Das Hinweisgeberschutzgesetz

In einer Pressmitteilung vom 23. April 2018 der Europäischen Kommission wurde aus dieser Empfehlung ein konkreterer Vorschlag.

So hätten die (zu der Zeit) jüngsten Skandale wie Dieselgate, Luxleaks, die Panama Papers und die laufenden Enthüllungen rund um Cambridge Analytica gezeigt, dass Hinweisgeber bei der Aufdeckung rechtswidriger Handlungen, die dem öffentlichen Interesse und dem Wohl der Bürgerinnen und Bürger und der Gesellschaft schaden, eine wichtige Rolle spielen können. Der vorgelegte Vorschlag solle Hinweisgebern, die Verstöße gegen das EU-Recht melden, ein hohes Schutzniveau anhand EU-weiter Mindeststandards bieten. Mit der neuen Richtlinie werden sichere Kanäle für die Meldung von Missständen sowohl innerhalb einer Organisation als auch an Behörden geschaffen. Darüber hinaus werden Hinweisgeber vor Kündigungen, Zurückstufungen und anderen Repressalien geschützt. Nationale Behörden werden verpflichtet, die Bürgerinnen und Bürger zu informieren und öffentliche Stellen im Umgang mit Hinweisgebern zu schulen.

Frans Timmermans, erster Vizepräsident und Stellvertreter des damaligen EU-Kommissionspräsidenten Jean-Claude Juncker, erklärte zum vorgelegten Vorschlag im April 2018: „Viele der jüngsten Skandale wären nicht ans Licht gekommen, hätten Hinweisgeber nicht den Mut gehabt, sie zu melden. Dabei haben sie jedoch große Risiken auf sich genommen. Wenn wir Hinweisgeber besser schützen, können wir Gefahren für das öffentliche Interesse, wie Betrug, Korruption, Steuervermeidung und Schäden für unsere Gesundheit und die Umwelt, besser erkennen und vermeiden. Wer richtig handelt, sollte nicht bestraft werden. Mit dem heutigen Vorschlag werden zudem auch jene geschützt, die investigativen Journalisten als Quelle dienen und damit dazu beitragen, dass die Meinungsfreiheit und die Medienfreiheit in Europa gewahrt bleiben.“

Am 23. Oktober 2019 brachte die Europäische Union schließlich eine „Richtlinie zum Schutz von Personen auf den Weg, die Verstöße gegen das Unionsrecht melden“. Unter dem etwas schlankeren und prominenteren Namen der „EU Whistleblower Richtinie“ schreibt sie vor, dass alle EU Mitgliedstaaten gemäß Artikel 26 die Richtlinie bis zum 17. Dezember 2021 in nationales Recht umzusetzen hätten. Es wird das klare Ziel formuliert, dass diese Richtlinie eine bessere Durchsetzung des Unionsrechts und der Unionspolitik in bestimmten Bereichen durch die Festlegung gemeinsamer Mindeststandards ermöglicht, um so ein hohes Schutzniveau für Personen sicherzustellen, die Verstöße gegen das Unionsrecht melden.

Die vom Europäischen Parlament und des Rates gesetzte Frist der Umsetzung der EU Whistleblower Richtlinie in ein nationales Gesetz bis zum 17. Dezember 2021 verpasst Deutschland deutlich. Als sich zwei Monate später noch immer keine wesentlichen Änderungen an dieser Tatsache feststellen lassen, leitet die Europäische Union am 27. Januar 2022 ein Vertragsverletzungsverfahren ein. Davon betroffen war allerdings nicht nur Deutschland, sondern auch viele weitere EU-Mitgliedstaaten wie unter anderem Belgien, Estland, Frankreich, Italien, die Niederlande, Österreich, Polen oder Spanien.

Die mittlerweile neu gewählte Bundesregierung sah sich zum Handeln aufgefordert und veröffentlichte am 13. April 2022 einen Gesetzentwurf für ein umfassendes Hinweisgeberschutzsystem.

