Das Hinweisgeberschutzgesetz – Umsetzungspflicht

Das Hinweisgeberschutzgesetz ist in aller Munde und nun wird es ernst: Die Umsetzung der Verpflichtungen aus dem Hinweisgeberschutzgesetz, insbesondere die Einrichtung sog. interner Meldestellen, gelten ab dem 17.12.2023 auch für Unternehmen ab 50 Arbeitnehmer, andernfalls können Bußgelder verhängt werden.

Mit dem Hinweisgeberschutzgesetz soll die europäische Hinweisgebeschutzrichtlinie (2019/1937) umgesetzt werden. Ziel des Gesetzes sowie der Richtlinie ist es, Personen, die Missstände in Unternehmen aufdecken (sog. Whistleblower), umfassender zu schützen.

Nachfolgend dürfen wir Ihnen ein Überblick über die wichtigsten Regelungen des Hinweisgeberschutzgesetzes sowie insbesondere die Einrichtung der internen Meldestelle geben:

Wer und was ist durch das Hinweisgeberschutzgesetz geschützt?

Geschützt werden nach § 1 Abs. 1 des Hinweisgeberschutzgesetzes (im Folgenden auch kurz: HinSchG), natürliche Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer Tätigkeit – also insbesondere im Bewerbungsprozess – Informationen über Verstöße erlangt haben und diese über die vorgesehenen Meldestellen melden. Neben Arbeitnehmern sind beispielsweise auch Praktikanten, Stellenbewerber sowie Leiharbeitnehmer vom Anwendungsbereich des Gesetzes erfasst.

Relevante Verstöße sind nach dem sachlichen Anwendungsbereich (§ 2 HinSchG) solche, die straf- oder bußgeldbewehrt und Vorschriften betreffen, die den Schutz von Leben, Gesundheit, Rechten von Beschäftigten oder deren Vertretungsorganen dienen sowie Verstöße insbesondere gegen Produktsicherheit, Umwelt- und Verbraucherschutz. Im arbeitsrechtlichen Bereich ist beispielsweise an Verstöße nach dem Mindestlohngesetz oder Arbeitszeitgesetz zu denken. Insofern ist nicht jeder Verstoß durch das Hinweisgeberschutzgesetz erfasst, so bspw. auch nicht rein unethisches oder privates Fehlverhalten.

Für den Hinweisgeber müssen tatsächliche Anhaltspunkte eines solchen Verstoßes vorliegen, so dass er auch aus eigenem Interesse vor einer entsprechenden Meldung eine sorgfältige Prüfung seiner Information vornehmen sollte. Vorsätzlich oder grob fahrlässig unrichtige Informationen über Verstöße sind vom Gesetz nicht geschützt und der Hinweisgeber kann sich in einem solchen Falle gegenüber dem Unternehmen sogar schadensersatzpflichtig machen. Die Beweggründe, weshalb eine Meldung erfolgt, spielen allerdings nach der Gesetzesbegründung keine Rolle.

Einrichtung von Meldestellen

Um den Hinweisgeberschutz zu verbessern, sieht das Gesetz die Einrichtung sowohl von internen als auch externen Meldestellen vor.

Eine externe Meldestelle ist beispielsweise beim Bundesamt für Justiz eingerichtet. Die Bundesländer können darüber hinaus eigene externe Meldestellen einrichten. Dem Hinweisgeber steht es nach dem neuen Hinweisgeberschutzgesetz grundsätzlich frei, ob er sich an eine interne oder externe Meldestelle wendet. Insofern empfiehlt sich bereits aus diesem Grunde, die interne Meldestelle zu betreiben und ggf. auch zu bewerben, so dass etwaige Verstöße zunächst intern aufgeklärt werden können.

Interne Meldestellen müssen neben Unternehmen aus der Finanz- und Versicherungsbranche auch von Unternehmen ab einer Anzahl von 50 Beschäftigten eingerichtet werden. Die Schwellenwerte von 50 für die Pflicht zur Einrichtung einer internen Meldestelle gelten unternehmensbezogen, d. h. je juristischer Person. Eine Zusammenrechnung im Konzern findet daher nicht statt. Eine interne Meldestelle muss jedoch nicht zwingend im Unternehmen selbst, sondern kann auch durch Dritte betrieben werden (Outsourcing) oder als zentrales Hinweisgebersystem innerhalb eines Konzerns. Kleineren Unternehmen zwischen 50 und 249 Beschäftigten wird für die Umsetzung eine „Schonfrist“ bis zum 17.12.2023 gewährt. Bei Unternehmen ab 250 Beschäftigten ist die Umsetzung bereits seit Juli 2023 gefordert.

a) Besetzung der internen Meldestelle

Mit den Aufgaben der internen Meldestelle kann ein Arbeitnehmer des Unternehmens, eine Arbeits- bzw. Organisationseinheit des Unternehmens oder eine dritte Person (z. B. Rechtsanwälte, Ombudspersonen etc.) beauftragt werden. Auch wenn eine dritte Person auf Veranlassung des Unternehmens die Funktion übernimmt, handelt es sich nicht um eine externe Meldestelle im Sinne des Gesetzes.

