Das Hinweisgeberschutzgesetz

Das Hinweisgeberschutzgesetz

Ulrich Herfurth, Rechtsanwalt in Hannover und Brüssel
Sara Nesler, Mag. iur. (Torino), LL.M. (Münster), Hannover

Unternehmen in Europa müssen sich auf eine weitere Compliance-Anforderung einrichten: Am 2. Juli 2023 ist das Hinweisgeberschutzgesetz (HinSchG) in Kraft getreten. Dies ist eine verspätete Umsetzung der sogenannten Whistleblowing-Richtlinie der EU, die bis Dezember 2021 hätte erfolgen sollen. Ziel des Gesetzes ist es, ein umfassendes Schutzsystem für Hinweisgeber zu schaffen, wenn sie Fehlverhalten in Unternehmen und Institutionen aufdecken. Um das zu erreichen, werden Unternehmen ab 50 Beschäftigten verpflichtet, interne Meldestellen einzurichten. Die unmittelbare Bereitstellung interner Meldestellen ist notwendig, um mögliche Bußgelder und Untersuchungen durch Meldungen an externe Stellen zu vermeiden.

 

Geltungsbereich 

Die Whistleblowing-Richtlinie schreibt den Schutz von Meldungen über EU-Rechtsverstöße vor, zum Beispiel Verstöße gegen Produktsicherheit und Verbraucherschutz. Sie ermutigt Mitgliedstaaten, den Geltungsbereich gesetzlich zu erweitern, der deutsche Gesetzgeber hat von dieser Möglichkeit Gebrauch gemacht. Erfasst sind unter anderem Meldungen von Straftaten und Ordnungswidrigkeiten, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit, oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient.

 

Geschäftsgeheimnisse 

Besonders problematisch sind Meldungen und Offenlegungen von Informationen, die Geschäftsgeheimnisse enthalten. Geschäftsgeheimnisse und Informationen, die einer vertragliche Verschwiegenheitspflicht unterliegen, dürfen gem. § 6 HinSchG nur gemeldet oder offengelegt werden, wenn der Hinweisgeber hinreichenden Grund zur Annahme hatte, dass die Weitergabe oder Offenlegung der Informationen notwendig war, um einen Verstoß aufzudecken. Die Geeignetheit der Offenlegung zum Schutz des allgemeinen öffentlichen Interesses wird jedoch nicht verlangt, anders als in § 5 GeschGehG.

 

Geschützte Personen 

Das Gesetz schützt gegenwärtige und ehemalige Mitarbeiter sowie Auszubildende, Beamte und arbeitnehmerähnliche Personen, die im Rahmen einer beruflichen, unternehmerischen oder dienstlichen Tätigkeit oder in deren Vorfeld, Informationen über Verstöße erlangen und diese an die vorgesehenen Meldestellen melden oder ausnahmsweise offenlegen. Daneben werden auch Personen geschützt, die Hinweisgeber unterstützen, zum Beispiel Journalisten.

Der Schutz gilt jedoch nur, wenn der Hinweisgeber zum Zeitpunkt der Meldung oder Offenlegung hinreichenden Grund zur Annahme hatte, dass die von ihm gemeldeten oder offengelegten Informationen der Wahrheit entsprechen und die gemeldeten Informationen Verstöße betreffen, die in den Anwendungsbereich des Gesetzes fallen. Die Motivation des Hinweisgebers ist dabei unerheblich. Das Gesetz schützt hingegen keine vorsätzliche oder grob fahrlässige Weitergabe von falschen Informationen, sondern begründet einen Schadensersatzanspruch des Unternehmens.

 

Meldekanäle

Nach dem HinSchG können sich Hinweisgeber wahlweise an eine interne Meldestelle oder eine externe Meldestelle wenden. Interne Meldestellen sind solche, die von Unternehmen und betroffenen Institutionen errichtet werden, selbst wenn sie einen Dritten mit der Aufgabe beauftragen. Externe Meldestellen werden bei ausgewählten Behörden auf Bundes- und Landesebene errichtet.

Der Gesetzgeber betont zwar, dass hinweisgebende Personen interne Meldestelle bevorzugen „sollten“, wenn intern gegen einen Verstoß wirksam vorgegangen werden kann und keine Repressalien zu befürchten sind. Diese offene Formulierung begründet allerdings keine Pflicht, zumal die mangelnde „Befürchtung von Repressalien“ im Streitfall schwer zu beweisen wäre. Dennoch bleibt für Unternehmen wichtig, unverzüglich eine für die Mitarbeiter vertrauenswürdige Meldestelle einzurichten – anderenfalls wird der Weg zu einer externen Meldestelle jedenfalls begünstigt, mit unvorhersehbaren Konsequenzen. Eine Offenlegung gegenüber Dritten ist dagegen nur unter besonderen Umständen geschützt.

