Hinweisgeberschutzgesetz – Pflicht für die Compliance

Das neue Hinweisgeberschutzgesetz – Gesetzliche Regelungen zu internen Hinweisgebersystemen gibt es bisher in Deutschland nur partiell in besonderen Branchen, z. B. nach dem KWG.

Das Bundeskabinett hat nun im Juli diesen Jahres einen Entwurf für ein neues Hinweisgeberschutzgesetz verabschiedet. Damit soll die bereits seit Ende 2021 überfällige Umsetzung der europäischen Hinweisgeberschutz-Richtlinie 2019/1937 nachgeholt werden. Für Unternehmen mit 50 oder mehr Beschäftigten bringt das zu erwartende Gesetz eine branchenunabhängige Pflicht, ein Meldesystem für Hinweisgeber für Gesetzesverstöße des Unternehmens einzurichten.

I. Zielsetzung

Das neue HinSchG bezweckt den Schutz von Personen, die Rechtsverstöße eines Unternehmens melden wollen. Solche Meldung sollen sowohl durch die Pflicht zur Einführung von internen als auch externen Meldewegen erleichtert und die Hinweisgeber besser vor Benachteiligungen geschützt werden. Dies soll für die Hinweisgeber mehr Rechtssicherheit und Transparenz schaffen. Auf der anderen Seite haben auch die betroffenen Unternehmen ein Interesse daran, dass etwaige Missstände nicht sofort an die breite Öffentlichkeit geraten, sondern möglichst zunächst intern geprüft und ggf. abgestellt werden können. Das Gesetz soll die verschiedenen Interessenlagen in Ausgleich bringen und geht dafür an einigen Stellen über die Vorgaben der EU-Richtlinie hinaus.

II. Meldestellen

Hinweisgeber haben nach dem neuen Gesetzesentwurf die freie Wahl zwischen internen und externen Meldestellen, welche vom Gesetz gleichgestellt sind (§ 7 HinSchG-E). Der Entwurf sieht u.a. das Bundesamt für Justiz als zentrale externe Meldestelle auf Bundesebene vor (§ 19 Abs. 1 HinSchG-E). Ein Vorrang der internen vor der externen Meldung besteht nicht. Weder für die internen noch die externen Meldestellen besteht eine Pflicht, anonyme Meldungen zu ermöglichen. Die Meldestellen sind jedoch verpflichtet, die Vertraulichkeit im Hinblick auf die Identität der hinweisgebenden Person sowie von Personen, die Gegenstand einer Meldung oder sonst in dieser genannt sind, zu wahren (§ 8 HinSchG-E). Einschränkungen des Vertraulichkeitsgebots finden sich u. a. § 9 HinSchG-E, z. B. in Strafverfahren auf Verlangen der Strafverfolgungsbehörden oder auf Grund einer gerichtlichen Entscheidung.

1. Interne Meldestellen

Unternehmen mit mindestens 50 Beschäftigten sind verpflichtet, interne Meldestellen im Unternehmen einzurichten (§ 12 Abs. 1, 2 HinSchG-E). Dabei besteht für Unternehmen mit mindestens 250 Beschäftigten eine sofortige Handlungspflicht mit Inkrafttreten des Gesetzes, während für kleine Unternehmen ab 50 und bis zu 249 Beschäftigten eine Übergangsfrist bis zum 17. Dezember 2023 im Gesetzentwurf enthalten ist (§ 42 S.1 HinSchG-E). Zu beachten ist, dass der weite europäische Beschäftigtenbegriff zu Grunde zu legen ist, so dass zum Beispiel auch Fremdgeschäftsführer, Praktikanten oder arbeitnehmerähnliche Personen mitzuzählen sind.

Für bestimmte Unternehmen, wie z. B. Kredit- oder Wertpapierinstitute, gilt die Pflicht zur Errichtung einer Meldestelle unabhängig von der Zahl der Beschäftigten und ohne die Übergangsfrist, §§ 12 Abs. 3, 42 S.2 HinSchG-E. In Konzernen soll es in Abweichung zur EU-RL möglich sein, eine zentrale Meldestelle bei der Konzernmutter einzurichten. Mit den Aufgaben der internen Meldestelle können gem. § 14 Abs. 1 auch Dritte beauftragt werden, womit sich das Unternehmen jedoch seiner Verantwortlichkeit nicht entledigen kann. Gem. § 15 HinSchG-E muss sichergestellt werden, dass sämtliche mit den Aufgaben der internen Meldestelle beauftragte Personen über die notwendige Fachkunde verfügen und in ihrer Tätigkeit unabhängig sind. Welche Personen dies konkret sein können, regelt der Gesetzesentwurf nicht. Die EU-RL erwähnt in den Erwägungsgründe jedoch beispielhaft Mitarbeiter der Compliance- oder Rechtsabteilung, den Datenschutzbeauftragten des Unternehmens (was aber aktuell kontrovers diskutiert wird) oder externe Berater, etwa Rechtsanwälte.

