Dr. Timo Handel, RA

Basics: Das Hinweisgeberschutzgesetz

Das Hinweisgeberschutzgesetz (HinSchG) wird drei Jahre alt! Dies nimmt der vorliegende Beitrag zum Anlass, um im Rahmen der Reihe CB-Basics einen Überblick über die für Unternehmen bzw. Beschäftigungsgeber wesentlichen Regelungen des Gesetzes zu geben.

I. Einführung

Das am 2. 7. 2023 in Kraft getretene HinSchG bezweckt den Schutz von hinweisgebenden Personen1, aber auch von Personen, die Gegenstand einer Meldung oder Offenlegung sind, also insbesondere eines Verstoßes ‚beschuldigter‘ Personen, sowie sonstiger Personen, die von einer Meldung oder Offenlegung betroffen sind, etwa als Zeugen (§ 1 Abs. 1 und 2 HinSchG).2

Vor diesem Hintergrund regelt es für Unternehmen eine Pflicht zur Einrichtung einer internen Meldestelle und von internen Meldekanälen (siehe II.) und trifft Vorgaben zum Umgang mit internen Meldungen (siehe III.). Zudem beinhaltet es diverse Schutzvorschriften für hinweisgebende und von Hinweisen betroffene Personen (siehe IV.).

Außerdem regelt das HinSchG die Einrichtung externer Meldestellen und deren Meldeverfahren (§§ 19 ff. HinSchG).3 Hinweisgebenden Personen lässt es – entgegen der bis zum Inkrafttreten des HinSchG ergangenen Rechtsprechung4 – die freie Wahl, ob sie einen Hinweis bzw. eine Meldung unternehmensintern an eine interne Meldestelle oder aber nach Außen gehend an eine externe Meldestelle im Sinne des Gesetzes erstatten (§ 7 Abs. 1 S. 1 HinSchG).5 Eine Offenlegung, also Mitteilung von Informationen über Verstöße gegenüber der Öffentlichkeit, etwa gegenüber der Presse und Medien, kommt hingegen nur subsidiär und unter den Voraussetzungen des § 32 HinSchG in Betracht.6

II. Die Pflicht zur Einrichtung einer internen Meldestelle und von Meldekanälen

Eine Pflicht zur Einrichtung einer internen Meldestelle, an die sich Beschäftigte7 wenden können, um eine Meldung bzw. Mitteilung von Informationen über Verstöße zu tätigen, besteht dem Gesetz zufolge für Unternehmen bzw. Beschäftigungsgeber8 mit in der Regel mindestens 50 Beschäftigten (siehe § 12 Abs. 1 S. 1 und 2 HinSchG).9 Dabei gelten auch Teilzeitkräfte als ‚ganze Beschäftigte‘.10 Eine Zurechnung von Beschäftigten im Konzern findet hingegen nicht statt.11 Die Schwelle von 50 Beschäftigten gilt nicht für die in § 12 Abs. 3 HinSchG genannten Unternehmen des Finanz- und Versicherungssektors, die bereits ab dem ersten Beschäftigten zur Einrichtung einer internen Meldestelle verpflichtet sind.

1. Organisation der internen Meldestelle

Bei der Organisation der internen Meldestelle lässt das Gesetz verpflichteten Beschäftigungsgebern die Wahl zwischen verschiedenen Möglichkeiten. Insoweit kann mit den Aufgaben der internen Meldestelle eine bei dem jeweiligen Beschäftigungsgeber beschäftigte Person, eine aus mehreren beschäftigten Personen bestehende Arbeitseinheit oder ein Dritter betraut werden. Dritte können beispielsweise auch externe Berater, insbesondere Rechtsanwälte, sein.12 Im Konzern soll nach strittiger Auffassung auch eine sogenannte zentrale Meldestelle, die bei einer anderen Konzerngesellschaft angesiedelt ist, als Dritter beauftragt werden können.13

Die mit den Aufgaben betrauten Personen können zusätzlich auch andere Aufgaben und Pflichten wahrnehmen, wenn dies nicht zu Interessenskonflikten führt (siehe § 15 Abs. 1 S. 2 und 3 HinSchG). Zudem müssen sie über die notwendige Fachkunde verfügen (§ 15 Abs. 2 S. 1 HinSchG).

