Hinweisgeberschutzgesetz - Umsetzung der EU-Whistleblower-RL

Die EU-Whistleblower-Richtlinie hätte bis 17.12.2021 in nationales Recht umgesetzt werden müssen. Nunmehr hat das Bundeskabinett am 27.7.2022 einen Regierungsentwurf beschlossen und damit das Gesetzgebungsverfahren eingeleitet.   Was kommt nun auf die deutschen Unternehmen zu?  

Regierungsentwurf Hinweisgeberschutzgesetz beschlossen

Da Deutschland die EU-Whistleblower-Richtlinie nicht rechtzeitig umgesetzt hatte, wurde die EU Ende Januar 2022 aktiv. Die EU-Kommission hat im Januar ein förmliches Vertragsverletzungsverfahren gegen Deutschland und 22 weitere Mitgliedstaaten eingeleitet.   

Nachdem das Bundesjustizministerium am 13.4.2022 einen Referentenentwurf des deutschen Hinweisgeberschutzgesetzes veröffentlicht hatte, wurde nun am 27.7.2022 vom Bundeskabinett der Regierungsentwurf des Hinweisgeberschutzgesetzes verabschiedet und damit das eigentliche Gesetzgebungsverfahren eingeleitet. Es ist damit zu rechnen, dass der Bundestag sich nach der Sommerpause im September mit dem Gesetzesentwurf befassen wird.

Mit diesem Hinweisgeberschutzgesetz soll der bislang lückenhafte und unzureichende Schutz von hinweisgebenden Personen ausgebaut und die EU-Whistleblower-Richtlinie (Richtlinie (EU) 2019/1937) in nationales Recht umgesetzt werden.   

Zentraler Bestandteil des Regierungsentwurfs ist ein neues Stammgesetz für einen besseren Schutz hinweisgebender Personen (Hinweisgeberschutzgesetz, HinSchG). Das Hinweisgeberschutzgesetz wird begleitet von notwendigen Anpassungen bestehender gesetzlicher Regelungen, insbesondere auch im Bereich des Dienstrechts.  

Da grundlegend Konsens in der Regierungskoalition zu diesem Gesetzesentwurf besteht, ist damit zu rechnen, dass das Gesetzgebungsverfahren in den kommenden Monaten zügig abgeschlossen wird, so dass das Gesetz im Laufe des Herbsts verabschiedet wird und 3 Monate nach Verkündung in Kraft treten kann.  

Ziel: Schutz der hinweisgebenden Person, Beweislastumkehr für Arbeitgeber

Ziel dieses Gesetzes ist es, den Schutz hinweisgebender Personen und sonstiger von einer Meldung betroffener Personen zu stärken und sicherzustellen, dass ihnen im Rahmen der Vorgaben dieses Gesetzes keine Benachteiligungen drohen. 

Bislang existiert in Deutschland kein umfassendes, einheitliches Hinweisgeberschutzsystem. Hinweisgebende Personen (Whistleblower) können nach Auffassung des Gesetzgebers allerdings wertvolle Beiträge dazu leisten, das Fehlverhalten natürlicher oder juristischer Personen aufzudecken und die negativen Folgen dieses Fehlverhaltens einzudämmen beziehungsweise zu korrigieren. In der Vergangenheit war es immer wieder zu Fällen gekommen, in denen hinweisgebende Personen Nachteile zu erleiden hatten. In anderen Fällen ist davon auszugehen, dass Personen mit Insiderwissen von einer Meldung abgesehen haben, weil sie Repressalien fürchteten.  

Wer wird vom Schutz des Gesetzes umfasst? 

  • Hinweisgebende Person; 
  • Personen, die Gegenstand einer Meldung sind; 
  • sonstige Personen, die von einer Meldung betroffen werden. 

Repressalien und jedwede Vergeltungsmaßnahmen gegenüber Hinweisgebern sind untersagt. In diesem Zusammenhang wird auch eine Regelung über eine Beweislastumkehr (§ 36 HinSchG-E) eingeführt. Arbeitgeber müssen demnach künftig nachweisen, dass Maßnahmen gegen Arbeitnehmer nicht im Zusammenhang mit der Aufdeckung von Missständen stehen. 

