UPDATE: Hinweisgeberschutzgesetz - Dringender Handlungsbedarf für Unternehmen

Für Unternehmen heißt das, sich spätestens jetzt mit den neuen Pflichten auseinanderzusetzen und umgehend entsprechende Maßnahmen zu ergreifen.

Insbesondere müssen Unternehmen nun umgehend:

• Entscheidungen darüber treffen, ob die interne Meldestelle selbst betrieben oder an eine Anwaltskanzlei/einen externen Provider ausgelagert werden soll.
• das für die interne Meldestelle und Folgemaßnahmen zuständige Team definieren.
• die Prozesse vom Eingang einer Meldung bis zum Abschluss des Verfahrens definieren.
• FAQs und Richtlinien zum Verfahren entwerfen.
• den Betriebsrat einbinden.
• Schulungen des/der betrauten Teams vorbereiten.
• den betrieblichen Datenschutzbeauftragten einbinden.
• eine Datenschutz-Folgenabschätzung und Datenschutzhinweise vorbereiten.

Was bedeutet Hinweisgeberschutz?

Bislang existiert in Deutschland kein gesetzlich vorgeschriebenes Hinweisgeberschutzsystem. Zwar haben manche größere mittelständische Unternehmen und Konzerne bereits auf freiwilliger Basis Hinweisgeberschutzsysteme etabliert, jedoch unterscheiden sich diese teils erheblich in ihren Strukturen und Prozessen. In kleineren Unternehmen bestehen meist keinerlei Systeme.

Das Hinweisgeberschutzgesetz soll nun in Umsetzung der Whistleblowing-Richtlinie (EU/2019/1937) eine Vereinheitlichung schaffen und Hinweisgeber¹  umfassend schützen.

Was heißt das für Unternehmen?

Für alle Unternehmen mit in der Regel mindestens 50 Beschäftigten besteht Handlungsbedarf, wobei für mittlere Unternehmen mit in der Regel 50 bis 249 Beschäftigten weiterhin eine (etwas) längere Umsetzungsfrist bis 17. Dezember 2023 vorgesehen ist.

Pflicht zur Errichtung einer internen Meldestelle

Unternehmen sind nach dem neuen Gesetz zur Einrichtung mindestens einer internen Meldestelle verpflichtet. Die pflichtwidrige Nichteinrichtung einer internen Meldestelle stellt eine Ordnungswidrigkeit dar, für die eine Geldbuße i.H.v. bis zu EUR 20.000,00 verhängt werden kann.

Unternehmen können eine interne Meldestelle auch an externe Dritte, etwa Kanzleien, auslagern. Insbesondere für Unternehmen, in denen mit nur wenigen Meldungen zu rechnen ist oder bei denen intern die Personalkapazitäten zum Betreiben der Meldestelle nicht bestehen, kann sich dieser Weg anbieten, um die gesetzlichen Vorgaben kosteneffizient zu erfüllen. Es ist allerdings zu beachten, dass die Pflicht zur Behebung von etwaigen Missständen bei der betroffenen Gesellschaft und insbesondere deren Geschäftsführung verbleibt.

Die Gesetzesmaterialien sehen außerdem vor, dass Konzerne nicht für jedes ihrer Unternehmen, das aufgrund der Anzahl an Arbeitnehmern in den Anwendungsbereich des Gesetzes fällt, ein eigenes Meldesystem einrichten müssen. Vielmehr kann für diese auch eine unabhängige Stelle bei einer anderen Konzerngesellschaft (zum Beispiel Mutter-, Schwester-, oder Tochtergesellschaft) installiert werden. Eine zentrale Meldestelle innerhalb des Konzern genüge insofern. Die Rechtmäßigkeit dieses Konzernprivilegs ist jedoch umstritten. So wird vertreten, dass das Konzernprivileg gegen die Vorgaben aus der Whistleblowing-Richtlinie verstoße und daher unwirksam sei. Die EU-Kommission hatte zudem in mehreren Stellungnahmen erklärt, dass jede eigenständige juristische Person, also auch jedes Konzernunternehmen, ein eigenes Hinweisgebersystem einrichten muss. Diese Auffassung führt jedoch zu der absurden Situation, dass jedes Konzernunternehmen (das in den Anwendungsbereich des Gesetzes fällt) dieselbe konzernexterne Stelle als interne Meldestelle benennen kann, die Benennung einer Stelle innerhalb des Konzerns jedoch unzulässig wäre. Solange eine höchstrichterliche Klärung dieser Frage aussteht, sollten Konzerne zur Vermeidung von Risiken nicht lediglich eine zentrale Stelle im Konzern einrichten, sondern diese (jedenfalls zusätzlich) bei jedem Unternehmen (das in den Anwendungsbereich des Gesetzes fällt) implementieren.

