Das neue Hinweis­geberschutz­gesetz – 2. Referen­tenentwurf am 13.04.2022 ver­öffentlicht

Das BMJ hat am 13.04.2022 einen 2. Referentenentwurf zur Umsetzung der EU-Whistleblower-Richtlinie veröffentlicht. Es wird erwartet, dass das Gesetz noch bis Ende des Jahres verabschiedet und in Kraft treten wird. Für viele Unternehmen begründet es neue Pflichten und Herausforderungen und die Zeit wird knapper.

Die EU-Whistleblower-Richtlinie war bis zum 17.12.2021 in nationales Recht umzusetzen. Dies ist jedoch in Deutschland bisher noch nicht geschehen. Zwischenzeitlich wurde auch schon ein Vertragsverletzungsverfahren von der EU-Kommission gegen Deutschland eingeleitet. Es ist daher damit zu rechnen, dass der am 13.04.2022 vorgelegte Referentenentwurf zügig unter Berücksichtigung diverser Stellungnahmen zum Entwurf vom Gesetzgeber auf dem Weg gebracht wird. Der 2. Referentenentwurf geht – wie schon sein Vorgänger – in Teilen über die Anforderungen der EU-Richtlinie hinaus. Nach dieser sind nur Verstöße gegen das EU-Recht vom Anwendungsbereich umfasst. Der nunmehr veröffentlichte Referentenentwurf erstreckt die Anwendung des Hinweisgeberschutzgesetz-Entwurfs (HinSchG-E) auch auf nationale Vorschriften.

Ziel des Hinweisgeberschutzgesetzes

Ziel des Gesetzes ist der Schutz hinweisgebender natürlicher Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder in deren Vorfeld Informationen über Verstöße gegen EU-Recht oder nationalem Recht entsprechen der Aufzählung in § 2 HinSchG-E erlangt haben und diese entsprechend dem Gesetz melden (§ 1 HinSchG-E). Umgekehrt werden aber auch die Personen geschützt, die Gegenstand des Hinweises oder von dem Hinweis betroffen sind.

Betroffene Unternehmen und öffentliche Arbeitgeber

Nach dem Entwurf sind nicht nur Unternehmen der Privatwirtschaft, sondern auch öffentliche Arbeitgeber, also Bund und Länder, vom Anwendungsbereich umfasst. Der Entwurf verwendet hierzu den Begriff des Beschäftigungsgebers oder im Zusammenhang mit öffentlichen Arbeitgebern ergänzend den Begriff der Organisationseinheit. Grundsätzlich sind danach künftig alle Beschäftigungsgeber oder Organisationseinheiten mit mindestens 50 Beschäftigten dazu verpflichtet, mindestens eine interne Meldestelle einzurichten und zu betreiben, an die sich Beschäftigte wenden können. Für Unternehmen mit 50 bis 249 Beschäftigte gilt die Verpflichtung erst ab dem 17.12.2023.

Mehrere private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können unter anderem für die Entgegennahme eine gemeinsame Stelle einrichten und betreiben. Diese Regelung bezweckt die Begünstigung von Konzernunternehmen und bietet die Möglichkeit, innerhalb eines Konzerns nur eine Meldestelle einrichten und betreiben zu müssen. Allerdings weicht hier der Referentenentwurf von der Auffassung der EU-Kommission zur Whistleblower-Richtlinie ab. Diese ist der Auffassung, dass nach der Richtline keine gemeinsame Meldestelle eingerichtet werden kann, sondern jedes Unternehmen eine eigene interne Meldestelle benötigt. Hier muss die weitere Entwicklung im Auge behalten werden.

Pflichten nach dem Referentenentwurf

Wesentliche Pflicht nach dem Gesetzentwurf und der Richtlinie ist die Implementierung interner Meldesysteme über die Beschäftigte und zumindest die dem Unternehmen überlassenen Leiharbeiter*innen Meldungen über Rechtsverstöße des Unternehmens abgeben können. Ob sich dies auch auf externe Hinweise erstreckt, kann das jeweilige Unternehmen hingegen selbst bestimmen. Das Hinweisgebersystem muss dabei gewisse Mindestanforderungen begründen:

• Einfache, leichte und uneingeschränkte Zugänglichkeit für alle Beschäftigten, insbesondere Möglichkeit der mündlichen Meldung und in Textform,
• Bearbeitung durch unabhängige und qualifizierte Person,
• Schutzmaßnahmen zugunsten des Hinweisgebers und diesen unterstützenden Personen,(Vertraulichkeit und Anonymität, Datenschutz),
• Eingangsbestätigung (Frist: sieben Tage),
• Prüfung der Meldung,
• Ergreifen von Folgemaßnahmen (z.B. interne Ermittlungen, Abgabe an zuständige Behörde),
• Rückmeldung (Frist: drei Monate nach Eingangsbestätigung), insbesondere Mitteilung geplanter oder bereits ergriffener Maßnahmen.

