Hinweisgeberschutzgesetz (HinSchG)

Wer kann Hinweisgeber sein?

• Beschäftigte, auch bereits ausgeschiedene Beschäftigte, Stellenbewerber, Praktikanten, Leiharbeitnehmer
• Selbstständige, die Dienstleistungen erbringen, Freiberufler, Auftragnehmer, Unterauftragnehmer, Lieferanten und deren Mitarbeiter
• Anteilseigner und Personen in Leitungsgremien

Welche Verstöße können von Hinweisgebern gemeldet werden?

• Verstöße gegen Strafvorschriften: Dies umfasst jede Strafnorm nach deutschem Recht.
• Verstöße, die mit einem Bußgeld geahndet werden (also Ordnungswidrigkeiten), wenn die verletzte Norm dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Darunter fallen beispielsweise Vorschriften aus den Bereichen des Arbeits- und Gesundheitsschutzes, Verstöße gegen das Mindestlohngesetz oder Bußgeldvorschriften, die Verstöße gegen Aufklärungs- und Auskunftspflichten gegenüber Organen der Betriebsverfassung wie Betriebsräten sanktionieren.
• Darüber hinaus sind alle Verstöße gegen Rechtsvorschriften des Bundes und der Länder umfasst, die zur Umsetzung bestimmter europäischer Regelungen getroffen wurden, sowie Verstöße gegen unmittelbar geltende EU-Rechtsakte in einer Vielzahl verschiedener Bereiche, etwa: Regelungen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, Vorgaben zur Produktsicherheit, Vorgaben zur Verkehrssicherheit, Vorgaben zur Beförderung gefährlicher Güter, Vorgaben zum Umwelt- und Strahlenschutz, Lebensmittel- und Futtermittelsicherheit, Qualitäts- und Sicherheitsstandards bei Arzneimitteln und Medizinprodukten, Regelungen des Verbraucherschutzes, Regelungen des Datenschutzes und der Sicherheit in der Informationstechnik, Regelungen des Vergaberechts, Regelungen zur Rechnungslegung bei Kapitalgesellschaften, Regelungen im Bereich des Wettbewerbsrechts etc.
• Zuletzt wurde der sachliche Anwendungsbereich auf Äußerungen von Beamtinnen und Beamten ausgeweitet, die einen Verstoß gegen die Pflicht zur Verfassungstreue darstellen (wohl aufgrund der Geschehnisse um die “Reichsbürger-Razzia”).

Welche Unternehmen müssen interne Meldekanäle einrichten?

Was ist bei der Einrichtung und beim Betrieb interner Meldekanäle zu beachten?

• Meldekanäle, die Meldungen in Textform ermöglichen, können sein: IT-gestütztes Hinweisgebersystem wie etwa eine Plattform im Internet oder Intranet oder eine eigens für die Entgegennahme und Bearbeitung von Hinweisen nach dem HinSchG eingerichtete E-Mail-Adresse.
• Meldekanäle, die Meldungen ausschließlich in Schriftform ermöglichen (z.B. ein Beschwerde-Briefkasten oder Meldungen über den Postweg) dürften nicht ausreichen, weil der Gesetzeswortlaut von Meldungen “in Textform” spricht.
• Mündliche Meldekanäle können sein: Whistleblower-Hotline, Anrufbeantwortersystem.
• Auf Wunsch des Hinweisgebers sollte es über diese Kanäle auch möglich sein, innerhalb eines angemessenen Zeitraums Hinweise in einem persönlichen Treffen zu besprechen, das mit Einwilligung des Hinweisgebers auch in Form einer Videokonferenz erfolgen kann.

• Ganz zentral ist das sog. Vertraulichkeitsgebot nach § 8 HinSchG: Die internen Meldekanäle müssen so konzipiert sein, dass die Identität der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, sowie der sonstigen in der Meldung erwähnten Personen gewahrt wird. Die Identität dieser Personen darf nur den zur Entgegennahme der Meldung sowie zur Ergreifung von Folgemaßnahmen zuständigen Personen bekannt sein, sodass anderen Personen der Zugriff auf den internen Meldekanal verwehrt sein muss. Nur mit ausdrücklicher Zustimmung der betroffenen Personen darf deren Identität auch anderen Personen gegenüber offengelegt werden.
• Im Zweifel sollten alle Personen, die Zugang zum internen Meldekanal haben oder in sonstiger Weise Kenntnis von den Meldungen erlangen, durch entsprechende Erklärungen zur Vertraulichkeit verpflichtet werden (Vertraulichkeitsverpflichtungserklärungen).
• Vertraulichkeit bedeutet nicht Anonymität: es besteht keine Verpflichtung, anonyme Meldekanäle einzurichten.
• Informationen über die Identität einer hinweisgebenden oder sonstigen Person, die in der Meldung erwähnt werden, dürfen nur in Ausnahmefällen nach § 9 HinSchG herausgegeben werden, etwa in Strafverfahren auf Verlangen der Strafverfolgungsbehörde.

