Einführung und Handlungsempfehlung zum neuen Hinweisgeberschutzgesetz
Mit über einem Jahr Verspätung hat der Gesetzgeber die sog. Whistleblower-Richtlinie in deutsches Recht umgesetzt. Nachdem der Bundestag am 11.05.2023 seine Zustimmung zu dem Gesetzesentwurf auf Basis der Beschlussempfehlung des Vermittlungsausschusses erteilte, passierte dieser am 12.05.2023 auch den Bundesrat. Am 02.06.2023 wurde das HinSchG im Bundesgesetzblatt veröffentlicht (BGBl. I 2023, Nr. 150), so dass es einen Monat später am 02.07.2023 in Kraft getreten ist. Bußgelder für die Nichteinführung eines Systems werden ab sechs Monaten nach der Verkündung verhängt.
Vielleicht betrifft Sie die gesetzliche Neuregelung nicht direkt. Ihre Kunden mit mehr als 49 Mitarbeiter:innen sind aber betroffen. Damit Sie auf Augenhöhe mitreden können erhalten Sie hier eine kleine Übersicht und Handlungsempfehlung.
Was regelt das neue Gesetz:
- Welche Unternehmen sind betroffen?
Lediglich Arbeitgeber mit i.d.R. 50 bis 249 Beschäftigten müssen ein entsprechendes Hinweisgebersystem erst zum 17.12.2023 implementieren, vgl. § 42 HinSchG. Die Pflicht zur Implementierung eines Hinweisgebersystems trifft grundsätzliche alle pri-vatrechtlichen und öffentlich-rechtlichen Unternehmen mit jeweils in der Regel mindestens 50 Beschäftigten. Beschäftigte von „Kleinbetrieben“ sind dann auf Meldungen an externe Meldestellen verwiesen.
- Welche Arten von Hinweisgebersystemen sind möglich?
Für die hinweisgebenden Personen der Regelbetriebe (mindestens 50 Beschäftigte) bestehen grundsätzlich zwei gleichwertig nebeneinanderstehende Meldewege. Hierbei handelt es sich zum einen um interne und zum anderen um externe Meldekanäle, vgl. § 7 HinSchG. Dabei sollte die hinweisgebende Person jedoch nach § 7 Abs. 1 S. 2 HinSchG in den Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchtet, die Meldung an eine interne Meldestelle bevorzugen.
- Interne Meldekanäle
Bei der genauen Ausgestaltung des internen Meldekanals besteht Gestaltungsspielraum, vgl. §§ 12 ff. HinSchG. Die interne Meldestelle kann eingerichtet werden, indem eine bei dem jeweiligen Beschäftigungsgeber beschäftigte Person, eine aus mehreren beschäftigten Personen bestehende Arbeitseinheit oder ein Dritter mit den Aufgaben der internen Mel¬destelle betraut wird.
Damit kann insbesondere auch ein Rechtsanwalt als externe Ombudsperson mit den Aufgaben der internen Meldestelle beauftragt werden. In jedem Fall benötigt die betreffende Person hinreichende Kompetenzen, um die notwendige rechtliche Bewertung der Meldungen vornehmen zu können. Zu den Aufgaben der internen Meldestelle gehört das Betreiben der Meldekanäle, die Durchführung des Verfahrens nach § 17 HinSchG sowie das Ergreifen von angemessenen Folgemaßnahmen.
Die Meldewege müssen so ausgestaltet sein, dass die Hinweise in schriftlicher oder mündlicher Form erfolgen können. Eine im letzten Entwurf vorgesehene Verpflichtung zur Einrichtung von Meldestellen, die auch eine anonyme Meldung ermöglichen, besteht nach dem nunmehr verabschiedeten Gesetz nicht mehr. § 16 Abs. 1 S. 4 HinSchG sieht lediglich vor, dass die interne Meldestelle auch anonym eingehende Meldungen bearbeiten sollte. Den Unternehmen steht allerdings frei, die anonyme Kontaktaufnahme sowie die anonyme Kommunikation zwischen hinweisgebender Person und interner Meldestelle zu ermöglichen.
Geht eine Whistleblower-Meldung im Unternehmen ein, ist die Vertraulichkeit der Identität des Hinweisgebers, der Personen, die Gegenstand der Meldung sind und sonstiger in der Meldung genannten Personen, zu wahren, vgl. § 8 HinSchG. Ausnahmen von diesem Vertraulichkeitsgebot sind nur in sehr eng begrenzten Fällen vorgesehen, vgl. § 9 HinSchG.
