Das Hinweisgeberschutzgesetz steht (nun endlich) in den Startlöchern und für Unternehmen und Behörden wird es Zeit zu handeln. Denn das Gesetz verpflichtet Unternehmen mit mindestens 50 Beschäftigten dazu, eine interne Meldestelle für Rechtsverstöße zu implementieren. Lesen Sie hier, wie Sie die neuen Pflichten erfüllen können.

An wen richtet sich das Gesetz?

Das Gesetz richtet sich an Unternehmen und Behörden, die 50 oder mehr Personen beschäftigen. Adressat ist die juristische Person bzw. der Rechtsträger. Für die interne Umsetzung gelten die allgemeinen Grundsätze der Compliance-Organisation. Danach ist die Geschäfts- oder Behördenleitung originär zuständig und dafür verantwortlich, erforderliche Maßnahmen zu treffen. Maßnahmen zur Umsetzung werden in der Regel aber intern delegiert, so dass die operative Verantwortung meist bei den Rechts-, Compliance-, Personal und IT-Abteilungen liegen wird.

Ab wann gilt das Hinweisgeberschutzgesetz (HinSchG)?

Das Gesetz ist aktuell im Entwurfsstadium. Aussagen aus dem Koalitionsvertrag lassen aber darauf schließen, dass der Entwurf bald Gesetz wird. Dann müssen Unternehmen ab 250 Beschäftigen das Gesetz drei Monate nach der Verkündung umsetzen. Für Unternehmen, die weniger als 250 Personen beschäftigen, gibt es eine längere Übergangsfrist bis zum 17. Dezember 2023.

Für Unternehmen in öffentlicher Hand und Gemeinden mit mehr als 10.000 Einwohnern gelten die entsprechenden Pflichten aufgrund der sogenannten “Whistleblower-Richtlinie” RL (EU) 2019/1937 bereits seit Dezember 2021.

Welche Pflichten ergeben sich aus dem Gesetz?

Aus dem Gesetz ergibt sich die Pflicht, Maßnahmen zum Schutz von Personen zu treffen, die Rechtsverstöße intern melden. Unternehmen und Behörden müssen also Maßnahmen treffen, die hinweisgebende Personen vor Konsequenzen jeglicher Art schützen. Gemeint ist damit insbesondere der Schutz vor arbeitsrechtlichen Konsequenzen einschließlich deren Androhung. Das betrifft insbesondere Versetzungen, Abmahnungen, Kündigung oder Gehaltskürzungen. Diese Maßnahmen sind als Reaktion auf eine Meldung unzulässig; Unternehmen und Behörden müssen die Beschäftigten davor schützen.

Wenn Unternehmen arbeitsrechtliche Maßnahmen gegenüber Meldenden treffen, gelten verschärfte Beweislastregeln zugunsten der Meldenden. Unternehmen und Behörden müssen dann beweisen, dass nicht die Meldung, sondern ein anderes Verhalten der meldenden Person Anlass für eine arbeitsrechtliche Maßnahme war. Nur dann ist die arbeitsrechtliche Maßnahme rechtmäßig.

Die wohl prominenteste konkrete Organisationspflicht ist es, eine sogenannte Meldestelle einzurichten, bei der sich die Beschäftigten vertraulich melden können und die Meldungen nach den Vorgaben des Gesetzes behandelt. Diese Meldestellen werden auch als Whistleblowing-Hotlines bezeichnet. Für den Betrieb der Meldestellen enthält das Gesetz die Anforderungen, dass Meldestellen insbesondere

• die Vertraulichkeit der Identität der meldenden Person sicherstellen müssen;
• die Entgegennahme der Meldungen vertraulich behandeln;
• Meldungen dauerhaft für 2 Jahre dokumentieren;
• leicht zugänglich sein müssen und keine sprachlichen Barrieren bestehen;
• in ihrer Arbeit unabhängig von Weisungen sind und keinen Interessenkonflikten unterliegen;
• mit fachkundigem Personal besetzt sind;
• der hinweisgebenden Person den Eingang der Meldung spätestens nach 7 Tagen bestätigen;
• prüfen, ob der gemeldete Verstoß in den Anwendungsbereich des Gesetzes fällt, also insbesondere strafrechtlich relevantes Verhalten, Verstöße gegen bußgeldbewehrte Vorschriften zum Schutz von Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane, aber auch sonstige Verstöße gegen Bundes-, Landes- oder unmittelbar geltende EU-Rechtsakte;
• mit der hinweisgebenden Person Kontakt halten;
• die Stichhaltigkeit der eingehenden Meldung prüfen;
• wenn nötig die hinweisgebende Person um weitere Informationen ersuchen;
• angemessene Folgemaßnahmen ergreifen und
• der hinweisgebenden Person innerhalb von 3 Monaten nach Eingangsbestätigung Rückmeldung geben, was bereits ergriffene oder geplante Folgemaßnamen sind.

Welche Sanktionen drohen bei Nichtumsetzung?

Nach dem Gesetz sollen Verstöße – etwa das Versäumnis eine Meldestelle einzurichten – mit einer Geldbuße in Höhe von bis zu EUR 20.000,- geahndet werden können. Werden Meldung oder Kommunikation zu der Meldung verhindert, wird eine verbotene Repressalie ergriffen oder das Vertraulichkeitsgebot missachtet, droht ein Bußgeld von bis zu EUR 100.000,-. Versäumnisse bei der Umsetzung des Gesetzes werden in der Regel struktureller Art sein, so dass Versäumnisse zu einer Vielzahl von Verstößen führen können. Geldbußen können daher auch über diese Beträge hinaus gehen.

