Hinweisgeberschutzgesetz

Round Table: Pflicht zur Einrichtung einer internen Meldestelle

Das Bundesministerium der Justiz hat den Entwurf des Hinweisgeberschutzgesetzes vorgelegt. Das Gesetz wird voraussichtlich dieses Jahr in Kraft treten. Hinweisgeber sollen so zukünftig besonders geschützt und zu Meldungen animiert werden, wenn sie Missstände im Unternehmen aufdecken. Mit dem Gesetz setzt Deutschland die Whistleblower-Richtlinie 2019/1937 vom 23.10.2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, um. Betriebe mit mehr als 50 Beschäftigten werden damit bald verpflichtet sein, Meldesysteme einzurichten. Wir haben am 22.6.2022 Experten zum Hinweisgeberschutz an einen Tisch gebracht, um über dieses Thema zu diskutieren. Dieser Beitrag ist ein Auszug des Gesprächs mit Dr. Jan Tibor Lelley, LL.M., Fachanwalt für Arbeitsrecht und Partner bei BUSE in Frankfurt am Main, sowie Jens Gräßler, Business Development der EQS Group AG in Berlin, und Dr. Frank Schemmel, Practice Lead International Privacy and Compliance DataCo GmbH (DataGuard) aus München. Zu dieser Veranstaltung ist zudem sowohl eine kurze Zusammenfassung mit den wichtigsten Statements als auch die komplette Aufzeichnung aus unserem Berliner Studio im Verlagshaus am Volkspark Friedrichshain kostenfrei unter www.arbeit-und-arbeitsrecht.de/events/hinweisgeberpflicht abrufbar.

1105
 Bild: kkgas/Stocksy - stock.adobe.com
Bild: kkgas/Stocksy - stock.adobe.com

Existiert eine einheitliche Definition des Begriffs Hinweisgeber?

Gräßler: Ein Hinweisgeber ist nach meinem Verständnis jeder, der in gutem Glauben auf Missstände oder gesetzeswidriges Verhalten im Unternehmen, in der Organisation oder auch in der Gesellschaft hinweist. Aus meiner Sicht legen wir hier also eine ganz breite Definition des Begriffs an. Wichtig ist immer, dass das Ganze im guten Glauben geschieht. Sobald ich also etwas beobachte und mir sicher bin, da stimmt etwas nicht, werde ich zum Hinweisgeber.

Lelley: Der deutsche Gesetzesentwurf sieht es naturgemäß etwas enger und zieht eine Trennlinie ein. Entscheidend ist hier das Melden „im Zusammenhang mit der beruflichen Tätigkeit“. Andere Rechtsordnungen legen aber tatsächlich eine eher weite Definition zugrunde– insbesondere in den USA. Dort ist das Thema Whistleblowing insgesamt wesentlich präsenter und jeder, der Missstände aufdeckt, bekommt einen entsprechenden Schutz auch ohne beruflichen Bezug. Das ist einer der wesentlichen Unterschiede zu unserer kommenden Regelung.

Schemmel: Da ist dann wiederum die Frage interessant, wie lege ich den beruflichen Bezug aus – also wie eng ist dieses Kriterium zu verstehen. Hier werden sicher die Gerichte damit befasst sein, diese unbestimmten Rechtsbegriffe zu konkretisieren. Es handelt sich um eine gesetzgeberische Entscheidung, die wir erstmal akzeptieren müssen.

Der Gesetzesentwurf hat eine Vorgeschichte. Zugrunde liegt ihm die europäische Hinweisgeberschutz-RL, die eine Umsetzung in den Mitgliedstaaten bis Mitte Dezember 2021 vorsah. Deutschland hinkt aber weit hinter dem Zeitplan her, warum ist das so?

