Whistleblowing: Das Hinweisgeberschutzgesetz ist da

Gesetzgebungsziel und aktueller Stand

Das Hinweisgeberschutzgesetz (HinSchG) ist die deutsche Umsetzung der sogenannten Whistleblower-Richtlinie der Europäischen Union (EU).
Ziel des HinSchG ist der Schutz von Personen, die im Rahmen ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese melden. Das HinSchG verbietet jegliche Repressalien gegenüber hinweisgebenden Personen (sogenannten Whistleblowern) und verpflichtet Unternehmen, sichere Kanäle für die Meldung von Missständen einzurichten.
Das HinSchG wurde am 2. Juni 2023 im Bundesgesetzblatt verkündet und ist am 2. Juli 2023 in Kraft getreten.
Welche Vorgaben das HinSchG beinhaltet und was Unternehmen tun müssen, erfahren Sie im nachfolgenden Text

Welche Verstöße können von Hinweisgebern gemeldet werden?

Nicht jede Meldung einer Verletzung von Rechtsvorschriften ist vom HinSchG umfasst. Der unter § 2 HinSchG geregelte Schutzbereich ist aber sehr weit gefasst. Hinweisgebende Personen genießen den Schutz des HinSchG, wenn sie Verstöße gegen folgende Verstöße melden:
  • Verstöße gegen Strafvorschriften: Dies umfasst jede Strafnorm nach deutschem Recht.
  • Verstöße, die bußgeldbewehrt sind, soweit sie dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Darunter fallen beispielsweise Vorschriften aus den Bereichen des Arbeits- und Gesundheitsschutzes, Verstöße gegen das Mindestlohngesetz, Bußgeldvorschriften, die Verstöße gegen Aufklärungs- und Auskunftspflichten gegenüber Organen der Betriebsverfassung wie Betriebsräten sanktionieren.
  • Zudem alle Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende EU-Rechtsakte in einer Vielzahl verschiedener Bereiche, etwa: Regelungen zur Bekämpfung der Geldwäsche, Vorgaben zur Produktsicherheit, Vorgaben zur Verkehrssicherheit, Vorgaben zur Beförderung gefährlicher Güter, Vorgaben zum Umwelt- und Strahlenschutz, Lebensmittel- und Fleischmittelsicherheit, Qualitäts- und Sicherheitsstandards bei Arzneimitteln und Medizinprodukten, Regelungen des Verbraucherschutzes, Vorgaben des Datenschutzes und der Sicherheit in der Informationstechnik, Vergaberecht, Regelungen zur Rechnungslegung bei Kapitalgesellschaften, Regelungen im Bereich des Wettbewerbsrechts et cetera.
  • Zuletzt wurde der sachliche Anwendungsbereich auf Äußerungen von Beamtinnen und Beamten ausgeweitet, die einen Verstoß gegen die Pflicht zur Verfassungstreue darstellen (wohl aufgrund der aktuellen Geschehnisse um die “Reichsbürger-Razzia”).
Hinweis: Voraussetzung ist immer, dass sich die Verstöße auf den Beschäftigungsgeber/das Unternehmen oder eine andere Stelle beziehen müssen, mit dem oder mit der die hinweisgebende Person selbst in beruflichem Kontakt stand oder steht (§ 3 Absatz 3 HinSchG).

Wer kann Hinweisgeber sein?

Hinweisgeber sind Personen, die Informationen über Verstöße melden oder offenlegen. Der persönliche Anwendungsbereich soll weit gefasst sein und umfasst alle Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben, insbesondere:
  • Arbeitnehmer, auch Arbeitnehmer, deren Arbeitsverhältnis bereits beendet ist, Stellenbewerber, Praktikanten, Leiharbeitnehmer
  • Selbstständige, die Dienstleistungen erbringen, Freiberufler, Auftragnehmer, Unterauftragnehmer, Lieferanten und deren Mitarbeiter
  • Anteilseigner und Personen in Leitungsgremien
Nach § 16 Absatz 1 HinSchG müssen die internen Meldekanäle zumindest den eigenen Beschäftigten und dem Unternehmen überlassenen Leiharbeitnehmer/-innen offenstehen. Die zur Einrichtung verpflichteten Unternehmen können selbst entscheiden, ob das Meldeverfahren darüber hinaus auch (außenstehenden) Personen, die im Kontakt zum Unternehmen stehen, offenstehen soll.
Darüber hinaus werden auch Personen geschützt, die die hinweisgebende Person unterstützen sowie Personen, die zwar nicht selbst die Meldung erstatten, aber Gegenstand der Meldung oder sonst von der Meldung betroffen sind.

