Hinweisgeberschutz

Loof: Sie können sich nicht dagegen entscheiden. Es gibt eine Pflicht. Ab 50 Beschäftigten sind Unternehmen verpflichtet, interne Meldekanäle einzurichten.Der zweite Schwellenwert, 250 Mitarbeiter, ist relevant für die Art der Ausgestaltung, also ob gemeinsam mit anderen Unternehmen oder eigene Meldestellen eingerichtet werden. Die Hinweisgeber sind, auch wenn man freiwillig ein Hinweisgebersystem zur Verfügung stellt, geschützt, auch vor Vergeltungsmaßnahmen. Alle Unternehmen, die ich in der Beratung habe, haben die Verstöße, die gemeldet werden können, auch geregelt, meistens im Code of Conduct, welcher auch vorsieht, dass jede Diskriminierung untereinander im Arbeitsverhältnis durch Vorgesetzte oder Kollegen sowie jeder Angriff auf die Persönlichkeitsrechte gemeldet werden kann. Dort finden sich also sehr viel detailliertere Beschreibungen als in der Aufzählung im HinSchG.

Lelley: Manche Unternehmen denken, das Gesetz macht es uns leicht, weil es immer von Beschäftigungsgebern, nicht Arbeitgebern spricht. Es ist natürlich klar, dass das daher kommt, weil es eben auch für den öffentlichen Dienst gelten soll. In der Privatwirtschaft könnte man sich hier die Frage stellen: Ist es das Unternehmen oder nur der Betrieb? Wenn man davon ausgeht, dass es der Betrieb ist, werden die Schwellenwerte vielleicht doch nicht erreicht. Ich halte das für falsch. Der Anknüpfungspunkt für den Schwellwert ist das Unternehmen.

Leisering: Ich glaube, was wir mitunter verkennen, ist, ein solches Gesetz – und das auch noch einmal auf europäischer Ebene – tut auch etwas mit der Gesellschaft. Mitarbeitende gehen natürlich davon aus, dass Unternehmen sich ganzheitlich rechtskonform verhalten, das heißt solche Meldestellen, eben weil es ein Gesetz gibt, anbieten. Dementsprechend gehen Mitarbeitende künftig mehr und mehr davon aus, diese Meldestellen nutzen zu können, wenn es sie gibt. Ich glaube, das wird gesamtgesellschaftlich psychologisch dazu führen, dass es viel selbstverständlicher wird, eine solche Meldung abzugeben.

Schemmel: Bis 17.12.2023 gibt es noch diese Übergangsfrist. Unternehmen mit 250 Beschäftigten müssen einen internen Meldekanal einrichten, Behörden auch. Für Kommunen gibt es einen Schwellenwert von 10.000 Einwohnern. Ab 17.12. fällt dann dieser 250-Mitarbeiter-Schwellenwert und dann sind es nur noch 50. Externe Meldekanäle mussten schon parallel eingerichtet werden. Bei der BaFin waren, wenn es sich um Korruptionstatbestände gehandelt hat, beim Bundeskartellamt, wenn es sich um kartellrechtliche Sachverhalte gehandelt hat, früher schon Meldungen möglich. Es gibt jetzt noch eine weitere externe Meldestelle für alles, was nicht kartellrechtlichen oder Bezug zur Finanzindustrie hat, beim Bundesamt für Justiz.

Durch die Einrichtung der externen Meldestellen kann ein Hinweisgeber entscheiden, ob er intern bei seinem Arbeitgeber meldet oder bei dieser externen Meldestelle. Unabhängig davon genießt er den Schutz des Gesetzes, insbesondere vor Repressalien und Schikanen. Er darf jedoch nicht an die Medien gehen. Es war im politischen Diskurs auch ganz wichtig, dass man den Unternehmen die Möglichkeit gibt, den Verstoß erst mal selber zu ermitteln und zu beheben. Nur wenn das Unternehmen den Verstoß nicht selbst oder nicht in ausreichendem Maße ermittelt, kann ein Hinweisgeber auch eine öffentliche Meldung abgeben.

