Hinweisgeberschutzgesetz: Unternehmen in der Pflicht

Am 02. Juli 2023 war es endlich soweit: Das lang erwartete Hinweisgeberschutzgesetz (HinSchG) trat in Deutschland in Kraft. Nach einigen Anläufen und Kompromissen zwischen Bund und Ländern ist das Gesetz nun verbindlich für Unternehmen und Organisationen.

Doch was bedeutet das neue Gesetz für Unternehmen und welche Schritte müssen Sie jetzt unternehmen? 

Zunächst einmal ist wichtig zu wissen, dass Unternehmen unterschiedliche Fristen zur Umsetzung des Hinweisgeberschutzgesetzes haben. Hat Ihr Unternehmen 50 bis 249 Mitarbeitenden gilt eine Schonfrist bis zum 17. Dezember 2023. Gibt es 250 oder mehr Beschäftigte, gilt das Gesetz bereits und Sie hätten es bis zum 02. Juli 2023 umsetzen müssen. 

Das Hinweisgeberschutzgesetz legt eine Reihe von Anforderungen fest, die Unternehmen erfüllen müssen:

Unternehmen und Organisationen mit mehr als 50 Beschäftigten müssen sichere interne Hinweisgebersysteme installieren und betreiben. „Whistleblower:innen“ müssen dabei die Möglichkeit erhalten, Hinweise mündlich, schriftlich oder persönlich abzugeben. Dies gewährleistet eine flexible und barrierefreie Meldung von Verstößen.

Existiert bereits eine Meldestelle, sollten Sie unbedingt prüfen, ob diese im Einklang mit den Regelungen des neuen Gesetzes ist. Achten Sie dabei vor allem auf die Anforderungen an die Personen, die sich um die Meldestelle kümmern. Diese müssen unabhängig sein, dürfen keinen Interessenskonflikt haben und müssen zur Geheimhaltung verpflichtet sein sowie die notwendige Fachkunde vorweisen. 

Neben der Einrichtung einer internen Meldestelle schreibt das HinSchG auch Fristen vor. So muss die Meldestelle beispielsweise innerhalb von sieben Tagen den Erhalt eines Hinweises bestätigen. Innerhalb von drei Monaten muss die Meldestelle die Hinweisgebenden über ergriffene Maßnahmen informieren.

Gleichzeitig gilt: Jegliche Verarbeitung von Hinweisen im Rahmen der Meldestelle muss datenschutzkonform erfolgen und Hinweisgebende geschützt werden. Dafür benötigen Unternehmen funktionierende Prozesse. Zunächst müssen Sie klären, wer für die Bearbeitung von eingehenden Meldungen zuständig sein soll. Achten Sie hier unbedingt auf mögliche Interessenkonflikte. Zusätzlich müssen Sie diese Personen entsprechend schulen.

Auch den konkreten Umgang mit Meldungen sollten Sie regeln. Nach welchen Kriterien wird beispielsweise die Stichhaltigkeit einer Meldung geprüft? Welche Folgemaßnahmen sind in welchen Fällen möglich? Wie soll mit Hinweisgebenden kommuniziert werden? Und wie erfolgt die erforderliche Dokumentation gesetzeskonform? 

Beachten Sie: Unternehmen mit einem Betriebsrat sollten eine längere Vorlaufzeit einplanen. Dem Rat stehen bei der Ausgestaltung der Meldestelle Mitbestimmungsrechte zu. Dazu sollten Sie ggf. eine Betriebsvereinbarung abschließen.

Sie müssen zudem Ihre Mitarbeitenden umfassend informieren und sollten genau erklären, wie die interne Meldestelle funktioniert und ggf. welche Maßnahmen zum Schutz der Personen ergriffen werden. Zusätzlich müssen Sie darüber informieren, dass Mitarbeitende auch externe Meldestellen, z. B. vom Justizministerium, nutzen dürfen.

Grundsätzlich ist es natürlich im Sinne des Unternehmens und auch des Gesetzes, dass Mitarbeitende und weitere potenzielle Hinweisgebende die interne Meldestelle nutzen. Dadurch haben Sie die Möglichkeit, direkt gegenzusteuern und Probleme intern zu lösen. Außerdem kann so eine behördliche Untersuchung vermieden werden. Daher ist es besonders wichtig, transparent zu kommunizieren und Vertrauen in die Meldestelle aufzubauen. Auch eine intuitive Gestaltung und leichte Erreichbarkeit können dazu beitragen, dass primär interne Kanäle genutzt werden. 

Die Verarbeitung personenbezogener Daten in der internen Meldestelle birgt erhebliche Risiken – nicht nur für Hinweisgebende, sondern auch für die Personen, die vom Inhalt der Meldungen betroffen sind. Daher macht es die DSGVO erforderlich, eine Datenschutz-Folgenabschätzung vor Inbetriebnahme der internen Meldestelle zu erstellen und zu dokumentieren. Hierzu muss die/der Datenschutzbeauftragte mit hinzugezogen werden.

Für die Arbeit der internen Meldestelle sollten neben einer Datenschutzerklärung für Hinweisgebende die gesetzlich vorgeschriebenen Einwilligungserklärungen datenschutzkonform vorbereitet werden.

Nicht zuletzt sollte man die Verarbeitungen im Verzeichnis der Verarbeitungstätigkeiten dokumentieren, ggf. die Auftragsverarbeitungen klären und den Prozess, der die gesetzlich vorgeschriebenen Löschungen umsetzt, dokumentieren. 

