Whistleblowing

Das Hinweisgeberschutzgesetz ist da

Handlungsbedarf beim Whistleblowing: Seit dem 2. Juli 2023 ist das Hinweisgeberschutzgesetz in Kraft getreten. Unternehmen mit 250 und mehr Beschäftigten sind nun insbesondere verpflichtet, eine interne Meldestelle einzurichten. Für Unternehmen mit 50 bis 249 Beschäftigten gilt die Pflicht zur Einrichtung von internen Meldestellen ab dem 17. Dezember 2023. Für Bußgelder gilt eine Übergangsfrist. Daher können Sanktionen wegen des Fehlens einer internen Meldestelle erst ab dem 01. Dezember 2023 verhängt werden. 

Was ist der Hintergrund des Gesetzes?

Die „EU-Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ (EU 2019/1937) gibt Mindestvorgaben für den Schutz von Hinweisgebern (sog. Whistleblowern) vor. Sie soll Anreize schaffen, Rechtsverstöße zu melden und verpflichtet öffentliche und private Organisationen sowie Behörden dazu, sichere Kanäle für die Meldung von Missständen einzurichten. Die EU-Richtlinie hätte bis zum 17. Dezember 2021 in deutsches Recht umgesetzt werden müssen. Dies ist dem deutschen Gesetzgeber nicht gelungen.

Wie ist der aktueller Stand?

Im April 2022 hat das Bundesministerium für Justiz und Verbraucherschutz (BMJ) einen Entwurf für ein deutsches Hinweisgeberschutzgesetz (HinSchG-E) vorgelegt. Dieser wurde mit wenigen Änderungen am 27. Juli 2022 vom Kabinett und am 16. Dezember 2022 vom Bundestag mit den vom Rechtsausschuss vorgeschlagenen Änderungen beschlossen. Eine wesentliche Änderung zum Vorentwurf bestand darin, dass die Meldestellen entsprechende Vorkehrungen treffen müssen, um auch anonyme Meldungen zu ermöglichen. Am 10. Februar 2023 stand das zustimmungspflichtige HinSchG auf der Tagesordnung im Bundesrat und erhielt nicht die erforderliche Mehrheit. 
Nach der Ablehnung im Bundesrat haben die Koalitionsfraktionen das ursprüngliche HinSchG in zwei Gesetzentwürfe aufgespalten. Der erste Gesetzentwurf, der nun zustimmungsfrei sein soll, ist nahezu identisch mit dem am 16. Dezember 2022 vom Bundestag verabschiedeten Gesetzentwurf, nimmt aber ausdrücklich Landes- und Kommunalbeamte aus seinem Anwendungsbereich aus. Der zweite Gesetzentwurf, der zustimmungspflichtig sein soll, enthält die Regelungen für Landes- und Kommunalbeamte, die im ersten Gesetzentwurf ausgenommen sind. Am 17. März 2023 wurde im Bundestag über die beiden Gesetzentwürfe in einer ersten Lesung debattiert. Nachdem der Rechtsausschuss am 27. März 2023 über die beiden Gesetzentwürfe beraten hat, hätte am 30. März 2023 die zweite und dritte Lesung im Bundestag stattfinden sollen. Der Tagesordnungspunkt wurde jedoch kurzfristig ohne Angabe von Gründen abgesetzt. Wie das Gesetzgebungsverfahren weitergeht und wann und in welcher Fassung das HinSchG in Kraft treten wird, bleibt weiter abzuwarten. 
UPDATE: Am 9. Mai 2023 hat der Vermittlungsausschuss einen Kompromiss zum Schutz von hinweisgebenden Personen gefunden. Die dort erreichten Änderungen entsprechen dem, wofür die IHK-Organisation sich intensiv sowohl auf Landesebene für den Bundesrat als auch im Bundestag eingesetzt hat.  

