Hinweisgeberschutzgesetz: Meldestellen in Unternehmen werden Pflicht

Das deutsche Hinweisgeberschutzgesetz (HinSchG) hat Ende 2022 den Bundestag passiert. Nun muss noch der Bundesrat zustimmen. Betriebe ab 50 Beschäftigen sind nach dem Gesetzesentwurf zur Einrichtung interner Meldestellen verpflichtet, an die Angestellte rechtliche Verstöße im Unternehmen melden können. Aufgrund der kurzen Übergangsfrist ist es besonders wichtig, sich schon jetzt mit dem Gesetz und seinen Folgen zu befassen.

Wann tritt das Hinweisgeberschutzgesetz in Kraft? 

Wer an Whistleblowing denkt, dem schießen vermutlich zunächst Namen wie Edward Snowden oder Chelsea Manning durch den Kopf. Hinweisgeber wie sie decken viele Missstände erst auf. Doch sie gehen dabei ein großes Risiko ein und fürchten Repressalien wie etwa Mobbing oder gar eine Kündigung. Um sie besser vor solchen Konsequenzen zu schützen, wurde im Dezember 2019 die EU-Whistleblower-Richtlinie verabschiedet. Diese verpflichtet Unternehmen dazu, Meldekanäle bereitzustellen, über die Beschäftige namentliche oder anonyme Hinweise zu Verstößen geben können.

Bis Mitte Dezember 2021 hatte Deutschland Zeit, die EU-Whistleblower-Richtlinie in nationales Recht umzusetzen. Da dies nicht rechtzeitig geschehen ist, leitete die EU Ende Januar 2022 ein Vertragsverletzungsverfahren gegen Deutschland ein. Nun liegt der Entwurf des Hinweisgeberschutzgesetzes von Bundesjustizminister Marco Buschmann (FDP) im Bundesrat. Das Gesetz tritt drei Monate nach Verkündung in Kraft.

Wer kann Hinweisgeber sein? 

Mit der EU-Whistleblower-Richtlinie soll erstmals EU-weit ein standardisierter Schutz für Hinweisgeber sichergestellt werden. Beim Hinweisgeberschutzgesetz handelt es sich um die deutsche Umsetzung der EU-Richtlinie. Der vorliegende Gesetzentwurf regelt den Schutz natürlicher Personen, die im Rahmen ihrer Berufsausübung an Informationen über Verstöße gelangt sind und sich damit an eine hierfür eingerichtete Meldestelle wenden möchten.

Doch wer kann eigentlich Hinweisgeber sein? Der Rahmen ist weit gefasst. Zu möglichen Hinweisgebern zählen beispielsweise 

• Arbeitnehmer,
• Arbeitnehmer, deren Arbeitsverhältnis bereits beendet ist,
• Leiharbeitnehmer,
• Praktikanten,
• Stellenbewerber,
• Selbstständige, die Dienstleistungen erbringen,
• Freiberufler,
• Auftragnehmer,
• Lieferanten sowie deren Mitarbeiter,
• Anteilseigner
• und Personen in Leitungsgremien.

Um diese zu schützen, untersagt der Entwurf jegliche Repressalien und Vergeltungsmaßnahmen wie Abmahnungen, Disziplinarverfahren oder die Verweigerung einer Beförderung gegenüber Hinweisgebern. Der Gesetzesentwurf sieht bei Nichteinhaltung Sanktionen gegen natürliche und juristische Personen vor. Verstöße, wie zum Beispiel das Behindern von Meldungen oder das Ergreifen von Repressalien, aber auch das wissentliche Offenlegen unrichtiger Informationen, sollen als Ordnungswidrigkeiten mit einer Geldbuße geahndet werden.

Warum Unternehmen vom Hinweisgeberschutzgesetz profitieren 

Hinweise von Beschäftigten, die Missstände intern melden, können zu einer frühzeitigen und schnellen Fehlerbehebung beitragen. So sollten Unternehmen Hinweise als eine Art Frühwarnsystem verstehen. Rasch eingeleitete Gegenmaßnahmen können dabei auch eine Berichterstattung und Reputationsschäden abwenden. Darüber hinaus führt oftmals bereits die Existenz eines Hinweisgebersystems und die damit verbundene erhöhte Aufdeckungswahrscheinlichkeit nach einiger Zeit zu einem hohen präventiven Wirkungsgrad. Der Entwurf des Hinweisgeberschutzgesetzes beinhaltet auch Regeln, die Arbeitgebern ermöglichen, beispielsweise bei grob fahrlässigen Falschmeldungen Schadensersatzansprüche geltend zu machen.

Wer muss ein Hinweisgebersystem einrichten? 

