Hinweisgeberschutzgesetz & Whistleblower-Richtlinie

Worum geht's?

Der Schutz von Whistleblowern hatte in Deutschland lange Zeit keinen besonders hohen Stellenwert. So war es keine Seltenheit, dass Arbeitnehmer, die im Rahmen ihrer beruflichen Tätigkeit Rechtsverstößen auf die Spur kamen, nicht dagegen vorgingen und Missstände nicht meldeten – aus Angst vor negativen Konsequenzen und Benachteiligung. Das will die Bundesregierung nun durch das Hinweisgeberschutzgesetz ändern. Für wen es gilt, mit welchen Pflichten es für Unternehmen einhergeht und bis wann Firmen die Anforderungen des Gesetzes umsetzen müssen, lesen Sie in diesem Beitrag.

1. Was ist das Hinweisgeberschutzgesetz und für wen gilt es?

Wer Missstände in der eigenen Firma aufdeckte, war bislang vor arbeitsrechtlichen Konsequenzen nicht ausreichend geschützt: Abmahnungen, Versagung einer Beförderung, Disziplinarverfahren oder gar eine Kündigung waren nicht selten Folge eines solchen Whistleblowings.

Entscheiden sich Beschäftigte, gegen Rechtsverstöße im Arbeitskontext vorzugehen, soll sie das Hinweisgeberschutzgesetz (HinSchG) nun vor solchen Nachteilen schützen: Es verbietet Repressalien gegen den Whistleblower – sei es eine Abmahnung oder Mobbing – und verpflichtet Unternehmen, sichere Wege und Kanäle einzurichten, über die Hinweisgeber Kenntnisse über Missstände im Unternehmen weitergeben können.

Das Hinweisgeberschutzgesetz fördert aber nicht nur den besseren Schutz hinweisgebender Personen, sondern soll auch eine Chance für Unternehmen bieten: Erfahren die Verantwortlichen von Missständen, können sie diesen nachgehen, bevor die Information an die Öffentlichkeit gelangt und zu einem Imageverlust mit schwerwiegenden Folgen führt.

Um welche Hinweise geht es beim Hinweisgeberschutzgesetz?

Das Hinweisgeberschutzgesetz umfasst ausschließlich bestimmte Hinweise auf Missstände im beruflichen Kontext. Dazu gehören gemäß § 2 HinSchG unter anderem:

Straftatbestände
Ordnungswidrigkeiten (bezogen auf den Schutz von Leib, Leben und Gesundheit sowie den Schutz von Angestellten)
verfassungsfeindliche Äußerungen von Beamten
Verstoß gegen Geldwäschegesetz
Verletzung von Umweltschutzvorgaben
Datenschutzverletzungen
Verstoß gegen Produkt- und Lebensmittelsicherheit
Verstoß gegen Qualitäts- und Sicherheitsstandards von Medizinprodukten und Arzneimitteln
Verstoß gegen Verbraucherrechte
Steuerbetrug

Wen betrifft das Hinweisgeberschutzgesetz?

Das Hinweisgeberschutzgesetz betrifft alle Beschäftigten eines Unternehmens, das heißt Vollzeitbeschäftigte, Auszubildende, Teilzeitkräfte und auch Leiharbeiter.

Daneben spielt es für Unternehmen eine große Rolle, die die Regelungen umsetzen müssen. Das HinSchG betrifft grundsätzlich jede Firma in Deutschland – doch nur bestimmte müssen die dort festgehaltenen Vorschriften umsetzen:

Unternehmen mit mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten, über die Whistleblower Kenntnisse über Missstände weitergeben können.
Unternehmen mit mindestens 50, maximal 249 Beschäftigten können sich zusammenschließen und gemeinsam eine interne Whistleblowing-Meldestelle einrichten und betreiben.
Bestimmte Unternehmen aus der Finanzbranche (Kapitalverwaltungsgesellschaften, Wertpapierdienstleister) sowie Versicherungsunternehmen müssen unabhängig von ihrer Mitarbeiteranzahl eine interne Meldestelle einrichten.

Gut zu wissen: Führen Sie ein Unternehmen mit weniger als 50 Angestellten, betrifft Sie die Pflicht zur Einrichtung einer Hinweisgeber-Meldestelle nicht. Teilzeit- oder Stundenkräfte werden dabei nicht anteilig gezählt. Jede angestellte Person gilt als Beschäftigte im Sinne des HinSchG.

Zusätzlich zu den internen Meldestellen der Unternehmen wurde mit Inkrafttreten des Hinweisgeberschutzgesetzes eine externe Meldestelle beim Bundesamt für Justiz eingerichtet. Hinweisgeber haben die Wahl, ob sie sich an die Meldestelle in ihrem Unternehmen oder an die externe Meldestelle wenden.