In jedem Fall muss die interne Meldestelle folgenden Vorgaben gerecht werden:

• Nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen sowie die sie bei der Erfüllung dieser Aufgaben unterstützenden Personen dürfen Zugriff auf die eingehenden Meldungen haben.
• Meldungen müssen in mündlicher oder in Textform ermöglicht werden.
• Auf Ersuchen von Hinweisgebern muss innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft mit einer für die Entgegennahme einer Meldung zuständigen Person der internen Meldestelle ermöglicht werden. Mit Einwilligung der hinweisgebenden Person kann die Zusammenkunft auch im Wege der Bild- und Tonübertragung erfolgen.
• Mit den Aufgaben einer internen Meldestelle beauftragte Personen müssen bei der Ausübung ihrer Tätigkeit unabhängig sein und über die notwendige Fachkunde verfügen.

Wahlrecht

Die hinweisgebende Person kann frei wählen, ob sie sich an eine interne oder eine externe Meldestelle wendet.

Externe Meldestellen werden vom Bund oder den Ländern betrieben. Eine externe Meldestelle auf Bundesebene wird beim Bundesamt für Justiz eingerichtet. Darüber hinaus kann auch jedes Bundesland eine externe Meldestelle einrichten. Weiterhin ist es vorgesehen, dass bei der Bundesanstalt für Finanzdienstleistungsaufsicht und beim Bundeskartellamt eine fachspezifische Meldestelle eingerichtet wird.

Es besteht nach dem Gesetz die Pflicht für interne Meldestellen, Anreize dafür zu schaffen, dass sich hinweisgebende Personen vor einer Meldung an eine externe Meldestelle zunächst an die jeweilige interne Meldestelle wenden. Wie genau diese Anreize auszusehen haben, lässt das Gesetz allerdings offen. Arbeitgeber haben für die Arbeitnehmer jedenfalls klare und leicht zugängliche Informationen über die Nutzung des internen Meldeverfahrens bereitzustellen. Die Möglichkeit einer externen Meldung darf hierdurch jedoch nicht beschränkt oder erschwert werden. Nach der jüngsten Anpassung im Vermittlungsausschuss sieht das Gesetz nun jedoch auch vor, dass hinweisgebende Personen in den Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten, die Meldung an eine interne Meldestelle bevorzugen sollen. Letztlich wird dieser Appell an die Belegschaft jedoch bei einem Verstoß keine rechtlichen Konsequenzen haben und ist insofern rein psychologischer Natur.

Einzubindende Stellen vor Errichtung der internen Meldestelle

Der Betriebsrat hat je nach Ausgestaltung der Meldestelle weitreichende Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 1 BetrVG (betriebliche Ordnung) sowie nach § 87 Abs. 1 Nr. 6 BetrVG (Einführung und Anwendung technischer Einrichtungen). Um eine Umsetzung der Meldestelle bereits im Herbst möglich zu machen, sollten sich Unternehmen zeitnah mit dem Betriebsrat darüber beraten.

Aber auch der betriebliche Datenschutzbeauftragte sollte frühzeitig eingebunden werden, da folgende Maßnahmen aus datenschutzrechtlicher Sicht durchzuführen sind:

• Durchführung einer Datenschutz-Folgenabschätzung
• Sensibilisierung der Arbeitnehmer, ggfs. Anpassung der Verschwiegenheitsverpflichtung und Verpflichtung auf Einhaltung der DSGVO
• Einsatz von Verschlüsselung und Gewährleistung des sicheren Datentransfers, Beschränkung der Zugriffe auf die Daten des Meldesystems auf strenger need-to-know Basis, Erstellung eines Berechtigungskonzepts, Protokollierung von Dateneingaben
• Anpassung des Löschkonzepts

Zu bearbeitende Meldungen

Sowohl Meldungen über Verstöße gegen EU-Recht als auch Meldungen über Straftaten und Ordnungswidrigkeiten nach deutschem Recht sind durch die interne Meldestelle zu bearbeiten. Neben strafbewehrten Verstößen fallen jedoch nur bußgeldbewehrte Verstöße in den Anwendungsbereich, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient.

Sowohl für die interne Meldestelle als auch Hinweisgeber kann es im Einzelfall sehr schwierig sein zu beurteilen, ob eine Meldung unter den Anwendungsbereich des Gesetzes fällt. Im Zweifelsfall ist internen Meldestellen stets zu raten, eingehende Hinweise zu bearbeiten und nur in eindeutigen Fällen Hinweisen nicht nachzugehen.

Nach der aktualisierten Gesetzesfassung besteht nun keine Pflicht mehr, auch anonyme Hinweise zu bearbeiten. Die ursprüngliche Muss-Vorschrift wurde in eine Soll-Vorschrift abgewandelt. Zudem wurde ausdrücklich klargestellt, dass keine Verpflichtung besteht, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen. Zu beachten ist allerdings, dass ‒ ungeachtet der Umwandlung in eine Soll-Vorschrift ‒ im Einzelfall die Pflicht bestehen kann, substantiierten anonymen Hinweisen nachzugehen, da dem Arbeitgeber sonst zivil- und strafrechtliche Haftungsrisiken drohen können.