Welche Unternehmen müssen zu welchem Zeitpunkt interne Meldekanäle einrichten?

Unternehmen mit mindestens 250 Beschäftigten mussten die Vorgaben nach dem HinSchG bis zum 2. Juli 2023 umsetzen. Ein Bußgeld bis zu 20.000 Euro droht, wenn ein interner Kanal nicht eingerichtet oder betrieben wird (mehr dazu weiter unten).
Gleiches gilt auch für Unternehmen in bestimmten Branchen (zum Beispiel im Finanzdienstleistungsbereich) unabhängig von der Zahl der Beschäftigten. Vergleichen Sie hierzu die Auflistung in § 12 Absatz 3 HinSchG.
Für Unternehmen mit in der Regel 50 bis 249 Beschäftigten sah das HinSchG eine verlängerte Einrichtungsfrist bis zum 17. Dezember 2023 vor. Diesen Unternehmen ist es zudem nach § 14 Absatz 2 HinSchG erlaubt, Ressourcen zu teilen und mit anderen Unternehmen eine gemeinsame Meldestelle zu betreiben. Die Pflicht, Maßnahmen zu ergreifen, um den Verstoß abzustellen und, und die Pflicht zur Rückmeldung an die hinweisgebende Person verbleiben aber bei dem einzelnen Unternehmen.
Kleine Unternehmen mit in der Regel bis zu 49 Beschäftigten sind von der Pflicht zur Einrichtung eines internen Meldekanals ausgenommen. Die Schutzvorschriften des HinSchG (insbesondere der Schutz vor Repressalien nach § 36 HinSchG) dürfte aber wohl auch in diesen kleinen Unternehmen gelten, wenn beispielsweise ein Arbeitnehmer einen Rechtsverstoß meldet.

Was ist bei der Einrichtung und beim Betrieb interner Meldekanäle zu beachten

Folgende Punkte sind zu berücksichtigen:

Die internen Meldekanäle müssen nach § 16 Absatz 3 HinSchG Meldungen in mündlicher oder in Textform sowie auf Wunsch in persönlicher Weise ermöglichen:

  • Meldekanäle, die Meldungen in Textform ermöglichen, können sein: computergestütztes Hinweisgebersystem wie etwa eine Plattform im Internet oder Intranet, eine eigens für die Entgegennahme und Bearbeitung von Hinweisen eingerichtete E-Mail-Adresse; Meldekanäle, die Meldungen ausschließlich in Schriftform ermöglichen (zum Beispiel ein Beschwerde-Briefkasten oder Meldungen über den Postweg) dürften nicht ausreichen, weil hier Probleme mit der Wahrung der Vertraulichkeit, von Fristen und der Dokumentation zu erwarten sind.
  • Mündliche Meldekanäle können sein: Whistleblower-Hotline, Anrufbeantwortersystem
  • Auf Wunsch des Hinweisgebers sollte es über diese Kanäle auch möglich sein, innerhalb eines angemessenen Zeitraums Hinweise in einem persönlichen Treffen zu besprechen, das mit Einwilligung des Hinweisgebers auch in Form einer Videokonferenz erfolgen kann
Nach § 16 Absatz 1 HinSchG besteht ausdrücklich keine Verpflichtung, die internen Meldekanäle so einzurichten, dass sie die Abgabe anonymer Meldungen ermöglichen. Es wird lediglich vorgegeben, dass auch anonym eingehende Meldungen bearbeitet werden sollen.
Unternehmen müssen die interne Meldestelle nicht selbst betreiben, sondern können nach § 14 Absatz 1 HinSchG auch Dritte als interne Meldestellen beauftragen. Die Entgegennahme und Bearbeitung von Hinweisen kann somit auf externe Anbieter von Meldeplattformen bzw. auf Ombudspersonen (etwa Rechtsanwälten) ausgelagert werden, sofern diese entsprechende Garantien für die Wahrung der Unabhängigkeit und Vertraulichkeit, des Datenschutzes und der Geheimhaltung bieten.
Für die Abgabe von Meldungen können die Unternehmen mehrere Kanäle zur Verfügung stellen.

