Sanktionen Hinweisgeberschutzgesetz - damit müssen Unternehmen rechnen!

Die EU-Richtlinie sieht vor, dass Personen geschützt werden, die Verstöße gegen das EU-Recht in bestimmten Bereichen melden, z.B. wenn es um öffentliche Aufträge, Finanzdienstleistungen, Produktsicherheit, Verkehrssicherheit, Umweltschutz, Lebensmittel, öffentliche Gesundheit, sowie Verbraucher- und Datenschutz geht.

Das HinSchG geht darüber hinaus und berücksichtigt auch das deutsche Recht. Unter dem Anwendungsbereich des HinSchG fallen folgende Arten von Verstößen:

1. Strafvorschriften. Hierbei sind sämtliche strafrechtlichen Normen gemäß deutschem Recht gemeint.
2. Bußgeldbewehrte Verstöße zum Schutz von Leben, Körper oder Gesundheit sowie der Rechte von Beschäftigten oder ihrer Vertretungsorgane. Beispiele hierfür sind Vorschriften im Arbeits- und Gesundheitsschutzbereich sowie Missachtungen des Mindestlohngesetzes oder Pflichtverletzungen gegenüber Betriebsräten.
3. Alle anderen Verstöße gegen Bundesgesetze und Landesvorschriften sowie direkt geltende EU-Rechtsakte in verschiedenen Bereichen wie Geldwäschebekämpfung, Produktsicherheitsvorgaben, Verkehrssicherheitsbestimmungen, Beförderung gefährlicher Güter, Umwelt-, Strahlenschutzaufgaben, Lebensmittelsicherheitsanforderungen Qualitäts- und Sicherheitsstandards für Medikamente und medizinische Geräte Regeln zum Schutz der Konsumenten, Datenschutz- und Informationssicherheitsvorgaben, Vergaberecht, Buchführungsvorschriften für Kapitalgesellschaften und Regelungen im Wettbewerbsrecht.
4. Zudem wurde der Anwendungsbereich auch auf Äußerungen von Beamtinnen und Beamten ausgedehnt, welche gegen die Verpflichtung zur Treue zur Verfassung verstoßen. Solche Verstöße fallen nur dann in den Anwendungsbereich, wenn sie sich auf den Arbeitgeber oder eine andere Stelle beziehen, mit welcher die meldende Person selbst beruflich in Kontakt stand oder steht.

Das Hinweisgeberschutzgesetzes sieht keine Strafen für Personen vor, die versehentlich eine Falschmeldung abgeben. Die hinweisgebende Person darf nicht mit übermäßigen Anforderungen konfrontiert werden, wenn die Meldung überprüft wird.

Sollte sich herausstellen, dass die Meldung falsch ist, genießt der Hinweisgeber trotzdem Schutz. Selbst wenn diese Falschmeldung schwerwiegende Auswirkungen auf betroffene Personen hat. Denn zum Zeitpunkt der Meldung ging der Hinweisgeber davon aus, dass der Hinweis wahr ist.

Es sieht jedoch anders aus, wenn ein Hinweisgeber absichtlich eine falsche Meldung über einen internen oder externen Kanal weitergibt. In diesem Fall genießt die hinweisgebende Person keinen Schutz mehr und kann zur Verantwortung gezogen werden, wenn sie vorsätzlich oder grob fahrlässig falsche Informationen weiterleitet.

Das bedeutet, dass die hinweisgebende Person sogar dazu verpflichtet werden kann, den entstandenen Schaden zu ersetzen. Nähere Bestimmungen hierzu finden sich im Paragraphen 38 des HinSchG.