• Innerhalb des Unternehmens müssen „Meldestellen-Beauftragte“ bestimmt werden (eine/mehrere Person/-en oder eine Abteilung), die die Meldungen entgegennehmen, dem Hinweisgeber innerhalb der 7-Tage-Frist den Eingang der Meldung bestätigen, die Meldung prüfen, entsprechende Folgemaßnahmen in die Wege leiten und die hinweisgebende Person innerhalb von 3 Monaten nach der Bestätigung des Eingangs der Meldung über ergriffene Folgemaßnahmen informieren.
• Konkrete Vorgaben gibt es nicht. Maßgeblich ist die jeweilige Organisationsstruktur, Größe und Art der ausgeübten Unternehmenstätigkeit.
• Diese Personen können insbesondere sein: Compliance-Leiter, Legal Councel, Datenschutzbeauftragter, Finanzdirektor, Auditverantwortlicher.
• Diese Personen können neben ihrer Tätigkeit für die interne Meldestelle andere Aufgaben und Pflichten wahrnehmen. Wichtig ist aber, sicherzustellen, dass derartige Aufgaben und Pflichten nicht zu Interessenskonflikten führen und diese Personen unabhängig handeln können (§ 15 Absatz 1 HinSchG). Geschäftsführer oder Personalverantwortliche können aufgrund bestehender Interessenskonflikte grundsätzlich nicht Meldestellen-Beauftragte sein.
• Darüber hinaus müssen die Meldestellen-Beauftragten nach § 15 Absatz 2 HinSchG die notwendige Fachkunde besitzen, damit diese die mit dem Betrieb der internen Meldestelle verbundenen Aufgaben erfüllen können. In der Regel wird es erforderlich sein, die betreffenden Personen im Hinblick auf die mit der Übernahme der Funktion verbundene Verantwortung zu schulen.

• Innerhalb von 7 Tagen muss dem Hinweisgeber bestätigt werden, dass seine Meldung eingegangen ist.
• Innerhalb von spätestens 3 Monaten nach der Bestätigung des Eingangs der Meldung muss der Hinweisgeber über geplante oder bereits ergriffene Folgemaßnahmen sowie die Gründe für diese informiert werden.

• Einleitung interner Nachforschungen.
• Mögliche Maßnahmen zur Behebung des Problems.
• Verweis auf andere Kanäle oder Verfahren bei Meldungen.
• Abschluss des Verfahrens aufgrund mangelnder Beweise oder anderer Gründe.
• Befassung einer zuständigen Behörde.

• Alle eingehenden Meldungen müssen nach § 11 HinSchG im Einklang mit den Vertraulichkeitspflichten dokumentiert werden.
• Wie die Meldungen dokumentiert werden müssen, hängt davon ab, über welchen Kanal die Meldung eingegangen ist.
• Das gewählte Meldesystem sollte entsprechende Anwendungen haben, dass Meldungen und Folgemaßnahmen so dokumentiert werden, dass sie gegebenenfalls als Beweismittel verwendet werden können.
• Die Dokumentationen müssen 3 Jahre nach Abschluss des Verfahrens gelöscht werden. Ausnahmsweise können die Dokumentationen auch länger als 3 Jahre aufbewahrt werden, um die Anforderungen nach dem HinSchG oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist.

• Unternehmen müssen nach § 13 Absatz 2 HinSchG Informationen über alternative externe Meldeverfahren unter Nennung der jeweils zuständigen Behörden sowie über einschlägige Meldeverfahren von Organen, Einrichtungen oder sonstigen Stellen der Europäischen Union bereitstellen (siehe hierzu unten “Welche Möglichkeiten der Meldung haben Hinweisgeber?”).
• Diese Informationen müssen leicht verständlich und zugänglich sein, zum Beispiel über die Unternehmens-Website, im Intranet oder am Schwarzen Brett.

