DIE WICHTIGSTEN REGELUNGEN IM ÜBERBLICK:
Wie werden hinweisgebende Personen geschützt?
Der Hinweisgeberschutz wird künftig auf zwei Ebenen gesetzlich abgesichert: Einerseits dem Verbot von Repressalien gegen hinweisgebende Personen, andererseits der Pflicht zur Einrichtung interner Meldestellen, welche hinweisgebende Personen nutzen können, um auf Fehltritte, Regelverstöße, Missstände aufmerksam zu machen.
Dieser Schutz gilt nicht etwa für die Meldung jeglicher Missstände, sondern lediglich für Straftaten, bestimmte Ordnungswidrigkeiten sowie den in § 2 HinSchG ausdrücklich genannten Rechtsverstößen. Gegen diese Rechtsvorschriften muss im Rahmen einer beruflichen, unternehmerischen oder dienstlichen Tätigkeit verstoßen worden sein. Fremde und private Bezüge sind also ausgenommen.
Wie funktioniert die interne Meldestelle?
Interne Meldestellen sind Anlaufstellen in der Organisation von Unternehmen und staatlichen Stellen, an welche sich hinweisgebende Personen mündlich oder in Textform wenden können, um ihr Anliegen zu adressieren. Auf Wunsch der hinweisgebenden Person muss ihr auch ein persönliches Treffen mit der für die Meldestelle verantwortlichen Person ermöglicht werden.
Die Meldestellen sind nach dem HinSchG verpflichtet, unabhängig von dem Kommunikationsweg die Vertraulichkeit der Identität der hinweisgebenden Personen zu wahren. Das Gesetz empfiehlt dazu, die Hinweisabgabe auch vollständig anonym zu ermöglichen.
Was bedeutet die Pflicht zur Vertraulichkeit?
Das gesetzliche Vertraulichkeitsgebot in § 8 HinSchG stellt zum Schutz hinweisgebender Personen sicher, dass ihre Identität ausschließlich der internen Meldestelle bekannt wird.
Wird ein vollständig anonymer Meldekanal eröffnet, werden Angaben zur Identität erst gar nicht übermittelt. Wird auf das Angebot anonymer Hinweisabgabe verzichtet, erreichen alle Identitätsangaben die Meldestelle und müssen durch technische und organisatorische Maßnahmen gesetzeskonform geschützt werden. Bestehende Berichtswege müssen dazu analysiert und so angepasst werden, dass die Preisgabe der Identität hinweisgebender und betroffener Person über die interne Meldestelle hinaus wirksam ausgeschlossen wird.
Dazu müssen die für die Meldestelle verantwortlichen Personen geschult werden. Rechte- und Rollenkonzepte zur Dateiverwaltung und bei E-Mail Postfächern sind anzupassen. Standardisierte und aus Risikomanagementgesichtspunkten sinnvolle Mehrfachzugriffe, Vertretungsregelungen und Zugriffe für Kontrolleinheiten dürfen für die Meldestelle nicht verwendet werden.
Was ist der Unterschied interner zu externen Meldestellen?
Das HinSchG sieht ausdrücklich die Möglichkeit zur Beauftragung von Vertrauensanwälten oder Ombudspersonen mit der Wahrnehmung der Meldestelle vor. Dann wird diese zwar an Fachleute ausgelagert – es ist aber weiterhin die interne Meldestelle.
Neben internen Meldestellen führt das HinSchG externe Meldestellen ein. Solche werden beim Bundesamt für Justiz und beim Bundeskartellamt eingerichtet. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) unterhält bereits eine externe Meldestelle in Form einer digitalen, anonymisierten Plattform. Die Bundesländer können eigene Meldestellen einrichten.
Zwar sollen nach dem HinSchG hinweisgebende Personen interne Meldestellen bevorzugen, wenn intern wirksam gegen den Regelverstoß vorgegangen werden kann und sie keine Repressalien befürchten müssen. Aber hinweisgebende Personen können letztlich nach freier Auswahl entscheiden, ob sie interne Meldekanäle ansprechen oder Hinweise bei einer externen Meldestelle platzieren. Die hinweisgebende Person wird diejenige Meldestelle auswählen, die ihr das höchste Maß an Vertrauensschutz gewährt. Ist das die externe Meldestelle, können wertvolle Hinweise direkt dort platziert werden, ohne dass ein betroffenes Unternehmen davon Kenntnis erlangt.
