Hinweisgeberschutzgesetz: Aktueller Stand [2024]

Das Hinweisgeberschutzgesetz (HinSchG) soll Personen schützen, die Informationen über Verstöße gegen das Gesetz offenlegen. Dies kann beispielsweise bei Verstößen gegen den Datenschutz, Korruption oder anderen illegalen Handlungen im Zusammenhang mit Arbeit oder Geschäftspraktiken der Fall sein.

Demo Termin mit whistly buchen

Gesetzestext des Hinweisgeberschutzgesetzes:

Die Beschlussempfehlung vom 09.05.2023 des Hinweisgeberschutzgesetzes (20/6700)
Gesetzestext zum Hinweisgeberschutzgesetz im Bundesgesetzblatt

Hinweisgeberschutzgesetz: Die wichtigsten Punkte

Gesetzlicher Hintergrund & aktueller Stand in Deutschland

Die "EU-Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (2019/1937)" legt Mindeststandards für den Schutz von Whistleblowern fest. Sie soll Anreize schaffen, rechtswidrige Handlungen zu melden und verlangt von öffentlichen und privaten Organisationen sowie Behörden, sichere Kanäle für die Meldung von Missständen bereitzustellen.

Ein entscheidendes Element in der Richtlinie ist das Verbot von Repressalien: Schon der Versuch oder die Androhung von arbeitsrechtlichen Maßnahmen (z.B. Kündigung, Suspendierung etc.) des Arbeitsgebers in Verbindung mit dem Hinweis sind vollständig untersagt. Außerdem gilt die Beweislastumkehr zugunsten des Hinweisgebers. Arbeitgeber müssen fortan beweisen, dass eine Maßnahme unabhängig von dem eingegangenen Hinweis erfolgt ist.

Die Umsetzung der EU-Richtlinie in deutsches Recht hätte bis zum 17. Dezember 2021 erfolgen müssen. Dies hat aber deutlich länger auf sich warten lassen:

Erst im Juli 2022 hat das Kabinett den Entwurf vom Bundesminsterium für Justiz und Verbraucherschutz (BMJ) für das deutsche Hinweisgeberschutzgesetz beschlossen
Der Bundestag hat am 16. Dezember 2022 den Gesetzentwurf beschlossen
Am 10. Februar 2023 hat der Bundesrat den Gesetzentwurf im Bundesratsplenum vorerst abgelehnt - es gab weitere Verhandlungen im Vermittlungsausschuss, die zu einer Verzögerung von einigen Monaten bis Inkrafttreten des Gesetzes geführt hat
Update Mai 2023: Der Bundestag hat den neuen Entwurf zum Hinweisgeberschutzgesetz (HinSchG) am 11. Mai beschlossen und am 12. Mai hat auch der Bundesrat seine Zustimmung gegeben, damit ist das Gesetz nun endgültig verabschiedet.
Seit dem 02. Juli 2023 müssen alle Unternehmen mit 250 oder mehr Mitarbeitern eine interne Meldestelle bereithalten, um den gesetzlichen Anforderungen zu entsprechen. Für kleinere Firmen gab es eine Umsetzungsfrist bis zum 17. Dezember 2023.

Welche Unternehmen sind vom Hinweisgeberschutzgesetz betroffen?

Die betroffenen Unternehmen sind im Gesetzentwurf klar definiert:

Unternehmen mit mehr als 249 Mitarbeitern haben seit Inkrafttreten des Gesetzes am 02. Juli 2023 die Pflicht eine interne Meldestelle einzurichten
Unternehmen zwischen 50-249 Mitarbeitern hatten bis zum 17. Dezember 2023 Zeit die interne Meldestelle einzurichten
Unternehmen im Finanzdienstleistungsbereich mussten unmittelbar nach Inkrafttreten des Gesetzes und unabhängig der Mitarbeiteranzahl die Meldestelle einrichten

Ihr Unternehmen ist betroffen? Richten Sie ein Hinweisgebersystem in 5 Minuten ein.

Was sind die Anforderungen für Unternehmen?

Laut dem Hinweisgeberschutzgesetz müssen Whistleblower die freie Wahl zwischen einer externen (wird durch den Bund, die Länder, die BaFin und das Bundeskartellamt eingerichtet) und internen Meldestelle haben.

Hinweisgeberschutzgesetz: Interne und externe Meldestelle

Die interne Meldestelle muss so eingerichtet sein, dass sie leicht verständlich und jederzeit zugänglich ist (z.B. auf der Unternehmens-Homepage oder im Intranet). Bei der Einrichtung sollten folgende Anforderungen berücksichtigt werden:

