Datenschutz - Verfahren im Unternehmen · 29. September 2023

Was ist das Hinweisgeberschutzgesetz und was bedeutet das für Unternehmen?

Bereits 2019 wurde von der EU ein Gesetz verabschiedet, das Personen schützt, die Verstoße gegen das Unionsrecht melden. Analog dazu hat die Bundesregierung am 2. Juli 2023 ein Gesetz verabschiedet, durch das solche sogenannten Hinweisgeber oder Whistleblower geschützt werden sollen. Ziel dieses Gesetzes ist es, dass Personen, die im Rahmen Ihrer Tätigkeit Informationen über Verstöße erhalten, diese ohne Konsequenzen melden können und von Rechtswegen geschützt sind. In diesem Beitrag wollen wir auf die Einzelheiten des Gesetzes eingehen und Ihnen erklären, worauf Sie zu achten haben.

Was ist ein Hinweisgeber und wer kann das sein?

Wie bereits beschrieben, sind das die Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben. Das sind im betrieblichen Kontext logischerweise erst einmal die Beschäftigten. Dabei müssen das nicht nur aktive Angestellte sein, sondern es kann sich vielmehr auch um Ausgeschiedene, Bewerber, Praktikanten oder auch Leiharbeiter handeln. Aber auch Anteilseigner oder Personen aus Leitungsgremien haben die Möglichkeit Hinweise zu geben. Grundlegend müssen sich solche Verstöße auf das Unternehmen oder die Stelle beziehen, mit der der Hinweisgeber auch in beruflichem Kontakt stand oder steht.

Nach § 16 Abs. 1 des HinSchG müssen die internen Meldekanäle mindestens den eigenen Beschäftigten, sowie auch den Leiharbeitern zur Verfügung gestellt werden. Darüber hinaus können Unternehmen entscheiden, ob sie diese Kanäle auch Außenstehenden zur Verfügung stellen möchten. Dazu gehören dann beispielsweise Dienstleister, Freelancer, Auftragnehmer, Lieferanten, usw. Durch das Gesetzt werden außerdem auch die Personen geschützt, die diese Hinweisgeber unterstützen, sowie die, die Gegenstand der Meldung sind.

Welche Verstöße können gemeldet werden?

Grundsätzlich ist der unter §2 HinSchG geregelte Schutzbereich recht weit gefasst. Aber nicht alle Verletzungen von Rechtsvorschriften sind umfasst. In der folgenden Auflistung, stelle wir Ihnen die abgedeckten Verstöße vor:

Verstöße gegen Strafvorschriften: Jede Strafnorm des deutschen Rechts

Verstöße, bei denen die Norm dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder Ihrer Vertreter verletzt wird und durch ein Bußgeld bedroht sind (also Ordnungswidrigkeiten)

Alle Verstöße gegen Rechtsvorschriften des Bundes und der Länder umfasst, die zur Umsetzung bestimmter europäischer Regelungen getroffen wurden

Verstöße gegen geltende EU-Rechtsakte, wie: Lebensmittel- und Futtermittelsicherheit, Vorgaben zur Produktsicherheit, Qualitäts- und Sicherheitsstandards bei Arzneimitteln und Medizinprodukten, Regelungen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, Regelungen im Bereich des Wettbewerbsrechts, Regelungen des Vergaberechts, Regelung zur Rechnungslegung, Regelungen des Verbraucherschutzes, Vorgaben zur Verkehrssicherheit, Vorgaben zur Beförderung gefährlicher Güter, Vorgaben zum Umwelt- und Strahlenschutz, sowie die Regelungen des Datenschutzes und der Sicherheit in der Informationstechnik

Abschließend wurde der Anwendungsbereich auf die Äußerungen von Beamtinnen und Beamten ausgeweitet, die einen Verstoß gegen die Pflicht zur Verfassungstreue bedeuten

Welche Unternehmen müssen nun interne Meldungskanäle einrichten und wann?

