Das Hinweisgeberschutzgesetz – Ein neuer Anlauf des Gesetzgebers!

​veröffentlicht am 11. April 2022

Nun liegt er vor: Der neue Referentenentwurf des Bundesministeriums der Justiz. Die in der EU-Whistleblower Richtlinie gesetzte Frist ist bereits abgelaufen. Eine entsprechende Umsetzung in nationales Recht hat Deutschland jedoch bislang versäumt. Das wird nun nachgeholt.

Unsere erste Reaktion: Wenig Neues im Vergleich zum Entwurf aus der letzten Legislaturperiode. Dieses überrascht jedoch nicht, wurde bereits im Koalitionsvertrag angekündigt, sich an dem „alten” Entwurf orientieren zu wollen.

Unsere zweite Reaktion: Die Herausforderungen im Gesundheits- und Sozialwesen sowie bei Forschungseinrichtungen werden deutlich und klar ist auch: Es sind gleich mehrere! Dabei ist u.a. die Idee des Gesetzgebers, dass die Nichteinrichtung einer entsprechenden Meldestelle bußgeldbewehrt sein soll.

Mit einem neuen Gesetz zum Schutz hinweisgebender Personen (Hinweisgeberschutzgesetz – HinSchG) soll deren bislang lückenhafter und unzureichender Schutz ausgebaut werden. Hinweisgeberinnen und Hinweisgeber leisten einen wichtigen Beitrag zur Aufdeckung und Ahndung von Missständen. Allerdings gab es in der Vergangenheit immer wieder Fälle, in denen sie infolge einer Meldung oder Offenlegung von Missständen benachteiligt wurden. Ziel dieses Gesetzentwurfes ist es also, diese Benachteiligungen auszuschließen und Hinweisgeberinnen und Hinweisgebern Rechtssicherheit zu geben. Mit dem Gesetzentwurf soll das Ziel eines verbesserten Hinweisgeberschutzes mit den Interessen von Unternehmen und öffentlicher Verwaltung, die zum Ergreifen von Hinweisgeberschutzmaßnahmen verpflichtet werden, so in Einklang gebracht werden, dass bürokratische Belastungen händelbar bleiben.

Wir haben für Sie den Referentenentwurf ausgewertet und möchten Ihnen nachfolgend die 12 wesentlichen Kernpunkte näherbringen:  

Das Gesetz regelt den Schutz von natürlichen Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die nach diesem Gesetz vorgesehenen Meldestellen melden oder offenlegen (hinweisgebende Personen). Darüber hinaus werden Personen geschützt, die Gegenstand einer Meldung oder Offenlegung sind sowie sonstige Personen, die von einer Meldung oder Offenlegung betroffen sind.

Das Gesetz gilt sachlich für Meldungen und Offenlegungen, insbesondere von Informationen über straf- und bußgeldbewehrte Handlungen sowie sonstige Verstöße gegen Rechtsvorschriften des Bundes und der Länder. Der nationale Gesetzesentwurf fasst so den Anwendungsbereich weiter als die EU-Richtlinie. Es verwundert mit Blick auf den Wirecard-Skandal nicht, dass sogar Verstöße bei Abschlussprüfungen bei Unternehmen von öffentlichem Interesse nach § 316a HGB umfasst sind.

Meldungen sind Mitteilungen von Informationen über Verstöße an interne oder externe Meldestellen. Unter einer internen Meldestelle versteht man dabei Kanäle, die von den Unternehmen, juristischen Personen etc. selbst zur Verfügung gestellt worden sind. Externe Meldestellen sind staatlich eingerichtete Kanäle. Als Offenlegung bezeichnet man das Zugänglichmachen von Informationen über Verstöße gegenüber der Öffentlichkeit.

Der Referentenentwurf sieht vor, dass alle Beschäftigungsgeber und Organisationseinheiten ab 50 Beschäftigten einen internen Meldeweg einrichten müssen. Eine Sonderregelung gilt für Beschäftigungsgeber und Organisationseinheiten aus dem Finanzsektor nach § 12 Abs. 3 des Entwurfes. Hier besteht eine Verpflichtung unabhängig von der Beschäftigtenzahl. Eine Erleichterung ist dahingehend gegeben, dass der Entwurf eine Umsetzungsfrist bis zum 17.12.2023 für diejenigen vorsieht, deren Beschäftigtenzahl zwischen 50 und 249 liegt. Dieses bedeutet jedoch auch im Umkehrschluss, dass bei denjenigen Unternehmen, deren Beschäftigtenzahl bei mindestens 250 liegt, eine Verpflichtung direkt ab In-Kraft-Treten des Gesetzes bestehen wird.

