Nachdem am 17. Dezember 2021 die Frist zur Umsetzung der EU-Whistleblower-Richtlinie ohne deutsches Umsetzungsgesetz abgelaufen war (siehe Blog-Beitrag vom 25.01.2022) und von der EU-Kommission zwischenzeitlich ein Vertragsverletzungsverfahren gegen Deutschland und weitere EU-Mitgliedsstaaten eingeleitet wurde, hat die Ampelregierung jetzt nachgelegt und am 13. April 2022 einen Referentenentwurf für ein deutsches Hinweisgeberschutzgesetz (HinSchG-E) veröffentlicht. Der Entwurf könnte noch in diesem Sommer verabschiedet werden. Höchste Zeit also, sich inhaltlich damit auseinanderzusetzen.
Worum geht es?
Gesetzliche Vorgaben zum Hinweisgeberschutz gibt es in Deutschland bislang lediglich für spezielle Bereiche, z.B. in § 25a Abs. 1 S. 6 Nr. 3 KWG für die Finanzbranche, oder aber auf Grundlage gerichtlicher Entscheidungen im Einzelfall. Die EU-Whistleblower-Richtlinie vom 23. Oktober 2019 will hier EU-weit Abhilfe schaffen und verpflichtet die Mitgliedsstaaten, einen flächendeckenden Hinweisgeberschutz branchenübergreifend einzuführen. Ziel des deutschen HinSchG-E ist es daher, in Umsetzung der EU-Richtlinie natürliche Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Straftaten oder Fehlverhalten erlangt haben und diese an eine gesetzlich vorgesehene Meldestelle melden oder offenlegen, bei berechtigter Meldung vollumfänglich vor Repressalien zu schützen.
Unternehmen und Behörden sind nach dem HinSchG-E verpflichtet, interne Meldestellen einzurichten und im Zusammenhang mit einer Meldung bestimmte Verfahrensvorgaben und Fristen einzuhalten. Zusätzlich sollen von staatlicher Seite externe Meldestellen bereitgestellt werden, die einem Hinweisgeber wahlweise zur Verfügung stehen. Als letztes Mittel für den Hinweisgeber werden Vorgaben gemacht, wann auch eine Offenlegung von Informationen, beispielsweise gegenüber der Presse, gerechtfertigt ist. Mit dem HinSchG-E soll zudem ein umfassendes Verbot von Repressalien gegen Hinweisgeber eingeführt werden. Verstöße im Zusammenhang mit der Einrichtung der Meldestelle oder einer Meldung sind bußgeldbewehrt.
Für wen soll das HinSchG gelten?
Zur Einrichtung von Meldestellen verpflichtet sind grundsätzlich alle Beschäftigungsgeber mit zumindest 50 Beschäftigten. Unternehmen in bestimmten Branchen sind unabhängig von der Anzahl ihrer Beschäftigten zur Einrichtung verpflichtet, so etwa Wertpapierdienstleistungsunternehmen, Börsenträger und Kapitalverwaltungsgesellschaften (§ 12 Abs. 3 HinSchG-E).
Als Hinweisgeber geschützt sind alle Beschäftigten, also Arbeitnehmerinnen und Arbeitnehmer, Auszubildende, Beamtinnen und Beamte, Leiharbeitnehmer usw. Die Meldekanäle können darüber hinaus auch für Dritte geöffnet werden, z.B. für Lieferanten oder Kunden. Nach dem Gesetzesentwurf sollen ferner in Übereinstimmung mit der EU-Richtlinie auch Personen geschützt sein, die den Hinweisgeber im Zusammenhang mit einer Meldung vertraulich unterstützen u.a. (z.B. Kollegen).