Bei allen Meldewegen muss die Vertraulichkeit des Hinweisgebers sowie Dritter geschützt sein:

  • Ganz zentral ist das Vertraulichkeitsgebot nach § 8 HinSchG: Die internen Meldekanäle müssen so konzipiert sein, dass die Identität der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, sowie der sonstigen in der Meldung erwähnten Personen gewahrt wird. Die Identität dieser Personen darf nur den zur Entgegennahme der Meldung sowie zur Ergreifung von Folgemaßnahmen zuständigen Personen bekannt sein, sodass anderen Personen der Zugriff auf den internen Meldekanal verwehrt sein muss. Nur mit ausdrücklicher Zustimmung der betroffenen Personen darf deren Identität auch anderen Personen gegenüber offengelegt werden.
  • Im Zweifel sollten alle Personen, die Zugang zum internen Meldekanal haben oder in sonstiger Weise Kenntnis von den Meldungen erlangen, durch entsprechende Erklärungen zur Vertraulichkeit verpflichtet werden (Vertraulichkeitsverpflichtungserklärungen).
  • Vertraulichkeit bedeutet nicht Anonymität: es besteht keine Verpflichtung, anonyme Meldekanäle einzurichten.
  • Informationen über die Identität einer hinweisgebenden Person oder sonstigen Person, die in der Meldung erwähnt werden, dürfen nur in Ausnahmefällen nach § 9 HinSchG herausgegeben werden, etwa in Strafverfahren auf Verlangen der Strafverfolgungsbehörde.

Bestimmung der Zuständigkeit innerhalb des Unternehmens mit einer sehr eingeschränkten Zugriffsrechte-Zuweisung:

  • Innerhalb des Unternehmens müssen „Meldestellen-Beauftragte“ bestimmt werden (eine/mehrere Person/en oder Abteilung), die die Meldungen entgegennehmen, dem Hinweisgeber innerhalb der Sieben-Tage-Frist den Eingang der Meldung bestätigen, die Meldung prüfen, entsprechende Folgemaßnahmen in die Wege leiten und dem Hinweisgeber innerhalb von drei Monaten über ergriffene Folgemaßnahmen informieren.
  • Konkrete Vorgaben gibt es nicht. Maßgeblich ist die jeweilige Organisationsstruktur, Größe und Art der ausgeübten Unternehmenstätigkeit.
  • Diese Personen können insbesondere sein: Compliance-Leiter, Legal Counsel, Datenschutzbeauftragter, Finanzdirektor, Auditverantwortlicher.
  • Diese Personen können neben ihrer Tätigkeit für die interne Meldestelle andere Aufgaben und Pflichten wahrnehmen. Wichtig ist aber, sicherzustellen, dass derartige Aufgaben und Pflichten nicht zu Interessenskonflikten führen und diese Personen unabhängig handeln können (§ 15 Absatz 1 HinSchG). Geschäftsführer oder Personalverantwortliche können aufgrund bestehender Interessenskonflikte nicht Meldestellen-Beauftragte sein.
  • Darüber hinaus müssen die Meldestellen-Beauftragten nach § 15 Absatz 2 HinSchG die notwendige Fachkunde besitzen, damit diese die mit dem Betrieb der internen Meldestelle verbundenen Aufgaben erfüllen können. In der Regel wird es erforderlich sein, die betreffenden Personen im Hinblick auf die mit der Übernahme der Funktion verbundene Verantwortung zu schulen.
Alternative: Auch externe Dienstleister können als interne Meldestellen beauftragt werden (siehe oben).

Bei (internationalen) Konzernstrukturen:

