Zum Inhalt wechseln
Hinweisgeberschutzgesetz (HinSchG): Leitfaden für die Umsetzung in Unternehmen
Mit diesem Artikel möchten wir Sie auf den aktuellen Stand zum Hinweisgeberschutzgesetz (HinschG) als Umsetzung der seit dem 17. Dezember 2021 geltenden EU-Richtlinie bringen. Wir räumen die Unsicherheiten und Vorbehalte gegenüber Hinweisgebersystemen aus dem Weg und vermitteln Ihnen als Unternehmen klare Handlungsempfehlungen.
Und das Fazit nehmen wir gern vorweg: Da das Gesetz am 12.05.2023 verabschiedet wurde und am 02.07.2023 für Unternehmen ab 250 Mitarbeitenden in Kraft getreten ist, sollten Unternehmen sofort handeln. Die Richtlinie zwingt Sie zu Ihrem Glück, indem es Ihnen ein Frühwarnsystem für Ihr Unternehmen und ein Schutzschild für Ihre Mitarbeiter vorschreibt.
Aktuelle Info zur Umsetzungsfrist: Hinweisgeberschutzgesetz im Bundesgesetzblatt veröffentlicht
Am 9. Mai hat sich der Vermittlungsausschuss von Bundestag und Bundesrat auf Änderungen im Hinweisgeberschutzgesetz geeinigt. Der Bundestag hat das Gesetz am 11. Mai 2023 verabschiedet, der Bundesrat hat den Änderungen am 12. Mai 2023 zugestimmt. Seit dem 2. Juni 2023 ist das Gesetz im Bundesgesetzblatt veröffentlicht. Die wichtigsten Änderungen finden Sie weiter unten im Beitrag zusammengefasst.
Umsetzungsfrist
Mit einer Umsetzungsfrist von einem Monat sind Unternehmen mit mindestens 250 Mitarbeitenden seit dem 02.07.23 verpflichtet, ein Hinweisgebersystem eingerichtet zu haben. Private Beschäftigungsgeber mit 50 bis 249 Beschäftigten werden ab dem 17. Dezember 2023 verpflichtet sein, eine interne Meldestelle einzurichten. Wir empfehlen eine zeitnahe und proaktive Umsetzung, unabhängig von der Unternehmensgröße!
Umsetzung des Hinweisgeberschutzgesetzes: so müssen deutsche Unternehmen jetzt handeln
- Unternehmen ab 250 Mitarbeitern: Es besteht eine Verpflichtung zur Einführung eines Hinweisgebersystems. Die Umsetzungsfrist lief am 02.07.2023 ab.
- Unternehmen mit 50 bis 249 Mitarbeitern: Auch diese Unternehmen müssen ihren Mitarbeitern einen Meldekanal zur Verfügung stellen, allerdings haben sie dazu bis zum 17.12.2023 Zeit.
- Unternehmen im öffentlichen Sektor, bzw. Kommunen und Städte mit über 10 Tausend Einwohnern sind ebenfalls vom Gesetz betroffen. Die Umsetzungsfrist lief hier bereits im Juni 2023 ab.
- Die Meldesysteme müssen sowohl eine schriftliche oder mündliche als auch eine persönliche Meldung von Vorfällen erlauben.
- Innerhalb von 7 Tagen muss ein Hinweis von der internen Meldestelle bearbeitet bzw. bestätigt werden.
- Spätestens 3 Monate nach Meldung müssen Hinweisgeber über die ergriffenen Maßnahmen informiert werden.
- Die Anwendungsbereiche des Hinweisgeberschutzgesetzes beziehen sich auf das EU-Recht und das nationale Recht.
- Das Hinweisgebersystem muss DSGVO-konform sein und die Identität des Hinweisgebers schützen. Das Angebot einer anonymisierten Abgabe von Meldungen wird ausdrücklich empfohlen, ist aber nicht verpflichtend.
- Bei Gesetzesverstößen müssen Unternehmen mit Bußgeldern von bis zu 50.000 € rechnen.
Deutsches Hinweisgeberschutzgesetz: Was ist Hinweisgeberschutz?