Gräßler: Zunächst einmal ist das, was jetzt hier vorliegt, ein enormer Fortschritt. Lange Zeit haben wir in vielen Rechtsordnungen – vor allem in Deutschland – wenig bis keinen Schutzmechanismus gehabt. Nichtsdestotrotz sind wir leider in guter Gesellschaft, was das Hinterherhinken betrifft: So haben etwa Italien, Spanien und die Niederlande ebenfalls noch nicht die Hinweisgeberschutz-RL umgesetzt. Lediglich neun Staaten sind ihrer Pflicht bisher nachgekommen, darunter bspw. Dänemark, Schweden, Frankreich und Portugal. Diese haben das Thema sehr früh vorangetrieben. Andererseits gibt es in Griechenland und Ungarn noch nicht einmal einen Entwurf zum jetzigen Zeitpunkt. In Deutschland sind wir so spät dran, weil der Hinweisgeberschutz ein politisch umstrittenes Thema ist. Bereits innerhalb der Großen Koalition gab es unterschiedliche Ansichten zur Ausgestaltung und Notwendigkeit entsprechender Regelungen. So wollte die CDU/CSU-Fraktion wenig Regulierung und Eingriffe festschreiben, was die SPD damals in der Großen Koalition naturgemäß etwas anders sah. Entsprechend war der erste Entwurf durchzogen von Kompromissen und wurde nur halbherzig verfolgt. Nach der Wahl wurde sich die neue Regierungskoalition aus SPD, Grünen und FDP hingegen einig – auch wenn es noch einmal etwas dauerte. Wir können noch in diesem Jahr mit einer gesetzlichen Regelung in Deutschland rechnen.

Lelley: Leider ist diese Verzögerung bei der Umsetzung einer Richtlinie normal – das passiert ja häufiger. Der Grundkonflikt rührt daher, dass man sich meist uneinig darüber ist, wie weit die Regelungen umgesetzt werden sollen. Entweder man erfüllt die Minimalanforderungen oder aber (je nach Sichtweise) man greift einen solchen Vorstoß als Impuls auf und erarbeitet „den großen Wurf“. Genau das ist auch hier passiert und findet in der Diskussion immer noch statt. Das kann man auch sehr schön an den verschiedenen Stellungnahmen der Verbände im Mai dieses Jahres sehen. Insbesondere arbeitsrechtliche Regelungen haben eine enorme gesellschaftliche Implikation, sodass hier die Meinungen medienwirksam aufeinanderprallen und sich alle Seiten in Stellung bringen.

Der Entwurf sieht den Schutz des Hinweisgebers als zentrales Element vor. Welche weiteren Zielsetzungen sind erkennbar?

Schemmel: Man bezweckt mit einem Hinweisgebersystem natürlich vor allem das Offenlegen von Fehlverhalten und schützt damit sowohl die Gesellschaft, aber eben insbesondere die Volkswirtschaft, die Finanzmärkte und jedes Unternehmen selbst vor Betrug, Korruption, Insiderhandel usw., indem die Strafverfolgungsbehörden nach entsprechenden Hinweisen aktiv werden können.

Wie sieht nun der Anwendungsbereich des Gesetzes aus?

Lelley: Es gibt einen klaren Bezug zum Arbeitsverhältnis und damit die Vorgabe, dass der Begriff des Whistleblowers nicht sehr weit gefasst wird. Der Anwendungsbereich ist sachlich also eher eng gefasst. Und das ist richtig, denn es geht beim Whistleblowing in diesem Kontext eher um alltägliche Dinge – Stichwort: Hygienevorschriften in der Lebensmittelindustrie, Verrat von Geschäftsgeheimnissen etc. Da macht eine weite Auslegung i.S.e. maximalen Hinweisgeberschutzes keinen Sinn. Die jetzt vorliegende Regelung ist konsensfähig, schließlich müssen auch die Arbeitgeber mit an Bord.

Gräßler: Im Hinblick auf die Unternehmen, die ein Hinweisgeberschutzsystem etablieren müssen, sind folgende Grenzen festgelegt: Betroffen sind ab Inkrafttreten des Gesetzes alle Arbeitgeber, die regelmäßig mehr als 250 Mitarbeiter beschäftigen. Ab Dezember 2023 wird diese Grenze deutlich nach unten verschoben auf 50 Mitarbeiter. Insofern der dringende Rat: Beschäftigen Sie sich jetzt mit dem Thema, zumal sich der Aufwand in einem überschaubaren Rahmen bewegt.

