Hinweisgebersystem: Wie bearbeitet man Hinweise auf der internen Meldestelle?

Mit dem neuen Hinweisgeberschutzgesetz ist es nun auch in Deutschland für alle Unternehmen ab 50 Mitarbeiter verpflichtend einen internen Meldekanal einzurichten. Mit der Bestimmung der Meldestellenbeauftragten (interne oder externe Personen, die die Hinweise bearbeiten) und dem Aufsetzen eines Hinweisgebersystems sind die ersten Schritt getan. 

Aber wie geht man mit Hinweisen operativ um? In diesem Artikel zeigen wir ein paar Guidelines an denen sich Meldestellenbeauftragte orientieren können.

Whistleblower Meldung über die interne Meldestelle eingegangen - Was nun?

Schritt 1: Bestätigung des Eingangs

Nach Eingang des Hinweises, sollte in jedem Fall der hinweisgebenden Person der Eingang des Hinweises bestätigt werden. Dies kann mündlich oder schriftlich erfolgen, aber es ist wichtig, dass der Meldestellenbeauftragte alle relevanten Details aufzeichnet, um eine gründliche Untersuchung durchzuführen.

Wichtig: In Deutschland ist die Frist zur Bestätigung auf 7 Tage nach Eingang des Hinweises festgelegt worden.

Schritt 2: Überprüfung der Relevanz

Sobald der Hinweis empfangen wurde, sollte die meldestellenbeauftragte Person prüfen, ob der Hinweis in den Anwendungsbereich von Whistleblowermeldungen fällt. Dazu gehören (laut Hinweisgeberschutzgesetz):

1. Verstöße, die strafbewehrt sind
   
2. Verstöße, die bußgeldbewehrt sind, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient
3. sonstige Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende Rechtsakte der Europäischen Union und der Europäischen Atomgemeinschaft
   
4. Verstöße gegen bundesrechtlich und einheitlich geltende Regelungen für Auftraggeber zum Verfahren der Vergabe von öffentlichen Aufträgen und Konzessionen und zum
   Rechtsschutz in diesen Verfahren ab Erreichen der jeweils maßgeblichen EU-Schwellenwerte
   
5. Verstöße, die von § 4d Absatz 1 Satz 1 des Finanzdienstleistungsaufsichtsgesetzes
   erfasst sind, soweit sich nicht aus § 4 Absatz 1 Satz 1 etwas anderes ergibt
   
6. Verstöße gegen für Körperschaften und Personenhandelsgesellschaften geltende steuerliche Rechtsnormen
   
7. Verstöße in Form von Vereinbarungen, die darauf abzielen, sich in missbräuchlicher Weise einen steuerlichen Vorteil zu verschaffen, der dem Ziel oder dem Zweck des für Körperschaften und Personenhandelsgesellschaften geltenden Steuerrechts zuwiderläuft
   
8. Verstöße gegen Artikel 101 und 102 des Vertrages über die Arbeitsweise der Europäischen Union sowie Verstöße gegen die in § 81 Absatz 2 Nummer 1, 2 Buchstabe a und Nummer 5 sowie Absatz 3 des Gesetzes gegen Wettbewerbsbeschränkungen genannten Rechtsvorschriften
   

Dem Unternehmen ist freigestellt auch darüber hinausgehende Hinweise zu bearbeiten (z.B. falls auf etwas hingewiesen wird, dass gegen die internen Unternehmenrichtlinien verstößt).  

Wenn beides nicht zutrifft, sollte der Meldestellenbeauftragte die hinweisgebende Person an eine alternative zuständige Stelle verwiesen und sie darauf hinweisen, dass keine weiteren Schritte unternommen werden.

Schritt 3: Überprüfung der Stichhaltigkeit

In dem Fall, dass der Hinweis als relevant klassifiziert wurde, sollte im nächsten Schritt die Stichhaltigkeit des Hinweises überprüft werden. Mit folgenden Leitfragen können Meldestellenbeauftragte die Stichhaltigkeit vorprüfen:

• Sind alle notwendigen Informationen zur Einleitung einer Überprüfung in dem Hinweis vorhanden?
• Gibt es in dem Hinweis Inkonsistenzen oder logische Brüche? 

In dem Fall, wo nicht ausreichend Informationen zur Verfügung stehen oder es erhebliche Inkonsistenzen in dem Hinweis gibt, sollte der Meldestellenbeauftragte mit dem Whistleblower über das Hinweisgebersystem Kontakt aufnehmen und nach weiteren Informationen bzw. Aufklärung bitten.

Falls weiter keine ausreichenden Informationen eingereicht werden, können Meldestellenbeauftragte das Verfahrens wegen fehlender Stichhaltigkeit einstellen und den Hinweisgeber (spätestens 3 Monate nach Empfangsbestätigung) informieren.

