UPDATE: Hinweisgeberschutzgesetz - Dringender Handlungsbedarf für Unternehmen

Bereits jetzt sollten Unternehmen

• Entscheidungen darüber treffen, ob die interne Meldestelle selbst betrieben oder an eine Anwaltskanzlei/einen externen Provider ausgelagert werden soll.
• das für die interne Meldestelle und Folgemaßnahmen zuständige Team definieren.
• die Prozesse vom Eingang einer Meldung bis zum Abschluss des Verfahrens definieren.
• FAQs und Richtlinien zum Verfahren entwerfen.
• den Betriebsrat einbinden.
• Schulungen des/der betrauten Teams vorbereiten.
• den betrieblichen Datenschutzbeauftragten einbinden.
• eine Datenschutz-Folgenabschätzung und Datenschutzhinweise vorbereiten.

Wie ist der Stand des Gesetzgebungsverfahrens?

Der Bundestag hat das Gesetz am 16. Dezember 2022 beschlossen, der Bundesrat seine Zustimmung in seiner Sitzung vom 10. Februar 2023 jedoch verweigert. Es ist zu vermuten, dass das Gesetz nun im Vermittlungsausschuss diskutiert wird. Wie lange dies dauern wird, ist unklar. Mit einem in Kraft treten ist damit wohl nicht vor Sommer 2023 zu rechnen.

Was bedeutet Hinweisgeberschutz?

Bislang existiert in Deutschland kein gesetzlich vorgeschriebenes Hinweisgeberschutzsystem. Zwar haben manche größere mittelständische Unternehmen und Konzerne bereits auf freiwilliger Basis Hinweisgeberschutzsysteme etabliert, jedoch unterscheiden sich diese teils erheblich in ihren Strukturen und Prozessen. In kleineren Unternehmen bestehen meist keinerlei Systeme.

Das Hinweisgeberschutzgesetz soll nun in Umsetzung der Whistleblowing-Richtlinie (EU/2019/1937) eine Vereinheitlichung schaffen und Hinweisgebende umfassend schützen.

Was heißt das für Unternehmen?

Für alle Unternehmen mit in der Regel mindestens 50 Beschäftigten besteht Handlungsbedarf, wobei für mittlere Unternehmen mit in der Regel 50 bis 249 Beschäftigten eine längere Umsetzungsfrist bis 17. Dezember 2023 vorgesehen ist.

Pflicht zur Errichtung einer internen Meldestelle

Unternehmen sind nach dem neuen Gesetz zur Einrichtung mindestens einer internen Meldestelle verpflichtet. Die pflichtwidrige Nichteinrichtung einer internen Meldestelle stellt eine Ordnungswidrigkeit dar, für die ein Bußgeld i.H.v. bis zu EUR 20.000,00 verhängt werden kann.

Unternehmen können eine interne Meldestelle auch an externe Dritte, etwa Kanzleien, auslagern. Insbesondere für Unternehmen, in denen mit nur wenigen Meldungen zu rechnen ist oder bei denen intern die Personalkapazitäten zum Betreiben der Meldestelle nicht bestehen, kann sich dieser Weg anbieten, um die gesetzlichen Vorgaben kosteneffizient zu erfüllen.

In jedem Fall muss die interne Meldestelle folgenden Vorgaben gerecht werden:

• Nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen sowie die sie bei der Erfüllung dieser Aufgaben unterstützenden Personen dürfen Zugriff auf die eingehenden Meldungen haben.
• Meldungen müssen in mündlicher oder in Textform ermöglicht werden.
• Auf Ersuchen von Hinweisgebenden muss innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft mit einer für die Entgegennahme einer Meldung zuständigen Person der internen Meldestelle ermöglicht werden. Mit Einwilligung der hinweisgebenden Person kann die Zusammenkunft auch im Wege der Bild- und Tonübertragung erfolgen.
• Mit den Aufgaben einer internen Meldestelle beauftragte Personen müssen bei der Ausübung ihrer Tätigkeit unabhängig sein und über die notwendige Fachkunde verfügen.

Zuletzt neu aufgenommen wurde die Pflicht für interne Meldestellen, Anreize dafür zu schaffen, dass sich hinweisgebende Personen vor einer Meldung an eine externe Meldestelle zunächst an die jeweilige interne Meldestelle wenden. Wie genau diese Anreize auszusehen haben, lässt das Gesetz offen. Arbeitgeber haben für die Arbeitnehmenden jedenfalls klare und leicht zugängliche Informationen über die Nutzung des internen Meldeverfahrens bereitzustellen. Die Möglichkeit einer externen Meldung darf hierdurch jedoch nicht beschränkt oder erschwert werden.

Einzubindende Stellen vor Errichtung der internen Meldestelle

Der Betriebsrat hat je nach Ausgestaltung der Meldestelle weitreichende Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 1 BetrVG (betriebliche Ordnung) sowie nach § 87 Abs. 1 Nr. 6 BetrVG (Einführung und Anwendung technischer Einrichtungen). Um eine Umsetzung der Meldestelle bereits im Herbst möglich zu machen, sollten sich Unternehmen zeitnah mit dem Betriebsrat darüber beraten.