Unternehmen, die mindestens 250 Beschäftigte zu verzeichnen haben, müssen die Vorgaben des HinSchG zum 2. Juli 2023 umgesetzt haben. Mit Busgeldern in Höhe von bis zu 20.000 Euro werden die Unternehmen aber erst ab dem 1. Dezember konfrontiert, wenn bis dahin eben kein Kanal eingerichtet wurde oder dieser nicht in Betrieb ist.
Unternehmen mit Mitarbeiterzahlen zwischen 50 und 249 erhalten eine verlängerte Einreichungsfrist bis zum 17. Dezember 2023. Diesen Unternehmen ist es gestattet Ressourcen zu teilen und mit anderen Unternehmen gemeinsame Meldestellen einzurichten.
Kleine Unternehmen mit bis zu 49 Mitarbeitenden sind von der Pflicht zur Einrichtung eines internen Meldekanals ausgenommen. Sollte eine Person aber hier einen Verstoß melden, so ist sie dennoch durch das HinSchG geschützt.

Für Unternehmen in speziellen Branchen, wie zum Beispiel der Finanzdienstleistungs- und Versicherungsbranche, gelten die oben genannten Regelungen unabhängig von der Zahl der Beschäftigten. Also auch wenn nur eine Person in diesen Unternehmen arbeiter, muss bereits ein Meldekanal eingerichtet sein. Eine Auflistung der betroffenen Branchen finden Sie unter §12 Absatz 3 HinSChG.

Auf was ist bei der Einrichtung und der Nutzung interner Meldekanäle zu beachten?

Hier gilt es auf folgende 10 Punkte zu achten.

1. § 16 Absatz 3 HinSchG: die internen Meldekanäle müssen Meldungen in mündlicher, in Textform oder auch persönlich ermöglichen.

Textform: beispielsweise ein IT-gestütztes Hinweisgebersystem, eine Plattform im Intranet oder eine eigens eingerichtete E-Mail Adresse. Kanäle, die nur die Schriftform (Briefe oder physischer Beschwerdebriefkasten) sind dabei nicht ausreichend.
Mündlich: z.B. eine Whistleblower-Hotline oder ein Anrufbeantwortersystem
Auf Wunsch des Hinweisgebers muss es auch die möglichkeit eines persönlichen Treffens geben. Bei Zustimmung ist auch ein Video Call zulässig.

Als Unternehmen sind sie nicht verpflichtet interne Meldekanäle anonym zu gestalten. Nur wird hier erwähnt, dass auch anonyme Meldungen zu behandeln sind. Grundsätzlich haben sie auch die Möglichkeit mehrere Kanäle einzurichten.

Unternehmen haben die Möglichkeit, gemäß § 14 Absatz 1 HinSchG Dritte als interne Meldestellen zu beauftragen, anstatt diese selbst zu betreiben. Dies ermöglicht es, die Entgegennahme und Bearbeitung von Hinweisen an externe Dienstleister wie Meldeplattformen oder Ombudspersonen, beispielsweise Rechtsanwälten, auszulagern. Voraussetzung hierfür ist, dass diese Dienstleister angemessene Gewährleistungen für die Aufrechterhaltung der Unabhängigkeit, Vertraulichkeit, Datenschutz und Geheimhaltung bieten.

2. Die Vertraulichkeit des Hinweisgebers und Dritter muss immer geschützt sein

Das Vertrauchlichkeitsgebot (§8 HinSchG) gibt vor, dass Meldekanäle so konzipiert sein müssen, dass die Identität der hinweisgebenden Person und der in der Meldung erwähnten Personen gewahrt werden muss. Die Identität darf nur den Personen bekannt sein, die für die Folgemaßnahmen zuständig sind. Nur bei ausdrücklicher Zustimmung der betroffenen Person dürfen Außenstehende involviert werden.
Um das sicherzustellen sollten alle Beteiligten mit Zugriff auf den internen Meldekanal eine Vertraulichkeitsverpflichtungseklärung unterzeichnen.
Nur in Ausnahmefällen (Beispielsweise ein Strafverfahren) dürfen Informationen über die Identität herausgegeben werden