Schritt 4: Ableitung der Folgemaßnahmen mit Entscheidungsträgern

Falls die Prüfung der Stichhaltigkeit positiv ausgefallen ist, sollte der Meldestellenbeauftragte ausgewählte Entscheidungsträger involvieren (Wichtig: auch dies muss in der Datenschutzerklärung festgehalten werden). Dies kann das Management, die Rechtsabteilung oder andere relevante Abteilungen sein.

Gemeinsam mit den entsprechenden Entscheidungsträgern sollte der Hinweis besprochen werden und entsprechende Folgemaßnahmen abgeleitet werden. 

Mögliche Folgemaßnahmen in diesem Schritt sind:

• Einleitung einer internen Untersuchung
  
• Abgabe der Untersuchung an externe Stelle (zuständige Arbeitseinheit für interne Ermittlungen oder zuständige Behörde)

Die Entscheidung ob die Überprüfung intern oder durch eine externe Instanz erfolgen soll, hängt von der Art und dem Umfang des Hinweises ab (Wichtig: Wenn eine externe Partei in der Untersuchung involviert wird, muss der Hinweisgeber zustimmen, falls seine Identität der Partei offen gelegt werden sollte - dies sollte in der Datenschutzerklärung für das Hinweisgebersystem aufgeführt sein).

Die Ableitung der Folgemaßnahmen sollte gründlich dokumentiert werden.

Schritt 5: Durchführung einer Untersuchung

Während der Untersuchung ist es wichtig, dass alle relevanten Daten und Beweise gesammelt werden, einschließlich der Befragung der betroffenen Personen, um eine fundierte Entscheidung treffen zu können.

Faustregel: Involvieren Sie immer nur die minimale Anzahl an Personen die notwendig ist um die Untersuchung sorgfältig durchzuführen.

Es ist auch wichtig, dem Hinweisgeber über den Fortschritt der Untersuchung auf dem Laufenden zu halten, solange es den Schutz der vertraulichen Informationen und des Whistleblowers nicht beeinträchtigt. 

Es ist unerlässlich, dass die Untersuchung sorgfältig, gründlich und unvoreingenommen durchgeführt wird, um eine objektive Beurteilung der Fakten zu ermöglichen und sicherzustellen, dass alle relevanten Informationen berücksichtigt werden. Darüber hinaus müssen alle Beteiligten, einschließlich des Whistleblowers und der betroffenen Personen, angemessen geschützt werden, um sicherzustellen, dass keine Diskriminierung oder Bestrafung stattfindet. 

​Der Schutz von personenbezogenen Daten, kann mit einem richtig aufgesetzen Whistleblower-System gut umgesetzt werden.​

Schritt 6: Feedback an den Whistleblower

Schließlich sollte der Meldestellenbeauftragte dem Whistleblower Feedback zu den ergriffenen Folgemaßnahmen des Hinweises geben. Rein rechtlich gesehen, reicht es dem Hinweisgeber mitzuteilen ob:

• eine interne Untersuchung durchgeführt wird
  
• eine externe Untersuchung durchgeführt wird
• das Verfahren auf Grund von Mangel an Beweisen oder anderen Gründen eingestellt wird 
• der Hinweisgeber an eine andere Stelle verwiesen wird

Im Falle einer laufenden Untersuchung empfehlen wir dennoch, dass der Meldestellenbeauftragte mit dem Hinweisgeber in Kontakt bleibt und ihn (ohne die Integrität von Dritten zu verletzen) bei der laufenden Untersuchungen auf dem notwendigen Kenntnisstand hält.

Schritt 7: Löschung der Dokumentation

Alle oben genannten Schritte sollten umfassend dokumentiert und aufbewahrt werden. 3 Jahre nach Abschluss des Verfahren müssen alle personenbezogenen Daten mit Bezug auf den Hinweis gelöscht werden.

Was kann ihnen bei der operativen Bearbeitung von Whistleblower-Meldungen helfen?

Die zahlreichen und komplexen Anforderungen für Unternehmen, die das neue Hinweisgeberschutzgesetz mit sich bringt lässt nicht viele Optionen offen. Ein digitales, DSGVO konformes Hinweisgebersystem ist der einfache und kostengünstige Weg um das Gesetz richtig umzusetzen. Achten Sie bei der Auswahl auf  insbesondere auf den Datenschutz und die Sicherheitsmaßnahmen des Hinweisgebersystems. 

Melden Sie sich gerne für einen kostenfreien Beratungstermin oder schreiben Sie uns auf contact@whistly.org. 

Für mehr Informationen schauen Sie in unseren Blog.