Aber auch der betriebliche Datenschutzbeauftragte sollte frühzeitig eingebunden werden, da folgende Maßnahmen aus datenschutzrechtlicher Sicht durchzuführen sind:

• Durchführung einer Datenschutz-Folgenabschätzung
• Sensibilisierung der Mitarbeitenden, ggfs. Anpassung der Verschwiegenheitsverpflichtung und Verpflichtung auf Einhaltung der DSGVO
• Einsatz von Verschlüsselung und Gewährleistung des sicheren Datentransfers, Beschränkung der Zugriffe auf die Daten des Meldesystems auf strenger need-to-know Basis, Erstellung eines Berechtigungskonzepts, Protokollierung von Dateneingaben
• Anpassung des Löschkonzepts

Zu bearbeitende Meldungen

Sowohl Meldungen über Verstöße gegen EU-Recht als auch Meldungen über Straftaten und Ordnungswidrigkeiten nach deutschem Recht sind durch die interne Meldestelle zu bearbeiten. Neben strafbewehrten Verstößen fallen jedoch nur bußgeldbewehrte Verstöße in den Anwendungsbereich, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient.

Sowohl für die interne Meldestelle als auch Hinweisgebende kann es im Einzelfall sehr schwierig sein, zu beurteilen, ob eine Meldung unter den Anwendungsbereich des Gesetzes fällt. Im Zweifelsfall ist internen Meldestellen stets zu raten, eingehende Hinweise zu bearbeiten und nur in eindeutigen Fällen Hinweisen nicht nachzugehen.

Kurz vor der Beschlussfassung durch den Bundestag wurde eine Pflicht zur Annahme und Bearbeitung anonymer Hinweise aufgenommen. Dafür sind Meldekanäle vorzuhalten, welche die anonyme Kontaktaufnahme und die für die hinweisgebende Person anonyme Kommunikation zwischen hinweisgebender Person und interner Meldestelle ermöglichen.  Diese Pflicht gilt jedoch erst ab dem 1. Januar 2025.

Fristen und Prozess der Bearbeitung

Eingehende Hinweise sind durch die interne Meldestelle wie folgt zu bearbeiten:

• Eingangsbestätigung für Hinweisgebende spätestens sieben Tagen nach Eingang der Meldung
• Prüfung, ob der gemeldete Verstoß unter den Anwendungsbereich des Gesetzes fällt und ob der Hinweis stichhaltig ist
• Wenn ja: Durchführung weiterer Ermittlungen, ggf. Rückfragen an Hinweisgebende
• Nach Abschluss der Ermittlungen: Ergreifen angemessener Folgemaßnahmen
• Innerhalb von drei Monaten nach der Bestätigung des Eingangs der Meldung: Rückmeldung an Hinweisgebende mit Informationen über geplante sowie bereits ergriffene Folgemaßnahmen sowie die Gründe für diese (Ausnahme: Angaben zu Folgemaßnahmen oder Gründen würde interne Nachforschungen oder Ermittlungen berühren oder die Rechte der Personen, die Gegenstand einer Meldung sind oder die in der Meldung genannt werden, beeinträchtigen)
• Dokumentation der erhaltenen Hinweise unter Beachtung des Vertraulichkeitsgebotes für maximal drei Jahre

Umgang mit Hinweisgebenden

Der zentrale persönliche Schutz von Hinweisgebenden erfolgt durch die Pflicht der Meldestelle, deren Identität nicht preiszugeben.

Außerdem sind Hinweisgebende vor Repressalien und Vergeltungsmaßnahmen jeglicher Art geschützt. Auch der Schutz vor Schäden, die nicht das Vermögen der hinweisgebenden Person betreffen, wurde noch kurz vor der Beschlussfassung des Bundestages aufgenommen. Der umfassende Schutz von Hinweisgebenden vor Repressalien kann insbesondere bei Arbeitnehmenden des Unternehmens zu weitreichenden Konsequenzen führen, da das Gesetz hier eine Beweislastumkehr vorsieht. Arbeitgeber müssen demnach künftig nachweisen, dass Maßnahmen gegen Arbeitnehmende nicht im Zusammenhang mit der Aufdeckung von Missständen stehen. Beachtlich ist hierbei, dass die Entwurfsbegründung auch die Nichtverlängerung einer Befristung als mögliche verbotene Sanktion von Hinweisgebenden nennt. Es ist Arbeitgebern daher im Falle von etwaigen arbeitsrechtlichen Maßnahmen gegen Hinweisgebende zu einer noch detaillierteren Dokumentation der Gründe hierfür zu raten.

Positiv für Unternehmen ist jedoch, dass Hinweisgebende nicht bei jedem Hinweis geschützt werden. Voraussetzung ist stets, dass Hinweisgebende zum Zeitpunkt der Meldung oder Offenlegung hinreichenden Grund zu der Annahme hatten, dass die von ihnen gemeldeten oder offengelegten Informationen der Wahrheit entsprechen. Weiter müssen die Informationen Verstöße betreffen, die in den Anwendungsbereich des Gesetzes fallen, oder Hinweisgebende mussten zum Zeitpunkt der Meldung oder Offenlegung wenigstens hinreichenden Grund zu der Annahme haben, dass dies der Fall ist. Diese Regelung bezweckt den Schutz von Unternehmen vor Hinweisgebenden, die eine Meldung aus Querulantentum erstatten oder nur, um andere ohne hinreichenden Verdacht „in Verruf“ zu bringen.

Die Motive von Hinweisgebenden spielen jedoch grundsätzlich keine Rolle. Das bedeutet, auch wenn Hinweisgebende eine Meldung nur zu dem Zweck erstatten, um vor aus anderen Gründen drohenden Maßnahmen des Unternehmens (etwa einer Kündigung) geschützt zu sein, fallen sie in den Schutzbereich des Gesetzes. Jedenfalls solange der Hinweis selbst es tut. Durch solche Hinweise können Hinweisgebende zwar keine aus anderen Gründen drohenden Maßnahmen gegen sie verhindern, den Begründungsaufwand für Unternehmen aber erheblich erhöhen.

Weitere Informationen zu dem Thema finden Sie auch in unserem #Employmenttalk: Hinweisgeberschutzgesetz.