Nicht selten sind Meldungen von Hinweisgebern Auslöser für eine Internal Investigation. Hierbei sind jedoch strenge Anforderungen nach dem Hinweisgeberschutzgesetz (HinschG) zu beachten.
Mit Inkrafttreten des HinschG in Deutschland zum 2. Juli 2023 wurden zunächst alle Unternehmen mit mehr als 249 Beschäftigten verpflichtet, ein Hinweisgebersystem einzurichten, über das insbesondere Beschäftigte Meldungen über vermutete oder festgestellte Gesetzesverstöße sicher und vertraulich abgeben können. Seit dem 17. Dezember 2023 gilt diese Verpflichtung für alle Unternehmen mit mehr als 50 Beschäftigten.
Mehr Internal Investigations durch Hinweisgebersysteme
Das Vorhandensein sicherer Meldekanäle führt mittlerweile in der Praxis zu einem höheren Aufkommen von Meldungen über mögliche Gesetzesverstöße und damit auch zu einer Zunahme von Internal Investigations.
Die für die Bearbeitung eingehender Meldungen bestimmte interne Meldestelle hat nach § 17 HinschG im ersten Schritt zu prüfen, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich des HinschG fällt und ob die eingegangene Meldung stichhaltig ist. Sofern dies der Fall ist, hat die interne Meldestelle entweder selbst eine Untersuchung des Sachverhalts durchzuführen oder das Verfahren an eine andere, für Untersuchungen zuständige Einheit des Unternehmens abzugeben. Während die Durchführung von Internal Investigations im deutschen Recht – abgesehen von datenschutzrechtlichen und arbeitsrechtlichen Rahmenbedingungen – bislang noch weitgehend ungeregelt ist, so stellt das HinschG an die Durchführung von Untersuchungen, die aus der Meldung eines Hinweisgebers* resultieren, mitunter strenge Anforderungen, die es zu beachten gilt. Auch stellen sich im Zusammenhang mit der Bearbeitung von Hinweisgebermeldungen grundsätzliche Fragen.
Bearbeitung anonymere Meldungen zu empfehlen
Eine praktisch bedeutsame und vielfach diskutierte Frage im Zusammenhang mit Hinweisgebersystemen ist, ob interne Meldestellen verpflichtet sein sollen, anonym abgegebene Hinweise zu bearbeiten und gegebenenfalls aufgrund solcher Hinweise eine Untersuchung durchzuführen. Der deutsche Gesetzgeber hat sich im Gesetzgebungsverfahren des HinSchG dafür entschieden, dass die Entgegennahme und Bearbeitung anonymer Hinweise gesetzlich nicht verpflichtend ist. Die interne Meldestelle sollte jedoch eingehende anonyme Meldungen bearbeiten, § 16 Abs. 1 Satz 4 HinSchG. Das den Unternehmen insoweit eingeräumte Ermessen wird sich in vielen Fällen zu einer Untersuchungspflicht wandeln. Denn unter Berücksichtigung der geltenden Legalitätspflicht der Geschäftsleitung ist die Bearbeitung anonymer Meldungen jedenfalls dann als verpflichtend anzusehen, wenn diese plausibel und relevant sind und Informationen enthalten, die eine weitere Untersuchung des Sachverhalts erfordern, um Schaden vom Unternehmen abzuwenden. Auch zeigt die Praxis, dass viele Hinweisgeber trotz des gesetzlichen Schutzes aus Sorge vor nachteiligen Auswirkungen auch heute noch anonyme Meldungen abgeben. In der überwiegenden Zahl der Fälle liefern anonyme Meldungen ebenso stichhaltige Hinweise auf Fehlverhalten, wie Meldungen von Hinweisgebern, die ihre Identität offenlegen.
Vertraulichkeit bei der Untersuchung von Hinweisgebermeldungen zwingend
Im Rahmen von Internal Investigations werden regelmäßig verschiedene Organe, Stellen oder Personen im Unternehmen eingebunden. Bei der Untersuchung von Hinweisgebermeldungen hat die interne Meldestelle zwingend das Vertraulichkeitsgebot nach § 8 HinSchG zu beachten. Danach hat die interne Meldestelle die Vertraulichkeit der Identität des Hinweisgebers und der von einer Meldung betroffenen Personen zu wahren (§ 8 Abs. 1 S. 1 HinSchG). Verstöße gegen das Vertraulichkeitsgebot können mit empfindlichen Bußgeldern geahndet werden.