Form: Meldungen sollten in mündlicher oder schriftlicher und persönlicher Weise ermöglicht werden
Vertraulichkeit: Keine Offenlegung des Hinweisgebers ohne dessen ausdrücklich Zustimmung an Dritte sowie Datenverarbeitung im Einklang mit der EU-Datenschutzgrundverordnung
Anonymität: Empfehlung zur Ermöglichung von anonymen Meldungen im Meldekanal - nach erster anonymen Kontaktaufnahme, sollte die hinweisgebende Person anonym bleiben können
Zuständigkeit: Innerhalb des Unternehmens müssen „Meldestellen-Beauftragte“ bestimmt werden (beispielsweise, Compliance-Leiter, Legal Counsel oder Datenschutzbeauftragter)
Bearbeitungsfristen: 7-Tage-Frist um den Eingang der Meldung zu bestätigen; 3 Monate um über ergriffene Folgemaßnahmen zu informieren
Dokumentation: Dokumentationen der Hinweise müssen 3 Jahre nach Abschluss des Falls gelöscht werden

Hinweisgeberschutzgesetz: Anforderung interne Meldestelle

Durch diese spezifischen Anforderungen des Gesetzes (insb. die Anonymität und der Datenschutz), sind die simpelsten Meldekanäle wie z.B. ein physischer Briefkasten oder der persönliche Kontakt nicht ausreichend um als Unternehmen konform zu sein. Digitale Hinweisgebersysteme (wie z.B. whistly), sind eigens konzipiert um die Anforderungen zu erfüllen.

Was können Hinweisgeber melden?

Die EU-Richtlinie legt fest, dass Personen, die Verstöße gegen das EU-Recht in bestimmten Bereichen melden, geschützt werden müssen. Dies betrifft unter anderem Bereiche wie Produktsicherheit, Finanzdienstleistungen, öffentliche Aufträge, Verkehrssicherheit, Lebensmittel, öffentliche Gesundheit, Verbraucher- und Datenschutz sowie Umweltschutz.

Der aktuelle Gesetzentwurf des deutschen Hinweisgeberschutzgesetzes (HinSchG) bezieht zusätzlich das deutsche Recht mit ein:

Verstöße gegen Strafvorschriften: Dies beinhaltet alle Straftatbestände nach deutschem Recht
Bußgeldbewehrte Verstöße, die dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane gefährden
Verstöße gegen Rechtsvorschriften der EU-Rechtsakte, des Bundes und der Länder in verschiedenen Bereichen (u.a. Produktsicherheit, Verkehrssicherheit, Umweltschutz)

Welche Parteien können Hinweisgeber sein?

Unternehmen haben bezüglich des meldeberechtigten Personenkreises einen Gestaltungsspielraum:

Die interne Meldestelle muss Beschäftigten sowie LeiharbeitnehmerInnen zur Verfügung stehen, § 16 Abs. 1 S. 1 HinSchG-E
Die interne Meldestelle kann sonstigen natürlichen Personen zur Verfügung stehen (z. B. Lieferanten, Kunden, Anteilseignern oder deren MitarbeiterInnen), § 16 Abs. 1 S. 2 HinSchG-E

Der Schutz vor Repressalien ist im Hinweisgeberschutzgesetz weiter gefasst:

Arbeitnehmer (auch bereits ausgeschiedene), Bewerber, Leiharbeiter und Praktikanten
Die bestehende Investorenbasis des Unternehmens
Aktuelle Lieferanten und andere Auftragnehmer (z.B. Freelancer)

Wie werden Unternehmen sanktioniert die das Hinweisgeberschutzgesetz nicht einführen?

Unternehmen, die kein Hinweisgebersystem haben, laufen Gefahr, dass Informationen über Verstöße an Behörden oder die Öffentlichkeit gelangen. Dies kann dazu führen, dass das Ansehen des Unternehmens beschädigt wird und dass das Unternehmen rechtliche Konsequenzen zu tragen hat. Daher ist es sinnvoll, dass das Unternehmen selbst Kenntnis von Missständen erlangt, bevor diese von Behörden oder den Medien bekannt werden.

Zusätzlich hat das Hinweisgeberschutzgesetz klare Sanktionen definiert:

Unternehmen, die es versäumen, eine interne Meldestelle einzurichten und zu betreiben, können mit einer Geldbuße belastet werden, deren Höhe bis zu 20.000 Euro reichen kann.
Wer bewusst oder unachtsam eine Meldung unterdrückt oder die darauffolgende Kommunikation verhindert, wer verbotene Repressalien anwendet oder anwenden will, oder wer absichtlich oder leichtsinnig das Vertraulichkeitsgebot verletzt, dem droht eine Geldstrafe von bis zu 50.000 Euro. Wenn jemand fahrlässig das Vertraulichkeitsgebot missachtet, ist eine Geldstrafe von bis zu 10.000 Euro vorgesehen.

Fazit: Wie können Sie das Hinweisgeberschutzgesetz einfach umsetzen?

Die zahlreichen und komplexen Anforderungen für Unternehmen, die das neue Hinweisgeberschutzgesetz mit sich bringt lässt nicht viele Optionen offen. Ein digitales, DSGVO konformes Hinweisgebersystem ist der einfache und kostengünstige Weg um das Gesetz richtig umzusetzen. Achten Sie bei der Auswahl auf insbesondere auf den Datenschutz und die Sicherheitsmaßnahmen des Hinweisgebersystems.