Das Hinweisgeberschutzgesetz

Das Hinweisgeberschutzgesetz (sog. HinSchG) beruht auf der „EU-Whistleblower-Richtlinie“ von 2019, die Mindestvorgaben für den Schutz von Hinweisgebern vorsieht. Gemeint sind damit Personen, die im privaten oder öffentlichen Sektor tätig sind und im beruflichen Kontext Informationen über Rechtsverstöße erlangt haben. Diese Personen sollen, wenn Sie auf die Verstöße hinweisen, gegen Repressalien geschützt werden.
Der deutsche Gesetzgeber musste also ein Gesetz zum Hinweisgeberschutz schaffen und dabei die EU-Mindestvorgaben beachten. Er hat dies so ausgestaltet, dass er für Hinweisgeber von Anfang an ein Wahlrecht zwischen interner (d.h.: unternehmensinterner) und externer (d.h. staatlicher) Meldestelle geschaffen hat.

Das Gesetz wurde nach einem langwierigen Gesetzgebungsverfahren am 2. Juni 2023 im Bundesgesetzblatt veröffentlicht.

Die Vorschriften des Gesetzes sind überwiegend am 02.07.2023 in Kraft getreten.

Das HinSchG verpflichtet Unternehmen mit mindestens 50 Beschäftigten zur Einführung einer internen Meldestelle. Die Pflicht ist also abhängig von der Unternehmensgröße.
Im einzelnen ist die interne Meldestelle erforderlich für:

Interne Meldestelle: Diese kann auch Dritter sein; mehrere Unternehmen können gemeinsam eine Meldestelle betreiben. Frist zur Einrichtung: 17. Dezember 2023. Eine Ausnahme hiervon gilt zB für Wertpapierdienstleistungsunternehmen, Datenbereitstellungsdienste und Börsenträger.

Interne Meldestelle: Diese kann auch Dritter sein. Geltung ab Inkrafttreten des Gesetzes, also ab dem 02.07.2023.

Beschäftigtenbegriff, § 3 Abs. 8 HinschG: Als Beschäftigte im Sinne des HinSchG gelten

Hinweis: Die Bußgeldvorschrift, wonach ein Bußgeld bis zu 20.000 Euro droht, wenn ein interner Meldekanal nicht eingerichtet oder betrieben wird (siehe hierzu unten “Bußgelder”), tritt erst am 1. Dezember 2023 in Kraft (§§ 40 Abs. 2 Satz 2, 42 Abs. 2 HinSchG). Solange wird also kein Bußgeld wegen fehlender Einrichtung oder fehlendem Betrieb verhängt.

Für öffentliche Unternehmen galt das Gesetz bereits vor dem 02.07.2023.

Das HinSchG greift nur ein, wenn es sich um bestimmte Arten von Hinweisen handelt, wenn nämlich bestimmte Rechtsverstöße gemeldet oder offengelegt werden. Es ist also bei jedem Hinweis eine detaillierte Prüfung erforderlich, ob überhaupt das Verfahren nach dem HinSchG einschlägig ist. Diese Prüfung ist nicht einfach. Sie kann aber bei Einschaltung eines Dritten als interne Meldestelle an diesen outgesourct werden.

Im einzelnen sieht das HinSchG für den sachlichen Anwendungsbereich folgendes vor:

Es gilt für die Meldung und die Offenlegung von Informationen über

1. Verstöße, die strafbewehrt sind,
2. Verstöße, die bußgeldbewehrt sind, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient,
3. sonstige Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende Rechtsakte der Europäischen Union und der Europäischen Atomgemeinschaft (Katalog in § 2 Abs. 1 Nr. 3 HinSchG)

Diese wird neu eingerichtet beim Bundesamt für Justiz (BfJ).
Weitere externe Meldestellen mit Sonderzuständigkeiten gibt es bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) und beim Bundeskartellamt.

