Hinweisgeberschutzgesetz: Worauf ist zu achten? 

Am 2.7.2023 trat das Hinweisgeberschutzgesetz (HinSchG) in Kraft. Deutschland folgt damit der Whistleblower-Richtlinie („WBRL“) der EU, die schon 2019 verabschiedet wurde. Sie schrieb den Mitgliedsstaaten eigentlich eine Umsetzungsfrist ins nationale Recht bis Dezember 2021 vor, doch viele der EU-Mitglieder – so auch Deutschland – hielten den Termin nicht ein. Die Gesetzesvorlage musste zunächst den Vermittlungsauschuss des Bundestages passieren, der noch einige Änderungen vornahm.

Welche Änderungen gab es gegenüber dem ursprünglichen Gesetzentwurf?

Das Gesetz tritt in Deutschland in entschärfter Form in Kraft. Das lässt sich an den Änderungen ablesen, die im Vermittlungsausschuss ausgehandelt wurden:

• Der Anwendungsbereich des Gesetzes gilt nur für Informationen, die ein Hinweisgeber im beruflichen Kontext erlangt. Das bedeutet: Das HinSchG erfasst nur hinweisgebende Personen, welche Informationen über Verstöße bei ihrer beruflichen Tätigkeit erlangt haben. Auch Erkenntnisse, die sie im Vorfeld einer Berufsausübung gewinnen, können sie melden.
• Unternehmen und Organisationen sind nicht verpflichtet, anonyme Meldungen zu erleichtern oder generell zu ermöglichen. Dieser Punkt galt in der ersten Fassung des Gesetzes als zentral, da die Anonymität einen Hinweisgeber am besten schützt.
• Die maximale Bußgeldhöhe bei Verstößen hat der deutsche Gesetzgeber deutlich von 100.000 auf 50.000 Euro verringert.

Anwendungsbereich des Hinweisgeberschutzgesetzes

Für die Umsetzung des HinSchG haben Unternehmen und Organisationen ja nach ihrer Größe wie folgt interne Meldestellen einzurichten:

• weniger als 50 Beschäftigte: keine Verpflichtung
• 50 bis 249 Beschäftigte: Einrichtung einer internen Meldestelle ab dem 17.12.2023
• ab 250 Beschäftigte: Einrichtung einer internen Meldestelle seit dem 02.07.2023
• Behörden, Einrichtungen für den öffentlichen Sektor und Gemeinden mit mindestens 10.000 Einwohnern: Einrichtung EU-weit sicherer interner Meldekanäle seit dem 02.07.2023

Wen und was schützt das HinSchG?

Das Gesetz schützt Arbeitnehmer (auch ehemalige), Bewerber, Journalisten und Unterstützer der genannten Gruppen, wenn sie Hinweise auf Missstände und Verstöße liefern. Diese Hinweise können das nationale Recht ebenso wie das EU-Recht betreffen. Typische Fälle sind Meldungen zu Steuerbetrug, Geldwäsche, Umweltschutzverletzungen und Betrug bei der Vergabe von öffentlichen Aufträgen.

Das Hinweisgeberschutzgesetz kommt zur Anwendung, wenn die meldende Person mit dem Unternehmen oder der Einrichtung, über die sie Meldung erstattet, in einer beruflichen Beziehung steht. Die Hinweisgeber sind vor jeder Art von Repressalien geschützt. Das könnten eine Kündigung oder berufliche Herabstufung sein, Mobbing, Drohungen oder sonstige Angriffe. Wenn eine hinweisgebende Person solche Benachteiligungen erleidet, ist zu vermuten, dass diese eine Repressalie wegen ihrer Meldung darstellen. Es herrscht Beweislastumkehr: Der Arbeitgeber muss nachweisen, dass es keinen Zusammenhang zwischen der Meldung und der Repressalie gibt. Dieser Punkt ist heikel. Schließlich könnte einem Hinweisgeber aus ganz anderen Gründen gekündigt werden. Daher muss er/sie zunächst geltend machen, dass es eine Benachteiligung gab und diese eine Repressalie sein dürfte.

