Dejan Jasnic · Mitbegründer & Compliance Lead, Trusty · 20+ Jahre Erfahrung in Betrugsbekämpfung & Compliance · Vorstand des ACFE Swiss Chapter
Über das deutsche Hinweisgeberschutzgesetz: HinSchG vom 31. Mai 2023
Im Oktober 2019 wurde die EU-Whistleblowing-Richtlinie verabschiedet, die Deutschland mit dem Hinweisgeberschutzgesetz umgesetzt hat. Sie war ein bedeutender Schritt für die Arbeitswelt, da sie Unternehmen neue Pflichten zur Einrichtung interner Whistleblowing-Systeme auferlegte. Das Hauptziel dieser Regelung besteht darin, sicherzustellen, dass alle Mitarbeiter über Instrumente verfügen, um mögliche Verstöße oder Unregelmäßigkeiten innerhalb der Organisation zu melden, während gleichzeitig die Vertraulichkeit des Hinweisgebers gewahrt bleibt.
Obwohl die Richtlinie allgemeine Leitlinien für die gesamte Europäische Union festlegt, musste jedes Land diese spezifisch an die Bedürfnisse seines jeweiligen Wirtschaftssektors anpassen.
Die Whistleblowing-Richtlinie im deutschen Recht, Veröffentlichung und Inkrafttreten:
Der Umsetzungsprozess in Deutschland verlief langsam, aber stetig. Seit der Vorlage des ersten Gesetzentwurfs im Dezember 2020 gab es zahlreiche Überarbeitungen und Klarstellungen. Tatsächlich verklagte die Europäische Kommission Deutschland vor dem Gerichtshof der Europäischen Union, da die EU-Whistleblowing-Richtlinie nicht rechtzeitig umgesetzt wurde.
Im Februar 2023 wurde der Gesetzentwurf vom Bundesrat abgelehnt, vor allem weil er als übermäßige Belastung für kleine und mittlere Unternehmen angesehen wurde. Infolgedessen wurde eine neue Kompromissvereinbarung erforderlich.
Am 9. Mai 2023 beriet der Vermittlungsausschuss von Bundestag und Bundesrat über das geplante „Hinweisgeberschutzgesetz“ und erzielte eine Einigung. So wurde das Hinweisgeberschutzgesetz in Deutschland schließlich am 31. Mai 2023 mit einer Verspätung von eineinhalb Jahren ausgefertigt, wobei das deutsche Gesetz zur Umsetzung der europäischen Whistleblowing-Richtlinie erst am 2. Juli 2023 in Kraft trat.
Wer fällt in den Schutzbereich des deutschen Hinweisgeberschutzgesetzes?
Das deutsche Hinweisgeberschutzgesetz schützt natürliche Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die nach diesem Gesetz vorgesehenen Meldestellen mitteilen (Hinweisgeber).
Darüber hinaus wird der Schutz auch Personen gewährt, die Gegenstand einer Meldung oder Offenlegung sind, sowie sonstigen Personen, die von der Meldung des Hinweisgebers betroffen sind.
Welche Unternehmen fallen in den Anwendungsbereich des deutschen Hinweisgeberschutzgesetzes?
Arbeitgeber mit 250 oder mehr Beschäftigten mussten unmittelbar nach Inkrafttreten des Gesetzes ein Whistleblowing-System implementieren.
Arbeitgeber mit 50 bis 249 Beschäftigten hatten eine zusätzliche Frist von 6 Monaten zur Einrichtung der erforderlichen internen Meldekanäle, wobei die Frist auf den 17. Dezember 2023 festgelegt wurde.
Welche Verstöße können gemeldet werden?
Dieses Gesetz findet Anwendung auf die Meldung und Offenlegung von Informationen gemäß § 2 HinSchG, was strafbewehrte Verstöße, bußgeldbewehrte Verstöße (sofern die verletzte Norm dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz von Rechten von Beschäftigten oder ihrer Vertretungsorgane dient), sonstige Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie Rechtsakte der Europäischen Union (insbesondere zum Schutz der finanziellen Interessen und des europäischen Binnenmarktes) einschließt.
