Hinweisgeberschutzgesetz

Das Hinweisgeberschutzgesetz (HinSchG) betrifft insbesondere Unternehmen mit in der Regel mehr als 50 Beschäftigten. 

Gemäß § 12 des HinSchG sind diese Unternehmen verpflichtet, interne Meldestellen einzurichten und zu betreiben. Diese Vorschrift gilt unabhängig von der Beschäftigtenzahl für zahlreiche Unternehmen aus der Finanzbranche. Das HinSchG trägt dazu bei, einen besseren Schutz für hinweisgebende Personen zu gewährleisten und setzt die entsprechende Richtlinie zum Schutz von Personen um, die Verstöße gegen das Unionsrecht melden.
 

Einrichtung interner Meldestellen

Die Einrichtung von Meldestellen ist ein grundlegender Bestandteil des Hinweisgeberschutzgesetzes. Ihr Hauptziel besteht darin, sicherzustellen, dass Rechtsverstöße untersucht, verfolgt und verhindert werden, während Whistleblower vor Benachteiligungen geschützt werden, die ihnen aufgrund ihrer Meldungen drohen oder die sie möglicherweise davon abhalten könnten, eine solche Meldung überhaupt zu machen. Gleichzeitig ermöglichen interne Meldestellen Unternehmen, Haftungsansprüche und Imageschäden zu vermeiden.

Das Hinweisgeberschutzgesetz enthält keine spezifischen Vorgaben zur Person oder zur Organisationsstruktur bei der Einrichtung der internen Meldestelle. Die Ausführung dieser Aufgabe kann von einer internen Person oder Abteilung übernommen werden, oder aber ein externer Dritter (gemäß § 14 Abs. 1 HinSchG) kann mit den Aufgaben der internen Meldestelle betraut werden. In Konzernen besteht auch die Möglichkeit, eine gemeinsame Meldestelle für alle verbundenen Unternehmen einzurichten und zu betreiben.

Es ist wichtig, die externen Meldestellen, die von externen Dritten betrieben werden, von den im Gesetz vorgesehenen externen Meldestellen zu unterscheiden, da dies aufgrund der Begrifflichkeiten leicht zu Missverständnissen führen kann. Wenn von einer externen Meldestelle die Rede ist, ist in der Regel die Meldestelle gemeint, die vom Bund beim Bundesamt für Justiz eingerichtet wird und an die sich Beschäftigte auch mit Hinweisen wenden können. Diese externe Meldestelle wird in den meisten Fällen zuständig sein. Darüber hinaus kann jedes Bundesland eine eigene externe Meldestelle einrichten, die für Meldungen im Zusammenhang mit den Landesverwaltungen und Kommunalverwaltungen zuständig ist.
 

Etablierung der internen Meldestelle

Es ist von großer Bedeutung, dass Unternehmen die Verpflichtung zur Einrichtung von Meldestellen ernsthaft beachten, da Hinweisgeber gemäß dem Gesetz in erster Linie an die internen Meldestellen der Unternehmen, die Meldungen zu Betrügereien oder Korruption entgegennehmen, herantreten sollen. Dennoch haben Whistleblower letztendlich die Wahl, ob sie (mutmaßliche) Verstöße einer internen Meldestelle oder einer externen staatlichen Meldestelle (des Bundes) melden möchten.

Es ist daher wichtig, dass die internen Meldestellen auf Vertraulichkeit und Zugänglichkeit ausgerichtet sind - der Gesetzgeber betont dies explizit:

"Anreize dafür zu schaffen, dass sich hinweisgebende Personen vor einer Meldung an eine externe Meldestelle zunächst an die jeweilige interne Meldestelle wenden."

Es liegt auch im Interesse der Unternehmen, den Meldungsprozess so ansprechend wie möglich zu gestalten. Dadurch haben sie die Möglichkeit, etwaige Verstöße abzustellen, bevor sie an die Öffentlichkeit gelangen und potenzielle Auswirkungen auf ein Minimum zu reduzieren.

Es ist wichtig zu beachten, dass ein Verstoß gegen die Pflicht, eine interne Meldestelle einzurichten und zu betreiben, mit einem Bußgeld von 20.000 € geahndet werden kann. Darüber hinaus können unvorsichtige Handlungen im Betrieb einer internen Meldestelle Konsequenzen haben, insbesondere wenn dadurch die Vertraulichkeit nicht gewahrt wird und die Identität des Hinweisgebers oder von in seiner Meldung genannten Personen gegenüber Unbefugten offengelegt wird. In solchen Fällen droht ein Bußgeld von 50.000 €.