Das Gesetz sagt aber, die Unternehmen sollen Anreize schaffen, um interne Meldungen zu generieren, weil sie von den Verstößen betroffen sind und sie aufklären sollen und viel näher am Sachverhalt sind als ein Bundesamt für Justiz.

Leisering: Ein ganz wesentlicher Punkt ist, dass wir eine viel größere Durchsetzung sehen werden. Am Ende des Tages ist die hinweisgebende Person gefragt, was sie denn melden will. Ist das ein zivilrechtlicher Verstoß? Ist das ein strafrechtliches Thema? Insofern ist unsere Empfehlung immer breiter an das Thema heranzugehen, sodass die Mitarbeitenden nicht durch unzählige Kanäle surfen müssen und fragen müssen, wo ihre Meldung hingehört.

Loof: Die EMEA-Staaten, Türkei, Ukraine und Nordafrika haben keine Gesetze. Gleichwohl haben die internationalen Konzerne alle schon lange Hinweisgebersysteme, die sie allen Mitarbeitern im Konzern weltweit zur Verfügung stellen und die sich am strengsten Recht orientieren. Die Regelungen darüber, was gemeldet werden kann, finden sich für die Mitarbeiter im Code of Conduct, für die Businesspartner im Code of Business Ethics. Diese werden jetzt angepasst. Die häufigste Frage ist die, ob weiter das globale oder regionale System verwendet werden kann. Die Antwort darauf fällt auch in den Mitgliedstaaten ganz unterschiedlich aus, obwohl die Richtlinie dazu relativ eindeutig ist.

Schemmel: Es sollte immer eine sog. Datenschutz-Folgenabschätzung durchgeführt werden. Das ist eine Risikoevaluierung. Am Anfang gilt es, das eingesetzte System, die Prozesse und Datenflüsse zu beschreiben. Die Krux ist, dass Unternehmen sich irgendein System einkaufen, von dem sie nicht wissen, wie die Prozesse und Datenflüsse aussehen. Das erfordert aber diese Datenschutz-Folgenabschätzung, dort werden sodann mögliche Datenschutzrisiken identifiziert, bewertet und risikominimierende Maßnahmen abgeleitet. Schließlich nimmt der Datenschutzbeauftragte Stellung. Dieser darf die Datenschutz-Folgenabschätzung nicht selbst durchführen.

Zu den umzusetzenden Maßnahmen gehört vor allem ein Rollen- und Berechtigungskonzept. Dieses regelt den Zugriff auf Meldungen. Das Gesetz selber beinhaltet ein Vertraulichkeitsgebot bzw. einen Identitätsschutz. Danach dürfen nur mit der Meldung betraute Personen die Informationen aus der Meldung bearbeiten, wenn eine Meldung nicht anonym erfolgt bzw. sich aus anderen Umständen heraus ergibt, wer der Hinweisgeber ist.

Weitere wichtige Themen sind Anonymisierung, Verschlüsselung, Archivierungs- und Löschfristen. Das Gesetz macht in § 11Abs. 5 Vorgaben zur Dokumentation. Diese soll nämlich drei Jahre lang vorgehalten werden, wobei unklar ist, was das auslösende Moment ist.

Hinzu kommen die üblichen Fragen im Datenschutz: Wer sind die datenschutzrechtlich Verantwortlichen? Gibt es Auftragsverarbeiter, also Dienstleister, die Daten auf Weisung des Verantwortlichen verarbeiten? Was ist die Rechtsgrundlage für die Verarbeitung? Wir können uns glücklich schätzen, weil das deutsche Gesetz in § 10 einen spezialgesetzlichen Erlaubnistatbestand enthält für die Verarbeitung personenbezogener Datenim Zusammenhang mit eingehenden Meldungen.