Bedingungen für den Schutz der hinweisgebenden Person

Die Voraussetzungen für den Schutz der hinweisgebenden Person sind in den §§ 33 ff. HinSchG-E enthalten.   

Der Schutz gilt für hinweisgebende Personen, sofern  

  • diese eine „interne“ oder „externe Meldung“ erstattet hat, im Ausnahmefall wird auch eine Offenlegung geschützt, 
  • die hinweisgebende Person zum Zeitpunkt der Meldung oder Offenlegung hinreichenden Grund zu der Annahme hatte, dass die von ihr gemeldeten oder offengelegten Informationen der Wahrheit entsprechen, und 
  • die Informationen Verstöße betreffen, die in den Anwendungsbereich dieses Gesetzes fallen, oder die hinweisgebende Person zum Zeitpunkt der Meldung oder Offenlegung hinreichenden Grund zu der Annahme hatte, dass dies der Fall sei. 

Folgen bei einer falschen Meldung

Eine falsche Verdächtigung im Rahmen einer Meldung oder Offenlegung kann weitreichende Folgen für die betroffene Person haben. Die Auswirkungen lassen sich unter Umständen nicht mehr gänzlich rückgängig machen. Es sollen jedoch keine überhöhten Anforderungen an hinweisgebende Personen in Bezug auf die Überprüfung der Richtigkeit der Informationen gestellt werden. Deshalb besteht der Schutz für die hinweisgebender Person auch in solchen Fällen, in denen sich der Hinweis aus als nicht zutreffend herausstellt, die hinweisgebende Person zum Zeitpunkt der Meldung jedoch davon ausgehen konnte, dass der Hinweis zutrifft. 

Ein Schutz für Hinweisgeber besteht allerdings nicht, wenn es sich um eine vorsätzliche oder grob fahrlässige Weitergabe unrichtiger Informationen handelt. In solchen Fällen ist der böswillige Hinweisgeber sogar zum Ersatz des Schadens verpflichtet (§ 38 HinSchG-E). 

Welche Rechtsgebiete werden vom Hinweisgeberschutzgesetz umfasst?

Hinweisgebende Personen sollen auf den Schutz des HinSchG vertrauen können, wenn sie Verstöße gegen folgende Vorschriften melden: 

1. Verstöße gegen Strafvorschriften: Dies umfasst jede Strafnorm nach deutschem Recht. 

2. Verstöße, die bußgeldbewehrt sind, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient: Die Regelung ist nach dem Willen des Gesetzgebers weit zu verstehen. Eine Bußgeldvorschrift dient dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane, wenn sie diesen Schutz bezweckt oder dazu beiträgt, den Schutz der genannten Rechtsgüter und Rechte zu gewährleisten. Darunter fallen beispielsweise Vorschriften aus folgenden Bereichen: 

  • Arbeitsschutz, 
  • Gesundheitsschutz,  
  • Verstöße gegen das Mindestlohngesetz, 
  • Vorgaben des Arbeitnehmerüberlassungsgesetzes, 
  • Bußgeldvorschriften, die Verstöße gegen Aufklärungs- und Auskunftspflichten gegenüber Organen der Betriebsverfassung wie Betriebsräten, Gesamtbetriebsräten, Konzernbetriebsräten, Wirtschaftsausschüssen sanktionieren (§ 121 des Betriebsverfassungsgesetzes).

3. Darüber hinaus sind alle Verstöße gegen Rechtsnormen umfasst, die zur Umsetzung europäischer Regelungen getroffen wurden. Dies umfasst eine Vielzahl verschiedener Bereiche, die zur Umsetzung der der EU-Whistleblower-RL im HinSchG enthalten sind. Dies sind beispielsweise folgende Bereiche: 

  • Regelungen zur Bekämpfung der Geldwäsche, 
  • Vorgaben zur Produktsicherheit, 
  • Vorgaben zur Beförderung gefährlicher Güter, 
  • Vorgaben zum Umweltschutz, Strahlenschutz, 
  • Lebensmittel- und Futtermittelsicherheit, 
  • Qualitäts- und Sicherheitsstandards bei Arzneimitteln und Medizinprodukten, 
  • Regelungen des Verbraucherschutzes, 
  • Regelungen des Datenschutzes, 
  • Sicherheit in der Informationstechnik, 
  • Vergaberecht, 
  • Regelungen zur Rechnungslegung bei Kapitalgesellschaften. 