Im Konzern sind verschiedene Gestaltungsmöglichkeiten denkbar. Zum einen eine lokale Organisation, in der jedes Konzernunternehmen ein eigenes Hinweisgeberschutzsystem unterhält. Denkbar ist auch eine regionale Organisation in der Form, dass einzelne Konzerngesellschaften für eine bestimmte Region ein Hinweisgebersystem betreiben. Auch eine zentrale Lösung kommt in Betracht in der Form, dass die Meldestelle zentral in einer Einheit (in der Regel bei der Konzernmutter) angesiedelt ist.
Der HinSchG erlaubt es, auch einen Dritten mit der Aufgabe einer internen Meldestelle zu beauftragen. Nach der Begründung des HinSchG kann auch bei einer anderen Konzerngesellschaft (zum Beispiel Mutter-, Schwester-, oder Tochtergesellschaft) eine unabhängige und vertrauliche Stelle als Dritter eingerichtet werden, die auch für mehrere selbstständige Unternehmen in dem Konzern tätig sein kann. Dabei ist es aber notwendig, dass die originäre Verantwortung dafür, einen festgestellten Verstoß zu beheben und weiterzuverfolgen, immer bei dem jeweiligen beauftragenden Unternehmen verbleibt. Das HinSchG unterscheidet nicht zwischen Konzerngesellschaften mit mehr oder weniger als 249 Mitarbeitern, sondern die Option der Einrichtung einer zentralen Meldestelle im Konzern ist wohl unterschiedslos für alle Konzerngesellschaften möglich.
Achtung: Es wird darauf hingewiesen, dass eine gewisse Rechtsunsicherheit besteht. Denn nach früheren Aussagen der EU-Kommission müsse jedes Unternehmen, welches mehr als 249 Mitarbeiter beschäftigt, ein eigenes Hinweisgebersystem einrichten. Ein zentrales Hinweisgebersystem im Konzern solle nach der EU-Kommission nicht ausreichen.
In Deutschland wird man die Konzernregelung sanktionslos umsetzen können. Mit Blick auf etwaige Umsetzungsunterschiede in den einzelnen EU-Mitgliedsstaaten sollte bei international tätigen Konzernen auch das Recht des jeweiligen Staates geprüft werden.

Von der im Unternehmen zuständigen Person oder Abteilung müssen ordnungsgemäße Folgemaßnahmen ergriffen werden, diese können nach § 18 HinSchG beispielsweise sein:

  • Einleitung interner Nachforschungen
  • Mögliche Maßnahmen zur Behebung des Problems
  • Verweis auf andere Kanäle oder Verfahren bei Meldungen
  • Abschluss des Verfahrens aufgrund mangelnder Beweise oder anderer Gründe
  • Befassung einer zuständigen Behörde

Bearbeitungsfristen nach § 17 HinSchG müssen beachtet werden:

  • Innerhalb von sieben Tagen muss dem Hinweisgeber bestätigt werden, dass seine Meldung eingegangen ist.
  • Innerhalb von spätestens drei Monaten nach der Bestätigung des Eingangs der Meldung muss der Hinweisgeber über geplante oder bereits ergriffene Folgemaßnahmen sowie die Gründe für diese informiert werden.

Dokumentation der Meldungen und Datenaufbewahrung:

  • Alle eingehenden Meldungen müssen nach § 11 HinSchG im Einklang mit den Vertraulichkeitspflichten dokumentiert werden.
  • Wie die Meldungen dokumentiert werden müssen, hängt davon ab, über welchen Kanal die Meldung eingegangen ist.
  • Das gewählte Meldesystem sollte entsprechende Anwendungen haben, dass Meldungen und Folgemaßnahmen so dokumentiert werden, dass sie gegebenenfalls als Beweismittel verwendet werden können.
  • Die Dokumentationen müssen drei Jahre nach Abschluss des Verfahrens gelöscht werden. Ausnahmsweise können die Dokumentation auch länger als drei Jahre aufbewahrt werden, um die Anforderungen nach dem HinSchG oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist.

Informationspflicht über Meldeverfahren:

  • Unternehmen müssen nach § 13 Absatz 2 HinSchG Informationen über (alternative) externe Meldeverfahren an die jeweils zuständigen Behörden sowie über einschlägige Meldeverfahren von Organen, Einrichtungen oder sonstigen Stellen der Europäischen Union bereitstellen.
  • Diese Informationen müssen leicht verständlich und zugänglich sein, zum Beispiel über die Unternehmens-Website, im Intranet oder am Schwarzen Brett.
Hinweis: Sinnvoll ist natürlich auch die Information über die eigenen internen Meldemöglichkeiten, auch wenn keine gesetzliche Verpflichtung hierzu besteht. Nur dann, wenn Beschäftigte oder sonstige potenzielle Hinweisgeber wissen und verstehen, dass und warum es ein internes Meldesystem gibt, welche Verstöße sie melden können und dass ihre Hinweise vertraulich behandelt und sie keine Repressalien zu befürchten haben, werden sie eher intern einen Verstoß melden und nicht extern an eine Behörde.