Die wichtigsten Änderungen gegenüber der Gesetzesfassung, die der Bundesrat im Februar abgelehnt hatte, sind: 
  • Keine Verpflichtung zur Einrichtung anonymer Meldekanäle.
  • Anreiz zur bevorzugten Nutzung des internen Meldekanals: Hinweisgeber sollten in den Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten, die Meldung an eine interne Meldestelle bevorzugen.
  • Die Dokumentation kann länger als drei Jahre aufbewahrt werden, um die Anforderungen nach diesem Gesetz oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist.
  • Klarstellung, dass der Hinweisgeberschutz nur Hinweise auf Verstöße aus dem beruflichen Umfeld umfasst.
  • Absenkung des Bußgeldrahmens von 100.000 EUR auf 50.000 EUR. Zudem wird für eine Übergangszeit von 6 Monaten kein Bußgeld wegen der fehlenden Einrichtung von Meldekanälen verhängt.
  • Kein Schmerzensgeld für den Hinweisgeber für immaterielle Schäden.
  • Die Beweislastumkehr im Zusammenhang mit einer Benachteiligung des Hinweisgebers kommt nur dann zum Tragen, wenn der Hinweisgeber dies selbst geltend macht. 
Am 11. Mai 2023 hat der Bundestag dem Einigungsvorschlag zum Hinweisgeberschutzgesetz zugestimmt. Der Bundesrat stimmte am 12. Mai 2023 dem Gesetzesentwurf zu. Nunmehr kann das Gesetz dem Bundespräsidenten zur Unterzeichnung vorgelegt werden. Bei einer anschließenden Verkündung im Bundesgesetzblatt könnte das Gesetz im Juni 2023 in Kraft treten. 
Update: Das Gesetz für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden wurde am 2. Juni 2023 im Bundesgesetzblatt veröffentlicht. Es tritt somit zum 2. Juli 2023 in Kraft.
Das Bundesamt für Justiz (BfJ), das im HinSchG als externe Meldestelle benannt ist, hat anlässlich der Veröffentlichung im Bundesgesetzblatt eine Pressemeldung veröffentlich. Diese ist unter BfJ - Homepage - Hinweisgeberschutzgesetz verkündet – Errichtung externe Meldestelle des Bundes beim Bundesamt für Justiz (bundesjustizamt.de) zu finden.

Wer kann Hinweisgeber sein und wie werden diese geschützt?

Hinweisgeber sind Personen, die Informationen über Verstöße melden oder offenlegen. Der persönliche Anwendungsbereich soll weit gefasst sein und umfasst alle Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben, insbesondere:
Arbeitnehmer, auch Arbeitnehmer, deren Arbeitsverhältnis bereits beendet ist, Stellenbewerber, Praktikanten, Leiharbeitnehmer
Selbstständige, die Dienstleistungen erbringen, Freiberufler, Auftragnehmer, Unterauftragnehmer, Lieferanten und deren Mitarbeiter
Anteilseigner und Personen in Leitungsgremien. 
Hinweisgeber genießen Haftungsprivilegien und umfangreichen Schutz. Zentrales Element ist das Verbot von Repressalien (z.B. Suspendierung, Kündigung, Herabstufung oder Versagung von Beförderung, Nötigung, Einschüchterung, Mobbing oder Aussetzung, aber auch Nichtverlängerung befristeter Arbeitsverträge, Rufschädigung, Entzug einer Lizenz oder Genehmigung, negative Leistungsbeurteilung). Das Unternehmen muss dann beweisen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen basierte (Beweislastumkehr). Bei einem Verstoß gegen das Repressalienverbot ist zudem der hinweisgebenden Person der daraus entstehende Schaden zu ersetzen. Diese kann sowohl materiellen als auch immateriellen Schadensersatz (also Schmerzensgeld) verlangen. Um diesen Schutz zu genießen, muss der Hinweis zutreffend sein und die Meldung muss Verstöße treffen, die in den Anwendungsbereich des HinSchG fallen. Ausreichend ist aber auch, wenn der Hinweisgeber zum Zeitpunkt der Meldung oder Offenlegung hinreichenden Grund zu solcher Annahme hatte. Ein Schutz für Hinweisgeber besteht aber nicht, wenn es sich um eine vorsätzliche oder grob fahrlässige Falschmeldung handelt. In solchen Fällen ist der bösgläubige Hinweisgeber sogar zum Ersatz des dadurch entstehenden Schadens verpflichtet.

Welche Verstöße können von Hinweisgebern gemeldet werden?