Wahlmöglichkeit zwischen „interner und externer Meldestelle“

Hinweisgebende Personen haben die freie Wahl, ob sie sich an eine „interne Meldestelle“ des Unternehmens oder eine „externe Meldestelle“ der Behörden werden. Sie können somit den Meldekanal frei wählen, der sich angesichts der fallspezifischen Umstände am besten eignet.  

Pflicht zur Einrichtung einer „internen Meldestelle“ für Unternehmen

Welche Unternehmen werden vom HinSchG umfasst? 

Um ein weitgehendes und einheitliches Schutzniveau zu erreichten, wird der Kreis der Beschäftigungsgeber durch den Gesetzgeber weit gefasst. Dies sind  

  • juristische Personen des Privatrechts wie der eingetragene Verein, die eingetragene Genossenschaft, die Aktiengesellschaft, die Kommanditgesellschaft auf Aktien, die Gesellschaft mit beschränkter Haftung und Stiftungen des Privatrechts;. 
  • juristischen Personen des öffentlichen Rechts, insbesondere Gebietskörperschaften, Personalkörperschaften sowie Verbandskörperschaften auf Bundes- und Landesebene;. 
  • rechtsfähige Personengesellschaften und  
  • sonstige rechtsfähige Personenvereinigungen. 

Umfasst werden deshalb auch 

  • Anstalten, wie die Landesrundfunkanstalten;, 
  • öffentlich-rechtliche Stiftungen;,  
  • die evangelische und katholische Kirche mit ihren Kirchengemeinden; 
  • sonstige gemäß Artikel 140 GG, Artikel 137 Absatz 5 der Weimarer Reichsverfassung als Körperschaften des öffentlichen Rechts oder nach entsprechenden Bestimmungen des Landesrechts anerkannte oder als Vereine des BGB konstituierte Kirchen und  
  • sonstige Religionsgemeinschaften. 

Mit der Verabschiedung dieses Gesetzes kommt eine gesetzliche Verpflichtung zur Einführung eines Hinweisgeberverfahrens (sogenannte „interne Meldestelle“): 

  • für Beschäftigungsgeber mit mehr als 250 Mitarbeiter sofort nach Inkrafttreten des Gesetzes, 
  • für Beschäftigungsgeber mit mehr als 50 Mitarbeiter (und bis 249 Mitarbeiter) ab dem 17.12.2023. 

Unternehmen mit einer Mitarbeiteranzahl zwischen 50 und 249 Mitarbeiter können gem. § 14 Abs. 2 HinSchG-E eine „gemeinsame Meldestelle“ betreiben. 

Für Gemeinden und Gemeindeverbände richtet sich die Pflicht zur Einrichtung interner Meldestellen nach dem jeweiligen Landesrecht, da dem Bund insoweit infolge des „Durchgriffsverbots“ eine unmittelbare Aufgabenübertragung an Gemeinden und Gemeindeverbände verwehrt ist. Im jeweiligen Landesrecht kann vorgesehen werden, dass Gemeinden und Gemeindeverbände mit weniger als 10 000 Einwohnern von der Pflicht zur Einrichtung interner Meldestellen ausgenommen werden. Hier werden also zeitnah noch Landesgesetze der Bundesländer zu erlassen sein. 

Regelungen in Konzernen 

Nach § 12 HinSchG-E müssen alle Unternehmen mit mehr als 50 Mitarbeiter (siehe vorstehend) eine eigene interne Meldestelle einrichten. § 14 HinSchG-E erlaubt es jedoch, auch einen „Dritten“ mit der Aufgabe einer internen Meldestelle zu beauftragen. 

Gemäß dem konzernrechtlichen Trennungsprinzip kann auch bei einer anderen Konzerngesellschaft (zum Beispiel Mutter-, Schwester-, oder Tochtergesellschaft) eine unabhängige und vertrauliche Stelle als „Dritter“ im Sinne von § 14 HinSchG eingerichtet werden, die auch für mehrere selbständige Unternehmen in dem Konzern tätig sein kann. Dabei ist es nach Ausführungen des Gesetzgebers allerdings notwendig, dass die originäre Verantwortung dafür, einen festgestellten Verstoß zu beheben und weiterzuverfolgen, immer bei dem jeweiligen beauftragenden Tochterunternehmen verbleibt. 