Datenschutz:

Im Hinweisgebersystem werden personenbezogene Daten verarbeitet. Bei der Einrichtung und Durchführung des internen Meldeverfahrens sind alle rechtlichen Bedingungen des Datenschutzes einzuhalten. Alle personenbezogenen Daten, sowohl die des Hinweisgebers als auch etwaiger beschuldigter Personen, müssen im Einklang mit der EU-Datenschutzgrundverordnung sowie des Bundesdatenschutzgesetzes verarbeitet werden.
  • Aufbewahrungs-/Löschfristen müssen festgelegt werden.
  • Die Erstellung einer Datenschutzerklärung für Hinweisgeber wird erforderlich sein.
  • Wenn externe Anbieter als interne Meldestellen beauftragt werden, wird der Abschluss einer Auftragsdatenverarbeitung erforderlich sein.
  • Der Prozess über den internen Meldekanal muss im Verzeichnis der Verarbeitungstätigkeiten aufgenommen werden.
  • In der Regel wird die Durchführung einer Datenschutz-Folgeabschätzung erforderlich sein.
  • Eine sichere Datenverarbeitung verlangt geeignete technische und organisatorische Maßnahmen.
Der (externe) Datenschutzbeauftragte sollte frühzeitig eingebunden werden. Zur Klärung von Zweifelsfragen stehen auch die Datenschutzbehörden zur Verfügung.

Bei der Einrichtung des Verfahrens für interne Meldungen sind Mitbestimmungsrechtliche des Betriebsrats zu beachten:

  • Zunächst haben Betriebsräte gemäß § 80 Absatz 2 Betriebsverfassungsgesetz (BetrVG) einen Anspruch auf Unterrichtung vor der geplanten Einrichtung eines Hinweisgeberschutzsystems.
  • Bei der Frage des Ob, also ob ein Hinweisgebersystem überhaupt eingerichtet werden soll, hat der Betriebsrat kein Mitbestimmungsrecht. Auch bei der Frage, welche Stelle (intern oder extern) mit dem Betrieb des Hinweisgebersystems betraut wird, gibt es keine zwingende Mitbestimmung.
  • Bei der Frage des Wie, also im Hinblick auf die Ausgestaltung von Meldekanälen und Meldeverfahren könnten Mitbestimmungsrechte des Betriebsrats ausgelöst werden. Insbesondere das Mitbestimmungsrecht aus § 87 Absatz 1 Nummer 6 BetrVG, nämlich im Falle der Einrichtung und Anwendung technischer Einrichtungen, kommt in Betracht, sofern die Identifikation des Hinweisgebers möglich ist.
  • Sofern der Arbeitgeber ein über die gesetzlichen Vorgaben hinausgehendes Verfahren zur Meldung und zum Umgang mit Verstößen einführt (beispielsweise einen Verhaltenskodex, Compliance-Richtlinien et cetera), wird in der Regel auch ein Mitbestimmungsrecht aus § 87 Absatz 1 Nummer 1 BetrVG zu bejahen sein, weil Fragen der Ordnung des Betriebs und des Verhaltens der Beschäftigten im Betrieb betroffen sind.
  • Beteiligungsrechte des Betriebsrats ergeben sich auch aus §§ 96 fortfolgende BetrVG hinsichtlich Schulungsmaßnahmen für die im Unternehmen zuständigen Fallbearbeiter und/oder für die Beschäftigten.
  • Es empfiehlt sich die frühzeitige Einbindung des Betriebsrats im Rahmen eines Gesprächs.

Welche Möglichkeiten der Meldung hat der Hinweisgeber?

