In Kürze wird das Gesetz „für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ (sog. Hinweisgeberschutzgesetz) vom Bundestag verabschiedet werden. Mit diesem Gesetz, das derzeit noch als Regierungsentwurf vorliegt, wird – verspätet – die EU-Whistleblower-Richtlinie (Richtlinie (EU) 2019/1937) in deutsches Recht umgesetzt. Mittlerweile hat am 29.09.2022 bereits der Bundestag in einer ersten Lesung über den Regierungsentwurf beraten. Nach Abschluss des Gesetzgebungsverfahrens soll das Hinweisgeberschutzgesetz drei Monate nach seiner Verkündung in Kraft treten (voraussichtlich im ersten Quartal 2023). Erhebliche Abweichungen vom derzeitigen Regierungsentwurf werden dabei aktuell nicht erwartet.
Neben dem nachfolgenden kurzen Überblick zum Hinweisgeberschutzgesetz stellen wir Ihnen gerne weitere Einzelheiten in unserem Webinar am 18.10.2022 vor. Hier finden Sie alle Informationen zum Webinar und können sich anmelden.
Schutz von Whistleblowern durch das Hinweisgeberschutzgesetz
Ziel des Gesetzes ist es, den Schutz von Whistleblowern zu stärken. Oftmals können nur durch Hinweisgeber Rechtsverstöße aufgedeckt werden, sodass ein Hinweisgebersystem ein wichtiger Bestandteil eines Compliance-Management-Systems vieler Unternehmen ist. Das Hinweisgeberschutzgesetz schafft in seinem Anwendungsbereich u. a. Schutz für Whistleblower durch hohe Vertraulichkeitsanforderungen oder durch das Verbot von Repressalien gegen den Hinweisgeber.
Während die EU-Whistleblower-Richtlinie den Schutz von Hinweisgebern vorsieht, die Verstöße gegen das EU-Recht in bestimmten Bereichen melden, geht das Hinweisgeberschutzgesetz darüber hinaus. Es gilt insbesondere auch für die Meldung von Verstößen gegen Strafvorschriften, für Hinweise zu bestimmten Ordnungswidrigkeiten oder für die Meldung von Verstößen in spezifischen Rechtsbereichen. Als Hinweisgeber werden alle Personen geschützt, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen zu Verstößen erhalten haben und diese melden. Der persönliche Anwendungsbereich des Hinweisgeberschutzgesetzes ist sehr weit gefasst und umfasst neben (ehemaligen) Mitarbeitern beispielsweise auch Organmitglieder, Selbständige oder die von einem Hinweis Betroffenen.
Um den Kerngedanken des Hinweisgeberschutzgesetzes – den Schutz von Whistleblowern nach einer Meldung – umsetzen zu können, ist die Identität des Hinweisgebers grundsätzlich vertraulich zu behandeln. Dies gilt auch gegenüber Personen, die von der Meldung betroffen sind und anderenfalls ggf. aus datenschutzrechtlichen Gründen informiert werden müssten. Unberechtigte Personen dürfen keinen Zugriff auf die Identität des Whistleblowers und die Meldung selbst haben. Weiter verbietet das Hinweisgeberschutzgesetz u. a. Repressalien gegen den Whistleblower aufgrund seiner Meldung. Dieses Verbot ist dabei weit zu verstehen und verbietet alle Benachteiligungen, die infolge eines Hinweises ergriffen werden könnten (z. B. arbeitsrechtliche Sanktionen wie Kündigung oder Verweigerung einer Beförderung). Das Hinweisgeberschutzgesetz enthält in diesem Zusammenhang sogar eine Beweislastumkehr zugunsten der Whistleblower. Erleidet ein Whistleblower nach einem Hinweis eine Benachteiligung im Zusammenhang mit seiner beruflichen Tätigkeit, so wird vermutet, dass diese Benachteiligung eine Repressalie aufgrund seiner Meldung darstellt. Dem Unternehmen drohen in einem solchen Fall Schadensersatzansprüche, sofern es nicht nachweisen kann, dass die für den Mitarbeiter nachteilige Maßnahme unabhängig von der Meldung des Whistleblowers erfolgt ist.
Handlungsbedarf für Arbeitgeber – Pflicht zur Einrichtung interner Meldestellen
Künftig müssen Unternehmen und öffentlich-rechtlich organisierte Einheiten mit mindestens 50 Beschäftigten eine interne Meldestelle einrichten, an die sich zumindest die eigenen Beschäftigten (und Leiharbeitnehmer) wenden können. Während Unternehmen mit mindestens 250 Mitarbeitern die interne Meldestelle bereits ab Inkrafttreten des Hinweisgeberschutzgesetzes betreiben müssen, müssen Unternehmen mit weniger als 250 Mitarbeitern ihre interne Meldestelle erst ab dem 17.12.2023 eingerichtet haben. Darüber hinaus müssen bestimmte Unternehmen (wie z. B. im Finanzdienstleistungsbereich) unabhängig von der Mitarbeiterzahl über eine interne Meldestelle verfügen.