Dem Hinweisgeber bleibt es unbenommen, Verstöße extern oder intern zu melden. Wurden die Voraussetzungen des Gesetzes eingehalten und insbesondere wahrheitsgemäße Angaben gemacht, ist der Hinweisgeber vor Repressalien geschützt. Flankierend wird eine Beweislastumkehr zulasten des Unternehmens eingeführt. Im Streitfall hat das Unternehmen zu beweisen, dass eine Sanktion (z.B. Abmahnung/Kündigung) nicht im Zusammenhang mit einem Hinweis dieses Beschäftigten besteht.

Umgekehrt ist die hinweisgebende Person zum Schadensersatz verpflichtet, soweit die Meldung oder Offenlegung vorsätzlich oder grob fahrlässig falsch war. In diesem Fall ist er auch vom Vertraulichkeitsgebot ausgenommen.

Implikationen in Zusammenhang mit der Einrichtung eines Hinweisgeberschutzsystems

Die Einrichtung eines Hinweisgeberschutzsystems tangiert auch die Mitbestimmung im Unternehmen und den Datenschutz. Die Implementierung und Unterhaltung des Hinweisgeberschutzes kann Mitbestimmungsrechte des Betriebsrats auslösen, z.B. wenn die Identität des Hinweisgebers erfasst wird, da hierüber eine Verhaltenskontrolle möglich ist. Insoweit dürfte ein Mitbestimmungsrecht des Betriebsrats gemäß § 87 Abs. 1 Nr. 6 BetrVG bestehen. Im Übrigen könnten aber viele Regelungen mitbestimmungsfrei sein, soweit die Ausgestaltung des Hinweisgebersystems bereits gesetzlich festgelegt ist. Dennoch sollte jede Regelung auf ihre mitbestimmungsrechtlichen Konsequenzen hin überprüft werden.

Da im Rahmen des Hinweisgeberschutzsystems unterschiedliche und gerade auch sensible personenbezogene Daten erfasst werden, ist bei der Implementierung auch auf die Einhaltung datenschutzrechtlicher Vorgaben zu achten. Dies gilt im besonderen Maße, wenn strafrechtlich relevante Verstöße im Raum stehen. Auch hinsichtlich datenschutzrechtlicher Implikationen sollte der Betriebsrat erforderlichenfalls beteiligt werden.

Verstöße sind bußgeldbewehrt

Das Hinweisgeberschutzgesetz sieht in § 40 HinSchG-E ein Bußgeld von bis zu EUR 100.000 vor, wenn

• die Vertraulichkeit vorsätzlich oder fahrlässig nicht gewahrt wird,
• eine Meldung oder eine auf eine Meldung folgende Kommunikation behindert wird oder dies versucht wird,
• eine Repressalie gegen die hinweisgebende Person ergriffen oder dies versucht wird.

Weitere Fälle sind mit einem Bußgeld von bis zu EUR 20.000 bewährt (wissentlich eine unrichtige Information offenlegen, kein Einrichten und Betreiben einer internen Meldestelle).

Praxishinweis: Das Hinweisgeberschutzgesetz befindet sich langsam, aber sicher auf der Zielgeraden. Unternehmen, die sich noch nicht mit dieser Verpflichtung beschäftigt haben, sollten diese nunmehr in Angriff nehmen, da eine Implementierung einen gewissen zeitlichen Aufwand mit sich bringt. Hinsichtlich der konkreten Anforderungen werden sich auch vermutlich keine großen Änderungen mehr ergeben. Die Einrichtung und der Betrieb einer internen Meldestelle kann auch auf Dritte ausgelagert werden, z.B. Rechtsanwälte, deren Verschwiegenheitspflicht einen gewissen Charme bietet. Die Verantwortlichkeit verbleibt aber auch hier beim Unternehmen als Verpflichteten.