Einführung und Handlungsempfehlung zum neuen Hinweisgeberschutzgesetz

Ein Beitrag von Oliver Timmermann, Rechtsanwalt Kanzlei Michaelis Rechtsanwälte

Vielleicht betrifft Sie die gesetzliche Neuregelung nicht direkt. Ihre Kunden mit mehr als 49 Mitarbeiter*innen sind aber betroffen. Damit Sie auf Augenhöhe mitreden können erhalten Sie hier eine kleine Übersicht und Handlungsempfehlung.

1. Welche Unternehmen sind betroffen?

Lediglich Arbeitgeber mit in der Regel 50 bis 249 Beschäftigten müssen ein entsprechendes Hinweisgebersystem erst zum 17. Dezember 2023 implementieren, vgl. § 42 HinSchG. Die Pflicht zur Implementierung eines Hinweisgebersystems trifft grundsätzliche alle privatrechtlichen und öffentlich-rechtlichen Unternehmen mit jeweils in der Regel mindestens 50 Beschäftigten. Beschäftigte von „Kleinbetrieben“ sind dann auf Meldungen an externe Meldestellen verwiesen.

2. Welche Arten von Hinweisgebersystemen sind möglich?

Für die hinweisgebenden Personen der Regelbetriebe (mindestens 50 Beschäftigte) bestehen grundsätzlich zwei gleichwertig nebeneinanderstehende Meldewege. Hierbei handelt es sich zum einen um interne und zum anderen um externe Meldekanäle, vgl. § 7 HinSchG. Dabei sollte die hinweisgebende Person jedoch nach § 7 Abs. 1 S. 2 HinSchG in den Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchtet, die Meldung an eine interne Meldestelle bevorzugen.

3. Interne Meldekanäle

Bei der genauen Ausgestaltung des internen Meldekanals besteht Gestaltungsspielraum, vgl. §§ 12 ff. HinSchG. Die interne Meldestelle kann eingerichtet werden, indem eine bei dem jeweiligen Beschäftigungsgeber beschäftigte Person, eine aus mehreren beschäftigten Personen bestehende Arbeitseinheit oder ein Dritter mit den Aufgaben der internen Meldestelle betraut wird.

Damit kann insbesondere auch ein Rechtsanwalt als externe Ombudsperson mit den Aufgaben der internen Meldestelle beauftragt werden. In jedem Fall benötigt die betreffende Person hinreichende Kompetenzen, um die notwendige rechtliche Bewertung der Meldungen vornehmen zu können. Zu den Aufgaben der internen Meldestelle gehört das Betreiben der Meldekanäle, die Durchführung des Verfahrens nach § 17 HinSchG sowie das Ergreifen von angemessenen Folgemaßnahmen.

Die Meldewege müssen so ausgestaltet sein, dass die Hinweise in schriftlicher oder mündlicher Form erfolgen können. Eine im letzten Entwurf vorgesehene Verpflichtung zur Einrichtung von Meldestellen, die auch eine anonyme Meldung ermöglichen, besteht nach dem nunmehr verabschiedeten Gesetz nicht mehr. § 16 Abs. 1 S. 4 HinSchG sieht lediglich vor, dass die interne Meldestelle auch anonym eingehende Meldungen bearbeiten sollte. Den Unternehmen steht allerdings frei, die anonyme Kontaktaufnahme sowie die anonyme Kommunikation zwischen hinweisgebender Person und interner Meldestelle zu ermöglichen.

Geht eine Whistleblower-Meldung im Unternehmen ein, ist die Vertraulichkeit der Identität des Hinweisgebers, der Personen, die Gegenstand der Meldung sind und sonstiger in der Meldung genannten Personen, zu wahren, vgl. § 8 HinSchG. Ausnahmen von diesem Vertraulichkeitsgebot sind nur in sehr eng begrenzten Fällen vorgesehen, vgl. § 9 HinSchG.

Als Hinweisgebersystem bietet sich vor dem Hintergrund der gesetzlichen Vorgaben in erster Linie die Einrichtung einer elektronischen Meldemöglichkeit an. Außerdem muss nach § 16 Abs. 3 HinSchG auf Wunsch des Hinweisgebers auch eine physische Zusammenkunft innerhalb eines angemessenen Zeitrahmens ermöglicht werden. Die Möglichkeit für hinweisgebende Personen ein persönliches Gespräch zu führen, hat insbesondere bei der Betrauung eines Dritten mit den Aufgaben einer internen Meldestelle eine herausragende Bedeutung.