Es wird zwischen internen und externen Meldestellen unterschieden.
Die internen Meldestellen (§§ 12 bis 18 HinSchG) müssen in Unternehmen eingerichtet werden.
Die externen Meldestellen (§§ 19 bis 31 HinSchG) müssen von der öffentlichen Hand eingerichtet werden. Eine zentrale externe Meldestellen soll beim Bundesamt für Justiz (BfJ) eingerichtet werden. Daneben sollen die bestehenden Meldesysteme bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sowie beim Bundeskartellamt als weitere externe Meldestelle mit Sonderzuständigkeiten weitergeführt werden.
Weitere Informationen zu den externen Meldeverfahren des Bundes erhalten Sie auf der Internetseite des Bundesamts für Justiz.
Den Ländern steht es frei, für die Meldungen, die die jeweiligen Landesverwaltung und die jeweiligen Kommunalverwaltungen betreffen, eigene externe Meldestellen einzurichten.
Außerdem existieren entsprechende Meldeverfahren für Meldungen an Organe, Einrichtungen und sonstige Stellen der Europäischen Union. Hierunter fallen externe Meldekanäle der Kommission, des Europäischen Amts für Betrugsbekämpfung (OLAF), der Europäischen Agentur für die Sicherheit des Seeverkehrs (EMSA), der Europäischen Agentur für Flugsicherheit (AESA), der Europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA) und der Europäischen Arzneimittel-Agentur (EMA).
Der Hinweisgeber hat grundsätzlich die freie Wahl, ob er sich an eine interne Meldestelle des Unternehmens oder an eine externe Meldestelle der Behörden wendet. § 7 Absatz 1 Satz 2 HinSchG regelt jedoch einen Anreiz zur bevorzugten Nutzung der internen Meldekanäle im Unternehmen: Hinweisgeber sollten in den Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten, die Meldung an eine interne Meldestelle bevorzugen.
Darüber hinaus können sich hinweisgebende Personen mit ihren Informationen über Verstöße auch an die Öffentlichkeit (etwa an die Presse, über Social Media oder sonstige Medien) wenden, dies jedoch nur unter den engen Voraussetzungen des § 32 HinSchG. Die hinweisgebende Person ist im Falle der Meldung eines Verstoßen an die Öffentlichkeit nur dann durch das HinSchG geschützt, wenn sie sich zuvor erfolglos an eine externe Meldestelle gewendet hat oder Gefahr für die Allgemeinheit droht.
Tipp: Es dürfte im Eigeninteresse eines jeden Unternehmens sein, dass mögliche Verstöße im Unternehmen selbst aufdeckt werden und sich hinweisgebende Personen nicht an externe Meldestellen oder gar an die Öffentlichkeit wenden. Unternehmen sollten daher selbst Anreize für die Nutzung des internen Meldekanals setzen, indem sie den internen Meldekanal möglichst anwendergerecht ausgestalten, die Beschäftigten entsprechend informieren, diese dazu ermutigen, den internen Meldekanal zu nutzen und eingehende Meldungen höchst vertraulich behandeln. Zu beachten ist aber, dass Unternehmen die Abgabe von Meldungen an externe Meldestellen nicht behindern dürfen.

Wie werden Hinweisgeber geschützt?