Wie unterscheiden sich interne und externe Meldestellen?

Schemmel: Die Begrifflichkeiten sind glücklicherweise im deutschen Umsetzungsgesetz definiert und wurden von der Richtlinie übernommen. Für eine interne Meldestelle muss ich einen Meldekanal im Unternehmen einrichten. Die Beschäftigten müssen so die Möglichkeit bekommen, Fehlverhalten, das sie im Rahmen ihrer beruflichen Tätigkeit mitbekommen, beim Arbeitgeber bzw. Beschäftigungsgeber (so der Wortlaut) zu melden. Im Rahmen von externen Meldestellen soll bei Behörden ein Meldekanal eingerichtet werden, der gleichberechtigt ist. Ein Whistleblower kann also sowohl intern als auch extern Verstöße melden. Eine weitere Möglichkeit, so vom Gesetzgeber natürlich nicht als erster Schritt vorgesehen, ist der Gang in die Öffentlichkeit durch den Hinweisgeber. Dieser muss zunächst intern oder über einen der beschriebenen externen Meldewege vorgehen, sodass der Arbeitgeber die Möglichkeit hat, auf Missstände zu reagieren bzw. zunächst einmal den Sachverhalt aufzuklären. Erst wenn das Unternehmen nicht tätig wird, kann der Whistleblower sich über die Medien an die Öffentlichkeit wenden. Und das gilt es natürlich zu verhindern, damit man als Unternehmen jederzeit „Herr des Verfahrens“ bleibt.

Lelley: Ganz klar vorzugswürdig ist aus meiner Sicht die interne Meldestelle, denn so hat man als Unternehmen die volle Kontrolle und kann den Prozess selbst gestalten.

Gräßler: Die Erfahrung zeigt, ein guter Whistleblower-Schutz und interne Meldekanäle für potenzielle Hinweisgeber sind letztlich Schutz für das Unternehmen selbst. Hinweisgeber gehen übrigens i.d.R. sehr verantwortungsvoll mit den ihnen gegebenen Möglichkeiten um. Von massenhaftem Missbrauch kann nicht die Rede sein – so ja vielfach das Argument gegen die Einführung von Hinweisgebersystemen. Diese Fälle liegen bei weit unter 2 %, wie Studien übereinstimmend belegen. In jedem Fall ist die interne Meldevariante vorzuziehen; so kann zunächst in Ruhe sondiert werden, wie die nächsten Schritte aussehen. Ansonsten ist man schnell von extern getrieben und kann nur noch reagieren statt zu agieren. Andererseits ist es überhaupt erst einmal wichtig, einen Schutz anzubieten, Kanäle anzubieten, ein entsprechendes System zu etablieren. Und dann gibt es unterschiedliche Bedürfnisse, was den Meldekanal betrifft; nicht jeder bevorzugt die gleiche Variante, je nachdem was (über wen) gemeldet wird. Hier ist es wichtig, verschiedene Möglichkeiten zu eröffnen und vor allem offensiv zu kommunizieren, welche Wege es für den Hinweisgeber gibt.

Erfolgen die Meldungen anonym?

Schemmel: Als Datenschützer bin ich natürlich dafür, dass den Hinweisgebern Anonymität zugesichert wird und das geschieht zum Glück auch. Das ist schon deshalb wichtig, damit die Hemmschwelle zur Abgabe einer Meldung möglichst niedrig liegt. Denn die größte Schranke ist die psychologische. Man tut sich naturgemäß schwer, seine Identität preiszugeben, wenn man auf Missstände aufmerksam macht und dabei zwangsläufig Kollegen bezichtigt. Die Frage ist ja: Was passiert dann mit mir? Der Gesetzesentwurf sieht vor, dass die Vertraulichkeit zugesichert wird – und zwar unabhängig davon, ob anonym gemeldet wird. Die jeweilige Meldestelle ist verpflichtet, den Sachverhalt vertraulich zu behandeln. Interessant ist in diesem Zusammenhang übrigens, dass die externen Meldestellen, im Gegensatz zu den internen, anonyme Hinweise nicht verfolgen müssen.