Die EU-Richtlinie sieht vor, dass Personen geschützt werden, die Verstöße gegen das EU-Recht in bestimmten Bereichen melden – etwa wenn es um öffentliche Aufträge, Finanzdienstleistungen, Produktsicherheit, Verkehrssicherheit, Umweltschutz, Lebensmittel, öffentliche Gesundheit, Verbraucher- und Datenschutz geht.
Der aktuelle Gesetzentwurf (HinSchG-E) geht weit darüber hinaus und bezieht das deutsche Recht mit ein.  
Nach dem HinSchG-E fallen folgende Verstöße in den sachlichen Anwendungsgereich:
  • Verstöße gegen Strafvorschriften: Dies umfasst jede Strafnorm nach deutschem Recht.
  • Verstöße, die bußgeldbewehrt sind, soweit sie dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Darunter fallen beispielswese Vorschriften aus den Bereichen des Arbeits- und Gesundheitsschutzes, Verstöße gegen das Mindestlohngesetz, Bußgeldvorschriften, die Verstöße gegen Aufklärungs- und Auskunftspflichten gegenüber Organen der Betriebsverfassung wie Betriebsräten sanktionieren.
  • Zudem alle Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende EU-Rechtsakte in einer Vielzahl verschiedener Bereiche, etwa: Regelungen zur Bekämpfung der Geldwäsche, Vorgaben zur Produktsicherheit, Vorgaben zur Verkehrssicherheit, Vorgaben zur Beförderung gefährlicher Güter, Vorgaben zum Umwelt- und Strahlenschutz, Lebensmittel- und Fleischmittelsicherheit, Qualitäts- und Sicherheitsstandards bei Arzneimitteln und Medizinprodukten, Regelungen des Verbraucherschutzes, Vorgaben des Datenschutzes und der Sicherheit in der Informationstechnik, Vergaberecht, Regelungen zur Rechnungslegung bei Kapitalgesellschaften, Regelungen im Bereich des Wettbewerbsrechts etc.
  • Zuletzt wurde der sachliche Anwendungsbereich auf Äußerungen von Beamtinnen und Beamten ausgeweitet, die einen Verstoß gegen die Pflicht zur Verfassungstreue darstellen.
Der Anwendungsbereich wird zusätzlich dadurch ausgeweitet, dass nach § 3 Absatz 2 HinSchG-E  unter den Begriff “Verstöße” nicht nur rechtswidrige, sondern auch rechtmäßige Handlungen oder Unterlassungen fallen, soweit sie dem Ziel oder dem Zweck der Regelungen in den Vorschriften oder Rechtsgebieten zuwiderlaufen, die in den sachlichen Anwendungsbereich fallen. 

Welche Unternehmen sind betroffen?

Nach der EU -Richtlinie sind Unternehmen, die 50 und mehr Mitarbeiter beschäftigten oder im Finanzdienstleistungsbereich tätig sind sowie öffentliche Arbeitgeber verpflichtet, einen internen Meldekanal einzurichten. Unternehmen mit mindestens 250 Beschäftigten müssen voraussichtlich spätestens innerhalb von einem Monaten (nach den Vorentwürfen des HinweisG-E waren es drei Monate) nach Verkündung des Hinweisgeberschutzgesetzes interne Meldekanäle eingerichtet haben und betreiben. Dies gilt auch für Unternehmen im Finanzdienstleistungsbereich unabhängig von der Zahl der Beschäftigten.
Für Unternehmen mit 50 bis 249 Beschäftigten sieht der HinSchG-E eine verlängerte Einrichtungsfrist bis zum 17. Dezember 2023 vor. Diesen Unternehmen ist nach dem HinSchG-E zudem erlaubt, Ressourcen zu teilen und mit anderen Unternehmen eine „gemeinsame Meldestelle“ zu betreiben.

Welche Möglichkeiten der Meldung hat der Hinweisgeber?

Der Gesetzgeber unterscheidet zwischen einer internen und einer externen Meldestelle. Die hinweisgebende Person soll die freie Wahl haben, ob sie an eine interne Meldestelle des Unternehmens oder an eine externe Meldestelle der Behörden wendet. Beschäftigungsgeber sollen Anreize für interne Meldungen setzen, dürfen aber gleichzeitig externe Meldungen nicht erschweren. Nach dem HinSchG-E soll eine zentrale externe Meldestelle beim Bundesamt für Justiz (BfJ) eingerichtet werden. Daneben sollen die bestehenden Meldesysteme bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sowie beim Bundeskartellamt als weitere externe Meldestellen mit Sonderzuständigkeiten weitergeführt werden. Den Ländern steht es frei, für Meldungen, die die jeweilige Landesverwaltung und die jeweiligen Kommunalverwaltungen betreffen, eigene externe Meldestellen einzurichten.

