Das Hinweisgeberschutzgesetz (HinSchG) ist die deutsche Umsetzung der Europäischen Union (EU) Whistleblower-Richtlinie (Richtlinie (EU) 2019/1937), die am 23. Oktober 2019 vom Europäischen Parlament und dem Rat der Europäischen Union verabschiedet wurde. Das Hauptziel des HinSchG besteht darin, Personen zu schützen, die während ihrer beruflichen Tätigkeit Kenntnisse über Verstöße gegen das Unionsrecht erlangen und diese Verstöße melden. Das Gesetz verbietet jegliche Form von Sanktionen oder Repressalien gegenüber denjenigen, die Hinweise (sogenannte Whistleblower) geben, und es legt Unternehmen die Verpflichtung auf, sichere Kanäle zur Meldung von Missständen einzurichten.
Hinweisgeber im Sinne des Hinweisgeberschutzgesetzes (HinSchG) können verschiedene Personen sein, die im Rahmen ihrer beruflichen Tätigkeit Kenntnisse über Verstöße gegen das Unionsrecht erlangen. Dies umfasst in der Regel:
1. Mitarbeiter und Angestellte: Personen, die in einem Unternehmen, einer Behörde oder einer Organisation arbeiten und während ihrer Arbeit Kenntnisse über mögliche Verstöße erlangen.
2. Auftragnehmer und Lieferanten: Auch Personen, die für ein Unternehmen oder eine Organisation arbeiten, beispielsweise als Auftragnehmer, Subunternehmer oder Lieferanten, können Hinweisgeber sein, wenn sie Informationen über Verstöße erhalten.
3. Praktikanten und Zeitarbeiter: Auch Praktikanten, Zeitarbeiter oder temporäre Mitarbeiter können unter bestimmten Umständen als Hinweisgeber betrachtet werden, wenn sie während ihrer Arbeit auf Verstöße aufmerksam werden.
Es ist wichtig zu beachten, dass die genauen Definitionen und Schutzmaßnahmen für Hinweisgeber je nach nationalen Gesetzen und der Umsetzung der EU-Whistleblower-Richtlinie variieren können. Daher ist es ratsam, die spezifischen Bestimmungen des jeweiligen Landes und des entsprechenden Gesetzes zu konsultieren, um eine genaue Vorstellung davon zu bekommen, wer als Hinweisgeber gilt und welche Schutzmaßnahmen für sie gelten.
Verstöße gegen Strafvorschriften: Dies schließt jegliche strafrechtliche Bestimmungen gemäß deutschem Recht ein.
Verstöße, die mit einem Bußgeld geahndet werden können (also Ordnungswidrigkeiten), betreffen Situationen, in denen die verletzte Vorschrift dem Schutz von Leben, körperlicher Unversehrtheit oder der Gesundheit von Menschen oder dem Schutz der Rechte von Arbeitnehmern oder ihren Vertretungsorganen dient. Dies schließt beispielsweise Vorschriften im Bereich des Arbeitsschutzes und Gesundheitsschutzes ein, Verstöße gegen das Mindestlohngesetz sowie Bußgeldvorschriften, die Verstöße gegen Aufklärungs- und Auskunftspflichten gegenüber Betriebsverfassungsorganen wie Betriebsräten ahnden.
Außerdem umfasst das Hinweisgeberschutzgesetz alle Verstöße gegen Bundes- und Landesrechtsvorschriften, die zur Umsetzung bestimmter europäischer Regelungen erlassen wurden. Es deckt auch Verstöße gegen unmittelbar geltende EU-Rechtsakte in einer breiten Palette von Bereichen ab. Dazu gehören unter anderem:
Vorschriften zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung. Anforderungen an die Produktsicherheit. Vorschriften zur Gewährleistung der Verkehrssicherheit. Vorschriften zur Beförderung gefährlicher Güter. Umwelt- und Strahlenschutzvorschriften. Maßnahmen zur Sicherung der Lebensmittel- und Futtermittelsicherheit. Qualitäts- und Sicherheitsstandards für Arzneimittel und Medizinprodukte. Regelungen im Bereich des Verbraucherschutzes. Datenschutz- und Informationssicherheitsvorschriften. Bestimmungen des Vergaberechts. Vorschriften zur Rechnungslegung bei Kapitalgesellschaften. Regelungen im Bereich des Wettbewerbsrechts und vieles mehr.
Das Hinweisgeberschutzgesetz zielt darauf ab, Personen, die Verstöße in diesen verschiedenen Bereichen melden, vor Repressalien zu schützen und sicherzustellen, dass ihre Hinweise angemessen behandelt werden.
