Hinweisgeberschutzgesetz: Was Organisationen bei Whistleblowing beachten müssen

Julian Assange, Edward Snowden, Frances Haugen von Facebook – wer kennt sie nicht? Bei großen Organisationen und Einrichtungen kommt es immer wieder zu medienwirksamen Whistleblowing-Affären. Doch auch bei kleineren Organisationen gibt es Hinweisgeber:innen. Laut einer Statistik von Navex Global haben 2019 fünf von 1.000 Mitarbeitenden im europäischen Raum einen anonymen Hinweis abgegeben.

Genau diese Hinweisgeber:innen gilt es zu schützen, damit Missstände aufgedeckt werden können. Daher hat die Europäische Union die „Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ erlassen. Ab dem 17. Dezember 2021 gilt die europäische Richtlinie auch für deutsche Organisationen.

Wir haben für Sie die aktuelle Rechtslage und die Zielsetzung der Richtlinie zusammengefasst und werfen einen Blick auf die Auswirkungen auf Organisationen und die Einrichtung von Hinweiskanälen. 

Bereits 2019 hat der Rat der Europäischen Union die „Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ verabschiedet. Die Mitgliedsstaaten hatten zwei Jahre Zeit, um die Richtlinie in nationales Recht umzusetzen und ergänzende Regelungen zu erlassen. Die zwei Jahre laufen am 17. Dezember ab und in Deutschland gibt es bisher lediglich einen Gesetzesentwurf zum Hinweisgeberschutzgesetz. Dass die Frist noch eingehalten wird, ist unwahrscheinlich.

Was gilt also? Auch ohne Umsetzung ins deutsche Recht gilt die europäische Richtlinie für Organisationen mit mind. 50 Mitarbeitenden, alle Unternehmen im Finanzdienstleistungsbereich und öffentliche Arbeitgeber ab dem 17. Dezember.

Bisher sind allerdings nur Hinweise zu Verstößen gegen europäisches Recht betroffen. Erst wenn das Hinweisgeberschutzgesetz verabschiedet ist, erweitert sich der Geltungsbereich auch auf deutsches Recht. 

Organisationen, die von der europäischen Richtlinie betroffen sind, müssen ein sicheres internes Meldesystem einrichten, das die Vertraulichkeit der Meldenden wahrt. Über dieses Meldesystem sollten die Mitarbeitenden im Anschluss informiert werden. Dafür sollten folgende Informationen bereitgestellt werden:

• An wen wird die Meldung gerichtet?
• Wer hat Zugriff auf die Meldung?
• Wie wird mit Rückfragen verfahren?
• Innerhalb welcher Frist erfolgt eine Rückmeldung?
• Datenschutz-Informationen

Die entsprechenden Prozesse müssen Organisationen natürlich auch einführen. Der Ablauf eines derartigen Prozesses beginnt bei der Dokumentation und der Überprüfung der Stichhaltigkeit der eingehenden Meldung. Innerhalb von sieben Tagen muss zudem eine Eingangsbestätigung verschickt werden. Im Anschluss sind entsprechende Folgemaßnahmen wie z. B. interne Untersuchungen einzuleiten. Außerdem müssen Unternehmen innerhalb von drei Monaten auf eine Meldung Rückmeldung geben – sofern diese nicht anonym erfolgt ist.

Eingehende Hinweise und den Umgang damit sollte die Personalabteilung vor dem Hintergrund der Beweislastumkehr umfassend dokumentieren. So ist nachweisbar, dass mögliche Disziplinarmaßnahmen nicht mit etwaigen Hinweisen zusammenhängen.

Außerdem muss die Verarbeitung personenbezogener Daten entsprechend der DSGVO erfolgen. Dazu müssen Organisationen Zweckbindung, datenschutzfreundliche Voreinstellungen, Datenminimierung und Löschfristen beachten sowie ihr VVT anpassen.

Bei der Einführung von Systemen sollten Organisationen zudem Informations- und Mitbestimmungsrechte der zuständigen Personalvertretung bedenken. 

Bei der Einrichtung von Meldesystemen sollten Organisationen einige Punkte beachten. Zum einen sollte es möglich sein, Hinweise anonym zu geben. Für den Vorgang nicht benötigte Daten sollten gar nicht erst erhoben oder spätestens dann gelöscht werden, wenn ersichtlich ist, dass die Daten nicht benötigt werden.

Auch das System sollte sorgfältig ausgewählt werden. Prinzipiell gibt es verschiedene mögliche Meldewege:

• Telefonisch
• Schriftlich (Mail/Brief)
• Persönlich
• Per Portal

Die Hinweisgeber:innen sollten dabei wählen können, ob sie Hinweise schriftlich oder mündlich übermitteln wollen. Außerdem sollten die Kanäle datenschutzkonform und jederzeit erreichbar sein sowie Hilfestellungen in den relevanten Sprachen zur Verfügung stellen.

Bei der Bearbeitung der Hinweise sollten Organisationen darauf achten, dass nur entsprechend geschulte und befugte Mitarbeitende auf die Informationen zugreifen können.

Bei Organisationen, die effektive und leicht zu nutzende Meldesystemen einrichten, sind die Chancen größer, dass sich Hinweisgeber:innen zunächst an die Organisation und nicht an die Öffentlichkeit wenden, um auf Missstände aufmerksam zu machen. So können Organisationen Risiken früh erkennen und Finanz- und Reputationsschäden minimieren.