Als Hinweisgebersystem bietet sich vor dem Hintergrund der gesetzlichen Vorgaben in erster Linie die Einrichtung einer elektronischen Meldemöglichkeit an. Außerdem muss nach § 16 Abs. 3 HinSchG auf Wunsch des Hinweisgebers auch eine physische Zusammenkunft innerhalb eines angemessenen Zeitrahmens ermöglicht werden. Die Möglichkeit für hinweisgebende Personen ein persönliches Gespräch zu führen, hat insbesondere bei der Betrauung eines Dritten mit den Aufgaben einer internen Meldestelle eine herausragende Bedeutung. Mit Einwilligung der hinweisgebenden Person kann die Zusammenkunft jedoch auch im Wege der Bild- und Tonübertragung erfolgen (§ 16 Abs. 3 HinSchG). Der interne Meldekanal muss zumindest den Beschäftigten und Leiharbeitnehmern des Unternehmens offenstehen. Freiwillig kann das Hinweisgebersystem auch Personen zugänglich gemacht werden, die im Rahmen ihrer beruflichen Tätigkeit mit dem jeweiligen Unternehmen in Kontakt stehen. Hierbei handelt es sich etwa um Organmitglieder und Aktionäre des Unternehmens, Bewerber, Selbstständige bzw. ehemalige Arbeitnehmer.
- Externe Meldekanäle
Neben der Etablierung eines internen Meldesystems müssen die Unternehmen ihren Mit¬arbeitern als potenziellen Hinweisgebern aber auch verständliche und leicht zugängliche Informationen über die Möglichkeiten externer Meldungen an bestimmte Behörden erteilen. Auch für die externen Meldestellen gilt, dass sie anonyme Meldungen bearbeiten sollen, jedoch keinen entsprechenden Kanal hierfür einrichten müssen, vgl. § 27 Abs. 1 HinSchG. Zugleich sieht § 24 Abs. 2 HinSchG eine Aufgabe der externen Meldestellen darin, insbesondere auch über die Möglichkeit einer internen Meldung zu informieren.
Der Hinweisgeber kann zwar grundsätzlich entscheiden, ob er Verstöße unternehmensintern meldet oder sich extern an eine Behörde wendet. Allerdings sollen die internen Meldestellen, wie oben dargestellt, bevorzugt werden, § 7 Abs. 1 HinSchG. Es sei denn es handelt sich um einen Beschäftigten eines Unternehmens, dass die vorgegebene Mindestgröße nicht erreicht; hier ist allein auf die externe Meldestelle zurückzugreifen. Nach § 7 Abs. 3 HinSchG sollen Beschäftigungsgeber weiterhin Anreize dafür schaffen, dass sich hinweisgebende Personen vor einer Meldung an eine externe Meldestelle zunächst an die jeweilige interne Meldestelle wenden und für Beschäftigte klare und leicht zugängliche Informationen über die Nutzung des internen Meldeverfahrens bereitstellen. Zugleich sind sie nach § 13 Abs. 2 HinSchG verpflichtet, über externe Meldeverfahren zu informieren.
Mit externen Meldungen ist allerdings nicht gemeint, dass sich der Arbeitnehmer nach seiner Wahl an irgendeine Stelle außerhalb des Unternehmens (z.B. Aufsichtsbehörden, Polizei, Staatsanwaltschaften) oder gar an die breite Öffentlichkeit wenden könnte. Vielmehr benennt das HinSchG nur einen engen Kreis von aufnahmebefugten externen Meldestellen. Diese werden vor allem für Meldungen im „Kleinbetrieb“ Bedeutung erlangen. Der Bund wird eine Meldestelle beim Bundesamt für Justiz einrichten. Auch die Länder können (und werden) Meldestellen aufbauen; BaFin und Bundeskartellamt kommen als geeignete externe Stellen hinzu.
- Welche Meldungen genießen Whistleblower-Schutz?
Das Hinweisgeberschutzgesetz geht in seinem Anwendungsbereich über die Vorgaben der EU-Richtlinie hinaus.
Danach sind Hinweisgeber bei der Meldung von Verstößen geschützt, die strafbewehrt oder (mit einigen Einschränkungen) bußgeldbewehrt sind, vgl. § 2 Abs. 1 Nr. 1 und 2 HinSchG. Die Meldung muss Informationen über Verstöße bei dem Beschäftigungsgeber, bei dem die hinweisgebende Person tätig ist oder war, oder bei einer anderen Stelle, mit der die hinweisgebende Person aufgrund ihrer beruflichen Tätigkeit im Kontakt steht oder stand, beinhalten, vgl. § 3 Abs. 3 HinSchG.
