Hinweisgeberschutzgesetz: Verwandeln Sie Ihre Pflichten zu Ihren Stärken

Das Gesetz zum Schutz hinweisgebender Personen (Hinweisgeberschutzgesetz - HinSchG) dient der Umsetzung der EU-Whistleblower-Richtlinie. Ziel ist die Verbesserung des Schutzes hinweisgebender Personen, sog. Whistleblower vor Vergeltungsmaßnahmen des Arbeitgebers. Dieser Schutz war bislang nur lückenhaft geklärt und häufig unzureichend. Hinweisgeber oder Whistleblower werden nun durch das Hinweisgeberschutzgesetz geschützt, wenn sie im Zusammenhang ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über mögliche Verstöße erlangt haben und diese an eine Meldestelle melden oder offenlegen. Durch Hinweise zu solchen Informationen können Missstände in Unternehmen und in der öffentlichen Verwaltung frühzeitig erkannt und beseitigt werden.

Hinweisgebende Personen sind Personen, die Informationen über Verstöße melden oder offenlegen. Erfasst sind alle Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben. Hinweisgeber können sein:  

• Arbeitnehmer, auch frühere Arbeitnehmer, Bewerber, Praktikanten, Leiharbeitnehmer,  
• Dritte wie Lieferanten, Dienstleister und Kunden des Unternehmens,  
• Gesellschafter und Führungskräfte.

Das Hinweisgeberschutzgesetz (ugs. Whistleblower-Gesetz) gilt für alle Arbeitgeber ab 50 Beschäftigten. Dabei kommt es nicht darauf an, ob diese Beschäftigten Voll- oder Teilzeit arbeiten. Unternehmen im Finanzsektor, z.B. bei Kapitalverwaltungsgesellschaften, müssen das Hinweisgeberschutzgesetz unabhängig von der Beschäftigtenzahl umsetzen.

Das Hinweisgeberschutz wurde am 2. Juni 2023 im Bundesgesetzblatt verkündigt. Für Arbeitgeber mit in der Regel 50 bis 249 Beschäftigten gilt eine Umsetzungsfrist bis zum 17. Dezember 2023. Alle betroffenen Arbeitgeber mit 250 oder mehr Beschäftigten müssen das Hinweisgeberschutzgesetz bereits bis zum 2. Juli 2023 umsetzen. 

Hier finden Sie die endgültige Fassung des Hinweisgeberschutzgesetzes.

Auch öffentliche Arbeitgeber müssen das Hinweisgeberschutzgesetz beachten und umsetzen. Dazu gehören etwa Gemeinden und Gemeindeverbände sowie Unternehmen im Eigentum oder unter Kontrolle der öffentlichen Hand.  

Die Bundesländer können aber gewisse Ausnahmeregelungen beschließen. So können etwa Gemeinden und Gemeindeverbände mit weniger als 10.000 Einwohnern von der Pflicht zur Einrichtung interner Meldestellen befreit werden. Zudem können die Länder vorsehen, dass interne Meldestellen gemeinsam betrieben werden dürfen, sofern sie funktionell und organisatorisch unabhängig sind. Die Bundesländer können zudem eigene externe Meldestellen einrichten, wenn sie nicht wollen, dass die externe Meldestelle des Bundes tätig wird.

Das Hinweisgeberschutzgesetz schützt die Meldung und die Offenlegung von Informationen über Verstöße, die strafbewehrt oder (teilweise) bußgeldbewehrt sind. Erfasst werden zudem

• Verstöße gegen Rechtsvorschriften des Bundes und der Länder  
• sowie unmittelbar geltende Rechtsakte der Europäischen Union und der europäischen Atomgemeinschaft u. a. im Bereich Geldwäschebekämpfung und Terrorismusfinanzierung, Produktsicherheit und -konformität, Verkehrssicherheit, Umweltschutz, Strahlenschutz und kerntechnische Sicherheit, Verbraucherschutz, Datenschutz, Wettbewerbsrecht und im Finanzsektor oder Verstöße im Bereich des öffentlichen Auftragswesens (Vergaberecht).   

Einzelheiten enthält § 2 HinSchG.

Aufgrund des umfassenden Katalogs möglicher Verstöße und der strengen Vorgaben an das Meldesystem müssen auch Unternehmen, die bereits über ein Hinweisgebersystem verfügen, prüfen, ob und inwieweit Anpassungsbedarf an die Vorgaben des Hinweisgeberschutzgesetzes besteht.

Hinweisgeber sind nicht bei allen Meldungen geschützt. Mindestvoraussetzung ist, dass begründete Verdachtsmomente oder Wissen über tatsächliche oder mögliche Verstöße, die bereits begangen wurden oder sehr wahrscheinlich erfolgen werden, sowie über Versuche der Verschleierung solcher Verstöße vorliegen und gemeldet werden. 

Die Identität von Personen, die vorsätzlich oder grob fahrlässig unrichtige Informationen über Verstöße melden, wird deshalb vom Hinweisgeberschutzgesetz nicht geschützt.

