Das Hinweisgeberschutzgesetz kommt…etwas später!

Das Hinweisgeberschutzgesetz kommt … etwas später!

Nachdem der Bundestag bereits am 16.12.2022 das Hinweisgeberschutzgesetz beschlossen hatte, hat am 10.02.2023 der Bundesrat seine Zustimmung verweigert. Das Gesetz wird jetzt voraussichtlich den Vermittlungsausschuss beschäftigen, wann es in Kraft treten wird, ist unklar. Der deutsche Gesetzgeber hat damit die Whistleblowing-Richtlinie der EU immer noch nicht umgesetzt; die Umsetzungsfrist war bereits am 17.12.2021 abgelaufen. Unternehmen mit regelmäßig mehr als 50 Beschäftigten sollten sich trotzdem bereits jetzt darauf einstellen, kurzfristig ihre Compliance-Strukturen anpassen.

Worum geht es?

Das „Gesetz für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ (Hinweisgeberschutzgesetz – HinSchG) dient der Umsetzung der Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23.10.2019 (Whistleblowing-Richtlinie). Das Thema Whistleblowing war in der Vergangenheit in erster Linie durch die Berichterstattung in den Medien über spektakuläre Fälle von Whistleblowern (z.B. Edward Snowden), die Rechtsverstöße in Unternehmen und Behörden an die Öffentlichkeit brachten, bekannt geworden. In rechtlicher Hinsicht war das Thema punktuell in der Finanzdienstleistungsbranche gesetzlich aufgegriffen worden (vgl. § 23 Abs. 6 VAG, § 5 Abs. 8 BörsenG); auch die Rechtsprechung des EGMR und der Arbeitsgerichte war mit dem Thema befasst. Es bestand allerdings eine zersplitterte Rechtslage, die den Gesetzgeber auf den Plan gerufen hat.

Wer wird durch das Hinweisgeberschutzgesetz geschützt?

Das Gesetz regelt den Schutz von natürlichen Personen, die im Zusammenhang mit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die nach dem Gesetz vorgesehenen Meldestellen melden oder offenlegen (so genannte hinweisgebende Personen). Der Begriff der natürlichen Person erfasst nicht nur Arbeitnehmer. Auch Selbstständige, Geschäftsführer und Vorstände, Praktikanten, Leiharbeitnehmer, Bewerber oder Rentner sind einbezogen. Nach der Gesetzesbegründung sollen auch Aufsichtsratsmitglieder, Gesellschafter und Aktionäre, ferner Auftragnehmer und Lieferanten erfasst sein.

Für welche Meldungen wird das Hinweisgeberschutzgesetz gelten?

Das Gesetz gilt für die Meldung und die Offenlegung von Informationen über Verstöße, die strafbewehrt sind, und Verstöße, die bußgeldbewehrt sind, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Im Bereich des Arbeitsrechts sind insofern alle nationalen Straf- und Bußgeldvorschriften erfasst. Nicht erfasst werden Verstöße gegen nur unternehmensintern geltende Richtlinien oder Fehlverhalten gegen rein arbeitsvertragliche Pflichten.

Das Gesetz gilt außerdem für sonstige Verstöße gegen im Gesetz abschließend aufgeführte Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende Rechtsakte der Europäischen Union. Der sachliche Anwendungsbereich in diesem Bereich ist kaum zu überschauen und auch thematisch völlig zersplittert. Vom Anwendungsbereich erfasst sind beispielsweise Verstöße gegen Geldwäscherecht, gegen Produktsicherheitsrecht, gegen Vorschriften im Bereich des Umweltschutzes, gegen Vorschriften im Bereich der Lebensmittel- und Futtermittelsicherheit, gegen Datenschutzrecht, gegen Aktionärsrechte, gegen Vergaberecht, gegen Kartellrecht, gegen Körperschaften und Personenhandelsgesellschaften betreffendes Steuerrecht etc.. Die Frage, ob eine Meldung in den Anwendungsbereich des Gesetzes fällt, dürfte im Einzelfall insofern nicht ganz einfach zu beantworten sein.

Was kommt auf die Unternehmen zu?

Unternehmen einer bestimmten Größenordnung sind nach dem Hinweisgeberschutzgesetz verpflichtet, eine so genannte interne Meldestelle einrichten, an die sich Beschäftigte wenden können, die entsprechende Meldungen über Verstöße machen wollen. Die Pflicht gilt ab dem 17.12.2023 für Unternehmen mit in der Regel mindestens 50 Beschäftigten; sie gilt bereits ab dem Inkrafttreten des Gesetzes (der Zeitpunkt ist derzeit noch offen) für Unternehmen mit in der Regel 250 und mehr Beschäftigten. Die interne Meldestelle kann ein eigener Mitarbeiter des Unternehmens, eine eigene Abteilung des Unternehmens oder auch eine externe Stelle, z. B. eine so genannte Ombudsperson, sein. Die interne Meldestelle muss unabhängig sein, Interessenkollisionen sind zu vermeiden. Einzelheiten hierzu sind noch unklar. Nach der Gesetzesbegründung ist es denkbar, dass die (wenn vorhanden) Person des Korruptions-, Integritäts- oder Datenschutzbeauftragten mit der Aufgabe der internen Meldestelle betraut wird. Eigene Mitarbeiter, die die notwendige Fachkunde (noch) nicht haben, müssen geschult werden.