Eine der größten Herausforderungen im Zusammenhang der Umsetzung eines Hinweisgeberschutzgesetzes in Unternehmen ist die negative Konnotation, die häufig beim Thema „Whistleblowing“ mitschwingt. Der Begriff steht im Zusammenhang mit Geheimnisverrat und wird damit sehr einseitig interpretiert. Verkannt wird dabei, dass es nicht generell schlecht ist, wenn Geheimnisse aufgedeckt werden – insbesondere, wenn diese Gesetzesverstöße beinhalten. Durch das Aufdecken von Gesetzesverstößen in Unternehmen werden unternehmensinterne Hinweisgeber zu einem Frühwarnsystem. Das ermöglicht, gemeldete Probleme zu lösen statt eines Tages ohne Vorankündigung als Skandal in den Schlagzeilen zu landen.
Mitarbeiter müssen sich bei der Beobachtung von Gesetzesverstößen entscheiden, ob sie diese melden oder nicht. Je nach Machtverhältnissen und Unternehmenskultur resultierte eine solche Meldung in persönlichen Nachteilen, Ausgrenzung oder Kündigung. Das führte dazu, dass die persönlichen Risiken eines Hinweisgebers zu einer häufig unüberwindbaren Hürde wurden.
Um genau dieses Zögern zu verhindern, hat die EU beschlossen, Hinweisgeber mit einem HinschG in Zukunft besser zu schützen. Jemand, der einen Missstand im Unternehmen aufdeckt, darf keine Benachteiligung fürchten oder gar um seinen Job oder seine Zukunft bangen müssen.
Bei Missachtung der Umsetzungsfrist zum Hinweisgeberschutzgesetz drohen Bußgelder
Beschäftigungsgeber mit 250 oder mehr Beschäftigten müssen die Vorgaben des Hinweisgeberschutzgesetzes bereits zum 2. Juli 2023 umsetzen. Für Unternehmen zwischen 50 und 249 Beschäftigten ist der Stichtag der Umsetzungsfrist der 17.12.2023. Es müssen dann interne Meldestellen und Konzepte zum Schutz von Hinweis Gebenden eingerichtet und betrieben werden. Erfolgt dies nicht, drohen den Unternehmen Bußgelder von bis zu 50.000 €.
Welche Änderungen gab es im Vermittlungsausschuss?
In der Beschlussempfehlung des Vermittlungsausschusses vom 9. Mai finden sich ein paar wesentliche Änderungen am Gesetz wieder.
Anonymität
Es gibt keine Pflicht, die Abgabe anonymer Meldungen zu ermöglichen (weder für interne noch für externe Meldestellen). Die Vorgabe ist jedoch, dass die Stellen auch anonym eingehende Meldungen bearbeiten sollen.
Interne/Externe Meldungen
Meldende sollen den internen Weg bevorzugen, falls auf dem Weg wirksam gegen Verstöße vorgegangen werden kann.
Beweislast
Das Gesetz sieht weiterhin eine Beweislastumkehr vor, wenn die hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit erleidet. Meldende müssen sich in einem Gerichtsverfahren aber ausdrücklich darauf berufen. Der Schmerzensgeldanspruch für Meldende wurde gestrichen.
Bußgelder
Die Bußgelder für Unternehmen, die sich nicht an die neuen Vorgaben halten, wurden von 100.000 Euro auf 50.000 Euro herabgesetzt.
Hinweisgeber sollen im Grundsatz die Wahl zwischen externer und interner Meldung haben. Das bedeutet auch, dass Beschäftigungsgeber Anreize dafür schaffen sollten, dass sich hinweisgebende Personen zunächst an die jeweilige interne Meldestelle des Beschäftigungsgebers wenden, bevor sie eine Meldung bei einer externen Meldestelle des Bundes oder des Landes einreichen.
Bisheriger Verlauf zum Hinweisgeberschutzgesetz
Mai 2023: Am 9. Mai 2023 einigte sich der Vermittlungsausschuss von Bundestag und Bundesrat auf Änderungen im Hinweisgeberschutzgesetz. Der Bundestag hat das Gesetz daraufhin am 11. Mai 2023 verabschiedet, der Bundesrat hat den Änderungen am 12. Mai 2023 zugestimmt.
