Externer Meldebeauftragter für Hinweisgeberschutz

Der Hinweisgeberschutz bezieht sich auf Vorkehrungen und Maßnahmen, die ergriffen werden, um Personen, die Verstöße oder Missstände in Organisationen oder Unternehmen melden, zu schützen. Diese Personen werden als "Hinweisgeber" oder "Whistleblower" bezeichnet. Ein prominentes Beispiel ist der ehemalige Geheimdienstler Edward Snowden, der die umfassenden Spionage- und Überwachungstätigkeiten von USA und Großbritannien offenlegte. 

Rechtlicher Schutz: 

Europäische Länder haben spezifische Gesetze und Regelungen eingeführt, um den Hinweisgeberschutz zu gewährleisten. Diese basieren auf der sogenannten "Whisteblower-Richtlinie" der Europäischen Union, die bereits am 16. Dezember 2019 in Kraft getreten ist. Die auf der Richtlinie basierenden nationalen Gesetze der europäischen Mitgliedsstaaten enthalten Bestimmungen zum Schutz vor Repressalien, wie z. B. den Schutz vor Entlassung, Diskriminierung oder anderen Formen der Benachteiligung gegenüber Hinweisgebern. Sie legen Verfahren fest, wie Hinweise empfangen, geprüft und bearbeitet werden sollen. Das deutsche Hinweisgeberschutzgesetz (HinSchG) wurde ursprünglich am 16. Dezember 2022 vom Bundestag beschlossen und am 11. Mai 2023 verabschiedet, somit erst 1,5 Jahre später als von der EU-Richtlinie ursprünglich vorgesehen.

Anonymität und Vertraulichkeit: 

Um die Sicherheit der Hinweisgeber zu gewährleisten, ist es wichtig, dass die Möglichkeit besteht, Hinweise vertraulich oder anonym abgeben zu können. Unternehmen sind nach dem HinSchG jedoch nicht grundsätzlich verpflichtet, anonyme Meldewege zur Verfügung zu stellen, müssen jedoch anonymen Meldungen nachgehen. Dies kann bedeuten, dass Hinweisgeber ihre Identität nicht offenlegen müssen oder dass ihre Identität nur einem eng begrenzten Personenkreis bekannt ist, der für die Bearbeitung des Hinweises zuständig ist.

Einrichtung von Meldestellen:

Der Hinweisgeberschutz setzt die Einrichtung von "Meldestellen" voraus. Hierbei wird zwischen internen Meldestellen von Unternehmen und Organisationen sowie externen Meldestellen des Staates unterschieden, an die Verstöße gemeldet werden können. Es ist im KernZ erforderlich, dass Unternehmen und Organisationen Richtlinien und Verfahren implementieren, um sicherzustellen, dass Hinweisgeber vor Repressalien geschützt und Mitarbeitende entsprechend geschult werden. Meldestellen stellen zudem Informationen zum Hinweisgeberschutz zur Verfügung und sind beratend sowie unterstützend tätig.

Zu treffende Schutzmaßnahmen:

Das Gesetz enthält Bestimmungen zum Schutz von Hinweisgebenden vor Repressalien und Benachteiligungen, wie z. B. Entlassung, Versetzung, Diskriminierung oder anderen Formen der Ausgrenzung. Es verbietet Arbeitgebern die Durchführung jedweder Maßnahmen, Drohungen oder Einschüchterungen, die Hinweisgebende in unzulässiger Weise benachteiligen könnten und schützt sie in ihrer rechtlichen Stellung im Rahmen der Offenlegung.

Verfahren und Folgemaßnahmen:

Bei Meldestellen eingegangene Hinweise und Meldungen müssen sorgfältig geprüft und bewertet bewerten, um erforderliche Folgemaßnahmen ableiten und ergreifen zu können. Sowohl das Verfahren als auch das Treffen angemesser Folgemaßnahmen ist gesetzlich vorgeschrieben. Es ist somit wichtig, dass Unternehmen angemessene Verfahren etablieren, um die Glaubwürdigkeit der Hinweise zu überprüfen und geeignete Maßnahmen einzuleiten, damit Verstöße behoben und mögliche Konsequenzen daraus abgeleitet werden können.