Lelley: Sobald Anonymität nicht zugelassen ist, führt dies zu einem Sinken der Meldezahlen und im Ergebnis werden weniger Fälle aufgedeckt. Zwar sieht das Gesetz einen Schutz vor Repressalien vor, entscheidend ist und bleibt aber die Möglichkeit der anonymen Meldung. Wie schon erwähnt, die psychologische Hemmschwelle ist sonst einfach viel zu hoch für die meisten Menschen.

Gräßler: Das kann sogar sehr gut mit Fakten belegt werden. Wir schauen uns das Ganze seit etwa 20 Jahren empirisch genau an und stehen mit unseren Kunden im engen Austausch über die tatsächliche Nutzung der Systeme. 50 bis 70 % der Meldungen gehen zwar zunächst anonym ein. So viele Meldungen gäbe es vermutlich nicht ohne die Option zur anonymen Meldung. Gleichzeitig legen aber etwa genauso viele Hinweisgeber ihre Identität offen, sobald sie merken, dass die Meldungen vertrauenswürdig behandelt werden und ein Dialog zustande kommt, mithin ein gewisses Vertrauen entsteht. Dann unterstützen sie i.d.R. bei der weiteren Untersuchung und Aufklärung der Vorwürfe das Unternehmen. Letztlich wird Anonymität also vielfach gewünscht, es bleibt aber nicht immer dabei. Was spricht denn dagegen, dem Hinweisgeber eine Wahl zu lassen, ob er anonym oder unter Preisgabe seiner Identität melden möchte? Und zum Schutz der Anonymität gibt es mittlerweile ja schon ganz ausgezeichnete Systeme und Möglichkeiten, auf die man zurückgreifen kann. Hierbei entscheidet ausschließlich der Hinweisgeber selbst über die Offenlegung seiner Identität, dem Unternehmen bleibt diese Entscheidung verwehrt.

Schemmel: Es reicht übrigens nicht aus, einfach ein E-Mail-Postfach einzurichten und dort auf Meldungen zu warten. Das Hinweisgeberschutzgesetz wird ja flankiert von vielen weiteren Regelungen, die den Unternehmen vorschreiben, wie ein solches Schutzsystem ausgestaltet sein soll. Insbesondere aus dem Datenschutz kommen erhöhte Anforderungen an Meldekanäle, die beachtet werden müssen. Durch technische und organisatorische Maßnahmen muss ich hier bereits absichern, dass die Vertraulichkeit gewährleistet ist.

Welche Sanktionen sind für Unternehmen vorgesehen, die die Maßgaben des Hinweisgeberschutzgesetzes nicht erfüllen?

Schemmel: In den Bußgeldvorschriften des Referentenentwurfs liegt eine Schwelle bei 20.000 Euro für verweigerte Auskünfte seitens des Unternehmens gegenüber externen Meldestellen. Das maximale Bußgeld beträgt 100.000 Euro, wenn das Abgeben von Meldungen behindert oder erschwert wird. Ebenso im Falle von Androhung oder Ausübung von Repressalien aufgrund abgegebener Meldungen, etwa durch Kündigung oder andere arbeitsrechtliche Sanktionen gegenüber dem Hinweisgeber. Für kleine und mittlere Unternehmen sind die genannten Summen selbstverständlich ernst zu nehmende Beträge, wohingegen man Konzerne mit solchen Zahlen eher nicht beeindruckt. Da wiegt der drohende Reputationsschaden vermutlich schwerer und zwingt auf diesem Wege zum Handeln. Außer Acht lassen darf man aber nicht andere Vorschriften, insbesondere datenschutzrechtlicher Natur, außerhalb des Hinweisgeberschutzgesetzes, die wesentlich höhere Bußgelder auch im zweistelligen Millionenbereich bei Verstößen vorsehen.

Lelley: Genau deshalb genügen aus meiner Sicht auch die im Gesetzesentwurf vorgesehenen vermeintlich niedrigen Bußgelder. Und dann ist mir aus meiner Praxis kein Konzern bekannt, der nicht schon längst ein Compliance-Management-System vorhält, in dem auch Hinweisgebermelde- und Schutzmechanismen verankert sind. Insofern ist die Staffelung der Bußgelder auch eine adäquate und ausgewogene Regelung, die praxisgerecht ist.