Dezember 2022: Nun ist es offiziell: Am 16.12.2022 hat der Deutsche Bundestag das Hinweisgeberschutzgesetz verabschiedet. Mit inhaltlichem Änderungsbedarf hatte der Regierungsentwurf des Gesetzes erst zwei Tage zuvor den Rechtsausschuss passiert. Die signifikanten Änderungen für das Gesetz wurden rasch von der Regierungskoalition durchgewunken. Für den finalen Schritt zum Hinweisgeberschutzgesetz muss der Bundesrat allerdings noch zustimmen.
Juli 2022: Die Bundesregierung veröffentlicht einen konkreten Gesetzesentwurf.
Dezember 2021: Die Umsetzungsfrist der EU zur Implementierung eines nationalen Hinweisgeberschutzgesetzes läuft ab.
Das Hinweisgeberschutzgesetz zum Schutz von Whistleblowern
Die EU-Richtlinie zum Schutz von Hinweisgebern (EU-Direktive 2019/1937) verlangt, dass alle Unternehmen mit mehr als 50 Mitarbeitenden ein Hinweisgebersystem einrichten. Das gilt auch für Behörden und öffentliche Einrichtungen, sowie für Kommunen ab 10.000 Einwohnern. Für Unternehmen zwischen 50 und 249 Mitarbeitenden gilt eine verlängerte Umsetzungsfrist bis 17. Dezember 2023. Die EU-Richtlinie, das Hinweisgeberschutzgesetz und die damit einhergehenden Anforderungen an Unternehmen sollen Whistleblower besser schützen, wenn sie Gesetzesverstöße innerhalb des Unternehmens melden. Dafür soll ein internes Hinweisgebersystem als Meldekanal sorgen. Dieses soll nicht nur für die eigenen Arbeitnehmer, sondern auch für die von Vertriebspartnern, Kunden und Dienstleistern zugänglich sein.
Hinweisgeberschutzgesetz: Die Umsetzung der Whistleblowing-Richtlinie
Da es sich um eine Richtlinie handelt und nicht um eine Verordnung (wie bei der DSGVO), müssen alle EU-Mitgliedsstaaten zusätzlich ein eigenes nationales Hinweisgeberschutzgesetz verabschieden, das den Schutz von Hinweisgebern gewährleistet. Dabei stellen die rechtlichen Anforderungen der EU-Richtlinie das „Minimum“ dar.
Viele europäische Länder waren mit der Umsetzung der EU-Richtlinie schneller als die Deutsche Bundesregierung. Manche Regierungen sehen außerdem strengere Sanktionen vor als Deutschland. In Polen drohen Geschäftsführern bis zu 3 Jahre Haft bei Missachtung der Gesetzgebung. Andere Länder wie Tschechien schreiben bereits Unternehmen mit mehr als 25 Mitarbeitern vor, ein Hinweisgebersystem zu implementieren.
Das Hinweisgeberschutzgesetz verpflichtet zu Hinweisgebersystemen
Ein Hinweisgeberschutzgesetz definiert alle Personen als potenzielle Hinweisgeber, die im Rahmen ihrer Arbeitstätigkeit mit Ihrem Unternehmen in Kontakt stehen. Somit betrifft es nicht nur Ihre Mitarbeiter, sondern auch Kunden oder Lieferanten (mehr dazu lesen Sie in unserem Beitrag „Was ist ein Whistleblower?“). Daher ist das Unternehmen verpflichtet, leicht und verständlich über die Meldemöglichkeiten und die Bearbeitung von Meldungen aufzuklären (beispielsweise auf der Unternehmens-Website).
Neben der Möglichkeit, schriftlich und mündlich melden zu können, muss das Unternehmen auch einen persönlichen Austausch auf Wunsch des Hinweisgebers ermöglichen. Dabei muss es die Daten im Zusammenhang mit der Meldung natürlich auch DSGVO-konform verarbeiten.
