Ein umfassendes, einheitliches Hinweisgeberschutzsystem existiert in Deutschland bis dato nicht. Dies soll sich nun ändern: Am 27. Juli 2022[1] hat das Bundeskabinett den Entwurf eines Hinweisgeberschutzgesetzes (HinSchG-E) beschlossen, den der Bundestag am 29. September 2022 erstmals beraten hat und der zuletzt am 20. Oktober 2022 Gegenstand einer öffentlichen Anhörung im Rechtsausschuss war.
Das Gesetz dient der (verspäteten) Umsetzung der EU-Whistleblower-Richtlinie[2] und soll den Hinweisgeberschutz wirksam und nachhaltig verbessern.[3] Ob der Entwurf diese Ziele hinreichend umsetzt, war im Gesetzgebungsverfahren zuletzt noch Gegenstand einer lebhaften Debatte.[4] Sachverständige aus der Wirtschaft äußerten insbesondere Bedenken an der Bestimmtheit einiger Regelungen und kritisierten, dass Hinweisgeber ihre Meldung nicht vorrangig an das eigene Unternehmen richten müssten. Trotz der damit möglicherweise verbleibenden Schwächen des Entwurfs ist nun mit einem zügigen Abschluss des Gesetzgebungsverfahrens zu rechnen. Damit entsteht zeitnah auch Handlungsbedarf für Unternehmen.
Anwendungsbereich
Der Anwendungsbereich des Gesetzes ist sowohl in persönlicher als auch in sachlicher Hinsicht weit gefasst.
In persönlicher Hinsicht sind in erster Linie sog. „hinweisgebende Personen“ erfasst. Diese definiert der Entwurf als natürliche Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die nach dem Gesetz vorgesehenen Meldestellen melden oder offenlegen. Damit erstreckt sich der Anwendungsbereich nicht nur auf Arbeitnehmer, sondern beispielsweise auch auf Selbstständige, Auszubildende, Praktikanten, Anteilseigner, Mitarbeiter von Lieferanten und Organmitglieder von Gesellschaften.[5]
In seinem sachlichen Anwendungsbereich geht der Gesetzentwurf über die EU-Whistleblower-Richtlinie hinaus. Insoweit soll nicht nur die Meldung oder Offenlegung von Informationen über Verstöße gegen das Unionsrecht erfasst sein. Einbezogen sind vielmehr auch Verstöße gegen nationale Strafvorschriften sowie unter bestimmten Voraussetzungen auch bußgeldbewährte Normverstöße. Auch Verstöße gegen Rechtsvorschriften etwa aus dem Bereich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung, Produktsicherheit, Verkehrssicherheit, erneuerbaren Energien, öffentlichen Gesundheit, des Verbraucherschutzes, des Schutzes der Privatsphäre und personenbezogener Daten unterfallen dem Anwendungsbereich. Gleichzeitig ist die Definition des Verstoßes, die nicht nur unmittelbar rechtswidriges, sondern auch missbräuchliches Verhalten einschließt, weit gefasst. Sie ist wegen mangelnder Bestimmtheit aber erheblicher Kritik ausgesetzt.[6] Ausreichend sein sollen zudem begründete Verdachtsmomente des Hinweisgebers über einen Verstoß.
Handlungsbedarf für Unternehmen
Der Gesetzentwurf sieht für Unternehmen diverse Pflichten vor, die den Hinweisgeberschutz sicherstellen sollen und Umsetzungsmaßnahmen erfordern.
Von zentraler Bedeutung ist die in § 12 HinSchG-E vorgesehene Pflicht für Unternehmen mit mindestens 50 Beschäftigten, interne Meldestellen für Hinweisgeber einzurichten. Hierzu sollen kleinere Unternehmen mit in der Regel bis zu 249 Beschäftigten aber nicht bereits mit Inkrafttreten des Gesetzes verpflichtet sein, sondern erst ab dem 17.12.2023. Unternehmen, die in speziellen Bereichen tätig sind (z.B. Kapitalverwaltungsgesellschaften), haben interne Meldestellen demgegenüber unabhängig von der Beschäftigtenzahl einzurichten. Sowohl ein Verstoß gegen die Pflicht zur Einrichtung interner Meldestellen als auch die Behinderung einer Meldung stellen Ordnungswidrigkeiten dar, die mit einem Bußgeld von bis zu 20.000 € bzw. 100.000 € geahndet werden können.
