Die Einrichtung von integrierten Hinweisgebersystemen: HinSchG, LkSG und unternehmensinterne Richtlinie aus einem Guss?

Seit dem 2. Juli 2023 gilt das Hinweisgeberschutzgesetz (HinSchG) in Deutschland für Unternehmen ab 250 Beschäftigten; Unternehmen mit 50 - 249 Beschäftigten profitieren von einer Übergangsregelung bis zum 17. Dezember 2023. Während im Hinblick auf das HinSchG mittlerweile die wichtigsten Fragen zur Durchführung geklärt oder zumindest umfassend diskutiert wurden, ist die Umsetzung eines einheitlichen Hinweisgebersystems für Meldungen nach dem HinSchG, dem Lieferkettensorgfaltspflichtengesetz (LkSG) sowie etwaig bestehender unternehmensinterner Richtlinien zur Meldung von Compliance-Verstößen unter dem Radar geblieben. Ein besonderes Augenmerk ist dabei auf die datenschutzrechtliche Zulässigkeit der Verarbeitung von Meldungen zu legen.

Vorteile eines integrierten Meldesystems

Ein einheitliches Meldesystem für Unternehmen, die aufgrund einer Mitarbeiterstärke von mehr als 3.000 bzw ab dem 1. Januar 2024 mehr als 1.000 Mitarbeitenden neben dem HinSchG auch unter das LkSG fallen, ist gesetzlich weder vorgesehen noch verboten. Die für das LkSG zuständige Aufsichtsbehörde, das Bundesamt für Wirtschaft und Ausfuhrkontrolle, rät etwa bei Errichtung eines Meldeverfahrens nach dem LkSG dazu, die Möglichkeit zu nutzen, auf bestehende Whistleblowing-Mechanismen aufzubauen und diese ggf anzupassen. Aus unserer Praxiserfahrung stärkt ein für die Mitarbeitenden einheitliches und damit übersichtliches Meldesystem das Vertrauen der Nutzer, da diese nicht mit mehreren Systemen mit unterschiedlichen Voraussetzungen und Zugangshürden konfrontiert sind. Unterschiedliche Meldesysteme sind demgegenüber eher ein Anreiz, externe Meldewege zu nutzen, da die internen Meldewege als undurchsichtig wahrgenommen werden. Dies wiederum kann eine interne und schnelle Schadensbegrenzung verhindern und etwaige Reputationsschäden begünstigen.

Datenschutzrechtlicher Fokus

Die Rechtsgrundlage der Datenverarbeitung ist in den Regelungen über das Meldeverfahren, etwa einer Betriebsvereinbarung, festzuhalten. Für Hinweise nach dem HinSchG ist Rechtsgrundlage der Datenverarbeitung § 10 HinSchG. Das LkSG selbst nennt keine Rechtsgrundlage für die Datenverarbeitung von Hinweisen und die Gesetzesbegründung setzt ohne weitere Erläuterung voraus, dass der Datenschutz zu gewährleisten sei. Meldungen, die weder Hinweise nach dem HinSchG noch nach dem LkSG betreffen, sondern aufgrund einer unternehmensinternen Ethik-Richtlinie getätigt werden, können gleichermaßen nicht nach § 10 HinSchG verarbeitet werden. Als Grundlage für die Datenverarbeitung kommen Art. 6 lit. f DSGVO sowie Kollektivvereinbarungen gemäß Art. 88 Abs. 1, 2 DSGVO in Betracht.

Ansicht der Datenschutzbehörden

Grundsätzlich ist von Datenschutzbehörden die Möglichkeit anerkannt, zur Verarbeitung von Beschäftigtendaten, die nicht der Durchführung des Arbeitsvertrags dienen, Betriebsvereinbarungen gemäß Art. 88 Abs. 1, 2 DSGVO abzuschließen. Zu den genannten Beschäftigtendaten zählen Meldungen nach dem HinSchG, dem LkSG und unternehmensinternen Richtlinien. Eine vor Inkrafttreten des HinSchG veröffentlichte Orientierungshilfe der Datenschutzaufsichtsbehörden zu Whistleblowing-Hotlines nennt explizit Betriebs- sowie Tarifvereinbarungen als Rechtsgrundlage. Seit Einführung des HinSchG gibt es jedoch konkret zu der Frage, auf welcher datenschutzrechtlichen Grundlage Hinweisgebersysteme Hinweise außerhalb des HinSchG verarbeiten können, keine offiziellen Verlautbarungen der Datenschutzbehörden.

Fazit

Es empfiehlt sich daher, die Möglichkeit eines einheitlichen Meldesystems unter Zugrundlegung der oben genannten Vorteile zu prüfen und die Umsetzung einer arbeits- sowie datenschutzrechtlichen Expertise zu unterziehen. Die ausstehende Diskussion der Datenschutzbehörden zu diesen Themen sollte unbedingt im Blick behalten werden, um etwaige Leitlinien umsetzen, sobald sie sich herausgebildet haben.