Darüber hinaus erstreckt sich der sachliche Anwendungsbereich auf sonstige Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende Rechtsakte der EU und der Europäischen Atomgemeinschaft, § 2 Abs. 1 Nr. 3 bis 10, Abs. 2 HinSchG. Darunter fallen u. a. folgende Bereiche:
- Verbraucherschutz,
- Schutz der Privatsphäre und personenbezogener Daten sowie Sicherheit von Netz- und Informationssystemen,
- bestimmte Verstöße gegen das Gesetz gegen Wettbewerbsbeschränkungen (GWB).
Insbesondere der Verbraucherschutz ist im Versicherungsvertriebsrecht die virulente Größe.
Einbezogen sind ferner Verstöße, die mit einem Bußgeld bedroht werden, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient (z.B. MindestlohnG).
Whistleblower-Meldung – und dann?
Dem Hinweisgeber muss der Eingang der Meldung innerhalb von sieben Tagen bestätigt werden. Der eingegangene Hinweis wird sodann durch die interne Meldestelle geprüft. Anschließend müssen angemessene Folgemaßnahmen nach § 18 HinSchG ergriffen werden. Beispielweise kann das Verfahren zwecks weiterer Untersuchungen auch an eine bei dem Unternehmen für interne Ermittlungen zuständige Arbeitseinheit abgegeben werden, § 18 Nr. 4 HinSchG. Zudem wird in den Erläuterungen klagestellt, dass zur Durchführung interner Untersuchungen – unter Wahrung der Vertraulichkeit – auch Informationen an Arbeitseinheiten bei dem Unternehmen weitergegeben werden können. Die interne Meldestelle muss der hinweisgebenden Person innerhalb von drei Monaten nach Bestätigung des Eingangs der Meldung eine Rückmeldung erteilen.
Die Rückmeldung umfasst die Mitteilung geplanter sowie bereits ergriffener Folgemaßnahmen sowie die Gründe für diese. Die eingehenden Meldungen sind zu dokumentieren, vgl. § 11 HinSchG. Ggf. sollte dem Hinweisgeber die Dokumentation zum Zwecke der Verifizierung vorgelegt werden.
Schutzwirkung für den Hinweisgeber / Bußgelder
Whistleblower genießen nur dann rechtlichen Schutz, wenn ein berechtigter Grund zu der Annahme bestand, dass die gemeldeten Informationen über Verstöße zum Zeitpunkt der Meldung der Wahrheit entsprachen, in den Anwendungsbereich des Gesetzes fielen und sie diese über die vorgegeben internen oder externen Meldekanäle abgegeben haben.
Unter diesen Voraussetzungen verbietet das Gesetz jede Form von Repressalien, Diskriminierungen oder Benachteiligungen, § 33 ff. HinSchG. Die Hinweisgeber müssen bei einer ordnungsgemäßen Meldung keine arbeitsrechtlichen Konsequenzen befürchten. Im Falle eines arbeitsrechtlichen Prozesses ist eine Beweislastumkehr zugunsten des Hinweisgebers vorgesehen, vgl. § 36 Abs. 2 HinSchG. Danach muss der Arbeitgeber beweisen, dass kein Zusammenhang mit der Meldung des Hinweises durch den Arbeitnehmer bestand. Bei einem Verstoß gegen das Verbot von Repressalien besteht ein Schadensersatzanspruch für Vermögensschäden des Hinweisgebers.
Bei Verstößen sind Sanktionierungen mit empfindlichen Geldbußen zwischen € 10.000,00 und € 50.000,00 vorgesehen, vgl. § 40 HinSchG. Für die Nicht-Einrichtung einer entsprechenden internen Meldestelle werden die Bußgelder erst mit einer Übergangsfrist von sechs Monaten und damit ab dem sechsten Monat nach Verkündung verhängt.
Die Bußgelder können sowohl die Verantwortlichen als auch (über § 30 OWiG) die jeweiligen Unternehmen betreffen. Achtung, bei bestimmten Verstößen kann sich das Bußgeld gegen das Unternehmen auch verzehnfachen, § 40 Abs. 6 S. 2 HinSchG!
Fazit: Dringender Handlungsbedarf!