Die internen Meldestellen müssen insbesondere geeignete Meldekanäle vorsehen, die Stichhaltigkeit der Meldung prüfen und angemessene Folgemaßnahmen ergreifen, die dem Hinweisgeber zudem fristgerecht mitzuteilen sind. Eine Pflicht zur Entgegennahme anonymer Meldungen besteht allerdings nicht. Nach dem Gesetzesentwurf ist die Meldung spätestens zwei Jahre nach Abschluss des Verfahrens zu löschen. Diese Regelung birgt derzeit aber noch erhebliches Unsicherheitspotential. Einerseits ist etwa unklar, zu welchem Zeitpunkt von einem Abschluss des Verfahrens auszugehen ist (Abschluss interner Untersuchungen? Durchführung disziplinarischer Maßnahmen? Beendigung damit zusammenhängender Rechtsverfahren?).[7] Andererseits dürfte die starre Frist den Anforderungen der EU-Whistleblower-Richtlinie und des Datenschutzrechts nicht genügen. So hat der BDI in seiner Stellungnahme zum Gesetzesentwurf eine Anpassung an die Vorgaben der DSGVO gefordert.[8]
Die Unternehmen sind ferner dazu verpflichtet, die Vertraulichkeit der Identität des Hinweisgebers und der sonstigen in der Meldung genannten Personen zu wahren. Ein Verstoß gegen diese Pflicht stellt eine Ordnungswidrigkeit dar, für die ein Bußgeld von bis zu 100.000 € vorgesehen ist. Der Entwurf macht von dem Vertraulichkeitsgebot nur wenige Ausnahmen. Einen der Hauptanwendungsfälle dürfte die Offenlegung auf Verlangen von Strafverfolgungsbehörden darstellen.
Insgesamt lässt der Gesetzesentwurf Unternehmen bei der Ausgestaltung der internen Meldestellen zwar durchaus Spielraum. Doch sind insbesondere die Vorgaben für die Einrichtung von Meldestellen auf Konzernebene noch nicht abschließend geklärt. Hier stellt sich die praktisch bedeutsame Frage, ob es ausreicht, innerhalb eines Konzerns eine zentrale Meldestelle für alle Konzerngesellschaften einzurichten. Hiervon geht zumindest die Begründung des Gesetzesentwurfs aus.[9] Ob der Entwurf an dieser Stelle mit der EU-Whistleblower-Richtlinie in Einklang steht, wird allerdings bezweifelt.[10] Im Übrigen muss die interne Meldestelle nicht zwingend in das Unternehmen eingegliedert sein. So können etwa auch externe Dritte (z.B. Rechtsanwälte als Ombudspersonen) beauftragt werden,[11] was sich wegen der bestehenden Unsicherheiten gerade für Konzerngesellschaften anbieten mag. Zu gewährleisten ist aber in jedem Fall die Unabhängigkeit, Vertraulichkeit und Fachkunde der Stelle.
Dem Hinweisgeber selbst steht es schließlich frei, ob er sich an die interne oder eine externe Meldestelle, die auf Bundesebene beim Bundesamt für Justiz gebildet wird, wendet. Er muss also nicht vorrangig eine innerbetriebliche Meldung vornehmen. Dies hat zuletzt im Gesetzgebungsverfahren bei den Sachverständigen von BDA, BDI und DIHK für erhebliche Kritik gesorgt.[12] Zu Recht wird darauf hingewiesen, dass das Gesetz Anreize für den Hinweisgeber schaffen müsse, sich vorrangig an eine interne Meldestelle zu wenden.[13] Denn andernfalls wird dem Unternehmen die Möglichkeit genommen, erhobene Vorwürfe zunächst selbst zu prüfen und erforderlichenfalls Abhilfe zu schaffen.
Schutz des Hinweisgebers
Zugunsten des Hinweisgebers sieht der Entwurf verschiedene Schutzmechanismen vor. Dieser Schutz greift, wenn der Hinweisgeber hinreichenden Grund zu der Annahme hatte, dass die gemeldete Information der Wahrheit entspricht. Der Hinweisgeber darf dann wegen der Meldung keine Benachteiligung erfahren. Dies wird durch verschiedene Instrumente gesichert: Zunächst besteht eine Beweislastumkehr zugunsten des Hinweisgebers. In einem etwaigen Kündigungsschutzprozess müsste daher etwa der Arbeitgeber beweisen, dass eine ausgesprochene Kündigung in keinem Zusammenhang mit der Meldung gestanden hat. Gleichzeitig liegt in der Benachteiligung eines Hinweisgebers auch eine Ordnungswidrigkeit, wegen der ein Bußgeld von bis zu 100.000 € verhängt werden kann. Möglich sind zudem Schadensersatzansprüche des Hinweisgebers. Vorbehaltlich der Begehung einer Straftat ausgeschlossen ist schließlich ist eine Verantwortlichkeit der hinweisgebenden Person für die Beschaffung oder den Zugriff auf Informationen, die sie gemeldet oder offengelegt hat.
