Gut Ding will Weile haben: Bundestag verabschiedet Hinweisgeberschutzgesetz

Nachdem wir bereits über den aktuellen Stand der Whistleblower-Richtlinie (WB-RL) und den Fortgang des Hinweisgeberschutzgesetzes (HinSchG) – als Umsetzungsgesetz zur Richtlinie – berichtet haben, ist es nun endlich soweit: Der Bundestag hat am 16. Dezember 2022 das HinSchG verabschiedet. Ziel des Gesetzes ist es, sog. hinweisgebende Personen vor Repressalien zu schützen, sofern diese Missstände im Unternehmen melden. Der gesetzlich vorgesehene Schutz bezieht sich dabei u.a. auf Kündigungen, Ausgrenzungen oder sonstige nachteilige arbeitsrechtliche Konsequenzen.

Nachdem der ursprüngliche Entwurf bereits vielfach kritisiert wurde, sind nun einige Änderungen zu verzeichnen, welche Unternehmen künftig zu beachten haben. Obgleich einige dieser Kritikpunkte in den Gesetzestext Eingang gefunden haben, verbleiben an diversen Stellen weiterhin Rechtsunsicherheiten.

Die wichtigsten Änderungen im Überblick:

Anonyme Meldungen

In § 16 Abs. 1 S. 4 HinSchG ist die wohl größte Änderung der ursprünglich vorgesehenen Regelungen zu verzeichnen. Als Reaktion auf die – aus unserer Sicht berechtigte – Kritik, sind Unternehmen künftig nun doch dazu verpflichtet, anonyme Meldungen zuzulassen und diese anschließend zu bearbeiten. Trotz der Befürchtungen, dass ein entsprechendes Vorgehen zu missbräuchlichen Meldungen eingesetzt werden könne, hat sich die Schaffung eines weiteren Anreizes für interne Meldungen letztlich durchgesetzt.

Soweit so verständlich: Anonyme Meldewege senken nicht nur die „Hemmschwelle“ für die Abgabe einer entsprechenden (internen) Meldung, sondern fördern letztlich auch den Schutz der jeweiligen hinweisgebenden Person.

Neben der Wahrung der Anonymität der hinweisgebenden Person selbst, müssen gemäß § 16 Abs. 1 S. 5 HinSchG auch die jeweiligen Meldekanäle anonym bereitgehalten werden. Da das HinSchG auch die weitere (nachträgliche) Kommunikation mit einer hinweisgebenden Person erfordert, muss auch im Falle einer anonymen Meldung ein pragmatischer Lösungsansatz gefunden werden. Dies setzt Unternehmen vor die zu bewältigende Aufgabe, entsprechende technische Vorkehrungen bei der Wahl und Implementierung eines Meldekanals zu berücksichtigen. Soweit bspw. zuvor lediglich ein „gewöhnlicher“ Briefkasten oder der Empfang einer Meldung per E-Mail vorgesehen war, dürfte dies den neuen Anforderungen des HinSchG nicht mehr genügen. Auch wenn dies einen gewissen Mehraufwand bedeutet, kommen Unternehmen künftig nicht darum umher, bspw. Tools verschiedener Anbieter auch dahingehend zu prüfen, ob eine entsprechende anonyme Kommunikation ermöglicht ist.

Zur Erleichterung: Da diese Vorgaben etwas „plötzlich“ daherkamen, sieht § 42 Abs. 2 HinSchG zumindest eine Übergangsfrist bis zum 1. Januar 2025 vor. Da die WB-RL anonyme Meldekanäle nicht vorsieht, haben Unternehmen bei der Anpassung der Meldekanäle noch etwas Zeit.

Interne Meldestellen als bevorzugte Vorgehensweise?

Auch wenn hinweisgebende Personen grundsätzlich die freie Wahl haben, ob sie zunächst eine interne oder externe Meldestelle kontaktieren (vgl. § 7 Abs. 1 HinSchG), werden interne Meldestellen dennoch etwas „hervorgehoben“. Dies findet sich insbesondere in der Regelung des § 7 Abs. 3 HinSchG wieder, welche es dem Beschäftigungsgeber ausdrücklich erlaubt, Anreize für eine interne Meldung zu schaffen. Weitergehende inhaltliche Anforderungen werden dabei nicht aufgestellt.

Auch diese Anpassung ist unseres Erachtens verständlich und letztlich auch sinnvoll. Insbesondere durch eine interne Bearbeitung der jeweiligen Meldungen können Compliance-Verstöße schnell aufgedeckt und zielführend bearbeitet werden. Soweit die inhaltlichen Anforderungen zum Schutz der hinweisgebenden Personen ausreichend gewahrt werden, wäre es unseres Erachtens auch sinnentleert, den Beschäftigungsgeber – aufgrund der Gleichwertigkeit der Meldestellen – zu einem Verstoß gegen das HinSchG zu „drängen“, sofern er die eigene interne Meldestelle „bewirbt“. Eine „echte Neuerung“ ist insoweit jedoch nicht zu verzeichnen, da auch die bisherige Beratungspraxis dazu tendierte, den eigenen Meldekanal möglichst attraktiv auszugestalten.

Unverändert geblieben ist auch, dass hinweisgebende Personen zunächst eine interne oder externe Meldestelle kontaktieren müssen, bevor eine Information an die Öffentlichkeit zu einem Schutz vor Repressalien führt.

