Neues Hinweisgeberschutzgesetz verabschiedet – was Unternehmen jetzt beachten müssen

Nach mehreren Verzögerungen im Gesetzgebungsverfahren hat der deutsche Gesetzgeber am 12. Mai 2023 nun endlich das Hinweisgeberschutzgesetz („HinSchG“) verabschiedet. Mit dem Gesetz wird die EU-Whistleblower-Richtlinie (RL (EU) 2019/1937) umgesetzt; entsprechende Gesetzgebungsverfahren sind in vielen EU-Ländern noch auf dem Weg. Mit einem Inkrafttreten ist ca. Mitte Juni 2023 zu rechnen. Unternehmen sind nun in der Pflicht, innerhalb kürzester Zeit eine interne Meldestelle zu errichten und entsprechende Prozesse zu etablieren.

Hintergrund: Besserer Schutz von „Whistleblowern“ im Betrieb

Das Gesetz soll Beschäftigten die Möglichkeit geben, Rechtsverstöße in Unternehmen zu melden, ohne eine Entlassung oder andere Nachteile befürchten zu müssen. Hinweisgebende Personen dürfen insbesondere wegen ihrer Meldung nicht Repressalien, also beruflichen Nachteilen, ausgesetzt werden (§ 36 HinSchG). Es wird vermutet, dass eine Benachteiligung, die ein Hinweisgeber im Zusammenhang mit seiner beruflichen Tätigkeit erleidet, eine „Repressalie“ darstellt, wenn der Hinweisgeber dies geltend macht (sog. Beweislastumkehr). Hinweisgeber sind auch nicht für die Beschaffung oder den Zugriff auf Informationen, die sie gemeldet oder offengelegt haben, verantwortlich, es sei denn, dies war  strafbar (§ 35 Abs. 1 HinSchG). 

Anders als unter bisherigem deutschen Recht sind nicht mehr nur schwere Verfehlungen meldefähig, sondern eine Vielzahl von Rechtsverstößen, etwa Datenschutzverletzungen, verbraucher-, geldwäsche- oder vergaberechtliche Verstöße (vgl. § 2 HinSchG).

Unternehmen müssen interne Meldestellen einrichten

Zur Meldung von Rechtsverstößen müssen alle Unternehmen mit mehr als 50 Beschäftigten eine interne Meldestelle einrichten (§ 12 HinSchG). Mit den Aufgaben der Meldestelle können sie entweder einen oder mehrere fachkundige Beschäftigte oder einen Dritten beauftragen (§§ 14 Abs. 1, 15 HinSchG). Für Unternehmen mit 50-249 Beschäftigten gilt begünstigend, dass diese mit anderen Unternehmen zusammen eine gemeinsame interne Meldestelle einrichten dürfen (§ 14 Abs. 2 HinSchG). Das Meldewesen der Unternehmen führt also neue Aufgaben und auch neue, durch § 10 HinSchG erlaubte Datenverarbeitungstätigkeiten ein, die Unternehmen entsprechend handhaben müssen (etwa durch Anpassung ihrer Datenschutzhinweise oder Verarbeitungsverzeichnisse).

Das Gesetz sieht ferner einige Anforderungen für das Verfahren interner Meldestellen vor, insbesondere:

• Meldungen erfolgen telefonisch, in Textform oder auf Wunsch des Hinweisgebers persönlich (§ 16 Abs. 3 HinSchG). Nach einer zuletzt erfolgten Änderung des Gesetzes müssen Unternehmen allerdings keine anonymen Meldungen mehr ermöglichen (§ 16 Abs. 1 HinSchG).
• Die interne Meldestelle muss dem Hinweisgeber binnen sieben Tagen den Eingang der Meldung bestätigen. Sie prüft auch, ob der gemeldete Verstoß in den Anwendungsbereich des HinSchG fällt. Daraus lässt sich schließen, dass der Gesetzgeber das Meldewesen auf die in § 2 HinSchG genannten Rechtsverstöße begrenzen, bei sonstigen Verstößen also andere Kanäle – etwa die Nachricht an den direkten Vorgesetzten – präferieren wollte. Binnen drei Monaten muss die Meldestelle dem Hinweisgeber eine Rückmeldung über den Stand des Verfahrens geben (§ 17 Abs. 2 HinSchG).
• Die eingegangenen Meldungen prüft die Meldestelle auf ihre Stichhaltigkeit (§ 17 HinSchG) und trifft ggf. Folgemaßnahmen (z.B. interne Untersuchung oder Weiterleitung an zuständige Behörden, vgl. § 18 HinSchG). Die Meldungen sind zu dokumentieren, und die Dokumentation drei Jahre lang aufzubewahren (§ 11 HinSchG).

Daneben wird es externe Meldestellen auf Bundes- und Länderebene geben (§§ 20 ff. HinSchG).

Sanktionen für Unternehmen

Das Hinweisgeberschutzgesetz sieht Geldbußen von 10.000 bis zu 50.000 € vor, etwa für fehlende Einrichtung einer internen Meldestelle oder das Ergreifen von Repressalien gegen hinweisgebende Personen (§ 40 Abs. 2, 6 HinSchG). Bei letzterem ist auch Schadensersatz möglich (§ 37 Abs. 1 HinSchG). Unternehmen können schließlich ihrerseits gem. § 38 HinSchG Schadensersatz verlangen, wenn eine vorsätzliche oder grob fahrlässige Falschmeldung erfolgt.

Frist zur Umsetzung

Vor dem Hintergrund der sehr kurzen Umsetzungsfrist sollten sich Unternehmen, die in den Anwendungsbereich des Gesetzes fallen, sehr kurzfristig mit Einrichtung einer internen Meldestelle anhand der gesetzlichen Anforderungen befassen, da die Einrichtung der internen Meldestelle bereits einen Monat nach Verkündung – also mit Inkrafttreten des Gesetzes – erfolgen muss. Unternehmen mit bis zu 249 Beschäftigten haben hierfür dagegen bis zum 17. Dezember 2023 Zeit (§ 42 HinSchG).

Darüber hinaus werden auch für Unternehmen, die bereits ein Hinweisgebersystem vorhalten, durch das HinSchG konkrete Maßnahmen gefordert: Diese müssen unmittelbar überprüfen, ob die jeweiligen (Verfahrens-) Voraussetzungen des HinSchG durch ihr bestehendes System abgedeckt werden.