Fehlender Schutz vor Falschmeldungen
Nur unzureichend gewährleistet erscheint demgegenüber der Schutz vor Falschmeldungen. Vorgesehen ist zwar ein Schadensersatzanspruch infolge einer Falschmeldung. Doch soll dieser nur bei grob fahrlässigem oder vorsätzlichem Verhalten des Hinweisgebers bestehen. Inwieweit der Schadensersatzanspruch den Unternehmen tatsächlich praktische Vorteile bringt, erscheint fraglich. Denn Schwierigkeiten bereitet dabei vor allem, dass Unternehmen wegen der Vertraulichkeit der Meldung keine Kenntnis von der Person des Hinweisgebers (und damit des potentiellen Anspruchsgegners) haben. Daher wird u.a. empfohlen, den Schutz zu Unrecht beschuldigter Personen insbesondere durch die spezialgesetzliche Regelung eines Auskunftsanspruchs gegenüber internen und externen Whistleblowing-Stellen zu verbessern.[14]
Fazit
Mit dem Inkrafttreten des Hinweisgeberschutzgesetzes entsteht für Unternehmen, insbesondere im Zusammenhang mit der Einrichtung von internen Meldestellen, kurzfristiger und umfangreicher Handlungsbedarf. Bei der Umsetzung der Vorgaben sollten Unternehmen die eigenen Meldestellen möglichst effektiv und nutzerfreundlich gestalten, um auf diese Weise einen Anreiz für die vorrangige Nutzung der internen Meldestellen zu schaffen. Hierdurch kann insbesondere die öffentliche Bekanntmachung eines Verstoßes vermieden werden, die Hinweisgebern vor allem dann gestattet ist, wenn externe Meldestellen innerhalb bestimmter Fristen nicht auf die Meldung reagieren. Auf die Einrichtung bzw. die Anpassung vorhandener Meldestellen sollte insgesamt ein besonderer Fokus gelegt werden, da die Nichtbeachtung der gesetzlichen Anforderungen Haftungsrisiken birgt und Geldbußen drohen. Insofern kann sich auch anbieten, die interne Meldestelle gemeinsam mit dem nach § 8 Lieferkettensorgfaltspflichtengesetz (LkSG) einzurichtenden Beschwerdeverfahren umzusetzen (z.B. durch Nutzung desselben technischen Meldetools). Dabei wäre allerdings auf die stellenweise divergierenden Vorgaben von HinSchG-E und LkSG zu achten (etwa Veröffentlichung der Verfahrensordnung, Zugänglichkeit auch für Externe etc.).
[1] Das Hinweisgeberschutzgesetz ist zentraler Bestandteil des „Gesetzes für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“, BT-Drs. 20/3442.
[2] Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23. Oktober 2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, ABl. L 305 S. 17.
[3] BT-Drs. 20/3442, S. 1.
[4] https://www.bundestag.de/presse/hib/kurzmeldungen-917250
[5] BT-Drs. 20/3442, S. 33, 55.
[6] Fuhlrott/Henckel, Hinweisgeberschutzgesetz: Handlungsbedarf für Unternehmen und Personalabteilungen, ArbRAktuell 2022, 441 (442); Quast/Ohrloff, Der Regierungsentwurf des Hinweisgeberschutzgesetzes, CCZ 2022, 303 (304); vgl. auch die Stellungnahmen von BDA, BDI, DHIK, https://www.bmj.de/SharedDocs/Gesetzgebungsverfahren/DE/Hinweisgeberschutz.html.
[7] Vgl. Zimmer/Schwung, Hilfe für Hinweisgeber – Beweislastumkehr nach § 36 II HinSchG-RegE, NZA 2022, 1167 (1171).
[8] https://www.bmj.de/SharedDocs/Gesetzgebungsverfahren/Stellungnahmen/2022/Downloads/0511_Stellungnahme_BDI_HinSchG-E.pdf;jsessionid=350FE9AF1AF5BA5531BDEF2509D9B786.2_cid297?__blob=publicationFile&v=4, S. 8 f.
[9] BT-Drs. 20/3442, S. 91.
[10] Bürkle, Zur Unionsrechtskonformität zentraler Konzernmeldestellen für Hinweisgeber, CCZ 2022, 335; Quast/Ohrloff, Der Regierungsentwurf des Hinweisgeberschutzgesetzes, CCZ 2022, 303 (305); Gerdemann, Neuer Entwurf für ein Hinweisgeberschutzgesetz, ZRP 2022, 98 (100 f.).
[11] BT-Drs. 20/3442, S. 90.
[12] https://www.bundestag.de/presse/hib/kurzmeldungen-917250
[13] Thüsing/Musiol, Hinweise zum Hinweisgeberschutzgesetz, BB 2022, 2420, die insofern von einer Europarechtswidrigkeit ausgehen; vgl. auch die Stellungnahme des BDI, abrufbar unter https://www.bmj.de/SharedDocs/Gesetzgebungsverfahren/Stellungnahmen/2022/Downloads/0511_Stellungnahme_BDI_HinSchG-E.pdf;jsessionid=350FE9AF1AF5BA5531BDEF2509D9B786.2_cid297?__blob=publicationFile&v=4, S. 4 f.
[14] Stellungnahme von Dr. Simon Gerdemann, abrufbar unter 0511_Stellungnahme_gerdemann_HinSchG-E.pdf;jsessionid=350FE9AF1AF5BA5531BDEF2509D9B786.2_cid297 (bmj.de), S. 17 f.
[View source.]
