Unternehmen brauchen Meldestelle für Whistleblower: Neues Hinweisgeberschutzgesetz benennt Vorgaben, Fristen und Bußgelder

Da kommt einiges auf Unternehmen zu. Das frischgebackene Hinweisgeberschutzgesetz (HinSchG) verlangt, dass Firmen zukünftig eine neutrale Meldestelle für Rechtsverstöße einrichten. Die Pflicht gilt für Betriebe ab 50 Mitarbeitern – andernfalls drohen Geldbußen. Warum auch kleinere Einheiten von einem attraktiven Meldesystem profitieren und was es dabei zu beachten gibt, weiß Datenschutzexperte und Meldestellenbeauftragter Achim Barth.

Bereits 2019 trat die EU-Whistleblower-Richtlinie in Kraft. Ziel dieses Leitfadens war und ist es, Verstöße gegen das Unionsrecht innerhalb des eigenen Betriebs aufzudecken und die entsprechenden Hinweisgeber vor Repressalien zu schützen. Weder zivil-, straf- oder verwaltungsrechtlich noch in Bezug auf ihre Beschäftigung dürfen Mitarbeiter bei Auskünften und Warnungen in Haftung genommen werden. Bis Ende 2021 sollte Deutschland die EU-Variante auf nationaler Ebene umsetzen. Die Deadline verstrich. Aufgrund des Verzugs begann die EU bereits, ein Ordnungsverfahren gegen Deutschland einzuleiten. 2023 ist es nun so weit. Mit dem taufrischen HinSchG steht die verspätete Antwort in den Startlöchern – und deutsche Firmen vor neuen Hausaufgaben.

Aufmerksamen Teammitgliedern den Rücken stärken

Wer sich mit den Paragrafen genauer befasst, erkennt deren Schlagkraft. Die neue Vorgabe verfolgt zwei Hauptanliegen. Zum einen soll die Richtlinie Angestellten erleichtern, kritische Situationen, die gegen Compliance, EU-Recht oder deutsches Recht verstoßen, rund um ihren Arbeitsplatz zu melden. Zum anderen genießen die Hinweisgeber in dieser Situation mehr Sicherheit. Bisher waren aufmerksame Kollegen – ob Freelancer oder Festangestellte – bei einer Meldung weder vor disziplinarischen Maßnahmen, Abmahnungen oder Mobbing noch vor Kündigung sowie anderweitigen Schikanen geschützt. Das Gesetz stärkt Betroffenen hier nun den Rücken.

Sobald die Norm final verabschiedet ist, läuft die Zeit. Nach dem offiziellen Start haben Organisationen ab 250 Mitarbeitern drei Monate Zeit, die geforderten Rahmenbedingungen zu schaffen. Firmen ab 50 Beschäftigten müssen die Anforderungen erst ab Dezember 2023 erfüllen. Wer trotz Pflicht nicht aktiv wird, darf mit einem Bußgeld von 20.000 Euro rechnen. Damit birgt das neue Papier das Potenzial, Unternehmen ähnlich in Aufruhr zu versetzen wie 2018 die Datenschutzgrundverordnung (DSGVO). Die Fragen in den Köpfen klingen ähnlich: Wen betrifft die Regelung? Was müssen Verantwortliche umsetzen? Worum geht es technisch? Wer darf Meldungen entgegennehmen? Und welche Fristen gelten für wen?

