Whistleblowing

Oftmals werden Missstände in Unternehmen von den Mitarbeitern selbst aufgedeckt. Um diese Informanten vor möglichen Repressalien zu schützen, wurde 2023 das Hinweisgeberschutzgesetz (HinSchG) eingeführt. Damit verbunden sind aber auch neue und umfangreiche Pflichten für Arbeitgeber.

Whistleblowing – ein Begriff, den die meisten spätestens seit dem NSASkandal mit den Namen Edward Snowden oder Julian Assange verbinden. Aber auch in Unternehmen und der öffentlichen Verwaltung gibt es immer wieder Fälle, in denen Mitarbeiter – oft mit großer Sorge um ihren Arbeitsplatz – Missstände aufdecken. Diese zu schützen und einen Beitrag zur Aufdeckung sowie Ahndung von Missständen zu leisten, ist Aufgabe des schon lange diskutierten „Whistleblowergesetzes“, korrekt bezeichnet als Hinweisgeberschutzgesetz (HinSchG). Es ist am 02.07.2023 in Kraft getreten.

Meldekanäle
Das HinSchG eröffnet jedem Mitarbeiter – hierzu zählen auch Leiharbeitnehmer – eine Vielzahl von Wegen, Beiträge zur Aufdeckung und Ahndung von Missständen zu leisten. Primäres Instrument ist das „interne“ Whistleblowing, d. h. die Information erfolgt über sogenannte „interne Meldekanäle“. Dies sind von den Unternehmen eingerichtete Stellen, die entsprechende Hinweise entgegennehmen und verfolgen.

Daneben können „externe Meldekanäle“, die unabhängig vom Unternehmen agieren, von den Mitarbeitern genutzt werden. Diese werden vom Bund in aller Regel in Form des Bundesamts der Justiz zur Verfügung gestellt. Zwar soll jeder Mitarbeiter sich – so keine Repressalien o. ä. zu erwarten sind – zunächst an die unternehmenseigene „interne Meldestelle“ wenden. Eine Pflicht besteht insoweit jedoch nicht. Der Mitarbeiter hat also die Wahl und kann sich auch an eine der externen Meldestellen des Bundes wenden, um auf etwaige Missstände hinzuweisen. Die dritte Option ist die sogenannte „Offenlegung“, der Gang an die Öffentlichkeit. Dies kann in Form von Presseveröffentlichungen oder der Publikation in den sozialen Medien erfolgen. Diese „Offenlegung“ ist aber nur unter den engen Voraussetzungen des § 32 HinSchG zulässig, so z. B. wenn die Gefahr irreversibler Schäden oder die Gefahr der Unterdrückung und Vernichtung von Beweismitteln droht.

Interne Meldekanäle
Alle Unternehmen und Organisationen mit mindestens 50 Beschäftigten werden durch das Hinweisgeberschutzgesetz verpflichtet, konkret vorgegebene interne Meldekanäle, d. h. interne Hinweisgebersysteme, zu installieren und zu betreiben. Dies gilt seit Inkrafttreten des Gesetzes am 02.07.2023. Kleineren Unternehmen zwischen 50 und 249 Beschäftigten wurde eine  msetzungsfrist bis zum 17.12.2023 eingeräumt, die aber wegen deren Kürze kaum erwähnenswert erscheint.

Vorgaben für interne Meldekanäle
Interne Meldekanäle müssen Meldungen in mündlicher oder Textform ermöglichen. Mündliche Meldungen müssen per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein. Auf Ersuchen der hinweisgebenden Person ist für eine Meldung innerhalb einer angemessenen Zeit eine persönliche Zusammenkunft mit einer für die Entgegennahme einer Meldung zuständigen Person der internen Meldestelle zu ermöglichen. Darüber hinaus sind alle Meldungen zwingend zu dokumentieren.

Alle Meldekanäle sind so zu gestalten, dass nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen sowie die sie bei der Erfüllung dieser Aufgaben unterstützenden Personen Zugriff auf die eingehenden Meldungen haben. Es muss also sichergestellt werden, dass keine unberechtigten Personen Zugriff auf die Identität der hinweisgebenden Person oder den Hinweis selbst haben.

Dies hat Auswirkungen auf die technischeAusgestaltung des internen Meldekanals, auf die nachstehend näher einzugehenist. Dieses in § 8 HinSchG verankerteVertraulichkeitsgebot ist eines derKernelemente des Gesetzes. Von diesemdarf nur in Ausnahmefällen abgewichenwerden, so z. B. wenn der Hinweisgebervorsätzlich oder grob fahrlässig unzutreffendeVerstöße meldet. Für das vom Arbeitgeber einzuhaltende Verfahren relevant sind nur solche Vorgänge, bei denen der Hinweisgeber sich auch offenbart. Anonymen Meldungen müssen die Unternehmen nach der jetzt verabschiedeten Fassung des Gesetzes nicht zwingend nachgehen.