Mit Einwilligung der hinweisgebenden Person kann die Zusammenkunft jedoch auch im Wege der Bild- und Tonübertragung erfolgen (§ 16 Abs. 3 HinSchG). Der interne Meldekanal muss zumindest den Beschäftigten und Leiharbeitnehmern des Unternehmens offenstehen. Freiwillig kann das Hinweisgebersystem auch Personen zugänglich gemacht werden, die im Rahmen ihrer beruflichen Tätigkeit mit dem jeweiligen Unternehmen in Kontakt stehen. Hierbei handelt es sich etwa um Organmitglieder und Aktionäre des Unternehmens, Bewerber, Selbstständige bzw. ehemalige Arbeitnehmer.

4. Externe Meldekanäle

Neben der Etablierung eines internen Meldesystems müssen die Unternehmen ihren Mitarbeitern als potenziellen Hinweisgebern aber auch verständliche und leicht zugängliche Informationen über die Möglichkeiten externer Meldungen an bestimmte Behörden erteilen. Auch für die externen Meldestellen gilt, dass sie anonyme Meldungen bearbeiten sollen, jedoch keinen entsprechenden Kanal hierfür einrichten müssen, vgl. § 27 Abs. 1 HinSchG. Zugleich sieht § 24 Abs. 2 HinSchG eine Aufgabe der externen Meldestellen darin, insbesondere auch über die Möglichkeit einer internen Meldung zu informieren.

Der Hinweisgeber kann zwar grundsätzlich entscheiden, ob er Verstöße unternehmensintern meldet oder sich extern an eine Behörde wendet. Allerdings sollen die internen Meldestellen, wie oben dargestellt, bevorzugt werden, § 7 Abs. 1 HinSchG. Es sei denn es handelt sich um einen Beschäftigten eines Unternehmens, dass die vorgegebene Mindestgröße nicht erreicht; hier ist allein auf die externe Meldestelle zurückzugreifen.

Nach § 7 Abs. 3 HinSchG sollen Beschäftigungsgeber weiterhin Anreize dafür schaffen, dass sich hinweisgebende Personen vor einer Meldung an eine externe Meldestelle zunächst an die jeweilige interne Meldestelle wenden und für Beschäftigte klare und leicht zugängliche Informationen über die Nutzung des internen Meldeverfahrens bereitstellen. Zugleich sind sie nach § 13 Abs. 2 HinSchG verpflichtet, über externe Meldeverfahren zu informieren.

Mit externen Meldungen ist allerdings nicht gemeint, dass sich der Arbeitnehmer nach seiner Wahl an irgendeine Stelle außerhalb des Unternehmens (beispielsweise Aufsichtsbehörden, Polizei, Staatsanwaltschaften) oder gar an die breite Öffentlichkeit wenden könnte. Vielmehr benennt das HinSchG nur einen engen Kreis von aufnahmebefugten externen Meldestellen.

Diese werden vor allem für Meldungen im „Kleinbetrieb“ Bedeutung erlangen. Der Bund wird eine Meldestelle beim Bundesamt für Justiz einrichten. Auch die Länder können (und werden) Meldestellen aufbauen; BaFin und Bundeskartellamt kommen als geeignete externe Stellen hinzu.

5. Welche Meldungen genießen Whistleblower-Schutz?

Das Hinweisgeberschutzgesetz geht in seinem Anwendungsbereich über die Vorgaben der EU-Richtlinie hinaus.

Danach sind Hinweisgeber bei der Meldung von Verstößen geschützt, die strafbewehrt oder (mit einigen Einschränkungen) bußgeldbewehrt sind, vgl. § 2 Abs. 1 Nr. 1 und 2 HinSchG. Die Meldung muss Informationen über Verstöße bei dem Beschäftigungsgeber, bei dem die hinweisgebende Person tätig ist oder war, oder bei einer anderen Stelle, mit der die hinweisgebende Person aufgrund ihrer beruflichen Tätigkeit im Kontakt steht oder stand, beinhalten, vgl. § 3 Abs. 3 HinSchG.