2. Meldeverfahren

Die Anforderungen an die internen Meldekanäle sind nicht besonders hoch. Sie müssen wenigstens den Beschäftigten des Unternehmens sowie etwaigen Leiharbeitnehmern offenstehen (§ 16 Abs. 1 HinSchG-E) und Meldungen in mündlicher oder in Textform ermöglichen (§ 16 Abs. 3 HinSchG-E). Das Verfahren bei internen Meldungen ist in § 17 HinSchG-E geregelt. Die interne Meldestelle muss der hinweisgebenden Person innerhalb von sieben Tagen den Eingang der Meldung bestätigen. Innerhalb von drei Monaten nach Bestätigung des Eingangs muss die Meldestelle dem Hinweisgeber eine Rückmeldung geben. Diese Rückmeldung muss über geplante sowie bereits ergriffene Folgemaßnahmen informieren, sowie die Gründe für diese nennen. Die Meldungen sind umfassend zu dokumentieren (§ 11 HinSchG-E). Gem. § 10 HinSchG-E sind die Meldestellen zur Verarbeitung der erforderlichen personenbezogenen Daten befugt. Damit das Meldeverfahren im Einklang mit den Vorgaben der DSGVO gestaltet wird, sollte in jedem Fall betriebliche Datenschutzbeauftragte hinzugezogen werden.

III. Schutz des Hinweisgebers

1. Verbot von Repressalien und Beweislastumkehr

Der Gesetzesentwurf zum HinSchG stellt ausdrücklich klar, dass Unternehmen Hinweisgeber nicht benachteiligen dürfen. Gem. § 36 Abs. 1 HinSchG-E sind Repressalien gegen hinweisgebende Personen verboten. § 36 Abs. 2 HinSchG-E enthält zudem eine Beweislastumkehr zugunsten des Hinweisgebers: Erleidet eine hinweisgebende Person nach einer Meldung oder Offenlegung eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit, so wird vermutet, dass diese Benachteiligung eine Repressalie ist. In diesem Fall hat das Unternehmen zu beweisen, dass die Benachteiligung in keinem Zusammenhang mit dem Hinweis steht.

2. Schadensersatzansprüche und Sanktionen

Bei einem Verstoß gegen das Repressionsverbot ist der Verursacher der hinweisgebenden Person zum Schadensersatz verpflichtet (§ 37 Abs. 1 HinSchG-E). Gem. § 38 HinSchG-E kann sich die hinweisgebende Person jedoch selbst schadensersatzpflichtig machen, wenn sie vorsätzlich oder grob fahrlässig falsche Meldungen oder Offenlegungen tätigt.

§ 40 HinSchG-E sieht einen Bußgeldkatalog für Verstöße vor. Unternehmen, die entgegen der Verpflichtung keine interne Meldestelle einrichten oder betreiben, droht ein Bußgeld von bis zu 20.000 EUR. Repressalien gegen hinweisgebende Personen, Behinderungen von Whistleblower-Meldungen sowie Verletzungen der Vertraulichkeit können mit einem Bußgeld von bis zu 100.000 EUR gegen natürliche Personen und bis zu 1 Mio. EUR (§ 30 Abs. 2 S. 3 OWiG) gegen Unternehmen geahndet werden.

IV. Fazit

Das kommende Hinweisgeberschutzgesetz dürfte damit im Herbst und Winter diesen Jahres wieder einmal unmittelbaren Handlungsbedarf auslösen. Mit der Umsetzung der gesetzlichen Vorgaben, insbesondere der Implementierung des Meldesystems, sollte zeitnah begonnen werden. Sie sollte in Zusammenarbeit zwischen Compliance– und HR-Abteilungen sowie den Datenschutzbeauftragten in den betroffenen Unternehmen erfolgen.

Sie möchten die nächsten Blogartikel nicht verpassen? Dann melden Sie sich zu unserem ibo-Newsletter an!