Lassen Sie uns exemplarisch einmal folgenden Fall bilden und eine Best Practice darstellen: Ein Mitarbeiter meldet Verstöße durch den direkten Vorgesetzten an eine interne Meldestelle im Unternehmen. Was passiert hier Schritt für Schritt?

Lelley: Die Meldung wird an der dafür vorgesehenen Stelle ankommen und was dann passiert, beschreibt schon ganz gut das Gesetz selbst. Es liefert hier eine Art Checkliste, die man abarbeiten kann. Nach Eingang der Meldung erhält der Hinweisgeber eine Eingangsbestätigung. Nun beginnt die sog. Bewertungsphase und dann folgt die Sachverhaltserforschung – sicher der schwierigste Teil, denn die Angaben müssen verifiziert, das tatsächliche Geschehen intern ermittelt werden.

Schemmel: Zudem müssen für die genaue Bewertung andere Stellen wie Fachabteilungen, betroffene Teams und Experten involviert werden. Der Hinweisgeber stellt i.d.R. das Geschehen auch nicht so dezidiert dar, dass daraus bereits das Fehlverhalten und die Auswirkungen ad hoc abgeleitet werden können. Nun beginnt der Dialog, es müssen Rückfragen gestellt werden. Und hier ist natürlich besonders auf die Wahrung der Anonymität zu achten – sofern das in diesem Stadium seitens des Hinweisgebers gewünscht ist.

Gibt es Fristen, innerhalb derer der Arbeitgeber reagieren muss?

Schemmel: Hier setzt der Gesetzesentwurf die Richtlinie eins zu eins um und ist eindeutig. Die interne Meldestelle muss innerhalb von sieben Tagen bei jedem eingegangenen Hinweis, ganz gleich welche Qualität die Meldung hat, eine Bestätigung des Eingangs versenden. Das ist ein Vorgang, der sich ganz besonders für eine Automatisierung eignet. Über die anschließend vorgesehene Sachverhaltsaufklärung muss innerhalb von drei Monaten informiert werden. Daneben gibt es auch hier wieder andere Informationspflichten, die sich nicht im Hinweisgeberschutzgesetz finden, aber aus der DSGVO ergeben – etwa eine allgemeine Informationspflicht zur Verarbeitung personenbezogener Daten, die in solchen Fällen ja zwangsläufig stattfindet. Die betroffene beschuldigte Person muss hier darüber informiert werden, dass ihre personenbezogenen Daten verarbeitet werden. Das konterkariert aber natürlich das Geheimhaltungsinteresse im Rahmen der Sachverhaltsaufklärung. Um diesen Konflikt aufzulösen, sehen das BDSG und die DSGVO vor, dass die Information solange zurückgehalten werden kann, wie eine Gefährdung der Ermittlungen zu befürchten ist.

Was geschieht bei erwiesenen Falschmeldungen durch vermeintliche Hinweisgeber?

Lelley: Hier sieht der Gesetzesentwurf Schadensersatzansprüche vor und der Weg zu den klassischen arbeitsrechtlichen Sanktionen ist – je nach Schwere des Verstoßes – natürlich ebenfalls eröffnet.

Welche abschließenden Ratschläge geben Sie uns im Hinblick auf das Thema Whistleblowing mit auf den Weg?

Lelley: Zunächst möchte ich feststellen, dass Whistleblower keine Helden sind. Es handelt sich um Menschen wie du und ich. Sie helfen und wir helfen ihnen. Man sollte an dieser Stelle Glorifizierungen vermeiden. Als Best Practice hinsichtlich des Gesetzesentwurfs kann man sagen, dass es nun allerhöchste Zeit ist, ein Meldesystem einzurichten, wenn man es vernünftigerweise nicht schon getan hat. Zudem ist der internen Variante ganz klar der Vorzug zu geben und es sind auch anonyme Meldungen zu ermöglichen. Das hatten wir ausführlich erläutert. Ebenfalls dürfen wir den Datenschutz nicht aus den Augen verlieren – was in der Diskussion um den Gesetzesentwurf gelegentlich geschieht. Und letztlich spricht viel für softwaregestützte Systeme, um mit möglichst geringem Aufwand einerseits die Gesetzesvorgaben zu erfüllen, aber auch tatsächlich von Meldungen zu profitieren und Missstände im eigenen Interesse aufzudecken.