Darüber hinaus erstreckt sich der sachliche Anwendungsbereich auf sonstige Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende Rechtsakte der EU und der Europäischen Atomgemeinschaft, § 2 Abs. 1 Nr. 3 bis 10, Abs. 2 HinSchG. Darunter fallen unter anderem folgende Bereiche:

• Verbraucherschutz,
• Schutz der Privatsphäre und personenbezogener Daten sowie Sicherheit von Netz- und Informationssystemen,
• bestimmte Verstöße gegen das Gesetz gegen Wettbewerbsbeschränkungen (GWB).

Insbesondere der Verbraucherschutz ist im Versicherungsvertriebsrecht die virulente Größe.

Einbezogen sind ferner Verstöße, die mit einem Bußgeld bedroht werden, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient (zum Beispiel MindestlohnG).

Whistleblower-Meldung - und dann?

Dem Hinweisgeber muss der Eingang der Meldung innerhalb von sieben Tagen bestätigt werden. Der eingegangene Hinweis wird sodann durch die interne Meldestelle geprüft. Anschließend müssen angemessene Folgemaßnahmen nach § 18 HinSchG ergriffen werden. Beispielweise kann das Verfahren zwecks weiterer Untersuchungen auch an eine bei dem Unternehmen für interne Ermittlungen zuständige Arbeitseinheit abgegeben werden, § 18 Nr. 4 HinSchG.

Zudem wird in den Erläuterungen klagestellt, dass zur Durchführung interner Untersuchungen - unter Wahrung der Vertraulichkeit - auch Informationen an Arbeitseinheiten bei dem Unternehmen weitergegeben werden können. Die interne Meldestelle muss der hinweisgebenden Person innerhalb von drei Monaten nach Bestätigung des Eingangs der Meldung eine Rückmeldung erteilen.

Die Rückmeldung umfasst die Mitteilung geplanter sowie bereits ergriffener Folgemaßnahmen sowie die Gründe für diese. Die eingehenden Meldungen sind zu dokumentieren, vgl. § 11 HinSchG. Gegebenenfalls sollte dem Hinweisgeber die Dokumentation zum Zwecke der Verifizierung vorgelegt werden.

Schutzwirkung für den Hinweisgeber und Bußgelder

Whistleblower genießen nur dann rechtlichen Schutz, wenn ein berechtigter Grund zu der Annahme bestand, dass die gemeldeten Informationen über Verstöße zum Zeitpunkt der Meldung der Wahrheit entsprachen, in den Anwendungsbereich des Gesetzes fielen und sie diese über die vorgegeben internen oder externen Meldekanäle abgegeben haben.

Unter diesen Voraussetzungen verbietet das Gesetz jede Form von Repressalien, Diskriminierungen oder Benachteiligungen, § 33 ff. HinSchG. Die Hinweisgeber müssen bei einer ordnungsgemäßen Meldung keine arbeitsrechtlichen Konsequenzen befürchten. Im Falle eines arbeitsrechtlichen Prozesses ist eine Beweislastumkehr zugunsten des Hinweisgebers vorgesehen, vgl. § 36 Abs. 2 HinSchG. Danach muss der Arbeitgeber beweisen, dass kein Zusammenhang mit der Meldung des Hinweises durch den Arbeitnehmer bestand. Bei einem Verstoß gegen das Verbot von Repressalien besteht ein Schadensersatzanspruch für Vermögensschäden des Hinweisgebers.

Bei Verstößen sind Sanktionierungen mit empfindlichen Geldbußen zwischen 10.000 Euro und 50.000 Euro vorgesehen, vgl. § 40 HinSchG. Für die Nicht-Einrichtung einer entsprechenden internen Meldestelle werden die Bußgelder erst mit einer Übergangsfrist von sechs Monaten und damit ab dem sechsten Monat nach Verkündung verhängt.

Die Bußgelder können sowohl die Verantwortlichen als auch (über § 30 OWiG) die jeweiligen Unternehmen betreffen. Achtung, bei bestimmten Verstößen kann sich das Bußgeld gegen das Unternehmen auch verzehnfachen, § 40 Abs. 6 S. 2 HinSchG!

Fazit: Dringender Handlungsbedarf!

Nach einem langen Hin und Her im Gesetzgebungsverfahren müssen die Unternehmen nun handeln. Dies bedeutet: Vor allem größere Unternehmen (ab 249 Mitarbeitern) müssen umgehend ein Hinweisgebersystem, das den Anforderungen des Hinweisgeberschutzgesetzes entspricht, implementieren, um insbesondere empfindliche Geldbußen zu verhindern.