Das HinSchG will hinweisgebende Personen dazu ermutigen, auf Missstände in Unternehmen und Behörden aufmerksam zu machen. Daher genießen hinweisgebende Personen umfangreichen Schutz vor Repressalien, ihnen kommt eine Beweislastumkehr zugute, sie können gegebenenfalls Schadensersatzansprüche geltend machen und genießen Haftungsprivilegien:
  • Zentrales Element ist das in § 36 Absatz 1 HinSchG verankerte Verbot von Repressalien: Unternehmen müssen beachten, dass sämtliche Repressalien einschließlich der Androhung und des Versuchs von Repressalien untersagt sind. Verboten sind insbesondere: Suspendierung, Kündigung, Herabstufung oder Versagung von Beförderung, Nötigung, Einschüchterung, Mobbing oder Aussetzung, aber auch Nichtverlängerung befristeter Arbeitsverträge, Rufschädigung, Entzug einer Lizenz oder Genehmigung, negative Leistungsbeurteilung et cetera. Repressalien sind nicht nur verboten, sondern werden auch mit hohen Bußgeldern geahndet.
  • Um die Durchsetzbarkeit von Ansprüchen gegen Repressalien gegen den Schädiger zu verbessern, enthält das HinSchG in § 36 Absatz 2 eine Beweislastumkehr zugunsten der geschützten Person. Bisher musste der Hinweisgeber den Zusammenhang zwischen Meldung und Benachteiligung im Streitfall nachweisen. Künftig muss das Unternehmen den (abweichenden) Grund für eine vermeintliche Benachteiligung darlegen und gegebenenfalls beweisen, wenn die Benachteiligung nach der Meldung erfolgt. Künftig wird also der Arbeitgeber darlegen und beweisen müssen, dass etwa zwischen einer Kündigung eines Mitarbeiters und einer vorhergehenden Meldung durch den Mitarbeiter keinerlei Verbindung besteht. Die Beweislastumkehrregelung gilt jedoch mit der kleinen Einschränkung, dass die hinweisgebende Person selbst aktiv werden und geltend machen muss, dass sie die Benachteiligung infolge der Meldung erlitten hat.
Tipp: Vor dem Hintergrund der geregelten Beweislastumkehr sollten Personalverantwortliche künftig die Gründe für arbeitsrechtliche Maßnahmen sorgfältig dokumentieren!
  • Bei einem Verstoß gegen das Repressalienverbot hat die hinweisgebende Person nach § 37 Absatz 1 HinSchG einen Anspruch auf Schadensersatz. Immateriellen Schadensersatz (also Schmerzensgeld) kann die hinweisgebende Person allerdings nicht verlangen.
Um diesen Schutz zu genießen, muss der Hinweis zutreffend sein und die Meldung muss Verstöße treffen, die in den Anwendungsbereich des § 2 HinSchG fallen. Ausreichend ist aber nach § 33 Absatz 1 Nummer 2 HinSchG auch, wenn der Hinweisgeber zum Zeitpunkt der Meldung oder Offenlegung hinreichenden Grund zu solcher Annahme hatte. Zudem darf die Beschaffung der Information nicht als solche oder der Zugriff auf die Information nicht als solcher eine eigenständige Straftat darstellen. Wenn diese Voraussetzungen vorliegen, kann der Hinweisgeber gemäß § 35 HinSchG nicht verantwortlich gemacht werden.
Ein Schutz für Hinweisgeber besteht aber nicht, wenn es sich um eine vorsätzliche oder grob fahrlässige Falschmeldung handelt. In solchen Fällen ist der bösgläubige Hinweisgeber nach § 38 HinSchG sogar zum Ersatz des dadurch entstehenden Schadens verpflichtet.

Welche Sanktionen drohen bei Verstößen gegen das HinSchG?

Verstöße gegen die wesentlichen Vorgaben des HinSchG werden nach § 40 HinSchG als Ordnungswidrigkeiten mit einer Geldbuße geahndet. Die Bußgelder drohen grundsätzlich bereits seit dem 2. Juli 2023. Die Höhe des Bußgeldrahmens hängt vom jeweiligen Verstoß ab:
  • Mit einem Bußgeld in Höhe von bis zu 50.000 Euro kann belegt werden, wer eine Meldung oder die darauffolgende Kommunikation verhindert (oder dies versucht), wer eine verbotene Repressalie ergreift (oder dies versucht) oder wer vorsätzlich oder leichtfertig das Vertraulichkeitsgebot missachtet.
Achtung: Der Bußgeldrahmen bis zu 50.000 Euro gilt für die Unternehmensverantwortlichen. Für die Unternehmen selbst (juristische Personen und Personenvereinigungen) kann sich in bestimmten Konstellationen im Zusammenhang mit der Verhinderung einer Meldung oder bei einem Verstoß gegen das Vertraulichkeitsgebot der Bußgeldrahmen aufgrund des Verweises auf § 30 Absatz 2 Satz 3 des Gesetzes über Ordnungswidrigkeiten verzehnfachen und somit bis zu 500.000 Euro betragen.
  • Wenn fahrlässig das Vertraulichkeitsgebot missachtet wird, droht ein Bußgeld in Höhe bis zu 10.000 Euro.
  • Für Unternehmen, die ihrer Pflicht zur Einführung und zum Betrieb einer internen Meldestelle nicht nachkommen, droht eine Geldbuße in Höhe bis zu 20.000 Euro.
Unternehmen ohne Hinweisgebersystem riskieren zudem, dass Hinweise an Behörden oder die Öffentlichkeit gelangen, wodurch Reputationsrisiken und Haftungsrisiken für das Unternehmen steigen. Aus diesem Grund dürfte es im eigenen Interesse liegen, Kenntnis von Missständen zu erlangen, ehe Ermittlungsbehörden oder die Medien davon erfahren.

