Zweiter Versuch: Entwurf eines neuen Hinweisgeberschutzgesetzes

Nachdem in der vergangenen Legislaturperiode ein Gesetzesentwurf zur Umsetzung der EU-WBRL gescheitert war, hat das Bundesjustizministerium am 13. April 2022 einen neuen Referentenentwurf für ein Hinweisgeberschutzgesetz („HinSchG-E“) vorgelegt. Die interessierten Kreise haben bis zum 11. Mai 2022 Gelegenheit, zu dem Entwurf Stellung zu nehmen. Laut Presseberichten soll das HinSchG möglichst noch im Sommer 2022 erlassen werden. Der neue Gesetzesentwurf sieht im Vergleich zu der EU-WBRL und dem letzten Entwurf eine Erweiterung des Anwendungsbereichs und des Pflichtenprogramms betroffener Unternehmen vor. Vor diesem Hintergrund ist betroffenen Unternehmen, die bereits über ein Hinweisgebersystem verfügen, zu raten, den Anpassungsbedarf an die Vorgaben des Gesetzes zeitnah zu prüfen. Unternehmen, die erstmals eine interne Meldestelle einrichten, sollten sich bereits jetzt Gedanken über eine für sie passende Ausgestaltung machen. Ggf. anzupassen bzw. neu zu erstellen ist auch die "Begleitdokumentation" eines jeden Hinweisgebersystems (Leitfaden für Hinweisgeber; interne Richtlinie und Schulungen für Hinweisbearbeiter; Datenschutzfolgeabschätzung; Löschkonzept; Datenschutzhinweise etc.)

I. Persönlicher und zeitlicher Anwendungsbereich

Der Gesetzesentwurf bezweckt den Schutz natürlicher Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße gegen bestimmte Rechtsvorschriften erlangt haben und diese melden oder offenlegen. Daher ist der Gesetzesentwurf im Grundsatz für jedes Unternehmen von Relevanz.

Kern des Entwurfs ist die erstmals gesetzlich geregelte Pflicht sog. „Beschäftigungsgeber“, die in der Regel über mindestens 50 Beschäftigte verfügen, einen internen Meldekanal für Hinweisgeber einzurichten. Beschäftigungsgeber sind natürliche Personen, juristische Personen des öffentlichen Rechts und des Privatrechts und Personenvereinigungen, bei denen mindestens eine Person beschäftigt ist. Für Beschäftigungsgeber ab 250 Beschäftigten gilt die Pflicht ab Inkrafttreten des Gesetzes, also voraussichtlich bereits im Jahr 2022. Unternehmen mit in der Regel 50 bis zu 249 Beschäftigten haben dagegen bis zum 17. Dezember 2023 Zeit zur Einrichtung des internen Meldekanals. Für bestimmte Beschäftigungsgeber, insbesondere aus dem Finanzsektor und dem Versicherungssektor, gilt die Pflicht zur Einrichtung einer internen Meldestelle dagegen unabhängig von der Beschäftigtenzahl ab Inkrafttreten des Gesetzes.

II. Sachlicher Anwendungsbereich

Aufgrund der auf EU-Recht beschränkten Gesetzgebungskompetenz des EU-Gesetzgebers verpflichtet die EU-WBRL die EU-Mitgliedsstaaten lediglich, den Schutz von Hinweisgebern gesetzlich zu garantieren, die Informationen über Verstöße gegen bestimmte, enumerativ aufgelistete Vorgaben des Unionsrecht melden. Bereits unmittelbar nach Erlass der EU-WBRL wurde in Deutschland intensiv diskutiert, ob der nationale Gesetzgeber durch eine überschießende Umsetzung der Richtlinie diesen Schutz auf Verstöße gegen nationales Recht erweitern solle. Medienberichten zufolge scheiterten der Gesetzesentwurf aus 2021 und damit auch die fristgerechte Umsetzung der EU-WBRL an dem Widerstand gegen eine solche Erweiterung des sachlichen Anwendungsbereichs.

Der nunmehr vorgelegte Gesetzesentwurf sieht ebenfalls eine deutliche Erweiterung des sachlichen Anwendungsbereichs gegenüber den Vorgaben der EU-WBRL vor:

1. Geschützte Meldeinhalte

Der Schutz des Gesetzes soll Meldungen und Offenlegungen von Informationen erfassen, die sich auf bestimmte Verstöße beziehen. Darunter sollen fallen

• Verstöße, die strafbewehrt sind
• Verstöße, die bußgeldbewehrt sind, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient, sowie
• Verstöße, die bestimmte katalogmäßig aufgelistete Rechtsgebiete betreffen. Erfasst werden Rechtsvorschriften des Bundes, der Länder und der Union u.a. zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, Vorgaben zur Produktsicherheit, zum Umweltschutz, zur Lebensmittel- und Futtermittelsicherheit, zum Schutz der Privatsphäre in der elektronischen Kommunikation, zum Schutz personenbezogener Daten im Anwendungsbereich der DSGVO, zur Regelung der Rechte von Aktionären, zur Abschlussprüfung bei Unternehmen von öffentlichem Interesse und zur Rechnungslegung bestimmter Unternehmen und Institute. Insoweit ist das Schutzgut der verletzten Vorschrift unbeachtlich.