Vorbemerkung:
Der Hinweisgeber hat ein Wahlrecht zwischen einer Meldung an die interne oder die externe Meldestelle. Auch kann er bei Nichtabschaltung des Verstoßes nach Meldung an die interne Meldestelle noch die externe Meldestelle anrufen. Ziel für alle Unternehmen muss es also sein, dass Hinweise intern erfolgen und dort auch bleiben. Daher notwendig sind die transparente Information aller Mitarbeiter über die neue Meldestelle und klare, strikt gesetzeskonforme Abläufe innerhalb derselben.

Gemäß § 16 Abs. 1 HinSchG muss die interne Meldestelle für Beschäftigte und dem Beschäftigungsgeber überlassene Leiharbeitnehmer offenstehen. Sie kann auch so ausgestaltet werden, dass sie zudem auch natürlichen Personen offensteht, die im Rahmen ihrer beruflichen Tätigkeiten mit dem Beschäftigungsgeber in Kontakt stehen. Wird diese weite Variante gewählt, so können Hinweisgeber insbesondere sein:

Darüber hinaus werden auch solche Personen geschützt, die die hinweisgebende Person unterstützen (§ 34 Abs. 1 HinSchG) sowie Personen, die zwar nicht selbst die Meldung erstatten, aber Gegenstand der Meldung oder sonst von der Meldung betroffen sind.

Für die Organisation der internen Meldestelle sieht das HinSchG die folgenden Varianten vor:

- Eine Person intern
- Arbeitseinheit intern
- Dritter, zB Tech-Anbieter
- Nur für Unternehmen mit 50-249 MA: Gemeinsame Stelle mit anderen Unternehmen

Das HinSchG sieht vor, dass schriftlich und mündliche Meldungen ermöglicht werden müssen, § 16 HinSchG.

Konkret bedeutet das:
mündlich: Telefon o.a. Form; auf Wunsch des Hinweisgebers auch persönlich, mit Einwilligung des Hinweisgebers auch virtuell
schriftlich: Lt. Entwurf: „in Textform“, also wohl Brief, Email, digital

Nach dem Wortlaut des Gesetzes “sollten” auch anonym eingehende Meldungen bearbeitet werden, § 16 Abs. 1 Satz 3 HinSchG. Obwohl also keine rechtliche Verpflichtung besteht, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen, raten Experten, genau dies dennoch zu tun. Denn nicht nur setze der Begriff “sollte” den Standard für die Ermöglichung anonymer Meldungen, auch belegen Untersuchungen, dass gravierende Verstöße i.d.R. anonym gemeldet werden und hierüber i.d.R. auch sachdienliche Hinweise erfolgen. Überdies seien anonyme Meldungen auch bisher ohne explizite Meldekanäle bereits möglich gewesen und habe der befürchtete Missbrauch nicht stattgefunden.

Ein wichtiges Prinzip des HinwSchG ist das Vertraulichkeitsgebot, das in § 8 HinSchG explizit geregelt ist.

Konkret ist die Vertraulichkeit der Identität der folgenden drei Personen(gruppen) zu wahren:

- Hinweisgeber
- Personen, die Gegenstand einer Meldung sind
- sonstige in der Meldung genannte Personen

Ferner muss das Verfahren so organisiert sein, dass die Meldungen vertraulich bleiben. Daher dürfen Zugriff auf die Meldungen nur die hierfür verantwortlichen Personen und die sie bei der Erfüllung dieser Aufgaben unterstützenden Personen haben. Diese sind also vorher genau festzulegen. Außerdem müssen die beauftragten Personen über die notwendige Fachkunde für ihre Aufgaben verfügen. Hierfür muss der Arbeitgeber sorgen, also die betreffenden Personen entsprechend schulen bzw. schulen lassen.

Inhalt:
Die interne Meldestelle nimmt Meldungen entgegen und prüft, ob diese dem Anwendungsbereich des HinSchG unterfallen sowie auf Stichhaltigkeit. Ggfls. leitet sie sogenannte Folgemaßnahmen ein. Zu den vom HinSchG umfassten Verstößen s.o. bei “sachlicher Anwendungsbereich”.