Die Whistleblowing-Richtlinie verpflichtet nicht dazu, anonyme Meldungen zu ermöglichen. Sie überlasst dies den Unternehmen beziehungsweise den Behörden selbst. Das deutsche Hinweisgeberschutzgesetz hat durch die Änderung im Vermittlungsausschuss ebenfalls ein „soll“ (und kein „muss“) an das Thema Anonymität geheftet. Die Empfehlung ist jedoch eindeutig: Nur Anonymität schafft ausreichend Sicherheit und Vertrauen, um die Hemmung vor dem Melden an sich zu reduzieren. Die Mehrzahl der Unternehmen, die bereits Hinweisgebersysteme implementiert haben, haben sich für Meldekanäle inklusive anonymer Meldemöglichkeit entschieden.
Weitere Anforderungen an Unternehmen und Behörden durch die EU-Whistleblowing-Richtlinie
Die Richtlinie schreibt jedoch nicht nur die Implementierung von Hinweisgebersystemen vor. Sie fordert außerdem, Verfahren zur Hinweisbearbeitung in Ihrem Unternehmen einzurichten. Durch die Vorgabe von bestimmten Fristen, innerhalb derer Ihr Unternehmen auf Hinweise reagieren muss, fordert die Richtlinie auch die Steuerung von Folgemaßnahmen:
- Innerhalb von 7 Tagen muss Ihr Unternehmen dem Hinweisgeber bestätigen, dass der Hinweis eingegangen ist.
- Sie müssen außerdem den Hinweisgeber über ergriffene Folgemaßnahmen informieren und das nach spätestens drei Monaten.
Wichtig für diese zusätzlichen Anforderungen ist die Auswahl und Benennung einer unparteiischen Person, die als Hinweisempfänger für die Meldungen und die Kommunikation mit dem Hinweisgeber verantwortlich ist. Dies kann je nach Unternehmensgröße neben der Geschäftsführung oder einem Compliance Officer alternativ auch ein externer Verantwortlicher für Ihr Unternehmen übernehmen. Sie müssen jedoch sicherstellen, dass die verantwortliche Person keinem Interessenskonflikt ausgesetzt ist.
Hier gilt die Beweislastumkehr: Im Zweifel ist der Arbeitgeber verpflichtet, nachzuweisen, dass eine Kündigung nicht im Zusammenhang mit dem Hinweisgeben seitens des Mitarbeiters zu tun hat. Dies erfordert eine lückenlose Dokumentation des gesamten Prozesses rund um den Hinweis – sowohl für das Unternehmen als auch für den Hinweisgeber.
Hinweisgeberschutz ist Unternehmensschutz
Die rechtlichen Anforderungen des neuen Hinweisgeberschutzgesetzes werfen bei Unternehmen in der Praxis viele Fragen auf. Mehr zum aktuellen Stand des Hinweisgeberschutzgesetzes, zu gesetzlichen Anforderungen an Whistleblower-Software und zur praktischen Umsetzung erfahren Sie in diesem Ausschnitt unseres Webinars vom 25.05.23. Die gesamte Aufzeichnung können Sie hier anfordern.
Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von YouTube.
Mehr erfahren
Hinweisgeberschutzgesetz: Aufforderung zur Implementierung interner und externer Meldekanäle
Die EU-Richtlinie verpflichtet Unternehmen dazu interne und externe Meldekanäle zu implementieren. Worin besteht der Unterschied zwischen den Kanälen?
Interne Kanäle
„Intern“ bedeutet in diesem Fall „unternehmensintern“, also innerhalb der juristischen Person, allerdings kann dieser interne Meldekanal auch über einen externen Dienstleister (wie einen Software-Provider und / oder einen Rechtsanwalt) abgebildet werden.
