Das neue Hinweisgeberschutzgesetz

Seit Juli gilt für viele Unternehmen die Verpflichtung zur Einrichtung einer internen Meldestelle.

Bereits im Jahr 2019 wurde die sogenannte europäische Whistleblower-Richtlinie erlassen, mit der der Schutz solcher Personen bezweckt werden soll, die Missstände in Unternehmen aufdecken. Den Mitgliedsstaaten wurde eine zweijährige Frist zur Umsetzung in nationales Recht gesetzt, die von der Bundesrepublik Deutschland deutlich überschritten wurde. Nun ist am 2. Juli 2023 das neue Hinweisgeber-schutzgesetz (HinSchG) in Kraft getreten. Es hat für viele Unternehmen unmittelbaren Handlungsbedarf zur Folge:

Der Begriff des Hinweisgebers

Das Gesetz dient dem Schutz hinweisgebender Personen, allgemein bekannt als „Whistleblower“. Als solcher gilt jede natürliche Person, die im Zusammen­hang mit ihrer beruflichen Tätigkeit Informationen über straf- oder bußgeldbewehrte oder sonstige Ver­stöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende Rechtsakte der EU (z. B. Geldwäsche, Produktsicherheit, Umweltschutz, Ver­braucherschutz etc.) im beruflichen/unternehmerischen Kontext erlangt hat und diese melden oder offenlegen will. Erfasst werden nicht nur aktive und ehemalige Arbeitnehmer in der Privatwirtschaft und dem öffentlichen Dienst, sondern darüber hinaus auch weitere Personen, die auf beruflicher Ebene mit einem Unternehmen in Kontakt kommen, z. B. Freelancer, Leiharbeitnehmer, Zulieferer und Subunterneh­mer bzw. deren Beschäftigte, Praktikanten und ehrenamtliche Mitarbeiter, aber auch Mitglieder der Unternehmensführung selbst, etwa Geschäftsführer. Der persönliche Schutzbereich des HinSchG bzw. der ihm zugrunde liegenden Richtlinie ist bewusst weit gefasst. Verstöße, die einer Privatperson außerhalb des beruflichen Kontextes bekannt werden, fallen allerdings nicht unter den Schutzbereich des Gesetzes.

Schutz der Hinweisgeber

Der Schutz von Hinweisgebern soll durch ein umfassendes Verbot jeglicher Repressalien gewährleistet werden, d. h. Hinweisgeber dürfen bei einer ordnungsgemäßen Meldung keine arbeitsrechtlichen Konsequenzen zu befürchten haben. Das Verbot von Repressionen bezieht sich insbesondere auf Kündigung, Herabstufung oder Versagung einer Beförderung, Gehaltsminderung, Nichtverlängerung oder vorzeitige Beendigung eines befristeten Arbeitsvertrages, Aufgabenverlagerung und Änderung von Arbeitszeit- und/oder Ort. Im Falle eines Verfahrens vor dem Arbeitsgericht ist eine Beweislastumkehr zugunsten des Hinweisgebers vorgesehen, wenn dieser einen Zusammenhan von Meldung und Benachteiligung geltend macht. Der Zusammenhang wird dann vermutet und der Arbeitgeber muss beweisen, dass die Repressalie mit der Meldung in keinerlei Zusammenhang stand. Der Hinweisgeber kann seinen Arbeitgeber für erlittene Repressalien auf Schadensersatz in Anspruch nehmen. Ein Anspruch auf Begründung eines Beschäftigungs oder Ausbildungsverhältnisses oder einer Beförderung besteht aber selbst dann nicht, wenn eine (berechtigte) Meldung zum Anlass genommen wurde, den Hinweisgeber nicht einzustellen oder zu befördern.

Geschützt ist nur, wer hinreichenden Grund zu der An­nahme hatte, dass die von ihm gemeldeten Informationen zum Zeitpunkt ihrer Übermittlung der Wahrheit entspra­chen. Personen, die vorsätzlich oder grob fahrlässig falsche oder irreführende Meldungen abgeben, sind schutzlos und ggf. schadensersatzpflichtig.

Einrichtung einer internen Meldestelle

Die wohl gravierendste Folge für Unternehmen findet sich in § 12 HinSchG: Demnach müssen Unternehmen mit 50 oder mehr Beschäftigten eine interne Stelle zur Entgegen­nahme der Meldungen von Hinweisgebern vorhalten. Für Unternehmen mit mindestens 250 Mitarbeitern gilt dies unmittelbar seit Inkrafttreten des Gesetzes am 2. Juli 2023, während für mittelgroße Unternehmen (50 bis 249 Mit­arbeiter) eine – relativ kurze – Übergangsfrist bis 17. Dezember 2023 vorgesehen ist.