Der Gesetzgeber hat nur rudimentär geregelt, welche Qualifikationen von der mit den Aufgaben der internen Meldestelle beauftragten Person aufgewiesen werden müssen. Es findet sich lediglich der Hinweis, dass diese unabhängig und weisungsfrei sein sowie über die notwendigen Fachkenntnisse verfügen müssen. Sofern die Person noch weitere Aufgaben im Unternehmen übernimmt (also nicht ausschließlich als interne Meldestelle fungiert), dann dürfen diese nicht zu Interessenkonflikten mit den Aufgaben der internen Meldestelle führen. Allein aus diesem Grunde wird es in der Praxis häufig nicht zu empfehlen sein, dass ein Mitarbeiter mit der Aufgabe der internen Meldestelle betraut wird, weil immer die Gefahr des Interessenkonflikts besteht. Insbesondere bei Unternehmen ohne eigene Compliance- oder Rechtsabteilung bietet sich insofern die Auslagerung der internen Meldestelle an externe Dritte an. Schließlich ist nicht zu verkennen, dass die interne Meldestelle auch über die notwendigen Fachkenntnisse verfügen muss, weil diese einerseits den Anwendungsbereich bei entsprechenden Meldungen kritisch prüfen sowie auch entsprechende weitere Maßnahmen eigenständig prüfen und einleiten muss. Unabhängig von entsprechenden Schulungen zu diesen Themen sollte in jedem Fall entsprechendes rechtliches Basiswissen vorliegen.

b) Einrichtung der internen Meldestelle

Der Gesetzgeber sieht unterschiedliche Möglichkeiten vor, wie die Hinweise an die Meldestelle gemeldet werden können. So sollen Hinweise mündlich, schriftlich, in Textform oder auf Wunsch auch persönlich eingereicht werden können. Entsprechend muss die interne Meldestelle eingerichtet sein. Weiterhin gilt für Meldestellen das Vertraulichkeitsgebot des § 8 HinSchG. Informationen über den Hinweisgeber und beteiligte Personen dürfen demnach nur in besonderen, im Gesetz ausdrücklich genannten Ausnahmefällen weitergegeben werden, etwa wenn vorsätzlich oder grob fahrlässig unrichtige Informationen über Verstöße gemeldet werden. Die Meldestellen müssen technisch und organisatorisch so sicher eingerichtet und betrieben werden, dass insbesondere keine unbefugten Mitarbeiter Zugriff auf die gespeicherten Daten erlangen können. Der Schutz der Vertraulichkeit der Identität der hinweisgebenden Person ist demnach von großer Bedeutung. Zudem sind bei der Einrichtung von Meldestellen die datenschutzrechtlichen Anforderungen zu berücksichtigen. Aus diesem Grunde wählen viele Unternehmen in der Praxis softwarebasierte Meldekanäle, die die entsprechenden gesetzlichen Voraussetzungen erfüllen.

Auch wenn der deutsche Gesetzgeber keine echte Pflicht zur Ermöglichung von anonymen Meldungen eingeführt hat, so sollen die Meldestellen dennoch auch anonym eingehende Meldungen bearbeiten.

Meldeverfahren

Um den Schutz eines Hinweisgebers zu gewährleisten, sieht das Hinweisgeberschutzgesetz zudem ein bestimmtes Meldeverfahren vor, wobei die Ausgestaltung wiederum nur rudimentär geregelt ist. Wird ein Hinweis abgegeben, so hat die Meldestelle dem Hinweisgeber den Eingang der Meldung innerhalb von sieben Tagen zu bestätigen. Anschließend müssen die gemeldeten Verstöße überprüft und gegebenenfalls wirksame Folgemaßnahmen ergriffen werden. Weiterhin ist die Meldestelle verpflichtet, die hinweisgebenden Person innerhalb von drei Monaten über die getroffenen Folgemaßnahmen zu informieren. Die Meldungen müssen unter Wahrung des Vertraulichkeitsgebots in dauerhaft abrufbarer Weise für drei Jahre dokumentiert und anschließend sicher gelöscht werden.

