Hinweisgeberschutzgesetz: Whistleblower besser geschützt

Mit einer Verspätung von rund 1,5 Jahren tritt das Hinweisgeberschutzgesetz im Juli in Kraft. Die zugrunde liegende europäische Richtlinie hätte bereits am 17. Dezember 2021 umgesetzt werden müssen. Unternehmen sollten sich vorbereiten, denn es gibt einiges für sie zu tun.

Worum geht es?

Durch das Hinweisgeberschutzgesetz sollen Missstände im Unternehmen frühzeitig aufgedeckt, aufgeklärt und letztlich behoben werden. Hierfür stellt es natürlichen Personen wie sogenannte Hinweisgeber oder Whistleblower unter besonderen Schutz, die im Rahmen ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese melden. Welche Verstöße unter das Hinweisgeberschutzgesetz fallen, regelt das Gesetz in einem umfangreichen Vorschriftenkatalog. So fallen nicht nur strafbewehrte Verstöße in den sachlichen Anwendungsbereich (man denke beispielsweise daran, dass der Arbeitgeber zu Unrecht Sozialversicherungsbeiträge gemäß § 266a Strafgesetzbuch vorenthält), sondern unter anderem auch Verstöße gegen Rechtsvorschriften des Bundes, der Länder und unmittelbar geltende Rechtsakte der EU zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung. Der Anwendungsbereich ist damit sehr weit.

Pflichten für Arbeitgeber

Ab Inkrafttreten des Gesetzes am 2. Juli sind Arbeitgeber mit mehr als 250 Beschäftigten dazu verpflichtet, eine interne Meldestelle einzurichten. Für kleinere Unternehmen mit mehr als 50 und bis zu 249 Mitarbeitenden besteht diese Pflicht erst ab dem 17. Dezember 2023. Dabei definiert das Gesetz selbst, welche Personen Beschäftigte in diesem Sinne sind. Der Begriff ist recht weit gefasst. Er erfasst nicht nur Arbeitnehmende, sondern unter anderem auch Auszubildende oder Beamte. Eine – von der Beschäftigungszahl – unabhängige Errichtungspflicht gilt für Finanzinstitute wie etwa Börsenträger oder Wertpapierdienstleistungsunternehmen, die bereits nach geltendem Recht verpflichtet sind, eine interne Meldestelle zu errichten und zu betreiben. Das Unternehmen kann frei entscheiden, ob es die Meldestelle selbst errichtet und betreibt oder externe Dritte dafür beauftragt: zum Beispiel Rechtsanwältinnen und Rechtsanwälte.

Damit die Beschäftigten wissen, wie sie von ihren Rechten nach dem Hinweisgeberschutzgesetz Gebrauch machen können, sind Unternehmen zudem verpflichtet, leicht verständliche und zugängliche Informationen über den internen, aber auch den externen Meldeprozess zu veröffentlichen, zum Beispiel über die Website, das Intranet und/oder Schwarze Brett.

Unternehmen, die der Verpflichtung zur Errichtung einer Meldestelle nicht oder nicht fristgerecht nachkommen, droht ein Bußgeld bis zu 20.000 Euro. Unternehmen sind daher gut beraten, ihre Meldestellen frühestmöglich einzurichten, zumal Beschäftigte, solange keine interne Meldestelle existiert, nach dem Gesetz auch darauf verwiesen sind, den externen staatlich betriebenen Meldekanal zu nutzen. Dem Unternehmen bleibt es damit verwehrt, innerbetriebliche Abhilfe zu schaffen. Dass Letzteres aus Unternehmenssicht vorzugswürdig ist, liegt auf der Hand.

Generell gibt es aber keine Verpflichtung von Hinweisgebern, sich zunächst an die unternehmenseigene Meldestelle zu richten.