Was ist bei der Einrichtung und beim Betrieb interner Meldekanäle zu beachten?

  • Die internen Meldekanäle sollten Meldungen in mündlicher, schriftlicher oder auch in persönlicher Weise ermöglichen. Nach der aktuellen Fassung des HinSchG sollen bis zum 1. Januar 2025 anonyme Meldekanäle eingerichtet werden. Wenn die Verpflichtung zur Einrichtung anonymer Meldekanäle kommt, werden Unternehmen webbasierte Lösungen oder eine Ombudsperson benötigen. Ob die Verpflichtung zur Einführung anonymer Meldekanäle tatsächlich kommen wird, bleibt abzuwarten. 
  • Bei allen Meldewegen muss die Vertraulichkeit des Hinweisgebers sowie Dritter geschützt sein. 
  • Bestimmung der Zuständigkeit innerhalb des Unternehmens mit einer sehr eingeschränkten Zugriffsrechte-Zuweisung („Meldestellen-Beauftragte“). Auch Dritte können als interne Meldestellen beauftragt werden. Die Entgegennahme und Bearbeitung von Hinweisen kann auch auf externe Anbieter von Meldeplattformen bzw. auf Ombudspersonen ausgelagert werden, sofern diese entsprechende Garantien für die Wahrung der Unabhängigkeit und Vertraulichkeit bzw. Anonymität, des Datenschutzes und der Geheimhaltung bieten.
  • Im Konzern sind verschiedene Gestaltungsmöglichkeiten denkbar. Zum einen eine lokale Organisation, in der jedes Konzernunternehmen ein eigenes Hinweisgeberschutzsystem unterhält. Denkbar ist auch eine regionale Organisation in der Form, dass einzelne Konzerngesellschaften für eine bestimmte Region ein Hinweisgebersystem betreiben. Auch eine zentrale Lösung kommt in Betracht in der Form, dass die Meldestelle zentral in einer Einheit (in der Regel bei der Konzernmutter) angesiedelt ist. Der HinSchG-E erlaubt es, auch einen „Dritten“ mit der Aufgabe einer internen Meldestelle zu beauftragen. Auch hier bleibt die genaue Regelung abzuwarten.
  • Von der im Unternehmen zuständigen Person oder Abteilung müssen ordnungsgemäße Folgemaßnahmen ergriffen werden.
  • Bearbeitungsfristen: Innerhalb von sieben Tagen muss dem Hinweisgeber bestätigt werden, dass seine Meldung eingegangen ist. Innerhalb von spätestens drei Monaten nach der Bestätigung des Eingangs der Meldung muss der Hinweisgeber über geplante oder bereits ergriffene Folgemaßnahmen sowie die Gründe für diese informiert werden.
  • Dokumentation der Meldungen und Datenaufbewahrung.
  • Informationspflicht über Meldeverfahren.
  • Datenschutz: Bei der Einrichtung und Durchführung des internen Meldeverfahrens sind alle rechtlichen Bedingungen des Datenschutzes einzuhalten. 
  • Bei der Einrichtung des Verfahrens für interne Meldungen sind eventuelle Mitbestimmungsrechte des Betriebsrats zu beachten.

Was sollten Unternehmen jetzt schon vorbereiten?

