Hier kommen zum Beispiel Leiterinnen oder Leiter der Compliance- oder Innenrevisions-Abteilung, Integritätsbeauftragte, Rechts- oder Datenschutzbeauftragte oder sonstige Audit-Verantwortliche in Betracht.

Wichtig ist, dass alle eingehenden Meldungen dokumentiert werden. Bei mündlichen Meldungen kann dies auch durch eine Tonaufzeichnung, durch die Zusammenfassung ihres Inhalts in Form eines Vermerks oder durch die vollständige und genaue Niederschrift des Wortlauts in Form eines Protokolls erfolgen.

Vertraulichkeitsgebot: Wie wird die Identität des Whistleblowers geschützt?

Damit das System auch genutzt wird, ist es unerlässlich, dass die Identitäten aller von der Meldung betroffenen Personen geschützt sind. Dies gilt zunächst für die hinweisgebende Person selbst. Sie muss darauf vertrauen können, dass ihr aus der Meldung keine Nachteile entstehen. Aber auch diejenigen, die durch eine Meldung belastet werden, haben ein Schutzinteresse. Außerdem erstreckt sich der Schutz auf beteiligte oder auch unbeteiligte Dritte, wie z. B. Kollegen oder Vorgesetzte. Diese könnten ebenfalls Verstöße beobachtet haben und daher im Verfahren eine wichtige Rolle spielen. Durch den Schutz dieser Personen sollen falsche Verdächtigungen, Verleumdungen oder die Einflussnahme auf potenzielle Zeugen verhindert werden. Der Kreis derjenigen, die Kenntnis über die Identitäten haben, ist daher möglichst klein zu halten.

Eine Ausnahme erfährt das Vertraulichkeitsgebot, wenn vorsätzlich oder grob fahrlässig falsche Informationen gemeldet werden. In diesem Fall besteht ein berechtigtes Interesse daran, Kenntnis über die Identität der meldenden Person zu erlangen, um Schadensersatzansprüche geltend machen zu können.

Anonyme Meldungen: Was ist zu beachten?

Nach einigen Diskussion ist die Pflicht zur Entgegennahme und Weiterverfolgung von anonymen Meldungen entschärft worden. Durch das Hinweisgeberschutzgesetz wird den Unternehmen lediglich vorgeben, dass die Meldestellen auch anonym eingehende Meldungen bearbeiten sollen. Es besteht somit keine Verpflichtung, die Meldekanäle so zu gestalten, dass auch die Abgabe anonymer Meldungen möglich ist.

Meldekanäle: Welche Systeme sind zulässig?

Bezüglich der Meldekanäle gibt es eine Vielzahl von Möglichkeiten, die eingesetzt werden können. Die Richtlinie schreibt nicht vor, wie der Hinweisgeber die Informationen weitergeben muss – schriftlich, online, per E-Mail oder telefonisch. Im Hinweisgeberschutzgesetz wird lediglich verankert, dass interne Meldekanäle die Meldungen in mündlicher oder in Textform ermöglichen müssen.

Wichtig ist, dass alle Systeme vollumfänglich die Anforderungen der EU-Richtlinie erfüllen. Vorderster Schutz ist dabei die Sicherstellung der Anonymität des Hinweisgebers. Damit kann der in vielen Betrieben installierte Kummerkasten in der Regel wegfallen. Der Hinweisgeber könnte beobachtet werden, wenn er seinen Zettel in den Kummerkasten steckt. Aber auch in anderer Hinsicht ist ein solcher Briefkasten problematisch. Nach Eingang der Meldung muss dem Hinweisgeber dies bestätigt werden. Außerdem ist über die ergriffenen Maßnahmen zu informieren. Die Rückkommunikation ist beim Einwurf in einen Kummerkasten schwierig.