Die Rolle der internen Meldestelle

Die unternehmensinterne Meldestelle nimmt eine zentrale Rolle im Rahmen des Hinweisgeberschutzgesetzes ein. Anders ausgedrückt ist sie die Herrin des Verfahrens. Mit dieser Rolle gehen diverse Aufgaben, aber auch Pflichten einher, die die Meldestellen erfüllen und wahren müssen. Dazu im Überblick:

• Hinweisgebenden muss es möglich sein, der Meldestelle die Verstöße mündlich, telefonisch oder in Textform – zum Beispiel per E-Mail – mitzuteilen. Der Meldekanal muss dabei nicht so ausgestaltet sein, dass er anonyme Meldungen ermöglicht. Eine Identifikation kann daher – je nach Ausgestaltungswunsch – gefordert werden.
• Die Meldestelle muss alle Meldungen dokumentieren und deren Eingang dem Hinweisgebenden innerhalb von sieben Tagen bestätigen.
• Im Anschluss daran muss sie den Vorwurf überprüfen und gegebenenfalls weitere Folgemaßnahmen ergreifen, zum Beispiel kann sie interne Untersuchungen beim Arbeitgeber durchführen.
• Die Meldestelle ist verpflichtet, sich spätestens nach drei Monaten und sieben Tagen, nachdem die Meldung des Hinweisgebenden eingegangen ist, erneut bei diesem zu melden und ihn über den aktuellen Stand zu informieren, zum Beispiel darüber, welche Maßnahmen bereits ergriffen wurden oder noch ausstehen.
• Um diese Aufgaben erfüllen zu können, muss das betraute Personal einerseits fachlich geeignet, andererseits aber auch unabhängig sein und über die notwendigen Befugnisse verfügen, um eine sachgerechte Bearbeitung gewährleisten zu können. Ersteres kann durch entsprechende Schulungen gewährleistet werden.
• Ein Unternehmen, das die Meldestelle selbst errichtet, muss darauf achten, dass diese vertraulich und unabhängig agieren. Das Gesetz verpflichtet die Meldestellen nicht nur dazu, die Identität des Hinweisgebenden vertraulich zu behandeln. Das Vertraulichkeitsgebot erstreckt sich auch auf andere Personen, die Gegenstand der Meldung sind oder anderweitig genannt werden, wie etwa Zeugen. Darüber hinaus sind die Meldekanäle so zu gestalten, dass nur die ausdrücklich betrauten Personen Zugriff auf die Meldungen haben. Gleichwohl sieht das Gesetz Ausnahmen hiervon vor. So genießen Hinweisgebende, die vorsätzlich oder grob fahrlässig unrichtige Informationen melden, keinen Vertraulichkeitsschutz. Der Vertrauensschutz entfällt unter anderem auch dann, wenn die Weitergabe für die Durchführung von Folgemaßnahmen notwendig ist.

Aufgrund dieser bedeutenden Stellung der Meldestelle und ihren weitreichenden Kompetenzen ist sie mit besonderem Bedacht zu errichten.

Schutz von hinweisgebenden Personen

Die Schutzvorschriften der hinweisgebenden Personen stellen das Kernstück des neuen Gesetzes dar. Danach ist es dem Arbeitgeber verboten, repressiv gegen Hinweisgebende vorzugehen. Zu denken ist etwa an den Ausspruch einer Kündigung, einer Abmahnung, eine ausgebliebene Gehaltserhöhung oder einer Beförderung. On top ordnet das Hinweisgeberschutzgesetz eine echte Beweislastumkehr an: Kündigt der Arbeitgeber beispielsweise einer hinweisgebenden Person, die sich anschließend darauf beruft, dass die Kündigung aufgrund ihrer Meldung ausgesprochen wurde, wird vermutet, dass die Kündigung eine Repressalie im Sinne des Hinweisgeberschutzgesetzes ist. Es liegt dann am Arbeitgeber zu beweisen, dass die Benachteiligung, im Beispielsfall die Kündigung, sachlich gerechtfertigt ist und gerade nicht auf der Meldung oder Offenlegung beruht. Damit stellt sich unweigerlich die Frage, wie dem Arbeitgeber dieser Beweis gelingen könnte: Wie kann er beweisen, dass die Kündigung sachlich gerechtfertigt ist oder gerade nicht auf der Meldung beziehungsweise Offenlegung nach dem Hinweisgeberschutzgesetz beruht? Letztlich ist und bleibt das eine Frage der ausreichenden Dokumentation. Der Arbeitgeber ist deshalb gehalten, in Zukunft sorgsamer und umfangreicher denn je zu dokumentieren, um sich hinreichend abzusichern. Das betrifft insbesondere Mitarbeiterbewertungen, Probleme, Konflikte, Abmahnungen, unternehmerische Entscheidungen, die das Arbeitsverhältnis eines potenziellen Hinweisgebenden berühren können, und den jeweiligen Zeitpunkt, an dem über etwaige Maßnahmen entschieden wurde.