Meldungen von Verstößen können gegenüber internen und externen Meldestellen abgegeben werden. Insoweit besteht zwar prinzipiell ein Wahlrecht der hinweisgebenden Person. Allerdings sollen Personen in den Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten, Meldungen vorzugsweise an einer internen Meldestelle einreichen. Damit geht einher, dass Beschäftigungsgeber, die zur Einrichtung eines internen Meldesystems verpflichtet sind, Anreize dafür schaffen sollen, dass sich hinweisgebende Personen vor einer Meldung an eine externe Meldestelle zunächst an die jeweilige interne Meldestelle wenden.

Beschäftigungsgeber müssen unternehmensintern mindestens eine Stelle für interne Meldungen einrichten und betreiben, an die sich Beschäftigte wenden können. 

Zu den Aufgaben der Meldestelle gehören das Einrichten und Betreiben von Meldekanälen, das Führen des Meldeverfahrens und das Durchführen entsprechender Folgemaßnahmen.

Die mit den Aufgaben der internen Meldestelle beauftragten Personen dürfen neben dieser Tätigkeit auch andere Aufgaben wahrnehmen, müssen aber in der Entgegennahme, Prüfung und Bearbeitung von Meldungen unabhängig sein. Auch mögliche Interessenkonflikte sind auszuschließen. Die Beschäftigungsgeber sind dafür verantwortlich, dass die in der Meldestelle tätigen Personen über die entsprechende Fachkunde verfügen und müssen diese ggf. schulen (lassen). 

Einzelne Aufgaben der Meldestelle können von externen Dritten (z.B. Rechtsanwälte als externe Ombudspersonen) wahrgenommen werden. Mehrere private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können eine gemeinsame Meldestelle einrichten und betreiben. Wird ein Dritter eingebunden oder eine gemeinsame Meldestelle betrieben, muss der Beschäftigungsgeber dennoch selbst geeignete Maßnahmen ergreifen, um einen Verstoß abzustellen. 

Zwar sieht die Whistleblower-Richtlinie insoweit vor, dass jede Konzerngesellschaft eine eigene Meldestelle vorhalten muss, der deutsche Gesetzgeber hat sich jedoch aus Praktikabilitäts- und Wirtschaftlichkeitsgründen für eine großzügigere Regelung entschieden.  Damit sind auch Lösungen auf Konzernebene möglich.

Zudem müssen die internen Meldestellen auch klare und leicht zugängliche Informationen über interne sowie externe Meldeverfahren auf Bundes- und EU-Ebene bereithalten, etwa auf der Website des Unternehmens, im Intranet oder in sonstiger Weise.

Externe Meldestellen sind bei bestimmten Behörden angesiedelt. Auf Bundesebene gehören dazu neben der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) und dem Bundeskartellamt das Bundesamt für Justiz. Weitere externe Meldestellen sind auf Ebene der einzelnen Bundesländer möglich. 

Ist eine hinweisgebende Person mit der Bearbeitung des Hinweises oder dem Ergebnis dieser Bearbeitung durch die zunächst befasste interne Meldestelle nicht einverstanden (etwa, weil Missstände nicht behoben wurde), kann sie sich auch an die externe Meldestelle wenden.

Die Beschäftigungsgeber müssen verschiedene Meldekanäle einrichten, über die sich Beschäftigte und dem Unternehmen überlassene Leiharbeitnehmer/-innen an die internen Meldestellen wenden können. Diese Meldekanäle müssen Meldungen in mündlicher (z.B. gesonderte Telefonnummer) oder in Textform ermöglichen (z. B. Plattform in Intranet, gesonderte E-Mail-Adresse, Beschwerde-Briefkasten etc.). Auch persönliche Zusammenkünfte zwischen der hinweisgebenden Person und einer zuständigen Person der internen Meldestelle sind zu ermöglichen.

Neben unternehmensinternen Meldekanälen ist die Einrichtung weiterer Meldekanäle bei Ombudspersonen möglich. 

Ombudspersonen sind unabhängige, vertrauensvolle externe Dienstleister (meist Rechtsanwälte), die Hinweise entgegennehmen. Sie gewährleisten der hinweisgebenden Personen dabei Vertraulichkeit der Identität. Im Vergleich zu internen Meldekanälen ist eine Abgabe von anonymen Meldungen hier unproblematisch möglich.

Der Vorteil für Beschäftigungsgeber ist, dass eingesetzte Rechtsanwälte als Ombudspersonen die Meldung bereits auf Stichhaltigkeit und Plausibilität prüfen und eine rechtliche Ersteinschätzung geben können. Außerdem unterstützen sie die interne Meldestelle beim weiteren Vorgehen. Die Meldekanäle können auch für außenstehende Dritte geöffnet werden, die im Rahmen ihrer beruflichen Tätigkeiten mit dem jeweiligen Beschäftigungsgeber in Kontakt stehen und einen Rechtsverstoß beobachten (z.B. Lieferanten oder Kunden).

