Die EU hat mit der Richtlinie (EU) 2019/1937 des Europäischen Parlaments eine Grundlage geschaffen, auf welcher die EU-Mitgliedsstaaten ein Gesetz zum Schutz von Hinweisgebern, sogenannte „Whistleblower“ entwickeln müssen. Mit diesem Gesetz sollen Beschäftigte in Unternehmen und Behörden („Beschäftigungsgeber“) vor Repressalien wie Kündigungen, Diskriminierung, Benachteiligungen oder Mobbing geschützt werden, wenn diese Missstände melden, und durch diese Meldung dafür sorgen, dass Rechtsverstöße aufgedeckt, untersucht, verfolgt und unterbunden werden.

Die Richtlinie basiert auf vier wesentlichen Säulen, die in den nationalen Gesetzen wiederzufinden sein müssen:

• Errichtung interner Meldekanäle
• Errichtung externer Meldekanäle
• Obliegenheit zur Aufklärung der gemeldeten Sachverhalte
• Verbot von Repressalien und damit Schutz der hinweisgebenden Person (Whistleblower)

Diese Vorgaben gelten als Mindeststandard, der durch Gesetz in nationales Recht umgewandelt werden muss. Das Hinweisgeberschutzgesetz darf aber auch in gewissen Punkten über die EU-Richtlinien hinausgehen.

Vom Schutz des Gesetzes umfasst sind alle natürlichen Personen, die mit der Meldung in Zusammenhang gebracht werden. Nach dem Wortlaut des Gesetzes sind das die hinweisgebende Person, Personen, welche die hinweisgebende Person unterstützen, aber auch Personen, die Gegenstand einer Meldung sind und sonstige Personen, die von einer Meldung betroffen werden. Das bedeutet, dass eben auch die Personen geschützt werden, gegen die sich der Vorwurf des Rechtsverstoßes richtet, damit diese nicht durch Vorverurteilungen zum Gegenstand irgendwelcher Benachteiligungen werden.

Die Pflicht zur Errichtung einer internen Meldestelle gilt gemäß § 12 Abs. 2 HinSchG nur für Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten. Unternehmen (oder Behörden), die in der Regel weniger als 50 Personen beschäftigen, wozu im Übrigen auch Auszubildende zählen, sind nicht unmittelbar von dem HinSchG betroffen.

Sofern 50 Personen oder mehr beschäftigt werden, wird der Kreis der Beschäftigungsgeber durch den Gesetzgeber weit gefasst, um ein weitgehendes und einheitliches Schutzniveau zu erreichten. Dazu gehören

• natürliche Personen sowie juristische Personen des öffentlichen und des privaten Rechts, wozu insbesondere die GmbH, die AG und KGaA, aber auch eingetragene Vereine, Genossenschaften oder Stiftungen zählen;
• rechtsfähige Personengesellschaften (z.B. KG, OHG, GbR) und
• sonstige rechtsfähige Personenvereinigungen.

Gemäß § 12 HinSchG müssen Unternehmen/ Organisationen mit mehr als 50 Beschäftigten eine interne Meldestelle einrichten und betreiben, an welche sich die Hinweisgeber wenden können, wenn sie einen Rechtsverstoß melden möchten.

Interne Meldekanäle sind leicht zugänglich und transparent bereitzustellen.

Zwar hat die hinweisgebende Person gemäß § 7 HinSchG ein Wahlrecht, ob er seine Meldung bei einer internen oder externen Meldestelle abgibt, aber gemäß § 7 Abs. 3 HinSchG sollen die Organisationen Anreize schaffen, damit die Hinweisgeber zunächst die interne Meldestelle nutzen. Das hat nämlich für die Unternehmen den Vorteil, den Meldeprozess selbst gestalten zu können und frühzeitig von Missständen in der eigenen Organisation zu erfahren. So können Unternehmen das Meldesystem als Frühwarnsystem nutzen, über das sie von Verstößen und Fehlverhalten erfahren, bevor diese an die Öffentlichkeit gelangen.

HInweis: Unternehmen mit 50 bis 249 Beschäftigten können mit anderen Unternehmen, die ebenfalls nicht mehr als 249 Beschäftigte haben, eine gemeinsame Meldestelle betreiben (§ 14 Abs. 2 HinSchG).

Gemäß § 16 HinSchG sind die Meldekanäle so zu gestalten, dass nur die Personen Zugriff auf die eingehenden Meldungen haben, die für die Entgegennahme und Bearbeitung der Meldungen zuständig sind oder diese bei der Erfüllung dieser Aufgaben unterstützen. Das Unternehmen muss durch entsprechende technisch-organisatorische Maßnahmen sicherstellen, dass keine unberechtigten Personen Zugriff auf die Identität der hinweisgebenden Person oder den Hinweis selbst haben.

