Hinweisgeberschutzgesetz tritt noch im Juni in Kraft

Am 17. März 2023 wurde eine überarbeitete Version des Hinweisgeberschutzgesetzes (HinSchG) erneut im Bundestag behandelt. Da eine Zustimmung des Bundesrates immer noch fraglich war, wurde der Entwurf nicht weiterverfolgt und der Vermittlungsausschuss eingeschaltet. Am 9. Mai 2023 haben sich Vertreter des Bundestages und Bundesrates im Vermittlungsausschuss auf Änderungen am HinSchG geeinigt. Das Gesetzgebungsverfahren wurde dann schnell abgeschlossen. Der Bundestag verabschiedete das Gesetz am 11. Mai 2023 mit den Änderungsvorschlägen des Vermittlungsausschusses und der Bundesrat stimmte dem Gesetzesentwurf am 12. Mai 2023 zu. Mit der Zustimmung des Bundesrates ist das parlamentarische Verfahren abgeschlossen. Das Gesetz kann nun dem Bundespräsidenten zur Unterzeichnung vorgelegt und im Bundesgesetzblatt verkündet werden. Es wird voraussichtlich Mitte Juni 2023 in Kraft treten.

Kompromiss im Vermittlungsausschuss

Der Vermittlungsausschuss hat Änderungen vorgenommen, darunter eine Beschränkung auf den beruflichen Kontext, einen Kompromiss bezüglich anonymer Meldungen und niedrigere Bußgelder mit einer Übergangsfrist von sechs Monaten. Falsche Meldungen können jedoch Konsequenzen haben, und in Fällen vorsätzlicher oder grob fahrlässiger Weitergabe unrichtiger Informationen ist die hinweisgebende Person zum Schadensersatz verpflichtet.

Wesentliche Inhalte des Hinweisgeberschutzgesetzes

Das HinSchG zielt darauf ab, den Schutz von Hinweisgebern zu verbessern und die EU-Whistleblower-Richtlinie in nationales Recht umzusetzen. Es enthält Regelungen zum Schutz von Hinweisgebern, zur Beweislastumkehr für Arbeitgeber und zur Verhinderung von Benachteiligungen oder Repressalien gegenüber Hinweisgebern. Das Gesetz gilt sowohl für Hinweisgeber als auch für Personen, die sie unterstützen, sowie für Personen, die Gegenstand einer Meldung sind oder von einer Meldung betroffen werden.

Das Hinweisgeberschutzgesetz umfasst verschiedene Rechtsgebiete, in denen Hinweisgeber Verstöße melden können. Dazu gehören Strafvorschriften nach deutschem Recht, bußgeldbewehrte Verstöße, die dem Schutz von Leben, Leib, Gesundheit oder den Rechten von Beschäftigten dienen, sowie Verstöße gegen Rechtsnormen zur Umsetzung europäischer Regelungen. Letztere umfassen eine Vielzahl von Bereichen wie Geldwäschebekämpfung, Produktsicherheit, Umweltschutz, Datenschutz und Rechnungslegung bei Kapitalgesellschaften.

Wahl zwischen “interner” und “externer” Meldestelle

Hinweisgeber haben die Wahl, sich entweder an eine interne Meldestelle im Unternehmen oder an eine externe Meldestelle bei den Behörden zu wenden. In Fällen, in denen intern effektiv gegen den Verstoß vorgegangen werden kann und keine Repressalien zu befürchten sind, wird empfohlen, die Meldung an eine interne Meldestelle vorzuziehen.

Schutzbereich des HinSchG

Das HinSchG umfasst eine breite Palette von Unternehmen und Organisationen. Dazu gehören juristische Personen des Privatrechts wie eingetragene Vereine, eingetragene Genossenschaften, Aktiengesellschaften, Kommanditgesellschaften auf Aktien, Gesellschaften mit beschränkter Haftung und Stiftungen des Privatrechts. Auch juristische Personen des öffentlichen Rechts, wie Gebietskörperschaften, Personalkörperschaften und Verbandskörperschaften auf Bundes- und Landesebene, sowie rechtsfähige Personengesellschaften und sonstige rechtsfähige Personenvereinigungen werden erfasst.

Darüber hinaus werden Anstalten wie die Landesrundfunkanstalten, öffentlich-rechtliche Stiftungen, die evangelische und katholische Kirche mit ihren Kirchengemeinden sowie sonstige religiöse Gemeinschaften und Religionsgemeinschaften ebenfalls vom HinSchG erfasst.

Die Verpflichtung zur Einrichtung einer internen Meldestelle gilt für Beschäftigungsgeber mit mehr als 250 Mitarbeitenden ab Mitte Juni 2023. Für kleinere Beschäftigungsgeber mit 50 bis 249 Mitarbeitenden gilt die Verpflichtung ab dem 17. Dezember 2023. Unternehmen mit einer Mitarbeiteranzahl zwischen 50 und 249 Mitarbeitenden können eine gemeinsame Meldestelle betreiben.

Die internen Meldestellen müssen bestimmte Anforderungen erfüllen. Die Meldekanäle müssen so gestaltet sein, dass nur befugte Personen Zugriff auf die Meldungen haben. Es müssen sowohl mündliche als auch schriftliche Meldungen möglich sein, und auf Wunsch der hinweisgebenden Person muss eine persönliche Zusammenkunft mit der Meldestelle ermöglicht werden.

Der Schutz der Vertraulichkeit der Identität der hinweisgebenden Person ist von großer Bedeutung. Die Identität sollte grundsätzlich nur den zuständigen Personen der Meldestelle bekannt sein und nur in Ausnahmefällen, z.B. in Strafverfahren auf Anforderung der Strafverfolgungsbehörden, offengelegt werden.