Checkliste – Folgende Punkte sollten Unternehmen klären

Unternehmen mit mindestens 250 Beschäftigten mussten die obigen Vorgaben innerhalb von einem Monat nach Verkündigung des Gesetzes, also spätestens bis zum 2. Juli 2023, umsetzen.
Unternehmen mit 50 bis 249 Beschäftigten hatten noch bis zum 17. Dezember 2023 Zeit.
  • GAP-Analyse (Lückenanalyse): Existiert im Unternehmen bereits ein Hinweisgebersystem? Wenn ja, besteht Anpassungsbedarf?
  • Welche Kanäle sollen eingerichtet werden? Telefonisch, E-Mail, webbasierte Lösung, Ombudsperson? Soll zugleich eine webbasierte Lösung gewählt werden, die auch anonyme Meldungen ermöglicht (hierzu besteht keine Pflicht)?
  • Soll der interne Meldekanal nur den eigenen Beschäftigten sowie überlassenen Leiharbeitnehmern offenstehen oder allen Personen, die im Rahmen ihrer beruflichen Tätigkeit mit dem Unternehmen in Kontakt stehen?
  • Wie sollen Mitarbeiter und gegebenenfalls sonstige hinweisgebende Personen über mögliche Meldestellen informiert werden? Unternehmenswebsite, Unternehmens-Intranet, Schwarzes Brett?
  • Wie soll die Vertraulichkeit sichergestellt werden?
  • Wer soll innerhalb des Unternehmens zuständig sein für die Entgegennahme und Bearbeitung der Hinweise? Wer erhält die eingeschränkten Zugriffsrechte? Es darf jedenfalls nicht passieren, dass bei Eingang eines Hinweises erstmal im Unternehmen an verschiedenen Stellen nachgefragt wird, wer sich weiter um die Meldung kümmert, da dies mit dem Vertraulichkeitsgebot nicht vereinbar wäre.
  • Wie soll bei Eingang einer Meldung konkret vorgegangen werden? Wer versendet fristgerecht die Eingangsbestätigung an den Hinweisgeber?
  • Sind die Personen im Unternehmen, die für die Entgegennahme und Bearbeitung der Hinweise zuständig sein werden, unabhängig und ausreichend qualifiziert für diese Aufgabe? Besteht bei den zuständigen Personen ausreichend juristische Expertise, um eingehende Meldungen zu bearbeiten? Benötigen diese Personen eine Schulung?
  • Soll ein externer Dienstleister mit der Entgegennahme und gegebenenfalls Bearbeitung von Meldungen beauftragt werden? Aktuell bieten sehr viele Berater und Verkäufer von Softwarelösungen ihre Dienste an.
  • Wie wird die Bearbeitung dokumentiert?
  • Wie macht man das Hinweisgebersystem Hinweisgebern einerseits so schmackhaft, dass sie sich mit Meldungen nicht gleich an externe Behörden oder gar an die Öffentlichkeit wenden, sondern den internen Meldekanal nutzen, aber andererseits auch so, dass von missbräuchlichen Beschwerden und Denunziantentum abgeschreckt wird?
  • Datenschutzrechtliche Fragen mit Datenschutzbeauftragtem klären und gegebenenfalls weitere Fachbereiche wie Personal, Recht und Compliance in den Prozess einbinden.
  • Der Betriebsrat sollte frühzeitig in die Auswahl eines passenden Meldekanals eingebunden werden.
  • Bei Konzernstrukturen: Soll das Hinweisgebersystem bei einer anderen Konzerngesellschaft eingerichtet werden? Nach dem aktuellen Gesetzentwurf wäre dies möglich. Laut Aussagen der EU-Kommission benötigt allerdings jedes Unternehmen mit mehr als 249 Beschäftigten ein eigenes Hinweisgebersystem.
  • Personalabteilungen sollten sich auf die verschärften Beweislastregeln vorbereiten. Sie werden künftig beweisen müssen, dass nicht der Hinweis zu der jeweiligen arbeitsrechtlichen Maßnahme geführt hat, sondern dass es dafür andere Gründe gab. Eine entsprechende Dokumentation von Gründen für arbeitsrechtliche Sanktionen ist insofern anzuraten.

Veranstaltungshinweis

Unter dem Stichwort “Hinweisgeberschutzgesetz” finden Sie auf der Weiterbildungsplattform WIS eine Übersicht über die aktuellen Veranstaltungen zum Thema.
Die IHK Bodensee-Oberschwaben bietet zudem eine mehrteilige, kostenpflichtige Online-Veranstaltung zum Hinweisgebersystem an.

Quelle: IHK Region Stuttgart