Es ist so weit: Nach langem Hin und Her wurde das Hinweisgeberschutzgesetz (HinSchG) vom Bundesrat nun verabschiedet. Es tritt am 2. Juli 2023 in Kraft. Wer Missstände oder Regelverstöße in Unternehmen oder Behördenangibt, wird künftig besser vor Repressalien und beruflichen Nachteilen wie Mobbing und Diskriminierung gesichert. Der umfassende Schutz von so genannten Whistleblowern soll für mehr Integrität in Wirtschaft und öffentlichem Sektor sorgen. Doch die neue Richtlinie stellt Unternehmen und Behörden vor neue Aufgaben. Was bedeutet das Gesetz denn nun konkret? Wer muss handeln und was ist bis zu welchem Zeitpunkt genau zu tun? Und wer kann bei der gesetzeskonformen und fristgerechten Umsetzung behilflich sein?
Worum geht’s eigentlich?
Ob Korruption, Geldwäsche oder Verletzungen des Arbeits- oder Datenschutzes: Das Gesetz soll Personen vor Repressalien schützen, die Missstände und Verstöße melden. Auch regelt es die Einrichtung und den Betrieb interner Meldestellen. Die Anforderungen an die Vertraulichkeit und somit an den Datenschutz sind hoch. Es gilt, genaue Fristen einzuhalten, Meldungen zu dokumentieren und zu bearbeiten, Rückmeldungen an die Hinweisgeber zu erteilen, Mitarbeiter der Meldestelle fortzubilden.
Was lange währt…
Die Umsetzung der 2019 von der EU beschlossenen Whistleblower-Richtlinie hat sich lange hingezogen – wie kaum ein Gesetzgebungsverfahren bisher. Die mehrfache Verschiebung, Aufteilung und Umgestaltung der gesetzlichen Inhalte haben in der Öffentlichkeit und insbesondere bei Unternehmen und Organisationen immer wieder für Verwunderung gesorgt. Doch das lange Hin und Her hat jetzt ein Ende. Der Bundesrat hat dem Hinweisgeberschutzgesetz seine Zustimmung erteilt. Am 12. Mai 2023 ist das Hinweisgeberschutzgesetz final verabschiedet worden. Am 31. Mai wurde es vom Bundespräsidenten unterzeichnet, am 2. Juni dann im Bundesgesetzblatt veröffentlicht. Somit tritt es am 2. Juli 2023 in Kraft.
Wer ist von den Vorgaben betroffen?
Die Umsetzung der Richtlinie erfolgt in zwei Stufen: Ab dem Tag des Inkrafttretens sind alle Unternehmen mit 250 und mehr Mitarbeitern verpflichtet, einen Meldekanal einzurichten. Sie haben also kaum Zeit bis zur Umsetzung. Auch für Kommunen ab 10.000 Einwohnern gilt die Pflicht ab dem 2. Juli 2023. Ab Mitte Dezember 2023 sind dann alle Unternehmen mit 50 Mitarbeitern und mehr in der Pflicht, die Vorgaben umzusetzen. Berechnet werden übrigens Köpfe, d.h. auch jeder Auszubildende und jede Aushilfskraft sind jeweils ein zu berücksichtigender Kopf.
Gibt es Ausnahmen?
Diese gibt es – im Sinne einer Verschärfung. Teilweise sind auch kleinere Unternehmen verpflichtet, die Vorgaben einzuhalten, nämlich dann, wenn sie aufgrund ihrer Tätigkeit oder ihrer Branche strengere Auflagen erfüllen müssen. Beispielsweise trifft dies Betriebe, in denen viel Bargeld (regelmäßig > 10.000 Euro pro Tag) umgesetzt wird. Auch Tätigkeiten, die mit Grundstückkäufen und Immobilien in enger Verbindung stehen, sind betroffen. Und die Glücksspielbranche ist unabhängig von der Unternehmensgröße durch das Gesetz in der Pflicht.
Was muss ein Unternehmen konkret einführen?
Unternehmen und Kommunen müssen eine Meldestelle etablieren, über die sich hinweisgebende Personen an das Unternehmen wenden können. Gleichzeitig muss sichergestellt werden, dass Hinweisgeber vor Repressalien geschützt sind. Daher eignet sich ein digitaler Meldekanal ideal, um diese Auflagen zu erfüllen. Eine Cloud-Lösung sollte außerdem DSGVO-konform und
DIN 20071 zertifiziert sein, dem Maßstab „Made and Hosted in Germany“ entsprechen und im Sinne der Diskretion optional eine zu 100 Prozent% anonyme, wechselseitige Kommunikation ermöglichen. Praxistauglich ist der digitale Meldekanal auch dann, wenn er 24/7 erreichbar und in allen EU-Sprachen verfügbar ist, das System alle Fristen berücksichtigt, ständig an gesetzliche
Rahmenbedingungen angepasst wird und sowohl für Konzern- als auch
Gruppenstrukturen geeignet ist.
