Hinweisgeberschutzgesetz

Schemmel: Die Begrifflichkeiten sind glücklicherweise im deutschen Umsetzungsgesetz definiert und wurden von der Richtlinie übernommen. Für eine interne Meldestelle muss ich einen Meldekanal im Unternehmen einrichten. Die Beschäftigten müssen so die Möglichkeit bekommen, Fehlverhalten, das sie im Rahmen ihrer beruflichen Tätigkeit mitbekommen, beim Arbeitgeber bzw. Beschäftigungsgeber (so der Wortlaut) zu melden. Im Rahmen von externen Meldestellen soll bei Behörden ein Meldekanal eingerichtet werden, der gleichberechtigt ist. Ein Whistleblower kann also sowohl intern als auch extern Verstöße melden. Eine weitere Möglichkeit, so vom Gesetzgeber natürlich nicht als erster Schritt vorgesehen, ist der Gang in die Öffentlichkeit durch den Hinweisgeber. Dieser muss zunächst intern oder über einen der beschriebenen externen Meldewege vorgehen, sodass der Arbeitgeber die Möglichkeit hat, auf Missstände zu reagieren bzw. zunächst einmal den Sachverhalt aufzuklären. Erst wenn das Unternehmen nicht tätig wird, kann der Whistleblower sich über die Medien an die Öffentlichkeit wenden. Und das gilt es natürlich zu verhindern, damit man als Unternehmen jederzeit „Herr des Verfahrens“ bleibt.

Lelley: Ganz klar vorzugswürdig ist aus meiner Sicht die interne Meldestelle, denn so hat man als Unternehmen die volle Kontrolle und kann den Prozess selbst gestalten.

Gräßler: Die Erfahrung zeigt, ein guter Whistleblower-Schutz und interne Meldekanäle für potenzielle Hinweisgeber sind letztlich Schutz für das Unternehmen selbst. Hinweisgeber gehen übrigens i.d.R. sehr verantwortungsvoll mit den ihnen gegebenen Möglichkeiten um. Von massenhaftem Missbrauch kann nicht die Rede sein – so ja vielfach das Argument gegen die Einführung von Hinweisgebersystemen. Diese Fälle liegen bei weit unter 2 %, wie Studien übereinstimmend belegen. In jedem Fall ist die interne Meldevariante vorzuziehen; so kann zunächst in Ruhe sondiert werden, wie die nächsten Schritte aussehen. Ansonsten ist man schnell von extern getrieben und kann nur noch reagieren statt zu agieren. Andererseits ist es überhaupt erst einmal wichtig, einen Schutz anzubieten, Kanäle anzubieten, ein entsprechendes System zu etablieren. Und dann gibt es unterschiedliche Bedürfnisse, was den Meldekanal betrifft; nicht jeder bevorzugt die gleiche Variante, je nachdem was (über wen) gemeldet wird. Hier ist es wichtig, verschiedene Möglichkeiten zu eröffnen und vor allem offensiv zu kommunizieren, welche Wege es für den Hinweisgeber gibt.

Schemmel: Als Datenschützer bin ich natürlich dafür, dass den Hinweisgebern Anonymität zugesichert wird und das geschieht zum Glück auch. Das ist schon deshalb wichtig, damit die Hemmschwelle zur Abgabe einer Meldung möglichst niedrig liegt. Denn die größte Schranke ist die psychologische. Man tut sich naturgemäß schwer, seine Identität preiszugeben, wenn man auf Missstände aufmerksam macht und dabei zwangsläufig Kollegen bezichtigt. Die Frage ist ja: Was passiert dann mit mir? Der Gesetzesentwurf sieht vor, dass die Vertraulichkeit zugesichert wird – und zwar unabhängig davon, ob anonym gemeldet wird. Die jeweilige Meldestelle ist verpflichtet, den Sachverhalt vertraulich zu behandeln. Interessant ist in diesem Zusammenhang übrigens, dass die externen Meldestellen, im Gegensatz zu den internen, anonyme Hinweise nicht verfolgen müssen.

Lelley: Sobald Anonymität nicht zugelassen ist, führt dies zu einem Sinken der Meldezahlen und im Ergebnis werden weniger Fälle aufgedeckt. Zwar sieht das Gesetz einen Schutz vor Repressalien vor, entscheidend ist und bleibt aber die Möglichkeit der anonymen Meldung. Wie schon erwähnt, die psychologische Hemmschwelle ist sonst einfach viel zu hoch für die meisten Menschen.

