Hinweisgeberschutzgesetz: Darum geht es, was es zu beachten gilt

Selten hat sich ein Gesetzgebungsverfahren so hingezogen wie die Umsetzung der 2019 von der EU beschlossenen Whistleblower-Richtlinie. In der Öffentlichkeit werden die mehrfache Verschiebung, Aufteilung und Umgestaltung der gesetzlichen Inhalte mit Verwunderung wahrgenommen. Interessanterweise sind viele der Kernaufgaben durch die genannte EU-Richtlinie klar vorgegeben und viele Streitpunkte beziehen sich auf Randaspekte, deren Konsequenz in der Praxis weniger ins Gewicht fallen.

Was ist das Hinweisgeberschutzgesetz?

Rechtswidrige Handlungen und Missbrauch von Rechtsvorschriften können in Organisationen unterschiedlicher Größe und Struktur eintreten, seien es private Unternehmen oder öffentliche Einrichtungen. Sie können sich auf verschiedene Arten äußern, wie z.B. Bestechung oder Betrug, Unregelmäßigkeiten oder Fahrlässigkeit, und ernsthafte Auswirkungen auf das öffentliche Interesse haben. Aus diesem Grund muss gegen sie vorgegangen werden. Personen, die für eine Organisation tätig sind oder die bei der Ausübung ihrer Tätigkeit mit einer Organisation in Kontakt kommen, sind häufig die Ersten, die von solchen Fällen erfahren. Insofern können sie den ersten Schritt unternehmen und den Fall melden.

Die Europäische Kommission hat am 23. April 2018 ein Paket mit Initiativen vorgestellt, um den Schutz von Hinweisgebern, die Verstöße gegen das Unionsrecht melden, zu erhöhen. Dieses Paket enthält einen Vorschlag für eine Richtlinie, die den Schutz von Personen betont, die ihre Bedenken offenlegen. Zudem schafft es einen gesetzlichen Rahmen auf europäischer Ebene, um den Schutz von Hinweisgebern zum Wohle des öffentlichen Interesses zu gewährleisten, indem es leicht zugängliche Meldekanäle bereitstellt, die Verpflichtung zur Geheimhaltung betont und das Verbot von Vergeltung gegenüber Hinweisgebern einführt. (1)

Wann tritt das Hinweisgeberschutzgesetz in Kraft?

Am 23. Oktober 2019 wurde die Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates, die den Schutz von Personen, die Verstöße gegen das Unionsrecht melden, vorsieht, in Kraft gesetzt. Die Mitgliedstaaten wurden aufgefordert, die Richtlinie innerhalb von zwei Jahren in ihr nationales Recht zu übertragen, bis zum 17. Dezember 2021.

Es ist jedoch kein Ende in Sicht: das Hinweisgeberschutzgesetz, das seit Dezember 2021 überfällig ist, ist im Mai 2023 nach wie vor nicht in Kraft. Obwohl es zahlreiche Ablehnungen, Verhandlungen und Kompromisse gab, ist kein endgültiger Gesetzentwurf abgeschlossen.

Wer ist von den Vorgaben betroffen?

Die gesetzlichen Vorgaben des Hinweisgeberschutzgesetzes verpflichten Unternehmen in zwei Stufen. Ab dem Tag des Inkrafttretens werden alle Unternehmen mit 250 und mehr Mitarbeitern verpflichtet, einen Meldekanal einzurichten. Ab dem 17.12.2023 sind dann alle Unternehmen mit 50 Mitarbeitern und mehr in der Pflicht. Berechnet werden übrigens Köpfe, d.h. auch jeder Auszubildende und jede Aushilfskraft sind jeweils ein zu berücksichtigender Kopf.

Gibt es Ausnahmen von der Verpflichtung?

Ja, im Sinne einer Verschärfung sind teilweise auch kleinere Unternehmen verpflichtet, die aufgrund ihrer Tätigkeit oder ihrer Branche strengere Auflagen erfüllen müssen. Beispielsweise trifft dies Betriebe, in denen viel Bargeld (regelmäßig > 10.000 Euro pro Tag) umgesetzt wird. Oder Tätigkeiten, die mit Grundstückkäufen und Immobilien in enger Verbindung stehen. Auch die Glücksspielbranche ist unabhängig von der Unternehmensgröße durch das Gesetz in der Pflicht.

Was muss ein Unternehmen konkret einführen?

Die wesentlichen Pflichten beim Hinweisgeberschutzgesetz lassen sich auf zwei Dinge herunterbrechen:

1. Es muss eine Meldestelle etabliert werden, über die sich hinweisgebende Personen an das Unternehmen wenden können.
2. Es muss sichergestellt werden, dass Hinweisgeber vor Repressalien geschützt sind.

Was bedeuten Meldestelle und Meldekanal?

Ein Meldekanal ist die strukturierte Möglichkeit, Hinweise entgegenzunehmen. Dabei sind bestimmte Umgangsweisen vom Gesetz gefordert. Diese zu erfüllen, wird mit der Kombination aus dem Betrieb eines Meldekanals und dem organisierten Umgang mit den Hinweisen im Rahmen einer Meldestelle verpflichtend.

Die Verantwortung zum Betrieb der Meldestelle liegt beim Unternehmen. Es kann aber zur Erfüllung auf Experten und spezialisierte Dienstleister zurückgreifen. Von der Handhabung dürfte dies viele an die Datenschutzthematik erinnern, der Einsatz von externen Datenschutzbeauftragten ist inzwischen in vielen Unternehmen gelebte Praxis.