Die technische Ausgestaltung der internen Meldekanäle muss Meldungen in mündlicher Form oder in Textform ermöglichen.

• Mündliche Meldungen müssen per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein.
• Auf Ersuchen der hinweisgebenden Person ist für eine Meldung innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft mit einer für die Entgegennahme einer Meldung zuständigen Person der internen Meldestelle zu ermöglichen.
• Besonders wichtig ist der Schutz der Vertraulichkeit der Identität der hinweisgebenden Person. Die Identität darf dabei grundsätzlich nur den jeweils für die Bearbeitung einer Meldung zuständigen Personen bekannt sein. Informationen über die Identität einer hinweisgebenden Person oder einer Person, die Gegenstand einer Meldung ist, sollen nur in Ausnahmefällen herausgegeben werden dürfen, etwa in Strafverfahren auf Verlangen der Strafverfolgungsbehörden.

Gemäß § 15 HinSchG müssen die mit den Aufgaben einer internen Meldestelle beauftragten Personen bei der Ausübung ihrer Tätigkeit unabhängig sein. Sie können neben ihrer Tätigkeit für die interne Meldestelle andere Aufgaben und Pflichten wahrnehmen. Das Unternehmen muss dabei jedoch sicherstellen, dass es nicht zu Interessenkonflikten kommt.

Weiterhin müssen der beauftragten Person die notwendigen Befugnisse eingeräumt werden, die sie für ihre Aufgabenwahrnehmung benötigt, insbesondere um Meldungen zu prüfen und Folgemaßnahmen zu ergreifen.

Darüber hinaus ist das Unternehmen verpflichtet, dafür Sorge zu tragen, dass die mit den Aufgaben einer internen Meldestelle beauftragten Personen über die notwendige Fachkunde verfügen.

Wichtig zu wissen ist dabei, dass den externen Beratern kein Zeugnisverweigerungsrecht zusteht, nicht einmal Berufsgeheimnisträgern wie Rechtsanwälten/-innen.

Unternehmen mit 50 bis 249 Beschäftigten müssen die interne Meldestelle bis zum 17.12.2023 einrichten, Unternehmen mit 250 und mehr Beschäftigten bereits bis zum Inkrafttreten des Gesetzes am 02.07.2023.

Solange die Unternehmen in einem Konzern weniger als 250 Beschäftigte haben, genügt die Einrichtung einer gemeinsamen Meldestelle. Hat die Konzernmutter mehr als 250 Beschäftigte, können die verbundenen Unternehmen an der Meldestelle der Mutter teilhaben und brauchen keine eigene interne Meldestelle unterhalten, es sei denn, das Tochterunternehmen selbst hat mehr als 250 Beschäftigte. Zwar können diese Tochterunternehmen die Muttergesellschaft mit dem Betrieb der „internen Meldestelle“ beauftragen, die Bearbeitung des Hinweises muss zum Schutz der Vertraulichkeit aber bei der Tochtergesellschaft erfolgen.

Ja, die Errichtung der Meldestelle ist mitbestimmungspflichtig, da dadurch nicht etwa nur das Arbeits-, sondern vielmehr das Ordnungsverhalten der im Betrieb tätigen Arbeitnehmer angesprochen wird. Außerdem ist der betriebliche Datenschutzbeauftragte einzubinden.

Das Gesetz hat diese Frage mit § 16 HinSchG als „Soll-Vorschrift“ beantwortet, heißt, die interne Meldestelle „soll“ auch anonym eingehende Meldungen bearbeiten. Es besteht hingegen keine Verpflichtung, die Meldekanäle so zu gestalten, dass darüber auch anonyme Meldungen abgegeben werden können. Allerdings verlangen die entsprechenden ISO-Normen (ISO 37301, ISO 37001) die Entgegennahme anonymer Hinweise, sodass dies dennoch ermöglicht werden muss, wenn eine solche Zertifizierung angestrebt wird.