Aber auch kleine Unternehmen müssen sich auf die Neuregelungen einstellen, da Hinweisgebersysteme dort bisher ganz regelmäßig nicht bestehen und sie diese gesetzliche Verpflichtung bereits Ende 2023 treffen wird. Sofern solche Systeme vorhanden sind, erfüllen sie häufig zumindest nicht die nun verabschiedeten gesetzlichen Vorgaben. Insofern ist es ratsam, sich schnellstmöglich mit der Implementierung eines solchen Systems einschließlich der gesetzlichen Rahmenbedingungen auseinander zu setzen und Personen mit den anstehenden Aufgaben zu betrauen.

Hierfür bietet sich folgende Handlungsempfehlung an:

• Prüfung der vorhandenen Meldekanäle auf Konformität beziehungsweise erstmalige Einrichtung eines neuen Meldesystems und Bestellung eines Projektverantwortlichen, der für die Implementierung zuständig ist.
• Es sollte entschieden werden, ob der Betrieb der Meldestelle durch das Unternehmen selbst oder durch Dritte, etwa eine Anwaltskanzlei oder sonstige Dienstleister durchgeführt werden soll. Im Falle einer Auslagerung sind insbesondere die Vertraulichkeit und die datenschutzrechtlichen Anforderungen durch eine ADV sicherzustellen.
• Zu den neuen Vorgaben des Hinweisgeberschutzgesetzes ist auch die Erfüllung arbeits- und datenschutzrechtlicher Anforderungen sicherzustellen. Der zuständige Datenschutzbeauftrage sollte unbedingt eingebunden werden.
• Vor der erstmaligen Implementierung eines Systems, sollte überprüft werden, ob betriebsverfassungsrechtliche Mitbestimmungsrecht betroffen sind. Daher sollten zuerst die Zuständigkeiten der in Betracht kommenden Verhandlungsgremien geklärt werden.
• Für einen reibungslosen Ablauf und zur Sicherstellung der notwendigen Fachkunde sollten die Beschäftigten uns insbesondere Systemverantwortlichen hinreichend geschult werden, um etwaige Haftungsfälle wegen falscher Verwendung des Systems oder unzureichender Dokumentation etc. auszuschließen.
• Insbesondere verwendete Klauseln zum Geheimnisschutz in den Arbeitsverträgen sollten überprüft werden, um die Gefahr gänzlich unwirksamer Klauseln zu beseitigen (Verbot geltungserhaltender Reduktion).

Zusammenfassung

• Unternehmen ab 250 Mitarbeitern: Es besteht eine Verpflichtung zur Einführung eines Hinweisgebersystems. Die Umsetzungsfrist lief am 02.07.2023 ab;
• Unternehmen mit 50 bis 249 Mitarbeitern: Auch diese Unternehmen müssen ihren Mitarbeitern einen Meldekanal zur Verfügung stellen, allerdings haben sie dazu bis zum 17.12.2023 Zeit;
• die Meldesysteme müssen sowohl eine schriftliche oder mündliche als auch eine persönliche Meldung von Vorfällen erlauben;
• innerhalb von 7 Tagen muss ein Hinweis von der internen Meldestelle bearbeitet beziehungsweise bestätigt werden;
• spätestens 3 Monate nach Meldung müssen Hinweisgeber über die ergriffenen Maßnahmen informiert werden;
• die Anwendungsbereiche des Hinweisgeberschutzgesetzes beziehen sich auf das EU-Recht und das nationale Recht;
• das Hinweisgebersystem muss DSGVO-konform sein und die Identität des Hinweisgebers schützen. Das Angebot einer anonymisierten Abgabe von Meldungen wird ausdrücklich empfohlen, ist aber nicht verpflichtend und
• bei Gesetzesverstößen müssen Unternehmen mit Bußgeldern von bis zu € 50.000,00 rechnen.

Das HinweisgeberschutzG dient der Etablierung eines internen Kommunikationsinstruments, um in einem Betrieb stattfindende Pflichtverletzungen und Regelverstöße aufzudecken.

Compliance ist nicht nur präventiv, sondern durchaus auch repressiv orientiert. Öffentliche Strafverfolgungsbehörden werden genau hinsehen, ob derlei betriebsinterne Aufklärungsmechanismen installiert, geschult und up to date gehalten worden sind. Am Standard dieser Instrumente kann sich dann auch gegebenenfalls die Strafbemessung orientieren.