Außerdem müssen die Unternehmen Meldekanäle einrichten, an die sich eigene Beschäftigte und Leiharbeitnehmer wenden können. Die Meldekanäle können (optional) auch so ausgestaltet werden, dass sich außenstehende Personen, etwa Lieferanten, an die Meldestellen wenden können. Anonyme Meldungen können bis Ende 2024 wahlweise von der internen Meldestelle bearbeitet werden; ab dem 01.01.2025 besteht eine Verpflichtung, auch anonyme Meldungen zu bearbeiten. Die Meldestellen müssen Meldungen mündlich (per Telefon oder mittels einer anderen Art der Spracheübermittlung) und in Textform (z. B. per E-Mail) entgegennehmen können. Sie müssen eine persönliche Zusammenkunft mit der hinweisgebenden Person innerhalb angemessener Zeit ermöglichen. Rein EDV-basierte Meldestellen sind insofern nicht möglich.

Was macht die interne Meldestelle?

Die interne Meldestelle nimmt Meldungen entgegen. Sie bestätigt der hinweisgebenden Person den Eingang der Meldung spätestens nach sieben Tagen. Sie prüft, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich des Gesetzes fällt. Sie prüft die Stichhaltigkeit der eingegangenen Meldungen. Außerdem ergreift sie Folgemaßnahmen. Dies können interne Untersuchungen sein oder der Verweis der hinweisgebenden Person an eine andere zuständige Stelle, der Abschluss des Verfahrens aus Mangel an Beweisen oder die Abgabe des Verfahrens an Dritte (z. B. Personalabteilung, Rechtsabteilung, Behörde). Der hinweisgebenden Person muss innerhalb von drei Monaten eine Rückmeldung über die ergriffenen Folgemaßnahmen und eine Begründung hierfür gegeben werden.

Gibt es auch externe Meldestellen?

Ja, das Bundesamt für Justiz fungiert als externe Meldestelle. Personen, die Verstöße melden wollen, können wählen, ob sie sich an eine interne Meldestelle oder eine externe Meldestelle wenden möchten. Es gibt keinen Vorrang der internen Meldestelle. Die Unternehmen sollen nach dem Willen des Gesetzgebers allerdings Anreize schaffen, dass sich Beschäftigte erst an eine interne Meldestelle wenden. Was dies bedeutet, ist allerdings noch unklar. Da der potentielle Whistleblower die Wahl hat, sich an die interne oder an die externe Meldestelle zu wenden, dürfte es aber im eigenen Interesse der Unternehmen liegen, die interne Meldestelle als bessere Option auszugestalten und dies transparent im Unternehmen zu kommunizieren.

Wie ist die hinweisgebende Person geschützt?

Das Gesetz verbietet Repressalien gegenüber der hinweisgebenden Person. Repressalien sind alle üblichen Sanktionen, also Kündigung, Abmahnung, Versetzung und sonstige berufliche Nachteile, die Versagung von Beförderungen, Gehaltseinbußen, negative Beurteilungen etc.. Es gilt eine Beweislastumkehr: Derjenige, der benachteiligt, muss im Streitfall beweisen, dass keine Repressalie vorliegt. Die hinweisgebende Person ist allerdings nur dann nach dem Gesetz geschützt, wenn sie hinreichenden Grund zu der Annahme hatte, dass die von ihr gemeldete oder offengelegte Information der Wahrheit entspricht. Damit gehen falsche Meldungen nur dann zu Lasten der hinweisgebenden Person, wenn sie vorsätzlich oder grob fahrlässig Meldung erstattet. Ihre Motivation ist allerdings irrelevant (z. B. Rache).

Welche Handlungsempfehlungen gibt es?

Nach dem ablehnenden Beschluss des Bundesrates wird das Hinweisgeberschutzgesetz frühestens in der zweiten Jahreshälfte 2023 in Kraft treten können. Unternehmen sollten sich aber bereits jetzt auf das Gesetz vorbereiten. Folgende Handlungsempfehlungen mögen überlegenswert sein:

• Das Thema Hinweisgeberschutz sollte als wichtiger und für Unternehmen ab 50 Beschäftigte verpflichtender Compliance-Baustein ernst genommen und zur Chefsache gemacht werden. Wer etwa entgegen der gesetzlichen Vorgabe keine interne Meldestelle einrichtet, begeht eine Ordnungswidrigkeit.
• Das Thema sollte umgehend aufgegriffen werden, auch von den Unternehmen, für die die gesetzliche Verpflichtung zur Errichtung einer internen Meldestelle erst ab dem 17.12.2023 gilt und auch von allen anderen Unternehmen, denn der Schutz von hinweisgebenden Personen ist von der Unternehmensgröße unabhängig.
• Interne Meldestellen sollten umgehend eingerichtet, jedenfalls aber umgehend geplant werden. Diese sollten, um etwaige Meldungen an externe Meldestellen zu vermeiden, auch für anonyme Meldungen geeignet sein.
• Es sollte eine Whistleblowing-Richtlinie erstellen werden. Das Hinweisgeberschutzgesetz ist nicht einfach zu verstehen, der sachliche Anwendungsbereich des Gesetzes nur schwer zu überblicken. Insofern muss den Beschäftigten eine Art Gebrauchsanleitung an die Hand gegeben werden, damit die Meldestelle angenommen wird und ihre Funktion erfüllen kann.
• Das Thema sollte als Chance begriffen werden, etwaige Missstände intern im Unternehmen aufzuarbeiten (und nicht außerhalb oder gar öffentlich).
• Das Thema sollte im Unternehmen als wichtiger und von der Geschäftsleitung ausdrücklich unterstützter Baustein der internen Compliance-Strukturen transparent kommuniziert werden.

Autor: Dr. Stephan Dornbusch