Recht

Whistleblowing: Gesetz zum Schutz hinweisgebender Personen

Das Hinweisgeberschutzgesetz gilt seit dem 17. Dezember 2023 für alle Unternehmen mit mindestens 50 Beschäftigten . Unternehmen müssen ein internes Meldesystem einrichten.

Handlungsbedarf für Unternehmen

Das „Gesetz für einen besseren Schutz hinweisgebender Personen“ setzt die EU-Whistleblowing-Richtlinie um. Diese hat den Schutz von hinweisgebenden Personen vor Repressalien wie zum Beispiel einer Kündigung zum Ziel, aber auch den Schutz der von Hinweisen Betroffenen.

Anwendungsbereich

Das Gesetz betrifft Unternehmen mit 50 oder mehr Beschäftigten sowie Unternehmen, die im Finanzdienstleistungsbereich tätig oder für Geldwäsche- oder Terrorismusfinanzierungstätigkeiten anfällig und daher hohen Risiken ausgesetzt sind. 
Hinweisgebende Personen müssen innerhalb dieser Unternehmen („interne Meldestelle“) oder bei Behörden („externe Meldestelle“) insbesondere Verstöße gegen Strafrechtsvorschriften, Bußgeldvorschriften zum Schutz von Leben, Leib oder Gesundheit oder zum Schutz der Rechte von Beschäftigten oder deren Vertretungsorgane (hierunter fallen zum Beispiel Arbeitsschutz oder das Betriebsverfassungsgesetz) sowie Verstöße gegen bestimmte europäische Regelungen melden können. Außer rechtswidrigen können dies auch missbräuchliche Handlungen sein.

Hinweisgebende Personen

Hinweisgebende Personen sind Personen, die im beruflichen Zusammenhang oder im Vorfeld Informationen über Verstöße erlangt haben und diese melden oder offenlegen, zum Beispiel Arbeitnehmende, aber auch Gesellschafterinnen oder Gesellschafter, Selbständige oder bestimmte „Dritte“ (z.B. Angehörige von Beschäftigten oder Geschäftspartnerinnen und Geschäftspartnern).

Interne Meldekanäle

Um solche Meldungen zu ermöglichen, müssen Unternehmen interne Meldekanäle einrichten oder durch Dritte bereitstellen lassen. Unternehmen mit 50 bis 249 Beschäftigten können hierfür Ressourcen teilen, zum Beispiel indem sie gemeinsam einen Dienstleister beauftragen. Auch Branchenverbände bieten dies teilweise für ihre Mitgliedsunternehmen an.
Außerdem sind innerhalb des Unternehmens Verfahren festzulegen, nach denen Hinweise bearbeitet und Folgemaßnahmen gesteuert werden. Hierzu ist eine Person oder eine Abteilung zu benennen, die dafür zuständig ist, die Meldungen entgegenzunehmen und entsprechende Folgemaßnahmen in die Wege zu leiten.
Zudem müssen sie klare Informationen über diese internen Verfahren als auch über die Bedingungen, unter denen Meldungen extern an zuständige Behörden der Mitgliedstaaten oder der EU übermittelt werden können, zur Verfügung stellen. Anonyme Meldungen müssen nicht ermöglicht werden, allerdings sollte eine interne Meldestelle auch anonym eingehende Meldungen bearbeiten.
Eine Pflicht zur vorrangigen internen Meldung im Unternehmen besteht nicht, jedoch sollen hinweisgebende Personen in den Fällen, in denen intern wirksam gegen einen Verstoß vorgegangen werden kann und sie keine Repressalien befürchten, die interne Meldung bevorzugen. Unternehmen sollten daher Anreize schaffen, damit sich hinweisgebende Personen zunächst an die interne Meldestelle wenden.

