Mit dem Hinweisgeberschutzgesetz (HinSchG) hat der deutsche Gesetzgeber die sog. Whistleblower-Richtlinie der EU umgesetzt. Das Gesetz tritt nun am 02.07.2023 in Kraft. Dieser Beitrag soll eine erste Orientierung liefern.
Das HinSchG soll Personen, die im Rahmen ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese melden, vor Repressalien schützen. Das HinSchG verpflichtet auf der einen Seite Unternehmen, sichere Kanäle für die Meldung von Missständen einzurichten und verbietet auf der anderen Seite jegliche Repressalien gegenüber hinweisgebenden Personen (sog. Whistleblowern).
Begriff des Hinweisgebers
Der Begriff der nach dem HinSchG geschützten Personen umfasst alle natürlichen Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese melden (hinweisgebende Personen). Darunter fallen also vor allem
- Beschäftigte, auch bereits ausgeschiedene Beschäftigte, Stellenbewerber, Praktikanten, Leiharbeitnehmer
- Selbstständige, die Dienstleistungen erbringen, Freiberufler, Auftragnehmer, Unterauftragnehmer, Lieferanten und deren Mitarbeiter
- Anteilseigner und Personen in Leitungsgremien
Darüber hinaus sind auch Personen geschützt, die die hinweisgebende Person unterstützen sowie Personen, die Gegenstand der Meldung oder sonst von der Meldung betroffen sind.
Wichtige Begriffe
Verstöße sind Handlungen oder Unterlassungen im Rahmen einer beruflichen, unternehmerischen oder dienstlichen Tätigkeit, die rechtswidrig sind und Vorschriften oder Rechtsgebiete betreffen, die in den sachlichen Anwendungsbereich nach § 2 fallen. Hierzu können auch missbräuchliche Handlungen oder Unterlassungen gehören, die dem Ziel oder dem Zweck der Regelungen in den Vorschriften oder Rechtsgebieten zuwiderlaufen, die in den sachlichen Anwendungsbereich nach § 2 fallen.
Informationen über Verstöße sind begründete Verdachtsmomente oder Wissen über tatsächliche oder mögliche Verstöße, die bei dem Beschäftigungsgeber, bei dem die hinweisgebende Person tätig ist oder war, oder bei einer anderen Stelle, mit der die hinweisgebende Person aufgrund ihrer beruflichen Tätigkeit im Kontakt steht oder stand, bereits begangen wurden oder sehr wahrscheinlich erfolgen werden, sowie über Versuche der Verschleierung solcher Verstöße.
Meldefähige Verstöße
Nicht jede Meldung einer Verletzung von Rechtsvorschriften fällt unter das HinSchG. Der in § 2 HinSchG geregelte Schutzbereich ist aber sehr weit gefasst. Hinweisgebende Personen genießen den Schutz des HinSchG, wenn sie Verstöße gegen folgende Vorschriften melden:
- Verstöße, die eine Straftat darstellen
- Verstöße, die mit einem Bußgeld bedroht sind, wenn die verletzte Norm dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient
- Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie Verstöße gegen unmittelbar geltende EU-Rechtsakte (abschließende Aufzählung in § 2 Abs. 1 Nr. 3 HinSchG)
- Verstöße gegen bundesrechtlich und einheitlich geltende Regelungen für Auftraggeber zum Verfahren der Vergabe von öffentlichen Aufträgen und Konzessionen und zum Rechtsschutz in diesen Verfahren ab Erreichen der jeweils maßgeblichen EU-Schwellenwerte
- Verstöße, die von § 4d Absatz 1 Satz 1 des Finanzdienstleistungsaufsichtsgesetzes erfasst sind, soweit sich nicht aus § 4 Absatz 1 Satz 1 etwas anderes ergibt
- Verstöße gegen für Körperschaften und Personenhandelsgesellschaften geltende steuerliche Rechtsnormen
- Verstöße in Form von Vereinbarungen, die darauf abzielen, sich in missbräuchlicher Weise einen steuerlichen Vorteil zu verschaffen, der dem Ziel oder dem Zweck des für Körperschaften und Personenhandelsgesellschaften geltenden Steuerrechts zuwiderläuft
- Verstöße gegen die Artikel 101 und 102 des Vertrags über die Arbeitsweise der Europäischen Union sowie Verstöße gegen die in § 81 Absatz 2 Nummer 1, 2 Buchstabe a und Nummer 5 sowie Absatz 3 des Gesetzes gegen Wettbewerbsbeschränkungen genannten Rechtsvorschriften
- Verstöße gegen Vorschriften der Verordnung (EU) 2022/1925 des Europäischen Parlaments und des Rates vom 14. September 2022 über bestreitbare und faire Märkte im digitalen Sektor und zur Änderung der Richtlinien (EU) 2019/1937 und (EU) 2020/1828 (Gesetz über digitale Märkte) (ABl. L 265 vom 12.10.2022, S. 1)
- Äußerungen von Beamtinnen und Beamten, die einen Verstoß gegen die Pflicht zur Verfassungstreue darstellen.
