Hinweisgebersysteme nach dem Hinweisgeberschutzgesetz (HinSchG)

Veröffentlicht: 2023-05-22

Dieses Gesetz hat einen langen Weg hinter sich. Die EU-Hinweisgeberrichtlinie hätte eigentlich schon Ende 2021 in deutsches Recht überführt werden sollen. Eineinhalb Jahre später erst einigte sich die Bundesregierung mit den Ländern in einem Vermittlungsausschuss des Bundesrates auf das Hinweisgeberschutzgesetz (HinSchG). Der EUGH verlangt für die verspätete Umsetzung eine Strafe von über 14 Millionen Euro. Diese vermeidbaren Kosten werden nun vom Steuerzahler getragen. Weitere Kosten kommen auf viele Unternehmen zu. Wir erklären, warum und wie Sie Ihre Ausgaben niedrig halten können.

Wer ist betroffen?

Laut Nationalem Normenkontrollrat betrifft das HinSchG rund 73.823 Unternehmen mit 50-249, 16.798 Unternehmen mit über 250 Beschäftigten sowie unabhängig von deren Größe Unternehmen der Finanz- und Versicherungsbranche in Deutschland. All diese Unternehmen müssen zukünftig interne Meldestellen bereitstellen.

Hinzu kommen Adressaten aus dem öffentlichen Sektor – nämlich der Bund, die Länder sowie Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts. Auch diese müssen interne Meldestellen bereitstellen.

Für Unternehmen mit 250+ Beschäftigten sowie solchen aus der Finanz- und Versicherungsbranche gilt die Verpflichtung voraussichtlich am Mitte Juni. KMUs hingegen wird eine Übergangsfrist bis zum 17. Dezember 2023 eingeräumt.

Was wird gefordert?

Alle verpflichteten Unternehmen und Organisationen müssen die interne Abgabe von Meldungen zu Missständen durch Mitarbeitende ermöglichen. Zusätzlich wird auch eine externe Meldestelle beim Bundesministerium der Justiz sowie ggf. auf Länderebene eingerichtet. Meldende sollen sich jedoch vornehmlich an die interne Meldestelle richten, sofern sie hierbei nicht durch Repressalien bedroht werden oder das Fehlverhalten über eine interne Meldung voraussichtlich nicht abgestellt werden kann.

Welche Anforderungen werden an interne Meldestellen gestellt?

Meldungen müssen generell in mündlicher oder in Textform abgegeben werden können. Bei der Einrichtung möglicher Meldekanäle müssen Unternehmen beachten, dass Rückmeldungen an die meldende Person möglich sind. Zudem dürfen nur die jeweils dafür Zuständigen Personen auf die Meldungen Zugriff haben. Dies ist schon nicht mehr der Fall, sobald die IT-Administration Ihres Unternehmens potenziell auf ein E-Mail-Postfach der Meldestelle oder eine Voicebox o.ä. zugreifen könnte.

Zudem sind bei den Zuständigen auf das Ausbleiben von Interessenskonflikten sowie auf die Fähigkeit zu achten, Hinweise fachgerecht zu bearbeiten.

Welche Bedingungen gelten hinsichtlich anonymer Meldungen?

Generell gilt zwar, dass die Meldestellen nicht wie zwischenzeitlich geplant ausschließlich anonym sein müssen, jedoch sollten anonyme Meldungen verarbeitet werden können. Mit dieser Änderung des Gesetzesentwurfs durch den Vermittlungsausschuss wollte der Bundesrat Unternehmen entlasten. Die Verarbeitung anonymer Meldungen ist also mehr als Empfehlung zu verstehen denn als Pflicht. Wer anonyme Meldungen verarbeiten kann, sollte entsprechend auch die Abgabe solcher Meldungen ermöglichen. Um auch bei anonymen Meldungen Rückfragen stellen zu können, sollten entsprechend auch anonyme Postfächer über das Hinweisgebersystem betrieben werden können.

Welche Sanktionen drohen?

Der maximale Bußgeldrahmen wurde auf 50.000€ festgelegt. Dieses Bußgeld kann fällig werden, wenn die Abgabe von Meldungen verhindert, keine Meldestelle eingerichtet oder betrieben wird. Hierfür gilt im Übrigen die Beweislastumkehr: Arbeitgeber müssen also begründen, warum wahrgenommene Repressalien nicht auf die Meldung zurückzuführen sind. Jedoch nur dann, wenn die Hinweisgebende Person Beschwerde einlegt.