Weiterhin konzernweite Meldestellen möglich

Unverändert geblieben, ist zudem die Regelung des § 14 Abs. 1 HinSchG, welche konzernweite Meldestellen zulässt. In der Regelung wird zudem ausdrücklich angeführt, dass eine Meldestelle auch durch „Dritte“ (bspw. durch eine Rechtsanwaltskanzlei) wahrgenommen werden kann. Hierbei muss jedoch beachtet werden, dass ein entsprechendes Outsourcing nicht von den weiterführenden Pflichten zum Ergreifen weiterer Maßnahmen entbindet.

Obgleich dies dem Wortlaut des Gesetzes nicht unmittelbar zu entnehmen ist, werden – nach den Ausführungen in der Gesetzesbegründung – solche Konzernunternehmen, welche die Aufgabe der Meldestelle zentral für den gesamten Konzern wahrnehmen, als „Dritte“ eingestuft. Dies ist insoweit „erstaunlich“, da hier ein klarer Widerspruch zur ausdrücklichen Rechtsauffassung der Europäischen Kommission besteht. Ob und inwieweit die deutsche Regelung daher einer europarechtlichen Überprüfung standhält, bleibt abzuwarten.

Jedenfalls darf auch eine konzernweite Lösung zur Einführung einer Meldestelle zu keinerlei Erschwernissen für die hinweisgebenden Personen führen. Dies kann bspw. dazu führen, dass jeglichen Barrieren – etwa sprachlicher Natur – wirksam entgegnet werden muss. Zudem müssen Unternehmen darauf achten, ob und wie eine etwaige konzernweite Lösung in den jeweiligen Regelungen der Mitgliedsstaaten tatsächlich abgebildet ist. Dieser Flickenteppich aus verschiedenen Anforderungen muss bei der Wahl einer konzernweiten Lösung beachtet werden.

Ersatz auch immaterieller Schäden

Anders als ursprünglich vorgesehen, können hinweisgebende Personen gemäß der Regelung des § 37 Abs. 1 S. 2 HinSchG künftig auch immaterielle Schäden geltend machen, sofern ein Verstoß gegen das Verbot von Repressalien vorliegt. Unabhängig von den Anforderungen des § 253 Abs. 2 BGB, kann daher auch dann eine Geldentschädigung verlangt werden, sofern „nur“ eine Verletzung des Persönlichkeitsrechts eingetreten ist.

Hintergrund der neuen Regelung sind die Vorgaben der WB-RL, welche eine vollständige Wiedergutmachung entstandener Schäden verlangen.

Was ist bei einer internen Meldestelle zu beachten?

Um den Anforderungen des HinSchG zu entsprechen, müssen Unternehmen – neben den bereits aufgezeigten Kriterien – insbesondere auch die folgenden Punkte beachten:

• Die mit den Aufgaben der Meldestelle betrauten Personen müssen fachkundig sein und die ihnen übertragenen Aufgaben unabhängig erledigen können.
• Das Meldeverfahren muss mit klaren Fristen zum Verfahrensgang versehen sein und darüber hinaus eindeutige Löschfristen vorsehen. Interessant – und insoweit noch nicht abschließend geklärt – ist zudem die Frage, wie sich die nunmehr vorgesehene 3-jährige Aufbewahrungsfrist der entsprechenden Dokumentationen zu der 7-jährigen Aufbewahrungsfrist im Lieferkettensorgfaltspflichtengesetz verhält.
• Im Falle des Eingangs einer Meldung muss das Unternehmen weitere Folgemaßnahmen, wie etwa interne Untersuchungen oder die Abgabe des Verfahrens an eine zuständige Behörde, ergreifen.

Zudem müssen – wie auch sonst – die Anforderungen der DS-GVO sowie des BDSG beachtet werden. Auch wenn in § 10 HinSchG eine explizite Regelung zur Verarbeitung personenbezogener Daten vorgesehen ist, müssen natürlich auch die weiteren Maßnahmen, zur Gewährleistung einer wirksamen Datenschutz-Compliance eingehalten werden. Dies kann mitunter zur Erforderlichkeit einer Datenschutz-Folgenabschätzung oder dem Abschluss von Verträgen zur Auftragsverarbeitung gemäß Art. 28 DS-GVO führen.

Ausblick

Da es sich bei dem HinSchG um ein sog. zustimmungsbedürftiges Gesetz handelt, muss der Bundesrat noch zustimmen, bevor das Gesetz in Kraft treten kann. Die nächste Plenarsitzung findet am 10. Februar 2023 statt, weshalb wir mit einer Verkündung des Gesetzes noch im ersten Quartal 2023 rechnen.

Unternehmen mit einer regelmäßigen Beschäftigungszahl von 50 bis 249 Beschäftigten haben noch bis zum 17. Dezember 2023 Zeit, die entsprechenden Vorgaben des HinSchG umzusetzen. Unternehmen mit einer regelmäßigen Beschäftigungszahl von über 249 Beschäftigten sollten demgegenüber „keine Zeit mehr vergeuden“.

Gerne unterstützen wir Sie mit unserem Know-how im Datenschutz- und Arbeitsrecht bei der Implementierung eines Hinweisgeber-Systems. Alle Musterdokumente zum Datenschutz und zum Arbeitsrecht liegen vor und können unseren Mandanten zu angemessenen Pauschalpreisen angeboten werden.

Ihr SKW Whistleblowing-Team