Gemäß § 17 HinSchG ist bei Eingang einer Meldung wie folgt zu verfahren:

• Bestätigung des Eingangs der Meldung an die hinweisgebende Person spätestens nach sieben Tagen;
• Prüfung, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich des § 2 HinSchG fällt;
• Kontakt mit der hinweisgebenden Person halten, ggf. um weitere Information ersuchen;
• Prüfung der Stichhaltigkeit der eingegangenen Meldung;
• Ergreifen angemessener Folgemaßnahmen;
• Rückmeldung an die hinweisgebende Person innerhalb von drei Monaten nach der Bestätigung des Eingangs der Meldung; wobei die Rückmeldung die Mitteilung geplanter sowie bereits ergriffener Folgemaßnahmen sowie die Gründe für diese enthalten soll, sofern dadurch interne Nachforschungen oder Ermittlungen nicht berührt und die Rechte der Personen, die Gegenstand einer Meldung sind oder die in der Meldung genannt werden, nicht beeinträchtigt werden;
• Dokumentation der Hinweise unter Beachtung des Vertraulichkeitsgebotes. Diese Dokumentation ist drei Jahre nach Abschluss des Verfahrens zu löschen, sofern es nicht zur Bearbeitung des Hinweises oder nach anderen Rechtsvorschriften erforderlich und verhältnismäßig ist, die Dokumentation noch länger zu speichern.

Eine externe Meldestelle ist eine Behörde, an welche die hinweisgebende Person mündlich oder schriftlich Informationen über Rechtsverstöße mitteilen kann.

Wie oben bereits dargestellt, darf die hinweisgebende Person dabei wählen, ob sie sich zunächst intern an das Unternehmen und/oder extern an die zuständige Behörde wendet. Die Beschäftigungsgeber sollen jedoch Anreize schaffen, damit die Hinweisgeber zunächst die interne Meldestelle bevorzugen, sofern sie keine Repressalien oder die Nichtverfolgung ihres Hinweises zu befürchten haben.

Eine zentrale externe Meldestelle wird beim Bundesamt für Justiz (BfJ) eingerichtet werden. Daneben sollen die bestehenden Meldesysteme bei der Bundesanstalt für Finanzdienstleistungsaufsicht sowie beim Bundeskartellamt als weitere externe Meldestellen mit Sonderzuständigkeiten weitergeführt werden.

Die Unternehmen müssen, auch wenn sie einen internen Meldekanal betreiben, ihren Beschäftigten als potenziellen Hinweisgebern verständliche und leicht zugängliche Informationen über die Möglichkeiten externer Meldungen an bestimmte Behörden erteilen. Auch für die externen Meldestellen gilt, dass sie anonyme Meldungen bearbeiten sollen, jedoch keinen entsprechenden Kanal hierfür einrichten müssen. Die externen Meldestellen müssen überdies darüber aufklären, dass bei Unternehmen mit mehr als 50 Mitarbeitern auch interne Meldekanäle bereitstehen müssen und genutzt werden können.

Es dürfte im Interesse der hinweisgebenden Person und des Unternehmens sein, dass die hinweisgebende Person erst einen internen Meldekanal nutzt, statt sofort an die Öffentlichkeit zu gehen. So kann das Unternehmen Missstände schneller erkennen und abstellen, bevor diese in der Öffentlichkeit ausgebreitet werden und damit dem Ruf des Unternehmens erheblichen Schaden zufügen können. Vor diesem Hintergrund ist es empfehlenswert, mit einem guten Beratungsangebot die internen Kanäle attraktiv zu machen, jede Meldung ernst zu nehmen und frei von Emotionen zu behandeln.

Der sachliche Anwendungsbereich des Gesetzes wird in § 2 HinSchG geregelt. Danach wird der Hinweisgeber nur dann vom Schutz des Gesetzes HinSchG erfasst, wenn die die dort aufgeführten Verstöße gemeldet werden. Dabei geht das Hinweisgeberschutzgesetz über die Vorgaben der EU-Richtlinie hinaus. Danach sind hinweisgebende Personen bei der Meldung vor jeglichen Verstößen geschützt, die unter Strafe stehen. Auch bußgeldbewehrte Vorschriften sind umfasst, allerdings nur dann, wenn die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient, wobei dies nach dem Willen des Gesetzgebers weit auszulegen ist. Hierunter fallen vor allem Vorschriften, die dem Arbeits- oder Gesundheitsschutz dienen, aber auch z.B. das Mindestlohngesetz.

Darüber hinaus erstreckt sich der sachliche Anwendungsbereich auf sonstige Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende Rechtsakte der EU und der Europäischen Atomgemeinschaft. Darunter fallen u. a. insbesondere folgende Regelungen und Vorgaben:

• zur Bekämpfung der Geldwäsche,
• zur Produktsicherheit,
• zur Beförderung gefährlicher Güter,
• zum Umweltschutz, Strahlenschutz,
• zur Lebensmittel- und Futtermittelsicherheit,
• zu Qualitäts- und Sicherheitsstandards bei Arzneimitteln und Medizinprodukten,
• des Verbraucherschutzes,
• des Datenschutzes,
• der Sicherheit in der Informationstechnik,
• des Vergaberechts,
• zur Rechnungslegung bei Kapitalgesellschaften.