Fristen und Prozess der Bearbeitung

Eingehende Hinweise sind durch die interne Meldestelle wie folgt zu bearbeiten:

• Eingangsbestätigung für Hinweisgeber spätestens sieben Tagen nach Eingang der Meldung
• Prüfung, ob der gemeldete Verstoß unter den Anwendungsbereich des Gesetzes fällt und ob der Hinweis stichhaltig ist
• Wenn ja: Durchführung weiterer Ermittlungen, ggf. Rückfragen an Hinweisgeber
• Nach Abschluss der Ermittlungen: Ergreifen angemessener Folgemaßnahmen
• Innerhalb von drei Monaten nach der Bestätigung des Eingangs der Meldung: Rückmeldung an Hinweisgeber mit Informationen über geplante sowie bereits ergriffene Folgemaßnahmen sowie die Gründe für diese (Ausnahme: Angaben zu Folgemaßnahmen oder Gründen würde interne Nachforschungen oder Ermittlungen berühren oder die Rechte der Personen, die Gegenstand einer Meldung sind oder die in der Meldung genannt werden, beeinträchtigen)
• Dokumentation der erhaltenen Hinweise unter Beachtung des Vertraulichkeitsgebotes für maximal drei Jahre, wobei eine längere Aufbewahrung möglich sein soll, wenn dies nach gesetzlichen Vorschriften erforderlich und verhältnismäßig ist

Umgang mit Hinweisgebern

Der zentrale persönliche Schutz von Hinweisgebern erfolgt durch die Pflicht der Meldestelle, deren Identität nicht preiszugeben.

Außerdem sind Hinweisgeber vor Repressalien und Vergeltungsmaßnahmen jeglicher Art geschützt. Wieder gestrichen wurde der zwischenzeitlich vorgesehene Ersatz für solche Schäden, die nicht das Vermögen der hinweisgebenden Person betreffen (also immaterielle Schäden). Der umfassende Schutz von Hinweisgebern vor Repressalien kann insbesondere bei Arbeitnehmern des Unternehmens zu weitreichenden Konsequenzen führen, da das Gesetz hier eine Beweislastumkehr vorsieht. Arbeitgeber müssen demnach künftig nachweisen, dass Maßnahmen gegen Arbeitnehmer nicht im Zusammenhang mit der Aufdeckung von Missständen stehen. Im Vermittlungsausschuss wurde diese Regelung zwar letztlich so abgeändert, dass die Vermutung erst gilt, wenn die hinweisgebende Person die Benachteiligung geltend macht; dies dürfte für Arbeitgeber in der Praxis jedoch nicht wirklich eine Entlastung darstellen, da insofern stets mit einer entsprechenden Geltendmachung zu rechnen sein dürfte. Beachtlich ist außerdem, dass in den Gesetzesmaterialien auch die Nichtverlängerung einer Befristung als mögliche verbotene Sanktion von Hinweisgebern ausdrücklich genannt wird. Es ist Arbeitgebern daher im Falle von etwaigen arbeitsrechtlichen Maßnahmen gegen Hinweisgeber zu einer noch detaillierteren Dokumentation der Gründe hierfür zu raten.

Positiv für Unternehmen ist jedoch, dass Hinweisgeber nicht bei jedem Hinweis geschützt werden. Voraussetzung ist stets, dass Hinweisgeber zum Zeitpunkt der Meldung oder Offenlegung hinreichenden Grund zu der Annahme hatten, dass die von ihnen gemeldeten oder offengelegten Informationen der Wahrheit entsprechen. Weiter müssen die Informationen Verstöße betreffen, die in den Anwendungsbereich des Gesetzes fallen, oder Hinweisgeber mussten zum Zeitpunkt der Meldung oder Offenlegung wenigstens hinreichenden Grund zu der Annahme haben, dass dies der Fall ist. Diese Regelung bezweckt den Schutz von Unternehmen vor Hinweisgebern, die eine Meldung aus Querulantentum erstatten oder nur, um andere ohne hinreichenden Verdacht „in Verruf“ zu bringen. 

Die Motive von Hinweisgebern spielen jedoch grundsätzlich keine Rolle. Das bedeutet, auch wenn Hinweisgeber eine Meldung nur zu dem Zweck erstatten, um vor aus anderen Gründen drohenden Maßnahmen des Unternehmens (etwa einer Kündigung) geschützt zu sein, fallen sie in den Schutzbereich des Gesetzes. Jedenfalls solange der Hinweis selbst es tut. Durch solche Hinweise können Hinweisgeber zwar keine aus anderen Gründen drohenden Maßnahmen gegen sie verhindern, den Begründungsaufwand für Unternehmen aber erheblich erhöhen. 

Weitere Informationen zu dem Thema finden Sie auch in unserem #Employmenttalk: Hinweisgeberschutzgesetz.

Fußnoten

¹_{Aus Gründen der besseren Lesbarkeit wird durchgehend das generische Maskulinum verwendet; es werden jedoch ausdrücklich alle Geschlechteridentitäten hiervon erfasst.}