Bundesregierung beschließt Hinweisgeberschutzgesetz – Was ist neu?

Die Frist zur Umsetzung der EU-Whistleblower-Richtlinie ist bereits am 17. Dezember 2021 abgelaufen. Nach dem obligatorischen „blauen Brief“ aus Brüssel hat die Bundesregierung nunmehr am 27. Juli 2022 einen Gesetzesentwurf beschlossen. Wir geben einen ersten Überblick, welche Neuerungen dieser Entwurf enthält und wann mit seinem Inkrafttreten zu rechnen ist.

Zum Hintergrund: Was regelt die EU-Whistleblower-Richtlinie?

In der EU-Whistleblower-Richtlinie werden juristische Personen des privaten und öffentlichen Sektors verpflichtet, sichere und zuverlässige Kanäle für die Meldung von Verstößen einzurichten. Hinweisgebern soll ermöglicht werden, Verstöße möglichst ohne Furcht vor Repressalien zu melden. EU-weit sollen dadurch Mindeststandards zum Schutz von Whistleblowern geschaffen werden.

Welche Neuerungen enthält der Regierungsentwurf?

Zentralisierte Meldestelle auf Konzernebene

Mit Inkrafttreten des Hinweisgeberschutzgesetzes (HinSchG) sind alle Unternehmen ab 250 Beschäftigten verpflichtet, interne Meldestellen einzurichten. Für Unternehmen mit 50 bis 249 Beschäftigten gilt diese Pflicht erst ab dem 17. Dezember 2023. Ungelöst war bisher die Frage, wie diese unternehmensbezogene Pflicht in Konzernen umzusetzen ist.

Der Regierungsentwurf sieht nunmehr ausdrücklich vor, dass mehrere private Beschäftigungsgeber mit bis zu 249 Beschäftigten für die Entgegennahme von Meldungen und für die weiteren Untersuchungen eine gemeinsame Stelle einrichten können, um Ressourcen einzusparen. Zur Möglichkeit der Nutzung einer zentralen Meldestelle auf Konzernebene – unabhängig von der Beschäftigtenzahl – enthält der Entwurf hingegen keine explizite Regelung.

Nach der Gesetzesbegründung soll es aber faktisch möglich sein, im Konzern z.B. bei einer Mutter-, Schwester- oder Tochtergesellschaft eine unabhängige und vertrauliche Meldestelle einzurichten. Diese Stelle soll dann für mehrere Unternehmen in dem Konzern tätig sein dürfen. Dabei sei es jedoch notwendig, dass die originäre Verantwortung dafür, einen festgestellten Verstoß zu beheben und weiterzuverfolgen, immer bei dem jeweiligen Unternehmen selbst verbleibt. Solche innerhalb eines Konzerns zentral angesiedelten Meldestellen würden der Unterstützung durch Dritte wie etwa durch externe Anwaltskanzleien entsprechen.

In international aufgestellten Konzernen ist mit Blick auf etwaige Umsetzungsunterschiede jedenfalls das nationale Hinweisgeberschutzrecht des jeweiligen Staates zu beachten.

Pflicht zur Einrichtung einer internen Meldestelle im öffentlichen Sektor

Beschäftigungsgeber im öffentlichen Sektor müssen grundsätzlich unabhängig von der Beschäftigtenzahl eine interne Meldestelle einrichten.

Besonderheiten sollen nun gelten, wenn Beschäftigungsgeber der Bund oder ein Land ist: In diesem Fall werden die obersten Bundes- bzw. Landesbehörden sogenannte Organisationseinheiten in Form von einzelnen oder mehreren Behörden, Verwaltungsstellen, Betrieben oder Gerichten bestimmen, wobei die Pflicht zur Einrichtung einer internen Meldestelle sodann bei den jeweiligen Organisationseinheiten gilt.

Die externen Meldestellen

Beschäftigte sollen die Wahlmöglichkeit haben, ob sie Verstöße unternehmensintern oder extern melden. Im Gegensatz zu den vorigen Entwürfen sieht der neue Regierungsentwurf nunmehr vier externe Meldestellen auf Bundesebene vor:

• Originäre „externe Meldestelle des Bundes“ wird eine eigens für Meldungen von Verstößen zuständige Stelle bei dem Bundesamt für Justiz (BfJ).
• Daneben werden die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sowie das Bundeskartellamt(BKartA) für die Bearbeitung bestimmter Verstöße aus dem Finanz- bzw. Kartellbereich zuständig sein.
• Zuletzt wird vom Bund eine weitere externe Meldestelle eingerichtet, die für Meldungen von Verstößen, die die Stelle beim BfJ selbst betreffen, zuständig sein soll.