In vielen Fällen wird eine telefonische Hotline genutzt. Ein Vorteil der Hotline liegt im direkten Gespräch. So können alle notwendigen Informationen anhand eines Fragebogens ermittelt werden. Gleichzeitig ist das direkte Gespräch jedoch auch ein Hemmschuh: Oft sprechen die Mitarbeiter an der Hotline nur eine Sprache. Hier kann es – insbesondere im internationalen Kontext – zu Sprachbarrieren kommen. Außerdem fällt es vielen Whistleblowern schwerer, direkt über das Thema zu sprechen als eine Nachricht zu hinterlassen.

Alternativ kann auch auf ein E-Mail-System zurückgegriffen werden. Wichtig ist, dass gewährleistet ist, dass nur befugte Mitarbeiter Zugriff auf die eingehenden Meldungen haben, damit nur ein möglichst kleiner Personenkreis Kenntnis von der Identität des Whistleblowers und von den gemeldeten Sachverhalten bzw. den beteiligten Personen hat. Einrichtung, Dokumentation und Kommunikation sind über ein E-Mail-System relativ einfach sicherzustellen. So können auch externe Vertrauenspersonen gut eingebunden werden. Die Herausforderungen liegen hier eher in der DSGVO-konformen Verwaltung, da die Daten gelöscht werden müssen, sobald sie nicht mehr relevant sind.

Eine größere und umfangreichere Option ist die Nutzung einer Online-Plattform. Der große Vorteil eines solchen Systems ist die Möglichkeit, mit einem entsprechenden Webformular alle relevanten Informationen abzufragen. Außerdem können unterstützende Informationen wie Bilder oder Dokumente einfach hochgeladen werden. Sobald eine Meldung eingegangen ist, wird die verantwortliche Person oder verantwortliche Abteilung informiert und hat Zugriff auf alle Informationen. Ein weiterer Vorteil eines digitalen Systems ist die Nachvollziehbarkeit aller Schritte: vom Eingang der Meldung über die Kommunikation mit dem Hinweisgeber bis hin zur Zugriffskontrolle. Allerdings ist die Einrichtung eines solchen Systems auch mit hohen Kosten verbunden, egal ob man eine Lösung von der Stange einkauft oder selbst programmieren lässt. Soll ein digitales System eingesetzt werden, ist auch hier die Einbindung einer externen Vertrauensperson mit entsprechenden Systemen gut möglich.

Verfahren bei Meldungen: Was genau ist zu tun?

Jede eingehende Meldung muss unverzüglich bei der ausgewählten Meldestelle ankommen und vom Beauftragten entgegengenommen werden können. Die interne Meldestelle muss der hinweisgebenden Person den Eingang der Meldung spätestens nach sieben Tagen bestätigen.

Anschließend sind die erforderlichen Maßnahmen zu ergreifen, insbesondere eine Prüfung der Stichhaltigkeit des jeweiligen Hinweises und die Durchführung von Nachforschungen. Die Meldestelle kann zur Prüfung selbst interne Untersuchungen durchführen und betroffene Personen und Stellen kontaktieren. Sofern keine interne Möglichkeit besteht, den gemeldeten Verstoß zu überprüfen oder abzustellen, kann der Vorgang unter Beachtung der die Vertraulichkeit betreffenden Vorgaben zwecks weiterer Untersuchungen an eine zuständige Behörde abgegeben werden.

Spätestens nach drei Monaten muss der Hinweisgeber eine Mitteilung über bereits ergriffene Folgemaßnahmen inklusive Begründung erhalten. Die Folgemaßnahmen könnten beispielsweise der Abschluss des Verfahrens aufgrund mangelnder Beweise oder wegen anderer Gründe, der Verweis auf andere Kanäle oder Verfahren bei Meldungen, die ausschließlich die individuellen Rechte des Hinweisgebers betreffen, oder auch die Angabe der Ergebnisse und möglicher Maßnahmen zur Behebung des Problems sein. Werden durch Information interne Nachforschungen oder Ermittlungen berührt und die Rechte der Personen, die Gegenstand einer Meldung sind oder die in der Meldung genannt werden, beeinträchtigt, ist die Rückmeldepflicht eingeschränkt. In diesem Fall wird dem Interesse der Allgemeinheit und auch der betroffenen Stelle an der Aufklärung des Sachverhaltes Vorrang vor den Informationsrechten der hinweisgebenden Person eingeräumt. Sofern nur eine knappe Rückmeldung möglich ist, die beispielsweise keine oder nur eine verkürzte Begründung enthält, soll diese dennoch nach drei Monaten erfolgen.