2. Aufgaben der internen Meldestelle

Zu den Aufgaben der internen Meldestelle zählt das Betreiben der Meldekanäle (§ 16 HinSchG), das Führen des Verfahrens (§ 17 HinSchG) und das Ergreifen von Folgemaßnahmen (§ 18 HinSchG) nach Eingang einer Meldung (§ 13 Abs. 1 HinSchG).

Zudem haben Beschäftigungsgeber für Beschäftigte klare und leicht zugängliche Informationen über die Nutzung des internen Meldeverfahrens bereitzustellen (§ 7 Abs. 3 S. 2 HinSchG). Außerdem halten die internen Meldestellen für Beschäftigte klare und leicht zugängliche Informationen über externe Meldeverfahren und einschlägige Meldeverfahren von Organen, Einrichtungen oder sonstigen Stellen der Europäischen Union bereit (§ 13 Abs. 2 HinSchG). Insoweit können Beschäftigungsgeber auf Informationen der externen Meldestellen, insbesondere der externen Meldestelle des Bundes, zugreifen oder auf diese verweisen (§ 24 Abs. 4 HinSchG). In der Praxis werden diese Informationspflichten unter anderem durch unternehmensinterne Richtlinien erfüllt, die den Beschäftigen zugänglich gemacht werden.

3. Meldekanäle und persönliche Zusammenkunft für interne Meldungen

Nach § 16 HinSchG müssen Beschäftigungsgeber Meldekanäle, mittels derer Informationen über Verstöße an die interne Meldestelle gemeldet werden können, einrichten. Dabei dürfen nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen sowie die sie bei der Erfüllung dieser Aufgaben unterstützenden Personen Zugriff auf die eingehenden Meldungen haben (§ 16 Abs. 2 HinSchG). Ein striktes ‚Need-to-know‘-Prinzip ist zudem mit Blick auf das Vertraulichkeitsgebot zu wahren (§§ 8, 9 HinSchG, siehe hierzu unten IV.).

Die Meldekanäle müssen eine Meldung in mündlicher oder in Textform ermöglichen (§ 16 Abs. 1 S. 1 HinSchG). Beides zusammen ist wegen des klaren Wortlauts der Regelung nicht erforderlich.14 Insoweit genügt beispielsweise eine Meldemöglichkeit per Telefon (§ 16 Abs. 3 S. 2 Alt. 1 HinSchG). Ausgeklügelte digitale oder Online-Meldesysteme sind daher für eine Pflichterfüllung grundsätzlich nicht erforderlich.

Außerdem ist für eine Meldung innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft mit einer für die Entgegennahme einer Meldung zuständigen Person der internen Meldestelle zu ermöglichen, wobei die Zusammenkunft mit Einwilligung der hinweisgebenden Person auch im Wege der Bild- und Tonübertragung, also einer Videokonferenz, erfolgen kann (§ 16 Abs. 3 S. 3 und 4 HinSchG).

Die Meldekanäle müssen Beschäftigten und dem Beschäftigungsgeber überlassenen Leiharbeitnehmerinnen und Leiharbeitnehmern zugänglich sein (§ 16 Abs. 1 S. 1 HinSchG). Eine Zugänglichkeit für sonstige Dritte, etwa Geschäftspartner, ist zwar grundsätzlich ratsam, aber gesetzlich nicht gefordert (vgl. § 16 Abs. 1 S. 3 HinSchG).15 Auch besteht keine Verpflichtung, die Abgabe von anonymen Meldungen zu ermöglichen (§ 16 Abs. 1 S. 5 HinSchG).

III. Regelungen zum Umgang mit internen Meldungen

Die §§ 17, 18 HinSchG tätigen Vorgaben für das Verfahren und für Folgemaßnahmen bei internen Meldungen. Außerdem bestimmt § 16 Abs. 1 S. 4 HinSchG, dass auch anonym eingehende Meldungen bearbeitet werden „sollte[n]“. Diese Regelung ist irreführend, da jedenfalls bei substantiierten anonymen Meldungen aus der Legalitätspflicht und Pflicht zur Anwendung der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters (siehe etwa § 93 Abs. 1 S. 1 AktG, § 43 Abs. 1 GmbHG) eine Pflicht zur Untersuchung und Abstellung von Verstößen folgt.16 Daher sollte sichergestellt werden, dass grundsätzlich alle eingehenden Meldungen bearbeitet werden.

