Hinweisgeberschutzgesetz
Hinweisgeberschutzgesetz – Pflicht für die Compliance

Hinweisgeberschutzgesetz – Pflicht für die Compliance

Am 23. Oktober 2019 verabschiedete der Rat der Europäischen Union die sogenannte Whistleblower-Richtlinie. Ziel dieser Richtlinie ist es, den Schutz von Hinweisgebenden zu gewährleisten, die Missstände in Unternehmen aufdecken, um für mehr Compliance zu sorgen. Wir berichteten bereits in unserem Blog darüber. Da Richtlinien der EU, im Gegensatz zu Verordnungen, nicht unmittelbar anwendbar sind, müssen sie in nationale Gesetze übernommen werden. Im Falle der Eu-Whistleblower-Richtlinie sollten die Staaten ihre Gesetze bis zum 17.12.2021 veröffentlichen. Leider scheitere die letzte CDU-geführte Bundesregierung vor der Bundestagswahl den damaligen Gesetzentwurf zum Hinweisgeberschutzgesetz (HinSchG) zu verabschieden, weshalb für einige Unternehmen nun ein akuter Handlungsbedarf entsteht. Zuletzt beriet der Bundestag erstmals am 29. September 2022 über diesen Entwurf.

Wann genau das neue Hinweisgeberschutzgesetz verabschiedet wird und in Kraft tritt, steht noch nicht abschließend fest. Spätestens drei Monate nachdem das Gesetz verkündet wird, tritt das HinSchG in seiner finalen Form in Kraft.

Zielsetzung des neuen Gesetzes

Das neue HinSchG bezweckt den Schutz von Personen, die Rechtsverstöße eines Unternehmens melden wollen. Solche Meldungen sollen sowohl durch die Pflicht zur Einführung von internen als auch externen Meldewegen erleichtert und die Hinweisgebenden besser vor Benachteiligungen und Repressalien schützen und zusätzlich für mehr Rechtssicherheit und Transparenz sorgen. Auf der anderen Seite haben auch die betroffenen Unternehmen ein Interesse daran, dass etwaige Missstände nicht sofort an die breite Öffentlichkeit geraten, sondern möglichst zunächst intern geprüft und ggf. abgestellt werden können. Das Gesetz soll die verschiedenen Interessenlagen in Ausgleich bringen und geht dafür an einigen Stellen über die Vorgaben der EU-Richtlinie hinaus.

Welche Unternehmen sind vom Hinweisgeberschutzgesetz betroffen?

Unternehmen mit ab 50 Beschäftigten sind verpflichtet, interne Meldestellen im Unternehmen einzurichten (§ 12 Abs. 1, 2 HinSchG-E). Dabei besteht für Unternehmen mit ab 250 Beschäftigten eine sofortige Handlungspflicht mit Inkrafttreten des Gesetzes, da dann nur noch die 3-monatige Übergangsfrist gilt. Während für kleine Unternehmen ab 50 und bis zu 249 Beschäftigten eine Übergangsfrist bis zum 17. Dezember 2023 im Gesetzentwurf enthalten ist (§ 42 S.1 HinSchG-E). Zu beachten ist, dass der weite europäische Beschäftigtenbegriff zu Grunde zu legen ist, so dass zum Beispiel auch Fremdgeschäftsführer, Praktikanten oder arbeitnehmerähnliche Personen mitzuzählen sind.

Ausnahmen gelten für Unternehmen, wie z. B. Kredit- oder Wertpapierinstitute. Für sie gilt die Pflicht zur Errichtung einer Meldestelle unabhängig von der Zahl der Beschäftigten und ohne die Übergangsfrist, §§ 12 Abs. 3, 42 S.2 HinSchG-E.

Was soll gemeldet werden können?

Grundprinzipiell sind sollen alle Rechtsverstöße von Unternehmen oder Angestellten gemeldet werden können. Folgende Bereiche sind gemäß Hinweisgeberschutzgesetz (HinSchG) von besonderer Relevanz:

• Datenschutz
• öffentliches Auftragswesen
• Finanzsektor (inklusive Geldwäsche und Terrorismusfinanzierung)
• Produktsicherheit und -konformität
• Umweltschutz
• Lebensmittelsicherheit und Tierschutz
• öffentliche Gesundheit
• Verbraucherschutz
• Finanz- und Steuerrecht
• Straf- und Bußgeldrecht
• Verkehrsrecht (inklusive Straße, Schiene, Wasser und Luft)

Die Meldestellen

Hinweisgebende haben nach dem neuen Gesetzesentwurf die freie Wahl zwischen internen und externen Meldestellen, welche vom Gesetz gleichgestellt sind (§ 7 HinSchG-E). Der Entwurf sieht u.a. das Bundesamt für Justiz als zentrale externe Meldestelle auf Bundesebene vor (§ 19 Abs. 1 HinSchG-E). Für Datenschutzrelevante Themen, soll das BfDI (Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheiten) als externe Stelle dienen.