Gräßler: Das kann sogar sehr gut mit Fakten belegt werden. Wir schauen uns das Ganze seit etwa 20 Jahren empirisch genau an und stehen mit unseren Kunden im engen Austausch über die tatsächliche Nutzung der Systeme. 50 bis 70 % der Meldungen gehen zwar zunächst anonym ein. So viele Meldungen gäbe es vermutlich nicht ohne die Option zur anonymen Meldung. Gleichzeitig legen aber etwa genauso viele Hinweisgeber ihre Identität offen, sobald sie merken, dass die Meldungen vertrauenswürdig behandelt werden und ein Dialog zustande kommt, mithin ein gewisses Vertrauen entsteht. Dann unterstützen sie i.d.R. bei der weiteren Untersuchung und Aufklärung der Vorwürfe das Unternehmen. Letztlich wird Anonymität also vielfach gewünscht, es bleibt aber nicht immer dabei. Was spricht denn dagegen, dem Hinweisgeber eine Wahl zu lassen, ob er anonym oder unter Preisgabe seiner Identität melden möchte? Und zum Schutz der Anonymität gibt es mittlerweile ja schon ganz ausgezeichnete Systeme und Möglichkeiten, auf die man zurückgreifen kann. Hierbei entscheidet ausschließlich der Hinweisgeber selbst über die Offenlegung seiner Identität, dem Unternehmen bleibt diese Entscheidung verwehrt.

Schemmel: Es reicht übrigens nicht aus, einfach ein E-Mail-Postfach einzurichten und dort auf Meldungen zu warten. Das Hinweisgeberschutzgesetz wird ja flankiert von vielen weiteren Regelungen, die den Unternehmen vorschreiben, wie ein solches Schutzsystem ausgestaltet sein soll. Insbesondere aus dem Datenschutz kommen erhöhte Anforderungen an Meldekanäle, die beachtet werden müssen. Durch technische und organisatorische Maßnahmen muss ich hier bereits absichern, dass die Vertraulichkeit gewährleistet ist.

Schemmel: In den Bußgeldvorschriften des Referentenentwurfs liegt eine Schwelle bei 20.000 Euro für verweigerte Auskünfte seitens des Unternehmens gegenüber externen Meldestellen. Das maximale Bußgeld beträgt 100.000 Euro, wenn das Abgeben von Meldungen behindert oder erschwert wird. Ebenso im Falle von Androhung oder Ausübung von Repressalien aufgrund abgegebener Meldungen, etwa durch Kündigung oder andere arbeitsrechtliche Sanktionen gegenüber dem Hinweisgeber. Für kleine und mittlere Unternehmen sind die genannten Summen selbstverständlich ernst zu nehmende Beträge, wohingegen man Konzerne mit solchen Zahlen eher nicht beeindruckt. Da wiegt der drohende Reputationsschaden vermutlich schwerer und zwingt auf diesem Wege zum Handeln. Außer Acht lassen darf man aber nicht andere Vorschriften, insbesondere datenschutzrechtlicher Natur, außerhalb des Hinweisgeberschutzgesetzes, die wesentlich höhere Bußgelder auch im zweistelligen Millionenbereich bei Verstößen vorsehen.

Lelley: Genau deshalb genügen aus meiner Sicht auch die im Gesetzesentwurf vorgesehenen vermeintlich niedrigen Bußgelder. Und dann ist mir aus meiner Praxis kein Konzern bekannt, der nicht schon längst ein Compliance-Management-System vorhält, in dem auch Hinweisgebermelde- und Schutzmechanismen verankert sind. Insofern ist die Staffelung der Bußgelder auch eine adäquate und ausgewogene Regelung, die praxisgerecht ist.

Lelley: Die Meldung wird an der dafür vorgesehenen Stelle ankommen und was dann passiert, beschreibt schon ganz gut das Gesetz selbst. Es liefert hier eine Art Checkliste, die man abarbeiten kann. Nach Eingang der Meldung erhält der Hinweisgeber eine Eingangsbestätigung. Nun beginnt die sog. Bewertungsphase und dann folgt die Sachverhaltserforschung – sicher der schwierigste Teil, denn die Angaben müssen verifiziert, das tatsächliche Geschehen intern ermittelt werden.

Schemmel: Zudem müssen für die genaue Bewertung andere Stellen wie Fachabteilungen, betroffene Teams und Experten involviert werden. Der Hinweisgeber stellt i.d.R. das Geschehen auch nicht so dezidiert dar, dass daraus bereits das Fehlverhalten und die Auswirkungen ad hoc abgeleitet werden können. Nun beginnt der Dialog, es müssen Rückfragen gestellt werden. Und hier ist natürlich besonders auf die Wahrung der Anonymität zu achten – sofern das in diesem Stadium seitens des Hinweisgebers gewünscht ist.

