I. Einleitung
Das Hinweisgeberschutzgesetz (HinSchG) musste einen steinigen Weg gehen, bis es zu der Verkündung in der aktuellen Fassung kam. Der erste Entwurf der gesetzlichen Regelung zur Umsetzung der EU-Richtlinie 2019/1937 vom 23. Oktober 2019 stammte Ende 2020 noch von der damaligen Justizministerin Christine Lambrecht. Nachdem die Umsetzungsfrist am 17. Dezember 2021 abgelaufen war und im Februar 2023 eine im Bundestag bereits angenommene Fassung des Gesetzesentwurfs vor dem Bundesrat scheiterte, konnte nunmehr eine mehrheitsfähige Regelung gefunden werden. Das HinSchG wurde am 2. Juni 2023 im Bundesgesetzblatt verkündet und tritt am 2. Juli 2023 in Kraft. Neben der bewegten Entstehungsgeschichte birgt das HinSchG für die breite Mehrheit der privaten wie öffentlichen Unternehmen in Deutschland konkrete Handlungsverpflichtungen. Insbesondere die zeitnahe Einführung von Hinweisgebersystem ist hier als dringende Verpflichtung für Unternehmen (bereits ab 50 Mitarbeiter) zu nennen.
II. Einrichtung interner und externer Meldestellen
Neu ist insbesondere die Verpflichtung für Unternehmen, interne Meldestellen für Compliance-Verstöße vorzuhalten.
a) Verpflichtung zur Einrichtung der internen Meldestelle
Unabhängig von der Unternehmensgröße sind insbesondere Wertpapierdienstleistungsunternehmen, Datenbereitstellungsdienste, Börsenträger, Institute im Sinne des § 1 Absatz 1b des Kreditwesengesetzes und Institute im Sinne des § 2 Absatz 1 des Wertpapierinstitutsgesetzes sowie Kapitalverwaltungsgesellschaften zu der Einrichtung einer internen Meldestelle verpflichtet (vgl. § 12 Abs. 3 HinSchG).
Andere Unternehmen, die bis zu 50 Mitarbeiter beschäftigen, trifft keine Verpflichtung zur Einrichtung einer internen Meldestelle.
Mehrere private Arbeitgeber mit in der Regel 50 bis 249 Beschäftigten können für die Entgegennahme von Meldungen und für die weiteren nach dem HinSchG vorgesehenen Maßnahmen eine gemeinsame Stelle einrichten und betreiben. Auf diese Weise sollen kleinere Unternehmen von größerem Umsetzungsaufwand entlastet werden.
Grundsätzlich steht es Unternehmen frei, die interne Meldestelle nicht selbst zu betrieben. Die interne Meldestelle kann auch durch einen externen Anbieter zur Verfügung gestellt werden. Dabei können Unternehmen auf Meldeplattformen oder auch auf Ombudspersonen, bspw. Rechtsanwälte, zurückgreifen.
b) Art des einzurichtenden Meldesystems
Das Meldesystem muss dabei vorsehen, das Meldungen grundsätzlich entweder mündlich oder in Textform erfolgen können. Dies können IT-gestützte Hinweisgebersysteme (ausreichend wäre wohl auch eine entsprechend eingerichtet E-Mail-Adresse) oder auch eine Whistleblower-Hotline ermöglichen. Auf Wunsch der hinweisgebenden Person müssen Unternehmen aber auch die Meldung mittels eines persönlichen Treffens ermöglichen. Das persönliche Treffen könnte allerdings auch im Rahmen einer Videokonferenz erfolgen.
Dabei muss die Einrichtung des Meldesystems dergestalt vorgenommen werden, dass sichergestellt ist, dass der hinweisgebenden Person keinerlei Repressalien oder Vergeltungsmaßnahmen drohen.
Eine Verpflichtung anonyme Meldungen zu ermöglichen besteht nicht. Sofern anonyme Meldungen eingehen, sind die internen Meldestellen allerdings auch in einem solchen Fall zur Bearbeitung der Meldung verpflichtet.
Bei der personellen Besetzung der internen Meldestelle ist der Arbeitgeber weitestgehend frei. Die mit den Aufgaben der internen Meldestelle beauftragte Person kann auch neben dieser Tätigkeit weitere Aufgaben wahrnehmen. Allerdings muss sichergestellt sein, dass keine Interessenkonflikte hinsichtlich der etwaigen sonstigen Tätigkeiten der beauftragten Person bestehen können. Insofern dürfte sich beispielsweise die Beauftragung einer Person aus dem Kreise der Geschäftsführung mit den Aufgaben der internen Meldestelle verbieten.
Die interne Meldestelle bestätigt der hinweisgebenden Person den Eingang der Meldung innerhalb von sieben Tagen. Die Prüfung des Sachverhalts umfasst insbesondere die sachliche Richtigkeit und die Frage, ob es sich um einen potentiellen Verstoß im Sinne des HinSchG handelt. Die Meldestelle ergreift sodann die notwendigen Folgemaßnahmen von interner Untersuchung bis Meldung bei den zuständigen Behörden.
Innerhalb von drei Monaten muss die Meldestelle die hinweisgebende Person darüber informieren, welche Maßnahmen in Folge ergriffen wurden, z. B. die Einleitung interner Untersuchungen oder die Weitergabe der Meldung an die zuständige Behörde.