Gleichwohl gilt auch, dass Unternehmen bei Falschmeldungen Schadensersatzansprüche geltend machen können.

Der Meldeprozess

Nach Eingang der (anonymen) Meldung müssen die Meldestellen deren Eingang innerhalb von sieben Tagen bestätigen. Entsprechend muss es für die Meldestellen (technisch) möglich sein, mit den Meldenden in Kontakt zu bleiben, ohne dass hierbei Informationen an unberechtigte Dritte weitergeleitet werden. Der hinweisgebenden Person dürfen durch das Abgeben plausibler Meldungen keine beruflichen Nachteile entstehen.

Nach Eingang einer Meldung muss diese auf Plausibilität geprüft und Maßnahmen zur Behebung von Missständen ergriffen werden. Hierzu gehören zum Beispiel interne Untersuchungen, Stellenverweise oder sogar die Abgabe des Falls an die Behörden.

Meldestellen müssen hinweisgebende Person innerhalb von drei Monaten über die getroffenen Maßnahmen informieren. Tun die Meldestellen dies nicht, könnte sich die meldende Person immer noch an eine externe Meldestelle wenden.

Welche Verstöße können gemeldet werden?

Das Hinweisgeberschutzgesetz umfasst einen großen Anwendungsbereich. Hierzu gehören zum Beispiel Verstöße, die generell strafbewehrt sind. Auch bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient, dürfen gemeldet werden.

Zudem umfasst bzw. erweitert das Hinweisgeberschutzgesetz den Betrieb von schon existierenden Meldestellen – wie sie zum Beispiel durch das Lieferkettenschutzgesetz oder das Geldwäschegesetz vorgeschrieben sind.

Welche Lösungen sind ratsam?

Unsere Expert:innen sehen bei der Umsetzung des Hinweisgeberschutzgesetzes für Unternehmen zwei besonders große Herausforderungen.

Eine besteht in den strengen Datenschutzbestimmungen, die das Gesetz vorsieht. Nur die für die Annahme und Bearbeitung zuständigen Personen dürfen Zugriff auf die Daten der Meldenden haben. Das schließt im Normalfall die Einrichtung interner IT-gestützter Systeme aus. Denn hier können immer auch die IT-Administrator:innen Zugriff erlangen – sowohl im Falle der Einrichtung eines E-Mail-Postfachs als auch von Voiceboxes oder einer Telefonnummer.

Die zweite Herausforderung besteht in der unabhängigen Bearbeitung von Meldungen durch Personen, denen keine Interessenskonflikte bei der Ausübung ihrer Tätigkeiten nachgesagt werden können. Insbesondere in KMUs ist dies durch die enge Zusammenarbeit zwischen Geschäftsführungen und Beschäftigten sowie die Zusammensetzung eher kleinerer Abteilungen kaum zu gewährleisten.

Weitere Hürden bestehen in der fachlichen Schulung von Mitarbeiter:innen, der Kommunikation entsprechender Meldewege sowie der richtigen Dokumentation getroffener Maßnahmen.

Sollten Sie sich für den Betrieb eigens aufgesetzter interner Meldestellen entscheiden, ist es mindestens ratsam diese von einem Experten/einer Expertin prüfen zu lassen und auch legislative Entwicklungen ständig selbstständig zu monitoren.

Auslagerung interner Meldestellen

Die Einrichtung interner Meldestellen können Sie auslagern. Hierfür steht Ihnen Kerberos zur Seite. Unser IT-gestütztes Hinweisgebersystem erfüllt alle rechtlichen Anforderungen, ermöglicht die Abgabe und Verarbeitung anonymer Hinweise über ein anonymes Postfach und führt Meldende durch den Melde-Prozess, und erfasst hierbei alle wichtigen Informationen zur schnelleren Bearbeitung. Bei Bedarf kann auch die Ombudsperson als für die Bearbeitung von Meldungen zuständige Stelle an Kerberos ausgelagert werden.

Erfahren Sie hier mehr über das Kerberos Hinweisgebersystem.