Einschaltung einer Ombudsperson: Wer kann für mich eine interne Meldestelle betreiben?

Das Hinweisgeberschutzgesetz eröffnet die Möglichkeit, der Verpflichtung zur Einrichtung einer internen Meldestelle auch durch Einschaltung einer Ombudsperson nachzukommen. Dies bietet sich insbesondere in mittelständischen Unternehmen an, in denen die Personalabteilung oder die Finanzabteilung stark in operative Abläufe involviert und somit eng an die Unternehmensleitung angebunden ist. Gibt es keinen Compliance-Verantwortlichen, entsteht beim Mitarbeiter oft das Gefühl fehlender Neutralität. Die Auslagerung an eine Ombudsperson hat dann den Vorteil, dass die Bearbeitung von Meldungen durch unabhängige Personen erfolgt, die keinem Interessenkonflikt unterliegen. Gerade bei der Verstrickung von Führungspersonen kann dies den entscheidenden Unterschied ausmachen, ob das Hinweisgebersystem genutzt wird oder nicht. Außerdem hat ein professioneller Betreiber von Hinweisgebersystemen oft mehr Routine durch den regelmäßigen Umgang mit Hinweisgebern und mit kritischen Meldungen als die Mitarbeiter des Unternehmens, die ggf. nur wenige oder gar keine Meldungen pro Jahr erhalten. Als Ombudspersonen werden regelmäßig Wirtschaftsprüfer, Steuerberater, Rechtsanwälte oder Notare gewählt, da sie sich aufgrund ihrer beruflichen Verschwiegenheit besonders anbieten. Ein vermeintlicher Nachteil sind die Kosten für ein ausgelagertes System. Eine dauerhaft erreichbare Ombudsperson verursacht auf den ersten Blick zwar laufende Kosten, ohne dass zunächst eine konkrete Leistung erbracht wird. Diese Betrachtung relativiert sich jedoch, wenn man den Kosten die Aufdeckung möglicher Verstöße entgegenhält, was für das Unternehmen und die Geschäftsleitung von besonderer Bedeutung ist. Unterbleibt nur eine Meldung, weil man dem firmeninternen System nicht traut, hätte sich die Auslagerung schon gelohnt.

Professionelle Online-Plattformen: Was können diese Systeme leisten?

Webbasierte Hinweisgebersysteme können Vertraulichkeit, Datenschutz und Datensicherheit durch State-of-the-Art-Technologie gewährleisten. Sie ermöglichen eine Meldung zu jeder Tages- und Nachtzeit und ggf. in vielen Sprachen, unabhängig davon, wo die Empfänger der Hinweise sitzen und arbeiten. Dies ist sicherlich gerade für international agierende Unternehmen von großer Bedeutung. Außerdem garantieren die Systeme einen problemlosen Upload von Dokumenten und können zum Beispiel ganz einfach als Link auf der Unternehmenswebseite eingebaut werden. Allerdings gibt es kein für alle Unternehmensformen und -größen gleich gut passendes System. Oftmals müssen individuelle Anpassungen vorgenommen werden, die die Kosten in die Höhe treiben. Und auch der laufende Unterhalt kann ins Geld gehen. Wichtig ist auch hier, Kosten und Nutzen abzuwägen. Eher für global agierende Unternehmen kann eine Online-Plattform ein geeignetes Instrument sein, weniger für den Mittelstand.