2. Ist das Hinweisgeberschutzgesetz schon in Kraft?

Das Hinweisgeberschutzgesetz ist als deutsche Whistleblower-Richtlinie am 02. Juli 2023 in Kraft getreten. Es gilt also bereits jetzt für Unternehmen mit mehr als 249 Beschäftigten.

Noch gibt es allerdings eine Einschränkung: Für die Einrichtung der internen Meldestelle besteht eine Übergangsfrist bis zum 01. Dezember 2023. Erst wenn diese Frist abgelaufen ist und das betroffene Unternehmen keine Meldestelle ermöglicht hat, drohen Konsequenzen in Form von Bußgeldern. Vor dem 01. Dezember 2023 müssen Firmen mit mehr als 249 Angestellten aber nicht mit Sanktionen rechnen.

Betriebe, die zwischen 50 und 249 Arbeitnehmer beschäftigten, müssen die Richtlinie zum Schutz hinweisgebender Personen bis zum 17. Dezember 2023 umgesetzt haben. Bis zu diesem Stichtag muss es eine interne Meldestelle geben – eine Übergangsfrist gibt es nicht. Für die Einrichtung können sich Unternehmen zusammenschließen.

3. Welche Regelungen umfasst das Hinweisgeberschutzgesetz HinSchG?

Das HinSchG basiert auf der EU-Whistleblower-Richtlinie, die bereits Ende 2021 in deutsches Recht hätte umgesetzt werden müssen. Mit Verspätung haben Vertreter von Bundesrat und Bundestag sich im Mai 2023 auf den finalen Entwurf des Hinweisgeberschutzgesetzes geeinigt. Dieser sieht sowohl Regelungen für Unternehmen als auch für hinweisgebende Personen vor.

HinSchG für Unternehmen

Die Hinweisgeberrichtlinie umfasst folgende Regelungen zum Whistleblowing:

Wer darf Hinweise auf Missstände geben? Eigene Arbeitnehmer und Leiharbeiter müssen sich an die interne Meldestelle wenden können. Für externe Dienstleister und Lieferanten muss die Meldestelle nicht offenstehen, sie kann es aber auf freiwilliger Basis sein.
Wie müssen Meldungen ermöglicht werden? Whistleblower müssen Hinweise per Post, Telefon (z. B. über eine Hotline/Anrufbeantworter), verschlüsseltem E-Mail-Verkehr (an eine spezielle E-Mail-Adresse), über ein digitales Whistleblowing-System oder auf Wunsch persönlich im Gespräch mit einem Verantwortlichen der Meldestelle abgeben können.
Muss es die Möglichkeit eines anonymen Meldekanals geben? Nein, das muss es nicht. Das Gesetz sieht lediglich vor, dass auch anonyme Hinweise auf Rechtsverstöße im Unternehmen von der Meldestelle bearbeitet werden sollen.
Wer ist im Unternehmen verantwortlich für die Meldestelle? Der Arbeitgeber kann eine oder auch mehrere Personen mit der Betreuung der Meldestelle beauftragen. Diese müssen fachkundig sein und zumindest Wissen über Inhalte und Ansprüche des HinSchG haben. Juristisches Fachwissen ist zwar empfehlenswert, jedoch nicht zwingend erforderlich. Das Unternehmen hat aber das Recht, einen externen Anwalt mit der Aufgabe zu betrauen.
Wie muss mit Hinweisen auf mögliche Rechtsverstöße umgegangen werden? Der Erhalt des Hinweises muss spätestens sieben Tage nach Eingang bestätigt werden. Die Meldestelle muss den Hinweis auf seine Glaubwürdigkeit prüfen, sicherstellen, dass er unter einen der Verstöße des Hinweisgeberschutzgesetz (HinSchG) fällt und mit dem Whistleblower Kontakt aufnehmen, ggf. mit der Bitte um zusätzliche Informationen.
Wie ist der Whistleblower während der Untersuchung geschützt? Es besteht ein Vertraulichkeitsgebot: Der für die Meldestelle Verantwortliche muss sowohl die Identität des Hinweisgebers als auch die von ihm genannten/beschuldigten Personen schützen.
Wie geht es nach dem Whistleblowing weiter? Ist der Hinweis stichfest, muss die Meldestelle interne Ermittlungen einleiten. Über das Ergebnis der Untersuchung und die ergriffenen Maßnahmen muss der Whistleblower spätestens nach drei Monaten informiert werden.
Wozu kann das Whistleblowing führen? Die Untersuchung kann z. B. aus Mangel an Beweisen eingestellt werden, interne Compliance-Untersuchungen nach sich ziehen oder an eine zuständige Behörde (z. B. Strafverfolgungsbehörde) zur weiteren Ermittlung abgegeben werden

Entscheidend ist: Egal, zu welchem Ergebnis die Ermittlungen nach dem Whistleblowing führen – für den Hinweisgeber darf der Ausgang keine nachteiligen Konsequenzen haben. Ausgenommen vom Hinweisgeberschutz sind nur Vorsatz und grobe Fahrlässigkeit. Das heißt: Streut der Whistleblower absichtlich falsche Informationen, um dem Unternehmen oder einer Person zu schaden, ist er nicht durch das HinSchG geschützt.