• Aufbewahrungs-/Löschfristen müssen festgelegt werden (siehe hierzu oben unter 6.).
• Die Erstellung einer Datenschutzerklärung für Hinweisgeber wird erforderlich sein.
• Wenn externe Anbieter als interne Meldestellen beauftragt werden, ist zu prüfen, ob der Abschluss eines Vertrags zur Auftragsdatenverarbeitung erforderlich ist.
• Der Prozess über den internen Meldekanal muss im Verzeichnis der Verarbeitungstätigkeiten aufgenommen werden.
• In der Regel wird die Durchführung einer Datenschutz-Folgeabschätzung erforderlich sein.
• Eine sichere Datenverarbeitung verlangt zudem geeignete technische und organisatorische Maßnahmen.

• Zunächst haben Betriebsräte gemäß § 80 Absatz 2 Betriebsverfassungsgesetz (BetrVG) einen Anspruch auf Unterrichtung vor der geplanten Einrichtung eines Hinweisgeberschutzsystems.
• Bei der Frage des „Ob“, also ob ein Hinweisgebersystem überhaupt eingerichtet werden soll, hat der Betriebsrat kein Mitbestimmungsrecht. Auch bei der Frage, welche Stelle (intern oder extern) mit dem Betrieb des Hinweisgebersystems betraut wird, gibt es keine zwingende Mitbestimmung.
• Bei der Frage des „Wie“, also im Hinblick auf die Ausgestaltung von Meldekanälen und Meldeverfahren könnten Mitbestimmungsrechte des Betriebsrats ausgelöst werden. Insbesondere das Mitbestimmungsrecht aus § 87 Absatz 1 Nummer 6 BetrVG, nämlich im Falle der Einrichtung und Anwendung technischer Einrichtungen, kommt in Betracht, sofern die Identifikation des Hinweisgebers möglich ist.
• Sofern der Arbeitgeber ein über die gesetzlichen Vorgaben hinausgehendes Verfahren zur Meldung und zum Umgang mit Verstößen einführt (bspw. ein Verhaltenskodex, Compliance-Richtlinien etc.), wird in der Regel auch ein Mitbestimmungsrecht aus § 87 Absatz 1 Nummer 1 BetrVG zu bejahen sein, weil Fragen der Ordnung des Betriebs und des Verhaltens der Beschäftigten im Betrieb betroffen sind.
• Beteiligungsrechte des Betriebsrats ergeben sich auch aus §§ 96 ff. BetrVG hinsichtlich Schulungsmaßnahmen für die im Unternehmen zuständigen Fallbearbeiter und/oder für die Beschäftigten.

Welche Möglichkeiten der Meldung haben Hinweisgeber?

Wie werden Hinweisgeber geschützt?

• Zentrales Element ist das in § 36 Absatz 1 HinSchG verankerte Verbot von Repressalien: Unternehmen müssen beachten, dass sämtliche Repressalien einschließlich der Androhung und des Versuchs von Repressalien untersagt sind. Verboten sind insbesondere: Suspendierung, Kündigung, Herabstufung oder Versagung von Beförderung, Nötigung, Einschüchterung, Mobbing oderAusgrenzung, aber auch Nichtverlängerung befristeter Arbeitsverträge, Rufschädigung, Entzug einer Lizenz oder Genehmigung, negative Leistungsbeurteilung etc.

• Um die Durchsetzbarkeit von Ansprüchen gegen Repressalien gegen den Schädiger zu verbessern, enthält das HinSchG in § 36 Absatz 2 eine Beweislastumkehr zugunsten der geschützten Person. Bisher musste der Hinweisgeber den Zusammenhang zwischen Meldung und Benachteiligung im Streitfall nachweisen. Künftig muss das Unternehmen den (abweichenden) Grund für eine vermeintliche Benachteiligung darlegen und ggf. beweisen, wenn die Benachteiligung nach der Meldung erfolgt. Künftig wird also der Arbeitgeber darlegen und beweisen müssen, dass etwa zwischen einer Kündigung eines Mitarbeiters und einer vorhergehenden Meldung durch den Mitarbeiter keinerlei Verbindung besteht. Die Beweislastumkehrregelung gilt jedoch mit der kleinen Einschränkung, dass die hinweisgebende Person selbst aktiv werden und geltend machen muss, dass sie die Benachteiligung infolge der Meldung erlitten hat.

• Bei einem Verstoß gegen das Repressalienverbot hat die hinweisgebende Person nach § 37 Absatz 1 HinSchG einen Anspruch auf Schadensersatz. Immateriellen Schadensersatz (also Schmerzensgeld) kann die hinweisgebende Person allerdings nicht verlangen.

Welche Sanktionen drohen bei Verstößen gegen das HinSchG?