Was bedeuten Meldestelle und Meldekanal?
Ein Meldekanal ist die strukturierte Möglichkeit, Hinweise entgegenzunehmen. Dabei sind bestimmte Umgangsweisen vom Gesetz gefordert. Diese zu erfüllen, wird mit der Kombination aus dem Betrieb eines Meldekanals und dem organisierten Umgang mit den Hinweisen im Rahmen einer Meldestelle verpflichtend. Die Verantwortung zum Betrieb der Meldestelle liegt beim Unternehmen. Es kann aber zur Erfüllung auf Experten und spezialisierte Dienstleister zurückgreifen. Von der Handhabung dürfte dies viele an die Datenschutzthematik erinnern, der Einsatz von externen Datenschutzbeauftragten ist inzwischen in vielen Unternehmen gelebte Praxis.
Was bedeutet der geforderte Schutz vor Repressalien?
Der Schutz vor Repressalien ist seitens des Gesetzgebers der Kern: Niemand soll dafür bestraft werden oder Nachteile haben, wenn er auf Missstände hinweist. Konkret dürfen im Zusammenhang mit Hinweisen keine Kündigungen, Versetzungen, Drohungen und ähnliche nachteilige Maßnahmen gegenüber einer hinweisgebenden Person erfolgen. Um die Bedeutung dieses Hinweisgeberschutzes zu unterstreichen, wird das Mittel der Beweislastumkehr herangezogen: Im Streitfall muss das Unternehmen beweisen, dass ein Hinweis nicht der ausschlaggebende Grund für eine erfolgte negative Maßnahme war. Dies ist eine Anforderung, der Unternehmen nur mit sehr konsequenter Dokumentation und der starken Beschränkung der Hinweisempfänger begegnen können. Nur so kann ein Vorwurf der gezielten Benachteiligung aufgrund eines Hinweises wirkungsvoll entkräftet werden.
Wie wird dokumentiert?
Aufgrund der gesetzlichen Anforderungen kann eine Dokumentation nur in einem für diesen Zweck gestalteten digitalen System erfolgen. Dieses muss strenge Zugriffbeschränkungen und Zugriffsdokumentation beinhalten, die Fälle lückenlos erfassen und auch die Kommunikation mit der hinweisgebenden Person nachvollziehbar abbilden. Eine Lösung mit gängigen Office-Lösungen oder per E-Mail-Postfach ist nicht zweckdienlich und macht ein Unternehmen angreifbar.
Wer kann melden?
Im Prinzip jede Person, die in irgendeiner Form mit dem Unternehmen zu tun hat. Mitarbeiter sind regelmäßig die erste Quelle für Informationen. Aber auch ehemalige Mitarbeiter, Familienangehörige von Mitarbeitern, Geschäftspartner, Nachbarn oder weitere mit dem Unternehmen in Beziehung stehende Personen können Fehlverhalten oder Missstände kennen und davon berichten. Somit sollte der Meldekanal auch für die gesamten genannten Kreise erreichbar sein. Eine hinweisgebende Person kann sich neben der vom Unternehmen betriebenen internen Meldestelle auch an eine externe Meldestelle wenden. Diese werden von Behörden betrieben. Die Erfahrung zeigt jedoch: Der Umgang mit Hinweisen, die Unternehmen selbst erhalten, ist viel zielgerichteter und auch geräuschärmer möglich, als wenn behördliche Maßnahmen der Auslöser für Recherchen und Maßnahmen sind. Daher empfiehlt es sich, anonyme Meldungen ab dem ersten Tag gleichwertig anzunehmen und ernst zu nehmen.
Wer bekommt die Meldungen?
Das entscheidet das Unternehmen. Gefordert ist, dass die Meldungen bei der am besten geeigneten Person eingehen. Diese muss also zum einen fachlich versiert sein, zum andern auch die Kompetenz haben, die Hinweise bearbeiten zu dürfen. Und sie darf nicht in den gemeldeten Vorgang involviert sein. Daher scheidet z.B. die Unternehmensführung regelmäßig als Bearbeiter aus, denn im Zweifel kann eine Involvierung oder ein Mitwissen hier niemals ausgeschlossen werden. Eine komfortable und oftmals effiziente Lösung ist, auf externe Ombudspersonen zuzugreifen. Diese können sachlich, distanziert und ohne Vorbehalte an die Aufarbeitung der Hinweise gehen. Dadurch werden mögliche Interessenskonflikte von vornherein ausgeschlossen.
