Beschäftigte in Unternehmen und Behörden nehmen Missstände oftmals als erste wahr. Sie sorgen durch ihre Hinweise dafür, dass Rechtsverstöße aufgedeckt, untersucht, verfolgt und unterbunden werden können. Um die Hinweisgeberinnen und Hinweisgeber vor Benachteiligungen zu schützen, die ihnen wegen ihrer Meldung drohen und sie davon abschrecken könnten, wurde die EU-Whistleblower-Richtlinie erlassen, die eigentlich bis zum 17.12.2021 in nationales Recht umgesetzt werden müssen. Nunmehr hat das Bundeskabinett am 27.7.2022 einen Regierungsentwurf (HinSchG-E) beschlossen und damit das Gesetzgebungsverfahren eingeleitet. Mit dem Hinweisgeberschutzgesetz soll der Schutz von hinweisgebenden Personen ausgebaut und die EU-Whistleblower-Richtlinie (Wir informierten darüber in unserem Blog) nunmehr in nationales Recht umgesetzt werden.

Kabinettsentwurf Hinweisgeberschutzgesetz beschlossen

Am 13.4.2022 wurde ein Referentenentwurf des deutschen Hinweisgeberschutzgesetzes veröffentlicht und am 27.7.2022 vom Bundeskabinett der Regierungsentwurf des Hinweisgeberschutzgesetzes mit minimalen Abweichungen zum Referentenentwurf verabschiedet (beide Entwürfe finden Sie hier). Da grundlegend Einigkeit in der Regierungskoalition zu dem Entwurf besteht, ist damit zu rechnen, dass das Gesetzgebungsverfahren zügig abgeschlossen wird, das Gesetz im Laufe des Jahres verabschiedet wird und 3 Monate nach Verkündung in Kraft treten kann.

Welche Unternehmen werden vom HinSchG-E umfasst?

Mit der Verabschiedung dieses Gesetzes kommt eine gesetzliche Verpflichtung zur Einführung eines Hinweisgeberverfahrens (sogenannte „interne Meldestelle“):

  • für Beschäftigungsgeber mit mehr als 250 Mitarbeiter sofort nach Inkrafttreten des Gesetzes,
  • für Beschäftigungsgeber mit mehr als 50 Mitarbeiter (und bis 249 Mitarbeiter) ab dem 17.12.2023.
  • Unternehmen mit einer Mitarbeiteranzahl zwischen 50 und 249 Mitarbeiter können gem. § 14 Abs. 2 HinSchG-E eine „gemeinsame Meldestelle“ betreiben.

Der Kreis der Beschäftigungsgeber nach dem HinSchG-E umfasst juristische Personen des Privatrechts, eingetragene Vereine, die eingetragene Genossenschaft, die Aktiengesellschaft, die Kommanditgesellschaft auf Aktien, die Gesellschaft mit beschränkter Haftung und Stiftungen des Privatrechts; juristischen Personen des öffentlichen Rechts, insbesondere Gebietskörperschaften, Personalkörperschaften sowie Verbandskörperschaften auf Bundes- und Landesebene; rechtsfähige Personengesellschaften und sonstige rechtsfähige Personenvereinigungen. Für Gemeinden und Gemeindeverbände richtet sich die Pflicht zur Einrichtung interner Meldestellen nach dem jeweiligen Landesrecht.

Regelungen in Konzernen

Nach § 12 HinSchG-E müssen alle Unternehmen mit mehr als 50 Mitarbeiter eine eigene interne Meldestelle einrichten. Nach § 14 HinSchG-E kann jedoch auch ein „Dritter“ beauftragt werden.

Nach dem konzernrechtlichen Trennungsprinzip kann dementsprechend der Dritte auch eine andere Konzerngesellschaft (zum Beispiel Mutter-, Schwester-, oder Tochtergesellschaft) eine unabhängige und vertrauliche Stelle als „Dritter“ im Sinne von § 14 HinSchG-E sein, die dann für mehrere selbständige Unternehmen in dem Konzern tätig wird. Dabei ist es nach Ausführungen des Gesetzgebers allerdings notwendig, dass die Verantwortung dafür, einen festgestellten Verstoß zu beheben und weiterzuverfolgen, immer bei dem jeweiligen beauftragenden Tochterunternehmen verbleibt.

Soweit eine Berichterstattung an die Konzernleitung erforderlich erscheint, z. B. weil ein Verstoß nicht nur das konkrete Unternehmen betrifft, hat diese unter voller Wahrung der Vertraulichkeit der Identität des Hinweisgebers zu erfolgen. Dabei sind bei europaweit tätigen Unternehmen die einzelnen nationalen Umsetzungsunterschiede der Hinweisgeberschutz Richtlinie zu berücksichtigen.

Schutz der Vertraulichkeit

Von besonderer Bedeutung ist der Schutz der Vertraulichkeit der Identität der Hinweisgeber. Die Identität darf dabei grundsätzlich nur den jeweils für die Bearbeitung einer Meldung zuständigen Personen bekannt sein. Informationen über die Identität einer hinweisgebenden Person oder einer Person, die Gegenstand einer Meldung ist, sollen nur in Ausnahmefällen herausgegeben werden dürfen.

Das Hinweisgeberschutzgesetz sieht folgende Varianten der Umsetzung vor:

  • Einrichtung einer telefonischen Hotline
  • Persönliche/Physische Zusammenkunft
  • Einrichtung eines IT-gestützten Hinweisgebersystems

Die Einrichtung eines IT-gestützten Hinweisgebersystems ermöglicht eine vertrauliche, verschlüsselte Kommunikation zwischen Hinweisgeber und Fallbearbeiter, die zu jeder Tages- und Nachtzeit stattfinden kann. Sofern die IP-Adresse des Meldenden bei einem derartigen System nicht gespeichert wird, ist dessen Identifizierung nicht möglich.

Datenschutzrechtliche Auswirkungen

Jede Meldung über natürliche Personen hat natürlich auch datenschutzrechtliche Auswirkungen, welche bei der Bearbeitung der gemeldeten Vorfälle zu berücksichtigen sind. Werden personenbezogene Daten in Hinweisgebermeldungen ohne Kenntnis der betroffenen Personen erhoben, so sind diese grundsätzlich nach Art. 14 DSGVO über die Umstände der Datenverarbeitung zu unterrichten. Außerdem kann es bei einem Auskunftsanspruch eines Beschuldigten nach Art. 15 DSGVO hinsichtlich seiner verarbeiteten Daten zu datenschutzrechtlichen Fragestellungen kommen. Hier sind im jeweiligen Einzelfall Interessensabwägungen durchzuführen, um sowohl den Hinweisgeber zu schützen, als auch die Persönlichkeitsrechte von sonstigen Beteiligten. Denn die Identität einer hinweisgebenden Person, die vorsätzlich oder grob fahrlässig unrichtige Informationen über Verstöße meldet, wird nicht nach diesem Gesetz geschützt.