Bei allen Meldekanälen gilt, dass die Daten der hinweisgebenden Person, aber auch die der anderen betroffenen Personen, vertraulich zu behandeln sind. Die Identität der hinweisgebenden Personen, die Gegenstand einer Meldung sind, und der sonstigen in der Meldung genannten Personen sind zu wahren. Hiervon gibt es nur wenige Ausnahmen. 

Bei Nutzung einer internen E-Mail-Adresse oder Telefonnummer für die Meldung von Hinweisen kann nicht sichergestellt werden, dass andere Personen (z. B. aus der IT) Kenntnis über die Identität der hinweisgebenden Person oder von dem Inhalt des Hinweises erlangen können. 

Die Einbindung externer Rechtsanwälte als Ombudsperson oder die Nutzung eines digitalen Hinweisgebersystems bieten insoweit deutliche Vorteile und sind wesentlich rechtssicherer. 

Zusätzlich kann im Einzelfall eine Datenschutz-Folgeabschätzung notwendig werden, auch weil das Vertraulichkeitsgebot in einem Spannungsverhältnis mit den Betroffenenrechten steht. Zudem ist auf eine datenschutzkonforme Dokumentation über den Verlauf des Verfahrens sowie auf die dreijährige Löschpflicht zu achten.

Die externe und interne Meldestelle sollten auch anonym eingehende Meldungen bearbeiten. Es besteht allerdings keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen. Um zeitnahe Informationen zu möglichen Compliance Verstößen zu erhalten und aufsichtsrechtliche Pflichten umfänglich zu erfüllen, ist die Ermöglichung anonymer Meldungen zu empfehlen.

Geht eine Meldung bei einer internen Meldestelle ein, muss die interne Meldestelle zunächst binnen sieben Tagen deren Eingang bestätigen. 

Die interne Meldestelle hat dann zu prüfen, ob der Anwendungsbereich des Hinweisgeberschutzgesetzes eröffnet ist und ob die eingegangene Meldung stichhaltig ist. Sie hält dabei mit der hinweisgebenden Person Kontakt und ersucht diese erforderlichenfalls um weitere Informationen. 

In Folge eines Hinweises kann die interne Meldestelle interne Untersuchungen beim Beschäftigungsgeber führen, die hinweisgebende Person an andere zuständige Personen verweisen, das Verfahren aus Mangeln an Beweisen oder aus anderen Gründen abschließen oder das Verfahren zwecks weiterer Untersuchungen an andere zuständige (interne oder externe) Stellen abgeben.

Innerhalb von drei Monaten nach Bestätigung des Eingangs der Meldung muss die interne Meldestelle dem Hinweisgeber eine Rückmeldung geben. Diese muss insbesondere geplante sowie bereits ergriffene Folgemaßnahmen umfassen (z.B. Weitergabe an die für internen Ermittlungen zuständige Einheit beim Beschäftigungsgeber oder an die zuständige staatliche Behörde zur weiteren Verfolgung).

Darüber hinaus müssen alle eingehenden Meldungen im Einklang mit den Vorgaben zur Vertraulichkeit dokumentiert werden. Diese Dokumentation muss drei Jahre nach Abschluss des Verfahrens gelöscht werden.

Hinweisgeber werden vor beruflichen Benachteiligungen und Repressalien geschützt. Dazu gehört etwa die Übergehung bei einer Beförderung oder deren Kündigung. Erleidet ein Hinweisgeber Benachteiligungen im Zusammenhang mit seiner beruflichen Tätigkeit, wird grundsätzlich vermutet, dass es sich um eine Repressalie handelt. Der Hinweisgeber muss dann allerdings geltend machen, dass er die Benachteiligung infolge einer Meldung oder Offenlegung erlitten hat. Dann obliegt es dem Beschäftigungsgeber, das Gegenteil zu beweisen, d. h. dass die Maßnahmen nicht im Zusammenhang mit der Abgabe eines Hinweises stehen.

Bei einem Verstoß gegen das Verbot von Repressalien ist der Verursacher verpflichtet, der hinweisgebenden Person den daraus entstehenden Schaden zu ersetzen. Anders als im ursprünglichen Entwurf enthalten, gibt es jedoch keinen Anspruch auf Schadensersatz wegen eines Schadens, der nicht Vermögensschaden ist (= Schmerzensgeld) verlangen.

Nicht geschützt sind Hinweisgeber bei der vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen. In diesem Fall entstehen im Zweifel sogar Schadensersatzverpflichtungen.

Wird keine interne Meldestelle eingerichtet, können Bußgelder in Höhe von bis zu zwanzigtausend Euro gegen den Beschäftigungsgeber verhängt werden. Bußgelder bis zu fünfzigtausend Euro sind angedroht für den Fall, dass die Kommunikationskanäle behindert, Repressalien verhängt oder die Vertraulichkeit des Hinweisgebers nicht gewahrt werden.

Werden Missstände nicht abgestellt und führen Behörden oder andere öffentliche Stellen deswegen Ermittlungen, können Maßnahmen nach den jeweils verletzten Gesetzen getroffen werden. Diese können je nach Art des Verstoßes um ein Vielfaches teurer sein, als wenn ein Beschäftigungsgeber selbst tätig geworden ist.