Durch den Betrieb solcher „gemeinsamen“ internen Meldestellen, die für die jeweiligen rechtlich selbstständigen Tochterunternehmen tätig würden, kommt es jedoch nicht zu einem Übergang der Verantwortung. Die Expertise für die Bearbeitung von Meldungen läge dann konzentriert bei der internen Meldestelle, die beispielsweise über technische Meldekanäle und Personal verfügt und auch interne Ermittlungen in den jeweils betroffenen Konzernteilen durchführen kann, wohingegen die Verantwortung und die Verpflichtung zum Abstellen des Rechtsverstoßes beim jeweiligen Tochterunternehmen verbleiben.  

Soweit eine Berichterstattung an die Konzernleitung erforderlich erscheint, z. B. weil ein Verstoß nicht nur das konkrete Unternehmen betrifft, muss diese unter voller Wahrung der Vertraulichkeit der Identität der hinweisgebenden Person durch oder im Auftrag des jeweiligen Tochterunternehmens erfolgen. In jedem Fall ist zu gewährleisten, dass die Stelle, die im Konzern mit den Aufgaben einer internen Meldestelle beauftragt wird, bei der Ausübung ihrer Tätigkeit unabhängig ist und auch das Vertraulichkeitsgebot beachtet.  

Dabei ist mit Blick auf etwaige Umsetzungsunterschiede in den einzelnen EU-Staaten bei transnational tätigen Konzernen das hinweisgebende Personen schützende Recht des jeweiligen Staates zu beachten. 

Anforderungen an die „interne Meldestelle“ 

Gemäß § 16 HinSchG-E sind die Meldekanäle sind so zu gestalten, dass nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen sowie die sie bei der Erfüllung dieser Aufgaben unterstützenden Personen Zugriff auf die eingehenden Meldungen haben. Es muss also sichergestellt werden, dass keine unberechtigten Personen Zugriff auf die Identität der hinweisgebenden Person oder den Hinweis selbst haben. Dies hat Auswirkungen auf die technische Ausgestaltung des internen Meldekanals (siehe nachfolgend). 

Interne Meldekanäle müssen Meldungen in mündlicher oder in Textform ermöglichen. Mündliche Meldungen müssen per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein. Auf Ersuchen der hinweisgebenden Person ist für eine Meldung innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft mit einer für die Entgegennahme einer Meldung zuständigen Person der internen Meldestelle zu ermöglichen.  

Von besonderer Bedeutung ist der Schutz der Vertraulichkeit der Identität der hinweisgebenden Person. Wesentlich für die Akzeptanz des Hinweisgeberverfahrens ist ein wirksamer Schutz der Identität der hinweisgebenden und sämtlicher von einer Meldung betroffenen Personen. Die Identität darf dabei grundsätzlich nur den jeweils für die Bearbeitung einer Meldung zuständigen Personen bekannt sein. Informationen über die Identität einer hinweisgebenden Person oder einer Person, die Gegenstand einer Meldung ist, sollen nur in Ausnahmefällen herausgegeben werden dürfen, etwa in Strafverfahren auf Verlangen der Strafverfolgungsbehörden.  

Das Hinweisgeberschutzgesetz sieht folgende Varianten der Umsetzung vor: 

  1. Einrichtung einer telefonischen Hotline: 

    Da die Meldung zu jeder Zeit möglich sein muss, muss bei einer persönlichen Hotline sichergestellt werden, dass diese permanent besetzt ist und sich keine sprachlichen Barrieren ergeben.  

  2. Persönliche/Physische Zusammenkunft: 

    Wünscht der Hinweisgeber eine persönliche physische Zusammenkunft mit einem Ansprechpartner, muss dies ermöglicht werden. Da der Hinweisempfänger jedoch den Meldenden i.d.R. nicht persönlich kennt, dürfte sich dies in der Praxis bei anonymen Hinweisen eher schwierig gestalten. 