Ein Vorrang der internen vor der externen Meldung besteht nicht. Weder für die internen noch die externen Meldestellen besteht eine Pflicht, anonyme Meldungen zu ermöglichen. Die Meldestellen sind jedoch verpflichtet, die Vertraulichkeit im Hinblick auf die Identität der hinweisgebenden Person sowie von Personen, die Gegenstand einer Meldung oder sonst in dieser genannt sind, zu wahren (§ 8 HinSchG-E). Einschränkungen des Vertraulichkeitsgebots finden sich u. a. § 9 HinSchG-E, z. B. in Strafverfahren auf Verlangen der Strafverfolgungsbehörden oder auf Grund einer gerichtlichen Entscheidung.

In Konzernen soll es in Abweichung zur EU-RL möglich sein, eine zentrale Meldestelle bei der Konzernmutter einzurichten.

Wer kann die Meldestelle sein?

Gem. § 15 HinSchG-E muss sichergestellt werden, dass sämtliche mit den Aufgaben der internen Meldestelle beauftragte Personen über die notwendige Fachkunde verfügen und in ihrer Tätigkeit unabhängig sind. Welche Personen dies konkret sein können, regelt der Gesetzesentwurf nicht.

Die EU-RL erwähnt in den Erwägungsgründen jedoch beispielhaft Mitarbeiter der Compliance- oder Rechtsabteilung, den Datenschutzbeauftragten des Unternehmens oder externe Berater, etwa Rechtsanwälte.

Mit den Aufgaben der internen Meldestelle können gem. § 14 Abs. 1 auch Dritte beauftragt werden, womit sich das Unternehmen jedoch seiner Verantwortlichkeit nicht entledigen kann.

Wie ist der Ablauf des Meldeverfahrens?

Die Anforderungen an die internen Meldekanäle sind nicht besonders hoch. Sie müssen wenigstens den Beschäftigten des Unternehmens sowie etwaigen Leiharbeitnehmern offenstehen (§ 16 Abs. 1 HinSchG-E) und Meldungen in mündlicher oder in Textform ermöglichen (§ 16 Abs. 3 HinSchG-E). Das Verfahren bei internen Meldungen ist in § 17 HinSchG-E geregelt.

1. Die interne Meldestelle muss der hinweisgebenden Person innerhalb von sieben Tagen den Eingang der Meldung bestätigen.

2. Innerhalb von drei Monaten nach Bestätigung des Eingangs muss die Meldestelle dem Hinweisgeber eine Rückmeldung geben. Diese Rückmeldung muss über geplante sowie bereits ergriffene Folgemaßnahmen informieren, sowie die Gründe für diese nennen.

Die Meldungen sind umfassend zu dokumentieren (§ 11 HinSchG-E). Gem. § 10 HinSchG-E sind die Meldestellen zur Verarbeitung der erforderlichen personenbezogenen Daten befugt. Damit das Meldeverfahren im Einklang mit den Vorgaben der DSGVO gestaltet wird, sollten in jedem Fall die Datenschutzbeauftragten hinzugezogen werden.

Verbot von Repressalien und Beweislastumkehr

Der Gesetzesentwurf zum HinSchG stellt ausdrücklich klar, dass Unternehmen Hinweisgebende nicht benachteiligen dürfen. Gem. § 36 Abs. 1 HinSchG-E sind Repressalien gegen hinweisgebende Personen verboten. § 36 Abs. 2 HinSchG-E enthält zudem eine Beweislastumkehr zugunsten des Hinweisgebenden: Erleidet eine hinweisgebende Person nach einer Meldung oder Offenlegung eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit, so wird vermutet, dass diese Benachteiligung eine Repressalie ist. In diesem Fall hat das Unternehmen zu beweisen, dass die Benachteiligung in keinem Zusammenhang mit dem Hinweis steht.

Schadensersatzansprüche und Sanktionen

Bei einem Verstoß gegen das Repressionsverbot ist der Verursacher der hinweisgebenden Person zum Schadensersatz verpflichtet (§ 37 Abs. 1 HinSchG-E). Gem. § 38 HinSchG-E kann sich die hinweisgebende Person jedoch selbst schadensersatzpflichtig machen, wenn sie vorsätzlich oder grob fahrlässig falsche Meldungen oder Offenlegungen tätigt.
§ 40 HinSchG-E sieht einen Bußgeldkatalog für Verstöße vor. Unternehmen, die entgegen der Verpflichtung keine interne Meldestelle einrichten oder betreiben, droht ein Bußgeld von bis zu 20.000 EUR. Repressalien gegen hinweisgebende Personen, Behinderungen von Whistleblower-Meldungen sowie Verletzungen der Vertraulichkeit können mit einem Bußgeld von bis zu 100.000 EUR gegen natürliche Personen und bis zu 1 Mio. EUR (§ 30 Abs. 2 S. 3 OWiG) gegen Unternehmen geahndet werden.

Fazit

Das kommende Hinweisgeberschutzgesetz dürfte damit im Herbst und Winter dieses Jahres wieder einmal unmittelbaren Handlungsbedarf auslösen. Mit der Umsetzung der gesetzlichen Vorgaben, insbesondere der Implementierung des Meldesystems, sollte zeitnah begonnen werden. Alle Beschäftigten müssen über das Verfahren und die Meldestellen rechtzeitig informiert werden.
Solltet Ihr Unterstützung bei der Einführung eines Meldesystems benötigen, kommt wie immer einfach auf uns zu.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

*