Das Hinweisgeberschutzgesetz (HinSchG)
Am 2. Juli 2023 ist nach diversen Anläufen das Hinweisgeberschutzgesetz (HinSchG) in Kraft getreten. Es setzt die sog. EU-Whistleblower-Richtlinie (Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23. Oktober 2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden) in deutsches Recht um. Ziel des Gesetzes ist der Schutz von Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Rechts- und Regelverstöße erlangt haben („hinweisgebende Personen“) und diese melden bzw. offenlegen. Dies geht mit einigen neuen Herausforderungen für Arbeitgeber in Form von Unternehmen und Behörden („Beschäftigungsgeber“) einher.
Zuviel Text? Den Beitrag gibt es auch als Podcast oder als VLOG!
Das Hinweisgeberschutzgesetz verbietet jede Benachteiligung von hinweisgebenden Personen und verpflichtet zugleich die Beschäftigungsgeber sichere Kanäle für die Meldung von Rechtsverletzungen zu etablieren.
Ab 250 Beschäftigten gilt das Gesetz seit Inkrafttreten, für Unternehmen mit 50 bis 249 Beschäftigten ab dem 17. Dezember 2023. Bei Nichtbeachtung droht ab dem 1. Dezember 2023 ein Bußgeld von 20.000 Euro
1. Hinweisgebende Personen
Der geschützte Personenkreis des Hinweisgeberschutzgesetzes ist weit gefasst und beinhaltet alle natürlichen Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese melden. Dazu zählen u.a. Beschäftigte, ehemalige Beschäftigte, Bewerbungskandidaten, Praktikanten, Leiharbeitnehmer, Selbstständige, Dienstleister, Freiberufler, Auftragnehmer, Unterauftragnehmer, Lieferanten und deren Mitarbeiter, Anteileigner sowie Personen in Führungsgremien. Weiterhin gehören Personen, die Gegenstand einer Meldung oder in sonstiger Weise hiervon betroffen sind, auch zum geschützten Kreis.
2. Möglichkeiten der Meldung
Das Hinweisgeberschutzgesetz verpflichtet die Beschäftigungsgeber zur Errichtung von Meldesystemen. Unterschieden wird zwischen internen und externen Meldestellen. Die internen Meldestellen müssen in den Unternehmen selbst eingerichtet werden und sind in den §§ 12 bis 18 HinSchG geregelt. Sie müssen mindestens den Beschäftigten und den Leiharbeitnehmern zugänglich sein, vgl. § 16 Abs. 1 HinSchG. Die externen Meldestellen werden von staatlicher Seite eingerichtet und sind in den §§ 19 bis 31 HinSchG geregelt. Eine zentrale externe Meldestelle soll beim Bundesamt für Justiz (BfJ) etabliert werden. Daneben sollen die bestehenden Meldesysteme bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sowie beim Bundeskartellamt als weitere externe Meldestellen mit Sonderzuständigkeiten fungieren. Grundsätzlich hat die hinweisgebende Person die freie Wahl, ob sie eine interne oder externe Meldestelle kontaktiert.
Der Hinweisgeber kann sich auch an die Öffentlichkeit wenden, wie z.B. an die Presse oder sozialen Medien. Hierfür regelt § 32 HinSchG allerdings enge Voraussetzungen. Die hinweisgebende Person genießt in diesem Fall nur dann Schutz, wenn sie sich zuvor erfolglos an eine externe Meldestelle gewandt hat oder eine Gefahr für die Allgemeinheit droht.
Folglich sei den Unternehmen dringend geraten, Anreize für die Nutzung der internen Meldestellen zu schaffen. Auf diese Weise ließen sich Offenlegungen in der Öffentlichkeit meiden und etwaige Vorfälle intern klären.
3. Arten von Verstößen
Das Hinweisgeberschutzgesetz schützt nicht jede Art von Meldungen. § 2 HinSchG enthält eine Auflistung von Verstößen, die unter das Gesetz fallen. Hierzu zählen solche gegen Strafvorschriften. Verletzungen von Bußgeldvorschriften sind nur relevant, soweit die Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Zu den typischen bußgeldbewehrten Vorschriften zählen Regelungen des Arbeits- und Gesundheitsschutzes, Verstöße gegen das Mindestlohngesetz oder auch Verstöße gegen Aufklärungs- und Auskunftspflichten gegenüber Organen der Betriebsverfassung wie Betriebsräten. Zudem sind alle Verstöße gegen Rechtsvorschriften des Bundes und der Länder erfasst, die zur Umsetzung bestimmter europäischer Regelungen getroffen wurden, sowie Verstöße gegen unmittelbar geltende EU-Rechtsakte in einer Vielzahl verschiedener Bereiche.