Hinter dieser Regelungstechnik steht der Gedanke, dass Hinweisgeber geschützt werden sollen, wenn sie schwerwiegende Verstöße melden. Verstöße gegen Strafvorschriften werden stets als erhebliche Verstöße klassifiziert, Verstöße gegen Ordnungswidrigkeitsvorschriften nur dann, wenn diese dem Schutz hochwertiger Rechtsgüter dienen. Darüber hinaus gebietet die EU-WBRL, Verstöße gegen das Unionsrecht hinsichtlich bestimmter enumerativ aufgelisteter Rechtsgebiete zu erfassen. Der Gesetzgeber hat den Schutz auf nationale Rechtsvorschriften erweitert. Bei der Bestimmung der erfassten Rechtsgebiete hat er sich zwar an den Richtlinienvorgaben orientiert, teilweise den unionsrechtlich gebotenen Umfang aber auch überschritten, um Wertungswidersprüche zu vermeiden.

Praxishinweis

Geschützt sind in jedem Fall Meldungen zu Verstößen im Bereich sog. ABC-Compliance (Korruption und Bestechung; Kartellverstöße; Geldwäsche etc.).

Ein Verstoß im Sinne des Gesetzesentwurfs liegt vor bei einer Handlung oder Unterlassung im Rahmen einer beruflichen, unternehmerischen oder dienstlichen Tätigkeit, die entweder rechtswidrig ist und die erfassten Vorschriften oder Rechtsgebiete betrifft oder missbräuchlich ist, weil sie dem Ziel oder Zweck der erfassten Vorschrift oder Rechtsgebiete zuwiderläuft.

Praxishinweis

Geschützt sind nur begründete Verdachtsmomente oder das Wissen über tatsächliche oder mögliche Verstöße sowie über Versuche der Verschleierung solcher Verstöße, die bereits begangen wurden oder sehr wahrscheinlich erfolgen werden. D.h., vage Vermutungen oder Spekulationen ohne hinreichende tatsächliche Anhaltspunkte sowie Hinweise auf offenkundige Bagatellfälle genügen nicht. Diese können Unternehmen im Rahmen der nach Eingang einer Meldung zuerst durchzuführenden Plausibilitätsprüfung herausfiltern und brauchen sie nicht weiterzuverfolgen.

Praxishinweis

Ob ein Verstoß eine erfasste Rechtsvorschrift betrifft und seine Meldung oder Offenlegung damit in den sachlichen Anwendungsbereich des Gesetzesentwurfs fällt, kann im Einzelnen schwierig zu beurteilen sein. Gerade für juristische Laien dürfte ohne rechtlichen Beistand beispielsweise kaum die Einschätzung durchzuführen sein, welches Rechtsgebiet ein Verstoß betrifft oder ob ein verletzter Ordnungswidrigkeitstatbestand einem der erfassten Schutzgüter dient.

Abhilfe leisten kann möglicherweise die Pflicht der externen Meldestellen, im Rahmen ihres Internetauftritts die Voraussetzungen für den Schutz nach dem Gesetz darzustellen. Inwieweit sich diese in der Praxis jedoch von einer reinen Wiedergabe des Gesetzeswortlauts unterscheiden werden, bleibt abzuwarten. Da solchen behördlichen Hinweisen auch keine Verbindlichkeit bei der Auslegung des Gesetzes zukommt, verbleibt für Hinweisgeber und betroffene Unternehmen gleichermaßen ein erheblicher Rechtsunsicherheitsfaktor. Der Gesetzeszweck, ein hinreichendes Maß an Sicherheit für Hinweisgeber zu schaffen, wird damit schon auf erster Ebene verfehlt, wenn diesen in Zweifelfällen nicht erkennbar ist, ob das Gesetz überhaupt Anwendung findet. Hinsichtlich der verpflichteten Unternehmen dürfte zumindest die Annahme eines unvermeidbaren Verbotsirrtums naheliegen, wenn sie sich bei der Umsetzung der Gesetzesvorgaben auf die Praxishinweise der externen Meldestellen verlassen.

III. Zulässigkeit der Einrichtung zentraler Meldestellen im Konzern

Die aus Unternehmenssicht zentrale Verpflichtung des Gesetzes besteht in der Einrichtung interner Meldekanäle. Anders als von der Europäischen Kommission im Zusammenhang mit der EU-WBRL im Sommer 2021 gefordert und daher auch in Deutschland vielfach befürchtet, lässt der HinSchG-E die Einrichtung zentraler Meldestellen im Konzern zu. Die Europäische Kommission hatte Ende 2021 mehrere Schreiben veröffentlicht, wonach Gesellschaften mit 250 und mehr Beschäftigten keine Ressourcen in Bezug auf interne Meldesysteme teilen dürften und ein zentraler Meldekanal der Holding nur ergänzend und parallel neben einem lokalen Meldekanal auf Ebene der Tochtergesellschaften betrieben werden könne.

Nach dem HinSchG-E kann die interne Meldestelle auch bei einem „Dritten“ eingerichtet werden. Danach ist neben der bereits verbreiteten Auslagerung von Meldekanälen an externe Dienstleister und Rechtsanwaltskanzleien nach der Entwurfsbegründung auch die Einrichtung einer konzernweit zuständigen Meldestelle bei einer konzernangehörigen Gesellschaft zulässig. Zu beachten ist allerdings, dass die einzelnen verpflichteten Unternehmen weiterhin die originäre Verantwortung für den ordnungsgemäßen Betrieb und die Durchführung des Meldeverfahrens tragen. Wird eine zentral eingerichtete Meldestelle daher nicht ordnungsgemäß betrieben, kann letztlich allen verpflichteten Konzernunternehmen ein Bußgeld drohen. Abzuwarten bleibt, ob diese Auslegung der Konzernobergesellschaft als „Dritte“ europarechtlich standhält.