Sanktionen und Bußgelder:

Das Hinweisgeberschutzgesetz sieht Sanktionen sowohl gegen Hinweisgeber vor, die wissentlich unrichtige Informationen offenlegen, als auch gegen Arbeitgeber und Organisationen, die rechtswidrige Repressalien ergreifen oder trotz Verpflichtung keine interne Meldestelle einrichten, § 40 HinSchG. Die Bußgelder können bis zu 50.000 Euro betragen, wenn die Kommunikation behindert, die Vertraulichkeit nicht gewahrt oder Repressalien ergriffen werden. Bereits der Versuch, dies zu tun, kann geahndet werden.

Das Versäumnis der Einrichtung einer internen Meldestelle kann mit Bußgeldern bis zu 20.000 Euro geahndet werden. Gleiches gilt für das wissentliche Offenlegen unrichtiger Informationen. Die Befugnis zur öffentlichen Offenlegung eines Verstoßes setzt in der Regel voraus, dass eine externe Meldestelle zuvor erfolglos eingeschaltet wurde oder eine hinreichende Berechtigung für die unmittelbare Offenlegung besteht. Auch sonstige Verstöße können mit Bußgeldern bis zu 10.000 Euro geahndet werden.

Der Adressatenkreis, sog. "persönlicher Anwendungsbereich" gem. § 1 HinSchG, umfasst den Schutz von natürlichen Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die im Gesetz vorgesehenen internen oder externen Meldestellen melden oder für die Öffentlichkeit offenlegen (hinweisgebende Personen).

Darüber hinaus werden Personen geschützt, die Gegenstand einer Meldung oder Offenlegung sind, sowie sonstige Personen, die von einer Meldung oder Offenlegung betroffen sind. Der Schutz nach dem HinSchG gilt somit dem Grunde nach für:

• Personen, die Verstöße melden
• Personen, die Gegenstand einer Meldung oder Offenlegung sind
• Personen, die von einer Meldung oder Offenlegung betroffen sind

Das Gesetz sieht somit grundsätzlich die Einschränkung vor, dass die Informationen im Zusammenhang mit der beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit durch die hinweisgebende Person erlangt wurden. Dieser Personenkreis ist nach der Vorschrift weit gefasst und betrifft dadurch mindestens die folgenden Personengruppen:

• Arbeitnehmerinnen und Arbeitnehmer
• Beamtinnen und Beamte
• Anteilseignerinnen und Anteilseigner
• Mitarbeitende von Lieferanten und Dienstleistern
• Personen, die im Vorfeld beruflicher Tätigkeit Kenntnisse von Verstößen erlangt haben (z. B. Bewerber)

Der Anwendungsbereich darf für die Umsetzung im Unternehmen weiter gefasst werden, aber nicht enger. Heißt auch andere Personen können für den Hinweisgeberschutz in Betracht kommen.

Im Folgenden werden die wichtigsten Verstöße aufgezeigt, die vom Hinweisgeberschutzgesetz erfasst werden, sog. "sachlicher Anwendungsbereich" gem. § 2 HinSchG. Das Gesetz gilt für die Meldung und Offenlegung von rechtlichen Verstößen im weitesten Sinne. Dazu zählen insbesondere die folgenden Verstöße:

• Die strabewährt sind
• Die bußgeldbewährt sind, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient
• Sonstige Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende Rechtsakte der Europäischen Union und der Europäischen Atomgemeinschaft
• Verstöße gegen das Vergaberecht
• Verstöße, die vom Finanzdienstleistungsaufsichtsrecht erfasst sind
• Verstöße gegen steuerliche Rechtsnormen
• (...)

Der sachliche Anwendungsbereich umfasst viele weitere Verstöße, die in der Vorschrift aufgezählt sind. Zusammengefasst lassen sich diese insbesondere wie folgt kategorisieren:

• Straftaten
• Ordnungswidrigkeiten, wenn die Vorschrift dem Schutz von hochrangigen Rechtsgütern dient (weit zu verstehen)
• Rechtsvorschriften des Bundes, der Länder und der EU in den im HinSchG genannten Bereichen
• Äußerungen von Beamtinnen und Beamten, die einen Verstoß gegen die Pflicht zur Verfassungstreue darstellen
• Verstöße gegen Compliance-Vorgaben

Wichtig: Nicht nur rechtswidrige, sondern auch rechtmäßige Handlungen können gemeldet werden, soweit sie dem Zweck einer Vorschrift zuwiderlaufen.