Voraussetzung für die Anwendbarkeit des Gesetzes ist immer, dass die hinweisgebende Person selbst in beruflichem Kontakt mit dem Beschäftigungsgeber stand oder steht, § 3 Abs. 3 HinSchG.
4. Unterschiedliche Regelungen für Unternehmen
Unternehmen mit mehr als 250 Beschäftigten
Unternehmen mit in der Regel mindestens 250 Beschäftigten sollten das Gesetz spätestens bis zum 2.Juli 2023 umgesetzt haben. Wird der interne Meldekanal nicht eingerichtet oder betrieben, droht ein Bußgeld von bis zu 20.000 Euro. Diese Bußgeldvorschrift tritt jedoch erst zum 1.Dezember 2023 in Kraft. Demnach wird vorerst kein Bußgeld wegen fehlender Einrichtung oder Betriebs verhängt, um den betroffenen Unternehmen eine Übergangszeit für die Umsetzung zu gewähren.
Andere betroffene Unternehmen unabhängig von der Anzahl der Beschäftigten
In bestimmten Unternehmensbranchen, wie z.B. im Finanzdienstleistungsbereich findet keine solche zahlenmäßige Unterscheidung statt. Hier gilt die Pflicht zur Einführung interner Meldestellen unabhängig von der Zahl der Beschäftigten. Eine Auflistung hiervon noch betroffener Unternehmen ist in § 12 Abs. 3 HinSchG zu finden.
Unternehmen mit 50 – 249 Beschäftigten
Für Unternehmen mit in der Regel 50 – 249 Beschäftigten sieht das Hinweisgeberschutzgesetz eine längere Einrichtungsfrist bis zum 17.Dezember 2023 vor. Diesen Unternehmen ist es zudem gemäß § 14 Abs. 2 HinSchG erlaubt, mit anderen Unternehmen eine „gemeinsame Meldestelle“ zu betreiben.
Anwendungsbereich
Das Hinweisgeberschutzgesetz erfasst sowohl natürliche als auch juristische Personen des öffentlichen und privaten Rechts als Beschäftigungsgeber. Dazu zählen insbesondere die GmbH, die AG und KGaA, aber auch eingetragene Vereine oder Stiftungen. Des Weiteren gehören rechtsfähige Personengesellschaften, wie z.B. die KG, OHG, GbR und sonstige rechtsfähige Personenvereinigungen hierzu. Umfasst sind demnach auch Anstalten, wie die Landesrundfunkanstalten, öffentlich-rechtliche Stiftungen und Kirchen mit ihren Kirchengemeinden und sonstigen Religionsgemeinschaften.
Unternehmen mit weniger als 50 Beschäftigten
Kleine Unternehmen mit in der Regel bis zu 49 Beschäftigten sind von der Pflicht zur Einrichtung einer internen Meldestelle ausgenommen. Die übrigen Schutzvorschriften des Hinweisgeberschutzgesetzes, besonders jene zu Repressalien nach § 36 HinSchG, dürften aber wohl auch in diesen kleinen Unternehmen gelten.
Berechnung der Anzahl der Beschäftigten
Nicht eindeutig geklärt ist die Frage, welche Kriterien für die Berechnung der Beschäftigten zugrunde zu legen sind, insbesondere ob teilzeitbeschäftigte Arbeitnehmer voll oder nur anteilig Berücksichtigung finden und ob auch lediglich vorübergehend Beschäftigte in die Berechnung mit einbezogen werden müssen. Diese Frage ist immer dann relevant, wenn die Anzahl der Vollzeitbeschäftigten knapp unter dem Schwellenwert von 50 bzw. 250 liegt und die Schwellenwerte unter Einbeziehung von Teilzeitbeschäftigten und/oder vorübergehend Beschäftigten nach Köpfen überschritten werden würden.
Grundsätzlich spricht das Gesetz von „regelmäßig“ Beschäftigten und in der Begründung zum Gesetzesentwurf wird diesbezüglich auf die Rechtsprechung des Bundesarbeitsgerichts zur Berechnung der Schwellenwerte nach § 23 KSchG verwiesen. Demnach berechnet sich die Beschäftigtenanzahl nach den „Stammbeschäftigten“, vorübergehend Beschäftigte würden demnach keine Berücksichtigung finden. Ob die Gerichte dies auch für die Berechnung der Beschäftigten im Bezug auf das Hinweisgeberschutzgesetz anwenden, bleibt abzuwarten.