Was passiert, wenn die Fristen nicht erfüllt werden?
Nach der gesetzlichen Verabschiedung wird es eine Umsetzungsfrist von voraussichtlich 90 Tagen für die größeren Unternehmen geben. Der Gesetzgeber erachtet diesen Zeitrahmen als ausreichend. Die versäumte Einrichtung eines Meldekanals ist leicht nachweisbar. Aller Voraussicht nach erwarten Unternehmen, die die Vorgaben nicht umsetzen, recht schnell Probleme. Ob diese durch Behörden, Arbeitnehmerorganisationen oder die Konkurrenz forciert wird, kann im Moment nur gemutmaßt werden. Im Gesetz sind feste Strafen bis zu 50.000 Euro pro Verstoß vorgesehen.
Was rät der Experte?
Johannes Jakob digitalisiert Prozesse und komplexe Themen. Er hat sich auf das Thema Hinweisgeberschutz spezialisiert. Der CEO & Co-Founder von whistle.law berät und begleitet Unternehmen und Institutionen. Sein Statement zur aktuellen Situation: „Viele Unternehmen und Institutionen haben nun Angst: Wie sollen wir das schaffen? Wie viel Zeit können wir uns lassen, um nichts zu verpassen? Wie können wir Bußgelder vermeiden? Unsere Botschaft: Bleiben Sie entspannt! Und handeln Sie rechtzeitig! Wir empfehlen: Befassen Sie sich frühzeitig mit der rechtssicheren Einrichtung eines internen Meldekanals. Denn es gibt einige Details zu klären und diverse Aspekte zu beachten – zum Beispiel, wie nachweislich fachkundiges Personal eingehende Hinweise bearbeitet. Auch eine Ombudsperson kann passende Unterstützung leisten – wie das genau aussehen kann, gilt es zu klären. Kümmern Sie sich jetzt! Um einen Meldekanal, um eine Meldestelle und um den Schutz hinweisgebender Personen. Richten Sie eine passende Lösung nicht erst auf den letzten Drücker ein!“
Weitere Informationen gibt es unter: www.whistle.law
Wer mehr erfahren und Johannes Jakob persönlich erleben möchte, kann sich unter www.whistle.law/termine für ein Webinar anmelden.
Über whistle.law
whistle.law ist die smarte Cloud-Lösung zur Umsetzung des Hinweisgeberschutzgesetzes. 100 % gesetzeskonform, eingerichtet in nur wenigen Minuten, erweiterbar um zusätzliche Meldekanäle wie z. B. KWG, Lieferkettensorgfaltspflichtengesetz (LkSG).
Worum geht’s eigentlich?
Ob Korruption, Geldwäsche oder Verletzungen des Arbeits- oder Datenschutzes: Das Gesetz soll Personen vor Repressalien schützen, die Missstände und Verstöße melden. Auch regelt es die Einrichtung und den Betrieb interner Meldestellen. Die Anforderungen an die Vertraulichkeit und somit an den Datenschutz sind hoch. Es gilt, genaue Fristen einzuhalten, Meldungen zu dokumentieren und zu bearbeiten, Rückmeldungen an die Hinweisgeber zu erteilen, Mitarbeiter der Meldestelle fortzubilden.
Was lange währt…
Die Umsetzung der 2019 von der EU beschlossenen Whistleblower-Richtlinie hat sich lange hingezogen – wie kaum ein Gesetzgebungsverfahren bisher. Die mehrfache Verschiebung, Aufteilung und Umgestaltung der gesetzlichen Inhalte haben in der Öffentlichkeit und insbesondere bei Unternehmen und Organisationen immer wieder für Verwunderung gesorgt. Doch das lange Hin und Her hat jetzt ein Ende. Der Bundesrat hat dem Hinweisgeberschutzgesetz seine Zustimmung erteilt. Am 12. Mai 2023 ist das Hinweisgeberschutzgesetz final verabschiedet worden. Am 31. Mai wurde es vom Bundespräsidenten unterzeichnet, am 2. Juni dann im Bundesgesetzblatt veröffentlicht. Somit tritt es am 2. Juli 2023 in Kraft.
Wer ist von den Vorgaben betroffen?