Viele Unternehmen möchten jedoch wissen, was in ihrer Organisation schieflaufen könnte, und ermutigen ihre Mitarbeiter, jegliches Fehlverhalten zu melden. Soweit sie rechtlich dazu in der Lage sind, garantieren sie ihren Mitarbeitern einen Schutzstandard, der dem deutschen Hinweisgeberschutzgesetz entspricht. Dies ist ein absolut empfehlenswerter Ansatz.
Wie und wo können Verstöße gemeldet werden?
Personen (Hinweisgeber), die Informationen über einen Verstoß melden möchten, können wählen, ob sie sich an eine interne Meldestelle oder eine externe Meldestelle wenden. Ein Unternehmen kann Dritte, die über das entsprechende Fachwissen verfügen, insbesondere Rechtsanwälte, mit der Funktion einer internen Meldestelle beauftragen.
Ein Hinweisgeber sollte die Meldung an eine interne Meldestelle in den Fällen bevorzugen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und keine Repressalien befürchtet werden. Wenn ein intern gemeldeter Verstoß nicht innerhalb einer bestimmten Frist behoben wurde, kann sich die Person, die den Sachverhalt gemeldet hat, an eine externe Meldestelle wenden.
Zudem ist es untersagt, Meldungen oder die Kommunikation im Anschluss an eine Meldung zwischen dem Hinweisgeber und der Meldestelle zu behindern oder dies zu versuchen.
Wie müssen die Meldekanäle ausgestaltet sein?
Gemäß § 16 HinSchG haben Arbeitgeber, die zur Einrichtung interner Meldestellen verpflichtet sind, Meldekanäle einzurichten, über die Beschäftigte und dem Arbeitgeber überlassene Leiharbeitnehmer mit den internen Meldestellen kommunizieren können, um Verstöße zu melden.
Der interne Meldekanal kann so gestaltet werden, dass er auch natürlichen Personen offensteht, die im Rahmen ihrer beruflichen Tätigkeit mit dem jeweiligen zur Einrichtung der internen Meldestelle verpflichteten Arbeitgeber oder der jeweiligen Organisation in Kontakt stehen.
Das deutsche Hinweisgeberschutzgesetz verpflichtet Organisationen nicht dazu, anonyme Meldungen entgegenzunehmen oder zu bearbeiten. Es regt Organisationen jedoch dazu an, anonyme Meldungen anzunehmen und diesen nachzugehen. Viele Organisationen entscheiden sich als Best Practice für die Annahme anonymer Meldungen, insbesondere wenn sie sich der Förderung einer Kultur der Transparenz und Rechenschaftspflicht verschrieben haben.
Meldekanäle müssen so eingerichtet sein, dass nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen Personen sowie die sie unterstützenden Personen Zugriff auf die eingehenden Meldungen haben.
Interne Meldekanäle müssen mündliche oder schriftliche Meldungen ermöglichen. Organisationen, die wirklich wissen wollen, was in ihren Reihen schiefläuft, wird jedoch empfohlen, verschiedene Meldekanäle (mündlich, schriftlich, digital) einzurichten, um es den Mitarbeitern so einfach wie möglich zu machen, eine Meldung einzureichen. Mündliche Meldungen sollten per Telefon oder mittels einer anderen Sprachübertragung möglich sein. Auf Wunsch des Hinweisgebers ist innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft mit einer für die Entgegennahme einer Meldung zuständigen Person der internen Meldestelle zu ermöglichen. Mit Einwilligung der auskunftgebenden Person kann die Zusammenkunft auch im Wege der Bild- und Tonübertragung erfolgen. Im Interesse der Unternehmen/Organisationen sollte jedem potenziellen Hinweisgeber ein möglichst einfacher Zugang zur internen Meldestelle gewährt werden, auch um interne Meldungen gegenüber externen zu priorisieren. Dies ist ein weiterer Grund, warum es sinnvoll ist, einen externen Rechtsanwalt mit den Aufgaben der internen Meldestelle zu betrauen.