Unternehmen, die in der Regel mindestens 250 Mitarbeiter beschäftigen, müssen die Anforderungen gemäß dem HinSchG bis spätestens zum 2. Juli 2023 umsetzen. Es ist jedoch wichtig zu beachten, dass die Bußgeldvorschrift, die Strafen von bis zu 20.000 Euro vorsieht, falls ein interner Meldekanal nicht eingerichtet oder nicht betrieben wird (weitere Informationen dazu finden Sie unten unter "Welche Sanktionen drohen bei Verstößen gegen das HinSchG?"), erst ab dem 1. Dezember 2023 in Kraft tritt. Das bedeutet, dass bis zu diesem Datum keine Bußgelder wegen fehlender Einrichtung oder Nichtbetrieb verhängt werden.
Das Gleiche gilt auch für Unternehmen in bestimmten Branchen, wie z. B. Finanzdienstleistungs- oder Versicherungsunternehmen, die in § 12 Absatz 3 des HinSchG aufgeführt sind. Unabhängig von der Anzahl der Beschäftigten müssen Unternehmen in diesen Branchen bereits ab einem Mitarbeiter verpflichtet sein, einen internen Meldekanal einzurichten.
Für Unternehmen, die in der Regel zwischen 50 und 249 Mitarbeiter beschäftigen, gewährt das HinSchG eine verlängerte Frist für die Einrichtung eines internen Meldekanals bis zum 17. Dezember 2023. Darüber hinaus erlaubt § 14 Absatz 2 des HinSchG diesen Unternehmen, Ressourcen zu teilen und in Zusammenarbeit mit anderen Unternehmen eine "gemeinsame Meldestelle" zu betreiben.
Kleine Unternehmen mit in der Regel bis zu 49 Beschäftigten sind gemäß dem HinSchG nicht verpflichtet, einen internen Meldekanal einzurichten. Allerdings gelten die Schutzvorschriften des HinSchG, insbesondere der Schutz vor Repressalien gemäß § 36 HinSchG, auch in diesen kleinen Unternehmen, wenn beispielsweise ein Arbeitnehmer einen Rechtsverstoß meldet. Das bedeutet, dass selbst in kleinen Unternehmen Schutzmechanismen vorhanden sein müssen, um sicherzustellen, dass Hinweisgeber vor negativen Konsequenzen oder Sanktionen geschützt sind, wenn sie Verstöße melden.
In den kommenden zehn Punkten werden wir die wichtigen Aspekte beleuchten, die bei der Einrichtung und dem Betrieb interner Meldekanäle berücksichtigt werden sollten.
Meldeoptionen, die die Übermittlung von Meldungen in schriftlicher Form ermöglichen, könnten beinhalten: ein IT-gestütztes Hinweisgebersystem, wie beispielsweise eine Internet- oder Intranetplattform, oder eine spezielle E-Mail-Adresse, die eigens für die Entgegennahme und Bearbeitung von Hinweisen gemäß dem Hinweisgeberschutzgesetz (HinSchG) eingerichtet wurde.
Es ist anzumerken, dass Meldekanäle, die ausschließlich schriftliche Meldungen erlauben (wie beispielsweise ein Briefkasten für Beschwerden oder die Einreichung von Meldungen auf dem Postweg), möglicherweise nicht ausreichen, da das Gesetz ausdrücklich von Meldungen "in Textform" spricht.
Mündliche Meldeoptionen können beispielsweise eine Whistleblower-Hotline oder ein Anrufbeantwortersystem sein. Auf Wunsch des Hinweisgebers sollte es über diese Kanäle auch die Möglichkeit geben, innerhalb eines angemessenen Zeitraums Hinweise in einem persönlichen Gespräch zu besprechen. Dieses Treffen kann, mit Zustimmung des Hinweisgebers, auch in Form einer Videokonferenz stattfinden.
Hinweis: Gemäß § 16 Absatz 1 des Hinweisgeberschutzgesetzes (HinSchG) besteht keine ausdrückliche Verpflichtung, die internen Meldekanäle so zu gestalten, dass anonyme Meldungen abgegeben werden können. Die Vorgabe lautet lediglich, dass auch anonym eingegangene Meldungen bearbeitet werden sollten.
Es steht Unternehmen frei, mehrere Optionen für die Abgabe von Meldungen bereitzustellen.