Die Umsetzung der Richtlinie erfolgt in zwei Stufen: Ab dem Tag des Inkrafttretens sind alle Unternehmen mit 250 und mehr Mitarbeitern verpflichtet, einen Meldekanal einzurichten. Sie haben also kaum Zeit bis zur Umsetzung. Auch für Kommunen ab 10.000 Einwohnern gilt die Pflicht ab dem 2. Juli 2023. Ab Mitte Dezember 2023 sind dann alle Unternehmen mit 50 Mitarbeitern und mehr in der Pflicht, die Vorgaben umzusetzen. Berechnet werden übrigens Köpfe, d.h. auch jeder Auszubildende und jede Aushilfskraft sind jeweils ein zu berücksichtigender Kopf.
Gibt es Ausnahmen?
Diese gibt es – im Sinne einer Verschärfung. Teilweise sind auch kleinere Unternehmen verpflichtet, die Vorgaben einzuhalten, nämlich dann, wenn sie aufgrund ihrer Tätigkeit oder ihrer Branche strengere Auflagen erfüllen müssen. Beispielsweise trifft dies Betriebe, in denen viel Bargeld (regelmäßig > 10.000 Euro pro Tag) umgesetzt wird. Auch Tätigkeiten, die mit Grundstückkäufen und Immobilien in enger Verbindung stehen, sind betroffen. Und die Glücksspielbranche ist unabhängig von der Unternehmensgröße durch das Gesetz in der Pflicht.
Was muss ein Unternehmen konkret einführen?
Unternehmen und Kommunen müssen eine Meldestelle etablieren, über die sich hinweisgebende Personen an das Unternehmen wenden können. Gleichzeitig muss sichergestellt werden, dass Hinweisgeber vor Repressalien geschützt sind. Daher eignet sich ein digitaler Meldekanal ideal, um diese Auflagen zu erfüllen. Eine Cloud-Lösung sollte außerdem DSGVO-konform und
DIN 20071 zertifiziert sein, dem Maßstab „Made and Hosted in Germany“ entsprechen und im Sinne der Diskretion optional eine zu 100 Prozent% anonyme, wechselseitige Kommunikation ermöglichen. Praxistauglich ist der digitale Meldekanal auch dann, wenn er 24/7 erreichbar und in allen EU-Sprachen verfügbar ist, das System alle Fristen berücksichtigt, ständig an gesetzliche
Rahmenbedingungen angepasst wird und sowohl für Konzern- als auch
Gruppenstrukturen geeignet ist.
Was bedeuten Meldestelle und Meldekanal?
Ein Meldekanal ist die strukturierte Möglichkeit, Hinweise entgegenzunehmen. Dabei sind bestimmte Umgangsweisen vom Gesetz gefordert. Diese zu erfüllen, wird mit der Kombination aus dem Betrieb eines Meldekanals und dem organisierten Umgang mit den Hinweisen im Rahmen einer Meldestelle verpflichtend. Die Verantwortung zum Betrieb der Meldestelle liegt beim Unternehmen. Es kann aber zur Erfüllung auf Experten und spezialisierte Dienstleister zurückgreifen. Von der Handhabung dürfte dies viele an die Datenschutzthematik erinnern, der Einsatz von externen Datenschutzbeauftragten ist inzwischen in vielen Unternehmen gelebte Praxis.
Was bedeutet der geforderte Schutz vor Repressalien?
Der Schutz vor Repressalien ist seitens des Gesetzgebers der Kern: Niemand soll dafür bestraft werden oder Nachteile haben, wenn er auf Missstände hinweist. Konkret dürfen im Zusammenhang mit Hinweisen keine Kündigungen, Versetzungen, Drohungen und ähnliche nachteilige Maßnahmen gegenüber einer hinweisgebenden Person erfolgen. Um die Bedeutung dieses Hinweisgeberschutzes zu unterstreichen, wird das Mittel der Beweislastumkehr herangezogen: Im Streitfall muss das Unternehmen beweisen, dass ein Hinweis nicht der ausschlaggebende Grund für eine erfolgte negative Maßnahme war. Dies ist eine Anforderung, der Unternehmen nur mit sehr konsequenter Dokumentation und der starken Beschränkung der Hinweisempfänger begegnen können. Nur so kann ein Vorwurf der gezielten Benachteiligung aufgrund eines Hinweises wirkungsvoll entkräftet werden.
Wie wird dokumentiert?
Aufgrund der gesetzlichen Anforderungen kann eine Dokumentation nur in einem für diesen Zweck gestalteten digitalen System erfolgen. Dieses muss strenge Zugriffbeschränkungen und Zugriffsdokumentation beinhalten, die Fälle lückenlos erfassen und auch die Kommunikation mit der hinweisgebenden Person nachvollziehbar abbilden. Eine Lösung mit gängigen Office-Lösungen oder per E-Mail-Postfach ist nicht zweckdienlich und macht ein Unternehmen angreifbar.