Mittelgroße Beschäftigungsgeber, die in der Regel zwischen 50 und 249 Personen beschäftigen, können – entsprechend den Richtlinienvorgaben – eine gemeinsame Stelle für die Entgegennahme von Meldungen und hinsichtlich der Folgemaßnahmen einrichten und betreiben.

Praxishinweis

Die Zulassung der Einrichtung zentraler Meldestellen in Unternehmensgruppen ermöglicht es Unternehmen mit mehr als 3.000 bzw. 1.000 Beschäftigten, die das Lieferkettensorgfaltspflichtengesetz ab dem 1. Januar 2023 bzw. dem 1. Januar 2024 zur Einrichtung eines Beschwerdemechanismus zur Meldung bestimmter menschenrechts- und umweltbezogener Risiken und Verstöße verpflichtet, einen integrierten Meldekanal einzurichten, der sämtliche gesetzliche Verpflichtungen abdeckt.

Praxishinweis

Bei der konzernweiten Implementierung von Hinweisgebersystemen müssen grenzüberschreitend tätige Unternehmen beachten, dass andere Mitgliedsstaaten bzw. Länder ggf. inhaltlich abweichende Vorgaben vorsehen und das interne Meldesystem diesen ebenfalls Rechnung tragen muss.

IV. Ausgestaltung des internen Meldeverfahrens

Der Gesetzesentwurf lässt den verpflichteten Beschäftigungsgebern zwar hinsichtlich der Organisation der internen Meldestelle durchaus weitgehende Freiheiten. Gleichzeitig handelt es sich um die ersten umfassenden gesetzlichen Vorgaben in diesem Zusammenhang. Auch die derzeitigen Praxisstandards zu Hinweisgebersystemen (z.B. ISO/FDIS 37002 von August 2021 oder DICO-Standard zu Hinweisgebersystemen von März 2021) können daher künftig nicht mehr 1:1 herangezogen werden, um ein Hinweisgebersystem lege artis einzurichten, sondern müssen voraussichtlich in einigen Teilen an das neue Gesetz angepasst werden.

Praxishinweis

Unternehmen ist zu empfehlen, die Primär- und Letztzuständigkeiten für die Entgegennahme und Prüfung der Meldungen, die vorgegebenen Abläufe, die Folgeentscheidungen sowie die Eskalations-, Dokumentations- und Berichtsmechanismen in einer internen Richtlinie festzulegen: Denn zum einen herrscht in Rechtsprechung und Schrifttum Übereinstimmung, dass die Festlegung klarer und unmissverständlicher Zuständigkeiten ein zentrales Element einer wirksamen Compliance-Organisation darstellt. Damit kommt einer entsprechenden Dokumentation nicht nur Ordnungs-, sondern auch Enthaftungsfunktion zu. Zum anderen sollten den Case Managern die detaillierten Verfahrens- und Dokumentationsvorschriften des HinSchG-E im Sinne einer klaren und eindeutigen Ablaufbeschreibung vor Augen geführt werden. Sinnvoll erscheint insbesondere auch, diejenigen Fälle zu definieren, in denen ggf. Sofortmaßnahmen zum Rechtsgüter- oder Reputationsschutz ergriffen werden müssen und den Ablauf der Plausibilitätsprüfung und die Kriterien für eine Einstellung bzw. Fortführung der internen Aufklärungsmaßnahmen klar zu definieren.

1. Anforderungen an die Besetzung

Die Aufgaben der internen Meldestelle können einzelnen Personen, Abteilungen oder auch externen Dritten (etwa Rechtsanwälten) übertragen werden. Die Entscheidung sollte anhand der Organisationsstruktur und Größe eines Unternehmens sowie der Art der ausgeübten Tätigkeit getroffen werden. Auch Kosten sowie die Erreichbarkeit und Unabhängigkeit der Meldestelle sollten in die Abwägung einbezogen werden.

Entscheidet sich ein Unternehmen gegen die Auslagerung auf eine externe Ombudsstelle oder -person, gilt Folgendes: Die beauftragten Personen dürfen neben ihrer Tätigkeit für die interne Meldestelle auch weitere Aufgaben und Pflichten wahrnehmen und beispielsweise in Doppelfunktion auch als Datenschutzbeauftragter, Compliance-Beauftragter oder Integritätsbeauftragter tätig sein. Insbesondere in kleineren Unternehmen bietet sich eine solche Doppelfunktion an.

Unabhängig von der Organisationsstruktur der internen Meldestelle ist jederzeit die Unabhängigkeit der dort Beschäftigten sicherzustellen. Interessenkonflikte sind auszuschließen. Die mit der Tätigkeit betrauten Personen müssen über die notwendige Fachkunde zur Erfüllung der der Meldestelle übertragenen Aufgaben verfügen. Dies kann beispielsweise durch Schulungen sichergestellt werden.

Praxishinweis

Es ist bereits jetzt gängige Praxis, unternehmensinterne Hinweisbearbeiter nicht aus operativen Funktionen, sondern vor allem aus Zentralfunktionen wie der Compliance-, Rechts- und HR-Abteilung zu rekrutieren.