Organisation:
Das Verfahren muss so organisiert sein, dass die Meldungen vertraulich bleiben, § 8 HinSchG. Daher dürfen Zugriff auf die Meldungen nur die hierfür verantwortlichen Personen und die sie bei der Erfüllung dieser Aufgaben unterstützenden Personen haben.

Fristen:
Zu beachten sind die folgenden Fristen
- Eingangsbestätigung an den Hinweisgeber: 7 Tage, § 17 Abs. 1 Nr. 1 HinSchG
- Information des Betroffenen: 1 Monat wg. Art. 14 Abs. 3 lit. a DSGVO
- Rückmeldung an den Hinweisgeber innerhalb von 3 Monaten, § 17 Abs. 2 HinSchG: Mitteilung der Folgemaßnahmen (geplant/ergriffen) und Gründe hierfür. Aber Einschränkung: Rückmeldung nur insoweit, als dadurch interne Nachforschungen oder Ermittlungen nicht berührt werden. Ferner Abwägung mit Betroffenenrechten: Rechte der in Meldung genannten Personen dürfen nicht beeinträchtigt werden.
- Löschen der Dokumentation: 3 Jahre nach Abschluss des Verfahrens, § 11 Absatz 5 HinSchG.

Fazit: Erforderlich sind also
- Sorgfältige Dokumentation
- Vertraulicher Umgang mit Informationen, v.a. betreffend Personenidentität
- Klare Vorab-Festlegung der Zuständigkeiten
- Einhaltung von Fristen aus HinSchG und DSGVO

Die mit den Aufgaben der internen Meldestelle beauftragten Personen (Meldestellenbeauftragte) müssen folgende Voraussetzungen erfüllen:
- Unabhängigkeit, § 15 Abs. 1 HinSchG
- Fachkunde, § 15 Absatz 2 Satz 1 HinSchG: Arbeitgeber muss dafür Sorge tragen

Hinweisgeber müssen nach § 36 HinSchG gegen Repressalien, also gegen Benachteiligungen im Zusammenhang mit ihrer beruflichen Tätigkeit, die nach dem Hinweis erfolgen, geschützt werden. Denn Zweck des Gesetzes ist es, dass keine arbeitsrechtliche Maßnahme als Vergeltung für den abgegebenen Hinweis erfolgen darf. Das Gesetz führt daher eine Beweislastumkehr zu Lasten des Beschäftigungsgebers ein: Es wird widerleglich vermutet, dass eine Benachteiligung nach Hinweis eine Repressalie ist. Nun muss der Arbeitgeber beweisen, dass dies nicht der Fall war oder dass die Maßnahme gerechtfertigt war. Das ist nicht so einfach. Daher ist hier vor allem eine besonders sorgfältige Dokumentation erforderlich.

Beispiele für Repressalien iSd HinSchG sind:

- Kündigung
- Versetzung
- keine Entfristung
- keine Beförderung
- Ausgrenzung, Rufschädigung, Mobbing

Bei Verstößen gegen das HinSchG sind Bußgelder möglich, siehe §§ 40, 42 HinSchG. Im einzelnen:

Bußgelder gegen Personen z.B. bei:

- Behinderung von Meldungen bzw. anschl. Kommunikation
- Nichtwahrung der Vertraulichkeit: vorsätzlich, leichtfertig oder fahrlässig
- Ergreifen einer Repressalie
- Nichteinrichtung / Nichtbetrieb einer internen Meldestelle (diese Bußgeldvorschrift tritt erst am 1. Dezember 2023 in Kraft)
Höhe: Geldbußen bis 50.000 EUR; bei Nichteinrichtung / Nichtbetrieb einer internen Meldestelle bis 20.000 EUR; bei fahrlässigen Verletzungen der Vertraulichkeit bis 10.000 EUR.