Wer kann melden?
Im Prinzip jede Person, die in irgendeiner Form mit dem Unternehmen zu tun hat. Mitarbeiter sind regelmäßig die erste Quelle für Informationen. Aber auch ehemalige Mitarbeiter, Familienangehörige von Mitarbeitern, Geschäftspartner, Nachbarn oder weitere mit dem Unternehmen in Beziehung stehende Personen können Fehlverhalten oder Missstände kennen und davon berichten. Somit sollte der Meldekanal auch für die gesamten genannten Kreise erreichbar sein. Eine hinweisgebende Person kann sich neben der vom Unternehmen betriebenen internen Meldestelle auch an eine externe Meldestelle wenden. Diese werden von Behörden betrieben. Die Erfahrung zeigt jedoch: Der Umgang mit Hinweisen, die Unternehmen selbst erhalten, ist viel zielgerichteter und auch geräuschärmer möglich, als wenn behördliche Maßnahmen der Auslöser für Recherchen und Maßnahmen sind. Daher empfiehlt es sich, anonyme Meldungen ab dem ersten Tag gleichwertig anzunehmen und ernst zu nehmen.
Wer bekommt die Meldungen?
Das entscheidet das Unternehmen. Gefordert ist, dass die Meldungen bei der am besten geeigneten Person eingehen. Diese muss also zum einen fachlich versiert sein, zum andern auch die Kompetenz haben, die Hinweise bearbeiten zu dürfen. Und sie darf nicht in den gemeldeten Vorgang involviert sein. Daher scheidet z.B. die Unternehmensführung regelmäßig als Bearbeiter aus, denn im Zweifel kann eine Involvierung oder ein Mitwissen hier niemals ausgeschlossen werden. Eine komfortable und oftmals effiziente Lösung ist, auf externe Ombudspersonen zuzugreifen. Diese können sachlich, distanziert und ohne Vorbehalte an die Aufarbeitung der Hinweise gehen. Dadurch werden mögliche Interessenskonflikte von vornherein ausgeschlossen.
Was passiert, wenn die Fristen nicht erfüllt werden?
Nach der gesetzlichen Verabschiedung wird es eine Umsetzungsfrist von voraussichtlich 90 Tagen für die größeren Unternehmen geben. Der Gesetzgeber erachtet diesen Zeitrahmen als ausreichend. Die versäumte Einrichtung eines Meldekanals ist leicht nachweisbar. Aller Voraussicht nach erwarten Unternehmen, die die Vorgaben nicht umsetzen, recht schnell Probleme. Ob diese durch Behörden, Arbeitnehmerorganisationen oder die Konkurrenz forciert wird, kann im Moment nur gemutmaßt werden. Im Gesetz sind feste Strafen bis zu 50.000 Euro pro Verstoß vorgesehen.
Was rät der Experte?
Johannes Jakob digitalisiert Prozesse und komplexe Themen. Er hat sich auf das Thema Hinweisgeberschutz spezialisiert. Der CEO & Co-Founder von whistle.law berät und begleitet Unternehmen und Institutionen. Sein Statement zur aktuellen Situation: „Viele Unternehmen und Institutionen haben nun Angst: Wie sollen wir das schaffen? Wie viel Zeit können wir uns lassen, um nichts zu verpassen? Wie können wir Bußgelder vermeiden? Unsere Botschaft: Bleiben Sie entspannt! Und handeln Sie rechtzeitig! Wir empfehlen: Befassen Sie sich frühzeitig mit der rechtssicheren Einrichtung eines internen Meldekanals. Denn es gibt einige Details zu klären und diverse Aspekte zu beachten – zum Beispiel, wie nachweislich fachkundiges Personal eingehende Hinweise bearbeitet. Auch eine Ombudsperson kann passende Unterstützung leisten – wie das genau aussehen kann, gilt es zu klären. Kümmern Sie sich jetzt! Um einen Meldekanal, um eine Meldestelle und um den Schutz hinweisgebender Personen. Richten Sie eine passende Lösung nicht erst auf den letzten Drücker ein!“
Weitere Informationen gibt es unter: www.whistle.law
Wer mehr erfahren und Johannes Jakob persönlich erleben möchte, kann sich unter www.whistle.law/termine für ein Webinar anmelden.
Über whistle.law
whistle.law ist die smarte Cloud-Lösung zur Umsetzung des Hinweisgeberschutzgesetzes. 100 % gesetzeskonform, eingerichtet in nur wenigen Minuten, erweiterbar um zusätzliche Meldekanäle wie z. B. KWG, Lieferkettensorgfaltspflichtengesetz (LkSG).