Unternehmen und Organisation ab 50 Beschäftigten müssen eine interne Meldestelle laut des Gesetzentwurfes einrichten. Arbeitgeber mit weniger als 50 Beschäftigten sind nicht verpflichtet, interne Meldekanäle einzurichten. Unternehmen mit maximal 249 Mitarbeitenden haben für die Einrichtung bis 17. Dezember 2023 Zeit. Der Gesetzentwurf ermöglicht ihnen außerdem, gemeinsam mit anderen Unternehmen eine Meldestelle zu betreiben. So können beispielsweise Konzernunternehmen die Meldestelle bei der Konzernmutter einrichten. Unternehmen ab 250 Beschäftigten müssen sofort handeln und innerhalb von drei Monaten nach Verkündung des Hinweisgeberschutzgesetzes interne Meldestellen etablieren. 

Digitale Hinweisgebersysteme 

Interne Meldekanäle sollen die Hinweisabgabe in mündlicher und schriftlicher, aber auch in persönlicher Weise ermöglichen. So kommen beispielsweise Anrufbeantwortersysteme, Whistleblower-Hotlines, extra eingerichtete E-Mail-Adressen, Beschwerde-Briefkästen oder IT-gestützte Hinweisgebersysteme in Frage.

Ein Anbieter für digitale Meldesysteme ist der DATEV-Marktplatz Premium Partner Business Keeper. Das in München ansässige Unternehmen bietet Software für die Erfassung und Bearbeitung von Meldungen. Für Kai Leisering, Geschäftsführer der Business Keeper GmbH (Mitglied der EGS Group), hat der Datenschutz und somit die Anonymität der Whistleblower höchste Priorität: „Beschäftigte, die Kenntnisse von Missständen haben, diese jedoch nicht oder nicht ohne Risiko weitergeben können, sind einem hohem Maß an Stress ausgesetzt. Der Schutz der Hinweisgebenden muss somit durch technische Maßnahmen im System sichergestellt werden. Weder der Anbieter der Anwendung noch Dritte dürfen technische Einsicht oder Zugriff auf die sensiblen Daten erhalten.“

Digitale Meldekanäle haben Vorteile gegenüber anderen Möglichkeiten, etwa die Zuspielung von Dokumenten als Beweis für die Hinweise sowie eine anonyme Zwei-Wege-Kommunikation. Auf diese Weise können Whistleblower selbst bei Rückfragen anonym bleiben und müssen keine persönlichen Kontaktdaten zur Verfügung stellen. Business Keeper setzt dies beispielsweise mittels eines digitalen Postkastens um, der über ein Pseudonym funktioniert. Die Berechtigungen zur Einsicht in Nachrichten können flexibel vergeben werden, so dass bei Bedarf auch Steuerberater oder Rechtsanwälte für die Bearbeitung hinzugezogen werden können.

Meldestellen müssen künftig entsprechende Vorkehrungen treffen, um neben einer namentlichen auch eine anonyme Kommunikation zwischen Hinweisgebenden und Meldestellen zu ermöglichen. Darüber hinaus müssen die Vertraulichkeit und Integrität des Hinweisgebers und Dritter, die in der Meldung genannt werden, gewahrt bleiben und unbefugten Mitarbeitern der Zugriff darauf verwehrt wird. Viele Whistleblower fühlen sich bisher ohne vollständige Anonymität nicht wohl. Es wird sich zeigen, ob der neue Schutz durch das HinSchG hieran etwas ändert. 

Zuständigkeiten festlegen und Bearbeitungsfristen beachten 

Unternehmen müssen eine oder mehrere Personen bestimmen, die Meldungen von Hinweisgebern entgegennehmen. Diese müssen innerhalb von sieben Tagen dem Whistleblower den Eingang der Nachricht bestätigen. Gleichzeitig sind sie dazu verpflichtet, die Meldungen zu prüfen und Folgemaßnahmen auf den Weg zu bringen. Über diese muss der Hinweisgeber innerhalb von drei Monaten informiert werden. Als Verantwortliche für die Meldestelle kommen beispielsweise Datenschutzbeauftragte, aber auch Compliance-Leiter in Frage. Gut zu wissen: Die Zuständigen müssen nicht von ihrer eigentlichen Tätigkeit freigestellt werden. Solange ihre anderen Aufgaben und Pflichten nicht zu Interessenskonflikten führen und sie unabhängig handeln können, können sie andere Tätigkeiten weiter ausführen.

Alternativ kann die Hinweisbearbeitung auch an Dritte wie externe Anbieter von Meldeplattformen oder Ombudspersonen (zum Beispiel Steuerberater, Rechtsanwälte oder Wirtschaftsprüfer) ausgelagert werden. Entscheidend ist, dass die drei Berufsgruppen aufgrund ihrer beruflichen Stellung Unabhängigkeit, Vertraulichkeit und datenschutzkonformes Handeln gewährleisten.