Unternehmen, die von der Pflicht zur Einführung einer internen Meldestelle erfasst sind, müssen die Identität der Hinweisgebenden schützen und DSGVO-Vorgaben einhalten. Zudem müssen alle eingehenden Meldungen im Einklang mit den Vertraulichkeitspflichten dokumentiert werden (vgl. § 11 HinSchG). Die Dokumentationen der internen Meldestelle müssen drei Jahre nach Abschluss des Verfahrens gelöscht werden. Ausnahmen davon gelten bei entsprechenden gesetzlichen Anforderungen oder Verpflichtungen.
Neben der Einrichtung einer internen Meldestelle sind Unternehmen auch dazu verpflichtet, Anreize zu schaffen, damit hinweisgebende Personen bevorzugt die interne Meldestelle nutzen. So sollen Unternehmen leicht zugängliche und gut verständliche Informationen über die Nutzung der internen Meldestelle sowie über die konkret zuständige Aufsichtsbehörde an die Mitarbeiterinnen und Mitarbeiter ausgeben.
Mit der externen Meldestelle ist eine Einrichtung bei dem Bundesamt für Justiz gemeint, die somit nicht durch die einzelnen Arbeitgeber vorgehalten werden muss. Damit soll ein zu der internen Meldestelle gleichwertiger Meldeweg etabliert werden. Der hinweisgebenden Person steht es frei, an welche Stelle die Meldung gemacht wird. Allerdings sind die externen Meldestellen nicht zur Bearbeitung von anonymen Meldungen verpflichtet. Für die bereits bestehenden spezialisierten Meldestellen der Finanzdienstleistungsaufsicht (BaFin) sowie des Bundeskartellamts verbleibt es bei der Zuständigkeit mit den bereits etablierten Meldesystemen. Das HinSchG sieht zudem die Möglichkeit vor, dass die Bundesländer eigene Meldestellen etablieren.
III. Umsetzungsfrist für die Einrichtung einer internen Meldestelle
Die Vorlaufzeit, die den Unternehmen für die Umsetzung der gesetzlichen Verpflichtung gewährt wird, bestimmt sich grundsätzlich anhand der Unternehmensgröße.
Unternehmen, die regelmäßig mindestens 50 Mitarbeiter beschäftigen, sind zur Einrichtung einer internen Meldestelle bis zum 17. Dezember 2023 verpflichtet.
Die Verpflichtung zur Einrichtung einer internen Meldestelle trifft größere Unternehmen mit in der Regel mindestens 250 Mitarbeitern bereits ab dem 2. Juli 2023.
Für Verstöße von Unternehmensverantwortlichen gegen wesentliche Vorgaben des HinSchG droht ein Bußgeld von bis zu 50.000 EUR. Ein solcher Verstoß kann zudem ein Bußgeld gegen das Unternehmen in Höhe von bis zu 500.000 EUR auslösen.
Konkret droht Unternehmen, die ihre Pflicht zur Einführung sowie zum Betrieb einer internen Meldestelle nicht nachkommen, ein Bußgeld bis zu 20.000 EUR.
Allerdings tritt diese Bußgeldvorschrift, erst am 1. Dezember 2023 in Kraft. Solange wird also kein Bußgeld wegen fehlender Einrichtung oder fehlendem Betrieb verhängt.
V. Fazit und Praxisempfehlung
Nachdem nunmehr die gesetzlichen Neuerungen dargestellt wurden, stellt sich denklogisch die Frage: Was müssen Unternehmen jetzt konkret tun?
1. Analyse des Status Quo
Unternehmen sind gut beraten, nunmehr zunächst den aktuellen Sachstand der bereits existierenden Strukturen zu analysieren. Spontaner Aktionismus läuft hier regelmäßig Gefahr nicht alle rechtlichen Verpflichtungen abzudecken oder zu einer nicht unternehmensgerechten Lösung zu führen. Dazu gehört selbstverständlich zunächst die Prüfung, inwiefern das eigene Unternehmen zu weitergehenden Maßnahmen verpflichtet ist.
2. Prüfung der verschiedenen Durchführungswege
Wie bereits angeführt, sind Unternehmen nicht verpflichtet eine eigene interne Meldestelle vorzuhalten. Für kleinere Unternehmen besteht die Möglichkeit der Umsetzung der gesetzlichen Verpflichtung im Wege einer gemeinsamen Meldestelle. Zudem empfiehlt es sich die Auslagerung der Meldestelle auf einen professionellen Anbieter zu prüfen.
3. Konkrete Umsetzung der rechtlichen Vorgaben
Nach der konkreten Bedarfsanalyse kann sich die Umsetzung an dem ermittelten Ergebnis orientieren und so die tatsächlichen Umstände optimal berücksichtigen. Das Ergebnis wird hier bestenfalls von Unternehmen zu Unternehmen variieren.
4. Kommunikation innerhalb des eigenen Unternehmens
Die auf diese Weise gefundene Lösung kann nur funktionieren, wenn sie von den eigenen Mitarbeiterinnen und Mitarbeitern verstanden und akzeptiert wird. Eine intensive Kommunikation mit der eigenen Belegschaft ist zum einen der Schlüssel zur Vermeidung von Missverständnissen und zum anderen Teil des gesetzlichen Auftrags im Rahmen der Einführung einer internen Meldestelle.
5. Dauerhafter Betrieb und Fortentwicklung der Strukturen
Sobald das Meldesystem einmal implementiert ist, empfiehlt sich die Abläufe in regelmäßigen Abständen auf Sinnhaftigkeit und Effizienz zu überprüfen. Nur so können Erfahrung aus den ersten eingehenden Meldungen umgesetzt und eventuelle Schwachstellen nachgebessert werden.
Bei der fachkundigen Ermittlung und individuellen Umsetzung der gesetzlichen Anforderungen sind wir Ihnen gerne behilflich. Sprechen Sie uns einfach an.