2. Adressaten des internen Meldekanals

Hauptadressat des internen Meldekanals sind die im Unternehmen beschäftigten Arbeitnehmer und Leiharbeitnehmer. Fakultativ ist die Ausweitung auch auf andere natürliche Personen möglich, die im Rahmen ihrer beruflichen Tätigkeiten mit dem verpflichteten Unternehmen in Kontakt stehen, wie Selbstständige, die für das Unternehmen arbeiten, Personen, deren Beschäftigungsverhältnis zwischenzeitlich beendet wurde, oder Personen, die bei Auftragnehmern oder Lieferanten des Unternehmens beschäftigt sind.

3. Vertraulichkeit

Die Meldekanäle müssen so konzipiert, eingerichtet und betrieben werden, dass jederzeit die Vertraulichkeit der Identität des Hinweisgebers sowie Dritter, die in der Meldung belastet oder genannt werden, geschützt ist. Der Personenkreis, der auf eingehende Meldungen Zugriff hat, ist zu diesem Zweck auf die mit der Bearbeitung der Meldungen befassten Mitarbeiter zu beschränken (Etablierung eines strikten Need-to-know-Grundsatzes).

Ausnahmen vom Vertraulichkeitsgebot gelten zum einen bei vorsätzlichen oder fahrlässigen Falschmeldungen, um die Geltendmachung von Schadensersatzansprüchen der Betroffenen gegen den Hinweisgeber zu ermöglichen. Zum anderen ist die Weitergabe von Informationen über die Identität des Hinweisgebers gegenüber den zuständigen Behörden und Gerichten in laufenden Ermittlungs-, Verwaltungs- oder Gerichtsverfahren zulässig. Sofern der Erfolg von Folgemaßnahmen oder weiterer Ermittlungen hierdurch nicht gefährdet wird, ist dem Hinweisgeber die Weitergabe der Informationen in diesen Fällen mitzuteilen. Auch wenn die Weitergabe für Folgemaßnahmen erforderlich ist oder mit einer Einwilligung des Betroffenen erfolgt, ist sie zulässig.

Praxishinweis

Unternehmen müssen zudem den allgemeinen datenschutzrechtlichen Vorgaben (insbesondere nach der DSGVO) Rechnung tragen. Erforderlich ist in der Regel die Durchführung einer Datenschutzfolgeabschätzung sowie die Erstellung von Datenschutzhinweisen und eines Löschkonzepts.

4. Ausgestaltung des internen Meldekanal

Die Meldekanäle müssen die Entgegennahme von Meldungen entweder in mündlicher Form (per Telefon oder mittels einer anderen Art der Sprachübermittlung) oder in Textform (zum Beispiel per E-Mail, Fax, Brief oder über ein Online-Tool) ermöglichen.

Auf Wunsch des Hinweisgebers ist auch ein persönliches Treffen mit der zuständigen Stelle im Unternehmen durchzuführen.

Praxishinweis:

Unternehmen, die im Rahmen eines integrierten Hinweisgebersystems zugleich die Vorgaben der §§ 8, 9 LkSG abdecken möchten, müssen zusätzlich beachten, dass dieser Beschwerdemechanismus "barrierefrei" sein muss.

5. Keine Pflicht zur Zulassung anonymer Meldungen

Um der Gefahr einer Überlastung des neuen Hinweisgeberschutzsystems vorzubeugen und erste Erfahrungen sowohl interner als auch externer Meldestellen abzuwarten, hat der Gesetzgeber keine Pflicht zur Bearbeitung anonymer Hinweise vorgesehen. Denn damit würden erhebliche zusätzliche Kosten für die notwendigen technischen Vorrichtungen einhergehen.

Praxishinweis

Nach dem Gesetzesentwurf steht es den verpflichteten Unternehmen damit frei, ob sie die internen Meldekanäle auch für anonyme Meldungen öffnen. Die Vor- und Nachteile der Zulassung anonymer Meldungen sollten daher im Einzelfall gegeneinander abgewogen und – falls vorhanden – mit dem Betriebsrat abgestimmt werden. Die Entgegennahme anonymer Meldungen dürfte die Attraktivität des internen Meldekanals steigern. Auch anonyme Hinweisgeber fallen unter die gesetzlichen Schutzbestimmungen, wenn ihre zunächst verdeckte Identität bekannt wird. Die Nachteile von anonymen Hinweisen liegen allerdings auch auf der Hand: Ohne Kenntnis des Hinweisgebers können keine Maßnahmen zum Schutz gegen missbräuchliche Verwendung des internen Meldekanals und zum Schutz von zu Unrecht beschuldigten Personen ergriffen werden.

6. Verfahren nach Eingang einer Meldung

a. Eingangsbestätigung

Der Eingang einer Meldung bei der Meldestelle ist dem Hinweisgeber spätestens nach sieben Tagen zu bestätigen.

Praxishinweis

Unternehmen sollten organisatorisch sicherstellen, dass die Eingangsbestätigung – außer in vollkommen offenkundigen, krassen Missbrauchsfällen wie Formalbeleidigungen ohne materiellen Gehalt – jedem Hinweisgeber erteilt wird. Hat der Hinweisgeber den Hinweis anonym erteilt oder verfügt die Gesellschaft nicht über eine Kontaktmöglichkeit, so entfällt die Bestätigungsverpflichtung aufgrund Unmöglichkeit.

b. Inhaltliche Prüfung und Folgemaßnahmen

Das Gesetz sieht als einen zwingenden Arbeitsschritt vor, dass die interne Meldestelle die Eröffnung des sachlichen Anwendungsbereichs des Gesetzes und die Stichhaltigkeit der Meldung überprüft. Sie hat Kontakt mit dem Hinweisgeber zu halten. Erforderlichenfalls muss sie den Hinweisgeber um weitere Informationen ersuchen.