An dieser Stelle soll nicht unerwähnt bleiben, dass auch der Arbeitgeber nicht schutzlos gestellt wird: Bei einer vorsätzlichen oder grob fahrlässigen Falschmeldung ist die hinweisgebende Person zum Ersatz des hieraus entstehenden Schadens verpflichtet.

Problemfelder bei der Umsetzung

Bei der Umsetzung des Gesetzes zeigen sich in der Praxis bereits die ersten Problemfelder. So besteht aus Unternehmenssicht im Konzernzusammenhang oftmals ein nachvollziehbares – ökonomisches und praktisches – Bedürfnis, eine einheitliche Meldestelle innerhalb des Konzerns zu bilden. Nach dem deutschen Hinweisgeberschutz ist das möglich. Auch wenn dies seitens der EU-Kommission skeptisch gesehen wird, so kann beispielsweise eine zentrale Meldestelle bei der Muttergesellschaft eingerichtet werden. Das gilt selbst dann, wenn sich die Gesellschaft im Ausland befindet. Der deutsche Gesetzgeber behandelt die zentrale Meldestelle so, als wäre sie die „Dritte“. Für ihn macht es daher keinen Unterschied, ob ein Unternehmen eine externe Anwaltskanzlei beauftragt oder die Meldestelle innerhalb eines Konzerns ansiedelt. Nichtsdestotrotz sollte von einer undurchdachten Auslagerung in eine andere Konzerngesellschaft abgesehen werden. Gerade bei grenzüberschreitenden Konzernen ist Vorsicht geboten: Nationale Umsetzungsunterschiede müssen im Einzelfall erkannt und bedacht werden. Daneben ist zwingend darauf zu achten, dass die Zentralisierung sich nicht nachteilig auf die Arbeitnehmenden auswirkt: Die Meldung muss beispielsweise in der jeweils vorherrschenden Arbeitssprache möglich sein. Das Gebot der Vertraulichkeit und Unabhängigkeit gilt für die zentrale Stelle gleichermaßen. Die betroffene Gesellschaft ist und bleibt letztlich dafür verantwortlich, dass der gemeldete Vorfall aufgeklärt, abgestellt und geahndet wird. Die bloße Auslagerung ändert hieran nichts.

Das Gebot der Vertraulichkeit kann zudem diametral zu den Vorgaben nach der Datenschutzgrundverordnung stehen. Datenschutzrecht muss selbstverständlich beachtet werden, wenn – wie im Regelfall – über die interne Meldestelle personenbezogene Daten im Sinne des Artikels 4 Nummer 1 Datenschutzgrundverordnung erhoben oder verarbeitet werden. Der Arbeitgeber steht damit im Spannungsfeld dieser Pflichtenkollision. Diese wird nicht zuletzt dadurch verschärft, dass beide Verpflichtungen bußgeldbewehrt sind. Unternehmen sollten deshalb frühzeitig Datenschutzexperten einbinden, um den datenschutzrechtlichen Anforderungen, die mit der Implementierung eines Hinweisgeberkanals einhergehen, zu genügen.

Fingerspitzengefühl ist auch bei der Beteiligung des Betriebsrats gefragt. Ein Mitbestimmungsrecht ist zu bejahen, wenn es darum geht, die Meldestelle und den Meldevorgang konkret auszugestalten. Typischerweise betrifft das die Rechte aus § 87 Absatz 1 Nummer 1 (Ordnung des Betriebs) und Nummer 6 (Einführung und Anwendung von technischen Einrichtungen) Betriebsverfassungsgesetz. Entscheidet sich das Unternehmen dafür, den Meldekanal selbst zu errichten, ist der Abschluss einer Betriebsvereinbarung empfehlenswert. Davon profitieren im Regelfall beide Betriebsparteien. Aber auch hier gilt: Mit vorschnellem Handeln ist keinem geholfen. Der Arbeitgeber sollte genau überlegen, welche Regelungen gewollt, aber auch benötigt werden, um sich nicht selbst stärker zu binden, als es unbedingt erforderlich ist.