Der Bundestag hat am 16. Dezember 2022 das deutsche Hinweisgeberschutzgesetz zur Umsetzung der EU-Whistleblower-Richtlinie EU 2019/1937 beschlossen.
Unlängst hatte Bundesjustizminister Marco Buschmann noch auf dem Bundeskongress Compliance am 16. November in Berlin verlautbart, dass das deutsche Hinweisgeberschutzgesetz (HinSchG) nicht mehr vor Weihnachten, sondern erst in der ersten Hälfte 2023 kommen werde.
Kurz vor Weihnachten kam doch noch Bewegung in die Sache: Am 14. Dezember passierte der Gesetzesentwurf den Rechtsausschuss. Mit den im Rechtsausschuss zuletzt noch vorgenommenen Änderungen am Gesetzesentwurf nahm der Bundestag im Eiltempo gleich zwei Tage später die Beschlussempfehlung des Rechtsausschusses an.
Entwurf zum Hinweisgeberschutzgesetz um verschiedene Punkte ergänzt
Nach Kritik von vielen Seiten hat der Rechtsausschuss auf der Zielgeraden des Gesetzgebungsverfahrens noch zahlreiche Änderungen am HinSchG vorgenommen, damit jedoch längst nicht allen Belangen Rechnung getragen. Einige Regelungen tragen nach wie vor nicht zu ausreichender Rechtssicherheit bei. Die für Unternehmen wichtigsten Änderungen betreffen
- die Verpflichtung zur Bearbeitung anonymer Meldungen,
- Vorkehrungen zur Schaffung einer anonymen Kommunikation mit Hinweisgebenden,
- Anreize zur Nutzung interner Meldestellen und
- die Pflicht zum Ersatz immaterieller Schäden.
Weitere Änderungen (nicht abschließend) betreffen die Einrichtung von Meldestellen kommunaler Unternehmen, die Erweiterung des sachlichen Anwendungsbereichs auf den Digital Markets Act der Europäischen Union, die Verlängerung der Löschfristen und Ausnahmen im Bereich von Nachrichtendiensten.
Unternehmen sind verpflichtet, ab 2025 anonyme Meldungen zu bearbeiten
Mit der Verpflichtung zur Bearbeitung anonymer Meldungen (§ 16 Abs. 1 S. 4 HinSchG) legten Rechtsausschuss und Bundestag eine überraschende Kehrtwende hin. Sie erklärt sich als Reaktion auf die massive Kritik an der bislang vorgesehenen Regelung. Befürchtet wurde, dass anonyme Meldungen vielfach missbräuchlich genutzt werden könnten (Stichwort „Denunziantentum“) und dass Unternehmen durch die verpflichtende Bearbeitung anonymer Meldungen überlastet werden könnten. Demgegenüber sah man die Zusicherung der Vertraulichkeit der Hinweisgeberidentität als ausreichenden Anreiz für die nicht-anonyme Abgabe von Meldungen an.
Mit der Neuregelung hat sich zu Recht die Auffassung durchgesetzt, dass nur die Möglichkeit zu anonymen Meldungen ausreichend Sicherheit und Vertrauen schafft, um die Hemmschwelle zur Abgabe von Meldungen zu senken. Dies entspricht auch den Erfahrungen aus der Praxis. Hinweise auf schwerwiegende Verstöße werden nicht selten anonym gemeldet. Die Mehrzahl der Unternehmen, die bereits freiwillig ein Hinweisgebersystem eingeführt haben, betreiben aus diesem Grund nicht rein zufällig Meldekanäle mit Möglichkeit anonymer Meldung.
Verpflichtung zur Einrichtung anonymer Kommunikationskanäle ab 2025
Die Verpflichtung zur Bearbeitung anonymer Meldungen flankieren weitergehende Anforderungen zur Schaffung und Vorhaltung von anonymen Kommunikationskanälen. § 16 Abs. 1 S. 5 HinSchG schreibt vor, dass Unternehmen durch ihre Meldestellen hinweisgebenden Personen die anonyme Kontaktaufnahme und Kommunikation ermöglichen müssen. Laut Gesetzesbegründung sind hierfür notwendige technische Vorkehrungen zu treffen. Damit dürften althergebrachte Meldewege wie ein schlichter Briefkasten oder eine E-Mail-Adresse nicht mehr ausreichen. Unternehmen müssen daher einen erhöhten Aufwand für die Einrichtung von Meldekanälen betreiben und prüfen, ob sie auf technische Tools von Anbietern auf dem freien Markt zurückgreifen, die eine gesicherte anonyme Kommunikation mit den hinweisgebenden Personen ermöglichen.