• Mit einem Bußgeld in Höhe von bis zu 50.000 Euro kann belegt werden, wer eine Meldung oder die darauffolgende Kommunikation verhindert (oder dies versucht), wer eine verbotene Repressalie ergreift (oder dies versucht) oder wer vorsätzlich oder leichtfertig das Vertraulichkeitsgebot missachtet.

• Wenn fahrlässig das Vertraulichkeitsgebot missachtet wird, droht ein Bußgeld in Höhe bis zu 10.000 Euro.
• Für Unternehmen, die ihrer Pflicht zur Einführung und zum Betrieb einer internen Meldestelle nicht nachkommen, droht eine Geldbuße in Höhe bis zu 20.000 Euro.

Checkliste: Was müssen Unternehmen jetzt tun?

• GAP-Analyse: Existiert im Unternehmen bereits ein Hinweisgebersystem? Wenn ja, besteht Anpassungsbedarf?
• Welche Kanäle sollen eingerichtet werden? Telefonisch, E-Mail, webbasierte Lösung, Ombudsperson? Soll eine webbasierte Lösung gewählt werden, die auch anonyme Meldungen ermöglicht (ist nicht Pflicht)?
• Soll der interne Meldekanal nur den eigenen Beschäftigten sowie überlassenen Leiharbeitnehmern offenstehen oder allen Personen, die im Rahmen ihrer beruflichen Tätigkeit mit dem Unternehmen in Kontakt stehen?
• Wie sollen Mitarbeiter und ggf. sonstige hinweisgebende Personen über mögliche Meldestellen informiert werden? Unternehmenswebsite, Unternehmens-Intranet, Schwarzes Brett?
• Wie soll die Vertraulichkeit sichergestellt werden?
• Wer soll innerhalb des Unternehmens zuständig sein für die Entgegennahme und Bearbeitung der Hinweise? Wer erhält die eingeschränkten Zugriffsrechte? Es darf jedenfalls nicht passieren, dass bei Eingang eines Hinweises erstmal im Unternehmen an verschiedenen Stellen nachgefragt wird, wer sich weiter um die Meldung kümmert, da dies mit dem Vertraulichkeitsgebot nicht vereinbar wäre.
• Wie soll bei Eingang einer Meldung konkret vorgegangen werden? Wer versendet fristgerecht die Eingangsbestätigung an den Hinweisgeber, wer entscheidet über Folgemaßnahmen und wer gibt dem Hinweisgeber fristgerecht eine Rückmeldung?
• Sind die Personen im Unternehmen, die für die Entgegennahme und Bearbeitung der Hinweise zuständig sein werden, unabhängig und ausreichend qualifiziert für diese Aufgabe? Besteht bei den zuständigen Personen ausreichend juristische Expertise, um eingehende Meldungen zu bearbeiten? Benötigen diese Personen eine Schulung?
• Soll ein externer Dienstleister mit der Entgegennahme und ggf. Bearbeitung von Meldungen beauftragt werden? Aktuell bieten sehr viele Berater und Verkäufer von Softwarelösungen ihre Dienste an.
• Wie wird die Meldung und die Kommunikation mit dem Hinweisgeber dokumentiert?
• Wie macht man das Hinweisgebersystem Hinweisgebern einerseits so schmackhaft, dass sie sich mit Meldungen nicht gleich an externe Behörden oder gar an die Öffentlichkeit wenden, sondern den internen Meldekanal nutzen, aber andererseits auch so, dass von missbräuchlichen Beschwerden und Denunziantentum abgeschreckt wird?
• Wie kann der interne Meldekanal datenschutzkonform implementiert werden? Datenschutzrechtliche Fragen mit dem Datenschutzbeauftragten klären und ggf. weitere Fachbereiche wie Personal, Recht und Compliance in den Prozess einbinden.
• Welche Mitbestimmungsrechte des Betriebsrats kommen in Betracht? Der Betriebsrat sollte frühzeitig eingebunden werden.
• Bei Konzernstrukturen: Soll das Hinweisgebersystem bei einer anderen Konzerngesellschaft eingerichtet werden? Nach dem deutschen HinSchG wäre dies möglich.
• Sind die Personalverantwortlichen bzw. ist die Personalabteilung auf die verschärften Beweislastregeln vorbereitet? Sie werden künftig beweisen müssen, dass nicht der Hinweis zu der jeweiligen arbeitsrechtlichen Maßnahme geführt hat, sondern dass es dafür andere Gründe gab. Eine entsprechende Dokumentation von Gründen für arbeitsrechtliche Sanktionen ist insofern anzuraten.