Bei Konzernstrukturen

Grundsätzlich müssen alle Unternehmen ab 250 Beschäftigten eine eigene interne Meldestelle einrichten. Im Konzern kann nach der Gesetzesbegründung auch eine andere Konzerngesellschaft als „Dritter“ beauftragt werden.
Die Verantwortung und Verpflichtung zum Abstellen des Rechtsverstoßes verbleibt jedoch bei dem jeweiligen Unternehmen. Deshalb ist sorgfältig zu prüfen, ob und in welcher Ausgestaltung ein internes Hinweisgebersystem für alle konzernangehörigen Unternehmen sinnvoll ist.
Es ist zu überlegen, ob und inwieweit für die Tochterunternehmen zwar ein eigenes Hinweisgebersystem eingerichtet wird, die Beschäftigten der Tochterunternehmen aber auch das konzernweite System nutzen können. In der Kommunikation könnte dann auf die größere Erfahrung mit der Hinweisbearbeitung und weitere praktische Anwendungsvorteile bei der Nutzung des Konzernsystems hingewiesen werden. Auch das gilt es vorzubereiten.
Hinweis: Trotz des derzeit eindeutigen Wortlauts des Gesetzesentwurfs und der Gesetzesbegründung verbleibt bei der Einrichtung einer zentralen Meldestelle für alle Konzerngesellschaften eine gewisse Rechtsunsicherheit. Denn nach Auffassung der Europäischen Kommission ist die EU-Whistleblowing-Richtlinie demnach dahingehend auszulegen, dass jedes Unternehmen verpflichtet ist, eine eigene Meldestelle zu unterhalten.  

Externe Meldestellen und öffentliche Bekanntmachung

Externe Meldestelle wird neben bereits bestehenden Meldesystemen wie bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sowie beim Bundeskartellamt für ihren speziellen Aufgaben das Bundesamt für Justiz.

Schutz vor Repressalien

Zum Schutz vor Repressalien gehört auch, dass bei Verfahren, zum Beispiel im Rahmen eines Kündigungsschutzprozesses, vermutet wird, dass die die hinweisgebende Person benachteiligende Maßnahme eine Reaktion auf die Meldung oder Offenlegung war. Dies gilt jedoch nur dann, wenn die hinweisgebende Person die Vermutung selbst geltend macht. Das Unternehmen muss dann beweisen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen basierte (Beweislastumkehr).

Personalabteilungen

Personalabteilungen sollten sich auf die verschärften Beweislastregeln vorbereiten. Sie werden künftig beweisen müssen, dass nicht der Hinweis zu der jeweiligen arbeitsrechtlichen Maßnahme geführt hat, sondern dass es dafür andere Gründe gab. Eine entsprechende Dokumentation von Gründen für arbeitsrechtliche Sanktionen ist insofern hilfreich, wobei sicher der Aufwand einer solchen (noch umfangreicheren) Dokumentation und das Risiko von Beweisschwierigkeiten nach Hinweisen immer abgewogen werden müssen.

Sanktionen

Ein Verstoß gegen die Regelungen des Hinweisgeberschutzgesetzes stellt eine Ordnungswidrigkeit dar und kann – je nach Art des Verstoßes – mit Bußgeldern in Höhe von 10.000 Euro bis zu 50.000 Euro geahndet werden. Die Bußgeldregelung im Zusammenhang mit der Einrichtung einer internen Meldestelle soll erst sechs Monate nach Inkrafttreten des Gesetzes greifen.

Folgende Fragen sollten Sie in Ihrem Unternehmen klären: 