Um den Unternehmen und Beschäftigungsgebern ausreichend Zeit für die Einrichtung entsprechender Systeme einzuräumen, wird die Verpflichtung zur Ermöglichung und Bearbeitung anonymer Hinweise nach § 42 Abs. 2 HinSchG allerdings erst zum 1. Januar 2025 in Kraft treten. Die EU-Whistleblower-Richtlinie sieht keine Verpflichtung zur Annahme und Bearbeitung anonymer Hinweise vor, sodass die Umsetzungsfrist insoweit nicht gilt.
Hinweisgeberschutzgesetz erlaubt Anreize zur Nutzung interner Meldestellen
Wenn auch nur Ausläufer der schon vor Erlass der EU-Whistleblower-Richtlinie lebhaft diskutierten Frage, ob internen Meldestellen Vorrang vor externen Meldestellen zu geben ist: § 7 Abs. 3 S. 1 HinSchG enthält die für Unternehmen besonders wichtige Klarstellung, dass Anreize für Meldungen an interne Meldestellen zulässig sind. Dies motiviert Beschäftigungsgeber zur Optimierung ihrer internen Meldewege.
Das Gesetz macht bewusst keine inhaltlichen Vorgaben, sondern verbietet lediglich, den Zugang zu externen Meldestellen zu erschweren und durch interne Vorschriften oder Vereinbarungen einzuschränken. Jenseits davon steht es Unternehmen frei, ob und wie sie Anreize für interne Meldungen schaffen. Sie müssen daher nicht befürchten, aufgrund eines zu starken Anreizsystems gegen die im Gesetz verankerte rechtliche Gleichstellung von externen und internen Meldewegen zu verstoßen.
Die bevorzugte Nutzung von internen Meldestellen ist für Unternehmen von größtem Interesse, da hierdurch die Chance besteht, etwaiges Fehlverhalten von Beschäftigten, Geschäftspartnern* oder Kunden früh aufzuklären und dadurch Schaden abzuwenden, Reputationsrisiken zu vermeiden sowie möglicherweise behördliche Ermittlungen zu verhindern.
Pflicht zum Ersatz immaterieller Schäden
Bei einem Verstoß gegen das im HinSchG geregelte Verbot von Repressalien (z.B. Mobbing, Stalking) können sich die hinweisgebenden Personen künftig für den Ersatz von Schäden, die keine Vermögensschäden sind, auf die vom Rechtsausschuss ergänzte Regelung in § 37 Abs. 1 S. 2 HinSchG berufen. Diese gewährt unabhängig von den Voraussetzungen des § 253 Abs. 2 BGB (Ersatz immateriellen Schadens bei Verletzung des Körpers, der Gesundheit, der Freiheit oder der sexuellen Selbstbestimmung) oder dem Vorliegen einer schwerwiegenden Verletzung des allgemeinen Persönlichkeitsrechts einen Anspruch auf eine angemessene Entschädigung in Geld.
Für erforderlich wurde diese Regelung gehalten, weil die EU-Whistleblower-Richtlinie die vollständige Schadenswiedergutmachung verlangt. Hierzu kann im Einzelfall auch Schmerzensgeld für immaterielle Schäden gehören.
Konzernlösung beibehalten, aber nicht im Gesetzestext verankert
Ausdrücklich zu begrüßen ist zu guter Letzt, dass es im Gesetzesentwurf bei der sog. „Konzernlösung“ geblieben ist. Danach dürfen sich konzernverbundene Unternehmen – unabhängig von ihrer Größe und Beschäftigtenzahl – eine gemeinsame Melde- und Untersuchungsstelle (z.B. bei der Konzernmutter) teilen. Dies ist von hoher Praxisrelevanz, da die Einrichtung eines zentralen Hinweisgebersystems erheblichen Ressourcenaufwand erspart und zudem die Konzentration der für die Bearbeitung von Meldungen notwendigen Expertise bei einer fachlich spezialisierten Stelle erlaubt.