Die interne Meldestelle ist so einzurichten, dass sie mit geringem Aufwand für Hinweisgeber und frei von Interessenkonflikten die Ent­gegennahme von Meldungen ermöglicht. Sie kann auch für sonstige Personen geöffnet werden, die im Rahmen ihrer beruflichen Tätigkeit mit dem Unternehmen in Kontakt stehen, z. B. freie Mitarbeiter, externe Berater und Lieferanten.

Die interne Meldestelle muss Meldungen in mündlicher oder in Textform ermöglichen; auf Ersuchen eines Hinweisgebers ist ein persönliches Treffen – ggf. im Wege der Ton- und Bildübertragung – zu arrangieren. Die Meldekanäle sind so zu gestalten, dass nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen Personen Zugriff auf ein­gehende Meldungen haben. Ausnahmen von diesem Vertraulichkeitsgebot sind nur in sehr eng begrenzten Fällen vorgesehen. Zugelassen werden sollten auch anonyme Meldungen, zwingend ist dies aber nicht. Der Eingang der Meldung muss dem Hinweisgeber innerhalb von sieben Tagen bestätigt werden.

Erweist sich ein Hinweis als begründet, sind Maßnahmen zur Abhilfe zu treffen. Insbesondere kann die Melde­stelle interne Untersuchungen entweder selbst anstellen oder von der dafür zuständigen Organisationseinheit, z. B. der Compliance-Abteilung, durchführen lassen. Die Endverantwortung für Abhilfemaßnahmen bleibt aber immer beim Unternehmen. Tatsächlichen Missständen sollte schon allein deswegen abgeholfen werden, weil nur so das Vertrauen in das Meldesystem erhalten bleibt. Geht dieses verloren, ist zu befürchten, dass sich Hin­weisgeber bevorzugt an externe Meldestellen oder die Strafverfolgungsbehörden wenden.

Spätestens drei Monate nach der Eingangsbestätigung hat – sofern dadurch der Erfolg interner Ermittlungen nicht gefährdet oder berechtigte persönliche Interessen nicht betroffen werden – eine Rückmeldung an den Hinweisgeber zu erfolgen, wie mit dem Hinweis um­gegangen wurde und welche Maßnahmen ergriffen wurden. Alle eingegangenen Meldungen müssen in dauerhaft abrufbarer Weise unter Beachtung strengster Vertraulichkeit dokumentiert und aufbewahrt werden. Sie sind grundsätzlich drei Jahre nach Verfahrensabschluss zu löschen, sofern eine längere Aufbewahrung nicht anderweitig vorgeschrieben ist.

Outsourcing der internen Meldestelle

Unternehmen können die interne Meldestelle „outsourcen“ und einen vertrauenswürdigen Dritten, z. B. einen sogenannten Vertrauensanwalt oder Ombudsmann, mit dieser Aufgabe betrauen. Vor allem für kleinere und mittelgroße Unter­nehmen, die meist weder die Kapazitäten noch das rechtliche Know-how zur Prüfung eines gemeldeten Verstoßes haben, dürfte dies oftmals der einzig gangbare Weg zur Erfüllung der gesetzlichen Auflagen sein. Mit der Auslagerung wird – im Idealfall – der professionelle Betrieb der Meldestelle gewähr­leistet, da solche Dritten meist ohnehin ein bestehendes Orga­nisationssystem zur Entgegennahme vertraulicher Inhalte und zur Einhaltung von Fristen aufweisen. Hinzu kommt, dass beim Unternehmen selbst weder interne Ressourcen aufgewendet werden müssen noch das eigene Personal entsprechend zu schulen ist. Die Beauftragung Dritter bietet einen weiteren Vorteil: Oft dürfte bei einem potenziellen Hinweisgeber – begründet oder nicht – Unsicherheit darüber herrschen, ob ein von ihm gemeldeter Sachverhalt von der internen Meldestelle so vertrauensvoll oder ernsthaft behandelt wird, wie es das Gesetz vorsieht. Gerade in Unternehmen mit lebhaftem „Flurfunk“ besteht dann die Gefahr, dass sich ein Hinweisgeber statt an die interne Meldestelle eher an eine externe, an Strafverfolgungsbehörden oder gar die Öffentlichkeit (Presse) wendet. Wird dagegen die interne Meldestelle durch einen vertrauenswürdigen Dritten geführt, ist der Hinweisgeber eher geneigt, sich an diesen zu wenden.