An die Bearbeitung von Meldungen, aber auch die Einrichtung eines Hinweisgebersystems, stellt das Datenschutzrecht mit Blick auf die Verarbeitung personenbezogener Daten zusätzliche Anforderungen, auch wenn § 10 HinSchG insoweit eine Sonderregelung beinhaltet.17 Aber auch das Arbeitsrecht, wie etwa eine gegebenenfalls erforderliche Einbeziehung des Betriebsrats, ist bei der Einrichtung eines Hinweisgebersystems und der Bearbeitung von Meldungen zu beachten.18

1. Das Verfahren bei internen Meldungen19

Nach Eingang einer internen Meldung ist dieser der hinweisgebenden Person spätestens nach 7 Tagen durch die interne Meldestelle zu bestätigen (§ 17 Abs. 1 Nr. 1 HinSchG), sofern dies tatsächlich möglich ist, also insbesondere die hierfür erforderlichen Kontaktdaten vorliegen.20 In diesem Fall hält die interne Meldestelle im Verfahren auch den Kontakt mit der hinweisgebenden Person (§ 17 Abs. 1 Nr. 3 HinSchG). Sowohl die Eingangsbestätigung als auch das Kontakthalten, sollten ernstgenommen werden, um die hinweisgebende Person im internen Meldeverfahren ‚zu halten‘.

Zudem prüft die interne Meldestelle ihre Zuständigkeit und die Stichhaltigkeit der Meldung, was im Rahmen einer sognannten Vorprüfung erfolgen kann. Die Zuständigkeitsprüfung umfasst mit Blick auf § 17 Abs. 1 Nr. 2 HinSchG zumindest die Prüfung, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich des HinSchG fällt, also einen Verstoß im Sinne des § 2 HinSchG darstellt. Sofern, was möglich ist, die interne Meldestelle nach den unternehmensinternen Regelungen auch für weitere Verstöße zuständig ist, ist auch insoweit eine Zuständigkeitsprüfung vorzunehmen.

Bei der Stichhaltigkeitsprüfung nach § 17 Abs. 1 Nr. 4 HinSchG handelt es sich um eine Prüfung der Plausibilität der Meldung, im Rahmen derer insbesondere zu prüfen ist, ob sich der beschriebene Sachverhalt zugetragen haben kann und ob weitere Informationen erforderlich sind.21

Sofern erforderlich, ersucht die interne Meldestelle die hinweisgebende Person um weitere Informationen (§ 17 Abs. 1 Nr. 5 HinSchG). Zudem ergreift sie angemessene Folgemaßnahmen nach § 18 HinSchG (§ 17 Abs. 1 Nr. 6 HinSchG).

Zudem sind alle eingehenden Meldungen nach den Vorgaben des § 11 HinSchG zu dokumentieren, wobei eine grundsätzliche Löschfrist von drei Jahren gilt (§ 11 Abs. 5 HinSchG). Die Dokumentationspflicht gilt auch für Meldungen, die nicht stichhaltig sind oder nicht in den Zuständigkeitsbereich der internen Meldestelle bzw. in den Anwendungsbereich des HinSchG fallen.22 Sie bezieht sich grundsätzlich allein auf die Meldung.23 Ungeachtet dessen sollte auch der Umgang mit der Meldung dokumentiert werden, wobei auf die Art und Weise der Dokumentation, insbesondere mit Blick auf einen fehlenden Beschlagnahmeschutz im Strafverfahren und die datenschutzrechtlichen Anforderungen zu achten ist.24

Schließlich gibt die interne Meldestelle der hinweisgebenden Person, sofern dies tatsächlich möglich ist,25 innerhalb von drei Monaten nach der Bestätigung des Eingangs der Meldung oder, wenn der Eingang nicht bestätigt wurde, spätestens drei Monate und sieben Tage nach Eingang der Meldung eine Rückmeldung, insbesondere zu geplanten sowie bereits ergriffenen Folgemaßnahmen und den Gründen für diese (§ 17 Abs. 2 S. 1 und 2 HinSchG). Im Sinne des Kontakthaltens nach § 17 Abs. 1 Nr. 3 HinSchG kann während des Verfahrens grundsätzlich auch mehrfach Rückmeldung gegeben werden. Dabei gilt es zu beachten, dass eine Rückmeldung nur insoweit erfolgen darf, als dadurch interne Nachforschungen oder Ermittlungen nicht berührt und die Rechte der Personen, die Gegenstand einer Meldung sind oder die in der Meldung genannt werden, nicht beeinträchtigt werden (§ 17 Abs. 2 S. 3 HinSchG).