Die mit den Aufgaben der internen Meldestelle betrauten Personen müssen unabhängig sein und über die erforderliche Fachkunde verfügen. Die genaue Bedeutung des Begriffs “Fachkunde” wird vom Gesetzgeber nicht näher erläutert.

Für kleinere oder mittlere Unternehmen kann es effizienter sein, eine erfahrene externe Ombudsperson mit der Entgegennahme und ersten Bearbeitung von Hinweisen zu beauftragen. Der Gesetzgeber nennt externe Berater, Prüfer, Gewerkschaftsvertreter oder Arbeitnehmervertreter als mögliche Dritte, die eine interne Meldestelle betreiben können.

Umgang mit anonymen Hinweisen

Der umstrittenste Bereich des Hinweisgeberschutzgesetzes bezieht sich auf den Umgang mit anonymen Hinweisen. Gemäß § 16 HinSchG besteht keine Verpflichtung zur Entgegennahme anonymer Meldungen, sondern lediglich eine “soll”-Regelung. Unternehmen, die eine Zertifizierung nach den ISO-Normen 37301 und 37001 anstreben, müssen jedoch die Möglichkeit zur Bearbeitung anonymer Hinweise in ihrem Hinweisgeberverfahren ermöglichen.

Das Verfahren bei internen Meldungen

Für interne Meldungen gelten gemäß § 17 HinSchG bestimmte Verfahrensregeln. Diese umfassen die Bestätigung des Eingangs an die hinweisgebende Person innerhalb von sieben Tagen, die Prüfung des gemeldeten Verstoßes, die Kontaktaufnahme mit der hinweisgebenden Person für weitere Informationen, die Prüfung der Stichhaltigkeit der Meldung, die Ergreifung angemessener Folgemaßnahmen und die Rückmeldung an die hinweisgebende Person innerhalb von drei Monaten. Die Rückmeldung sollte geplante und bereits ergriffene Folgemaßnahmen sowie die entsprechenden Gründe enthalten. Dabei ist darauf zu achten, dass die Rechte der betroffenen Personen nicht beeinträchtigt und interne Nachforschungen oder Ermittlungen nicht gefährdet werden. Die Hinweise müssen vertraulich behandelt und für eine angemessene Zeit dokumentiert werden.

Die Einrichtung interner und kostengünstiger Meldekanäle kann gegen das Vertraulichkeitsgebot des HinSchG verstoßen. Eine interne E-Mail-Adresse oder Telefonnummer ermöglicht möglicherweise unbefugtem Personal Zugriff auf die Meldungen, was dem Gesetz widerspricht. Daher bleiben als Optionen die Einrichtung eines IT-gestützten Systems oder die Entgegennahme telefonischer Hinweise über eine externe Nummer mit unterdrückter Rufnummer des Anrufers.

Schadensersatz, Sanktionen und Bußgelder bei Verstoß gegen das HinSchG

Um den Schaden einer absichtlichen oder grob fahrlässigen Falschmeldung zu begrenzen, ist die Person, die den Hinweis gibt, verpflichtet, den entstandenen Schaden zu erstatten. Verstöße gegen die wesentlichen Bestimmungen des HinSchG können mit Geldbußen geahndet werden. Dies betrifft insbesondere Unternehmen, die keine interne Meldestelle einrichten, Meldungen behindern oder Repressalien gegen den Hinweisgeber ergreifen. Die Bußgelder für Verstöße gegen die Pflicht zur Einrichtung einer internen Meldestelle treten jedoch erst sechs Monate nach Veröffentlichung des HinSchG in Kraft. Das bewusste Offenlegen falscher Informationen wird ebenfalls mit Bußgeldern belegt.

Hinweisgeber- und Datenschutz

Die deutschen Datenschutzbehörden sind der Ansicht, dass die Einrichtung und Nutzung interner Meldewege durch Unternehmen “datenschutzgerecht” erfolgen kann, wobei besondere Rücksicht auf den Zweck des Unternehmens und die Modalitäten der Einrichtung genommen werden sollte. Da die Meldung von Missständen nach Ansicht der Datenschutzbehörden ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt, ist in jedem Fall eine Datenschutz-Folgenabschätzung erforderlich. Weitere Informationen dazu finden sich in der “Orientierungshilfe der Datenschutzaufsichtsbehörden zu Whistleblowing-Hotlines: Firmeninterne Warnsysteme und Beschäftigtendatenschutz”.

Die Kosten für die Entwicklung einer internen Lösung, die allen gesetzlichen Anforderungen gerecht wird, sind erheblich, daher liegt es nahe, einen externen Anbieter zu nutzen. Bei der Auswahl eines externen Anbieters sollten jedoch insbesondere die Anforderungen an die getrennte Datenverarbeitung für größere Tochtergesellschaften und die Anforderungen der Datenschutzbehörden beachtet werden. Das KINAST Whistleblowing Hinweisgebersystem ist unsere Lösung für Unternehmen, die ein rechtskonformes Meldesystem bereitstellen und zum eigenen Vorteil nutzen möchten.

Fazit

Unternehmen und Organisationen, die zur Einrichtung einer internen Meldestelle verpflichtet sind, sollten sich rechtzeitig auf die Umsetzung vorbereiten. Es ist zu bedenken, dass viele Unternehmen und Behörden betroffen sein werden und die Nachfrage nach IT-gestützten Hinweisgebersystemen mit der Einführung des Gesetzes deutlich steigen wird.

Wir liefern Ihnen die komplette technische und rechtliche Umsetzung, d.h. Einrichtung und Betrieb des Meldesystems. Und wir unterstützen sie bei der Kommunikation des Hinweisgebersystems in Ihrer Organisation. Wir handhaben alles, Sie haben nur minimalen Aufwand im Fall einer begründeten Meldung.