1. Die internen Kommunikationswege müssen gemäß § 16 Absatz 3 HinSchG die Möglichkeit bieten, Meldungen mündlich oder schriftlich sowie auf Wunsch persönlich entgegenzunehmen. Als schriftliche Meldekanäle können beispielsweise ein IT-gestütztes Whistleblowing-System, wie eine Plattform im Internet oder Intranet oder eine eigens für das HinSchG eingerichtete E-Mail-Adresse dienen. Schriftliche Kanäle allein, wie beispielsweise Beschwerdebriefkästen oder Postsendungen, sind nicht ausreichend, da der Gesetzestext von "Meldungen in Textform" spricht. Mündliche Meldekanäle können beispielsweise eine Whistleblower-Hotline oder ein Anrufbeantwortersystem sein. Auf Wunsch des Hinweisgebers sollte es über diese Kanäle auch möglich sein, innerhalb einer angemessenen Frist einen persönlichen Termin zu vereinbaren. Dieses Treffen kann mit Zustimmung des Hinweisgebers auch per Videokonferenz stattfinden. Gemäß § 16 Absatz 1 HinSchG besteht keine Verpflichtung zur Einrichtung anonymer Meldekanäle. Es wird lediglich vorgegeben, dass anonyme Meldungen bearbeitet werden sollen. Unternehmen können mehrere Kanäle für die Abgabe von Meldungen bereitstellen. Eine interne Meldestelle muss nicht zwingend vom Unternehmen selbst betrieben werden - externe Diensteanbieter und Ombudspersonen können nach § 14 Absatz 1 HinSchG damit beauftragt werden, Meldungen entgegenzunehmen und zu bearbeiten.
2. Bei allen Meldekanälen muss die Vertraulichkeit des Hinweisgebers sowie Dritter gewährleistet sein.Das Vertraulichkeitsgebot gemäß § 8 HinSchG ist von zentraler Bedeutung. Das heißt die internen Kommunikationswege müssen so gestaltet sein, dass die Identität der hinweisgebenden Person(en), der Personen in der Meldung sowie anderer darin erwähnter Personen geschützt wird. Nur den dafür zuständigen Personen darf deren Identität bekannt sein. Anderen Personen darf kein Zugriff auf den internen Kanal gewährt werden. Die Offenlegung dieser Informationen gegenüber anderen ist nur mit ausdrücklicher Zustimmung aller betroffenen Parteien erlaubt. Alle Personen mit Zugang zum internen Kanal oder Kenntnis über die Meldungen sollten verpflichtet werden eine Verschwiegenheitserklärungen abzugeben. Vertraulichkeit bedeutet nicht Anonymität - es besteht, wie gesagt, keine Pflicht zur Einrichtung anonymer Meldekanäle. Informationen über die Identität einer hinweisgebenden Person oder anderer in der Meldung genannter Personen dürfen nur in Ausnahmefällen gemäß § 9 HinSchG herausgegeben werden (z.B. auf Anfrage einer Strafverfolgungsbehörde).
3. Bestimmung innerhalb des Unternehmens mit begrenztem Zugriff:Innerhalb des Unternehmens müssen Meldestellen-Beauftragte benannt werden, d.h. eine oder mehrere Personen oder Abteilungen, die Meldungen entgegennehmen. Mögliche Meldestellen-Beauftragte sind beispielsweise Compliance-Leiter, Datenschutzbeauftragter, Rechtsberater, Finanzdirektor oder Auditverantwortlicher. Diese Personen können neben ihrer Funktion für die interne Meldestelle auch andere Aufgaben haben. Wichtig ist jedoch sicherzustellen, dass diese Aufgaben keine Interessenkonflikte verursachen und sie unabhängig handeln können (gemäß § 15 Absatz 1 HinSchG).
4. Geschäftsführer oder Personalverantwortliche können aufgrund möglicher Interessenkonflikte grundsätzlich nicht als Meldestellen-Beauftragte fungieren.Darüber hinaus müssen die Meldestellenbeauftragten gemäß § 15 Absatz 2 HinSchG über erforderliches Fachwissen verfügen und gegebenenfalls in Bezug auf ihre Verantwortung geschult werden. Alternativ dazu können externe Dienstanbieter zur Implementierung einer internen Meldestelle beauftragt werden.
5. Einhaltung der Bearbeitungsfristen gemäß § 17 HinSchG:Innerhalb von 7 Tagen muss dem Hinweisgeber bestätigt werden, dass seine Meldung eingegangen ist. Spätestens innerhalb von 3 Monaten nach Bestätigung des Eingangs der Meldung muss der Hinweisgeber über geplante oder bereits ergriffene Folgemaßnahmen sowie deren Gründe informiert werden.
6. Umsetzung angemessener Folgemaßnahmen durch zuständige Person oder Abteilungen im Unternehmen gemäß § 18 HinSchG:Mögliche Maßnahmen können interne Untersuchungen, Schritte zur Problemlösung, Weiterleitung an andere Kanäle oder Verfahren für Meldungen sowie Abschluss des Verfahrens aufgrund unzureichender Beweise oder anderer Gründe sein. In bestimmten Fällen kann auch eine zuständige Behörde eingeschaltet werden.
7. Dokumentation der Meldungen und Datenaufbewahrung:Alle eingehenden Meldungen müssen gemäß den Vertraulichkeitsanforderungen in Übereinstimmung mit § 11 HinSchG dokumentiert werden. Die Art der Dokumentation hängt davon ab, über welchen Kanal die Meldung eingegangen ist. Das gewählte System sollte geeignete Anwendungen haben, um sowohl die Meldungen als auch die darauf folgenden Maßnahmen zu dokumentieren, um gegebenenfalls als Beweismittel verwendet werden zu können. Die Dokumentation muss 3 Jahre nach Abschluss des Verfahrens gelöscht werden. In Ausnahmefällen können die Daten länger aufbewahrt werden, wenn dies erforderlich und angemessen ist, um den Anforderungen des HinSchG oder anderer gesetzlicher Bestimmungen gerecht zu werden.
8. Informationspflicht über Meldeverfahren:Unternehmen müssen gemäß § 13 Absatz 2 HinSchG Informationen über alternative externe Meldewege an zuständige Behörden sowie relevante Meldeverfahren bereitstellen.