Für wen die Verpflichtung zur Einrichtung gilt:

Zentraler Mechanismus nach dem HinSchG ist für Unternehmen und Orgsanisationen die Einrichtung einer internen Meldestelle, bestehend aus Meldebeauftragtem und Meldekanal, um Hinweise auf Verstöße vertraulich zu empfangen und diese angemessen zu bearbeiten.

Die Verpflichtung zur Einrichtung der Meldestelle / eines Hinweisgebersytems gilt für alle Unternehmen ab einer bestimmten Größe:

• Unternehmen mit 250 Beschäftigten oder mehr sowie für alle Unternehmen im Finanzdienstleistungsbereich
• Für Unternehmen mit 50 bis zu 249 Beschäftigten ab dem 17. Dezember 2023 (Umsetzungsfrist)
• Für alle Behörden, nach h. M. unmittelbar seit Ablauf der Umsetzungsfrist der EU-Richtlinie am 17. Dezember 2021

Die interne Meldestelle kann an Externe ausgelagert werden (DSB, Kanzlei, Compliance Officer), um ein hohes Maß an Unabhängigkeit und Fachkompetenz an externer Stelle zu bündeln. Hier kommen wir als Compliance-Experte mit umfassendem Know How ins Spiel, um die Funktion als externe Meldebeauftragter umfassend zu erfüllen.

Befugnisse und Aufgaben:

Nach § 12 HinSchG müssen Unternhemen mindestens eine interne Meldestelle einrichten und betreiben. Mehrere Unternehmen können eine gemeinsame Stelle betreiben ("kleines Konzernprivileg"). Der Meldestelle sind die nötigen Befugnisse zu erteilen, um ihre Aufgaben wahrzunehmen. Diese sind wie folgt:

• Betreiben eines Meldekanals (§ 16)
• Führen des Verfahrens bei Meldungen (§ 17)
• Ergreifen von Folgemaßnahmen (§ 18)
• Bereitstellung klarer und leicht zugänglicher Informationen über externe und einschlägige Meldeverfahren

Wir stellen zu diesem Zweck eine entsprechende Benennungurkunde zum Meldebeauftragten sowie ein speziell geschütztes E-Mail-Postfach und die einschlägigen Richtlinien zur Verfügung. Interne Meldestellen müssen organisatorisch zudem die folgenden Anforderungen erfüllen:

• Unabhängigkeit und keine Interessenkonflikte, z. B. nicht die Geschäftsführung oder Eigentümer
• Fachkunde in einschlägiger Compliance
• Meldestelle / Meldebeauftragter soll für längere Dauer benannt werden
• Verschwiegenheitspflicht
• Befugnis, die Aufgaben wahrzunehmen, z. B. Folgemaßnahmen zu ergreifen
• Einschlägige Soft Skills und Integrität

Im Folgenden werden weitere wichtige Aspekte der Einrichtung eines Meldesystems erläutert.

Sachliche Ausstattung der Meldestelle: 

Die Einrichtung eines Meldesystems ist ein wichtiger Schritt, nicht nur um Hinweisgeber zu unterstützen und den Schutz zu gewährleisten, sondern auch um die interne Compliance zu verbessern. Ein Meldesystem kann eine interne Meldestelle oder ein Hinweisgebertool umfassen, mit dessen Hilfe Hinweise auf Verstöße empfangen und bearbeitet werden. Das Meldesystem soll leicht zugänglich sein und muss die Möglichkeit bieten, die Identität vertraulich zu halten oder anonyme Hinweise einzureichen.

• Meldekanal in mündlicher oder Textform, z. B. geschütztes E-Mail-Postfach, externe Rufnummer
• Hinweisgebertool (Kür, jedoch keine Pflicht), da keine generelle Verpflichtung für anonyme Meldekanäle besteht, anonymen Hinweisen jedoch nachgegangen werden muss
• Interne Kommunikation über die Erreichbarkeit der internen Meldestelle sowie Kommunikation der externen Meldestellen
• Schulung der Beschäftigten zum Hinweisgeberschutz, z. B. im Rahmen der Datenschutzschulung

Internen Meldestellen sind zudem Ressourcen für die Forbildung zur Verfügung zu stellen, wie auch Ressourcen für die einschlägige Schulung der Beschäftigten. Die Ressourcen der eigenen Fortbildung werden beim externen Meldebeauftragten entsprechend selbst getragen. Das "Setup" wird vielen Lesern somit bekannt vorkommen, die einen eDSB benannt haben.