Das Unternehmen muss auch Leiharbeitern und Leiharbeiterinnen eine Meldemöglichkeit bieten, die gemäß ihrer Rolle oft nicht auf die unternehmensinterne Kommunikationsinfrastruktur zugreifen können. Deshalb wäre es ein Irrtum, davon auszugehen, dass eine Mitteilungsmöglichkeit über das Intranet bereits ausreichen würde, denn diese steht ja häufig dieser Personengruppe nicht zur Verfügung. Oft wird davon ausgegangen, dass für solche Hinweisgeber ohne Zugriff auf interne Kommunikationsmittel eine öffentlich ausgelobte E-Mail-Adresse bereits reicht. Dies ist mit Hinblick auf die potenziell sehr hohe Sensibilität der übermittelten Information eine riskante Vorgehensweise. Der BSI-Grundschutzkatalog als einer der maßgeblichen Standards für Informationssicherheit schreibt im Kontext der Elementargefährdung des Ausspionierens mit Hinblick auf den Versandweg E-Mail: „E-Mails können während ihres gesamten Weges durch das Netz gelesen werden, wenn sie nicht verschlüsselt sind. Unverschlüsselte E-Mails sollten daher nicht mit klassischen Briefen, sondern mit Postkarten verglichen werden.”

Als Standardversandweg für die E-Mail eines Hinweisgebers, der zugleich technischer Laie ist, muss von einer unverschlüsselten E-Mail ausgegangen werden. Für den Fall, dass die Vertraulichkeit eines Hinweises oder die Vertraulichkeit der Identität eines Hinweisgebers bei einem als E-Mail eingegangenen Hinweis gebrochen werden sollte und für diesen Hinweisgeber kein anderer Versandweg als der E-Mail-Kanal angeboten worden war, muss das Unternehmen mit dem Vorwurf rechnen, kein ausreichendes Niveau der Informationssicherheit für Hinweisgeber sichergestellt zu haben und auf diese Weise den Datenschutz nicht eingehalten zu haben. Browserbasierte Hinweisgeberportale im Internet auf externen, besonders gesicherten Infrastrukturen bieten hier ein wesentlich höheres Sicherheitsniveau und werden daher auch bei rechtlichen Auseinandersetzungen vermutlich immer mehr als der erforderliche „Stand der Technik” i.S.v. Art. 32 Abs. 1 DSGVO angesehen werden.

Eine Meldung oder Offenlegung fällt nicht in den Anwendungsbereich dieses Gesetzes, ist also auch nicht geschützt, wenn ihr z.B. Pflichten zur Wahrung der Verschwiegenheit durch Ärzte, Zahnärzte, Tierärzte, Apotheker und Angehörige eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert, entgegenstehen. Das gilt gleichermaßen für Personen, die aufgrund eines Vertragsverhältnisses einschließlich der gemeinschaftlichen Berufsausübung, einer berufsvorbereitenden Tätigkeit oder einer sonstigen Hilfstätigkeit an der beruflichen Tätigkeit von Berufsgeheimnisträgern mitwirken. Dies betrifft verschiedene Berufsgeheimnisträger, also auch Rechtsanwälte, Verteidiger in einem gesetzlich geordneten Verfahren, Kammerrechtsbeistände, Patentanwälte und Notare. Zwar sind hier Wirtschaftsprüfer und Steuerberater nicht genannt, aus der Gesetzesbegründung wird jedoch ersichtlich, dass die von der Vorschrift umfassten, gesetzlichen Geheimhaltungs- und Verschwiegenheitspflichten – abgesehen von den in den in § 5 enthaltenen Ausnahmen – umfassend zu verstehen sind.

Achtung! Hier besteht ein Wahlrecht für Personen, die beabsichtigen, Informationen über einen Verstoß zu melden. Sie können wählen, ob sie sich an eine interne oder eine externe Meldestelle wenden. Wenn einem intern gemeldeten Verstoß nicht abgeholfen wurde, bleibt es der hinweisgebenden Person unbenommen, sich auch noch an eine externe Meldestelle zu wenden oder aber – und das sollte unbedingt vermieden werden – die Information sogar zu veröffentlichen. Es ist im Übrigen verboten, Meldungen oder die auf eine Meldung folgende Kommunikation zwischen hinweisgebender Person und Meldestelle zu behindern oder dies zu versuchen.

Grundsätzlich haben die Meldestellen den Vertraulichkeitsgrundsatz zu beachten und die Anonymität der hinweisgebenden Person zu wahren, sofern die gemeldeten Informationen Verstöße betreffen, die in den Anwendungsbereich des HinSchG fallen oder die hinweisgebende Person zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass dies der Fall sei. Ferner ist Anonymität zu wahren über die Personen, die Gegenstand einer Meldung sind und der sonstigen in der Meldung genannten Personen. Die Identität der zuvor genannten Personen darf ausschließlich den Personen, die für die Entgegennahme von Meldungen oder für das Ergreifen von Folgemaßnahmen zuständig sind sowie den sie bei der Erfüllung dieser Aufgaben unterstützenden Personen bekannt werden. Das bedeutet auch, dass ein entsprechendes System vorgehalten werden muss, das diesen Anforderungen genügt.