Wichtig: Nach dem im Vermittlungsausschuss beschlossenen Kompromiss sollen Informationen über Verstöße aber nur dann in den Anwendungsbereich des Gesetzes fallen, wenn sie sich auf den Beschäftigungsgeber oder eine andere Stelle, mit der die hinweisgebende Person beruflich im Kontakt stand, beziehen.

Der Europäische Gesetzgeber hat deutlich gemacht, dass die Whistleblower-Richtlinie und die nach deren Vorgaben erlassenen nationalen Regelungen im Einklang mit der DSGVO stehen müssen. Rechtsgrundlage für die Datenverarbeitung ist dabei Artikel 6 Abs. 1 lit. c DSGVO, wonach die Datenverarbeitung rechtmäßig ist, wenn die Verarbeitung zur Erfüllung rechtlicher Verpflichtungen erforderlich ist, der der Verantwortliche unterliegt.

Dennoch wird ein interner Meldekanal und das Verfahren über die Behandlung eines Hinweises eine ganze Reihe datenschutzrechtlicher Fragen aufwerfen, z.B. wie die betroffenen Personen zu informieren sind, was zu tun ist, wenn eine betroffene Person einen Auskunftsantrag stellt, wie lange die Daten aufbewahrt werden dürfen usw. Hier werden stets auch die Besonderheiten des Einzelfalls zu berücksichtigen sein.

Ggf. besteht auch das Erfordernis einer Datenschutz-Folgeabschätzung nach Art. 35 DSGVO.

Es dürfen nur die befugten Mitarbeiter/-innen, die mit der Entgegennahme von Meldungen oder für das Ergreifen von Folgemaßnahmen zu Meldungen betraut sind, Zugriff auf Informationen haben, aus denen die Identität des Hinweisgebers oder der von der Meldung betroffenen Personen hervorgeht. Die IT-Abteilung dürfte dafür in der Regel nicht zuständig sein, sodass diese keinen Zugriff auf den Inhalt etwaiger Meldungen haben darf, auch nicht für den Support und zur Sicherstellung der IT-Security.

Grundsätzlich haben Sicherheitsinteressen sowie Verschwiegenheits- und Geheimhaltungspflichten Vorrang vor dem HinSchG (z.B. Verschwiegenheitspflichten von Geheimhaltungsträgern wie Rechtsanwälte, Notare, Ärzte, Apotheker usw.). Dennoch gibt es Fälle, bei denen trotz bestehender Verschwiegenheits- oder Geheimhaltungspflichten der Schutz nach dem HinSchG besteht. Das ist dann der Fall, wenn die hinweisgebende Person hinreichenden Grund zu der Annahme hat, dass diese Meldung oder diese Offenlegung notwendig ist, um einen Verstoß aufzudecken und dieser die Geschäftsgeheimnisse bzw. vertrauliche Informationen in einem beruflichen Kontext erlangt hat. Dann genießt die hinweisgebende Person den Schutz des Gesetzes, wenn sie die übrigen Voraussetzungen dieses Gesetzes erfüllt und die Weitergabe des Geschäftsgeheimnisses erforderlich war, um einen Verstoß im sachlichen Anwendungsbereich dieses Gesetzes aufzudecken. Ob die hinweisgebende Person das ohne rechtlichen Beistand sicher einzuordnen vermag, darf bezweifelt werden.

Verstößt das Unternehmen gegen das Repressalienverbot, ist der hinweisgebenden Person der Schaden zu ersetzen.

Allerdings ist auf der anderen Seite die hinweisgebende Person zur Erstattung des dadurch eingetretenen Schadens verpflichtet, wenn sie vorsätzlich oder grob fahrlässig eine Falschmeldung abgibt.

Verstöße gegen die wesentlichen Vorgaben des Gesetzes können als Ordnungswidrigkeiten mit einer Geldbuße in Höhe von bis zu 10, 20 oder 50.000 Euro geahndet werden können, je nachdem gegen welche gesetzliche Pflicht verstoßen wurde (§ 40 HinSchG). Dies ist z.B. der Fall bei Behinderungen von Meldungen, das wissentliche Offenlegen unrichtiger Informationen.

Das Nichtbetreiben einer internen Meldestelle kann ein Bußgeld von bis zu 20.000 Euro nach sich ziehen.