Von Vanessa Mengelkamp - Team Compliance

Anfang 2023 soll das Hinweisgeberschutzgesetz (HinSchG) in Kraft treten. Damit werden Unternehmen verpflichtet, eine Meldestelle für unternehmensinterne Rechtsverstöße einzurichten. Das Ganze soll dem besseren Schutz von hinweisgebenden Personen dienen.
Viele große Unternehmen haben bereits freiwillig solche Meldekanäle als Bestandteil von Compliance- Management Systemen (CMS) eingerichtet. Vor allem kleine und mittlere Unternehmen (KMUs) ab 50 Mitarbeiterinnen und Mitarbeitern, die eine Whistleblowing-Hotline noch nicht haben, sind nun in der Pflicht.


Was ist der Sinn?

Das Ziel des HinSchG ist es, Straftaten in Zukunft besser aufdecken zu können. Zudem sollen illegale Handlungen und Verhaltensweisen verhindert werden. Um dies zu erreichen, ist es wichtig, dass Hinweisgeber effektiv vor Repressalien und Unternehmen vor falschen Anschuldigungen geschützt werden.

Treten in einem Unternehmen Verstöße gegen Rechtsvorschriften auf oder existieren Missstände, sind es häufig die Beschäftigten, die dies als erstes wahrnehmen. Durch ihre Hinweise können dann Rechtsverstöße aufgedeckt, untersucht, verfolgt und unterbunden werden.
Die Beschäftigten, die solche Hinweise an die Unternehmensleitung weitergeben, übernehmen Verantwortung für die Gesellschaft und das Unternehmen selbst. Durch die Meldung eines Verstoßes könnten jedoch Benachteiligungen drohen, wodurch Mitarbeitende unter Umständen von einer Meldung abgeschreckt werden. Genau dort knüpft das HinSchG an und gewährt diesen Personen einen besonderen Schutz.

Hinweisgeber können zunächst intern die aufgefallenen Missstände ansprechen, wenn sie geeignete Möglichkeiten und eine offene Kultur vorfinden. Ziel ist es, das Hinweisgebersystem im Unternehmen so zu implementieren, dass sich die Mitarbeiter bevor sie sich an Behörden, Medien oder die Öffentlichkeit wenden, im Unternehmen selbst melden. Der attraktive interne Meldekanal kann also verhindern, dass der Hinweisgeber seine Informationen nach Außen trägt. Dies schützt die Reputation und auch Geschäftsgeheimnisse. Der Hinweisgeber ist nämlich unter bestimmten Voraussetzungen und bei Wahrung berechtigter Interessen sogar befugt, Geschäftsgeheimnisse offenzulegen, § 5 GeschGehG.


Wer wird geschützt?

Es sollen alle Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben, geschützt werden. Dies betrifft sowohl Arbeitnehmer und Beamte, aber auch Selbstständige, Praktikanten, Anteilseigner oder Mitarbeiter von Lieferanten.


Was ist der Inhalt?

In den Anwendungsbereich sind nach der aktuellen Entwurfsfassung des Gesetzes zum einen alle Verstöße einbezogen, die strafbewehrt sind. Zum anderen bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift dem Schutz von Leben, Leib, Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Verstöße, die gemeldet werden sollten, können beispielweise Korruption, Insiderhandel oder Datenmissbrauch betreffen.

Es werden nur die Verstöße erfasst, die durch Handlungen im Rahmen einer beruflichen, unternehmerischen oder dienstlichen Tätigkeit zustande gekommen sind. Meldungen über rein privates Fehlverhalten sind nicht relevant. Sobald sich das private Verhalten jedoch auf das Arbeitsverhältnis niederschlägt, ist es wiederum erfasst.


Was ist zu tun?

Grundsätzlich betrifft diese Pflicht Unternehmen, die 50 oder mehr Mitarbeiter beschäftigen.

Kleinere Unternehmen, die bis zu 249 Mitarbeiter beschäftigen, sollen für die Einrichtung interner Meldestellen bis zum 17. Dezember 2023 Zeit haben. Für diese besteht auch die Möglichkeit mit anderen Unternehmen zusammen eine gemeinsame Meldestelle zu betreiben.

Größere Unternehmen mit mehr als 250 Beschäftigten müssen unmittelbar nach dem Inkrafttreten des Gesetzes ein Hinweisgeberschutzsystem einrichten.
In einem Konzern kann ein solches System auch zentral bei der Konzernmutter angesiedelt werden.

Unternehmen sollen interne und externe Meldestellen, an die sich die hinweisgebenden Personen wenden können, einrichten. Jeder Hinweisgeber hat ein Wahlrecht, ob er sich an eine interne oder externe Meldestelle wenden will. Ist der interne Meldekanal attraktiv für den Hinweisgeber, bleibt der Hinweis auch intern.

Ein interner Meldekanal kann z.B. durch ein elektronisches Hinweisgebersystem, Mitarbeitende aus der Compliance-Abteilung oder eine Ombudsperson gewährleistet werden, aber auch durch die Einrichtung eines E-Mail-Postfaches oder einer Telefonnummer.
Auch durch die Beauftragung von Dritten kann ein internes Meldesystem eingerichtet werden; etwa durch die Beauftragung einer Anwaltskanzlei. Wichtig ist dabei nur, dass es nicht zu Interessenskonflikten führt und stets die Neutralität und Unabhängigkeit gewahrt ist.