• Betriebsräte haben gemäß § 80 Absatz 2 Betriebsverfassungsgesetz (BetrVG) einen Anspruch auf Unterrichtung vor der geplanten Einrichtung einer internen Meldestelle. 
• Bei der Frage ob ein Hinweisgebersystem überhaupt eingerichtet werden soll, hat der Betriebsrat kein Mitbestimmungsrecht.
• Bei der Frage des „Wie“, also im Hinblick auf die Ausgestaltung von Meldekanälen und Meldeverfahren könnten Mitbestimmungsrechte des Betriebsrats ausgelöst werden. Insbesondere das Mitbestimmungsrecht aus § 87 Absatz 1 Nummer 6 BetrVG, nämlich im Falle der Einrichtung und Anwendung technischer Einrichtungen, kommt in Betracht, sofern die Identifikation des Hinweisgebers möglich ist.
• Sofern der Arbeitgeber ein über die gesetzlichen Vorgaben hinausgehendes Verfahren zur Meldung und zum Umgang mit Verstößen einführt (bspw. ein Verhaltenskodex, Compliance-Richtlinien etc.), wird in der Regel auch ein Mitbestimmungsrecht aus § 87 Absatz 1 Nummer 1 BetrVG zu bejahen sein, weil Fragen der Ordnung des Betriebs und des Verhaltens der Beschäftigten im Betrieb betroffen sind. 
• Beteiligungsrechte des Betriebsrats ergeben sich auch aus §§ 96 ff. BetrVG hinsichtlich Schulungsmaßnahmen für die im Unternehmen zuständigen Fallbearbeiter und/oder für die Beschäftigten. 

Daher empfiehlt sich die frühzeitige Einbindung des Betriebsrats im Rahmen eines Gesprächs.

Die Person muss unabhängig sein und darf keine Interessenkonflikte haben. Bei kleineren Betrieben könnten beispielsweise der Leiter der Compliance-Abteilung oder ein Integritätsbeauftragter mit dieser Aufgabe betraut werden. Wir empfehlen eine externe "Ombudsperson" zu wählen, um Unabhängigkeit und Interessenskonflikte zu gewährleisten.

Die Person muss erforderliche Fachkenntnisse haben. Diese sind nicht genau definiert, aber es wird erwartet, dass sie fundierte Kenntnisse in der Beurteilung von geheimhaltungspflichtigen Informationen zur Datenverarbeitung besitzt und im Umgang mit Whistleblowing geschult wurde.