Ist Hinweisgeberschutz lästige Pflicht oder eine Chance?
Die Einrichtung einer internen Meldestelle bietet nicht nur Schutz der hinweisgebenden Personen, sondern auch besonderen Schutz des eigenen Unternehmens vor finanziellen Einbußen und Reputationsschäden. Wirtschaftskriminalität wird wirksam eingedämmt.
Hinweisgebersysteme sind bereits seit langem elementarer Bestandteil effektiver Compliance Management –Systeme (CMS). Die Pflicht, für die Einhaltung gesetzlicher Vorgaben zu sorgen und Prozesse einzurichten, durch welche etwaige Regelverstöße und Missstände frühzeitig erkannt werden, um ihnen entgegen wirken zu können, ist Teil der Legalitäts- und Sorgfaltspflichten einer ordnungsgemäßen Geschäftsorganisation und neben dem HinSchG im Gesellschaftsrecht wie auch im Ordnungswidrigkeitenrecht verankert und mit Bußgeldern bewehrt.
Eine internationale Untersuchung der Association of Certified Fraud Examiners (ACFE, Report of the Nations 2020), dem weltweit größten Netzwerk von Anti-Fraud-Professionals, hat gezeigt: 42% aller bekannten Fälle von Wirtschaftskriminalität wurden durch eine Meldung einer hinweisgebenden Person aufgedeckt.
Bis wann sind die neuen Pflichten von Unternehmen umzusetzen?
Das HinSchG verpflichtet private und öffentliche Beschäftigungsgeber ab 50 Beschäftigten zur Einrichtung einer internen Meldestelle. Bis zum Inkrafttreten am 02.07.2023, müssen interne Meldestellen installiert sein und ihren Betrieb aufnehmen. Etwas mehr Zeit für die Umsetzung bekommen nur Beschäftigungsgeber mit bis zu höchstens 249 Beschäftigten. Sie müssen die internen Meldestellen bis spätestens 17.12.2023 einrichten. Für Kreditinstitute ist zu beachten, dass das HinSchG geht in allen Punkten, in denen dies bisherigen Regelungen im KWG / GWG keine Regelungen treffen vorgeht. Da bisher weder KWG noch GWG Vorgaben zur Ausgestaltung der Meldstelle und zur Hinweisbearbeitung enthalten, sind die bestehenden Lösungen schnellstmöglich auf Konformität mit den wesentliche detaillierteren Maßgaben des HinSchG zu prüfen und ggf. anzupassen.
Wie teuer wird die Nichterfüllung der neuen Pflichten?
Die Nichteinrichtung interner Meldestellen kann nach dem HinSchG mit Geldbuße geahndet werden. Auch wer das Vertraulichkeitsgebot missachtet, setzt sich der Gefahr eines Bußgeldes aus. Das Bußgeld beträgt bis zu 50.000 Euro und kann nach dem Ordnungswidrigkeitengesetzes (OWiG) gegen Unternehmen sogar verzehnfacht werden. Ebenso empfindlich kann ein Verstoß gegen das Verbot von Repressalien geahndet werden.
Was hat sich am HinSchG gegenüber früheren Entwürfen verändert?
Die EU-Whistleblowing-Richtlinie gilt seit dem 17.12.2019. Bereits zum 17.12.2021 hätte Deutschland diese in nationales Recht umsetzen müssen. Die EU Kommission hatte daher ein Vertragsverletzungsverfahren gegen Deutschland eingeleitet und den Druck zuletzt durch eine Klage vor dem Europäischen Gerichtshof (EuGH) noch erhöht.
Nach später Verständigung der politischen Akteure hat nun am 11.05.2023 der Bundestag und am 12.05.2023 auch der Bundesrat das Hinweisgeberschutzgesetz (HinSchG) beschlossen. Das Gesetz tritt einen Monat nach seiner Verkündung im Bundesgesetzblatt in Kraft. Gegenüber früheren Entwürfen wurden vor allem der Anwendungsbereich des HinSchG präzisiert, die Pflicht zur Entgegennahme anonymer Hinweise in eine Empfehlung umgewandelt sowie die Empfehlung zur Nutzung interner vor externen Meldestellen aufgenommen. Außerdem wurden die Bußgelder bei Verstößen gegen das HinSchG herabgesetzt.