Gräßler: Dem kann ich nur in allen Punkten zustimmen. Mein dringender Rat ist in jedem Fall: Warten Sie nicht ab. Kümmern Sie sich schnellstmöglich um das Einrichten eines Meldesystems samt Hinweisgeberschutz. Die gesetzliche Regelung ist auf den Weg gebracht und kommt schneller, als man denkt. Im Vorfeld sind einige Dinge im Unternehmen zu tun und interne Absprachen zu treffen. Das nimmt eine gewisse Zeit in Anspruch. Darauf muss man Rücksicht nehmen. Idealerweise wird eine technische Lösung erwogen, um rechtssicher und mit geringem Aufwand agieren zu können. In diesem Zusammenhang lohnt auch ein Blick auf sonstige Baustellen in Sachen Datenschutz und IT-Sicherheit im Unternehmen.

Schemmel: Auch ich kann mich den Ausführungen vollumfänglich anschließen. Einen Hinweis möchte ich noch kleinen und mittelständischen Unternehmen mit auf den Weg geben, die u.U. den Aufwand von internen Lösungen scheuen. Das Gesetz eröffnet diesen den Weg zu externen Lösungen. Unternehmen können das Thema also ganz elegant auslagern, sicher auch im Interesse der Risikominimierung im Rahmen der Umsetzung der Gesetzesvorgaben. Ein zweiter Hinweis geht in Richtung der Behörden, denn erstmals schreibt das Gesetz auch für diese die Einrichtung eines Meldesystems vor. Anders als in der Privatwirtschaft ist ein solches Vorgehen bisher auch noch nicht gängige Praxis und so weit verbreitet. Für die öffentliche Verwaltung wird das sicherlich zu einem Umdenken führen und zunächst für einen gewissen Aufwand sorgen.

Vielen Dank für das Gespräch!

Das Interview führte Andreas Krabel.

Jens Gräßler

Jens Gräßler
Business Development, EQS Group AG

Dr. Jan Tibor Lelley

Dr. Jan Tibor Lelley
Rechtsanwalt, Fachanwalt für Arbeitsrecht, Partner, Buse Heberer Fromm, Essen, Frankfurt am Main

Dr. Frank Schemmel

Dr. Frank Schemmel
Practice Lead International Privacy and Compliance, DataCo GmbH (DataGuard)
AnhangGröße
Beitrag als PDF herunterladen218.59 KB

· Artikel im Heft ·

Hinweisgeberschutzgesetz
Seite 8 bis 12
Frei
Bild Teaser
Body Teil 1

Hürden der Richtlinie

Whistleblower gehören zu den wichtigen „Frühwarnsystemen“ unserer Gesellschaft und es erfordert erheblichen Mut

Frei
Bild Teaser
Body Teil 1

Whistleblower bzw. Hinweisgeber sind in aller Munde – und dies nicht erst seit den Enthüllungen von Edward Snowden oder Wikileaks-Gründer Julian

Premium
Bild Teaser
Body Teil 1

Die europäische Hinweisgeberschutz-Richtlinie ist bereits Mitte Dezember 2019 in Kraft getreten. Was hat

Frei
Bild Teaser
Body Teil 1

Gleich im Anschluss an die Eröffnung desin diesemJahr vom 9. bis 10. Februar stattfindenden Kongress Arbeitsrecht durch die beiden

Frei
Bild Teaser
Body Teil 1

Deutschland mit seiner traditionellen betrieblichen Mitbestimmung ist ein Land der Betriebsräte: Ca. 43 % aller Beschäftigten in der

Frei
Bild Teaser
Body Teil 1

Programm

Am ersten Tag, dem 15. Februar, starten wir –wie gewohnt – gegen 10:00 Uhr mit der Begrüßung durch den Arbeitgeberpräsidenten Dr. Rainer