Was bedeutet der geforderte Schutz vor Repressalien?

Jedes Gesetz hat gewünschte Folgen. Der Schutz vor Repressalien ist von Seiten des Gesetzgebers im Prinzip der Kern. Niemand soll dafür bestraft werden oder Nachteile haben, wenn er auf Missstände hinweist. Konkret dürfen im Zusammenhang mit Hinweisen keine Kündigungen, Versetzungen, Drohungen und ähnliche nachteilige Maßnahmen gegenüber einer hinweisgebenden Person erfolgen.

Um die Bedeutung dieses Hinweisgeberschutzes zu unterstreichen, wird das Mittel der Beweislastumkehr herangezogen: Im Streitfall muss das Unternehmen beweisen, dass ein Hinweis nicht der ausschlaggebende Grund für eine erfolgte negative Maßnahme war. Dies ist eine Anforderung, der Unternehmen nur mit sehr konsequenter Dokumentation und der starken Beschränkung der Hinweisempfänger begegnen können. Nur so kann ein Vorwurf der gezielten Benachteiligung aufgrund eines Hinweises wirkungsvoll entkräftet werden.

Wie wird dokumentiert?

Aufgrund der gesetzlichen Anforderungen kann eine Dokumentation nur in einem für diesen Zweck gestalteten digitalen System erfolgen. Dieses muss strenge Zugriffbeschränkungen und Zugriffsdokumentation beinhalten, die Fälle lückenlos erfassen und auch die Kommunikation mit der hinweisgebenden Person nachvollziehbar abbilden. Eine Lösung mit gängigen Office-Lösungen oder per E-Mail-Postfach ist nicht zweckdienlich und macht ein Unternehmen angreifbar.

Wer kann melden?

Im Prinzip jede Person, die in irgendeiner Form mit dem Unternehmen zu tun hat. Mitarbeiter sind regelmäßig die erste Quelle für Informationen. Aber auch ehemalige Mitarbeiter, Familienangehörige von Mitarbeitern, Geschäftspartner, Nachbarn oder weitere mit dem Unternehmen in Beziehung stehende Personen können Fehlverhalten oder Missstände kennen und davon berichten. Somit sollte der Meldekanal auch für die gesamten genannten Kreise erreichbar sein.

Hinweisgeberschutzgesetz: Anonym oder nicht?

In diesem Kontext gibt es eine Schonfrist: Meldungen, die anonym eingehen, müssen erst ab 2025 bearbeitet werden. Was verlockend klingt, kann eine Gefahr sein. Denn eine hinweisgebende Person kann sich neben der vom Unternehmen betriebenen internen Meldestelle auch an eine externe Meldestelle wenden. Diese werden von Behörden betrieben.

Die Erfahrung zeigt: Der Umgang mit Hinweisen, die Unternehmen selbst erhalten, ist viel zielgerichteter und auch geräuschärmer möglich, als wenn behördliche Maßnahmen der Auslöser für Recherchen und Maßnahmen sind. Daher empfiehlt es sich, anonyme Meldungen ab dem ersten Tag gleichwertig anzunehmen und ernst zu nehmen.

Wer bekommt die Meldungen?

Das entscheidet das Unternehmen. Gefordert ist, dass die Meldungen bei der am besten geeigneten Person eingehen. Diese muss zum einen fachlich versiert sein, zum andern auch die Kompetenz haben, die Hinweise bearbeiten zu dürfen. Und sie darf nicht in den gemeldeten Vorgang involviert sein. Daher scheidet z.B. die Unternehmensführung regelmäßig als Bearbeiter aus, denn im Zweifel kann eine Involvierung oder ein Mitwissen hier niemals ausgeschlossen werden. Eine komfortable und oftmals effiziente Lösung ist, auf externe Ombudspersonen zuzugreifen. Diese können sachlich, distanziert und ohne Vorbehalte an die Aufarbeitung der Hinweise gehen. Dadurch werden mögliche Interessenskonflikte von vornherein ausgeschlossen.

Was passiert, wenn die Fristen nicht erfüllt werden?

Nach der gesetzlichen Verabschiedung wird es eine Umsetzungsfrist von voraussichtlich 90 Tagen für die größeren Unternehmen geben. Der Gesetzgeber erachtet diesen Zeitrahmen als ausreichend und hat bislang keine Kulanzregelung für die Zeit danach in Aussicht gestellt. Die versäumte Einrichtung eines Meldekanals ist leicht nachweisbar. Aller Voraussicht nach erwarten Unternehmen, die die Vorgaben nicht umsetzen, recht schnell Probleme. Ob diese durch Behörden, Arbeitnehmerorganisationen oder die Konkurrenz forciert wird, kann im Moment nur gemutmaßt werden. Im Gesetz sind feste Strafen bis zu 100.000 Euro pro Verstoß vorgesehen.

Wie ist das mit der Zeitschiene beim Hinweisgeberschutzgesetz?

Das ist die große Unbekannte. Wenn das Gesetz von Bundestag und Bundesrat verabschiedet wird, gilt vermutlich eine 90-tägige Frist, bis die großen Unternehmen zur Einführung des Meldekanals und Sicherstellung des Repressalienverbots verpflichtet sind. Dies wird vermutlich im dritten Quartal 2023 sein. Ab 17.12.2023 sind dann auch die Unternehmen mit mehr als 50 Beschäftigten verpflichtet.

Quelle: Europäische Kommission: Schutz von Hinweisgebern (Whistleblowern)

^{Bildnachweis: ©istockphoto.com/Valerii Apetroaiei}