3. Bestimmung der Zuständigkeit innerhalb des Unternehmens

Es müssen „Meldestellen- Beauftrage“ bestimmt werden. Das können einzelne oder mehrere Personen sein aber auch ganze Abteilungen, die die Meldungen entgegen nehmen. Das können Compliance Leiter sein oder auch Datenschutzbeauftragte. Neben dieser Tätigkeit können auch andere Tätigkeiten ausgeführt werden. Wichtig ist nur, dass keine Interessenkonflikte entstehen. So sind Geschäftsführer und Personalverantwortliche für diese Tätigkeit ausgeschlossen.
Die Mitarbeitenden der Meldestellen müssen nach § 15 Absatz 2 HinSchG die nötige Fachkunde aufweisen. Eine Schulung vor der Übernahme der Tätigkeit ist also von großer Relevanz.

4. Bearbeitungsfristen nach § 17 HinSchG müssen beachtet werden:

Innerhalb von 7 Tagen muss die Meldung bestätigt und geprüft werden, sowie entsprechende Folgemaßnahmen in die Wege geleitet werden. Innerhalb der darauffolgenden 3 Monate muss der Hinweisgeber über ergriffene Folgemaßnahmen informiert werden.

5. Es müssen ordnungsmäßige Folgemaßnahmen eingeleitet werden. Nach § 18 HinSchG gehören dazu:

Interne Nachforschungen einleiten

Maßnahmen zur Behebung des Problems
Verweis auf andere Kanäle oder Verfahren
Das Verfahren kann auch aufgrund mangelnder Beweise oder anderen Gründen eingestellt werden
In Kenntnissetzung einer autorisierten Behörde

6. Dokumentation der Meldungen und Aufbewahrung der Daten

Eingegangene Meldungen müssen laut § 11 HinSchG und im Einklang mit den Vertraulichkeitspflichten dokumentiert werden
Die Art der Dokumentation ist abhängig vom Meldekanal.
Das Meldesystem sollte so aufgesetzt werden, dass Meldungen so dokumentiert werden, dass diese auch als Beweismittel verwendet werden können
Die Löschung der Dokumentationen erfolgt nach 3 Jahren nach Abschluss des Verfahrens. In Ausnahmefällen können diese auch länger aufbewahrt werden, solange dies erforderlich und verhältnismäßig ist.

7. Informationspflicht über Meldeverfahren

Nach § 13 Absatz 2 HinSchG müssen Unternehmen über alternative externe Meldeverfahren an die zuständigen Behörden, sowie über Meldeverfahren von Organen, Einrichtungen oder sonstigen Stellen der EU informieren.
Diese Informationen können beispielsweise über die Unternehmenswebsite, das Intranet oder das schwarze bereitgestellt werden. Dabei sollten die Informationen leicht zugänglich und verständlich sein

8. Datenschutz

Da im internen Hinweisgebersystem personenbezogene Daten erheben werden, müssen die rechtlichen Bedingungen des Datenschutzes eingehalten werden. Dabei muss die EU-Datenschutzgrundverordnung und das Bundesdatenschutzgesetz eingehalten werden. Dazu müssen folgende Punkte eingehalten werden:

Aufbewahrungs und Löschungsfristen müssen festgelegt und eingehalten werden
Eine (angepasste) Datenschutzerklärung kann erforderlich sein
Beim Einsatz externer Dienstleister muss die Auftragsdatenverarbeitung geregelt sein.
Eine Datenschutz Folgeabschätzung kann notwendig werden