Bußgelder gegen Unternehmen:

Es können entspr. Bußgelder verhängt werden, die der Höhe nach verzehnfacht werden können.

Im Hinweisgebersystem werden personenbezogene Daten verarbeitet. Bei der Einrichtung und Durchführung des internen Meldeverfahrens sind alle rechtlichen Bedingungen des Datenschutzes einzuhalten. Alle personenbezogenen Daten, sowohl die des Hinweisgebers als auch etwaiger beschuldigter Personen, müssen im Einklang mit der DSGVO sowie des Bundesdatenschutzgesetzes verarbeitet werden. Im einzelnen:

- Aufbewahrungs-/Löschfristen müssen festgelegt werden (siehe hierzu oben unter Die interne Meldestelle/ Verfahren / Fristen).
- Die Erstellung einer Datenschutzerklärung für Hinweisgeber wird erforderlich sein.
- Wenn externe Anbieter als interne Meldestellen beauftragt werden, wird der Abschluss einer Auftragsdatenverarbeitung erforderlich sein.
- Der Prozess über den internen Meldekanal muss im Verzeichnis der Verarbeitungstätigkeiten aufgenommen werden.
- In der Regel wird die Durchführung einer Datenschutz-Folgeabschätzung erforderlich sein.
- Eine sichere Datenverarbeitung verlangt zudem geeignete technische und organisatorische Maßnahmen.

Der (externe) Datenschutzbeauftragte sollte daher frühzeitig eingebunden werden.

Vor allem die folgenden Unternehmensbereiche sind besonders betroffen sind und müssen folgendes beachten:

Compliance: Meldestelle etablieren, inhouse oder bei Dritten, zB technische Lösung; ggfls. Kombination mit Beschwerdeverfahren nach AGG, LkSG (neu)
Personal-/Rechtsabteilung: Kündigungsschutz anpassen; Betriebsrat einbeziehen; Dokumentation erweitern wegen Beweislastumkehr betr. Repressalienschutz
Interne Kommunikation: Mitarbeiter für interne Meldestelle gewinnen

Bitte beachten Sie, falls Sie die interne Meldestelle outsourcen möchten:

Die Haftung für evtl. Verstöße und die Pflicht, diese abzustellen, bleibt in Ihrem Unternehmen! Sie bleiben also weiterhin für die Einhaltung rechtlicher Regeln in Ihrem Unternehmen verantwortlich!

Unsere Empfehlung:

Wie oben gezeigt, hat der Hinweisgeber ein Wahlrecht zwischen einer Meldung an die interne oder die externe Meldestelle. Auch kann er bei Nichtabschaltung des Verstoßes nach Meldung an die interne Meldestelle noch die externe Meldestelle anrufen. Ziel für alle Unternehmen muss es also sein, dass Hinweise intern erfolgen und dort auch bleiben. Daher notwendig sind die transparente Information aller Beschäftigten über die neue Meldestelle und klare, strikt gesetzeskonforme Abläufe innerhalb derselben.

Konkret: Informieren Sie Ihre Beschäftigten frühzeitig transparent und umfassend über die neue interne Meldestelle, machen Sie diese attraktiv und leicht auffindbar, damit Ihre Mitarbeiter Ihnen Missstände immer zunächst intern melden. So bleiben eventuelle Probleme in Ihrem Haus, Sie können diese schnell und unbürokratisch beheben und vermeiden Mehrarbeit und Reputationsverluste.

Ab sofort bieten die IHKs kurze online-Seminare zum Hinweisgeberschutzgesetz an. Die Zielgruppe sind Mitarbeitende, die in ihren Unternehmen eine interne Meldestelle einrichten und betreuen, unabhängig von vorhandenen Vorerfahrungen, sowie Führungskräfte, Compliance- und Rechtsabteilungen, Personalverantwortliche und Interne Revision, um eine ganzheitliche Sensibilisierung und erfolgreiche Implementierung sicherzustellen. Alle weiteren Informationen zu den Weiterbildungsangeboten finden Sie hier.