  3. Einrichtung eines IT-gestützten Hinweisgebersystems: 

    Die Einrichtung eines IT-gestützten Hinweisgebersystems ermöglicht eine vertrauliche, verschlüsselte Kommunikation zwischen Hinweisgeber und Fallbearbeiter, die zu jeder Tages- und Nachtzeit stattfinden kann. Sofern die IP-Adresse des Meldenden bei einem derartigen System nicht gespeichert wird, ist dessen Identifizierung nicht möglich. 

Anforderungen an die Personen, die Hinweise entgegennehmen

Gem. § 15 HinSchG-E müssen die mit den Aufgaben einer internen Meldestelle beauftragten Personen bei der Ausübung ihrer Tätigkeit unabhängig sein. Sie können neben ihrer Tätigkeit für die interne Meldestelle andere Aufgaben und Pflichten wahrnehmen. Es ist dabei allerdings sicherzustellen, dass derartige Aufgaben und Pflichten nicht zu Interessenkonflikten führen. 

Darüber hinaus ist das Unternehmen verpflichtet, dafür Sorge zu tragen, dass die mit den Aufgaben einer internen Meldestelle beauftragten Personen über die notwendige Fachkunde verfügen.  

Deshalb stellt sich für kleinere oder mittlere Unternehmen die Frage, ob bei der zu erwartenden geringen Anzahl von Hinweisen (siehe nachfolgend) es sinnvoll ist, eine interne Person mit der Bearbeitung von Hinweisen zu beauftragen und diese Person entsprechend zu qualifizieren. Es wird i. d. R. effizienter sein, eine erfahrene externe Ombudsperson mit der Entgegennahme und ersten Bearbeitung von eingehenden Hinweisen zu beauftragen. Die Ombudsperson, die den Anruf in diesem Fall entgegennimmt, ist aber ein zur Wahrheit verpflichteter Zeuge. Auch einem Rechtsanwalt stehen in dieser Phase keine besonderen Zeugnisverweigerungsrechte zu, siehe hierzu Bundesverfassungsgericht (Beschluss v. 27.6.2018, 2 BvR 1405/17). Deshalb nennt der Gesetzgeber in der amtlichen Begründung zu § 14 HinSchG als mögliche Dritte, die eine interne Meldestelle betreiben können, externe Berater, Prüfer, Gewerkschaftsvertreter oder Arbeitnehmervertreter. 

Umgang mit anonymen Hinweisen

Nach dem vorliegenden Regierungsentwurf besteht keine direkte Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen.  

Nach § 16 Abs. 1 Satz 4 HinSchG-E soll die interne Meldestelle auch anonym eingehende Meldungen bearbeiten, soweit dadurch die vorrangige Bearbeitung nichtanonymer Meldungen nicht gefährdet wird. 

Der Gesetzgeber begründet den Verzicht auf die Pflicht zur Bearbeitung anonymer Hinweise damit, dass man das Hinweisgeberschutzsystem nicht zu überlasten und erste Erfahrungen sowohl interner wie auch externer Meldestellen abwarten wolle. Ob diese Regelung im Gesetzgebungsverfahren so bestehen bleiben wird, bleibt abzuwarten.  

Von besonderer Bedeutung bei dieser Frage ist insbesondere, dass die entsprechenden ISO-Normen (ISO 37301, ISO 37001) die Entgegennahme anonymer Hinweise verlangen. Sollte ein Unternehmen also künftig eine Zertifizierung nach diesen ISO-Normen anstreben, muss das einzurichtende Hinweisgeberverfahren die Bearbeitung anonymer Hinweise ermöglichen.  