Auch, wenn das deutsche HinSchG noch nicht verabschiedet ist, sollten Unternehmen jetzt schon Vorbereitungen treffen, damit dann die erforderlichen Hinweisgebersysteme schnell funktionsfähig sein werden.
Folgende Punkte sollten Unternehmen zeitnah klären:
  • GAP-Analyse: Existiert im Unternehmen bereits ein Hinweisgebersystem? Wenn ja, besteht Anpassungsbedarf?
  • Welche Kanäle sollen eingerichtet werden? Telefonisch, E-Mail, webbasierte Lösung, Briefkasten? Soll zugleich eine webbasierte Lösung gewählt werden, die auch anonyme Meldungen ermöglicht? 
  • Soll der interne Meldekanal nur den eigenen Beschäftigten sowie überlassenen Leiharbeitnehmern offenstehen oder allen Personen, die im Rahmen ihrer beruflichen Tätigkeit mit dem Unternehmen in Kontakt stehen?
  • Wie sollen Mitarbeiter und ggf. sonstige hinweisgebende Personen über mögliche Meldestellen informiert werden? Unternehmenswebsite, Unternehmens-Intranet, Schwarzes Brett?
  • Wie soll die Vertraulichkeit sichergestellt werden?
  • Sollen von vornherein auch anonyme Meldungen möglich sein? Nach dem aktuellen Gesetzentwurf soll eine Pflicht dazu ab 1. Januar 2025 bestehen. 
  • Wer soll innerhalb des Unternehmens zuständig sein für die Entgegennahme und Bearbeitung der Hinweise? Wer erhält die eingeschränkten Zugriffsrechte? Es darf jedenfalls nicht passieren, dass bei Eingang eines Hinweises erstmal im Unternehmen an verschiedenen Stellen nachgefragt wird, wer sich weiter um die Meldung kümmert, da dies mit dem Vertraulichkeitsgebot nicht vereinbar wäre.
  • Wie soll bei Eingang einer Meldung konkret vorgegangen werden? Wer versendet fristgerecht die Eingangsbestätigung an den Hinweisgeber?
  • Sind die Personen im Unternehmen, die für die Entgegennahme und Bearbeitung der Hinweise zuständig sein werden, unabhängig und ausreichend qualifiziert für diese Aufgabe? Besteht bei den zuständigen Personen ausreichend juristische Expertise, um eingehende Meldungen zu bearbeiten? Benötigen diese Personen eine Schulung?
  • Soll ein externer Dienstleister mit der Entgegennahme und ggf. Bearbeitung von Meldungen beauftragt werden? Aktuell bieten sehr viele Berater und Verkäufer von Softwarelösungen ihre Dienste an.
  • Wie wird die Bearbeitung dokumentiert?
  • Wie macht man das Hinweisgebersystem Hinweisgebern einerseits so schmackhaft, dass sie sich mit Meldungen nicht gleich an externe Behörden oder gar an die Öffentlichkeit wenden, sondern den internen Meldekanal nutzen, aber andererseits auch so, dass von missbräuchlichen Beschwerden und Denunziantentum abgeschreckt wird?
  • Datenschutzrechtliche Fragen mit Datenschutzbeauftragtem klären und ggf. weitere Fachbereiche wie Personal, Recht und Compliance in den Prozess einbinden.
  • Der Betriebsrat sollte frühzeitig in die Auswahl eines passenden Meldekanals eingebunden werden. 
  • Bei Konzernstrukturen: Soll das Hinweisgebersystem bei einer anderen Konzerngesellschaft eingerichtet werden? Nach dem aktuellen Gesetzentwurf wäre dies möglich. Laut Aussagen der EU-Kommission benötigt allerdings jedes Unternehmen mit mehr als 249 Beschäftigten ein eigenes Hinweisgebersystem.
  • Personalabteilungen sollten sich auf die verschärften Beweislastregeln vorbereiten. Sie werden künftig beweisen müssen, dass nicht der Hinweis zu der jeweiligen arbeitsrechtlichen Maßnahme geführt hat, sondern dass es dafür andere Gründe gab. Eine entsprechende Dokumentation von Gründen für arbeitsrechtliche Sanktionen ist insofern hilfreich.

Mögliche Sanktionen bei Nichtumsetzung?

Nach dem HinSchG-E sollen Verstöße gegen die wesentlichen Vorgaben des HinSchG als Ordnungswidrigkeiten mit einer Geldbuße geahndet werden können. Die Höhe des Bußgeldrahmens hängt vom jeweiligen Verstoß ab: Mit einem Bußgeld in Höhe von bis zu 100.000 Euro soll belegt werden, wer eine Meldung oder die darauffolgende Kommunikation verhindert (oder dies versucht), wer eine verbotene Repressalie ergreift (oder dies versucht) oder wer vorsätzlich oder leichtfertig das Vertraulichkeitsgebot missachtet. Wenn fahrlässig das Vertraulichkeitsgebot missachtet wird, droht ein Bußgeld in Höhe bis zu 10.000 Euro. Für Unternehmen, die ihrer Pflicht zur Einführung und zum Betrieb einer internen Meldestelle nicht nachkommen, soll eine Geldbuße in Höhe bis zu 20.000 Euro eingeführt werden. Nach dem aktuellen Gesetzentwurf soll das HinSchG sollen die Bußgeldvorschrift für die Nichteinrichtung und den Nichtbetrieb interner Meldekanäle erst  sechs Monate nach Verkündung Anwendung finden.