In sachlicher Hinsicht geschützt sind Meldungen über Verstöße gegen Bundes- oder Landesgesetze sowie unmittelbar geltendes EU-Recht in Bereichen, in denen letztlich auch ein öffentliches Interesse an einer Aufdeckung von Fehlverhalten besteht. Die im Gesetzesentwurf enthaltene Auflistung entspricht im Kern den Vorgaben der EU-Richtlinie, geht teilweise aber noch darüber hinaus. Genannt werden u.a. folgende Bereiche:
- Geldwäsche- und Terrorismusfinanzierung
- Produktsicherheit- und Konformität
- Sicherheit im Straßenverkehr, Seeverkehr und der zivilen Luftfahrt sowie Eisenbahnbetriebssicherheit,
- Gefahrguttransporte
- Umwelt- und Strahlenschutz
- Förderung der Nutzung von Energie aus erneuerbaren Quellen und Energieeffizienz
- Lebensmittel- und Futtermittelsicherheit sowie Tiergesundheit und Tierschutz,
- Arzneimittel und Medizinprodukte,
- Verbraucherschutz,
- Schutz personenbezogener Daten und Schutz der Privatsphäre in der elektronischen Kommunikation sowie Sicherheit in der Informationstechnik,
- Rechte von Aktionären von Aktiengesellschaften,
- öffentliche Auftragsvergabe,
- unter bestimmten Voraussetzungen auch Rechnungslegung von Unternehmen, Verstöße gegen steuerliche Vorgaben u.a.
Die Aufzählung ist nicht abschließend, wird aber sicherlich jedes am Markt tätige Unternehmen sowie jede öffentliche Stelle mehrfach betreffen.
Darüber hinaus sollen nach dem HinSchG-E auch Hinweisgeber geschützt sein, die Informationen über Verstöße melden, die generell strafbewehrt sind und solche, die bußgeldbewehrt sind, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Auch insoweit geht der Entwurf des deutschen Umsetzungsgesetzes über den Anwendungsbereich der EU-Whistleblower-Richtlinie hinaus. Dies war allerdings zu erwarten und im Koalitionsvertrag der Ampelregierung 2021 (dort S. 111) bereits angekündigt worden.
Wie sind die internen Meldestellen auszugestalten?
Die internen Meldestellen sollen primär dafür zuständig sein, Meldekanäle zu betreiben, die Verfahrensvorgaben und Fristen im Zusammenhang mit Meldungen zu beachten und Folgemaßnahmen zu ergreifen (§§ 14, 17 HinSchG-E). Meldungen müssen sowohl in mündlicher als auch in Textform (also etwa per E-Mail, Brief oder über eine sonstige Online-Lösung) möglich sein. Eine Pflicht, auch anonyme Meldungen zu ermöglichen, sieht der HinSchG-E derzeit nicht vor (§ 16 HinSchG-E). Dies wohl vor allem deshalb, weil damit erheblicher weiterer Aufwand und Kosten verbunden wären. Die Unabhängigkeit der als Meldestelle eingesetzten Person oder Abteilung ist zu gewährleisten; sonstige ausgeübte Tätigkeiten dürfen nicht zu Interessenkonflikten führen. Die zuständige Person oder Abteilung muss zudem über die entsprechende Fachkunde verfügen (§ 15 HinSchG-E).
Auch Dritte, insbesondere externe Dienstleister wie Rechtsanwälte oder Anbieter von Software-Lösungen, die auf dem Markt bereits zahlreich vorhanden sind, können mit dem Betrieb der internen Meldestelle betraut werden (§ 14 Abs. 1 HinSchG-E). Der deutsche Gesetzesentwurf lässt auch die zentrale Einrichtung einer Meldestelle im Konzern zu. Ob dieses sog. „Konzernprivileg“ europarechtlich standhält, wird allerdings bereits bezweifelt. Hier bleibt die Entwicklung abzuwarten. Mehrere private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können eine gemeinsame Meldestelle einrichten und betreiben (§ 14 Abs. 2 HinSchG-E).
Die Meldestellen haben ferner die Vertraulichkeit der Identität sowohl des Hinweisgebers als auch derjenigen Personen zu gewährleisten, die Gegenstand der Meldung sind oder in dieser genannt werden (§ 9 HinSchG-E). Dies allerdings nur, sofern die Meldung in den Anwendungsbereich des Gesetzes fällt und die betreffende Person nicht grob fahrlässig oder vorsätzlich unrichtige Informationen meldet. Informationen über die Identität dürfen zudem unter gewissen Umständen, etwa im Rahmen eines Strafverfahrens, preisgegeben werden. Der Hinweisgeber ist hierüber grundsätzlich im Vorfeld zu informieren, sofern das Verfahren dadurch nicht gefährdet wird. Der HinSchG-E regelt weitere Ausnahmen. Darüber hinaus bestehen Dokumentationspflichten (§ 11 HinSchG-E). Die internen Meldestellen haben außerdem die Beschäftigten über die Möglichkeit der Meldung an externe Meldestellen klar und leicht zugänglich zu informieren.