Wenn der sachliche Anwendungsbereich des Gesetzes nicht eröffnet ist, entfallen die Pflichten nach dem HinSchG-E, nicht aber automatisch alle Compliance-Pflichten. Auch ein Hinweis, der nicht in den sachlichen Anwendungsbereich des Gesetzes fällt, kann Anlass sein, den Sachverhalt weiter aufzuklären.

Erweist sich der Hinweis bei der Stichhaltigkeitskontrolle als unbegründet oder nicht hinreichend stichhaltig, kann die interne Meldestellen den Vorgang abschließen. Es hat den Hinweisgeber über den Eingang des Hinweises und den Abschluss des Verfahrens sowie die Gründe hierfür zu unterrichten.

Hält der Hinwies der Stichhaltigkeitskontrolle stand, muss die Meldestelle angemessene Folgemaßnahme ergreifen. Als Folgemaßnahmen sieht der Gesetzesentwurf (i) die weitere Sachverhaltsaufklärung vor, insbesondere durch interne Untersuchung, die Befragung von betroffenen Personen oder Arbeitseinheiten, (ii) den Verweis an eine andere zuständige Stelle, (iii) den Abschluss des Verfahrens aus Mangel an Beweisen oder aus anderen Gründen, etwa durch Widerlegung des Hinweises, und (iv) die Abgabe an eine zuständige Behörde zwecks weiterer Untersuchung. Über alle Maßnahmen entscheiden die im Unternehmen zuständigen Stellen nach pflichtgemäßem Ermessen. Eine Pflicht zur Abgabe an eine zuständige Behörde zwecks weiterer Ermittlungen wird nur in engen Ausnahmefällen anzunehmen sein. Der Grundsatz ist, dass das Unternehmen einen weiten Ermessenspielraum hat, ob es eine zuständige Behörde einschaltet.

Praxishinweis

Unternehmen sollten den Hinweisbearbeitern aufgeben, nach Eingang eines Hinweises eine Vor- bzw. Plausibilitätsprüfung durchzuführen. Bei Kapitalgesellschaften folgt aus dem Legalitätsprinzip der allgemeine Grundsatz "Aufklären, Abstellen, Ahnden" sowie das Null-Toleranz-Dogma im Hinblick auf (mögliche) Compliance-Verstöße. Erhärtet sich der gemeldete Verdacht im Rahmen der Vor- bzw. Plausibilitätsprüfung, stellt sich also heraus, dass er (i) auf einem konkreten Tatsachenkern beruht, (ii) einen Rechtsverstoß in der Sphäre des Unternehmens als möglich und nicht gänzlich unwahrscheinlich erscheinen lässt und (iii) unter Compliance-Gesichtspunkten relevant ist, sind weitere interne Aufklärungsmaßnahmen – entsprechend der idealerweise in Richtlinienform schriftlich niedergelegten internen Vorgaben für Internal Investigations – durchzuführen.

Stellt sich die Meldung als unzutreffend heraus, kann ihr aus Mangel an Beweisen nicht weiter nachgegangen werden oder wurde dem Verstoß abgeholfen, kann die Meldestelle das Verfahren abschließen.

Zur Ergreifung der Folgemaßnahmen sind der Meldestelle die notwendigen Befugnisse zu übertragen.

c. Rückmeldung

Die Meldestelle hat dem Hinweisgeber grundsätzlich innerhalb von drei Monaten nach der Eingangsbestätigung oder, wenn der Eingang nicht bestätigt wurde, spätestens drei Monate und sieben Tage nach Eingang der Meldung Rückmeldung über ergriffene sowie noch geplante Folgemaßnahmen zu geben. Die Gründe für die Folgemaßnahmen sind in der Rückmeldung offenzulegen.

Eine Rückmeldung darf allerdings nur insoweit erfolgen, als dadurch interne Ermittlungen nicht berührt und die Rechte von betroffenen Personen nicht beeinträchtigt werden.

Praxishinweis

Wird ein externer Dritter, z.B. ein Anwalt oder Ombudsmann, mit den Aufgaben der internen Meldestelle betraut, ist auf eine enge Zusammenarbeit zwischen dem Dritten und dem Unternehmen zu achten, da die interne Meldestelle nicht nur zur Entgegennahme und Dokumentation der Meldungen, sondern auch zur Ergreifung angemessener Folgemaßnahmen verpflichtet ist. Es muss klar definiert werden, welche Aufgaben durch den Dritten und welche im Unternehmen wahrgenommen werden. Fehlt es daran, hat das Unternehmen die interne Meldestelle nicht ordnungsgemäß eingerichtet. Zu erwarten ist, dass die externen Anbieter von Online-Tools wie etwa EQS oder LegalTegrity zeitnah Fristenrechner in ihre Tools integrieren, damit die Hinweisbearbeiter automatisch an die Rückmeldefriste erinnert werden.

d. Dokumentation und Löschung

Die Meldestelle hat eingehende Meldungen in dauerhaft abrufbarer Weise unter Beachtung des Vertraulichkeitsgebots zu dokumentieren.