Im Gesetz wird die Konzernlösung von § 14 Abs. 1 S. 1 HinSchG abgedeckt. Dieser besagt, dass ein „Dritter“ mit den Aufgaben der internen Meldestelle beauftragt werden kann. Der deutsche Gesetzgeber setzt die Beauftragung eines Konzernunternehmens mit dem „Outsourcing“ an einen externen Dritten (z.B. an eine Rechtsanwaltskanzlei) gleich. Dieses Verständnis stützt allerdings nur die Begründung zu § 14 Abs. 1 HinSchG. Aus dem Wortlaut des Gesetzestextes („Dritter“) ergibt es sich nicht eindeutig.
In der Gesetzesbegründung setzt sich der deutsche Gesetzgeber vielmehr in Widerspruch zur Auffassung der EU-Kommission. Diese sieht Konzerngesellschaften ausdrücklich nicht als „Dritte“ i.S.d. EU-Whistleblower-Richtlinie an. Deshalb besteht das Risiko, dass die in Deutschland zugelassene „Konzernlösung“ nicht lange Bestand haben könnte, falls die EU-Kommission hiergegen vorgehen oder das HinSchG von Gerichten gem. der Auffassung der EU-Kommission richtlinienkonform ausgelegt werden sollte. Zudem setzt eine reine Konzernlösung auch nach der Gesetzesbegründung zum HinSchG voraus, dass sie für die betroffenen Mitarbeiterinnen und Mitarbeiter keine Erschwerung der Meldung (etwa aufgrund sprachlicher Barrieren) bedeutet. Um diese Anforderung zu erfüllen, dürfte abermals der Einsatz eines digitalen Hinweisgebersystems sinnvoll sein.
Sicherlich hätte es für mehr Rechtssicherheit gesorgt, wenn die Konzernlösung auch im Gesetzestext verankert worden wäre und sich die Mitgliedsstaaten mit der EU-Kommission auf ein einheitliches Verständnis des Begriffs „Dritter“ geeinigt hätten. Da dies bislang nicht geschehen ist, zeichnet sich ein europaweiter Flickenteppich ab. Unternehmen können die von ihnen favorisierte Konzernlösung nur dort umsetzen, wo die nationalen Gesetze diese erlauben. Dies stellt europaweit tätige Konzerne vor erhebliche Herausforderungen bei der Implementierung ihres Hinweisgebersystems.
Fazit und Ausblick zum Hinweisgeberschutzgesetz: Ruhe bewahren und handeln!
Das noch in diesem Jahr im Bundestag sprichwörtlich in letzter Minute verabschiedete HinSchG gibt Unternehmen mit mind. 50 Beschäftigten, die noch über kein Hinweisgebersystem verfügen, Anlass, schnellstmöglich ein Hinweisgebersystem zu implementieren. Wie die Erfahrung aus der anwaltlichen Praxis zeigt, sind beim Aufbau eines Hinweisgebersystems viele Fragen zu berücksichtigen, die umso mehr werden, als Jurisdiktionen von der Umsetzung betroffen sind. Regelmäßig sind auch Änderungen im Compliance-Management, insbesondere die Überarbeitung von Compliance-Richtlinien, erforderlich. Zu denken ist ferner an die notwendige datenschutzrechtliche Dokumentation und die arbeitsrechtliche Implementierung. Hierfür ist ausreichend Zeit einzuplanen.
Auch wenn der Bundesrat dem HinSchG noch zustimmen muss und die nächste Plenarsitzung erst am 10. Februar 2023 stattfinden wird, bleibt nicht mehr viel Zeit. Es ist zu erwarten, dass das HinSchG noch im Februar 2023 verkündet und drei Monate später, also spätestens Ende Mai 2023, in Kraft treten wird. Eine Übergangsfrist zur Umsetzung besteht nur für Unternehmen mit i.d.R. 50 bis 249 Beschäftigten. Diese müssen interne Meldestellen erst ab dem 17. Dezember 2023 einrichten.
*Gemeint sind Personen jeder Geschlechtsidentität. Um der leichteren Lesbarkeit willen wird im Beitrag die grammatikalisch männliche Form verwendet.