Wie lassen sich die Pflichten des Gesetzes umsetzen?

Wie jede Maßnahme der Compliance-Organisation beginnt auch die Implementierung des Hinweisgeberschutzgesetzes mit dem Bekenntnis der Geschäfts- oder Behördenleitung. Die nächsten Schritte sind dann Analyse der gesetzlichen Anforderungen, die Implementierung von Maßnahmen und der Systemverbesserung. Für das Hinweisgeberschutzgesetz lässt sich das allgemeine Schutzziel, der Schutz von hinweisgebenden Personen, am effektivsten durch Information und Sensibilisierung umsetzen. Die Beteiligten müssen wissen, dass Hinweisgebende geschützt sind, damit sie das für ihren Verantwortungsbereich beachten können. Das gilt für Personalverantwortliche und Personalabteilungen im besonderen Maße, aber auch für alle anderen Abteilungen.

Damit auch Benachteiligungen im kleinen und im großen Stil entgegengewirkt wird, ist neben Information und Sensibilisierung der „Tone from the Top“ entscheidend. Hinweisgebende dürfen nicht (mehr) als „Nestbeschmutzer“ wahrgenommen werden. Unternehmen und Behörden müssen Whistleblowing vielmehr als Chance erkennen. Hinweise auf Compliance- oder Rechtsverstöße können so nämlich intern aufgeklärt werden und es können Maßnahmen getroffen werden, die Schlimmeres verhindern. Der Schutz der Hinweisgebenden gelingt dann ganz automatisch.

Die größte organisatorische Herausforderung bei der Umsetzung des Hinweisgeberschutzgesetz ist die Einrichtung der Meldestelle. Es ist möglich, diese als unabhängige und weitegehend weisungsfreie Einheit in der Organisation eines Unternehmens aufzusetzen. In der praktischen Umsetzung können sich daraus aber Herausforderungen ergeben. Unternehmensorganisationen sind nämlich davon geprägt, dass die Einheiten ihrer Organisation miteinander interagieren und kommunizieren. Genau das muss für die Meldestelle aber ausgeschlossen sein, um den Schutz der Hinweisgebenden und die vertrauliche Behandlung von Meldungen zu gewährleisten. Die Meldestelle muss daher weitgehend durch sogenannte „Chinese Walls“ abgekapselt werden und darf nur kontrolliert mit dem Rest des Unternehmens kommunizieren.

Eine Alternative zum internen Aufbau ist es, die Meldestelle direkt extern aufzusetzen. Bei der Einrichtung einer gemeinsamen Meldestelle für mehrere Gesellschaften in einem Konzern bzw. einer Unternehmensgruppe ist aber Vorsicht geboten. Intention des europäischen Gesetzgebers war es nämlich, dass grundsätzlich jedes Unternehmen und jede Behörde eine Meldestelle einrichtet. Der sichere Weg für eine externe Meldestelle ist daher die Beauftragung eines externen Dienstleisters, der entsprechend vertraglich zur Vertraulichkeit gegenüber den Meldenden und dem Auftraggeber verpflichtet ist. Für die technische Umsetzung einer Meldestelle bietet sich in der Regel eine web-basierte Lösung an, die um eine Telefon-Hotline ergänzt werden kann. Dafür ist es wichtig, dass Sprachbarrieren möglichst vermieden werden und eine anonyme Kommunikation möglich ist.

Was ist Unternehmen zu raten?

Das Hinweisgeberschutzgesetz kommt – vermutlich schon sehr bald. Unternehmen sind daher gut beraten, sich auf die neuen Anforderungen einzustellen. Wie für jede Maßnahme der Compliance-Organisation gilt es insbesondere zu verstehen, was die Rechtspflichten sind. Im Fall des Hinweisgeberschutzgesetzes müssen insbesondere die Beteiligten im Unternehmen für den Schutz von Hinweisgebenden sensibilisiert werden. Das ist die halbe Miete.

Die andere Hälfte ist der Aufbau einer Meldestelle. Sehen Sie es positiv und machen Sie das Beste daraus, Verbesserungspotential für Ihre Compliance-Organisation über ihre Meldestelle künftig frei Haus geliefert zu bekommen. Die Einrichtung einer Meldestelle kann übrigens auch bei der Erfüllung von anderen Rechtspflichten helfen. Aktuell beschäftigt viele Unternehmen das Lieferkettensorgfaltspflichten-Gesetz viele Unternehmen und es ist möglich die Meldestelle so aufzusetzen, dass auch Verpflichtungen nach dem Lieferkettensorgfaltspflichten-Gesetz erfüllt werden

Wer den Aufbau von internen Ressourcen zum Betrieb der Meldestelle vermeiden und schnell zum Ziel kommen möchte, sollte darüber nachdenken, den Betrieb der Meldestelle an einen Dienstleister auszulagern, der Einrichtung und Betrieb technisch übernehmen und das System mit juristischem Know-how für die Unternehmen betreiben kann. Ein innovativer Anbieter dafür ist unser Partner eagle lsp (www.eagle-lsp.de). Das Hamburger Legal-Tech-Startup hat sich auf juristische Services wie den Betrieb digitaler Hinweisgebersysteme spezialisiert. Sprechen Sie uns gerne an, wenn Sie Fragen zum Hinweisgeberschutzgesetz oder Interesse an einem Kontakt zu den Kollegen von eagle lsp haben.