Praxishinweis

Zur Erfüllung dieser Pflicht sowie zur eigenen Enthaftung und zur Verteidigung gegen mögliche Untätigkeits- bzw. Organisationsverschuldensvorwürfe sollten Unternehmen sicherstellen, dass nicht nur die Meldung selbst, sondern für jede Meldung auch die ergriffenen Maßnahmen und Schritte und der Verfahrensablauf – unter Wahrung des Vertraulichkeitsgrundsatzes und der datenschutzrechtlichen Vorgaben, insbesondere des Löschkonzepts – dokumentiert werden.

Die Meldung ist nach Abschluss des Verfahrens zwei Jahre lang aufzubewahren. Anschließend ist die Dokumentation zu löschen.

Praxishinweis

Diese Fristenregelung ist bei der Erstellung bzw. Anpassung von Löschkonzepten zu beachten. Wenn das Unternehmen telefonische Meldungen zulässt, sollten die ausführlichen gesetzlichen Vorgaben zu deren Dokumentation in der internen Richtlinie und bei der Schulung der Hinweisbearbeiter berücksichtigt werden.

7. Bereitstellung von Informationen

Die Meldestellen haben zudem klare und leicht zugängliche Informationen über externe Meldestellen bereitzustellen, um Hinweisgebern eine informierte Wahl zwischen internen und externen Meldestellen zu ermöglichen. Dies kann zum Beispiel auf einer allgemein zugänglichen Website, im Intranet oder durch Aushänge erfolgen.

Praxishinweis

Diese Verpflichtung zur Bereitstellung von Informationen über externe Meldestellen ist für alle betroffenen Unternehmen ein Novum. Unternehmen ist zu empfehlen, gleichzeitig eine Verfahrensordnung bzw. Hinweise zur Funktionsweise der internen Meldestelle auf der Unternehmenshomepage zu veröffentlichen. Diese Informationen sollten jedenfalls in deutscher und englischer Sprache zur Verfügung stehen.

8. Verhältnis zu anderen Vorschriften

a. Spezialgesetzliche Regelungen zur Hinweiserteilung

Obwohl das deutsche Recht bislang noch keine allgemeine gesetzliche Pflicht zur Einrichtung interner Meldestellen und zum Hinweisgeberschutz vorsieht, enthalten Spezialgesetze bereits vereinzelt derartige Vorgaben. Der HinSchG-E ordnet den Vorrang einiger dieser Gesetze an. So bleiben z.B. die Vorschriften zur Hinweiserteilung nach dem Geldwäschegesetz, dem KWG, dem WpHG, dem VAG, dem KAGB und dem BörsG unberührt. Nach diesen Gesetzen verpflichtete Unternehmen müssen daher weiterhin die spezialgesetzlichen Vorgaben erfüllen. Neu ist, dass insoweit die Bestimmungen des HinSchG ergänzend gelten sollen.

Es fällt auf, dass der HinSchG-E keinen Vorrang sämtlicher spezialgesetzlicher Bestimmungen zu internen Meldekanälen enthält. Nicht aufgeführt sind z.B. die Vorgaben zur Einrichtung eines Beschwerdemechanismus nach dem neuen LkSG. Es bleibt abzuwarten, ob im Verlauf des Gesetzgebungsverfahrens bisher nicht erfasste Regelungswerke nachträglich ergänzt werden. Aus dem Entwurf geht nicht hervor, ob die Auslassung ein Redaktionsversehen darstellt oder bewusst erfolgt ist und insoweit ein Vorrang gegenüber dem HinSchG nicht beabsichtigt ist.

Praxishinweis

Unternehmen, die künftig dem HinSchG unterfallen, sollten prüfen, ob für sie andere, vorrangige spezialgesetzliche Bestimmungen zur Einrichtung eines internen Meldekanals und zum Hinweisgeberschutz gelten.

b. Sicherheitsinteressen, Schweige- und Geheimhaltungspflichten

Die nationale und internationale Rechtsprechung zeigt, dass das Meldeinteresse des Hinweisgebers oftmals mit seinen Verschwiegenheits- und Geheimhaltungspflichten kollidiert. Diesen Konflikt löst der Gesetzesentwurf wie folgt auf:

• Betrifft eine Meldung oder Offenlegung Informationen über besonders bedeutsame Sicherheitsinteressen oder Verschwiegenheits- oder Geheimhaltungspflichten, ist sie vom Anwendungsbereich des Gesetzes ausgenommen. Dies betrifft z.B. Informationen mit Bezug zu nationalen Sicherheitsinteressen, Geheimhaltungspflichten zum Schutz von Verschlusssachen sowie Informationen, die bestimmten Schweigepflichten unterliegen wie z.B. der ärztlichen, der notariellen und der anwaltlichen Schweigepflicht. Auch erfasst wird insoweit die vertraglich begründete Schweigepflicht von Personen, die Hilfstätigkeiten zu solchen Berufen ausüben. D.h., in diesen Fällen hat ein Hinweisgeber keinen Schutzanspruch.
• Bezüglich Informationen, die ein Geschäftsgeheimnis beinhalten, ist die Meldung oder Offenlegung grundsätzlich zulässig, wenn der Hinweisgeber hinreichenden Grund zu der Annahme hatte, dass die Weitergabe oder Offenlegung des konkreten Inhalts der Information notwendig zur Aufdeckung des Verstoßes ist und dass die Information der Wahrheit entspricht und einen Verstoß betrifft, der in den Anwendungsbereich des Gesetzes fällt. Entsprechendes gilt für Informationen, die sonstigen vertraglichen oder gesetzlichen Schweigepflichten unterliegen.