Eine interne Meldestelle kann auch eingerichtet werden, indem ein Dritter mit den Aufgaben einer internen Meldestelle betraut wird. Die Betrauung eines Dritten mit den Aufgaben einer internen Meldestelle entbindet jedoch den betrauenden Beschäftigungsgeber grundsätzlich nicht von der Pflicht, selbst geeignete Maßnahmen zu ergreifen, um einen etwaigen Verstoß abzustellen. Hier wird deutlich, wie wichtig nicht nur die Einrichtung der Meldestelle als solche ist, sondern, dass auch ein System gefordert wird, das dafür Sorge trägt, dass ein Verstoß auch beseitigt wird. Dies kann klassisch mit einem Compliance-Management-System gewährleistet werden.

Wenn eine entsprechende Meldung im System eingeht, gibt der Referentenentwurf einen 7-Punkte-Plan vor, der auch als Checkliste dienen kann:

1. Bestätigung des Eingangs einer Meldung beim Meldenden spätestens nach sieben Tagen
2. Prüfung, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich des Gesetzes fällt
3. Kontakt halten mit der hinweisgebenden Person
4. Prüfung der Stichhaltigkeit der eingegangenen Meldung
5. Die hinweisgebende Person erforderlichenfalls um weitere Informationen ersuchen
6. Folgemaßnahmen nach § 18 HinSchG ergreifen
7. Rückmeldung an die hinweisgebende Person innerhalb von drei Monaten nach der Bestätigung des Eingangs der Meldung oder, wenn der Eingang nicht bestätigt wurde, spätestens drei Monate und sieben Tage nach Eingang der Meldung 
   

Ja, die Rückmeldung umfasst die Mitteilung geplanter sowie bereits ergriffener Folgemaßnahmen sowie die entsprechenden Gründe. Die Rückmeldung an die hinweisgebende Person darf nur insoweit erfolgen, als dadurch interne Nachforschungen oder Ermittlungen nicht berührt und die Rechte der Personen, die Gegenstand einer Meldung sind oder die in der Meldung genannt werden, nicht beeinträchtigt werden.

Wird eine Meldung abgegeben und stellt sich heraus, dass sie entsprechend valide ist, ergeben sich daraus Folgemaßnahmen. Der Referentenentwurf sieht als Folgemaßnahmen insbesondere vor:

• interne Untersuchungen bei dem Beschäftigungsgeber oder bei der jeweiligen Organisationseinheit durchführen und betroffene Personen und Arbeitseinheiten kontaktieren,
• die hinweisgebende Person an andere zuständige Stellen verweisen,
• das Verfahren aus Mangel an Beweisen oder aus anderen Gründen abschließen oder
• das Verfahren an eine zuständige Behörde zwecks weiterer Untersuchungen abgeben.
  
  

Die Einrichtung einer internen Meldestelle soll zwingend sein. Wer nicht dafür sorgt, dass eine interne Meldestelle eingerichtet ist und betrieben wird, begeht eine Ordnungswidrigkeit. In einem solchen Fall ist § 30 Abs. 2 S. 3 des Gesetzes über Ordnungswidrigkeiten anzuwenden. Das bedeutet, es kann eine Geldbuße gegen juristische Personen und Personenvereinigungen verhängt werden.

Achtung! Anders als bei der Behinderung der Meldung oder Kommunikation oder bei der Anwendung von Repressalien gegenüber einem Hinweisgeber, was ebenfalls eine Ordnungswidrigkeit darstellt und mit einer Geldbuße bis zu 100.000 Euro geahndet werden kann, kann die Geldbuße bei der Nichteinrichtung höher ausfallen. 

Wir hoffen, die vorstehenden Ausführungen konnten Ihnen einen ersten schnellen Überblick über die zu erwartenden Regelungen verschaffen. Aus Regierungskreisen heißt es, dass der Entwurf optimalerweise noch im Sommer zur Abstimmung kommen soll und das Gesetz somit ab Herbst dieses Jahres in Kraft treten soll.

Sie haben konkrete Fragen zur Einrichtung eines geeigneten Meldesystems? Oder Sie möchten sich gerne optimal mit einer schnellen, kostengünstigen externen Lösung, die sämtliche Erfordernisse der EU-Hinweisgeberrichtlinie und des künftigen HinSchG abdeckt, sehr gut aufstellen? 

Gerne stehen wir Ihnen zur Verfügung und erörtern mit Ihnen Chancen und Einsatzmöglichkeiten unseres speziell für Ihre Branche entwickelten Legal Tech Tools WhistleClue.

Sprechen Sie uns gerne unverbindlich an!