Verfahren bei internen Meldungen

Gem. § 17 HinSchG-E sind folgende Verfahrensregeln zu beachten: 

  • Eingangsbestätigung an die hinweisgebende Person spätestens nach sieben Tagen;
  • Prüfung, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich des § 2 HinSchG fällt;
  • Kontakt mit der hinweisgebenden Person halten, ggf. um weitere Information ersuchen; 
  • Stichhaltigkeit der eingegangenen Meldung prüfen;
  • angemessene Folgemaßnahmen ergreifen;
  • Rückmeldung an die hinweisgebende Person innerhalb von drei Monaten nach der Bestätigung des Eingangs der Meldung;  
  • die Rückmeldung soll die Mitteilung geplanter sowie bereits ergriffener Folgemaßnahmen sowie die Gründe für diese enthalten, sofern dadurch interne Nachforschungen oder Ermittlungen nicht berührt und die Rechte der Personen, die Gegenstand einer Meldung sind oder die in der Meldung genannt werden, nicht beeinträchtigt werden. 
  • Die Hinweise sind unter Beachtung des Vertraulichkeitsgebotes zu dokumentieren. Diese Dokumentation ist zwei Jahre nach Abschluss des Verfahrens zu löschen. 

Interne und kostenneutrale Lösungen für Meldekanäle können gegen das Vertraulichkeitsgebot des Hinweisgeberschutzgesetzes verstoßen

Intuitiv wird wohl seitens der Unternehmen zunächst eine interne und kostengünstige Lösung angestrebt. Werden die möglichen Meldekanäle jedoch vor dem Hintergrund der Anforderungen der Richtlinie betrachtet, stößt man auf Konfliktfelder:  

Bei der Einrichtung einer internen E-Mail-Adresse oder internen Telefonnummer für die vertrauliche Meldung von Hinweisen kann i. d. R. nicht garantiert werden, dass nicht zuständige Personen (hier das IT-Personal des Unternehmens mit seinen administrativen Rechten) in das System eingreifen können und Kenntnis von Anrufer (über die Rufnummer) oder sogar vom Inhalt des Hinweises erhalten (durch Zugriff auf den Mail-Server). Dies widerspricht jedoch dem Gebot des Gesetzes, dass nicht befugte Mitarbeiter keinen Zugriff auf das System bzw. die übermittelten Meldungen haben dürfen.  

Demzufolge verbleibt für eine telefonische interne Meldestelle die Einrichtung einer für den Anrufer kostenlosen externen Nummer (wie z. B. das „freecall 0800 Smart“-Angebot der Telekom), wobei der Anruf entweder auf einer Voicebox aufgenommen oder von einer Ombudsperson entgegengenommen wird, da durch eine solche externe Nummer die Rufnummer des Anrufers nicht übermittelt wird. 

Faktisch verbleiben also wenige Optionen: Die Einrichtung eines IT-gestützten Systems oder die telefonische Entgegennahme des Hinweises über eine externe Telefonnummer einer Ombudsperson. Der unter Umständen dennoch abträgliche Faktor hinsichtlich der Ombudsperson: Die Kosten. Eine permanent per Telefon erreichbare Ombudsperson, die alle für die Organisation relevanten Sprachen bedienen kann und sogar noch verschiedene Zeitzonen abdeckt, kann durchaus nicht unerhebliche Kosten verursachen. 

CompCor Whistleblowing

Schadensersatzansprüche bei Verstoß gegen das Hinweisgeberschutzgesetz 

Der Entwurf des HinSchG enthält zwei spezielle Schadensersatzvorschriften: Zum einen ist der hinweisgebenden Person bei einem Verstoß gegen das Repressalienverbot der daraus entstehende Schaden zu ersetzen. Zum anderen ist im Falle einer vorsätzlichen oder grob fahrlässigen Falschmeldung die hinweisgebende Person zur Erstattung des dadurch eingetretenen Schadens verpflichtet. 

Sanktionen, Bußgelder bei Verstoß gegen das Hinweisgeberschutzgesetz

Verstöße gegen die wesentlichen Vorgaben des HinSchG sollen als Ordnungswidrigkeiten mit einer Geldbuße geahndet werden können.  

Dies gilt beispielsweise für Unternehmen, die keine interne Meldestelle einrichten, die Meldungen behindern oder die Repressalien gegen die hinweisgebende Person ergreifen. Mit Bußgeld bedroht wird aber auch das wissentliche Offenlegen unrichtiger Informationen. 