Für kleine oder mittlere Unternehmen stellt sich die Frage ob es tatsächlich effektiv ist, eine interne Person für das Bearbeiten von Hinweisen zu betrauen. Meist ist es effizienter einen erfahrenen externen Ombudsmann damit zu beauftragen.

Obwohl das Gesetz nicht zwingend dazu verpflichtet, ist es empfehlenswert auch anonym eingehende Meldungen zu bearbeiten (§ 16 HinschG).

Der Whistleblowing-Report von 2021 hat aufgedeckt, dass 73,2% der Informanten bevorzugen anonym zu bleiben. Denn viele Informanten befürchten Repressalien bei Enthüllungen ihrer Identität.

Viele Organisationen erkennen bereits die Vorteile anonymer Meldewege und nutzen diese zur Steigerung der Anzahl wertvoller Informationen.

Über das Hinweisgebersystem werden viele verschiedene Daten gesammelt und verarbeitet. Dabei handelt es sich in der Regel um personenbezogene Daten im Sinne von Artikel 4 Nummer 1 der Datenschutz-Grundverordnung (DSGVO). Die Daten einer Meldung beinhalten Informationen über den Hinweisgeber selbst, Angaben zum gemeldeten Sachverhalt einschließlich beschuldigter und betroffener Personen sowie Zeugen, sowie interne Ermittlungsdaten wie IT-Systeme, Datenbanken, Korrespondenz, E-Mails und sachverhaltsaufklärende Interviews. Folgende Punkte sollten besonders beachtet werden:

• Externe Dienstleister, die Hinweise entgegennehmen, müssen zuverlässig sein und garantieren können, dass sie den Datenschutz und die Geheimhaltung wahren.
• Der Betreiber einer internen Meldestelle muss sicherstellen, dass seine Vertrauensperson keine Interessenkonflikte hat und über Integrität, Vertraulichkeit und Unabhängigkeit verfügt. Bei der Implementierung eines Hinweisgebersystems müssen datenschutzfreundliche Techniken angewendet werden (Artikel 25 DSGVO).
• Wenn ein Online-Meldeformular oder E-Mail für Meldungen genutzt wird, muss eine sichere End-zu-End-Verschlüsselung gewährleistet oder ermöglicht sein.
• Eine Weitergabe von Informationen über die Identität des Hinweisgebers ist nur erlaubt, wenn diese für die Durchführung von Folgemaßnahmen notwendig ist und der Hinweisgeber seine Einwilligung gegeben hat.
• Spätestens nach Sicherstellung relevanter Beweise im Rahmen eines ersten Gesprächs mit den Beschuldigten sollten Arbeitgeber ihrer Informationspflicht nachkommen.
• Die Einrichtung eines Hinweisgebersystems erfordert die Durchführung einer Datenschutz-Folgenabschätzung (DSFA), um potentiell hohe Risiken für betroffene Personen zu erkennen und einzuschränken. Der Datenschutzbeauftragte sollte dabei eingebunden werden.

Laut dem Whistleblowing Report von 2021 haben über 50% der befragten Unternehmen Hinweise erhalten. Unternehmen mit einer Belegschaft von über 250 Mitarbeitern erhielten im Schnitt 65 Meldungen im Jahr, bei Unternehmen mit 20 bis 49 Mitarbeitern waren es nur 16 Meldungen. Bei den untersuchten Unternehmen erwies sich fast die Hälfte der Meldungen als aussagekräftig und wertvoll.

Angesichts der beträchtlichen Kosten für die Entwicklung einer eigenen Lösung eines Meldesystems, das allen gesetzlichen Anforderungen entspricht, lohnt sich eine interne Lösung nur für sehr große Unternehmen.

Für kleine und mittelständische Unternehmen ist es in der Regel sinnvoller und kostengünstiger, auf einen extern betriebenen Service zurückzugreifen. Interne und kostengünstige Lösungen für Meldekanäle können gegen das Vertraulichkeitsgebot des Hinweisgeberschutzgesetzes verstoßen

Schadensersatzanspruch besteht nach Vergeltungsmaßnahmen und falscher Meldung.

Nach dem Gesetz ist es verboten, der Person, die den Hinweis gegeben hat, Repressalien aufzuerlegen. Wenn gegen dieses Verbot verstoßen wird, hat die hinweisgebende Person gemäß § 37 HinSchG Anspruch auf Schadensersatz.