Externe Meldestellen werden vor allem bei dem Bundesamt für Justiz, Bundeskartellamt und der Bundesanstalt für Finanzdienstleistungsaufsicht oder auf Länderebene eingerichtet.


Was ist zu tun, wenn eine Meldung eintrifft?

Es muss möglich sein, eine Meldung mündlich oder schriftlich und auf Wunsch auch persönlich abzugeben.

Der Eingang ist zu dokumentieren und dem Hinweisgeber innerhalb von 7 Tagen zu bestätigen. Daraufhin muss geprüft werden, ob der Fall dem Hinweisgeberschutzgesetz unterfällt. Die Meldestelle muss dann angemessene Folgemaßnahmen treffen.
Bei internen Meldestellen kommen unter anderem folgende Maßnahmen in Betracht:
- Der Hinweisgeber wird an eine andere zuständige Stelle verwiesen.
- Es werden eigene Ermittlungen durchgeführt.
- Der Vorgang wird an die Arbeitseinheit des Unternehmens für interne Ermittlungen abgegeben.

Spätestens nach drei Monaten muss die Meldestelle dem Hinweisgeber eine Rückmeldung geben, welche Maßnahmen bereits ergriffen wurden oder in Folge ergriffen werden. So zum Beispiel über die Einleitung interner Untersuchungen oder die Weitergabe an die zuständige Behörde.


Was ist zu beachten?

Der Schutz der Identitäten von hinweisgebenden Personen, aber auch sämtlicher von der Meldung Betroffenen steht im Vordergrund. Weshalb die Identität nur den für die Meldung zuständigen Personen bekannt sein darf. Die Meldestelle unterliegt stets einem Vertraulichkeitsgebot.

Außerdem soll der Hinweisgeber, vor allem durch diese Anonymität, vor Repressalien in Folge seiner Meldung geschützt werden. Das Gesetz meint jegliche Arten der Benachteiligung, die nach der Meldung oder Offenlegung entstehen. So zum Beispiel Kündigung, Abmahnung, Versagung einer Beförderung, Disziplinarmaßnahmen, Diskriminierung, Rufschädigung oder Mobbing.


Wie kann ein Hinweisgebersystem besser in das Unternehmen integriert werden?

Grundsätzlich ist es hilfreich ein Kommunikationskonzept zu entwickeln oder das System in ein bereits bestehendes Konzept zu integrieren.
Ist ein solches nicht vorhanden, könnten Erklärvideos, Handouts oder Seminare die Grundlage dafür bilden. Das Hinweisgebersystem könnte auch in den Verhaltenskodex des Unternehmens aufgenommen werden, um die Compliance-Kultur zu unterstützen.
Eine interne betriebliche Richtlinie sollte zudem regeln, für welche Art von Informationen der Meldekanal eröffnet ist, also den gesetzlichen Anwendungsbereich (§ 2 der aktuellen Entwurfsfassung des Gesetzes) erklären. Damit wird vermieden, dass alle möglichen Informationen und Beschwerden eingehen, für die die interne Meldestelle nicht eröffnet ist und diese überlasten.
Wichtig ist, um die Akzeptanz im Unternehmen für ein solches System zu gewährleisten, stets offen zu kommunizieren. Dazu gehört auch unbedingt auf die Freiwilligkeit der Abgabe einer Meldung hinzuweisen.


Welche Folgen hat ein Verstoß?

Ein Verstoß gegen wesentliche Vorgaben des HinSchG soll als Ordnungswidrigkeit mit einer Geldbuße geahndet werden. Dies geschieht beispielsweise, wenn wissentlich unrichtige Informationen offengelegt, Meldungen behindert oder Repressalien ergriffen werden.

Sollten den Hinweisgeber nach seiner Meldung Repressalien treffen, steht ihm gegen den Verursacher ein Schadenersatzanspruch zu.

Sollte kein internes Hinweisgebersystem eingerichtet oder betrieben werden, können Geldbuße in Höhe von bis zu 20.000 Euro auf die Unternehmen zukommen. Mit Bußgeld von bis zu 100.000 Euro muss gerechnet werden, wenn Meldungen verhindert, das Gebot der Vertraulichkeit verletzt oder verbotene Repressalien unternommen werden.

Das ist aber nur die regulatorische Seite von Verstößen. Daneben besteht eine zivilrechtliche Haftung handelnden Organe (Geschäftsführung, Vorstand). Aufgrund des organschaftlichen Legalitätsprinzips ist die Führung verpflichtet, angemessene und wirksame Compliance - Management - Systeme (CMS) zu errichten. Ein wichtiger Bestandteil eines solchen ist eine Whistleblowing-Hotline. Kommt es zu einem Schadensfall und existierte keine Hinweisgeberhotline, die diesen hätte durch frühzeitige Meldung eines Wissenden verhindern können, so ist die persönliche Haftung der Geschäftsführer und Vorstände möglich.

Vanessa Mengelkamp
Team Compliance