Anforderungen des HinSchG an die Meldestellen

Das Bundesamt für Justiz hat eine externe Meldestelle eingerichtet. Weitere externe Meldestellen gibt es bei der BaFIN, beim Bundeskartellamt, bei der EU-Kommission, beim OLAF (Europäisches Amt für Betrugsbekämpfung), bei der EMSA (Europäische Agentur für den sicheren Seeverkehr), bei der AESA (Europäische Agentur für Flugsicherheit), bei der ESMA (Europäische Wertpapier- und Marktaufsichtsbehörde) sowie bei der EMA (Europäische Arzneimittel-Agentur). Da die Unternehmen und Einrichtungen zusätzlich selbst interne Meldestellen für Hinweise einrichten müssen, herrschen an diese bestimmte Anforderungen: 

#1 Unabhängigkeit

Damit eine Meldestelle unabhängig arbeitet, dürfen durch ihre Besetzung keine Interessenkonflikte entstehen. Sie ist daher mit einem Beschäftigten des Unternehmens / der Organisation sowie einer externen Person zu besetzen.

#2 Qualifikation innerhalb der Meldestelle

Die ausgewählten Personen müssen fachlich für die Besetzung der Meldestelle qualifiziert sein. Dies ist durch entsprechende Schulungen abzusichern, welche das nötige Wissen zur Funktion der Meldestelle, ihrer Unabhängigkeit und den erforderlichen Kompetenzen der dort platzierten Personen vermittelt. Es gehören genaue Rechtskenntnisse zum Hinweisgeberschutz und zum Vertraulichkeitsgebot dazu. 

#3 Einrichtung von Meldekanälen

Die möglichen Kanäle für eine Meldung können auf der Schriftform, auf der fernmündlichen oder persönlichen Kommunikation sowie auf einem Whistleblowing-Portal basieren. Sie sind vom Arbeitgeber dementsprechend einzurichten.

Wie sind Hinweise zu bearbeiten?

Die Hinweisgeber können selbst entscheiden, welchen Meldeweg sie nutzen. Die internen Meldestellen sind zu bevorzugen, um das Bundesamt für Justiz nicht zu überfordern. Der Arbeitgeber muss für den Eingang einer Meldung folgende Bearbeitungsfristen und -vorgänge sicherstellen:

• Innerhalb von sieben Wochentagen ist an den Hinweisgeber eine Eingangsbestätigung zu verschicken.
• Der Hinweis ist innerhalb der nächsten drei Monate zu verfolgen und zu behandeln. Über diese Verfolgung erhält der Hinweisgeber einen ausführlichen Abschlussbericht, der die nachfolgenden Handlungsschritte transparent darstellt.
• Der gesamte Melde- und Bearbeitungsprozess ist zu dokumentieren.
• Die Meldestellen müssen auch anonyme Meldungen bearbeiten und dokumentieren. Die Dokumentation ist betriebsintern aufzubewahren und auf Verlangen (etwa einer Behörde) auszuhändigen.

HinSchG: Bußgeldkatalog

Die Bußgelder bei Verstößen werden gestaffelt verhängt. Die genannten Bußgeldhöhen sind Obergrenzen.

Bußgeld bis 50.000 Euro für:

• Ergreifen von Repressalien
• Behinderung von Meldungen
• Nichtwahrung der Vertraulichkeit

Bis 20.000 Euro Bußgeld für:

• Offenlegung unrichtiger Informationen
• Nichteinrichtung der Meldestelle

Bußgeld bis 10.000 Euro für:

• sonstige Verstöße

Was sollten Unternehmen und Organisationen jetzt tun?