Welche Funktion haben externe Meldestellen und wann darf offengelegt werden?
Neben den internen Meldestellen beim jeweiligen Beschäftigungsgeber soll dem Hinweisgeber wahlweise die Möglichkeit offenstehen, seine Meldung bei einer externen Meldestelle zu machen. Diese soll dann wiederum befugt sein, Auskünfte auch von betroffenen Beschäftigungsgebern, Dritten oder Behörden zu verlangen, soweit diese zur Überprüfung einer Meldung erforderlich sind (§ 29 HinSchG-E). Externe Meldestellen sind nach Maßgabe des HinSchG-E auf Bundes- und Landesebene bei verschiedenen Behörden einzurichten. Eine Meldestelle des Bundes mit Auffangzuständigkeit soll beim Bundesamt für Justiz angesiedelt sein (§ 19 HinSchG-E). Jedes Bundesland kann zudem eine eigene externe Meldestelle einrichten für Meldungen, die die jeweilige Landesverwaltung und die Kommunalverwaltungen betreffen (§ 20 HinSchG-E). Für Verstöße, die in ihren Bereich fallen, sollen als weitere externe Meldestellen die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin – § 21 HinSchG-E) und das Bundeskartellamt (§ 22 HinSchG-E) fungieren.
Neben der Entgegennahme von Meldungen soll den externen Meldestellen auch die Aufgabe zukommen, Hinweisgeber über bestehende Abhilfemöglichkeiten und Verfahren zum Schutz vor Repressalien zu beraten und zu informieren (§ 24 Abs. 2 HinSchG-E). Die Beratungsaufgabe soll etwa auch Erläuterungen dazu umfassen, unter welchen Voraussetzungen ein Hinweisgeber nicht gegen bestehende Vertraulichkeits- oder Geheimhaltungspflichten verstößt.
Eine Offenlegung, also eine Zugänglichmachung der Information gegenüber der Öffentlichkeit, ist nach dem HinSchG-E nur in Ausnahmefällen zulässig. Etwa dann, wenn auf eine Meldung an eine interne oder externe Meldestelle innerhalb der gesetzlich vorgesehenen Fristen keine Rückmeldung erfolgt. Mit Blick hierauf besteht also ein erhebliches Interesse der Beschäftigungsgeber an einer zügigen und ordnungsgemäßen Durchführung des Meldeverfahrens, um Reputationsschäden, die z.B. aus einer Pressemeldung resultieren könnten, zuvorzukommen. Eine Offenlegung ist nach dem HinSchG-E ferner dann gerechtfertigt, wenn der vom Hinweisgeber offengelegte Verstoß eine unmittelbare Gefährdung des öffentlichen Interesses darstellt, etwa, weil es sich um einen Notfall handelt oder die Gefahr irreversibler Schäden besteht (§ 32 HinSchG-E).
Welche Bußgelder und sonstigen Schutzmaßnahmen sieht der HinSchG-E vor?
Gegen Hinweisgeber gerichtete Repressalien oder der Versuch und die Androhung von Repressalien sind verboten (§ 36 HinSchG-E). Ebenso verboten sind die Behinderung einer Meldung oder der entsprechende Versuch (§ 7 Abs. 2 HinSchG-E). Erleidet eine hinweisgebende Person nach einer Meldung oder Offenlegung eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit, so wird vermutet, dass diese Benachteiligung eine Repressalie ist (Beweislastumkehr, § 36 Abs. 2 HinSchG-E). In diesem Fall hat also der Beschäftigungsgeber, der die Repressalie veranlasst hat, zu beweisen, dass diese nicht auf der jeweiligen Meldung beruht. Der Begriff der Repressalie bzw. Benachteiligung ist mit Blick auf die EU-Whistleblower-Richtlinie weit auszulegen. Er dürfte neben einer Kündigung auch jede sonstige Schlechterstellung im beruflichen Zusammenhang, z.B. die Nichtberücksichtigung bei einer Gehaltsrunde, die Verweigerung einer Fortbildung, die Änderung des Aufgabenbereichs usw. umfassen.