Personelle Vorgaben
Gem. § 15 HinSchG müssen die mit den Aufgaben einer internen Meldestelle beauftragten Personen bei der Ausübung ihrer Tätigkeit unabhängig sein. Sie können neben ihrer Tätigkeit für die interne Meldestelle andere Aufgaben und Pflichten wahrnehmen. Es ist dabei allerdings sicherzustellen, dass derartige Aufgaben und Pflichten nicht zu Interessenkonflikten führen. Der Personalleiter wäre daher aller Voraussicht nach keine zum Betrieb der Meldestelle geeignete Person.

Darüber hinaus ist das Unternehmen verpflichtet, dafür Sorge zu tragen, dass die mit den Aufgaben einer internen Meldestelle beauftragten Personen über die notwendige Fachkunde verfügen. Welche Anforderungen insoweit erfüllt werden müssen, lässt sich dem Gesetz jedoch nicht entnehmen. Es ist davon auszugehen, dass der Gesetzgeber diesen Punkt noch präzisieren wird.

Technische Optionen
Da die Vertraulichkeit des Hinweisgebers, wie vorstehend dargestellt, zwingend zu wahren ist, bestehen nur eingeschränkte Möglichkeiten, das Meldesystem auszugestalten. Briefkasten Eine Briefkastenlösung wäre aller Voraussicht nach nicht zulässig, da Datenschutz und Vertraulichkeit nur schwer sicherzustellen wären. Prozess und Dokumenta tion müssten komplett analog erfolgen, was in der digitalisierten Arbeitswelt nicht darstellbar ist.

E-Mail-Postfach
Ein reguläres E-Mail-Postfach wäre unzulässig, da der Zugriff durch interne IT-Administratoren nicht verhindert werden könnte. Datenschutz und Vertraulichkeit können nicht sichergestellt werden.

Telefon/Call-Center
Auch eine interne Telefonlösung dürfte mit dem HinSchG nicht konform sein, weil auch hier der Zugriff der internen IT-Administration nicht ausgeschlossen werden kann. Eine reine Annahme von Anrufen auf einer Mailbox entspricht nur in bestimmten Fällen den gesetzlichen Anforderungen. Diese wäre zulässig, wenn sichergestellt ist, dass der Eingang der Meldung innerhalb von sieben Tagen bestätigt wird. Das Problem ist hier ferner, wie die Einwilligung in die Aufzeichnung der Meldung erfolgt. Faktisch verbleiben somit insbesondere folgende Optionen für die Einrichtung eines Hinweisgeberschutzsystems:

Ombudsperson
Es kann ein Vertrag mit einer Ombudsperson geschlossen werden, die die telefonische Erreichbarkeit sicherstellt. Hier besteht allerdings das Problem, dass diese eine Kontaktaufnahme auch in allen notwendigen und relevanten Sprachen ermöglichen muss.

IT-System
Eine sicherlich tragfähige Lösung bieten IT-gestützte Whistleblowing-Software-Lösungen, die über Online-Plattformen arbeiten. Diese werden mittlerweile von einer Vielzahl von externen Dienstleistern angeboten, die IT-gestützt sicherstellen, dass die vorgegebene Vertraulichkeit gewahrt bleibt. Derartige Online-Plattformen sind über jedes internetfähige Gerät zugänglich und ermöglichen den Mitarbeitenden offen oder anonym, auf jeden Fall vertraulich, Hinweise an das Unternehmen zu übermitteln. Die zuständige Person im Unternehmen wird bei den gängigen Online-Plattformen automatisch über einen neuen Hinweis informiert und erhält einen Überblick über alle vorhandenen Informationen.

Interne Systeme
Das Meldesystem kann auch unternehmensintern eingerichtet werden, allerdings sind dann erhöhte Anforderungen an den Schutz des Hinweisgebers zu stellen: Die üblichen internen Kommunikationskanäle des Unternehmens können insoweit in der Regel nicht genutzt werden (interne Telefonnummer oder interne E-Mail-Adresse), da die Daten des Hinweisgebers (IP-Adresse) über die IT des Unternehmens in der Regel protokolliert wird. Der Schutz der Anonymität des Hinweisgebers ist daher nur möglich, wenn von der IT des Unternehmens getrennte Kommunikationskanäle oder komplett externe Systeme eingerichtet werden.