Schemmel: Hier setzt der Gesetzesentwurf die Richtlinie eins zu eins um und ist eindeutig. Die interne Meldestelle muss innerhalb von sieben Tagen bei jedem eingegangenen Hinweis, ganz gleich welche Qualität die Meldung hat, eine Bestätigung des Eingangs versenden. Das ist ein Vorgang, der sich ganz besonders für eine Automatisierung eignet. Über die anschließend vorgesehene Sachverhaltsaufklärung muss innerhalb von drei Monaten informiert werden. Daneben gibt es auch hier wieder andere Informationspflichten, die sich nicht im Hinweisgeberschutzgesetz finden, aber aus der DSGVO ergeben – etwa eine allgemeine Informationspflicht zur Verarbeitung personenbezogener Daten, die in solchen Fällen ja zwangsläufig stattfindet. Die betroffene beschuldigte Person muss hier darüber informiert werden, dass ihre personenbezogenen Daten verarbeitet werden. Das konterkariert aber natürlich das Geheimhaltungsinteresse im Rahmen der Sachverhaltsaufklärung. Um diesen Konflikt aufzulösen, sehen das BDSG und die DSGVO vor, dass die Information solange zurückgehalten werden kann, wie eine Gefährdung der Ermittlungen zu befürchten ist.

Lelley: Hier sieht der Gesetzesentwurf Schadensersatzansprüche vor und der Weg zu den klassischen arbeitsrechtlichen Sanktionen ist – je nach Schwere des Verstoßes – natürlich ebenfalls eröffnet.

Lelley: Zunächst möchte ich feststellen, dass Whistleblower keine Helden sind. Es handelt sich um Menschen wie du und ich. Sie helfen und wir helfen ihnen. Man sollte an dieser Stelle Glorifizierungen vermeiden. Als Best Practice hinsichtlich des Gesetzesentwurfs kann man sagen, dass es nun allerhöchste Zeit ist, ein Meldesystem einzurichten, wenn man es vernünftigerweise nicht schon getan hat. Zudem ist der internen Variante ganz klar der Vorzug zu geben und es sind auch anonyme Meldungen zu ermöglichen. Das hatten wir ausführlich erläutert. Ebenfalls dürfen wir den Datenschutz nicht aus den Augen verlieren – was in der Diskussion um den Gesetzesentwurf gelegentlich geschieht. Und letztlich spricht viel für softwaregestützte Systeme, um mit möglichst geringem Aufwand einerseits die Gesetzesvorgaben zu erfüllen, aber auch tatsächlich von Meldungen zu profitieren und Missstände im eigenen Interesse aufzudecken.

Gräßler: Dem kann ich nur in allen Punkten zustimmen. Mein dringender Rat ist in jedem Fall: Warten Sie nicht ab. Kümmern Sie sich schnellstmöglich um das Einrichten eines Meldesystems samt Hinweisgeberschutz. Die gesetzliche Regelung ist auf den Weg gebracht und kommt schneller, als man denkt. Im Vorfeld sind einige Dinge im Unternehmen zu tun und interne Absprachen zu treffen. Das nimmt eine gewisse Zeit in Anspruch. Darauf muss man Rücksicht nehmen. Idealerweise wird eine technische Lösung erwogen, um rechtssicher und mit geringem Aufwand agieren zu können. In diesem Zusammenhang lohnt auch ein Blick auf sonstige Baustellen in Sachen Datenschutz und IT-Sicherheit im Unternehmen.

Schemmel: Auch ich kann mich den Ausführungen vollumfänglich anschließen. Einen Hinweis möchte ich noch kleinen und mittelständischen Unternehmen mit auf den Weg geben, die u.U. den Aufwand von internen Lösungen scheuen. Das Gesetz eröffnet diesen den Weg zu externen Lösungen. Unternehmen können das Thema also ganz elegant auslagern, sicher auch im Interesse der Risikominimierung im Rahmen der Umsetzung der Gesetzesvorgaben. Ein zweiter Hinweis geht in Richtung der Behörden, denn erstmals schreibt das Gesetz auch für diese die Einrichtung eines Meldesystems vor. Anders als in der Privatwirtschaft ist ein solches Vorgehen bisher auch noch nicht gängige Praxis und so weit verbreitet. Für die öffentliche Verwaltung wird das sicherlich zu einem Umdenken führen und zunächst für einen gewissen Aufwand sorgen.

Das Interview führte Andreas Krabel.