Skip to content

Hinweisgeberschutzgesetz – Dringender Handlungsbedarf für Unternehmen

Autor
Image of Beatrice Hotze
Beatrice Hotze

Senior Associate

München

Profil ansehen →

Jost Isabel
Dr. Isabel Jost

Associate

München

Profil ansehen →

20 Juli 2022

Das Hinweisgeberschutzgesetz wird wohl noch im Herbst dieses Jahres kommen. Für Unternehmen heißt das, sich schon jetzt auf die zu erwartenden Regelungen einzustellen und entsprechende Vorbereitungen zu treffen.

Bereits jetzt sollten Unternehmen

  • Entscheidungen darüber treffen, ob die interne Meldestelle selbst betrieben oder an eine Anwaltskanzlei/einen externen Provider ausgelagert werden soll.
  • das für die interne Meldestelle und Folgemaßnahmen zuständige Team definieren.
  • die Prozesse vom Eingang einer Meldung bis zum Abschluss des Verfahrens definieren.
  • FAQs und Richtlinien zum Verfahren entwerfen.
  • den Betriebsrat einbinden.
  • Schulungen des/der betrauten Teams vorbereiten.
  • den betrieblichen Datenschutzbeauftragten einbinden.
  • eine Datenschutz-Folgenabschätzung und Datenschutzhinweise vorbereiten.

Wie ist der Stand des Gesetzgebungsverfahrens?

Der Referentenentwurf wurde Mitte April 2022 veröffentlicht. Bis zum 11. Mai 2022 konnten sich die Länder und Verbände zum neuen Gesetzesentwurf äußern. Es ist noch unklar, wie lange die Auswertung der zahlreichen eingegangenen Stellungnahmen dauern wird, eine Verabschiedung des Gesetzes noch in diesem Jahr ist jedoch wahrscheinlich. Es wird mit einem Inkrafttreten im Herbst 2022 gerechnet. Große Veränderungen am Referentenentwurf sind kaum noch zu erwarten.

Was bedeutet Hinweisgeberschutz?

Bislang existiert in Deutschland kein gesetzlich vorgeschriebenes Hinweisgeberschutzsystem. Zwar haben manche größere mittelständische Unternehmen und Konzerne bereits auf freiwilliger Basis Hinweisgeberschutzsysteme etabliert, jedoch unterscheiden sich diese teils erheblich in ihren Strukturen und Prozessen. In kleineren Unternehmen bestehen meist keinerlei Systeme.

Das Hinweisgeberschutzgesetz soll nun in Umsetzung der Whistleblowing-Richtlinie (EU/2019/1937) eine Vereinheitlichung schaffen und Hinweisgebende umfassend schützen.

Was heißt das für Unternehmen?

Für alle Unternehmen mit in der Regel mindestens 50 Beschäftigten besteht Handlungsbedarf, wobei für mittlere Unternehmen mit in der Regel 50 bis 249 Beschäftigten nach dem Referentenentwurf eine längere Umsetzungsfrist vorgesehen ist.

Pflicht zur Errichtung einer internen Meldestelle

Unternehmen sind nach dem neuen Gesetz zur Einrichtung mindestens einer internen Meldestelle verpflichtet. Die pflichtwidrige Nichteinrichtung einer internen Meldestelle stellt nach dem Referentenentwurf eine Ordnungswidrigkeit dar, für die ein Bußgeld i.H.v. bis zu EUR 20.000,00 verhängt werden kann.

Der Referentenentwurf sieht weiter vor, dass Unternehmen eine interne Meldestelle auch an externe Dritte, etwa Kanzleien, auslagern können. Insbesondere für Unternehmen, in denen mit nur wenigen Meldungen zu rechnen ist oder bei denen intern die Personalkapazitäten zum Betreiben der Meldestelle nicht bestehen, kann sich dieser Weg anbieten, um die gesetzlichen Vorgaben kosteneffizient zu erfüllen.

In jedem Fall muss die interne Meldestelle folgenden Vorgaben gerecht werden:

  • Nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen sowie die sie bei der Erfüllung dieser Aufgaben unterstützenden Personen dürfen Zugriff auf die eingehenden Meldungen haben.
  • Meldungen müssen in mündlicher oder in Textform ermöglicht werden.
  • Auf Ersuchen von Hinweisgebenden muss innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft mit einer für die Entgegennahme einer Meldung zuständigen Person der internen Meldestelle ermöglicht werden.
  • Mit den Aufgaben einer internen Meldestelle beauftragte Personen müssen bei der Ausübung ihrer Tätigkeit unabhängig sein und über die notwendige Fachkunde verfügen.

Einzubindende Stellen vor Errichtung der internen Meldestelle

Der Betriebsrat hat je nach Ausgestaltung der Meldestelle weitreichende Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 1 BetrVG (betriebliche Ordnung) sowie nach § 87 Abs. 1 Nr. 6 BetrVG (Einführung und Anwendung technischer Einrichtungen). Um eine Umsetzung der Meldestelle bereits im Herbst möglich zu machen, sollten sich Unternehmen zeitnah mit dem Betriebsrat darüber beraten.