Das Hinweisgeberschutzgesetz sieht neben der Errichtung interner Meldestellen zudem die Bildung externer Meldestellen vor. Eine externe Meldestelle wird beispielsweise beim Bundesamt für Justiz eingerichtet. Whistleblowern steht es frei, ob sie sich an die interne Meldestelle ihres Unternehmens oder an eine externe Meldestelle wenden möchten.
Anforderungen an die internen Meldestellen
In Zusammenhang mit der internen Meldestelle wird insbesondere Folgendes zu berücksichtigen sein: Die interne Meldestelle muss so gestaltet werden, dass sie Whistleblowern mündliche und schriftliche Hinweise sowie auf Wunsch auch persönliche Meldungen ermöglicht. Wird ein Hinweis abgegeben, muss die interne Meldestelle die eingegangene Meldung dokumentieren und dem Whistleblower innerhalb von sieben Tagen eine Eingangsbestätigung zukommen lassen. Die Meldestelle ist dafür verantwortlich, die Stichhaltigkeit der Meldung zu prüfen und festzustellen, ob diese überhaupt in den Anwendungsbereich des Hinweisgeberschutzgesetzes fällt. Sodann muss die Meldestelle insbesondere angemessene Folgemaßnahmen (z. B. Weiterleitung an Behörden oder interne Compliance-Untersuchungen) ergreifen und den Hinweisgeber spätestens nach drei Monaten darüber informieren.
Das Hinweisgeberschutzgesetz enthält keine Verpflichtung, anonyme Hinweise zu bearbeiten. Vielmehr regelt das Gesetz, dass anonym eingehende Hinweise bearbeitet werden sollen, soweit dadurch die vorrangige Bearbeitung nicht-anonymer Meldungen nicht beeinträchtigt wird. Hier offenbart sich eine Schwachstelle des Hinweisgeberschutzgesetzes. Für ein wirkungsvolles Hinweisgebersystem wäre die verpflichtende Schaffung anonymer Meldemöglichkeiten wichtig, um Hemmschwellen abzubauen.
Darüber hinaus verlangt das Hinweisgeberschutzgesetz, dass die mit den Aufgaben einer internen Meldestelle beauftragten Personen insbesondere bei der Ausübung ihrer Tätigkeit unabhängig sind und über die notwendige Fachkunde verfügen. Für Unternehmen wird sich folglich die Frage stellen, ob sie eigene Mitarbeiter für die Bearbeitung von Hinweisen qualifizieren wollen oder ob sie die interne Meldestelle extern organisieren. Die interne Meldestelle muss nicht zwingend als interne Einheit im Unternehmen ausgestaltet werden. Vielmehr kann auch ein „Dritter“ mit den Aufgaben einer internen Meldestelle betraut werden. Dritter kann beispielsweise ein externer Dienstleister oder – trotz geäußerter europarechtlicher Bedenken – eine andere Konzerngesellschaft sein. Dabei ist jedoch zu berücksichtigen, dass die Verantwortung zur Verfolgung und Behebung von Verstößen weiterhin beim Unternehmen verbleibt. Weiter muss sichergestellt werden, dass die Vertraulichkeitsanforderungen auch bei einer Einbindung Dritter gewahrt werden.
Folgen von Verstößen gegen das Hinweisgeberschutzgesetz
Verstöße gegen wesentliche Vorgaben des Hinweisgeberschutzgesetzes stellen Ordnungswidrigkeiten dar. So sind beispielsweise Bußgelder von jeweils bis zu 100.000 Euro vorgesehen für das Behindern von Meldungen, das Ergreifen von Repressalien und die Verletzung der Vertraulichkeit. Wird eine interne Meldestelle nicht eingerichtet und betrieben, ist u. a. ein Bußgeld von bis zu 20.000 Euro möglich.
Unternehmen sollten sich daher zeitnah damit auseinandersetzen, wie sie mit der Errichtung der internen Meldestelle umgehen wollen. Sofern die Meldestelle im Unternehmen organisiert werden soll, müssen klare Vorgaben geschaffen werden, wie verfahrenstechnisch mit Meldungen von Hinweisgebern umgegangen wird. Sollte bereits ein Hinweisgeber-System im Unternehmen bestehen, muss geprüft werden, ob es im Einklang mit den Regelungen des Hinweisgeberschutzgesetzes steht. In Unternehmen mit Betriebsrat ist ein längerer Vorlauf einzuplanen. Bei der Ausgestaltung des Hinweisgebersystems kommen Mitbestimmungsrechte in Betracht, sodass die Betriebsparteien hier regelmäßig eine Betriebsvereinbarung abzuschließen haben.