Auf Länderebene kann zudem jedes Bundesland eine eigene externe Meldestelle einrichten. Dies für Meldungen, die die jeweiligen Landes- und Kommunalverwaltungen betreffen.

Anonyme Meldungen weiterhin nicht verpflichtend, „sollen“ aber ermöglicht werden

Die EU-Whistleblowing-Richtlinie hat dem deutschen Gesetzgeber die Möglichkeit eröffnet, Unternehmen dazu zu verpflichten, auch anonyme Hinweise entgegenzunehmen.

Der Regierungsentwurf macht von dieser Möglichkeit keinen Gebrauch. Demnach sollen Hinweisgebersysteme nicht überlastet und erste Erfahrungen abgewartet werden. Allerdings enthält der Gesetzesentwurf jetzt eine dahingehende „Soll“-Vorschrift, wonach die internen Meldestellen auch anonym eingehende Meldungen bearbeiten sollten, soweit dadurch die vorrangige Bearbeitung nichtanonymer Meldungen nicht gefährdet wird.

Für Unternehmen, die an einem möglichst attraktiven Hinweisgebersystem (zur Vermeidung externer Meldungen) interessiert sind, war auch bisher schon empfehlenswert, anonyme Meldungen zuzulassen.

Datenschutz: Löschpflicht greift erst später

Die Personen, die im Unternehmen für die Entgegennahme von Meldungen zuständig sind, müssen alle eingehenden Meldungen in dauerhaft abrufbarer Weise unter Beachtung des Vertraulichkeitsgebots dokumentieren.

Der Datenschutz gebietet es, dass diese Dokumentationen nicht dauerhaft gespeichert werden dürfen, sondern gelöscht werden, sofern eine Speicherung nicht mehr erforderlich ist. Ursprünglich war vorgesehen, dass die Dokumentationen gelöscht werden, sobald das jeweilige Verfahren abgeschlossen ist. Nunmehr sieht der Regierungsentwurf vor, dass die Dokumentation erst zwei Jahre nach Abschluss des Verfahrens gelöscht wird.

Wann tritt das Gesetz in Kraft?

Der Bundestag wird sich aller Voraussicht nach nicht vor Mitte September 2022 mit dem jetzt vorgelegten Gesetzesentwurf befassen. Anschließend muss der Bundesrat noch zustimmen, bevor das Gesetz verkündet werden kann. Das Gesetz soll drei Monate nach der Verkündung in Kraft treten. Mit dem Inkrafttreten könnte daher bereits zum Jahreswechsel, spätestens aber im ersten Quartal 2023 zu rechnen sein.

Was können Unternehmen jetzt schon tun?

Für Unternehmen ab 250 Beschäftigten, die sich noch nicht mit dem Hinweisgeberschutzgesetz vertraut gemacht haben, bleiben also noch wenige Monate, um dies nun schleunigst nachzuholen. Sollte es bislang kein Hinweisgebersystem im Unternehmen geben, sollte die Zeit genutzt werden, um ein solches zu etablieren. Nicht zuletzt können bei der Einführung von Hinweisgebersystemen Beteiligungsrechte des Betriebsrats ausgelöst werden. Auch wenn ein bestehendes System an die Vorgaben des neuen Gesetzes angepasst werden soll, kann es sich lohnen, den Betriebsrat frühzeitig ins Boot zu holen (siehe bereits unseren Blogbeitrag vom 31. März 2021).

Im Rahmen unseres Fokusthemas Whistleblowing & interne Untersuchungen werden wir Sie natürlich weiterhin auf dem Laufenden halten und in den kommenden Monaten bis zum Inkrafttreten weitere praktische Empfehlungen zu den neuen gesetzlichen Vorgaben liefern.

Vielen Dank an Canan Schneider (wissenschaftliche Mitarbeiterin im Düsseldorfer Büro) für die Mitwirkung bei der Erstellung des Beitrags.