 

Vertraulichkeit 

Alle Meldestellen müssen die Vertraulichkeit der Identität des Hinweisgebers wahren. Vertraulich ist auch die Identität von Personen, die Gegenstand der Meldung sind, und von sonstigen in der Meldung genannten Personen. Hinweisgeber, die grob fahrlässig oder vorsätzlich falsche Informationen angeben, werden nicht geschützt. Nur unter besonderen Voraussetzungen darf die Meldestelle die Identität des Hinweisgebers an die zuständige Stelle weiterleiten, zum Beispiel im Rahmen eines Strafverfahrens. Besteht die Einwilligung des Hinweisgebers, kann seine Identität auch weitergegeben werden, wenn die Weitergabe für Folgemaßnahmen erforderlich ist. Für die Weitergabe der Identität von durch den Hinweis betroffenen Personen ist dagegen keine Einwilligung erforderlich, soweit diese unter anderem für Folgemaßnahmen oder interne Untersuchungen notwendig ist.

 

Interne Meldestellen

Betroffene Unternehmen und Institutionen 

Arbeitgeber ab 50 Beschäftigten sind verpflichtet, eine interne Meldestelle einzurichten. Die Mindestbeschäftigtenzahl gilt nicht für Arbeitgeber in bestimmten Risikobranchen, wie zum Beispiel Kapitalverwaltungsgesellschaften.

Organisationsformen für interne Meldestellen

Unternehmen können eine interne Meldestelle einrichten, indem sie einen Mitarbeiter oder eine Arbeitseinheit mit der Aufgabe betrauen. Alternativ erlaubt § 14 HinSchG, einen „Dritten“ zu beauftragen. Als Dritter i.S.d § 14 gilt auch eine Meldestelle, die bei einer anderen Konzerngesellschaft eingerichtet wird, und die Aufgaben für mehrere selbständige Konzernunternehmen übernehmen soll. Die Zuständigkeit für die Überprüfung und Behebung des gemeldeten Verstoßes bleibt dabei bei dem beauftragenden Unternehmen. Mehrere Beschäftigungsgeber mit weniger als 250 Beschäftigten können eine gemeinsame Meldestelle einrichten.

Anforderungen an interne Meldestellen

Beschäftigungsgeber können mündliche oder schriftliche Meldekanälen einrichten. Hierbei ist einiges zu beachten: Die Meldestellen müssen so gestaltet sein, dass nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen Personen Zugriff auf die eingehenden Meldungen haben. Bei der Einrichtung einer einfachen E-Mail-Adresse oder internen Telefonnummer kann das nicht gewährleistet werden. Im Grunde bleiben zwei Optionen: die Einrichtung einer externen Rufnummer mit Rufnummerunterdrückung oder eines IT-gestützten Systems. Ein IT-gestütztes System dürfte gegenüber der ständigen telefonischen Erreichbarkeit der beauftragten internen oder externen Person kostenmäßig vorteilhafter sein.

 

Die zuständigen Personen üben ihre Aufgabe unabhängig aus und müssen über die notwendige Fachkunde verfügen. Insbesondere für kleinere und mittlere Unternehmen stellt sich die Frage, ob es sich lohnt, ein eigenes Meldesystem einzurichten, internes Personal mit der Bearbeitung von Hinweisen zu beauftragen und dafür zu qualifizieren – oder ob es effizienter ist, eine erfahrene Ombudsperson, wie zum Beispiel einen Rechtsanwalt, mit der Entgegennahme und ersten Bearbeitung der Meldungen zu beauftragen. Die Sorge, dass Meldestellen von wenig begründeten Hinweisen überflutet werden, ist eher unberechtigt. Daten aus den USA zeigen, dass ein Unternehmen mit 1.000 Mitarbeitern durchschnittlich mit fünf Hinweisen pro Jahr zu rechnen hat.

Zu beachten ist, dass die Einrichtung und Nutzung interner Meldekanäle im Einzelfall auch eine Datenschutzfolgeabschätzung (DSFA) erfordert.