  • Welche Kanäle will ich einrichten? Telefonisch, E-Mail, webbasierte Lösung, Ombudsperson?
  • Wie stelle ich sicher, dass nicht nur Beschäftigte, sondern auch alle Personen das Hinweisgebersystem nutzen können, die im Rahmen ihrer beruflichen Tätigkeit mit dem Unternehmen in Kontakt stehen – d. h. eigene Beschäftigte, aber auch externe Geschäftspartner/Dienstleister/Auftragnehmer und deren Beschäftigte?
  • Wie will ich darüber informieren? Informationen zu den Meldemöglichkeiten und dem Verfahren müssen klar und leicht zugänglich sein, zum Beispiel über die Unternehmenswebseite und im Unternehmens-Intranet/Schwarzen Brett.
  • Wie gestaltet man das Hinweisgebersystem einerseits so, dass sich hinweisgebende Personen mit Meldungen nicht gleich an die externe Behörde oder gar an die Presse wenden, sondern den internen Kanal nutzen, aber andererseits auch so, dass es nicht zu von missbräuchlichen Beschwerden kommt?
  • Wie stelle ich Vertraulichkeit sicher? Das ist z. B. bei einem Meldekanal per E-Mail schwierig, da nicht einmal der IT-Administrator auf eine solche E-Mail-Zugriff haben dürfte.
  • Wer soll zuständig sein für die Entgegennahme der Hinweise? Wer hat Zugriffsrechte für die Bearbeitung von Beschwerden? Wie und durch wen werden Beschwerden nach dem Eingang weiterbearbeitet? Es darf jedenfalls nicht passieren, dass bei Eingang eines Hinweises erstmal im Haus an verschiedenen möglichen Stellen nachgefragt wird, wer sich weiter darum kümmert – dies wäre mit dem Vertraulichkeitserfordernis nicht vereinbar. Nach dem Gesetz soll die Person „fachkundig“ sein. Was dies konkret bedeutet, sagt das Gesetz jedoch nicht. Beschäftigte, die Meldungen bearbeiten, sollten jedenfalls regelmäßig geschult werden.
  • Wer versendet fristgerecht die Eingangsbestätigung an die hinweisgebende Person?
  • Wie ist das Vorgehen bei anonymen Meldungen?
  • Datenschutzrechtliche Fragen mit Datenschutzbeauftragtem klären
  • Betriebsrat einbeziehen, auch für die Kommunikation über das Hinweisgebersystem.

Folgende Punkte sind dabei zu beachten: 

  • Es müssen sowohl schriftliche als auch mündliche Hinweise erfasst sein, auf Ersuchen einer hinweisgebenden Person auch im Wege einer physischen Zusammenkunft.
  • Die Vertraulichkeit der hinweisgebenden Person muss gewahrt bleiben. Ob vor diesem Hintergrund ein Meldeweg per E-Mail ausreicht, ist fraglich. Zumindest sind sehr eingeschränkte Zugriffsrechte notwendig.
  • Die Hinweismöglichkeit muss für alle Personen eröffnet sein, die im Rahmen ihrer beruflichen Tätigkeit mit dem Unternehmen in Kontakt stehen – d. h. eigene Beschäftigte, aber auch externe Geschäftspartner/Dienstleister/Auftragnehmer und deren Beschäftigte.
  • Innerhalb von sieben Tagen muss eine Rückmeldung an die hinweisgebende Person über den Eingang des Hinweises erfolgen.
  • Informationen zu den Meldemöglichkeiten und dem Verfahren müssen klar und leicht zugänglich sein, zum Beispiel über die Unternehmenswebseite und im Unternehmens-Intranet/Schwarzen Brett.
  • Alle rechtlichen Bedingungen des Datenschutzes (DSGVO) sind einzuhalten. Die Datenschutzkonferenz hat hierzu Hinweise veröffentlicht. 
  • Meldebeauftragte müssen innerhalb von drei Monaten nach Übermittlung der Meldung Folgemaßnahmen ergreifen und der hinweisgebenden Person hierzu Rückmeldung geben.
  • Dokumentation für grundsätzlich zwei Jahre nach Abschluss des Verfahrens, anschließend Löschung, es sei denn die längere Aufbewahrung ist nach dem Hinweisgeberschutzgesetz oder anderen Vorschriften erforderlich und verhältnismäßig
  • Ggf. kann externe Unterstützung hilfreich sein (z.B. Rechtsanwalt oder Rechtsanwältin, Ombudsperson als ausgelagerte interne Meldestelle. Unternehmen mit in der Regel 50 bis 249 Beschäftigten können für die Entgegennahme von Meldungen und für die weiteren Maßnahmen auch eine gemeinsame Stelle einrichten und betreiben. Die Verantwortung bleibt jedoch im Unternehmen).
  • Bei der Einführung eines neuen bzw. bei der Änderung bestehender Hinweisgebersysteme ist der Betriebsrat zu beteiligen.
Hinweis: Dieser Artikel soll – als Service Ihrer IHK – nur erste Hinweise geben und erhebt keinen Anspruch auf Vollständigkeit. 
Stand: Dezember 2023
Mitgliedsunternehmen der IHK Köln und solche Personen, die in der Region Köln die Gründung eines Unternehmens planen, erhalten gerne weitere Informationen.