Um zu verhindern, dass die hinweisgebende Person unüberlegte Meldungen abgibt ohne vorherige genaue Prüfung der Informationen durchzuführen, regelt § 38 HinSchG eine Pflicht zur Zahlung von Schadensersatz seitens der hinweisgebenden Person. Diese Pflicht tritt ein im Falle einer falschen Meldung, wenn ein Schaden aus vorsätzlicher oder grob fahrlässiger Mitteilung oder Offenlegung falscher Informationen entstanden ist.

Bei Ordnungswidrigkeiten wird von Seiten des Gesetzes eine Geldstrafe festgelegt. Diejenige Person begeht eine Ordnungswidrigkeit gemäß § 40 HinSchG, die unrichtige Information offenlegt.

Es handelt sich auch um eine Ordnungswidrigkeit, wenn im Unternehmen, trotz Verpflichtungen, keine interne Meldestellen eingerichtet und betrieben werden, eine Meldung behindert oder trotz des Verbots Repressalien ergreift

Im Übrigen liegt ebenfalls eine Ordnungswidrigkeit vor, wenn die Vertraulichkeit nicht gewahrt wird. Es spielt dabei keine Rolle, ob dies vorsätzlich oder fahrlässig geschieht.

Verstöße gegen die grundlegenden Vorschriften des HinSchG werden gemäß § 40 HinSchG als Ordnungswidrigkeiten bestraft.

Die Höhe der Geldstrafe hängt von der Art des Verstoßes ab: Wer eine Meldung oder die nachfolgende Kommunikation verhindert (oder es versucht), wer eine unzulässige Vergeltungsmaßnahme ergreift (oder es versucht) oder wer vorsätzlich oder fahrlässig das Gebot zur Vertraulichkeit missachtet, kann mit einer Geldstrafe von bis zu 50.000 Euro belegt werden. Der Bußgeldrahmen von bis zu 50.000 Euro gilt für Führungskräfte in Unternehmen.

In bestimmten Situationen im Zusammenhang mit der Behinderung einer Meldung oder bei einem Verstoß gegen das Vertraulichkeitsgebot können sich für Unternehmen selbst (juristische Personen und Personengesellschaften) aufgrund eines Hinweises auf §30 Absatz 2 Satz 3 des Gesetzes über Ordnungswidrigkeiten Strafen verzehnfachen und somit bis zu 500.000 Euro betragen.

Bei fahrlässiger Missachtung des Gebots zur Vertraulichkeit droht eine Geldbuße von bis zu 10.000 Euro.

Unternehmen, die ihrer Pflicht zur Einführung und Nutzung einer internen Meldestelle nicht nachkommen, riskieren eine Geldstrafe von bis zu 20.000 Euro.

Diese Bestimmungen bezüglich der Bußgelder treten erst am 02. Dezember 2023 in Kraft, wenn keine interne Meldemöglichkeit eingerichtet wurde oder diese nicht genutzt wird. Bis dahin werden also keine Geldstrafen wegen fehlender Einrichtung oder Nichtnutzung verhängt.

Die übrigen oben genannten Bußgelder gelten jedoch bereits seit 02. Juli 2023.

Unternehmen ohne Whistleblower-System riskieren zudem, dass Informationen an Behörden oder die Öffentlichkeit gelangen, was zu Rufschädigung und Haftungsrisiken für das Unternehmen führen kann. Aus diesem Grund ist es im Interesse des Unternehmens wichtig, Kenntnisse von Missständen zu erlangen, bevor Ermittlungsbehörden oder Medien davon erfahren und tätig werden.

Der Markt bietet mittlerweile verschiedene Anbieter von Meldesystemen an.

Die Immerce Consulting GmbH ist nicht nur als Datenschutzbeauftragter tätig, sondern bietet Ihnen auch ein Hinweisgebersystem an. Als externer Datenschutzbeauftragter und Informationssicherheitsbeauftragter verfügen wir über das Fachwissen, um Ihnen ein effektives und DSGVO-konformes System für Hinweisgeber anzubieten.