Pro
- schnellerer Informationsfluss
- Möglichkeit, gegenzusteuern und Probleme direkt intern zu lösen
- Hinweisempfänger kennt das Unternehmen und kann den Inhalt der Meldung schneller einordnen
Contra
- hohe Anforderungen an Sicherheit, Datenschutz & Prozesse
- Hemmungen seitens der Hinweisgebenden 🡪 mehr Kommunikation zur Vertrauensschaffung notwendig
Den internen Meldekanal von einem Dritten mit dessen Einführung beziehungsweise mit dessen Betreuung zu beauftragen, ist dabei nicht nur explizit als rechtskonforme Lösung in der Richtlinie aufgeführt, sondern kann auch ein praktikabler Kompromiss in der Praxis sein: Potenzielle Hinweisgeber fürchten häufig, dass sie bei unternehmensinternen Meldesystemen nicht tatsächlich anonym bleiben oder bemängeln fehlende Transparenz bezüglich der Bearbeitung und Verantwortung der Meldungen. „Kann jemand Neugieriges aus unserer IT nicht herausfinden, dass ich der-/diejenige war, der/die die Meldung abgegeben hat?“, ist in diesem Szenario eine häufig gestellte Frage.
Ein interner Meldekanal, der von der IT-Infrastruktur des Unternehmens unabhängig ist, kann diese Vorbehalte auflösen. Unternehmen können die Betreuung und Bearbeitung der Meldungen außerdem Rechtsanwälten oder Compliance-Beratern überlassen. Manche Unternehmen gehen sogar soweit, nicht etwa den „Rechtsanwalt des Vertrauens“ damit zu beauftragen, mit dem das Unternehmen schon seit Jahren zusammenarbeitet. Sie wählen aktiv für diese Aufgabe einen „neuen“ Rechtsanwalt aus. Das kann zusätzliche Sicherheit bei den Beschäftigten schaffen, da dadurch die Wahrscheinlichkeit eines Interessenkonflikts sinkt.
Externe Kanäle
Die Richtlinie fordert außerdem externe Kanäle, die dem Hinweisgeber neben einem unternehmensinternen Meldekanal zur Verfügung stehen sollen. Die Instanz des externen Meldekanals soll von jedem EU-Mitgliedsstaat von einer dafür errichteten behördlichen Stelle abgebildet werden. Selbstverständlich gelten auch für externe Meldekanäle alle Anforderungen des Hinweisgeberschutzgesetzes. Eine externe Meldung löst dann eine behördliche Untersuchung aus.
Pro
- völlig unabhängig vom Unternehmen
- standardisierte Prüfung der Meldungen
Contra
- Unternehmen erfährt erst bei Eskalation / durch Anstoßen interner Untersuchung von dem internen Missstand 🡪 unkalkulierbares Risiko für Unternehmen
- langsamerer Informationsfluss
Wichtig ist, dass Unternehmen auf beide Kanäle – unternehmensintern sowie externe Stelle – hinweisen sollten und Mitarbeitende die freie Wahl haben, welchen Kanal sie zur Meldung Ihrer Beobachtungen wählen.
Der Anreiz für Unternehmen ist also groß, den internen Meldekanal intuitiv und allzeit zugänglich zu gestalten und unter den Beschäftigten Vertrauen zu diesem Kanal zu schaffen. Damit kann eine behördliche Untersuchung, also ein Involvieren Dritter, verhindert und das Problem intern bearbeitet und gelöst werden.
Welche Meldesysteme entsprechen den Anforderungen eines Hinweisgeberschutzgesetzes?
Der einfache, weit verbreitete „gute alte Kummerkasten“ scheitert schon an der bilateralen Kommunikation, die notwendig ist, um dem Hinweisgeber den Eingang seiner Meldung bestätigen zu können. Welche weiteren Meldekanäle existieren, können Sie in unserem Blog-Beitrag „Was ist ein Hinweisgebersystem?“ nachlesen.
In der Praxis haben sich aber vor allem digitale Hinweisgebersysteme bewährt:
-
Einige System-Anbieter kümmern sich um die Konformität mit der EU-Richtlinie und das sogar grenzüberschreitend (inklusive Konformität mit den nationalen Gesetzen in den jeweiligen EU-Mitgliedsstaaten).