Nach § 37 HinSchG-E ist der Verursacher der Repressalie dem Hinweisgeber zunächst zum Schadensersatz verpflichtet. Darüber hinaus sind Verstöße gegen das Verbot der Behinderung einer Meldung, gegen die Pflicht zur Einrichtung einer Meldestelle, gegen den Schutz der Vertraulichkeit oder gegen das Verbot von Repressalien nach § 40 HinSchG-E bußgeldbewehrt. Der Bußgeldrahmen bewegt sich zwischen EUR 20.000,00 für Verstöße gegen die Pflicht zur Einrichtung der Meldestelle und bis zu EUR 100.000,00 für sonstige Verstöße. Bei Sanktionierung einer juristischen Person oder Personenvereinigung nach Maßgabe von § 30 Abs. 2 Satz 2 OWiG kann ein Bußgeld bis zu EUR 1 Million betragen.
Darüber hinaus ist auch ein Hinweisgeber zum Schadensersatz verpflichtet, wenn er eine vorsätzlich oder grob fahrlässig falsche Meldung oder Offenlegung vorgenommen hat (§ 38 HinSchG-E). Auch ein solcher Verstoß ist nach § 40 Abs. 1 HinSchG-E bußgeldbewehrt.
Bis wann muss umgesetzt werden?
Der neue Referentenentwurf zum HinSchG liegt seit dem 13. April 2022 vor. Länder und Verbände haben nun Gelegenheit, bis zum 11. Mai 2022 eine Stellungnahme abzugeben. Angesichts des laufenden Vertragsverletzungsverfahrens ist davon auszugehen, dass das Gesetzgebungsverfahren noch in diesem Sommer abgeschlossen sein wird.
Für private Beschäftigungsgeber mit bis zu 249 Beschäftigten, die nicht unabhängig von ihrer Beschäftigtenzahl zur Einrichtung einer Meldestelle verpflichtet sind (§ 12 Abs. 3 HinSchG-E), sieht der Entwurf eine Umsetzungsfrist bis zum 17. Dezember 2023 vor. Alle übrigen Beschäftigungsgeber – also insbesondere öffentliche Arbeitgeber und Unternehmen mit mehr als 249 Beschäftigten – sind nach dem Gesetzesentwurf sofort mit Inkrafttreten des Gesetzes zur Umsetzung verpflichtet (§ 42 HinSchG-E).
Fazit
Nachdem der deutsche Gesetzgeber sich zunächst Zeit gelassen hatte, wird es jetzt konkret. Beschäftigungsgeber, die bislang keine oder unzureichende Meldestellen eingerichtet haben, sollten sich zeitnah mit der Thematik befassen und nachbessern. Insoweit ist auch zu bedenken, dass nicht nur interne Leitlinien und Kommunikation anzupassen und zuständige Stellen im Unternehmen zu schulen sind. Der HinSchG-E betrifft auch datenschutzrechtliche Vorgaben, etwa die Verarbeitung personenbezogener Daten (§ 10 HinSchG-E) und die Löschung gespeicherter Meldungen (§ 11 Abs. 5 HinSchG-E); er ist damit auch hinsichtlich der im Unternehmen bestehenden Löschkonzepte sowie für die Datenschutz-Folgenabschätzung des Beschäftigungsgebers relevant. Auch mitbestimmungsrechtliche Vorgaben sind bei der Umsetzung zu berücksichtigen. Gerne prüfen wir mit Ihnen und für Sie, welche Ausgestaltung des Hinweisgeberschutzes für Ihr Unternehmen am besten passt. Sollten Sie Fragen zu diesem Beitrag haben, kontaktieren Sie uns gerne: v.berger@melchers-law.com.