Verfahren bei internen Meldestellen

Gemäß § 17 HinSchG muss die interne Meldestelle:

• Den Eingang der Meldung gegenüber dem Hinweisgeber innerhalb von sieben Tagen bestätigen;
• Prüfen, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich des HinSchG fällt;
• Die Stichhaltigkeit der Meldung prüfen;
• Den Hinweisgeber ggf. um weitere Informationen ersuchen;
• Angemessene Folgemaßnahmen ergreifen;
• Spätestens nach drei Monaten dem Hinweisgeber eine Rückmeldung bezüglich der geplanten und ergriffenen Folgemaßnahmen geben, solange dadurch Ermittlungen oder die Rechte von betroffenen Personen nicht beeinträchtigt werden;
• Die Hinweise sind unter Beachtung des Vertraulichkeitsgebotes zu dokumentieren und für drei Jahre nach Abschluss des Verfahrens zu speichern.

Umgang mit anonymen Hinweisen

Der Umgang mit anonymen Meldungen war während des Gesetzgebungsverfahrens sehr umstritten, was zu unklaren Regelungen geführt hat. Interne Meldestellen sind gesetzlich nicht verpflichtet, anonyme Meldungen entgegenzunehmen. Sie „sollen“ aber anonyme Meldungen bearbeiten. Die entsprechenden ISO-Normen (ISO 37301, ISO 37001) verlangen dennoch die Entgegennahme von anonymen Hinweisen. Unternehmen, die eine entsprechende Zertifizierung anstreben, müssen also anonyme Hinweise annehmen und bearbeiten.

 

Offenlegung

Offenlegung bezeichnet das Zugänglichmachen von Informationen über Verstöße gegenüber der Öffentlichkeit. Darunter fallen nicht nur klassische Mitteilungen an die Presse, sondern unter Umständen auch Postings in sozialen Medien.

 

Eine Offenlegung ist nach § 32 nur geschützt, wenn:

• Eine externe Meldestelle das Unternehmen informiert und das Unternehmen innerhalb der Fristen für eine Rückmeldung keine Maßnahmen ergreift oder der Hinweisgeber keine Rückmeldung über das Ergreifen solcher Folgemaßnahmen erhält, oder
• im Notfall, oder wenn selbst bei einer externen Meldung Repressalien zu befürchten sind, wenn Beweismittel unterdrückt oder vernichtet werden könnten, oder andere Umstände vorliegen, die ein wirksames Eingreifen einer externen Meldestelle bezweifeln lassen.

Reicht die Meldestelle die Information nicht rechtzeitig an das Unternehmen weiter und wendet sich der Mitarbeiter deswegen an die Öffentlichkeit, kann dies einen Schadensersatzanspruch des Unternehmens gegen die Meldestelle auslösen. Eine Offenlegung von unrichtigen Informationen ist verboten.

  

Verfahrensregeln 

Ein Hinweisgeber kann nicht für die Beschaffung und den Zugriff auf Informationen, die er gemeldet oder offengelegt hat, rechtlich verantwortlich gemacht werden, solange die Beschaffung und der Zugriff an sich keine eigenständige Straftat darstellen. Hinweisgeber werden vor Repressalien und Vergeltungsmaßnahmen geschützt. Hierfür gilt nun eine Beweislastumkehr: Wenn ein Hinweisgeber eine solche Benachteiligung behauptet, muss der Arbeitgeber nachweisen, dass diese nicht im Zusammenhang mit der Meldung steht.

 

Schadensersatz und Bußgelder

Das HinSchG enthält zwei neue Schadensersatzvorschriften. Zum einen ist dem Hinweisgeber bei einem Verstoß gegen das Repressalienverbot der daraus entstehende Schaden zu ersetzen. Der Arbeitgeber ist jedoch nicht verpflichtet, den Hinweisgeber weiterhin zu beschäftigen. Zum anderen hat der Hinweisgeber den Schaden zu ersetzen, der durch eine vorsätzliche oder grob fahrlässige Falschmeldung oder Offenlegung entstanden ist. Unternehmen, die keine Meldestelle einrichten, Meldungen behindern oder Repressalien einsetzen, drohen ab dem 1. Dezember 2023 Geldbußen bis zu 50.000 Euro. Bußgelder bis 20.000 Euro sind aber auch für Personen vorgesehen, die wissentlich unrichtige Informationen offenlegen.

 

Inkrafttreten 

Für Arbeitgeber mit mehr als 250 Mitarbeitern gelten die Pflichten des HinSchG schon ab dem 2. Juli 2023, für kleinere Unternehmen erst ab dem 17. Dezember 2023. Die Bußgeldbestimmungen treten zum 01. Dezember 2023 in Kraft. Sofern Arbeitgeber mit mehr als 50 Mitarbeitern noch keine interne Meldestelle eingerichtet haben, sollten sie dies unverzüglich erledigen. Bei der Zeitplanung ist auch zu bedenken, dass ein solches Verfahren normalerweise der Mitbestimmung unterliegt.

+ + +