HinSchG (Hinweisgeberschutzgesetz) für Whistleblower

Nicht nur für Unternehmen, sondern auch für Hinweisgeber sieht das HinSchG Regelungen vor:

Wovor schützt das HinSchG Hinweisgeber? Whistleblower werden vor Repressalien im Zuge der Aufdeckung von Rechtsverstößen geschützt. Darunter fallen z. B. Abmahnung, Kündigung, Nicht-Verlängerung eines befristeten Arbeitsvertrags, aber auch Verhalten wie Mobbing. Das HinSchG enthält eine Beweislastumkehr: Wird der Hinweisgeber benachteiligt, wird vermutet, dass es sich um eine Repressalie handelt. Es liegt am Unternehmen, das Gegenteil zu beweisen.
Gibt es Fälle, in denen der Whistleblower nicht geschützt ist? Ja, die gibt es – beispielsweise wenn der Hinweisgeber absichtlich oder missbräuchlich falsche Rechtsverstöße meldet, um dem Unternehmen zu schaden. In einem solchen Fall muss sich die Meldestelle auch nicht an das Vertraulichkeitsgebot halten und darf gegen Verleumdungen und Rufschädigungen vorgehen.
Dürfen Whistleblower an die Öffentlichkeit gehen? Wer im eigenen Unternehmen Missständen auf die Spur kommt, darf sich nicht direkt an die Öffentlichkeit wenden. Der Gang an die Öffentlichkeit, etwa über Social Media, soll das „letzte Mittel der Wahl sein“ und ist erst dann zulässig, wenn der Hinweisgeber nach einer Meldung keine Rückmeldung von der internen Meldestelle erhält.
Steht es Hinweisgebern frei, an welche Meldestelle sie sich wenden? Ja, es steht Hinweisgebern frei, ob sie sich mit ihrem Insider-Wissen an eine interne oder externe Meldestelle wenden. Bevorzugt werden soll gemäß HinSchG die Meldestelle im Unternehmen, sofern der Whistleblower keine Repressalien zu befürchten hat.

Um zu verhindern, dass sich hinweisgebende Personen direkt an die externe Meldestelle des Bundesamtes für Justiz wenden, sollten Unternehmen ihre internen Meldesysteme so attraktiv wie möglich gestalten – denn so verhindern sie, dass Behörden direkt offizielle Untersuchungen gegen die Firma einleiten.

4. Wie schnell müssen Unternehmen die Whistleblower-Richtlinie umsetzen?

Die deutsche Whistleblower-Richtlinie gilt bereits seit dem 02. Juli 2023 für alle Unternehmen mit mehr als 249 Beschäftigten sowie für bestimmte Unternehmen der Finanz- und Versicherungsbranche. Die Einrichtung des internen Meldesystems für Hinweisgeber muss aber noch nicht erfolgt sein – hier gibt es eine Schonfrist bis zum 01. Dezember 2023. Bis zu diesem Stichtag muss die Meldestelle eingerichtet sein, sonst drohen Bußgelder.

Führen Sie ein Unternehmen mit einer Mitarbeiteranzahl zwischen 50 und 249. haben Sie noch etwas Zeit für die Umsetzung des Hinweisgeberschutzgesetzes. Bis zum 17. Dezember 2023 müssen aber auch Sie betriebsinterne Meldungen für Whistleblower ermöglichen, um Bußgelder zu vermeiden.

Sören SiebertRechtsanwalt

5. Welche Strafen drohen, wenn sich Unternehmen nicht an das HinSchG halten?

Halten sich Unternehmen nicht an die Hinweisgeberrichtlinie, indem sie ihren Mitarbeitern beispielsweise keine Meldestelle zur Verfügung stellen, sieht § 40 HinSchG empfindliche Sanktionen vor:

Geldbußen bis zu 50.000 Euro: Behinderung einer Meldung, Beschränkung der Kommunikation, Nichtwahrung der Vertraulichkeit, Benachteiligung des Whistleblowers durch eine Repressalie
Geldbußen bis zu 20.000 Euro: Nicht-Einrichtung oder fehlender Betrieb der erforderlichen Meldestelle
Schadensersatz: Bei Verstoß gegen Repressalien-Verbot besteht ein Schadensersatzanspruch zugunsten des Whistleblowers

Auch für den Hinweisgeber kann es Sanktionen geben, wenn er die Regelungen des HinSchG nicht beachtet. So droht etwa für das absichtliche Offenlegen falscher Informationen ein Bußgeld von bis zu 20.000 Euro, je nach Schwere des Verstoßes. Wer denkt, er könne mit falschen Informationen dem Unternehmen oder einer bestimmten Person im Betrieb absichtlich schädigen, muss den entstandenen Schaden zudem ersetzen.