Das Vertraulichkeitsgebot dient sowohl dem Schutz des Hinweisgebers als auch dem Schutz der von dem Hinweis betroffenen Personen – also derjenigen, die im Rahmen einer Meldung eines Fehlverhaltens verdächtigt werden. Vor diesem Hintergrund ist der Kreis der Personen, die Kenntnis über die Identitäten des Hinweisgebers und der von dem Hinweis betroffenen Personen haben, möglichst klein zu halten. Die Identität darf grundsätzlich nur den Mitarbeitern der internen Meldestelle, die für die Entgegennahme von Meldungen oder für das Ergreifen von Folgemaßnahmen zuständig sind, sowie den sie bei der Erfüllung dieser Aufgaben unterstützenden Personen (z.B. Assistenzen oder IT-Kräfte) bekannt werden (§ 8 Abs. 1 S. 2 HinSchG). Das Vertraulichkeitsgebot erstreckt sich auch auf solche ergänzenden Informationen, die Rückschlüsse auf die Identität erlauben. Über diesen regelmäßig sehr kleinen Kreis von Berechtigten hinaus darf die Identität der hinweisgebenden Person grundsätzlich keinen anderen Stellen im Unternehmen bekannt gemacht werden. Dies schließt insbesondere solche Stellen im Unternehmen ein, die im Rahmen einer Internal Investigation eingebunden werden (z.B. Untersuchungseinheit, Revision, Personalabteilung). Ferner gilt das Vertraulichkeitsgebot auch in Bezug auf die Mitglieder der Geschäftsleitung. Auch diese dürfen die Identität der hinweisgebenden Person grundsätzlich nicht erfahren, sofern sie nicht ausnahmsweise selbst Mitglieder der internen Meldestelle sind, was praktisch jedoch selten der Fall ist.
Ausnahmen vom Vertraulichkeitsgrundsatz sind in § 9 HinSchG geregelt. Informationen über die Identität des Hinweisgebers oder über sonstige Umstände, die Rückschlüsse auf die Identität des Hinweisgebers erlauben, dürfen nach § 9 Abs. 3 HinSchG nur dann weitergegeben werden, wenn
- die Weitergabe der Identität des Hinweisgebers für die interne Untersuchung erforderlich ist und
- die Einwilligung des Hinweisgebers vorliegt.
Die Einwilligung des Hinweisgebers muss gemäß § 9 Abs. 3 S. 2 HinSchG für jede einzelne Weitergabe gesondert und in Textform vorliegen. Eine pauschalisierte Einwilligung des Hinweisgebers ist ebenso wenig zulässig wie eine antizipierte Einwilligung, die sich nicht auf eine konkrete Weitergabe bezieht. Sofern die die Voraussetzungen für die Offenlegung der Identität nicht erfüllt sind, darf die interne Meldestelle die Informationen über den Sachverhalt nur anonymisiert oder in einer verallgemeinerungsfähigen Form weitergeben, die keinen Schluss auf die Identität der betroffenen Personen zulässt.
Auch Informationen über die Identität von Personen, die Gegenstand einer Meldung sind (Betroffene) sind grundsätzlich vertraulich zu behandeln. Allerdings sieht das Gesetz hier weitergehende Ausnahmen vor. Informationen über die Identität Betroffener dürfen auch ohne deren Einwilligung weitergegeben werden, sofern dies im Rahmen der internen Untersuchung oder für das Ergreifen anderer Folgemaßnahmen erforderlich ist (§ 9 Abs. 4 Nr. 2, 3 HinSchG). Die Weitergabe der Identität der von der Meldung betroffenen Person wird bei Internal Investigation regelmäßig erforderlich sein, um bestimmte Untersuchungsmaßnahmen wie z.B. die Untersuchung von E-Mail-Konten oder Personalunterlagen zu ermöglichen.