2. Angemessene Folgemaßnahmen bei internen Meldungen

Folgemaßnahmen, welche die interne Meldestelle ergreifen kann, sind – in nicht abschließender Weise26 – in § 18 HinSchG genannt. Hierbei handelt es sich um die Durchführung von internen Untersuchungen und eine Kontaktaufnahme zu betroffenen Personen und Arbeitseinheiten (vgl. § 18 Nr. 1 HinSchG), das Verweisen der hinweisgebende Person an andere zuständige Stellen (§ 18 Nr. 2 HinSchG), den Abschluss des Verfahrens aus Mangel an Beweisen oder aus anderen Gründen (§ 18 Nr. 3 HinSchG) und die Abgabe des Verfahrens zwecks weiterer Untersuchungen an eine bei dem Beschäftigungsgeber oder bei der jeweiligen Organisationseinheit für interne Ermittlungen zuständige Arbeitseinheit (§ 18 Nr. 4 lit. a HinSchG) oder an eine zuständige Behörde (§ 18 Nr. 4 lit. b HinSchG).27

Daneben sind tatsächlich gegebene und andauernde Verstöße – in der Regel in Zusammenarbeit mit anderen Unternehmenseinheiten – abzustellen, Compliance-Maßnahmen nachzubessern und gegenüber den für den Verstoß verantwortlichen Personen angemessene Sanktionen zu ergreifen.28

Aus § 18 Nr. 4 lit. a HinSchG folgt, dass die interne Meldestelle die interne Untersuchung des gemeldeten Sachverhalts nicht selbst führen muss, wenn eine hierfür zuständige Unternehmenseinheit existiert.29 Im Rahmen einer internen Untersuchung ist stets darauf zu achten, dass das Verfahren gesetzmäßig, ergebnisoffen und fair geführt wird. Dies umfasst auch die Beachtung von datenschutzrechtlichen (insbes. § 26 Abs. 1 S. 2, Abs. 2 BDSG, Art. 6, 13, 14 DSGVO) und arbeitsrechtlichen Anforderungen, wie eine möglicherweise erforderliche Einbeziehung des Betriebsrats.30 Ebenfalls im Blick zu behalten sind strafrechtliche Risiken, wie etwa der Vorwurf der Nötigung (§ 240 StGB), beispielsweise im Falle von Drohungen aufgrund einer Nichtmitwirkung von Mitarbeitern.31 Insbesondere Interviews, aber auch Meldungen von hinweisgebenden Personen, dürfen wegen § 201 StGB niemals heimlich und ohne ausdrückliche Zustimmung der betroffenen Personen aufgenommen werden.32

IV. Schutzvorschriften des HinSchG

Dem Schutz von hinweisgebenden Personen, aber auch der Personen, die Gegenstand einer Meldung oder von einer solchen betroffen sind, dienen insbesondere ein Ausschluss der Verantwortlichkeit (§ 35 HinSchG), ein Repressalienverbot nebst Beweislastumkehr (§ 36 HinSchG) und Schadensersatzanspruch (§ 37 HinSchG), aber auch ein Schadensersatzanspruch aufgrund einer Falschmeldung (§ 38 HinSchG). Zudem werden unter den Voraussetzungen des § 34 HinSchG natürliche Personen geschützt, die die hinweisgebende Person bei ihrer Meldung oder Offenlegung unterstützen und mit ihr in Verbindung stehen, aber auch mit ihr (insbesondere durch Beteiligung und Tätigkeit) verbundene juristische Personen, rechtsfähige Personengesellschaften und sonstige rechtsfähige Personenvereinigungen. Insoweit gilt das HinSchG für alle Unternehmen, unabhängig von der Anzahl der Beschäftigten.

Wichtig zu beachten ist dabei, dass der Schutz der hinweisgebenden Person nur unter den Voraussetzungen des § 33 Abs. 1 HinSchG gilt, sodass sie hinsichtlich der Wahrheit der gemeldeten Informationen und des Anwendungsbereichs33 des HinSchG zumindest gutgläubig sein muss.