Loof: Ich möchte die Pflicht zur Information und Auskunftserteilung ergänzen. Wenn ein Hinweis eingeht, kommt bei den Unternehmen oft als Erstes die Frage auf: Muss ich die Betroffenen jetzt informieren? Das möchten sie gerade nicht, weil sie die Ermittlungen erst beginnen und nicht darüber unterrichten möchten, solange die Gefahr des Wegschaffens der Beweismittel und der Einflussnahme besteht. Da sieht das Bundesdatenschutzgesetz Ausnahmen vor für den Fall, dass etwas geheim gehalten werden muss. In diesem Fall darf die Information so lange ausgesetzt werden und das Auskunftsersuchen muss so lange nicht erfüllt werden, außer man erhebt die Daten bei den Betroffenen selbst. Das ist in den anderen Mitgliedstaaten leider nicht so.

Lelley: Das Repressalienverbot ist geregelt im § 36 HinSchG. Das ist ganz traditionell gesehen eines der Kernelemente des Hinweisgeberschutzes. Der Begriff Repressalien ist dabei sehr weit und umfasst nicht nur Kündigungen, sondern alle möglichen „Unannehmlichkeiten“, die eine hinweisgebende Person in einem Arbeitsverhältnis aufgrund solcher Hinweise treffen können. Diese sind eben gesetzlich verboten. Zudem gibt es eine Beweislastumkehr, die sich wie folgt zusammenfassen lässt: Die Beschäftigungsgeberin muss, wenn es zu Repressalien kommt, beweisen, dass diese nicht aufgrund des erteilten Hinweises erfolgt sind. Das heißt, es besteht eine ganz hohe Hürde, die Unternehmen überwinden müssen und die gleichzeitig auch einen sehr hohen Schutz für Hinweisgeber gesetzlich verankert.

Leisering: Das hängt sicherlich stark von dem Unternehmensumfeld ab. Sprechen wir über ein eher kleines Unternehmen, sprechen wir über ein größeres Unternehmen? Ist die interne Meldestelle vielleicht extern besetzt? Auch das sind ja Konstellationen, die wir in der Praxis finden. Insofern kann man nicht per se von demselben Ablauf ausgehen. In den eher größeren Unternehmenskonstellationen gibt es typischerweise Verfahrensbeschreibungen, nach denen sich die entsprechenden Abteilungen richten müssen. Mitunter wird die Revision miteinbezogen, um erst einmal zu schauen, ob eine Meldung plausibel ist und wie das Unternehmen damit umgeht. Die Grenzen in der Praxis sind immer diejenigen, die die Realität betreffen. Wenn es also eine eher kleine Abteilung ist, ist es schwierig, die hinweisgebende Person zu schützen bzw. ihre Anonymität zu wahren.

Zudem kann auch Anlass bestehen, unabhängige Prüfungen durchzuführen und den Sachverhalt noch einmal durch eine andere Brille zu checken. Das kann immer eine Möglichkeit sein, die hinweisgebende Person zu schützen und erst einmal den Fokus von dieser reinen Behauptung wegzuziehen in einen neutralen Sachverhalt.

Schemmel: Das Gesetz gibt die Verfahrensbeschreibung im Groben auch vor. Das Unternehmen muss dem Hinweisgeber innerhalb von sieben Tagen eine Eingangsbestätigung geben. Dann hat es drei Monate Zeit, um die Plausibilität zu prüfen. In der Praxis sind die Hinweise natürlich nicht bereits schön zusammengefasst. Deswegen ist es auch wichtig, wie man so ein Hinweisgebersystem ausgestaltet. Insbesondere bei anonymen Meldungen ist man, wenn man kein System nutzt, wo man mit dem Hinweisgeber kommunizieren kann, abgeschnitten, weil häufig Nachfragen erforderlich sind, um den Sachverhalt genau zu eruieren und dann einen Plausibilitätscheck zu machen.

Hinzu kommen Problematiken wie grenzüberschreitende Sachverhalte, wo ggf. auch andere Unternehmenseinheiten involviert werden müssen. Zudem sind Folgemaßnahmen abzuleiten und nach drei Monaten dem Hinweisgeber kundzutun.