V. Externe Meldekanäle

Neben der Pflicht von Unternehmen zur Einrichtung interner Meldekanäle sieht der Gesetzesentwurf die Einrichtung externer Meldestellen beim Bundesamt für Justiz, der BaFin und dem Bundeskartellamt sowie einer weiteren externen Meldestelle für Meldungen, die diese externen Meldestellen betreffen, vor. Darüber hinaus kann jedes Land eine eigene Meldestelle, die die Landes- und Kommunalverwaltung betrifft, einrichten.

Praxishinweis

Der Verzicht auf eine zentrale Meldestelle zugunsten der Einrichtung verschiedener Meldestellen mit unterschiedlichen Zuständigkeiten verkompliziert den externen Meldevorgang für den Hinweisgeber unnötigerweise.

VI. Verhältnis zwischen interner und externer Meldung

Der Hinweisgeber kann frei wählen, ob er sich zunächst an eine interne oder unmittelbar an eine externe Meldestelle wendet.

Der Wortlaut des Gesetzesentwurfs wie auch seine Begründung lassen offen, ob bei einer internen Meldung eine Sperrwirkung gegenüber dem externen Meldeverfahren entsteht und ein Hinweisgeber zunächst den Ausgang des internen Verfahrens abwarten muss, bevor er sich an die externe Meldestelle wenden kann. Der Entwurf sieht für den Fall, dass einem intern gemeldeten Verstoß nicht abgeholfen wird, vor, dass es dem Hinweisgeber unbenommen bleibt, eine externe Meldung durchzuführen. Der Wortlaut spricht für eine Sperrwirkung.

VII. Offenlegung

Ganz andere Grundsätze als für die Nutzung von internen und externen Meldekanälen gelten für die Offenlegung von Hinweisen. Offenlegung ist das Zugänglichmachen von Informationen gegenüber der Öffentlichkeit, also insbesondere gegenüber der Presse oder in sozialen Medien. Die Offenlegung ist nur als ultima ratio zulässig. Das Gesetz entfaltet seinen Schutz bei der Offenlegung dementsprechend nur unter zusätzlichen Voraussetzungen. Der Hinweisgeber muss dafür

• entweder zunächst eine externe Meldung erteilt haben, ohne dass daraufhin geeignete Folgemaßnahmen ergriffen worden sind oder der Hinweisgeber eine Rückmeldung über solche Folgemaßnahmen erhalten hat oder
• hinreichenden Grund zu der Annahme haben, dass eine unmittelbare und offenkundige Gefährdung des öffentlichen Interesses durch den Verstoß droht, bei einer externen Meldung Repressalien zu befürchten sind oder aus sonstigen Gründen (z.B. Beweismittelunterdrückung, unzulässige Absprachen) das externe Meldeverfahren ungeeignet ist.
  
  

Praxishinweis

Die dem Hinweisgeber zugebilligte freie Wahlmöglichkeit zwischen externer und interner Meldung sowie die Regelung zur Offenlegung üben mittelbar einen erheblichen Druck auf ein betroffenes Unternehmen aus, das interne Meldeverfahren für Hinweisgeber möglichst attraktiv und effizient auszugestalten.

Nur wenn eine Meldung zunächst intern erfolgt, bleibt das betroffene Unternehmen „Herr des Geschehens“ und kann einem Vorwurf zunächst selbst nachgehen und die Öffentlichkeitsdarstellung und ggf. die Zusammenarbeit mit Behörden eigenständig steuern. Eine Offenlegung des Vorwurfs kann dagegen erhebliche Nachteile begründen. So droht auch bei Bekanntwerden letztlich unbegründeter Vorwürfe ggf. ein bedeutender Reputationsverlust. Nach der Konzeption des Gesetzesentwurfes sind die Einflussmöglichkeiten des betroffenen Unternehmens insoweit jedoch begrenzt. Die Voraussetzungen einer zulässigen Offenlegung liegen nahezu ausschließlich in der Sphäre der externen Meldestelle. Werden die neu einzurichtenden externen Meldestellen personell und finanziell nicht hinreichend ausgerüstet, droht eine Überlastung dieser Behörden. Dies ist insbesondere vor dem Hintergrund problematisch, dass bereits eine Überschreitung der Frist zur Rückmeldung von drei Monaten, in umfangreichen Fällen von sechs Monaten, den Hinweisgeber zur Offenlegung berechtigt. Unternehmen bleibt daher lediglich die Option, Hinweisgeber zur Nutzung des internen Kanals zu bewegen oder aber die Zusammenarbeit mit dem externen Meldekanal zu suchen.

VIII. Schutz des Hinweisgebers und Dritter

1. Schutzvoraussetzungen

Der Hinweisgeber unterfällt dem Schutz des Gesetzes bei einer internen oder externen Meldung sowie bei der Offenlegung, wenn er zum Zeitpunkt der Meldung oder Offenlegung hinreichenden Grund zu der Annahme hatte, dass die Information der Wahrheit entspricht und Verstöße betrifft, die dem Anwendungsbereich des Gesetzes unterfallen.