9. Bei der Einrichtung des Verfahrens für interne Meldungen darf der Betriebsrat nicht außen vor gelassen werden

Gemäß § 80 Absatz 2 des Betriebsverfassungsgesetzes hat der Betriebsrat einen Anspruch auf Unterrichtung vor der geplanten Einrichtung
Der Betriebsrat hat kein Mitbestimmungsrecht ob es ein Hinweisgebersystem geben soll und welche Stelle damit betraut wird.
Bei der Frage der Umsetzung, also wie diese Meldekanäle und -Verfahren umgesetzt werden, kann das Mitbestimmungsrecht aus § 87 Absatz 1 Nummer 6 BetrVG, nämlich im Falle der Einrichtung und Anwendung technischer Einrichtungen in Kraft treten, insofern die Identifikation des Hinweisgebers möglich ist
Wenn der Arbeitgeber zusätzlich zu den gesetzlichen Anforderungen ein erweitertes Verfahren zur Meldung und Behandlung von Verstößen einführt, wie beispielsweise einen Verhaltenskodex oder Compliance-Richtlinien, wird in der Regel auch ein Mitbestimmungsrecht gemäß § 87 Absatz 1 Nummer 1 BetrVG anerkannt, da Fragen zur Betriebsordnung und zum Verhalten der Mitarbeiter im Betrieb berührt werden.
Der Betriebsrat hat auch gemäß den §§ 96 ff. BetrVG Beteiligungsrechte in Bezug auf Schulungsmaßnahmen, die sowohl für die im Unternehmen verantwortlichen Fallbearbeiter als auch für die Beschäftigten durchgeführt werden.

Es empfiehlt sich, den Betriebsrat frühzeitig einzubinden.

10. Bei großen (internationalen ) Konzernstrukturen

Innerhalb eines Konzerns gibt es verschiedene Möglichkeiten der Organisation. Einerseits kann jedes Konzernunternehmen ein eigenes Hinweisgeberschutzsystem betreiben, was als lokale Organisation bezeichnet wird. Alternativ dazu könnte eine regionale Organisation implementiert werden, bei der bestimmte Konzerngesellschaften für eine bestimmte Region ein Hinweisgebersystem betreiben. Eine dritte Option besteht in einer zentralen Lösung, bei der die Meldestelle in der Regel bei der Konzernmutter angesiedelt ist.

Hintergrund: Das HinSchG ermöglicht es, auch einen "Dritten" mit der Aufgabe einer internen Meldestelle zu beauftragen. Laut der Begründung des HinSchG kann eine unabhängige und vertrauliche Stelle als "Dritter" auch bei einer anderen Konzerngesellschaft (zum Beispiel Mutter-, Schwester- oder Tochtergesellschaft) eingerichtet werden, die für mehrere eigenständige Unternehmen im Konzern tätig sein kann. Dabei ist jedoch wichtig sicherzustellen, dass die primäre Verantwortung zur Behebung und Verfolgung eines festgestellten Verstoßes immer beim jeweiligen beauftragenden Unternehmen bleibt. Das HinSchG unterscheidet nicht zwischen Konzerngesellschaften mit mehr oder weniger als 249 Mitarbeitern, was bedeutet, dass die Einrichtung einer zentralen Meldestelle im Konzern für alle Konzerngesellschaften gleichermaßen möglich ist.

Hinweis: Es ist zu beachten, dass eine gewisse Rechtsunsicherheit besteht. Früheren Aussagen der EU-Kommission zufolge sollte jedes Unternehmen, das mehr als 249 Mitarbeiter beschäftigt, ein eigenes Hinweisgebersystem einrichten, und ein zentrales Hinweisgebersystem im Konzern würde nach Ansicht der EU-Kommission nicht ausreichen. In Deutschland wird die Konzernregelung jedoch ohne Sanktionen umsetzbar sein. Bei international tätigen Konzernen sollte jedoch das Recht des jeweiligen Landes in Bezug auf mögliche Umsetzungsunterschiede in den einzelnen EU-Mitgliedsstaaten überprüft werden.

Welche Meldekanäle können Hinweisgeber nutzen?

In den vorhergehenden Absätzen haben wir Ihnen bereits die internen Meldestellen vorgestellt. Ergänzend dazu gibt es noch externe Meldestellen, die von der öffentlichen Hand eingerichtet wurden. Eine solche wurde beim Bundesamt für Justiz eingerichtet. Außerdem gibt es Meldestellen mit Sonderzuständigkeiten. Dazu gehört unter anderem aktuelle Meldesysteme der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sowie das Bundeskartellamt.

Weiterführend gibt es auch auf EU Ebene Organe für die Meldung von Verstößen. Dazu gehören: Die Meldekanäle der Komission, des Europäoischen Amts für Betrugs Bekämpfung, der europäischen Agentur für Flugsicherheit, der europäischen Agentur für die Sicherheit des Seeverkehrs, usw.