Pflicht zur Errichtung interner Meldestellen
Unternehmen mit in der Regel mindestens 250 Beschäftigten müssen die Vorgaben nach dem HinSchG spätestens bis zum 02.07.2023 umsetzen. Allerdings hat der Gesetzgeber eine faktische Übergangsfrist eingeräumt, indem die Bußgeldvorschrift (bis zu 20.000,00 €) erst am 01.12.2023 in Kraft tritt.
In § 12 HinSchG sind Unternehmen aus bestimmten Branchen (z.B. im Finanzdienstleistungsbereich) unabhängig von der Zahl der Beschäftigten von dieser Pflicht umfasst.
Unternehmen mit in der Regel 50 bis 249 Beschäftigten müssen die interne Meldestelle erst bis zum 17.12.2023 einrichten. Ferner können sie mit anderen Unternehmen eine „gemeinsame Meldestelle“ betreiben.
Unternehmen mit in der Regel bis zu 49 Beschäftigten sind von der Pflicht zur Einrichtung einer internen Meldestelle ausgenommen. Die Schutzvorschriften des HinSchG werden aber auch in diesen kleinen Unternehmen gelten, wenn beispielsweise ein Arbeitnehmer einen Rechtsverstoß meldet.
Voraussetzungen der Meldekanäle zur internen Meldestelle
§ 16 HinSchG regelt die Modalitäten, wie die Meldekanäle an die Meldestelle ausgestaltet sein müssen.
Zur Einrichtung interner Meldestellen verpflichtete Beschäftigungsgeber richten für diese Meldekanäle ein, über die sich Beschäftigte und dem Beschäftigungsgeber überlassene Leiharbeitnehmer an die internen Meldestellen wenden können, um Informationen über Verstöße zu melden. Der interne Meldekanal kann darüber hinaus auch natürlichen Personen offenstehen, die im Rahmen ihrer beruflichen Tätigkeiten mit dem jeweiligen zur Einrichtung der internen Meldestelle verpflichteten Beschäftigungsgeber oder mit der jeweiligen Organisationseinheit in Kontakt stehen. Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten. Es besteht allerdings keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen.
Die Meldekanäle sind so zu gestalten, dass nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen sowie die sie bei der Erfüllung dieser Aufgaben unterstützenden Personen Zugriff auf die eingehenden Meldungen haben.
Interne Meldekanäle müssen Meldungen in mündlicher oder in Textform ermöglichen. Mündliche Meldungen müssen per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein. Auf Wunsch ist für eine Meldung innerhalb einer angemessenen Zeit ein persönliches Treffen mit einer für die Entgegennahme einer Meldung zuständigen Person der internen Meldestelle zu ermöglichen. Mit Einwilligung der hinweisgebenden Person kann die Zusammenkunft auch im Wege der Bild- und Tonübertragung erfolgen.
Vertraulichkeit
Bei allen Meldewegen muss die Vertraulichkeit des Hinweisgebers sowie Dritter geschützt sein. Nach § 8 HinSchG müssen die internen Meldekanäle müssen so ausgestaltet sein, dass die Identität der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, sowie der sonstigen in der Meldung erwähnten Personen vertraulich bleibt. Die Identität dieser Personen darf nur den zur Entgegennahme der Meldung sowie zur Ergreifung von Folgemaßnahmen zuständigen Personen bekannt sein. Ausnahmen davon sind in § 9 HinSchG geregelt.
Dritte als interne Meldestelle
Unternehmen können auch Dritte als interne Meldestellen beauftragen. Damit können diese Tätigkeiten auf externe Anbieter ausgelagert werden. Die Beauftragung eines Dritten mit den Aufgaben einer internen Meldestelle entbindet den jeweiligen Beschäftigungsgeber nicht von der Pflicht, selbst geeignete Maßnahmen zu ergreifen, um einen etwaigen Verstoß abzustellen.
Verfahren in der internen Meldestelle
Die interne Meldestelle
- bestätigt der hinweisgebenden Person den Eingang einer Meldung spätestens nach sieben Tagen,
- prüft, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich nach § 2 fällt,
- hält mit der hinweisgebenden Person Kontakt,
- prüft die Stichhaltigkeit der eingegangenen Meldung,
- ersucht die hinweisgebende Person erforderlichenfalls um weitere Informationen und
- ergreift angemessene Folgemaßnahmen nach § 18.