Aber auch der betriebliche Datenschutzbeauftragte sollte frühzeitig eingebunden werden, da folgende Maßnahmen aus datenschutzrechtlicher Sicht durchzuführen sind:

  • Durchführung einer Datenschutz-Folgenabschätzung
  • Sensibilisierung der Mitarbeitenden, ggfs. Anpassung der Verschwiegenheitsverpflichtung und Verpflichtung auf Einhaltung der DSGVO
  • Einsatz von Verschlüsselung und Gewährleistung des sicheren Datentransfers, Beschränkung der Zugriffe auf die Daten des Meldesystems auf strenger need-to-know Basis, Erstellung eines Berechtigungskonzepts, Protokollierung von Dateneingaben
  • Anpassung des Löschkonzepts

Zu bearbeitende Meldungen

Sowohl Meldungen über Verstöße gegen EU-Recht als auch Meldungen über Straftaten und Ordnungswidrigkeiten nach deutschem Recht sind durch die interne Meldestelle zu bearbeiten. Neben strafbewehrten Verstößen sollen jedoch nur bußgeldbewehrte Verstöße in den Anwendungsbereich fallen, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient.

Sowohl für die interne Meldestelle als auch Hinweisgebende kann es im Einzelfall sehr schwierig sein, zu beurteilen, ob eine Meldung unter den Anwendungsbereich des Gesetzes fällt. Im Zweifelsfall ist internen Meldestellen stets zu raten, eingehende Hinweise zu bearbeiten und nur in eindeutigen Fällen Hinweisen nicht nachzugehen.

Es besteht keine Verpflichtung, anonyme Hinweise anzunehmen oder zu bearbeiten. Es besteht jedoch ein erhebliches Eigeninteresse von Unternehmen, anonyme Hinweise zu fördern, da in diesem Fall der mit hohem administrativen Aufwand verbundene Identitätsschutz Hinweisgebender entfällt.

Fristen und Prozess der Bearbeitung

Eingehende Hinweise sind durch die interne Meldestelle wie folgt zu bearbeiten: 

  • Eingangsbestätigung für Hinweisgebende spätestens 7 Tagen nach Eingang der Meldung
  • Prüfung, ob der gemeldete Verstoß unter den Anwendungsbereich des Gesetzes fällt und ob der Hinweis stichhaltig ist
  • Wenn ja: Durchführung weiterer Ermittlungen, ggf. Rückfragen an Hinweisgebende
  • Nach Abschluss der Ermittlungen: Ergreifen angemessener Folgemaßnahmen
  • Innerhalb von 3 Monaten nach der Bestätigung des Eingangs der Meldung: Rückmeldung an Hinweisgebende mit Informationen über geplante sowie bereits ergriffene Folgemaßnahmen sowie die Gründe für diese (Ausnahme: Angaben zu Folgemaßnahmen oder Gründen würde interne Nachforschungen oder Ermittlungen berühren oder die Rechte der Personen, die Gegenstand einer Meldung sind oder die in der Meldung genannt werden, beeinträchtigen)
  • Dokumentation der erhaltenen Hinweise unter Beachtung des Vertraulichkeitsgebotes für maximal 2 Jahre

Umgang mit Hinweisgebenden

Der zentrale persönliche Schutz von Hinweisgebenden erfolgt durch die Pflicht der Meldestelle, deren Identität nicht preiszugeben.

Außerdem sind Hinweisgebende vor Repressalien und Vergeltungsmaßnahmen jeglicher Art geschützt. Dies kann insbesondere bei Arbeitnehmenden des Unternehmens zu weitreichenden Konsequenzen führen, da der Referentenentwurf hier eine Beweislastumkehr vorsieht. Arbeitgeber müssen demnach künftig nachweisen, dass Maßnahmen gegen Arbeitnehmende nicht im Zusammenhang mit der Aufdeckung von Missständen stehen. Beachtlich ist hierbei, dass die Entwurfsbegründung auch die Nichtverlängerung einer Befristung als mögliche verbotene Sanktion von Hinweisgebenden nennt. Es ist Arbeitgebern daher im Falle von etwaigen arbeitsrechtlichen Maßnahmen gegen Hinweisgebende zu einer noch detaillierteren Dokumentation der Gründe hierfür zu raten.

Positiv für Unternehmen ist jedoch, dass Hinweisgebende nicht bei jedem Hinweis geschützt werden. Voraussetzung ist stets, dass Hinweisgebende zum Zeitpunkt der Meldung oder Offenlegung hinreichenden Grund zu der Annahme hatten, dass die von ihnen gemeldeten oder offengelegten Informationen der Wahrheit entsprechen. Weiter müssen die Informationen Verstöße betreffen, die in den Anwendungsbereich des Gesetzes fallen, oder Hinweisgebende mussten zum Zeitpunkt der Meldung oder Offenlegung wenigstens hinreichenden Grund zu der Annahme haben, dass dies der Fall ist. Diese Regelung bezweckt den Schutz von Unternehmen vor Hinweisgebenden, die eine Meldung aus Querulantentum erstatten oder nur, um andere ohne hinreichenden Verdacht „in Verruf“ zu bringen.

Die Motive von Hinweisgebenden spielen jedoch grundsätzlich keine Rolle. Das bedeutet, auch wenn Hinweisgebende eine Meldung nur zu dem Zweck erstatten, um vor aus anderen Gründen drohenden Maßnahmen des Unternehmens (etwa einer Kündigung) geschützt zu sein, fallen sie in den Schutzbereich des Gesetzes. Jedenfalls solange der Hinweis selbst es tut. Durch solche Hinweise können Hinweisgebende zwar keine aus anderen Gründen drohenden Maßnahmen gegen sie verhindern, den Begründungsaufwand für Unternehmen aber erheblich erhöhen.

Weitere Informationen zu dem Thema finden Sie auch in unserem #Employmenttalk: Hinweisgeberschutzgesetz.

Weitere relevante Expertise