Es können grundsätzlich die folgenden Meldearten unterschieden werden:

• Meldung an die interne Meldestelle über den eingerichteten Meldekanal des Unternehmens oder der Behörde
• Meldung an die externe Meldestelle: Dazu zählen Meldestelle des Bundesamts für Justiz, Meldestelle des Landes, Meldestelle der BaFin, Meldestelle des Bundeskartellamts, Meldestelle für die externe Meldestelle des Bundes
• Offenlegung durch Bekanntmachung gegenüber der Öffentlichkeit, durch z. B. Social Media oder Presse

Hinweisgebende Personen sind nicht verpflichtet, sich zuerst an die interne Meldestelle des Unternehmens zu wenden, sondern haben ein Wahlrecht zwischen interner und externer Meldung. Nach § 7 HinSchG bleibt es zudem unbenommen, sich trotz (erfolgloser) Meldung bei einer internen Meldestelle an eine externe Meldestelle zu wenden. Es gilt zudem ein Verbot, Kommunikation zwischen Hinweisgebenden und Meldestelle zu behindern oder dies zu versuchen.

Insbesondere sollen Beschäftigungsgeber Anreize schaffen, sich zuerst an eine interne Meldestelle zu wenden sowie klare und transparente Informationen zur Verfügung stellen, z. B. über eine Hinweisgeberrichtlinie. Es gilt zudem das Verbot, die Meldung an externe Meldestellen zu behindern oder zu erschweren. Unter den Umstand der Behinderung fallen auch alle Formen und Versuche der Drohung oder Einschüchterung.

Der Schutz hinweisgebender Personen setzt voraus, dass eine ordnunsgemäße interne Meldung, externe Meldung oder Offenlegung erfolgt ist. In jedem Fall muss hinreichender Grund zur Annahme bestehen, dass die Voraussetzungen für den Schutz vorliegen, beispielsweise:

• Ja, wenn im guten Glauben ungenaue Informationen offengelegt werden
• Nein, wenn böswillig oder missbräuchlich unrichtige Informationen gemeldet werden
• Nein, wenn es nur Spekulationen sind

Der Verstoß muss zudem in den Anwendungsbereich des Gesetzes fallen. Für die Offenlegung durch hinweisgebende Personen, in z. B. Presse und Social Media, gelten die Schutzmaßnahmen des Gesetzes, wenn

• eine externe Meldung erstattet wurde, auf die innerhalb der Rückmeldefrist (§ 28 Abs. 4) keine geeigneten Folgemaßnahmen (§ 29) ergriffen wurden oder keine Rückmeldung über Folgemaßnahmen erfolgt ist,
• hinreichend Grund zur Annahme bestand, dass der Verstoß wegen eines Notfalls, der Gefahr irreversibler Schäden oder vergleichbarer Umstände eine unmittelbare oder offenkundige Gefährdung des öffentlichen Interesses darstellen kann (hier: auch ohne externe Meldung),
• hinreichend Grund zur Annahme bestand, dass im Falle der externen Meldung Repressalien zu befürchten sind oder Beweismittel unterdrückt oder vernichtet werden könnten, Absprachen zwischen externer Medelstelle und Urheber des Verstoßes bestehen könnten, oder aufgrund besonderer Umstände die Aussichten gering sind, dass die externe Meldestelle wirksame Folgemaßnahmen ergreift.

Die Offenlegung in z. B. Social Media oder Presse ist somit nur nachrangig möglich und setzt grundsätzlich die Einschaltung der externen Meldestelle voraus. Davon darf entsprechend nur bei unmittelbarer Gefährdung sowie besonderen Umständen abgewichen werden. Zudem erfordert die Offenlegung eine Abwägung der Schwere des Verstoßes mit dem öffentlichen Informationsinteresse sowie über die Art der Offenlegung. Das Offenlegen von unrichtigen Informationen über Verstöße ist in jedem Fall verboten.