Unabhängigkeit der internen Meldestelle
Praxisrelevante Fragen im Zusammenhang mit Internal Investigations wirft auch die nach dem HinschG angeordnete Unabhängigkeit der internen Meldestelle auf. Die interne Meldestelle ist nach § 15 Abs. 1 S. 1 HinSchG bei der Ausübung ihrer Tätigkeit unabhängig. Insoweit stellt sich die Frage, ob die Interne Meldestelle eine Untersuchung vollständig frei und ohne Einbindung der Geschäftsleitung durchführen und inwieweit die Geschäftsleitung auf die Art und Weise einer Untersuchung überhaupt Einfluss nehmen darf. Das Kriterium der Unabhängigkeit der internen Meldestelle darf jedoch nicht zu weit verstanden werden und ist im Lichte der Pflichten der Geschäftsleitung zu sehen. Die Unabhängigkeit der internen Meldestelle bedeutet im Grundsatz, dass diese Ihre Aufgabe frei von sonstigen Interessenkonflikten nachkommen muss. Auch wird die Unabhängigkeit so zu verstehen sein, dass der internen Meldestelle nicht vorgeschrieben werden kann, eingehende Meldungen grundsätzlich nicht zu bearbeiten. Ungeachtet dessen darf und muss unter Umständen auch die Geschäftsleitung des Unternehmens in die Untersuchung eingebunden werden und kann auch über die Art und Weise einer notwendigen Untersuchung entscheiden. Denn die Geschäftsleitung unterliegt weiterhin der Legalitätspflicht. Hierzu zählt auch die Pflicht, Hinweisen auf internes Fehlverhalten nachzugehen und festgestellte Verstöße abzustellen. Die Geschäftsleitung bleibt damit weiterhin in der Verantwortung. Zudem kann bei komplexen Sachverhalten und Sachverhalten von unternehmerischer Bedeutung eine umfangreiche interne, ggf. nur durch Externe durchzuführende Untersuchung erforderlich sein. Diese kann je nach Sachverhalt erhebliche finanzielle und organisatorischen Folgen für das Unternehmen zur Folge haben. Entscheidungen mit solchen Auswirkungen sind stets von der Geschäftsleitung zu treffen.
Rückmeldefristen sind zu beachten
Häufig sind interne Untersuchungen komplex und zeitaufwendig. Dies kann im Einzelfall dazu führen, dass eine Untersuchung mehrere Monate andauert. Hierbei ist die gesetzliche Rückmeldefrist der internen Meldestelle an den Hinweisgeber aus § 17 Abs. 2 HinschG zu beachten. Danach hat die interne Meldestelle einm Hinweisgeber innerhalb von drei Monaten nach Eingangsbestätigung eine Rückmeldung über die Folgemaßnahmen und die Gründe für diese zu geben. Sofern eine Untersuchung zu diesem Zeitpunkt noch nicht abgeschlossen ist, wird die Interne Meldestelle dem Hinweisgeber nach drei Monaten einen Zwischenstand mitteilen müssen.
Fazit: Meldeverfahren überprüfen
Das HinschG gibt den Unternehmen für interne Untersuchungen, die sich aus Hinweisgebermeldungen ergeben, einige Anforderungen an die Hand. Insbesondere solchen Unternehmen, die bereits vor dem Inkrafttreten des HinschG ein Hinweisgebersystem eingerichtet und einen Meldeprozess etabliert hatten, ist zu empfehlen, diesen kritisch im Lichte der neuen Anforderungen zu überprüfen. Die Erfahrung aus der Beratungspraxis zeigt, dass die Meldeprozesse vieler Unternehmen hier noch Lücken aufweisen und insbesondere den Vertraulichkeitsgrundsatz nicht hinreichend berücksichtigen. Das ist riskant: Wird der Vertraulichkeitsgrundsatz im Rahmen einer Untersuchung verletzt, drohen dem Unternehmen und den handelnden Personen der internen Meldestelle erhebliche Bußgelder.
* Gemeint sind Personen jeder Geschlechtsidentität. Um der leichteren Lesbarkeit willen wird im Beitrag die grammatikalisch männliche Form verwendet.