Wo kann der Hinweisgeber Verstöße melden?

Grundsätzlich hat er die freie Wahl. Der Whistleblower kann sich sowohl an interne als auch an externe Meldekanäle richten. Hier ist aber zu beachten, dass, laut § 7 Absatz 1 Satz 2 des HinSchG, sich der Hinweisgeber an die internen Meldekanälke richten soll, wenn intern wirksam gegen den Verstoß vorgegangen werden kann und keine Repressalien zu befürchten sind.

Zusätzlich haben Personen, die Hinweise auf Verstöße geben möchten, die Möglichkeit, ihre Informationen der Öffentlichkeit zugänglich zu machen, beispielsweise über Presse, soziale Medien oder andere Medienkanäle. Dies ist jedoch nur unter den strengen Bedingungen gemäß § 32 des HinSchG gestattet. Der Schutz nach dem HinSchG gilt für die Person, die einen Verstoß öffentlich meldet, nur dann, wenn sie zuvor erfolglos versucht hat, sich an eine externe Meldestelle zu wenden oder wenn eine Gefahr für die Allgemeinheit besteht.

Aus Unternehmenssicht ist es von großem Interesse, solche Verstöße intern zu klären. Daher ist es wichtig, den Mitarbeitenden Anreize zu setzen, indem beispielsweise der Kanal so anwenderfreundlich wie möglich gestaltet ist, diese über das Thema informiert werden und ermutigt werden diese Möglichkeit auch zu nutzen. Sollte der Hinweisgeber aber lieber einen externen Kanal nutzen, so darf er vom Unternehmen nicht daran gehindert werden.

Wie werden Hinweisgeber geschützt?

Grundsätzlich sollen Personen ermutigt werden, auf Missstände im Unternehmen aufmerksam zu machen. Daher gibt es für diese Hinweisgeber einen umfangreichen Schutz. Wie der aussieht, erklären wir Ihnen im folgenden Absatz:

Zentral ist das Verbot von Repressalien, welche durch § 36 Absatz 1 HinSchG untersagt sind. Selbst das Androhen ist hier ein Verstoß. Verboten sind: Suspendierung, Kündigung, Herabstufung und Versagung von Beförderung, Nötigung, Einschüchterung, Mobbing, aber das nicht- verlängern auslaufender Verträge, Rufschädigung, Lizenzentzug oder Genehmigung, schlechte Leistungsbeurteilungen und vieles mehr
Um zu gewährleisten, dass Ansprüche gegen solche Repressalien durchgesetzt werden können, enthält §36 Absatz 2 eine Beweislastumkehr zugunsten des Hinweisgebers. Das bedeutet, dass nicht der Hinweisgeber die Benachteiligung aufgrund der Meldung beweisen muss, sondern hier muss das Unternehmen einen abweichenden Grund vorlegen und beweisen, dass es keinen Zusammenhang gibt. Der Hinweisgeber muss aber selber auf den potentiellen Misstand aufmerksam machen.
Bei einem Verstoß gegen das Verbot kann der Hinweisgeber Schadensersatz einfordern.

Um diesen Schutz in Anspruch zu nehmen, muss der gemeldete Hinweis korrekt sein und sich auf Verstöße beziehen, die in den Geltungsbereich des § 2 des HinSchG fallen (siehe oben unter "Welche Verstöße können von Hinweisgebern gemeldet werden?"). Gemäß § 33 Absatz 1 Nummer 2 des HinSchG ist es jedoch ausreichend, wenn der Hinweisgeber zum Zeitpunkt der Meldung oder Offenlegung ausreichende Gründe für eine solche Annahme hatte. Darüber hinaus darf die Beschaffung oder der Zugriff auf die Informationen an sich keine eigenständige strafbare Handlung darstellen. Wenn diese Bedingungen erfüllt sind, kann der Hinweisgeber gemäß § 35 des HinSchG nicht rechtlich zur Verantwortung gezogen werden.