Frist zur Einrichtung einer Meldestelle

Aufgrund der abgelaufenen Umsetzungsfrist der EU-Whistleblower-Richtlinie und den Verzögerungen im Gesetzgebungsverfahren ist die Umsetzungsfrist für Unternehmen sehr knapp bemessen. Insbesondere kleinere Unternehmen mit in der Regel 50 bis 249 Beschäftigten müssen ihre Meldestellen bis zum 17. Dezember 2023 gemäß § 42 des Hinweisgeberschutzgesetzes einrichten. Größere Unternehmen hingegen sind verpflichtet, die Vorgaben umgehend umzusetzen. Bußgelder für den fehlenden Betrieb einer internen Meldestelle werden voraussichtlich erst ab dem 1. November 2023 verhängt.
 

Anforderungen und Aufgaben der Meldestelle 

Der Gesetzgeber stellt verschiedene Anforderungen an die mit den Aufgaben betrauten Personen. Vor allem müssen sie bei der Ausübung ihrer Tätigkeit unabhängig sein. Es ist jedoch zulässig, dass sie neben ihrer Tätigkeit für die interne Meldestelle auch andere Aufgaben und Pflichten übernehmen, solange gewährleistet ist, dass dadurch keine Interessenkonflikte entstehen (gemäß § 15 Abs. 1 des Hinweisgeberschutzgesetzes). Das Unternehmen hat sicherzustellen, dass die mit den Aufgaben einer internen Meldestelle betraute Person über die erforderliche Fachkunde verfügt (gemäß § 15 Abs. 2 des HinSchG).

Zu den Aufgaben der beauftragten Person gehören der Betrieb des Meldekanals, die Durchführung des Verfahrens bei internen Meldungen sowie das Ergreifen von Folgemaßnahmen, wie zum Beispiel interne Untersuchungen und die Kontaktaufnahme mit betroffenen Personen und Arbeitseinheiten. Die internen Meldekanäle müssen es den Hinweisgebern ermöglichen, Meldungen mündlich oder schriftlich abzugeben. Zudem muss die interne Meldestelle klare und leicht zugängliche Informationen zu externen Meldeverfahren bereitstellen. Auf Wunsch des Hinweisgebers kann auch ein persönliches Treffen arrangiert werden (gemäß §§ 16 Abs. 3 des HinSchG).
 

Datenschutzbeauftragter als geeignete Person 

Bereits in der europäischen Whistleblower-Richtlinie (EWG 56) wird insoweit als geeignete Person, um Meldungen entgegenzunehmen und Folgemaßnahmen zu ergreifen, der Datenschutzbeauftragte aufgeführt. Dies überrascht angesichts der Parallelen bei den Anforderungen kaum, schaut man sich die funktionalen sowie inhaltlichen Parallelen im Anforderungsprofil an:

• Sicherstellung der Unabhängigkeit der Tätigkeit;
• Vertraulichkeit bzw. die Wahrung der Geheimhaltung oder der Vertraulichkeit;
• Untersuchung möglicher Verstöße bzw. Meldungen und diese ggf. aufzuklären und auf eine Abstellung etwaiger Verstöße hinzuwirken.

Unternehmen sollten daher prüfen, ob ihr Datenschutzbeauftragter auch als interne Meldestelle eingesetzt werden kann. Eine gleichzeitige Besetzung durch einen externen Datenschutzbeauftragten und eine interne Meldestelle steht weder im Widerspruch zur Datenschutz-Grundverordnung (DSGVO) noch zur Whistleblower-Richtlinie (WBRL) (gemäß § 15 Abs. 1 Satz 2 HinSchG und Art. 38 Abs. 6 DSGVO). Bei internen Datenschutzbeauftragten, insbesondere wenn sie ihre Tätigkeit nur in Teilzeit ausüben, ist jedoch Vorsicht geboten. Die Einsparung von Ressourcen kann sich schnell als Trugschluss erweisen, da der Verantwortliche gesetzlich verpflichtet ist, ausreichende (zeitliche) Ressourcen zur Verfügung zu stellen, um beiden Aufgaben gerecht zu werden.