Obligatorische Verfahrensschritte
Wird ein Hinweis über eines der Meldesysteme abgegeben, hat die interne Meldestelle folgende sechs Aufgaben zwingend zu erfüllen:

- der Eingang der Meldung muss gegenüber dem Hinweisgeber spätestens nach sieben Tagen bestätigt werden;
- die interne Meldestelle muss prüfen, ob der gemeldete Verstoß in den Anwendungsbereich des HinSchG fällt;  
- die interne Meldestelle muss mit der hinweisgebenden Person Kontakt halten;
- die Stichhaltigkeit der eingegangenen Meldung ist durch die beauftragte Person zu prüfen;
- ggf. ist die hinweisgebende Person um weitere Informationen zu ersuchen;
- die beauftragte Person hat angemessene Folgemaßnahmen (§ 18 HinSchG) zu ergreifen.

Folgemaßnahmen
Das Gesetz sieht diverse Folgemaßnahmen vor, die je nach Bedeutung und Tragweite der eingegangenen Hinweise ergriffen werden können. Es besteht die Möglichkeit, weitere interne Untersuchungen durchzuführen, den Hinweisgeber an andere zuständige Stellen (z. B. Strafverfolgungsbehörden) zu verweisen, das Verfahren aus Mangel an Beweisen einzustellen oder dieses an eine zuständige Behörde zwecks weiterer Untersuchungen abzugeben. Zu beachten ist in jedem Fall, dass die interne Meldestelle innerhalb von drei Monaten nach Eingang der Meldung dem Hinweisgeber Rückmeldung über ergriffene Maßnahmen geben muss, da der Whistleblower ansonsten mit der Meldung an die Öffentlichkeit gehen darf.

Whistleblower-Schutz
Das HinSchG enthält mehrere einschneidende Regelungen, die dem Schutz der Whistleblower dienen. Folgende Voraussetzung für das Greifen der Schutzmaßnahmen müssen erfüllt sein:

■ der Whistleblower hat eine Meldung erstattet;
■ zum Zeitpunkt der Meldung hatte er hinreichenden Grund zu der Annahme, dass die Informationen der Wahrheit entsprechen;
■ die Informationen betreffen Verstöße, die unter das Hinweisgeberschutzgesetz fallen, also im Zusammenhang mit der beruflichen oder unternehmerischen Tätigkeit stehen bzw. der Whistleblower davon ausgehen konnte.

Sodann enthält das Gesetz zum Schutz vor „Repressalien“ eine weitgehende Beweislastumkehr: Wird ein Whistleblower im Zusammenhang mit seiner beruflichen Tätigkeit „benachteiligt“, so wird vermutet, dass diese Benachteiligung eine Repressalie ist. Der Unternehmer muss also beweisen, dass die Maßnahme – wie etwa eine unerwünschte Versetzung – nicht aufgrund der vom Whistleblower getätigten Hinweise erfolgt ist. Handelt es sich um „Repressalien“ im vorgenannten Sinn, kommen darüber hinaus Schadensersatzansprüche des Whistleblowers gegen seinen Arbeitgeber in Betracht. Umgekehrt kann der Whistleblower nur dann auf Schadensersatz in Anspruch genommen werden, soweit er vorsätzlich oder grob fahrlässig eine falsche Meldung erstattet hat.

Sanktionen
Wird eine interne Meldestelle nicht eingerichtet, kann ein Bußgeld bis zur Höhe von 20.000 Euro verhängt werden. Eine Behinderung der Kommunikation zwischen Hinweisgeber und Meldestelle kann ebenso wie die Verletzung der Vertraulichkeit und die Ausübung von Repressalien mit einer Geldbuße von jeweils bis 50.000 Euro geahndet werden. In Anbetracht der Geldbußen, die nach der Datenschutzgrundverordnung verhängt werden können, scheinen diese Sanktionsmöglichkeiten ein eher „stumpfes Schwert“ zu sein.

Fazit
Das HinSchG ist ein weiteres Gesetz, mit dem die Pflichten der Arbeitgeber – natürlich immer unter Strafandrohung – massiv ausgeweitet werden. Allein die in den letzten Jahren neu geschaffenen Pflichten der Arbeitgeber nach dem Nachweisgesetz, dem Lieferkettengesetz, dem Arbeitszeitgesetz oder jüngst dem Hinweisgeberschutzgesetz lassen die Frage aufkommen, ob sich in der Politik noch irgendjemand Gedanken darüber macht, wie insbesondere mittelständische Unternehmen diesen Aufgabenwust bewältigen sollen. Dass es aktuell hierfür auch an geeignetem Personal mangelt und all diese Aufgaben die Kosten der Unternehmen in die Höhe treiben, sollte eigentlich zu denken geben.

Text Whistleblowing: „Veröffentlicht in Ausgabe 01/24 des Fachmagazins MTD Medizintechnischer Dialog (MTD-Verlag – www.mtd.de).