Das Hinweisgeberschutzgesetz kommt – Hinweisgebersysteme jetzt einrichten und an die neuen Anforderungen anpassen

Anfang Dezember 2020 hat das Bundesministerium der Justiz und für Verbraucherschutz den Entwurf eines Hinweisgeberschutzgesetzes zur Abstimmung an die beteiligten Ministerien geleitet. Hintergrund ist die EU-Whistleblowing-Richtlinie, die bis zum 17. Dezember 2021 umgesetzt werden muss. Unternehmen ab einer Größe von 50 Beschäftigten werden künftig dazu verpflichtet sein, ein innerbetriebliches Hinweisgebersystem einzurichten. Fest steht, dass die Bedeutung von Hinweisgebersystemen im Rahmen einer angemessenen Compliance-Management-Organisation zunehmen wird.

Hintergrund des Gesetzesvorhabens

Der Referentenentwurf zum Hinweisgeberschutzgesetz setzt die Vorgaben der Whistleblowing-Richtlinie (EU) 2019/1937 um. Danach sind die Mitgliedsstaaten der EU dazu aufgerufen, verschiedene Schutzmechanismen für Hinweisgeber und Vorgaben für verpflichtende innerbetriebliche und behördliche Meldekanäle umzusetzen.

Pflicht zur Einrichtung von Hinweisgebersystemen

Für Unternehmen ab 250 Beschäftigten besteht mit Inkrafttreten des Hinweisgeberschutzgesetzes zum 17. Dezember 2021 die Pflicht zur Einrichtung eines Hinweisgebersystems. Unternehmen ab 50 Beschäftigten wird etwas mehr Zeit eingeräumt. Sie trifft die Pflicht erst ab dem 17. Dezember 2023.

Der Gesetzentwurf sieht vor, dass Whistleblowern Meldungen künftig per Telefon oder in Textform sowie im Rahmen eines persönlichen Treffens ermöglicht werden müssen. Der Eingang einer Meldung ist spezifisch zu dokumentieren und dem Hinweisgeber innerhalb von einer Woche zu bestätigen. Darüber hinaus gilt eine Pflicht zur Rückmeldung an den Hinweisgeber. Künftig ist diesem innerhalb von drei Monaten Auskunft zu den ergriffenen bzw. geplanten Maßnahmen sowie den Ergebnissen der Untersuchung zu erteilen.

Schutzmaßnahmen für Hinweisgeber

Sofern Hinweisgeber Verstöße gegen EU-Recht und sanktionsbewährtes nationales Recht, insbesondere das Straf- und Ordnungswidrigkeitenrecht, über die vorgesehenen Wege melden oder öffentlich machen, haben sie künftig einen Anspruch auf Schutz. Eine Neuigkeit stellt die vorgesehene „Gleichrangigkeit“ von interner und externer Meldung dar. Hinweisgebern steht es danach künftig frei, Verstöße entweder an das unternehmensinterne Hinweisgebersystem oder direkt an externe Stellen zu melden, wie zum Beispiel die beim Bundesdatenschutzbeauftragten einzurichtende zentrale Meldestelle. Nur in engen Grenzen ist ihnen erlaubt, die Vorwürfe zu veröffentlichen. Dies ist etwa der Fall, wenn eine unmittelbaren Gefährdung des öffentlichen Interesses vorliegt.

Zu den vorgesehenen Schutzmaßnahmen zählt ein umfassendes Verbot von Repressalien, das flankiert wird von einer Beweislastumkehr zugunsten der Hinweisgeber. Im Prozess sind Arbeitgeber daher künftig in der Pflicht, nachzuweisen, dass eine arbeitsrechtliche Maßnahme nicht im Zusammenhang mit einer Hinweisgebermeldung steht. Unternehmen werden kritische Personalentscheidungen daher besonders sorgfältig dokumentieren müssen, damit diese nicht durch platzierte Hinweisgebermeldungen ausgehebelt werden können.

Handlungsbedarf für Unternehmen

Um einem künftigen Haftungsrisiko vorzubeugen, sollten Unternehmen spätestens ab Dezember ein Hinweisgebersystem eingerichtet bzw. bestehende Systeme an die neuen Vorgaben angepasst haben. Verzichten Unternehmen hierauf, droht zwar keine Sanktion nach dem Hinweisgeberschutzgesetz. Im Fall von Compliance-Verstößen kann das Unterlassen entsprechender Vorsorgemaßnahmen jedoch zu einer empfindlichen Haftung für Unternehmen und Leitungspersonen führen.

Wird ein Hinweisgebersystem eingerichtet, müssen die Meldekanäle den spezifischen Anforderungen an die Vertraulichkeit genügen. Anderenfalls droht ein Bußgeld. Ein Bußgeld droht auch demjenigen, der eine Meldung oder die auf eine Meldung folgende Kommunikation zwischen einem Hinweisgeber und der internen oder externen Meldestelle behindert oder Repressalien gegen den Hinweisgeber oder sonstige betroffenen Personen ergreift oder androht. In den zuletzt genannten Fällen kann bereits der Versuch geahndet werden.

Sofern die Unternehmen in mehreren Ländern der EU tätig sind, empfiehlt sich ein europaweites Monitoring der Umsetzungsbemühungen, um die Hinweisgebersysteme auf der Grundlage einer Schnittmenge der jeweiligen Regelungen aufzusetzen bzw. anzupassen.

Hinsichtlich der Prozessplanung gilt es zu beachten, dass eine Einbeziehung der betroffenen Stakeholder (neben den zuständigen Abteilungen i.d.R. der Betriebsrat und die Leitungspersonen von Gruppengesellschaften) und die technische Umsetzung eines Meldesystems zeitlichen Vorlauf erfordert. Zudem empfiehlt es sich, die innerbetrieblichen Hinweisgebersysteme nutzerfreundlich auszugestalten, d.h. etwa auch für anonyme Hinweise zu öffnen, und intern aktiv zu kommunizieren, um die Beschäftigten zur Meldung von Compliance-Verstößen vorrangig an die unternehmenseigenen Hinweisgebersysteme zu ermutigen.