Was passiert, nachdem die Meldung eingereicht wurde?
Die interne Meldestelle führt das folgende Verfahren durch:
1. Sie bestätigt der auskunftgebenden Person den Eingang einer Meldung innerhalb von sieben Tagen.
2. Sie prüft, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich dieses Gesetzes fällt.
3. Die Meldestelle hält Kontakt mit der auskunftgebenden Person.
4. Sie prüft die Stichhaltigkeit der eingegangenen Meldung.
5. Erforderlichenfalls ersucht die Meldestelle den Hinweisgeber um weitere Informationen.
6. Schließlich ergreift die interne Meldestelle in Zusammenarbeit mit den zuständigen Fachabteilungen im Unternehmen angemessene Folgemaßnahmen (vgl. § 18 HinSchG) im Einklang mit dem geltenden Recht.
Die interne Meldestelle gibt dem Hinweisgeber innerhalb von 3 Monaten nach der Bestätigung des Eingangs der Meldung eine Rückmeldung oder, falls der Eingang nicht bestätigt wurde, spätestens 3 Monate und 7 Tage nach Eingang der Meldung.
Welche Vertraulichkeitsanforderungen legt das Gesetz fest?
Die Meldestellen haben die Vertraulichkeit der Identität folgender Personen zu wahren:
1. Des Hinweisgebers, sofern die gemeldeten Informationen Verstöße betreffen, die in den Anwendungsbereich dieses Gesetzes fallen, oder der Hinweisgeber zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass dies der Fall sei.
2. Der Personen, die Gegenstand einer Meldung sind.
3. Sonstiger in der Meldung genannter Personen.
§ 9 HinSchG führt jedoch bestimmte Ausnahmen von diesen Vertraulichkeitsgeboten auf. Diese Ausnahmen gelten beispielsweise in Strafverfahren, auf Ersuchen bestimmter Behörden und in Fällen, in denen der Hinweisgeber vorsätzlich falsche Informationen bereitgestellt hat.
Wer ist für die Auswertung der Meldungen verantwortlich?
Gemäß § 12 HinSchG haben Arbeitgeber sicherzustellen, dass bei ihnen mindestens eine Stelle für interne Meldungen eingerichtet ist und betrieben wird, an die sich Beschäftigte wenden können (interne Meldestelle). Dies gilt nur für Arbeitgeber mit in der Regel mindestens 50 Beschäftigten, wobei es bestimmte, im selben Artikel geregelte Ausnahmen gibt, die insbesondere Unternehmen im Finanzdienstleistungssektor betreffen.
Ist der Arbeitgeber der Bund oder ein Land, bestimmen die obersten Bundes- oder Landesbehörden die Organisationseinheiten in Form von einzelnen oder mehreren Behörden, Verwaltungsstellen, Betrieben oder Gerichten.
Die mit den Aufgaben einer internen Meldestelle betrauten Personen bei der Ausübung ihrer Tätigkeit unabhängig. Sie können neben ihrer Tätigkeit für die interne Meldestelle andere Aufgaben und Pflichten wahrnehmen. Der Arbeitgeber muss für den Fall eines Interessenkonflikts, der nie ganz ausgeschlossen werden kann, eine weitere Kontaktperson zur Verfügung stellen.
Die Arbeitgeber stellen sicher, dass die für die Aufgaben einer internen Meldestelle zuständigen Personen über die erforderliche Fachkunde verfügen.
An wen sollten externe Meldungen gerichtet werden?