Die Rechtsprechung wird erst in Zukunft weisen, wie die Berechnung der Beschäftigten letztendlich vorzunehmen sein wird. Bis zur Klärung dieser Frage durch die Gerichtsbarkeit empfiehlt es sich daher Risiken zu vermeiden und die Berechnung der Beschäftigtenanzahl nach Köpfen vorzunehmen.
5. Schutz für Hinweisgeber
Das Hinweisgeberschutzgesetz schützt die hinweisgebenden Personen insbesondere vor Repressalien und Benachteiligungen. Zentrales Element ist das in § 36 Abs. 1 HinSchG verankerte Verbot von Repressalien, einschließlich der Androhung und der Versuch von Repressalien. Dazu zählen insbesondere Suspendierung, Kündigung, Herabstufung oder Versagung von Beförderung, Nötigung, Einschüchterung, Mobbing, Nichtverlängerung der Arbeitsverträge, Rufschädigung etc. Ein Verstoß gegen das Verbot von Repressalien wird mit hohen Bußgeldern geahndet.
Darüber hinaus wurde eine Beweislastumkehr zugunsten der hinweisgebenden Person geschaffen. Hiernach muss künftig das Unternehmen belegen, dass eine vermeintliche Benachteiligung nicht auf der Meldung einer Rechtsverletzung basiert.
Handelt es sich um eine vorsätzliche oder grob fahrlässige Falschmeldung entfällt der Schutz für den Hinweisgeber. Dieser macht sich letztlich gemäß § 38 HinSchG schadensersatzpflichtig.
6. Vorgaben für die internen Meldekanäle
Das Hinweisgeberschutzgesetz stellt einige konkrete Anforderungen an das Meldeverfahren:
Meldungen in mündlicher, persönlicher oder Textform
Interne Meldesysteme müssen Meldungen in mündlicher oder in Textform ermöglichen, vgl. § 16 Abs. 3 HinSchG. Eine persönliche Meldung innerhalb einer angemessenen Zeit soll ebenfalls durchführbar sein.Nach § 16 Abs. 1 HinSchG besteht ausdrücklich keine Verpflichtung, die Meldekanäle so zu gestalten, dass die Abgabe anonymer Meldungen möglich ist. Die internen Meldestellen sollen lediglich auch anonym eingehende Meldungen bearbeiten.
Betrieb der internen Meldestelle
Unternehmen müssen die internen Meldestellen nicht unbedingt selbst betreiben. § 14 Abs. 1 HinSchG räumt die Möglichkeit ein, Dritte als interne Meldestellen zu beauftragen. Die Entgegennahme und Bearbeitung von Hinweisen kann insoweit auf externe Anbieter verlagert werden z.B. auf Ombudspersonen wie Rechtsanwälte.Beruft das Unternehmen eine interne Person für das Meldesystem, muss diese auch entsprechend geeignet sein. Die Personen könnte neben ihrer Tätigkeit für die interne Meldestelle zwar auch noch andere Aufgaben und Pflichten im Unternehmen wahrnehmen. Allerdings nur insoweit, dass keine Interessenskonflikte entstehen und die Personen unabhängig handeln können, vgl. § 15 Abs. 1 HinSchG. Weiterhin müssen sie über die notwendige Fachkunde verfügen, d. h. insoweit geschult sein oder werden.
Das Vertraulichkeitsgebot gem. § 8 HinSchG
Von zentraler Bedeutung ist das Vertraulichkeitsgebot des § 8 HinSchG. Hiernach haben die Meldestellen die Vertraulichkeit der Identität der hinweisgebenden als auch von in sonstiger Weise betroffenen Personen zu wahren. Die Identität dieser Personen darf ausschließlich den Personen bekannt sein, die für die Entgegennahme von Meldungen oder für das Ergreifen von Folgemaßnahmen zuständig sind. Anderen Personen muss der Zugriff auf den internen Meldekanal verwehrt sein. Nichtsdestotrotz besteht keine Verpflichtung anonyme Meldekanäle einzurichten. Nur in Ausnahmefällen kann von dem Vertraulichkeitsgebot abgewichen werden, etwa in Strafverfahren auf Verlangen der Strafverfolgungsbehörden.
Bearbeitungsfristen nach § 17 HinSchG
Das Verfahren innerhalb der internen Meldungen ist an bestimmte Bearbeitungsfristen gebunden, vgl. § 17 HinSchG. Hiernach muss nach spätestens sieben Tagen gegenüber der hinweisgebenden Person eine Bestätigung über den Eingang der Meldung erfolgt sein. Nach spätestens drei Monaten seit der Eingangsbestätigung der Meldung ist der Hinweisgeber über geplante oder bereits unternommene Folgemaßnahmen samt Gründen zu informieren.