Schlussendlich dauerte es noch bis zum 16. Dezember 2022 bis zum endgültiges Beschluss des Bundestages für ein neues Hinweisgeberschutzgesetz – oder kurz HinSchG. Durch eine Zustimmung in der nächsten Plenarsitzung des Bundesrates kann es bereits am 10. Februar 2023 verkündet werden. Drei Monate später, also voraussichtlich im Mai, träte es dann rechtmäßig in Kraft. Doch wie genau müssen sich nun Unterehmen auf die Umsetzung des HinSchG vorbereiten? Und welche Unternehmen müssen überhaupt entsprechende Maßnahmen in die Wege leiten?

Hinweisgeberinnen und Hinweisgeber sollen nach Möglichkeit Meldungen entweder schriftlich über ein Online-Plattform, einen Briefkasten oder auf dem Postweg abgeben können. Darüber hinaus sind auch mündlich Meldesysteme per Telefon oder Anrufbeantworter möglich. Auf Verlangen des Hinweisgebers soll auch ein persönliches Treffen ermöglicht werden können. Ganz gleich für welches Meldesystem Sie sich in Ihrem Unternehmen entscheiden: Bei sämtlichen Meldewegen muss die Vertraulichkeit des Whistleblowers geschützt sein.

Die Bearbeitung aller personenbezogenen Daten, sowohl die des Hinweisgebers als auch die beschuldigter Personen, darf nur DSGVO-konform erfolgen. Welche Personen oder Abteilungen innerhalb eines Unternehmens am besten geeignet sind, Meldungen entgegenzunehmen und Folgemaßnahmen zu ergreifen, hängt von der Struktur des Betrieb ab. In kleineren Unternehmen könnte diese Aufgabe etwa ein Leiter der Compliance- oder Personalabteilung, eine Integritätsbeauftragte, ein Rechts- oder Datenschutzbeauftragter, ein Finanzvorstand, eine Auditverantwortliche oder ein Vorstandsmitglied sein. Unternehmen können die Bearbeitung von Hinweisen auch auslagern, beispielsweise an einen Ombudsmann.

Sofern bereits eine interne Meldestelle in Ihrem Unternehmen existiert, sollten Sie nun prüfen, ob diese im Einklang mit dem neuen Hinweisgeberschutzgesetz steht. Sofern Sie noch keine Meldestelle eingerichtet haben, ist wohl die digitale Option einer Hinweisgeberplattform eine ideale Lösung, um sämtliche Aspekte abzudecken, die das neue HinSchG fordert.

Digitale Hinweisgeberplattformen sind anonym, datenschutzkonform, transparent und leicht im eigenen Unternehmen eingerichtet. Ein Whistleblower hat somit volle Datenkontrolle, kann Dateien hochladen und den Bearbeitungsstatus seines Hinweises jederzeit einsehen. Darüber hinaus können hier umfassende Dokumente wie zum Beispiel FAQs, Datenschutz­erklärung, eine Datenschutzfolgeabschätzung, Gutachten oder Pentests abgelegt werden, zu denen Hinweisgeberinnen und Hinweisgeber jederzeit Zugriff haben. Liegen die Rechenzentren der Betreiber gleichzeitig noch innerhalb der EU oder sogar in Deutschland, ist eine datenschutzkonforme Verarbeitung auf Grundlage der DSGVO sehr wahrscheinlich.

Das neue Whistleblower-Gesetz ist am 10. Februar 2023 vom Bundesrat gestoppt worden. In der Länderkammer erhielt es nicht die nötige Mehrheit, um in der derzeitigen Ausführung auf den Weg gebarcht zu werden. Einig sei man sich zwar, dass ein Schutz für Hinweisgebende wichtig sei und die entsprechende EU-Richtlinie umgesetzt werden müsse. Die Belastung für kleine und mittelständische Unternehmen sei in der jetzigen Form allerdings zu hoch. Außerdem bestünde auch die Gefahr vor Missbrauch, wenn vorgesehen anonymisierte Meldekanäle in den Betrieben installiert werden würden. „Nicht jeder Whistleblower führt Gutes im Schilde.“, argumentiert etwa Hessens Justizminister Roman Poseck.