Besondere Bedeutung beim Umgang mit Hinweisen bzw. Meldungen kommt dem gesetzlich geregelten Vertraulichkeitsgebot zu. Insoweit ist unter den Voraussetzungen des § 8 HinSchG die Vertraulichkeit der Identität der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, und der sonstigen in der Meldung genannten Personen, zu wahren, und zwar unabhängig davon, ob die interne Meldestelle für die an sie übermittelte Meldung zuständig ist. Ausnahmen von dem Vertraulichkeitsgebot regelt § 9 HinSchG. Danach wird die Identität einer hinweisgebenden Person nur dann geschützt, wenn sie nicht vorsätzlich oder grob fahrlässig unrichtige Informationen über Verstöße gemeldet hat (§ 9 Abs. 1 HinSchG). Ausnahmen sind beispielsweise auch mit Blick auf Straf- und Verwaltungsverfahren sowie gerichtliche Verfahren geregelt (§ 9 Abs. 2 S. 1 Nr. 1 bis 3 HinSchG). Insoweit gelten gegenüber der hinweisgebenden Person vorherige Informationspflichten und Ausnahmen von diesen (§ 9 Abs. 2 S. 2 bis 4 HinSchG). Mit Blick auf Folgemaßnahmen ist eine Weitergabe von Informationen über die Identität der hinweisgebenden Person oder über sonstige Umstände, die Rückschlüsse auf die Identität dieser Person erlauben, zulässig, wenn zwei Voraussetzungen vorliegen: Die Weitergabe ist für die Folgemaßnahme erforderlich und die hinweisgebende Person hat zuvor in die konkrete Weitergabe in Textform34 eingewilligt35 (§ 9 Abs. 3 S. 1 und 2 HinSchG). Demgegenüber gelten für eine Weitergabe von Informationen über die Identität von Personen, die Gegenstand einer Meldung sind, und von sonstigen in der Meldung genannten Personen, geringere Anforderungen, die in § 9 Abs. 4 HinSchG geregelt sind.

V. Schlussbetrachtung

Das Vorhalten eines Hinweisgebersystems, das mit Blick auf die Compliance bereits ‚Best Practice‘ war, wurde durch das HinSchG Pflicht. Das Gesetz regelt grundlegende Anforderungen an solche Systeme und das Verfahren zum Umgang mit Meldungen. Weitere zu beachtende Rahmenbedingungen ergeben sich insbesondere aus dem Datenschutzrecht, dem Arbeitsrecht, aber auch dem Strafrecht.36

Zur Umsetzung des HinSchG und Akzeptanz eines Hinweisgebersystems sind interne Regelungen geboten, die ein verhältnismäßiges und faires Verfahren sicherstellen. Entsprechend geregelte interne Verfahrensvorgaben sind einzuhalten und ihre Einhaltung ist zu überwachen.37

Die Implementierung eines Hinweisgebersystems und die gesetzmäßige Bearbeitung von Meldungen sollten nicht als Pflicht mit Blick auf die nach § 40 HinSchG drohenden Geldbußen, sondern als Chance zur Schadensvermeidung oder -minderung verstanden werden. Hinweisgebersysteme können nicht nur zu einer früheren Aufdeckung von Verstößen führen, sondern Verstöße auch verhindern. Beschäftigungsgeber, die kein eigenes Hinweisgebersystem unterhalten, müssen außerdem verstärkt damit rechnen, dass sich eine hinweisgebende Person direkt an eine externe Meldestelle wendet und sie dadurch die ‚Kontrolle‘ über die Meldung des Verstoßes verlieren bzw. nie erlangen. Dabei sollte nicht aus dem Blick verloren werden, dass externe Meldungen auch strafrechtliche Ermittlungsverfahren mit entsprechenden Eingriffsmaßnahmen, wie Durchsuchungen38, zur Folge haben können. So sind beim Bundesamt für Justiz (BfJ) als externe Meldestelle des Bundes im Jahr 2024 insgesamt 1.802 Meldungen eingegangen, von denen 71 Verfahren an Staatsanwaltschaften und 143 Verfahren an sonstige zuständige Behörden abgegeben wurden.39

---