Anreize schaffen für interne Anlaufstellen

In der Praxis sieht es so aus: Bemerkt ein Azubi, eine Fachkraft oder die Projektleitung, dass der Chef Abfälle falsch entsorgt, ein Lieferant unbrauchbares Material verwendet, durch einen Fehler im Ablauf ein Unglück droht, jemand Hygienevorschriften missachtet oder Kundendaten offen einsehbar sind, hat der Kollege zukünftig zwei Optionen: Er kann sofort staatliche Big Player kontaktieren und sein Anliegen bei einer der drei externen Meldestellen des Bundes vorbringen: dem Bundesministerium für Justiz, der Bundesanstalt für Finanzdienstleistungen oder dem Bundeskartellamt. Wendet sich ein eifriger Sachbearbeiter direkt an eine Bundesstelle, fordert diese sehr wahrscheinlich staatliche Kontrollen an. Neben diversem Fehlverhalten sowie dem Verdacht auf Straftaten wie Steuerbetrug, Korruption oder sexuelle Übergriffe fallen zukünftig auch verfassungsfeindliche Äußerungen von Beamten unterhalb der Strafgrenze unter den Hinweisgeberschutz. Grund für diesen expliziten Passus war die jüngste Diskussion zum Umgang mit sogenannten „Reichsbürgern“ im öffentlichen Dienst.

Kritische Situationen lassen sich aber auch ohne Öffentlichkeitswirbel klären. Dank HinSchG haben Teammitglieder in Zukunft die Möglichkeit, den Verstoß alternativ bei der hauseigenen Meldestelle vorzubringen. Landet der Hinweis dort, kann der Chef den Vorfall selbst ermitteln und beheben, bevor der Vorwurf am Firmenimage nagt. Wer frühzeitig intern einschreitet, vermeidet Haftungsansprüche und Reputationsschäden, die mit einer externen Aufdeckung verbunden sein können. Oftmals leidet das Ansehen sehr, wenn externe Ermittler den Laden unter die Lupe nehmen, weil Andeutungen auf Verstöße oder Straftaten die Runde machen. Ein komfortabler interner Kanal senkt die Wahrscheinlichkeit, dass jemand sich direkt bei staatlichen Stellen beschwert. Damit Kollegen die hauseigene Lösung bevorzugen, lohnt es sich, ein attraktives, leicht handhabbares Meldesystem bereitzustellen. Arbeitgeber sollten gezielt Anreize schaffen, sodass die Problemlösung in den eigenen vier Wänden startet.

Ein reiner Kummerkasten reicht nicht aus

Für die Rahmenbedingungen einer internen Meldestelle sieht der jüngste Gesetzesentwurf Folgendes vor: Betriebe verpflichten sich, eine mindestens vertrauliche bis zu komplett anonyme Kommunikation zwischen Hinweisgeber und Meldestelle zu ermöglichen. Jeder Angestellte muss die Chance haben, sein Anliegen namenlos und ohne Hürden vorzutragen. Faktisch ergibt sich daraus, dass nur ein elektronischer Meldekanal diesen Anforderungen entspricht. Ein reiner „Kummerkasten“, eine separate E-Mail-Adresse oder eine Telefonhotline reichen nicht aus. Ein E-Mail-Postfach garantiert z.B. nicht ohne Weiteres Vertraulichkeit. Administratoren könnten Zugriff haben oder jemand versendet Bilder und Dokumente mit Metadaten, die Rückschlüsse auf Personen zulassen. Am besten funktioniert ein elektronischer, softwaregestützter Kanal. Über diesen lassen sich die vorgegebenen Fristen gut managen, der Austausch kann vertraulich ablaufen, Dokumente lassen sich hochladen und der Kommunikationsverlauf mit dem Hinweisgeber lässt sich ideal dokumentieren. Ist die technische Anlaufstelle eingerichtet, sollten Experten die Teams über das Vorgehen informieren.