Die Verantwortung für den Betrieb der internen Meldestelle liegt nicht zwangsläufig bei den Unternehmen selbst. Gemäß § 14 Absatz 1 des Hinweisgeberschutzgesetzes (HinSchG) haben Unternehmen auch die Möglichkeit, Dritte als interne Meldestellen zu beauftragen. Die Entgegennahme und Bearbeitung von Hinweisen kann somit an externe Anbieter von Meldesystemen oder an Ombudspersonen (wie beispielsweise Rechtsanwälte) ausgelagert werden, sofern diese die erforderlichen Garantien für die Wahrung von Unabhängigkeit, Vertraulichkeit, Datenschutz und Geheimhaltung bieten.
Das Vertraulichkeitsgebot gemäß § 8 des Hinweisgeberschutzgesetzes (HinSchG) ist von zentraler Bedeutung. Es erfordert, dass die internen Meldekanäle so gestaltet sind, dass die Identität der Hinweis gebenden Person, der in einer Meldung genannten Personen und anderer in der Meldung erwähnter Personen gewahrt bleibt. Die Identität dieser Personen darf nur den für die Entgegennahme der Meldung und die Umsetzung von Folgemaßnahmen zuständigen Personen bekannt sein, wodurch anderen Personen der Zugang zum internen Meldekanal verwehrt bleibt. Die Offenlegung der Identität dieser Personen gegenüber Dritten ist nur mit ausdrücklicher Zustimmung der Betroffenen zulässig.
Im Zweifelsfall sollten alle Personen, die Zugriff auf den internen Meldekanal haben oder anderweitig Kenntnis von den Meldungen erhalten, durch entsprechende Verpflichtungserklärungen zur Vertraulichkeit (Vertraulichkeitsverpflichtungserklärungen) gebunden werden.
Es ist wichtig zu betonen, dass Vertraulichkeit nicht mit Anonymität gleichzusetzen ist, und es besteht keine Verpflichtung, anonyme Meldekanäle einzurichten. Informationen über die Identität einer hinweisgebenden Person oder anderer in der Meldung genannter Personen dürfen nur in Ausnahmefällen gemäß § 9 des HinSchG herausgegeben werden, beispielsweise in Strafverfahren auf Anforderung der Strafverfolgungsbehörden.
Innerhalb des Unternehmens müssen "Meldestellen-Beauftragte" benannt werden, sei es eine einzelne Person oder mehrere Personen bzw. sogar eine spezielle Abteilung. Diese Beauftragten sind verantwortlich für die Entgegennahme der Meldungen, die Bestätigung des Eingangs der Meldung beim Hinweisgeber innerhalb der 7-Tage-Frist, die Prüfung der Meldung, die Einleitung geeigneter Folgemaßnahmen und die Benachrichtigung der hinweisgebenden Person innerhalb von 3 Monaten über ergriffene Maßnahmen.
Es gibt keine spezifischen Vorgaben, da dies von der individuellen Organisationsstruktur, Größe und Art der Geschäftstätigkeit des Unternehmens abhängt. Die Meldestellen-Beauftragten können verschiedene Positionen innerhalb des Unternehmens einnehmen, wie beispielsweise Compliance-Leiter, Rechtsberater, Datenschutzbeauftragte, Finanzdirektoren oder Verantwortliche für Audits. Diese Personen können auch neben ihren Aufgaben für die interne Meldestelle andere Verantwortlichkeiten haben. Es ist jedoch wichtig sicherzustellen, dass solche Aufgaben und Verantwortlichkeiten keine Interessenkonflikte schaffen und dass diese Personen unabhängig handeln können, wie es in § 15 Absatz 1 des Hinweisgeberschutzgesetzes (HinSchG) festgelegt ist. Geschäftsführer oder Personalverantwortliche können aufgrund von potenziellen Interessenkonflikten im Allgemeinen nicht als Meldestellen-Beauftragte fungieren.
Zusätzlich dazu müssen die Meldestellen-Beauftragten gemäß § 15 Absatz 2 des HinSchG die erforderliche Fachkompetenz besitzen, um die Aufgaben im Zusammenhang mit dem Betrieb der internen Meldestelle ordnungsgemäß auszuführen. In der Regel wird eine Schulung dieser Personen hinsichtlich ihrer Verantwortlichkeiten im Zusammenhang mit der Meldestelle notwendig sein.
Eine alternative Möglichkeit besteht darin, externe Dienstleister als interne Meldestellen zu beauftragen, wie bereits unter Punkt 1 erwähnt.