Schutz des Hinweisgebers

Neben der Einrichtung von Meldestellen und dem Vertraulichkeitsgebot zielt das Hinweisgebeschutzgesetz vor allem auch auf den Schutz des Hinweisgebers vor Repressalien ab (§ 36 HinSchG). Als Repressalie sollen alle Benachteiligungen zu verstehen sein, die Folge einer Meldung oder Offenlegung sind. Hierzu zählen zum Beispiel Kündigung, Herabstufung oder Versagung einer Beförderung. Um den Hinweisgeber vor solchen oder ähnlichen Benachteiligungen zu schützen, gilt zu seinen Gunsten eine umfassende Beweislastumkehr. Erleidet der Hinweisgeber nach seiner Meldung eine Benachteiligung im Zusammenhang mit seiner beruflichen Tätigkeit, so wird vermutet, dass die Benachteiligung eine Repressalie darstellt. Liegt eine solche vor, so steht dem Hinweisgeber ein Schadensersatzanspruch gegen den Verursacher der Repressalie zu. Aufgrund der Beweislastumkehr ist der Arbeitgeber in der Pflicht darzulegen, dass die Benachteiligung nicht auf die Meldung zurückzuführen und ebenso gerechtfertigt ist.

Diese Beweislastumkehr lässt befürchten, dass Beschäftigte das neue Hinweisgeberschutz auch dergestalt missbrauchen könnten, in dem sie versuchen, durch eine Meldung im Sinne des Hinweisgeberschutzgesetzes eine nachteilige Maßnahme des Arbeitgebers zu verhindern und sich so ggf. sogar faktisch erweiterten Kündigungsschutz zu verschaffen. Ob diese Befürchtungen in der Praxis wiederzufinden sein werden, ist fraglich, weil auch die hinweisgebende Person eine gewisse Sorgfaltspflicht trifft und mindestens einen „hinreichenden Grund zu der Annahme“ haben muss, dass die Informationen über Verstöße zum Zeitpunkt der Meldung der Wahrheit entsprechen. Bei grob fahrlässiger oder vorsätzlicher falscher Meldung macht sich die hinweisgebende Person, wie erwähnt, gegebenenfalls ebenso schadensersatzpflichtig, so dass der Gesetzgeber zumindest in gewisser Weise auch den Gedanken des potentiellen Missbrauchsrisikos berücksichtigt hat.

Zusammenfassung und weitere Empfehlungen

Die meisten betroffenen Unternehmen haben bereits interne Meldestellen eingerichtet bzw. sind derzeit dabei, diese zu implementieren. In Bezug auf die Meldekanäle muss in den Unternehmen ein Prozess eingerichtet werden, der den Umgang mit Meldungen von Hinweisgebern nach den oben aufgeführten gesetzlichen Regularien regelt. Insbesondere auch datenschutzrechtliche Belange müssen bei der Einrichtung eines Meldesystems eingehalten werden, so dass eine enge Abstimmung mit den Datenschutzbeauftragten empfehlenswert ist, teilweise bieten diese auch an, als interne Meldestelle zu fungieren. Auch wenn die interne Meldestelle outgesourct wird, entbindet dies das Unternehmen nicht davon, selbst geeignete Maßnahmen zu ergreifen, um den etwaigen Verstoß abzustellen (§ 14 Abs. 1 HinSchG).

Das Gesetzgebungsverfahren hat lange gedauert und dennoch bleiben zahlreiche Unklarheiten bestehen, die sich erst durch die praktische Anwendung und gerichtliche Entscheidungen klären werden. Insofern sollten die weiteren Entwicklungen beobachtet werden und im Bedarfsfalle nachjustiert werden. Insbesondere der Umgang und die Aufklärungen nach einer entsprechenden Meldung sind im Gesetz – bis auf die Formalien und die grundsätzlichen Möglichkeiten von Folgemaßnahmen – sehr rudimentär geregelt.

In Unternehmen mit Betriebsrat sind zudem entsprechende Mitbestimmungsrechte zu prüfen und ggf. zu beachten, insbesondere wenn es um die Ausgestaltung des Meldesystems geht.

Aufgrund des Umstandes, dass es in Zukunft weitere externe Meldestellen geben wird, ist Unternehmen zu empfehlen, die internen Meldestellen möglichst einfach und verständlich zu gestalten sowie die Arbeitnehmer über die Möglichkeit einer internen Meldung ausreichend zu informieren. Letzteres wird durch den Gesetzgeber ohnehin gefordert. Hierdurch kann man als Arbeitgeber Vertrauen schaffen, so dass Beschäftigte sich zunächst an eine interne Meldestelle wenden und so etwaige Missstände im Unternehmen aufgedeckt und behoben werden können, bevor dies nach außen dringt. Ein solches Interesse des Unternehmers sollte auch aus Haftungsgesichtspunkten ohnehin bestehen.

Wenn wir Sie bei der Umsetzung der rechtlichen Neuerungen in Ihrem Unternehmen unterstützen können oder Sie Fragen zu Hinweisgeberschutzgesetz bzw. dessen Umsetzung haben, sprechen Sie uns jederzeit gerne an.

Ihre Wipfler Rechtsanwälte