Nach einem langen Hin und Her im Gesetzgebungsverfahren müssen die Unternehmen nun handeln. Dies bedeutet: Vor allem größere Unternehmen (ab 249 Mitarbeitern) müssen umgehend ein Hinweisgebersystem, das den Anforderungen des Hinweisgeber¬schutzgesetzes entspricht, implementieren, um insbesondere empfindliche Geldbußen zu verhindern. Aber auch kleine Unternehmen müssen sich auf die Neuregelungen einstellen, da Hinweisgebersysteme dort bisher ganz regelmäßig nicht bestehen und sie diese gesetzliche Verpflichtung bereits Ende 2023 treffen wird. Sofern solche Systeme vorhanden sind, erfüllen sie häufig zumindest nicht die nun verabschiedeten gesetzlichen Vorgaben. Insofern ist es ratsam, sich schnellstmöglich mit der Implementierung eines solchen Systems einschließlich der gesetzlichen Rahmenbedingungen auseinander zu setzen und Personen mit den anstehenden Aufgaben zu betrauen.
Hierfür bietet sich folgende Handlungsempfehlung an:
- Prüfung der vorhandenen Meldekanäle auf Konformität beziehungsweise erstmalige Einrichtung eines neuen Meldesystems und Bestellung eines Projektverantwortlichen, der für die Implementierung zuständig ist.
- Es sollte entschieden werden, ob der Betrieb der Meldestelle durch das Unternehmen selbst oder durch Dritte, etwa eine Anwaltskanzlei oder sonstige Dienstleister durchgeführt werden soll. Im Falle einer Auslagerung sind insbesondere die Vertraulichkeit und die datenschutzrechtlichen Anforderungen durch eine ADV sicherzustellen.
- Zu den neuen Vorgaben des Hinweisgeberschutzgesetzes ist auch die Erfüllung arbeits- und datenschutzrechtlicher Anforderungen sicherzustellen. Der zuständige Datenschutzbeauftrage sollte unbedingt eingebunden werden.
- Vor der erstmaligen Implementierung eines Systems, sollte überprüft werden, ob betriebsverfassungsrechtliche Mitbestimmungsrecht betroffen sind. Daher sollten zuerst die Zuständigkeiten der in Betracht kommenden Verhandlungsgremien geklärt werden.
- Für einen reibungslosen Ablauf und zur Sicherstellung der notwendigen Fachkunde sollten die Beschäftigten uns insbesondere Systemverantwortlichen hinreichend geschult werden, um etwaige Haftungsfälle wegen falscher Verwendung des Systems oder unzureichender Dokumentation etc. auszuschließen.
- Insbesondere verwendete Klauseln zum Geheimnisschutz in den Arbeitsverträgen sollten überprüft werden, um die Gefahr gänzlich unwirksamer Klauseln zu beseitigen (Verbot geltungserhaltender Reduktion).
Zusammenfassung:
- Unternehmen ab 250 Mitarbeitern: Es besteht eine Verpflichtung zur Einführung eines Hinweisgebersystems. Die Umsetzungsfrist lief am 02.07.2023 ab;
- Unternehmen mit 50 bis 249 Mitarbeitern: Auch diese Unternehmen müssen ihren Mitarbeitern einen Meldekanal zur Verfügung stellen, allerdings haben sie dazu bis zum 17.12.2023 Zeit;
- die Meldesysteme müssen sowohl eine schriftliche oder mündliche als auch eine persönliche Meldung von Vorfällen erlauben;
- innerhalb von 7 Tagen muss ein Hinweis von der internen Meldestelle bearbeitet bzw. bestätigt werden;
- spätestens 3 Monate nach Meldung müssen Hinweisgeber über die ergriffenen Maßnahmen informiert werden;
- die Anwendungsbereiche des Hinweisgeberschutzgesetzes beziehen sich auf das EU-Recht und das nationale Recht;
- das Hinweisgebersystem muss DSGVO-konform sein und die Identität des Hinweisgebers schützen. Das Angebot einer anonymisierten Abgabe von Meldungen wird ausdrücklich empfohlen, ist aber nicht verpflichtend und
- bei Gesetzesverstößen müssen Unternehmen mit Bußgeldern von bis zu € 50.000,00 rechnen.
Das HinweisgeberschutzG dient der Etablierung eines internen Kommunikationsinstruments, um in einem Betrieb stattfindende Pflichtverletzungen und Regelverstöße aufzudecken.
