Das neue Hinweisgeberschutzgesetz ist da

Am 2. Juli tritt das neue „Whistleblower“-Gesetz in Kraft │ Was Unternehmen wissen müssen

Für das heiß diskutierte Hinweisgeberschutzgesetz wird es nach langen Verzögerungen nun ernst: Es gilt überwiegend ab dem 02.07.2023. Für viele Unternehmen besteht damit jetzt dringender Handlungsbedarf. „Größere Unternehmen ab 250 Beschäftigte müssen sich sehr schnell vorbereiten, um den neuen Anforderungen entsprechen zu können“, rät HLB Klein Mönstermann aus Osnabrück. Und: „Auch kleinere Unternehmen mit 50 bis 249 Beschäftigten sollten aktiv werden, denn auch sie müssen die Vorgaben spätestens am 17. Dezember 2023 erfüllen. Es drohen empfindliche Bußgelder“, warnt Vitalij Mierau, Partner und Rechtsanwalt.

Die EU-Richtlinie zum sogenannten Whistleblower-Gesetz sieht vor, dass Personen geschützt werden, die Verstöße gegen das EU-Recht in bestimmten Bereichen melden. Der Kernpunkt besteht darin, dass Unternehmen mit mindestens 50 Beschäftigten eine interne Meldestelle für Hinweise auf Missstände einrichten müssen. Zusätzlich gilt:

• Die interne Meldestelle muss den Empfang eines Hinweises gegenüber dem Hinweisgeber innerhalb von sieben Tagen bestätigen.
• Innerhalb von drei Monaten muss der Hinweisgeber über getroffene Maßnahmen informiert werden.
• Zum Schutz des Hinweisgebers soll im Falle von Nachteilen im beruflichen Zusammenhang eine gesetzliche Vermutung gelten, dass diese als Repressalien zu werten sind.
• Im Bundesministerium für Justiz soll eine externe Meldestelle eingerichtet werden. Dies ist auch für die Bundesländer möglich.

Wer kann Hinweisgeber sein und welche Verstöße können gemeldet werden?

Hinweisgeber sind diejenigen Personen, die Informationen über Verstöße melden. Dies können alle Personen sein, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben. Der Hinweisgeberschutzgesetz-Entwurf betrifft unter anderem Verstöße gegen Strafvorschriften nach deutschem Recht sowie bußgeldbewehrte Verstöße, die dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dienen.

Vitalij Mierau weist darauf hin, dass für Konzerne die Möglichkeit zur Auslagerung der Meldestelle an ein Konzernunternehmen besteht. „So muss nicht jede einzelne Gesellschaft des Konzerns einen Compliance-Beauftragten oder eine ganze Abteilung erschaffen. Voraussetzung ist, dass der Meldeweg für Hinweisgeber ebenso unkompliziert ist wie bei einer unternehmensinternen Stelle.“ Zudem können die Aufgaben der sogenannten internen Meldestelle auch durch Dritte, also Externe (nicht zu verwechseln mit der externen Meldestelle) wahrgenommen werden.

„Unternehmen können also diese für sie unangenehme Aufgabe auslagern, zum Beispiel an ihre Steuerberatungs- oder Rechtsanwaltskanzlei“, erklärt Vitalij Mierau. Dies empfehle sich schon deshalb, damit Unternehmer einen Mitarbeiter nicht in die Zwangslage bringen, zwischen einem Whistleblower und seinen Kollegen, dem Chef oder dem Unternehmen zu stehen. Der Partner und Rechtsanwalt fügt hinzu: „Zudem können die Aufgaben einer internen Meldestelle eigentlich nur von ausgebildeten Juristen korrekt wahrgenommen werden. Immerhin befinden wir uns auf einem schmalen Grat zum Strafrecht.“

Für Unternehmen, die ihrer Pflicht zur Einführung und zum Betrieb einer internen Meldestelle nicht nachkommen, können Geldbußen in Höhe von bis zu 50.000 Euro verhängt werden.

Checkliste

Diese Fragen sollten Unternehmen zeitnah klären:

• Existiert im Unternehmen bereits ein Hinweisgebersystem? Besteht Anpassungsbedarf?
• Welche Kanäle sollen eingerichtet werden (Telefon, E-Mail, Intranet, Briefkasten)?
• Wem soll der interne Meldekanal zur Verfügung stehen, nur den eigenen Mitarbeitern oder weiteren Personen, die beruflich mit dem Unternehmen in Kontakt stehen?
• Wer ist innerhalb des Unternehmens zuständig für die Entgegennahme und Bearbeitung der Hinweise und erhält die Zugriffsrechte? Bestehen die Qualifizierung und Expertise sowie die Unabhängigkeit, um diese Tätigkeit zu übernehmen? Ist eine Schulung angebracht?
• Wie wird die Vertraulichkeit sichergestellt?
• Wie ist die Vorgehensweise nach einer Meldung?
• Soll ein externer Dienstleister mit der Entgegennahme und Bearbeitung der Meldungen beauftragt werden?
• Muss der Datenschutzbeauftragte, die Personalabteilung, der Betriebsrat, die Rechtsabteilung und das Compliance eingebunden werden?
• Wie wird die Bearbeitung dokumentiert?