Der Bund richtet beim Bundesamt für Justiz eine externe Meldestelle ein. Die externe Meldestelle des Bundes ist organisatorisch vom übrigen Zuständigkeitsbereich des Bundesamtes für Justiz getrennt. Jedes Land kann eine eigene externe Meldestelle für Meldungen einrichten, die die jeweilige Landesverwaltung und die jeweiligen Kommunalverwaltungen betreffen.
Die externe Meldestelle des Bundes wird mit der für die Erfüllung ihrer Aufgaben erforderlichen personellen und sachlichen Ausstattung versehen.
Wie sieht das Bußgeldsystem aus und welche Sanktionen sind vorgesehen?
Der Anwendungsbereich des deutschen Hinweisgeberschutzgesetzes umfasst sowohl Straftaten als auch bestimmte Ordnungswidrigkeiten, selbst wenn eine konkrete Straftat nicht begangen wurde.
Es regelt jedoch nicht den Ersatz immaterieller Schäden, die dem Hinweisgeber entstehen, ein Thema, das für die Zivilgesellschaft von Belang ist. Schwerwiegendes Fehlverhalten, das die Schwelle zu eindeutigen Rechtsverstößen nicht erreicht, ist ebenfalls vom Anwendungsbereich ausgenommen.
Die Nichteinhaltung der im Gesetz festgelegten Pflichten kann zu Bußgeldern von bis zu 50.000 € führen. Weitere Einzelheiten sind in § 40 des Hinweisgeberschutzgesetzes in Verbindung mit dem Gesetz über Ordnungswidrigkeiten geregelt.
Was passiert bei Repressalien aufgrund einer Meldung?
Gegen auskunftgebende Personen gerichtete Repressalien sind verboten. Dies gilt auch für die Androhung und den Versuch von Repressalien. Bei einem Verstoß gegen das Repressalienverbot ist der Verursacher verpflichtet, der auskunftgebenden Person den daraus entstehenden Schaden zu ersetzen.
Zum weiteren Schutz von Hinweisgebern regelt das deutsche Hinweisgeberschutzgesetz eine Beweislastumkehr: Arbeitgeber müssen beweisen, dass eine Repressalie nicht im Zusammenhang mit der Meldung steht.
Häufig gestellte Fragen
Das Gesetz wurde am 31. Mai 2023 ausgefertigt und trat am 2. Juli 2023 in Kraft, eineinhalb Jahre nach der in der Richtlinie gesetzten Frist.
Arbeitgeber mit 250 oder mehr Beschäftigten ab dem Tag des Inkrafttretens des Gesetzes und Arbeitgeber mit 50 bis 249 Beschäftigten ab dem 17. Dezember 2023, mit Ausnahmen für bestimmte Finanzdienstleistungsunternehmen.
Das Gesetz verpflichtet Organisationen nicht zur Annahme oder Bearbeitung anonymer Meldungen, regt dies jedoch an, und viele Organisationen akzeptieren anonyme Meldungen als Best Practice.
Der Eingang muss innerhalb von sieben Tagen bestätigt und eine Rückmeldung innerhalb von drei Monaten gegeben werden. Verstöße gegen das Gesetz können gemäß § 40 HinSchG mit einem Bußgeld von bis zu 50.000 Euro geahndet werden; Repressalien sind verboten, und es gilt eine Beweislastumkehr, sodass der Arbeitgeber nachweisen muss, dass eine Maßnahme nicht im Zusammenhang mit der Meldung stand.
Weiterführende Lektüre: Einhaltung der deutschen Whistleblowing-Gesetze, Umsetzung der Richtlinie in der EU und Trusty Whistleblowing-Software mit HinSchG-konformen Richtlinien.
AB 49 EUR PRO MONAT
Trusty Whistleblowing: ein Meldekanal, der der EU-Whistleblowing-Richtlinie entspricht, in wenigen Minuten einsatzbereit ohne IT-Projekt. Ab 49 EUR pro Monat, 7 Tage kostenlos testen.