Aller Voraussicht nach geht das Gesetz nun durch den Vermittlungsausschuss von Bundesrat und Bundestag. Wenn dort ein Kompromiss gefunden wird, auf den sich beide Gremien einigen, wird das neue Hinweisgeberschutzgesetz mit weiterer Verspätung in Kraft treten. Ein genauer Zeitrahmen ist gegenwärtig nicht bekannt.

Nachdem am 10. Februar 2023 die erarbeitete Version des Hinweisgeberschutzgesetzes vom Bundesrat nicht gebilligt worden war, musste nun ein Kompromiss gefunden werden, der vor allem kleinere Unternehmen entlasten sollte. Bereits zum 17. Dezember 2021 hätte die EU-Richtlinie von der Bundesrepublik in nationales Recht umgewandelt werden müssen.

Dass dies bis heute noch nicht geschehen ist, kommt dem deutschen Staat teuer zu stehen. Die Europäische Kommission verklagte am 15. Februar 2023 Deutschland und sieben weitere Staaten im Zusammenhang mit der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden. In der vor dem Europäischen Gerichtshof eingereichten Klage verlangt Brüssel bis zur Behebung des Verstoßes 61.600 Euro täglich, „mindestens jedoch 17.248.000 Euro“.

Es wird inzwischen demnach höchste Zeit, die beschlossene EU-Richtlinie auch in Deutschland umzusetzen. Am 11. Mai 2023 konnte sich der Bundestag in einem Vermittlungsausschuss auf eine abgeänderte Fassung des Gesetzestextes einigen. Die Koalitionsfraktionen aus SPD, FDP und den Grünen sowie aus der Opposition die CDU/CSU stimmten nun nach monatelangem Streit für den neu erarbeiteten Kompromiss. Dieser sieht vor, dass die geplanten Meldestellen in den betroffenen Unternehmen nicht dazu verpflichtet werden, Meldungen von Hinweisgebenden auch anonym zu ermöglichen. Die Obergrenze bei Bußgeldern wird von 100.000 Euro auf 50.000 Euro gesenkt. Größter Konfliktpunkt im Streit um das deutsche Hinweisgebergesetz war die Belastung für kleine und mittelständische Unternehmen.

Dass der Gesetzesentwurf am 12. Mai 2023 vom Bundesrat verabschiedet wird, gilt als Formsache. Gerade im Hinblick auf die gegenwärtigen Strafzahlungen an die EU ist eine möglichst schnelle Umsetzung in nationales Recht wünschenswert. Vier Wochen nach der Verkündigung – also voraussichtlich Ende Juni 2023 – tritt das neue Hinweisgebergesetz dann schlussendlich in Kraft. Unternehmen mit 250 oder mehr Mitarbeitenden müssen dann zum Schutz von Whistleblowern interne Hinweisgebersysteme einrichten. Für Unternehmen mit mehr als 50 aber weniger als 250 Beschäftigten gilt noch bis zum 17. Dezember 2023 eine Übergangfrist, bis auch kleinere und mittelständische Betriebe zur Umsetzung verpflichtet werden.

Mittlerweile ist absehbar, dass das Hinweisgeberschutzgesetz noch im ersten Halbjahr in Kraft treten wird. Wenn Sie Fragen zum Thema haben oder eine unabhängige Beratung wünschen, stehen wir Ihnen gerne zur Verfügung und können Sie mit einer digitalen Hinweisgeberplattform schon heute zur Umsetzung in Ihrem Unternehmen eine Lösung anbieten.