Externe Profis wissen, was zu tun ist

Den zweiten Part der Meldestelle bildet eine agierende Vertrauensperson: Neben den verschiedenen Kanälen müssen Inhaber einen Meldestellenbeauftragten benennen. Wie beim Datenschutz muss diese Person oder Abteilung völlig unabhängig arbeiten. Sie darf nicht weisungsgebunden sein oder in Interessenskonflikte geraten. Um das zu gewährleisten, kommt weder jemand aus der eigenen Personalabteilung noch der firmeneigene Datenschutzbeauftragte infrage. Gleichzeitig braucht der Kandidat Fachkunde, er schult sich regelmäßig zu Technik, Rechtslage, Kommunikation und in weiteren Bereichen. Eine angestellte Fachkraft damit zu konfrontieren, bringt diese neben dem Daily Business schnell an den Rand der Kapazitäten. Praktikabel lösen lässt sich die Situation über eine neutrale Ombudsperson. Inhaber können alternativ jemanden aus einer Anwaltskanzlei oder einen externen Datenschutzbeauftragten einsetzen. Diese Experten verfügen über das nötige Know-how und sind erfahren darin, Hinweise diskret entgegenzunehmen, sie sachorientiert zu bewerten und mit den Akteuren angemessen zu kommunizieren.

Eine Meldung trudelt ein – was ist jetzt zu tun?

Landet eine Meldung über den elektronischen Kanal auf dem richtigen Tisch, bekommt der Informant innerhalb von sieben Tagen eine Eingangsbestätigung. Die Meldestelle dokumentiert die Angelegenheit und pflegt sie revisionssicher ins System ein. Dann beginnt die Ermittlung. Auch bei nicht anonymen Meldungen hat die Meldestelle die Identität des Hinweisgebers sowie der betroffenen und erwähnten Personen zu wahren. Ausschließlich die Vertrauensperson darf die Identitäten kennen. Mit diesem Wissen prüft die Meldestelle den Vorfall unparteiisch, spricht mit Betroffenen sowie Hinweisgebern und verweist ggf. an weitere zuständige Stellen. Für all das hat die Vertrauensperson drei Monate Zeit. Während dieses Zeitraums informiert die Meldestelle den Hinweisgeber über das bisher erfolgte sowie geplante Vorgehen und begründet ihr jeweiliges Handeln. Wird intern nach einem Hinweis niemand aktiv, können Informanten jederzeit staatliche Stelle aufsuchen und die Öffentlichkeit alarmieren.

Frühwarnsystem: Team und Image schützen

Selbst wenn GmbHs die neuen Vorschriften als lästige Pflicht empfinden mögen, der Mehrwert überzeugt auch von Unternehmerseite. Inhaber schauen versöhnlicher auf die Inhalte, wenn sie deren Relevanz und Vorteile erkennen. Natürlich soll das Gesetz Meldende schützen. Doch Firmen profitieren ebenso von einer internen Anlaufstelle. Da die eigene Crew unentdeckte Rechtsverstöße in der Arbeitsumgebung oft zuerst wahrnimmt, können Betriebe Fehler schneller erkennen und beseitigen. Inhaber haben so die Chance, die Vorgänge intern zu prüfen, zu verfolgen und zu unterbinden, bevor sie ans Licht der Öffentlichkeit geraten. Aus diesem Grund lohnt sich eine Meldestelle ebenso für kleinere Systeme unter 50 Mitarbeitern – auch wenn sie von der Pflicht zunächst befreit sind. Ein solches Vehikel reguliert Prozesse transparent. Wer keine bewussten Verstöße begeht, hat nichts zu befürchten. Und wer unwissentlich Vorgaben missachtet, kann das Ganze als Frühwarnsystem betrachten.

Gleichzeitig sind Unternehmer der neuen Richtlinie nicht schutzlos ausgeliefert: Entpuppt sich ein Hinweis als falsch und entsteht dadurch ein Schaden, hat der Hinweisgeber für diesen aufzukommen. Das ist besonders wichtig, da zugunsten des Melderechts mitunter auch Verschwiegenheits-oder Geheimhaltungspflichten entfallen. Um auf Nummer sicher zu gehen, empfiehlt es sich, ähnlich wie bei der Frage nach dem Datenschutzbeauftragten, den einfachen Weg zu gehen: Wer die Sache an einen externen Partner delegiert, spart jede Menge Zeit und Nerven, die er sonst in das Implementieren und Pflegen des neuen Hinweissystems investieren müsste.