Innerhalb von sieben Tagen muss dem Hinweisgeber eine Bestätigung über den Eingang seiner Meldung ausgestellt werden. Innerhalb von höchstens drei Monaten nach Erhalt dieser Bestätigung sollte der Hinweisgeber über geplante oder bereits umgesetzte Folgemaßnahmen sowie die zugrunde liegenden Gründe informiert werden.
Einleitung interner Untersuchungen
Potenzielle Schritte zur Problemlösung
Verweis auf alternative Meldewege oder Verfahren
Abschluss des Verfahrens aufgrund unzureichender Beweise oder anderer Ursachen
Weiterleitung an die entsprechende Behörde, wenn erforderlich
Gemäß § 11 des Hinweisgeberschutzgesetzes (HinSchG) müssen sämtliche eingehenden Meldungen in Übereinstimmung mit den Vertraulichkeitsverpflichtungen dokumentiert werden. Die Art der Dokumentation hängt vom Übermittlungsweg der Meldung ab.
Das gewählte Meldesystem sollte geeignete Anwendungen bereitstellen, um Meldungen und die daraus resultierenden Maßnahmen so zu dokumentieren, dass sie gegebenenfalls als Beweismittel verwendet werden können.
Die Aufbewahrung der Dokumentationen muss nach Abschluss des Verfahrens für einen Zeitraum von drei Jahren erfolgen. Unter besonderen Umständen können die Dokumentationen jedoch länger als drei Jahre aufbewahrt werden, um den Anforderungen des HinSchG oder anderen rechtlichen Vorschriften nachzukommen, sofern dies notwendig und angemessen ist.
Gemäß § 13 Absatz 2 des Hinweisgeberschutzgesetzes (HinSchG) sind Unternehmen verpflichtet, Informationen über alternative externe Meldeverfahren an die zuständigen Behörden sowie über einschlägige Meldeverfahren von Organen, Einrichtungen oder anderen Stellen der Europäischen Union bereitzustellen (siehe dazu unten "Welche Möglichkeiten der Meldung hat der Hinweisgeber?").
Diese Informationen müssen leicht verständlich und zugänglich sein, beispielsweise auf der Unternehmenswebsite, im Intranet oder an öffentlichen Anschlagtafeln.
Es wird zwischen internen und externen Meldestellen unterschieden. Interne Meldestellen (§§ 12 bis 18 HinSchG) müssen in Unternehmen eingerichtet werden. Externe Meldestellen hingegen werden von staatlichen Stellen eingerichtet (§§ 19 bis 31 HinSchG). Eine zentrale externe Meldestelle wurde beim Bundesamt für Justiz (BfJ) etabliert. Zusätzlich werden die bestehenden Meldesysteme bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) und beim Bundeskartellamt als weitere externe Meldestellen mit speziellen Zuständigkeiten fortgeführt.
Weitere Informationen zu den externen Meldeverfahren des Bundes finden Sie auf der Website des Bundesamts für Justiz.
Die Länder können selbst entscheiden, ob sie eigene externe Meldestellen für Meldungen, die die jeweilige Landesverwaltung und Kommunalverwaltungen betreffen, einrichten möchten.
Zudem existieren entsprechende Meldeverfahren für Meldungen an Organe, Einrichtungen und andere Stellen der Europäischen Union. Dies umfasst externe Meldekanäle bei der Kommission, dem Europäischen Amt für Betrugsbekämpfung (OLAF), der Europäischen Agentur für die Sicherheit des Seeverkehrs (EMSA), der Europäischen Agentur für Flugsicherheit (AESA), der Europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA) und der Europäischen Arzneimittel-Agentur (EMA).
Hinweisgeber haben grundsätzlich die Wahl, sich an eine interne Meldestelle im Unternehmen oder an eine externe Meldestelle bei den Behörden zu wenden. Allerdings sieht § 7 Absatz 1 Satz 2 des Hinweisgeberschutzgesetzes (HinSchG) einen Anreiz vor, die internen Meldekanäle im Unternehmen zu bevorzugen, wenn in den Fällen, in denen das Unternehmen wirksam gegen den Verstoß vorgehen kann und keine Repressalien befürchtet werden.
Darüber hinaus können Hinweisgeber ihre Informationen über Verstöße an die Öffentlichkeit weitergeben, etwa über Presse, soziale Medien oder andere Medien, allerdings nur unter den strengen Voraussetzungen des § 32 HinSchG. Die Hinweisgeber sind gemäß dem HinSchG nur dann geschützt, wenn sie zuvor erfolglos an eine externe Meldestelle appelliert haben oder eine Gefahr für die Allgemeinheit droht.