Externe Meldestelle

Eine zentrale externe Meldestelle soll beim Bundesamt für Justiz (BfJ) eingerichtet werden. Daneben sollen die bestehenden Meldesysteme bei der Bundesanstalt für Finanzdienstleistungsaufsicht sowie beim Bundeskartellamt als weitere externe Meldestellen mit Sonderzuständigkeiten weitergeführt werden. Die externe Meldestelle des Bundes beim BfJ soll mit einer Bund-Länder-übergreifenden Zuständigkeit ausgestattet werden, die sowohl den öffentlichen Sektor als auch die Privatwirtschaft betrifft. Den Bundesländern steht es frei für Meldungen, die die jeweilige Landesverwaltung und die jeweiligen Kommunalverwaltungen betreffen, eigene externe Meldestellen einzurichten. 

Meldungen nach dem Hinweisgeberschutzgesetz und das Thema Datenschutz

Nach Auffassung der deutschen Datenschutzbehörden ist die Einrichtung und Nutzung firmeninterner Meldekanäle „unter besonderer Berücksichtigung des von dem Unternehmen verfolgten Zwecks und der Einrichtungsmodalitäten datenschutzgerecht“ möglich. Da die Meldung von Missständen ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt, bedarf es im Einzelfall einer Datenschutz-Folgenabschätzung.  

Informationen hierzu enthält die  „Orientierungshilfe der Datenschutzaufsichtsbehörden zu Whistleblowing-Hotlines: Firmeninterne Warnsysteme und Beschäftigtendatenschutz“ . 

Wie viele Hinweise sind mit der Einführung des Hinweisgeberschutzgesetzes zu erwarten?

In der Diskussion werden immer wieder Sorgen geäußert, dass nach Einführung solcher Hinweisgeberkanäle mit einer Vielzahl von wenig begründeten Hinweisen gerechnet werden müsste. Dies entspricht allerdings nicht den bisherigen Erfahrungswerten. 

Der US-Marktführer solcher Systeme (Fa. NAVEX Global) veröffentlicht jährlich auf der Basis einer hohen Kundenzahl dazu Statistiken und kommt dabei zu dem Ergebnis, dass ein Unternehmen mit 1.000 Mitarbeitern durchschnittlich mit 5 Hinweisen pro Jahr zu rechnen hat. Der Gesetzgeber geht in der amtlichen Begründung des HinSchG von 4 Hinweisen pro 1.000 Mitarbeiter pro Jahr aus. 

IT-gestütztes Hinweisgebersystem: Entwicklung interner oder Einkauf externer Lösung?

Vor dem Hintergrund der bereits genannten Statistiken und der daraus resultierenden begründeten Annahme, dass mit Einführung eines Hinweisgebersystems kein „Sturm von Hinweisen“ einsetzen wird, stellt sich die strategische Frage, ob bei der Wahl eines IT-gestützten Hinweisgebersystems eine interne Lösung entwickelt oder auf einen externen Anbieter zurückgegriffen wird. 

Die Kosten für die Entwicklung einer internen Lösung, die allen gesetzlichen Anforderungen gerecht wird, sind nicht unerheblich, sodass die Inanspruchnahme eines externen Anbieters naheliegt. 

Eine Marktbetrachtung zeigt, dass es bereits einige Adressen gibt, die entsprechende Services anbieten. Bitte beachten Sie bei der Auswahl eines externen Anbieters aber insbesondere die Anforderungen der getrennten Datenverarbeitung für Tochtergesellschaften und insbesondere die Anforderungen der Datenschutzbehörden (DSFA zwingend erforderlich).  

Fazit zum geplanten Hinweisgeberschutzgesetz

Das deutsche Hinweisgeberschutzgesetz soll 3 Monate nach Verabschiedung in Kraft treten. Aus jetziger Sicht dürfte dies Ende 2022 oder im Januar 2023 der Fall sein. Wenn betroffene Unternehmen und Vereine die gesetzliche Verpflichtung zur Einrichtung einer internen Meldestelle nicht umsetzen, besteht die Gefahr eines Bußgeldverfahrens.  

Bereiten Sie sich deshalb zeitnah auf die Umsetzung vor. Bitte bedenken Sie, dass eine Vielzahl von Unternehmen und Behörden betroffen sein werden und die Nachfrage nach IT-gestützten Hinweisgebersystemen auf einem begrenzten Anbietermarkt mit Verabschiedung des deutschen Hinweisgeberschutzgesetzes deutlich ansteigen dürfte.