2. Schutzumfang

Der Gesetzesentwurf sieht zugunsten eines Hinweisgebers zwingende Schutzvorschriften vor.

a. Ausschluss der Verantwortlichkeit

Danach ist die Verantwortlichkeit eines Hinweisgebers für die Beschaffung oder den Zugriff auf Informationen ausgeschlossen, wenn die Beschaffung oder der Zugriff selbst keine eigenständige Straftat darstellt. Auch die Verantwortlichkeit für die Weitergabe der Information im Rahmen der Meldung oder Offenlegung ist ausgeschlossen.

b. Verbot von Repressalien

Repressalien sowie deren Versuch oder Androhung gegen den Hinweisgeber sind verboten. Als Repressalien werden Handlungen oder Unterlassungen im Zusammenhang mit der beruflichen Tätigkeit, die eine Reaktion auf eine Meldung oder eine Offenlegung sind und durch die dem Hinweisgeber ein ungerechtfertigter Nachteil entsteht oder entstehen kann, definiert.

Praxishinweis

Anders als die EU-WBRL enthält der Gesetzesentwurf keine Regelbeispiele einer Repressalie, sondern beschränkt sich insoweit auf eine Legaldefinition. Im Wege der europarechtskonformen Auslegung ist jedoch davon auszugehen, dass die in der EU-WBRL genannten umfangreichen Beispielsfälle auch die Definition der Repressalie nach deutschem Recht erfüllen. Danach handelt es sich u.a. bei Suspendierungen, Kündigungen, Herabstufungen, Beförderungsversagungen, Aufgabenverlagerungen, Änderungen des Arbeitsortes oder der Arbeitszeit, Gehaltsminderungen, negativen Leistungsbeurteilungen und Disziplinarmaßnahmen um unzulässige Repressalien.

Zugunsten des Hinweisgebers soll in Umsetzung einer entsprechenden Empfehlung der EU-WBRL eine Beweislastumkehr gelten. Danach wird bei einer Benachteiligung, die ein Hinweisgeber nach einer Meldung oder Offenlegung im beruflichen Zusammenhang erleidet, vermutet, dass es sich um eine Repressalie handelt. Es obliegt der Person, von der die Benachteiligung ausgeht, der Nachweis, dass die Benachteiligung gerechtfertigt ist oder nicht auf der Meldung oder Offenlegung beruht.

c. Schadensersatz nach Repressalien

Der Verursacher einer verbotenen Repressalie soll verpflichtet sein, dem Hinweisgeber den daraus resultierenden Schaden zu ersetzen. Ausgeschlossen ist aber ein Anspruch auf Begründung eines Berufsverhältnisses oder auf beruflichen Aufstieg.

3. Schutz Dritter

Dem vorgesehenen Schutz unterliegen nicht nur die Hinweisgeber selbst, sondern grundsätzlich auch natürliche Personen,

• die den Hinweisgeber bei der Meldung oder Offenlegung in einem beruflichen Kontext vertraulich unterstützen,
• die in einem Zusammenhang mit dem Hinweisgeber stehen und aufgrund der Meldung oder Offenlegung im beruflichen Zusammenhang Repressalien erleiden, und
• juristische Personen, rechtsfähige Personengesellschaften und Personenvereinigungen, die mit dem Hinweisgeber rechtlich verbunden sind, bei denen der Hinweisgeber beschäftigt ist oder mit denen er in einem beruflichen Kontext anderweitig in Verbindung steht.

IX. Folgen einer Falschmeldung

Bei der Meldung oder Offenlegung unrichtiger Informationen soll der Hinweisgeber zum Schadensersatz verpflichtet sein, wenn ihm Vorsatz oder grobe Fahrlässigkeit vorzuwerfen sind.

Dies schließt nach der Entwurfsbegründung die Geltendmachung von Schadensersatz nach konkurrierenden Anspruchsgrundlagen auch bei einfacher Fahrlässigkeit nicht aus.

Darüber hinaus stellt die wissentliche Offenlegung einer unrichtigen Information eine Ordnungswidrigkeit dar und kann mit einer Geldbuße von bis zu 20.000 EUR geahndet werden.

X. Sanktionierung bei Verstößen

Das Behindern einer Meldung oder der Kommunikation zwischen Hinweisgeber und Meldestelle, das Ergreifen einer Repressalie und die Nichtwahrung der Vertraulichkeit stellen nach dem Gesetzesentwurf Ordnungswidrigkeiten dar, die mit einer Geldbuße in Höhe von bis zu 100.000 EUR, bei Sanktionierung einer juristischen Person oder Personenvereinigung in Höhe von bis zu 1 Mio. EUR, geahndet werden können.

Der Verstoß gegen die Pflicht, eine interne Meldestelle einzurichten und zu betreiben, kann mit einer Geldbuße in Höhe von bis zu 20.000 EUR geahndet werden.

Unsere Mandanteninformation finden Sie hier zum Download.

Diese Mandanteninformation beinhaltet lediglich eine unverbindliche Übersicht über das in ihr adressierte Themengebiet. Sie ersetzt keine rechtliche Beratung. Als Ansprechpartner zu dieser Mandanteninformation und zu Ihrer Beratung stehen gerne zur Verfügung:

Christian Gehling

Dr. Cäcilie Lüneborg

Dr. Nicolas Ott

Niklas Schmelzeisen