Folgemaßnahmen können insbesondere sein:
- interne Untersuchungen bei dem Beschäftigungsgeber oder bei der jeweiligen Organisationseinheit durchzuführen und betroffene Personen und Arbeitseinheiten zu kontaktieren,
- die hinweisgebende Person an andere zuständige Stellen zu verweisen,
- das Verfahren aus Mangel an Beweisen oder aus anderen Gründen abzuschließen oder
- das Verfahren zwecks weiterer Untersuchungen abzugeben an
- eine bei dem Beschäftigungsgeber oder bei der jeweiligen Organisationseinheit für interne Ermittlungen zuständige Arbeitseinheit oder
- eine zuständige Behörde.
Die interne Meldestelle gibt der hinweisgebenden Person innerhalb von drei Monaten nach der Bestätigung des Eingangs der Meldung oder, wenn der Eingang nicht bestätigt wurde, spätestens drei Monate und sieben Tage nach Eingang der Meldung eine Rückmeldung. Die Rückmeldung umfasst die Mitteilung geplanter sowie bereits ergriffener Folgemaßnahmen sowie die Gründe für diese. Eine Rückmeldung an die hinweisgebende Person darf nur insoweit erfolgen, als dadurch interne Nachforschungen oder Ermittlungen nicht berührt und die Rechte der Personen, die Gegenstand einer Meldung sind oder die in der Meldung genannt werden, nicht beeinträchtigt werden.
Die Vorgaben des Gesetzes sind also sehr vage gehalten, sodass auf der einen Seite viel Freiheit bei der konkreten Ausgestaltung besteht, auf der anderen Seite aber auch aktuell nicht kalkulierbare Risiken lauern für den Fall, dass die konkrete Ausgestaltung bei einer gerichtlichen Prüfung als unzureichend angesehen wird.
Die mit den Aufgaben einer internen Meldestelle beauftragten Personen sind bei der Ausübung ihrer Tätigkeit unabhängig. Sie dürfen neben ihrer Tätigkeit für die interne Meldestelle andere Aufgaben und Pflichten wahrnehmen. Dabei muss man sicherstellen, dass derartige Aufgaben und Pflichten nicht zu Interessenkonflikten führen. Geschäftsführer oder Personaler können daher nicht Meldestellen-Beauftragte sein.
Die mit den Aufgaben einer internen Meldestelle beauftragten Personen müssen über die notwendige Fachkunde verfügen. Dafür muss das Unternehmen sorgen und z.B. Fortbildungen anbieten oder die Kosten hierfür übernehmen.
Die Meldungen müssen dokumentiert werden. Hierzu macht § 11 HinSchG Vorgaben. Alle eingehenden Meldungen müssen im Einklang mit den Vertraulichkeitspflichten dokumentiert werden. Die Dokumentationen sind drei Jahre nach Abschluss des Verfahrens zu löschen. Man darf sie dann länger aufbewahren, wenn dies nötig ist, um die Anforderungen nach dem HinSchG oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist.
Datenschutz
Die Regelungen der DSGVO und des BDSG gelten grundsätzlich auch im Bereich des HinSchG. Die Meldestellen sind befugt, personenbezogene Daten zu verarbeiten, soweit dies zur Erfüllung ihrer in den §§ 13 und 24 HinSchG bezeichneten Aufgaben erforderlich ist. Abweichend von Artikel 9 Absatz 1 DSGVO ist die Verarbeitung besonderer Kategorien personenbezogener Daten durch eine Meldestelle zulässig, wenn dies zur Erfüllung ihrer Aufgaben erforderlich ist. In diesem Fall muss die Meldestelle aber spezifische und angemessene Maßnahmen zur Wahrung der Interessen der betroffenen Person vorzusehen.
Das bedeutet, dass wenigstens folgende Maßnahmen umzusetzen sind:
- Erstellung einer Datenschutzerklärung für Hinweisgeber
- Bei der Vergabe an externe Anbieter als interne Meldestellen Abschluss einer Vereinbarung zur Auftragsverarbeitung
- Aufnahme des Prozesses über den internen Meldekanal ins Verzeichnis der Verarbeitungstätigkeiten
- Durchführung einer Datenschutz-Folgeabschätzung
Zusammenarbeit mit dem Betriebsrat
Dem Betriebsrat stehen Mitbestimmungs- und Beteiligungsrechte zu.
Unternehmen müssen den Betriebsrat vor der geplanten Einrichtung eines Hinweisgeberschutzsystems unterrichten. Im Hinblick auf die Ausgestaltung von Meldekanälen und Meldeverfahren könnten dürften Mitbestimmungsrechte des Betriebsrats nach § 87 Absatz 1 Nummer 6 BetrVG, nämlich im Falle der Einrichtung und Anwendung technischer Einrichtungen, in Betracht kommen, sofern die Identifikation des Hinweisgebers möglich ist. Bei Einführung eines umfassenden Verhaltenskodex oder von , Compliance-Richtlinien besteht in der Regel auch ein Mitbestimmungsrecht aus § 87 Absatz 1 Nummer 1 BetrVG, weil Fragen der Ordnung des Betriebs und des Verhaltens der Beschäftigten im Betrieb betroffen sind.