6. Was sollten Unternehmen jetzt tun?

Auch wenn Unternehmen sich (je nach Größe) für das Meldesystem mit anderen Firmen zusammenschließen können, stellt die Umsetzung des Hinweisgeberschutzgesetzes insbesondere mittelständische Unternehmen vor Herausforderungen, da sie sowohl technische Ressourcen als auch fachkundiges Personal beansprucht.

Als Unternehmen sollten Sie Ihr internes Meldesystem so attraktiv gestalten, dass Hinweisgeber dieses bevorzugen – so haben Sie die Chance, mögliche Missstände aufzudecken und Rechtsverstöße in Ihrer Firma zu unterbinden, bevor diese an die Öffentlichkeit gelangen und sich negativ auf Ihre Reputation auswirken.

Es besteht die Möglichkeit, Ihren Datenschutzbeauftragten mit der Umsetzung zu beauftragen. Weder die DSGVO noch das HinSchG untersagen dies. Insbesondere bei der Betreuung durch Ihren internen Datenschutzbeauftragten sollten Sie jedoch Vorsicht walten lassen: Hier kann es (neben mangelnden Zeitressourcen für beide Tätigkeiten) zu einem Interessenkonflikt kommen, wenn Hinweisgeber einen Datenschutzverstoß melden. In diesem Fall würde sich Ihr Datenschutzbeauftragter selbst kontrollieren müssen.

Vermeiden lässt sich ein solcher Interessenkonflikt durch einen externen Datenschutzbeauftragten, dessen Beauftragung das HinSchG ausdrücklich erlaubt. Dieser hat nicht nur die notwendige Fachexpertise, sondern auch einen objektiven und neutralen Blick auf Ihr Unternehmen, da er nicht in betriebsinterne Prozesse verwickelt ist.

Jetzt unverbindlich anfragen

Praxis-Tipp:

Sie suchen einen erfahrenen Datenschutzbeauftragten für Ihr Unternehmen? Die Datenschutzexperten der eRecht24-Partnerkanzlei Siebert Lexow unterstützen Sie bei Ihrem Anliegen gern. Profitieren Sie von der langjährigen juristischen Expertise unserer Anwälte und machen Sie Ihr Unternehmen jetzt DSGVO-konform.

Jetzt unverbindlich anfragen

7. Häufige Fragen zum Hinweisgeberschutzgesetz

1. Aktueller Stand: Ab wann gilt das Hinweisgeberschutzgesetz?

Das Hinweisgeberschutzgesetz ist am 02. Juli 2023 in Kraft getreten und gilt somit ab sofort. Für die Einrichtung der Meldestelle besteht eine Schonfrist: Unternehmen mit mindestens 250 Mitarbeitern müssen diese spätestens zum 01. Dezember 2023 umgesetzt haben, Firmen mit mindestens 50 und maximal 249 Beschäftigten bis zum 17. Dezember 2023. Danach drohen hohe Bußgelder.

2. Wann ist Whistleblowing erlaubt?

Besteht die begründete Vermutung, dass es im eigenen Unternehmen zu Rechtsverstößen kommt, können sich Beschäftigte an die betriebsinterne Meldestelle wenden. Diese ist verpflichtet, den Vorwürfen nachzugehen. Angestellte in Unternehmen ohne Meldestelle haben die Möglichkeit, sich an die Meldestelle des Bundesamts für Justiz zu wenden.

3. Welche Tatbestände können Whistleblower melden?

Zu den meldefähigen Tatbeständen im Sinne des HinSchG zählen alle Straftatbestände, auf den Schutz von Leib, Leben und Gesundheit oder den Schutz von Beschäftigten bezogene Ordnungswidrigkeiten, verfassungsfeindliche Äußerungen von Beamten sowie Verstöße gegen das Unionsrecht (z. B. gegen Geldwäschegesetz, Antikorruptionsgesetz, Umweltschutzvorgaben, Verbraucherrechte, Datenschutzvorgaben).

4. Wovor werden Whistleblower geschützt?

Whistleblower werden durch das HinSchG vor Repressalien im Zuge der Bekanntmachung von Insider-Wissen geschützt. Als Repressalien zählen z. B. Abmahnung, Kündigung, Einleitung eines Disziplinarverfahrens, Versetzungen oder eine abgelehnte Beförderung bzw. Gehaltserhöhung, aber auch Verhalten wie Mobbing und Schikane. Besteht der Verdacht einer Repressalie, muss das Unternehmen das Gegenteil beweisen.