Die Umsetzung des Hinweisgeberschutzgesetzes ist komplex:

• Interne Meldestellen technisch, organisatorisch und personell planen
• Auf Konformität mit HinSchG und Datenschutz prüfen
• Beschäftigte entsprechend schulen
• Den Betriebsrat und das Datenschutz-Team einbeziehen
• Mitarbeitende und mögliche Hinweisgebende informieren
• Vertrauen in die Meldestelle etablieren 

Die Umsetzung des Hinweisgeberschutzgesetzes erfordert also eine sorgfältige Planung und Implementierung, um den Schutz von „Whistleblower:innen“ zu gewährleisten und gleichzeitig die Interessen der Unternehmen zu wahren.

Wenn Sie die Anforderungen nicht ohnehin bereits umgesetzt haben, sollten Sie dringend die notwendigen Maßnahmen ergreifen. Zwei Monate sind nicht viel Zeit, um alle Prozesse zu etablieren und alle Beteiligten ins Boot zu holen. 

Im Folgenden haben wir die wichtigsten Regelungen des Hinweisgeberschutzgesetzes kompakt für Sie zusammengefasst.

Einer der größten Kritikpunkte am Hinweisgeberschutzgesetz ist der Umgang mit anonymen Meldungen. Organisationen sind nicht gesetzlich verpflichtet, das Einreichen anonymer Meldungen systemseitig zu ermöglichen.  Das erhöht die Hemmschwelle für hinweisgebende Personen allerdings ungemein. In der Folge könnten weniger Meldungen eingehen, weil Beschäftigte trotz des Hinweisgeberschutzgesetzes Repressalien fürchten. Daher fordern einige Stelle eine verpflichtende Einrichtung von anonymen Meldesystemen.

Zusätzlich wird die eingeschränkte Erweiterung auf nationales Recht kritisiert. Einerseits ist es begrüßenswert, dass nicht nur Verstöße gegen EU-Recht gemeldet werden können. Andererseits bleiben Missstände in vielen Bereichen außen vor. Zudem bedeutet das für hinweisgebende Personen, dass sie vor einer Meldung erst abgleichen müssen, ob der beobachtete Verstoß wirklich in den Geltungsbereich fällt. 

Verantwortliche sollten schon jetzt mit der Einrichtung einer internen Meldestelle beginnen und klare Vorgaben erlassen, wie mit Meldungen von Whistleblower:innen umzugehen ist. Ob sie die Meldestelle selbst betreiben oder an Dritte outsourcen, ist Organisationen dabei freigestellt.

Wir haben für Sie zusammengefasst, welche Vor- und welche Nachteile das Outsourcen der internen Meldestelle für Organisationen mit sich bringt. 

Der wohl wichtigste Punkt für Organisationen: die Kosten. Bei einer outgesourcten Stelle fallen potenziell hohe Kosten an, die auf den ersten Blick höher erscheinen als bei einer internen Lösung. Hier muss allerdings bedacht werden, dass das Aufsetzen einer eigenen Meldestelle enorm viele Ressourcen bindet: Die Prozesse müssen bedacht, rechtlich geprüft und technisch angemessen umgesetzt werden. Organisationen sollten daher genau durchrechnen, welche Variante für sie kostengünstiger ist.

Hinzu kommt, dass sich Organisationen von externen Dienstleistungsunternehmen abhängig machen – beispielsweise bei der Bereitstellung von Daten im Fall der Verteidigung von Rechtsansprüchen. Hier sollten Organisationen genau darauf achten, ob es eine vertragliche Zusicherung der Datenübermittlung in einem gewissen Zeitraum gibt.

Gerade bei größeren Meldestellen, die von einer Vielzahl an Organisationen genutzt werden, steigt die Gefahr, dass diese zum Angriffsziel von gezielter Sabotage und Hackings werden oder dass sogenannte Trolls die Meldestelle missbrauchen. Achten Sie daher darauf, dass die von Ihnen gewählte Meldestelle die nötigen Sicherheitsmaßnahmen trifft. 

Ein großer Vorteil des Outsourcings ist, dass sich Organisationen nicht um die dafür benötigte Infrastruktur kümmern müssen. Die Server des Auftragsverarbeiters müssen nicht gewartet werden. Gleichzeitig verschlüsselt der Auftragsverarbeiter die Server mit einer entsprechenden Technologie. Durch Service- und Wartungsverträge kann so – ohne selbst besonderen technischen Aufwand betreiben zu müssen – ein hoher Schutz für hinweisgebende Personen gewährleistet werden.

Hinzu kommt, dass das eigene IT-Personal bei Wartungen etc. nicht zufällig Einsicht nehmen kann. Insgesamt ist das Berechtigungskonzept besser abbildbar, es entstehen keine internen Interessenskonflikte und Vertretungsregelungen stellen kein Problem dar.

Derartige Lösungen sind zudem meist flexibel und können erweitert werden durch eine Hotline oder andere Möglichkeiten der Kontaktaufnahme. Außerdem werden sie an die jeweilige Rechtsprechung angepasst – ohne, dass Sie sich gesondert informieren müssen. Auch branchenspezifische Anforderungen können einfach abgebildet werden. 

Bei einer outgesourcten Meldestelle erfolgt die Aufnahme der Hinweise rechts- und revisionssicher. In einigen Fällen findet durch das Dienstleistungsunternehmen bereits eine Vorbewertung statt und/oder die nötigen Folgemaßnahmen werden sofort eingeleitet.

Darüber hinaus erfolgen die Archivierung und Datenlagerung gemäß den Vorgaben – inklusive Löschkonzept. So werden alle Betroffenen geschützt.

Die Kosten für die Wartung und den Betrieb der Meldestelle sind dabei skalierbar und genau planbar. Außerdem können Organisationen mit einer rechtssicheren Umsetzung Bußgelder vermeiden.