Folgemaßnahmen nach § 18 HinSchG
In § 18 HinSchG werden die Folgemaßnahmen der internen Meldestellen normiert. Hierzu zählen insbesondere die Einleitung interner Untersuchungen, mögliche Maßnahmen zur Behebung des Problems, der Verweis auf andere zuständige Stellen, der Abschluss des Verfahrens aufgrund mangelnder Beweise oder anderer Gründe sowie die Abgabe an eine zuständige Behörde.
Dokumentation der Meldung und Datenaufbewahrung
Alle eingehenden Meldungen sind nach § 11 HinSchG unter Beachtung des Vertraulichkeitsgebots zu dokumentieren. Ggf. so, dass sie als Beweismittel verwendet werden können. Die Dokumentationen müssen, bis auf einige wenige Ausnahmefälle, drei Jahre nach Abschluss des Verfahrens gelöscht werden.
Informationspflicht
Weiterhin trifft die Unternehmen eine Informationspflicht. Sie müssen nach § 13 Abs. 2 HinSchG ihren Beschäftigten Informationen über den internen Meldeprozess sowie über alternative externe Meldestellen bereitstellen. Diese müssen leicht verständlich und zugänglich sein.
Datenschutz
Im Hinweisgebersystem sind sensible, personenbezogene Daten enthalten. Daher ist die EU-Datenschutzgrundverordnung sowie das Bundesdatenschutzgesetz zu beachten.
7. Sanktionen bei Verstößen gegen das Hinweisgeberschutzgesetz
Verstöße gegen das Hinweisgeberschutzgesetz werden gemäß § 40 HinSchG als Ordnungswidrigkeiten mittels einer Geldbuße sanktioniert. Die Höhe des Bußgeldes richtet sich nach der Art des Verstoßes. Wer eine Meldung oder die darauffolgende Kommunikation verhindert oder dies versucht, wer eine verbotene Repressalie ergreift oder dies versucht oder wer vorsätzlich oder fahrlässig das Vertraulichkeitsgebot missachtet, kann mit einem Bußgeld von bis zu 50.000 Euro geahndet werden. Bei einer fahrlässigen Missachtung des Vertraulichkeitsgebots wird ein Bußgeld in Höhe von bis zu 10.000 Euro fällig. Unternehmen, die die internen Meldestellen nicht betreiben oder gar nicht erst einführen, droht eine Geldbuße von bis zu 20.000 Euro.
8. Erste Maßnahmen
Was ist zu tun? Zunächst sollten Sie eine Bestandsaufnahme machen. Gibt es bereits eine entsprechende Meldestelle, so ist diese auf die Konformität mit dem Hinweisgeberschutzgesetz zu prüfen und ggf. nachzubessern.
Muss eine Meldestelle erstmalig eingerichtet werden, sind zunächst Projektverantwortliche zu benennen, die für die Implementierung die Verantwortung tragen.
Zudem bedarf es einer grundsätzlichen Entscheidung, ob der Betrieb einer Meldestelle im eigenen Unternehmen durchgeführt, oder aber auf Dritte, wie beispielsweise eine Rechtsanwaltskanzlei, ausgelagert werden soll.
Die Erfüllung arbeitsrechtlicher und datenschutzrechtlicher Anforderungen ist sicherzustellen. Der Datenschutzbeauftragte sowie Arbeitsrechtler sollten zwingend in den Gestaltungsprozess mit eingebunden werden.
Existiert ein Betriebsrat, gilt es zu überprüfen, ob betriebsverfassungsrechtliche Mitbestimmungsrechte tangiert sind. Ggf. ist der Betriebsrat an der Umsetzung zu beteiligen.
Die Projekt- und Systemverantwortlichen müssen für einen reibungslosen Ablauf und zur Sicherstellung der notwendigen Fachkunde hinreichend geschult werden.
9. Fazit
Die Vorgaben des Hinweisgeberschutzgesetzes sind umfassend und komplex. Die Etablierung von sicheren Meldestellen erfordert Zeit und u. U. auch die Einbindung arbeits- und/oder datenschutzrechtlicher Experten. Unternehmen sollten jetzt Vorbereitungen treffen, um diesen Herausforderungen gerecht werden zu können.
Wenn Sie Fragen hierzu haben oder unsere Unterstützung in der Implementierung einer Meldestelle benötigen (selbst oder ausgelagert), stehen wir Ihnen gerne zur Verfügung.