-
Mit der richtigen Markt-Analyse können Sie ein Ressourcen-effizientes Whistleblowing-System für Ihr Unternehmen finden, das nicht nur ein gutes Preis-Leistungs-Verhältnis, sondern auch eine schnelle Umsetzung in Ihrem Unternehmen bietet. Lesen Sie dazu mehr in unserem Beitrag „Kosten eines Hinweisgebersystems“.
Fangen Sie noch heute an, nach dem richtigen Hinweisgebersystem für Ihr Unternehmen zu suchen und achten Sie bei der Auswahl Ihrer Whistleblowing-Software darauf, dass es in diesem Falle kein „one size fits all“ gibt.
Konsequenzen bei Verstößen gegen das Hinweisgeberschutzgesetz
In Ihrer Stellungnahme sieht die EU explizit Sanktionen für jene Unternehmen vor, die kein Hinweisgebersystem einrichten. Im deutschen Hinweisgeberschutzgesetz sind diese Bußgelder auf bis zu 50.000 € beziffert. Das gilt ebenso für Unternehmen, die andere Anforderungen im Rahmen des Hinweisgeberschutzes nicht beachten, wie beispielsweise die Identität des Hinweisgebers nicht vertraulich zu behandeln oder sogar Repressalien gegen den Whistleblower zu ergreifen.
Unabhängig davon hat die Nicht-Einhaltung der Vorgaben der EU-Whistleblower-Richtlinie einen hohen Preis: Hat das Unternehmen…
- kein für den Hinweisgebenden einfach zugängliches Hinweisgebersystem eingerichtet, …
- zwar einen internen Meldekanal, aber dem Hinweisgeber nicht fristgerecht den Meldungseingang bestätigt, …
- zwar einen internen Meldekanal, aber den Hinweisgeber nicht fristgerecht über das Untersuchungsergebnis oder Folgemaßnahmen informiert, …
Sanktionen und Schadensersatzansprüche im deutschen Hinweisgeberschutzgesetz
Das Gesetz sieht einen Schadensersatz für den Hinweisgeber vor, sollte dieser nicht vor Repressalien geschützt werden. Andererseits sind jedoch auch Hinweisgeber zum Zahlen eines Schadensersatzes verpflichtet, wenn vorsätzlich eine Falschmeldung abgegeben wurde. Zusätzlich haben Unternehmen mit Geldbußen zu rechnen, die sich nicht an die Vorgaben des Hinweisgeberschutzgesetzes halten. Anders als im Datenschutz wurde der Schmerzensgeldanspruch für hinweisgebende Personen in der letzten Änderung des Gesetzes wieder gestrichen.
Schritte für die Umsetzung des Hinweisgeberschutzgesetzes
Unternehmer sollten sich zeitnah um die Reduktion der persönlichen Haftung kümmern. Denn das ist das, was ein Hinweisgeberschutzgesetz hier eigentlich auf den Weg bringt: ein Frühwarnsystem für Ihr Unternehmen. Ein Schutzschild für Ihre Mitarbeiter. Wählen Sie den externen Dienstleister Ihres Vertrauens, um diesen Meldekanal in Ihrem Unternehmen einzurichten und sicherzustellen, dass ihn Ihre Mitarbeitenden auch tatsächlich verwenden.
Wie Sie das erreichen können? Informieren Sie sich in unserem Leitfaden „Zur Umsetzung des Hinweisgeberschutzgesetzes in Ihrem Unternehmen“ über die nächsten Schritte und Handlungsempfehlungen.
Haben Sie Fragen? Kontaktieren Sie gern einen unserer Experten für ein persönliches Gespräch.
Unser nächstes kostenfreies Webinar für Sie:
Rund um das Thema Whistleblowing bieten wir regelmäßig spannende Webinare an.
Kunden, Partner und Experten treten hier in Dialog mit uns und Ihnen, um über Erfahrungsberichte und Expertisen zu Whistleblowing im Zusammenhang mit Lieferketten, ESG & Nachhaltigkeit sowie mit Arbeitsrecht und Datenschutz etc. zu berichten.
Laden Sie sich jetzt die Aufzeichnung unseres letzten Webinars herunter!
(Die verwendete männliche Form bezieht sich auf alle Personen, gleich welchen Geschlechts.)