Unternehmen sind gut beraten, das alles in einer Whistleblowing Policy schon vorher festzulegen, damit, wenn ein Hinweis eingeht, alles in geordneten Bahnen abläuft.

Schemmel: Auskunft zu diesem Ergebnis muss ich der hinweisgebenden Person trotzdem geben. Die erfolgt häufig synchron mit der datenschutzrechtlichen Information. Wichtig ist eine genaue Prüfung, damit größtmögliche Sicherheit besteht, dass es sich um eine Falschmeldung handelt. Schwierigkeiten haben insbesondere kleinere Unternehmen, die sich fragen, wie sie die Meldestelle einrichten und wer dafür verantwortlich ist. Hier gibt es keine Compliance-Abteilung. Der Erwägungsgrund 56 der Hinweisgeber-Richtlinie und auch die deutsche Gesetzesbegründung sieht für diesen Fall den Rückgriff auf Funktionen vor, die es in dem Unternehmen schon gibt, bspw. den Datenschutzbeauftragten. Unternehmen mit mehr als 20 Mitarbeitern müssen in Deutschland grundsätzlich einen solchen benennen. Davon würde ich abraten. Man hat dabei das Problem mit Interessenskonflikten. Der Datenschutzbeauftragte muss weisungsfrei sein, die Meldestelle auch. Üblicherweise sehen wir bei kleinen Unternehmen, dass das die HR-Abteilung macht, denn eine Personalabteilung hat üblicherweise jedes Unternehmen. Für Verstöße, die diese Abteilung selber betreffen, ist dann noch einmal eine Person außerhalb davon zuständig.

Leisering: Unser Rat wäre immer ein professionelles System einzusetzen, was sich auch stetig an sich ändernden Rechtsnormen orientiert und dem Unternehmen damit eben auch dauerhaft die Sicherheit gewährleistet, dass man eine solide Lösung hat, die mit den Anforderungen des Unternehmens wächst.

Lelley: Eine absichtlich abgegebene Falschmeldung würde arbeitsrechtlich sehr wahrscheinlich als ein schwerwiegender Verstoß gewertet. Diese Falschmeldung betrifft auch Kollegen, die falsch beschuldigt werden, möglicherweise sogar in einer gewissen Öffentlichkeit. Mögliche Maßnahmen sind dann klassisch die Abmahnung, Kündigung – außerordentlich oder ordentlich. Ich kann mir nur ganz wenige Situationen vorstellen, in welchen man es bei arbeitsrechtlichen Maßnahmen belassen könnte, die unterhalb der Schwelle einer Abmahnung liegen. Ich kann mir sogar nur ganz schwer vorstellen, dass es bei einer Abmahnung sein Bewenden haben könnte. Immer vorausgesetzt, es ist wirklich ein Hinweis, der sich als Falschmeldung herausstellt, der auch das Vertrauen in das System erschüttert.

Lelley: Die beste Aufarbeitung ist immer die, die gar nicht notwendig ist. Das HinSchG legt sehr viel Wert auf Vertraulichkeit. Wenn ein Unternehmen Krisenmanagement betreiben muss, ist schon einiges schiefgelaufen. Das ist aus meiner Perspektive wirklich der GAU, wenn das die Aufmerksamkeit der Öffentlichkeit erregt. Das geht weit über Hinweisgeberschutz hinaus. Da geht es schon um Reputationsschutz.

Leisering: Es gibt ja sozusagen auch ein Krisenmanagement im Kleinen. Die großen Konzerne gehen doch inzwischen in wachsendem Maße dazu über, zu publizieren: Wie viele Hinweise haben wir im Jahr bekommen? In welchen Rechtsgebieten waren die? Was haben wir dagegen unternommen? Das schafft ein Stückweit Vertrauenskultur. Wenn man offen mit dem Sachverhalt umgeht, ihn professionell aufarbeitet und seine Ableitungen daraus zieht und dann aber eben auch kommuniziert, schürt das Vertrauen und ist sozusagen die Vorstufe zur Krisenbewältigung.

Das Interview führten Andreas Krabel und Anne Politz.