Generell empfehlen wir, den Betriebsrat hier sehr frühzeitig und umfassend einzubinden.
Möglichkeiten der Meldung
Das Gesetzt kennt interne und externe Meldestellen. Die internen Meldestellen werden im Unternehmen eingerichtet. Die externen Meldestellen werden müssen von der öffentlichen Hand eingerichtet. Hier soll insbesondere eine zentrale externe Meldestelle beim Bundesamt für Justiz (BfJ) eingerichtet werden. Die Bundesländer können für die Meldungen, die die jeweilige Landesverwaltung und die jeweiligen Kommunalverwaltungen betreffen, eigene externe Meldestellen einrichten. Ferner sollen die bestehenden Meldesysteme bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sowie beim Bundeskartellamt als weitere externe Meldestelle mit Sonderzuständigkeiten weitergeführt werden.
Der Hinweisgeber kann frei wählen, ob er sich an eine interne Meldestelle oder an eine externe Meldestelle wendet.
In bestimmen Konstellationen können sich hinweisgebende Personen mit ihren Informationen über Verstöße auch an die Öffentlichkeit wenden. Die Voraussetzungen sind in § 32 HinSchG geregelt. Der Schutz besteht hier nur dann, wenn die hinweisgebende Person sich zuvor erfolglos an eine externe Meldestelle gewendet hat oder Gefahr für die Allgemeinheit droht.
Aus Unternehmenssicht sollte man aus Eigeninteresse ausreichend Anreize schaffen, dass sich hinweisgebende Personen nicht an externe Meldestellen oder gar an die Öffentlichkeit wenden. Daher empfehlen wir, die internen Meldekanäle so einfach wie möglich zu halten und die Arbeitnehmer auch darüber zu informieren.
Schutz der Hinweisgeber
Hinweisgebende Personen genießen einen umfangreichen Schutz.
Es gilt ein Verbot von Repressalien nach § 36 HinSchG. Unternehmen dürfen keine Repressalien verhängen, selbst die Androhung und der Versuch von Repressalien ist untersagt. Darunter fallen z.B. Kündigung, Herabstufung oder Versagung von Beförderung, Freistellung, Nötigung, Einschüchterung, Nichtverlängerung befristeter Arbeitsverträge, etc.
Ein Verstoß führt zu einem Bußgeld bis zu 50.000,00 €. Ferner droht Schadensersatz.
Bei der Geltendmachung von Ansprüchen gegen Repressalien enthält das HinSchG eine Beweislastumkehr zugunsten der geschützten Person. Danach muss das Unternehmen darlegen und ggf. beweisen, dass die Repressalie nicht mit der Meldung zusammenhängt. Z.B. wird der Arbeitgeber darlegen und beweisen müssen, dass zwischen einer Kündigung eines Mitarbeiters und einer vorhergehenden Meldung durch den Mitarbeiter keinerlei Verbindung besteht.
Voraussetzung für den Schutz nach dem HinSchG ist, dass der Hinweis zutreffend ist. Ferner muss die Meldung Verstöße betreffen, die in den Anwendungsbereich des § 2 HinSchG fallen. Ausreichend ist, wenn der Hinweisgeber zum Zeitpunkt der Meldung oder Offenlegung hinreichenden Grund hatte, dass der Hinweis zutreffend ist und in den Anwendungsbereich des Gesetzes fällt. Stellt die Beschaffung der Information als solche oder der Zugriff auf die Information als solcher eine eigenständige Straftat dar, kann der Hinweisgeber dafür (straf-) rechtlich zur Verantwortung gezogen werden.
Der Schutz besteht nicht bei vorsätzlicher oder grob fahrlässiger Falschmeldung. In diesen Fällen ist Hinweisgeber zum Schadensersatz verpflichtet.
Sanktionen bei Verstößen
Verstöße gegen die wesentlichen Vorgaben des HinSchG werden nach § 40 HinSchG als Ordnungswidrigkeiten mit einer Geldbuße geahndet. Die Höhe des Bußgeldrahmens hängt vom jeweiligen Verstoß und kann bis 50.000,00 € für den jeweils Verantwortlichen betragen. Für das Unternehmen selbst kann in bestimmten Konstellationen das Bußgeld den zehnfachen Rahmen und damit bis zu 500.000,00 € betragen.
Fazit
Das Gesetz gibt den betroffenen Unternehmen eine Reihe von Herausforderungen, die man nicht auf die leichte Schulter nehmen darf. Unternehmen sind daher gut beraten, das Gesetz nicht zu unterschätzen und rechtzeitig die erforderlichen Maßnahmen einzuleiten.
Wir begleiten Sie hier gerne.