Externe Meldestellen und Offenlegung

Die Bundesrepublik Deutschland hat beim Bundesamt für Justiz eine externe Meldestelle eingerichtet, an die Hinweisgeber sich ebenfalls wenden können. Für Meldungen, die spezielle Fachbereiche betreffen, gibt es Meldestellen beim Bundeskartellamt und der Bundes-finanzaufsicht (Bafin). Das HinSchG sieht zwar vor, dass Hinweisgeber in Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten müssen, die Meldung an die interne Meldestelle bevorzugen sollen. Verpflichtend ist dies aber nicht, sodass eine externe Meldung einer internen absolut gleichberechtigt ist.

Eine Meldung an die Öffentlichkeit ist auch weiterhin ultima ratio: Ein Hinweisgeber, der sich an die Öffentlichkeit wendet, ist nach § 32 HinSchG nur geschützt, wenn er die Meldung erfolglos (auch) extern erstattet hat oder hinreichender Grund zu der Annahme besteht, dass erstens der Verstoß wegen eines Notfalls, der Gefahr irreversibler Schäden oder vergleichbarer Umstände eine unmittelbare oder offenkundige Gefahr für die öffentliche Sicher­heit darstellt, zweitens im Fall einer externen Meldung Repressalien zu befürchten sind oder drittens Beweismittel unterdrückt oder vernichtet werden könnten, Absprachen zwischen der zuständigen externen Meldestelle und dem Urheber des Verstoßes bestehen könnten oder aufgrund sonstiger besonderer Umstände die Aussichten gering sind, dass die externe Meldestelle wirksame Folgemaßnahmen einleiten wird.

Ordnungswidrigkeiten und Bußgeld

Bestimmte vorsätzliche oder fahrlässige Verstöße gegen die Pflichten aus dem HinSchG stellen eine Ordnungs­widrigkeit dar und können mit einem Bußgeld von bis zu 50.000 Euro geahndet werden. Ordnungswidrig handelt unter anderem,

• wer eine interne Meldestelle gar nicht erst einrich­tet oder eine solche zwar eingerichtet hat, sie aber nicht betreibt;
• wer gegen das Vertraulichkeitsverbot verstößt;
• wer eine gerechtfertigte Meldung oder die nachfol­gende Kommunikation behindert und/oder
• wer aufgrund einer Meldung eine Repressalie gegen den Hinweisgeber ergreift.

In den beiden letztgenannten Fällen reicht auch schon der Versuch aus. Bußgelder für die Nichteinrichtung eines Meldesystems werden erst ab 1. Dezember 2023 verhängt.

Umsetzung im Unternehmen

Für Unternehmen, die noch kein Compliance-System eingeführt haben, stellen die Vorgaben des HinSchG eine nicht unerhebliche Belastung dar. Der Erfüllungsaufwand auf Unternehmensseite wurde vom Gesetzgeber mit rund 190 Mio. Euro für die erstmalige Einrichtung interner Meldestellen und für deren laufende Vorhaltung mit 200 Mio. Euro pro Jahr (!) angegeben.

Bei der Umsetzung des HinSchG sollte sichergestellt werden, dass ein eingerichtetes Meldesystem auch wirklich funktioniert – jede Meldung muss zwingend Folgemaßnahmen auslösen: Zum einen müssen die Fristen zur Information über den Eingang der Meldung (eine Woche) und den Fortgang des Verfahrens (drei Monate) gegenüber dem Hinweisgeber eingehalten werden. Zum anderen muss einem gemeldeten und auch tatsächlich vorliegenden Verstoß gegen gesetzliche Vorschriften auch abgeholfen werden.

Im Hinblick auf die oben angesprochene Verlagerung der Beweislast bei der Sanktionierung eines Hinweisgebers ist eine umfassende Dokumentation angezeigt, um im Streitfall nachweisen zu können, dass die ergriffenen Maßnahmen nicht mit der Meldung in Verbindung stehen. Bei der Einrichtung eines Meldesystems bzw. von Begleitmaßnahmen kann in Unternehmen mit Betriebsrat nach § 87 Abs. 1 Nr. 1 und 6 Betriebsverfassungsgesetz ein Mitbestimmungsrecht des Betriebsrats bestehen.