Compliance ist nicht nur präventiv, sondern durchaus auch repressiv orientiert. Öffentliche Strafverfolgungsbehörden werden genau hinsehen, ob derlei betriebsinterne Aufklärungsmechanismen installiert, geschult und up to date gehalten worden sind. Am Standard dieser Instrumente kann sich dann auch ggfs. die Strafbemessung orientieren.
Für weitere Fragen steht die Kanzlei Michaelis gern zur Verfügung. Der Verfasser des Artikels, Herr Rechtsanwalt Timmermann und Herr Dr. Freitag für das Arbeitsrecht freuen sich, Sie weiterführend beraten zu dürfen.
Mit herzlichen Grüßen
Ihr,
Stephan Michaelis LL.M.
Fachanwalt für Versicherungsrecht
Fachanwalt für Handels- und Gesellschaftsrecht
Verantwortlich für den Inhalt:
Kanzlei Michaelis Rechtsanwälte, Glockengießerwall 2, 20095 Hamburg, Tel: +49 40 88888-777,Fax: +49 40 88888-737, www.kanzlei-michaelis.de
Der Bonner IT-Dienstleister Brokerport GmbH, ein IT-Unternehmen im Bereich von Vertriebs- und Vermittlerservices für Finanzdienstleister, stellt ab sofort sämtlichen Einzelvermittlern von Versicherungen, Finanzprodukten und Finanzierungen seine Software „DINalyst“ dauerhaft kostenfrei zur Verfügung. 
Neue flexgold-App
Sind grüne Altersvorsorgeprodukte eine Chance mehr Menschen – und vor allem Frauen – zu erreichen?
Erfahrener Top-Manager und Branchenkenner übernimmt Verantwortung für nationales und internationales Versicherungsgeschäft.
Sebastian Langrehr verstärkt zum 01.10.2023 die Geschäftsführung der Smart InsurTech AG, Betreiber der Versicherungsplattform SMART INSUR. 
Keine höheren Renditen für Privatanleger – Geringere Beteiligung an Kapitalmärkten
Die Nürnberger Immobiliengesellschaften „PROJECT Immobilien Management GmbH“ (PMG), „PROJECT Immobilien Wohnen und Gewerbe GmbH“ (PWG) und „PROJECT Immobilien Projektentwicklungs GmbH“ (PEG) haben Insolvenz angemeldet. 
Mit Blick auf die wachsende Datenflut stehen gerade Klein- und Kleinstunternehmer zunehmend vor der Herausforderung, ihre Daten vor Bedrohungen wie Manipulation, unberechtigtem Zugriff, fremder Kenntnisnahme oder Verlust zu schützen. 
‘k-mi’ wertet regelmäßig die Statistiken der britischen Finanzaufsicht FCA aus, um mehr Objektivität in die Debatte um ein Provisionsverbot zu bringen (vgl. ‘k-mi’ 32/20, 34/21, 33/22). 
Versicherungsbestand überschreitet die Marke von 1 Milliarde Euro Jahresnettoprämie
Gesamterlöse erreichen mit 475,0 Mio. Euro neuen Höchststand (H1 2022: 472,6 Mio. Euro) – breite und strategisch verzahnte Aufstellung sichert Stabilität des Gesamtgeschäfts, starkes Wachstum insbesondere im Zinsgeschäft und in der betrieblichen Vorsorge
Der Infrastrukturdienstleister blau direkt integriert Penseo in das Maklerverwaltungsprogramm Ameise.
Am 01. August 2023 ist das neu gestaltete 34f-Ausbildungsformat der Fonds Finanz mit 30 angehenden Investmentvermittlern gestartet. 
Von Schulweg bis Ausflug – wann ist der Staat in der Verantwortung? Einmal nicht aufgepasst – warum ist die Haftpflicht unverzichtbar?
Die aktuellen Favoriten der unabhängigen Vermittlerinnen und Vermittler im gewerblichen Schaden-/Unfallgeschäft stehen fest. 
Die Policen Direkt Versicherungsvermittlung GmbH ist neuer Partner im Expertennetzwerk der CHARTA Börse für Versicherungen AG.
Die Gubbi AG, ein führender Anbieter von Digitalen Assets und Blockchain-Lösungen für Finanzdienstleister und Finanzunternehmen, hat Matthias Wiegel zum neuen Aufsichtsratsmitglied bestellt. 
Mohamed Fizazi verstärkt ab sofort das Vertriebsteam der Apo Asset Management GmbH (apoAsset).