Das HinSchG ist in Kraft. Alle Gemeinden ab 10.000 Einwohner, Behörden und öffentlichen Einrichtungen müssen die Auflagen bereits umgesetzt haben, ebenso private Unternehmen ab 250 Beschäftigte. Lediglich Firmen mit 50 bis 249 Beschäftigten haben noch bis zum 17.12.2023 Zeit für die Umsetzung (Stand: Anfang November 2023). Niemand sollte noch zögern, den Anforderungen nachzukommen, denn ein Hinweisgeber aus der eigenen Belegschaft kann jederzeit einen Missstand melden. Diese Meldung muss nicht korrekt sein, doch wenn die hinweisgebende Person in diesem Kontext feststellt, dass das Unternehmen noch keine interne Meldestelle eingerichtet hat, wird sie sich an das Bundesamt für Justiz wenden und diesen Missstand ebenfalls melden. Allein dafür droht ein Bußgeld bis 20.000 Euro. Unternehmen und Organisationen mussen daher dringend prüfen, ob sie die gesetzlichen Anforderungen des HinSchG erfüllen.

Fachleute empfehlen die Abarbeitung dieser To-do-Liste:

• Überprüfung der Erfordernisse: Muss das eigene Unternehmen ein Hinweisgebersystem einrichten? Welche Sicherheitsstandards für den Datenschutz sind vorgeschrieben? Welche Fristen sind einzuhalten?
• Überprüfung eines schon implementierten Systems: Genügt dieses allen gesetzlichen Vorgaben? Der Anwendungsbereich des HinSchG ist sehr weit gefasst. Hinweisgebende können jeden Verstoß gegen nationales Recht und EU-Recht melden, wenn ihre berufliche Beziehung zum Unternehmen / der Organisation dies zulässt oder wenn sie Journalisten sind.
• Fristwahrung: Ist die eigene Meldestelle imstande, die Fristen für die Eingangsbestätigung und die Bearbeitung des Vorgangs (sieben Tage und drei Monate) einzuhalten? Wird sie der Dokumentationspflicht in ausreichender Qualität nachkommen?
• Qualifikation: Sind das eigene Personal und die externe Person in der internen Meldestelle ausreichend qualifiziert? Können Sie einen Sachverhalt objektiv aufnehmen und dessen Dringlichkeit angemessen beurteilen?
• Bestandsaufnahme zu möglichen Hinweisgebern: Wer könnte aus der eigenen Belegschaft als Hinweisgeber fungieren? Gibt es Journalisten, die sich für das eigene Unternehmen interessieren? Gibt es bereits Hinweise auf investigativen Journalismus oder das Nachforschen von eigenen Beschäftigten? Wie kann das Unternehmen / die Organisation mit diesen potenziellen Hinweisgebern kommunizieren? Diese könnten einen falschen Verdacht nachgehen, der im Vorfeld kommunikativ auszuräumen wäre. Darüber hinaus ist nicht zu unterschätzen, dass das Hinweisgeberschutzgesetz ein gewisses denunziatorisches Potenzial birgt. Böswillige Hinweisgeber könnten sich an ihrem Arbeitgeber auch mit falschen Anschuldigungen rächen. Sanktionen gegen falsche Anschuldigungen sieht das HinSchG nicht vor.
• Priorisierung von Reaktionen auf Hinweise: Ein Unternehmen muss auf Hinweise reagieren. Dabei sind diese nach ihrer Dringlichkeit zu priorisieren. Die höchste Priorität haben Hinweise auf mögliche Straftaten, gefolgt von schweren Verstößen. Leichte Verstöße müssen behoben werden, doch möglicherweise erzwingen sie keinen dringenden Handlungsbedarf. Es gibt auch unklare Sachverhalte, die in der Kommunikation mit den Hinweisgebern zu klären sind. Sollte ein Hinweis gar nicht vom Anwendungsbereich des HinSchG erfasst werden, herrscht keine Handlungspflicht für das Unternehmen oder die Organisation.

Fazit

Unternehmen und Organisationen müssen die Anforderungen des HinSchG kennen und umgehend überprüfen, ob sie ihnen angemessen nachkommen. Hinweise aus der eigenen Belegschaft und selbst von Bewerbern, ehemaligen Kollegen und Journalisten sind jederzeit zu erwarten.