Der Schutz besteht nicht, wenn es sich um vorsätzliche oder grob fahrlässige Falschmeldungen handelt. In solchen Fällen kann es sogar dazu kommen, dass der Hinweisgeber zum Ersatz des dadurch entstandenen Schadens verpflichtet ist.

Welche Sanktionen drohen bei Verstößen gegen das Hinweisgeberschutzgesetz?

Grundsätzlich werden Verstöße gegen die Vorgaben des HinSchG nach § 40 als Ordnungswidrigkeiten mit einer Geldstrafe geahndet. Die Höhe ist hier abhängig vom Verstoß:

Eine Geldstrafe von bis zu 50.000 Euro kann auferlegt werden, wenn jemand eine Meldung oder die darauffolgende Kommunikation behindert oder einen verbotenen Rückschlag ausführt oder beabsichtigt, oder wenn jemand absichtlich oder fahrlässig das Gebot der Vertraulichkeit missachtet.

Bitte beachten Sie: Der Bußgeldrahmen von bis zu 50.000 Euro gilt für Einzelpersonen, die in leitender Position in einem Unternehmen tätig sind. Für die Unternehmen selbst, einschließlich juristischer Personen und Personenvereinigungen, kann sich in bestimmten Fällen im Zusammenhang mit der Verhinderung einer Meldung oder der Verletzung des Vertraulichkeitsgebots der Bußgeldrahmen aufgrund einer Verweisung auf § 30 Absatz 2 Satz 3 des Gesetzes über Ordnungswidrigkeiten verzehnfachen, was bedeutet, dass sie mit einer Geldstrafe von bis zu 500.000 Euro belegt werden können.

Sollte das Vertraulichkeitsgebot fahrlässig missachtet werden, droht eine Geldstrafe in Höhe von bis zu 10.000 Euro

Die Unternehmen, die verpflichtet sind eine Meldestelle einzurichten und dies nicht im vorgegebenen Zeitraum tun, müssen mit Strafen von 20.000 Euro rechnen.
Zwar haben Sie für die Einrichtung noch Zeit (wie bereits oben besprochen), aber sollten Verstoße gegen das HinSchG in diesem Zeitraum stattfinden, können diese schon jetzt geahndet werden.

Fazit

Wie lässt sich das Thema also nun zusammenfassen? Das Hinweisgeberschutzgesetz ist dafür da, dass Personen, die Hinweise auf bestimmte Vergehen in ihrem Berufsfeld geben nicht benachteiligt werden. Dafür müssen ab einer Mitarbeiterzahl von 49 Meldekanäle eingerichtet werden und verantwortliche Personen bestimmt werden. Das sollten Sie bis zum 1. Dezember 2023 (bei über 250 Beschäftigten) spätestens aber bis zum 17. Dezember 2023 (bei 50 bis 249 Beschäftigten) eingerichtet haben. Außerdem muss in Ihrem Unternehmen darauf hingewiesen werden, dass es auch externe Meldekanäle gibt, die genutzt werden können. Sie können auch überlegen, ob Sie allen Externen, die mit Ihrem Unternehmen zusammenarbeiten, die Möglichkeit geben Verstöße zu melden.

Für viele Unternehmen klingt Whistleblower oder Hinweisgeber vermutlich bedrohlich. Das muss es aber nicht sein. Vielmehr kann es auch eine Möglichkeit sein, um interne Prozesse zu optimieren und Lücken festzustellen. Vor allem im betrieblichen Datenschutz treten immer noch viele Fehler auf. Damit aber nun keine unbefugten Personen Zugriff auf personenbezogene Daten erhalten, kann es hilfreich sein, wenn solche Verstöße gemeldet werden. Für Sie als Unternehmen wäre es hier aber besonders interessant, wenn dies nicht an externe, sondern direkt an ihre eigenen Meldekanäle geht. So können Sie auf solche Verstöße optimal eingehen und diese auflösen. Informieren Sie also ihre Mitarbeitenden (oder auch externen Personen) zu dem Thema und ermutigen Sie diese auch die Meldekanäle zu nutzen.