Ein Jahr Hinweisgeberschutzgesetz – eine Zwischenbilanz

Das Hinweisgeberschutzgesetz (HinSchG) trat am 02.07.2023 in Deutschland in Kraft und gilt ­damit nunmehr seit über einem Jahr für deutsche ­Unternehmen. Es setzt die Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23.10.2019 zum Schutz von Personen, die Verstöße ­gegen das Unionsrecht melden, um, kurz EU-Whistle­blowing-Richtlinie. Allerdings sehen sich Unternehmen hierzulande noch immer mit großen Herausforderungen bei der Implementierung eines Hinweisgebersystems, dem Umgang mit Hinweisen und der Ergreifung entsprechender Maßnahmen konfrontiert. Zur Komplexität der Materie tragen Wechselwirkungen mit Anforderungen aus den Bereichen des Arbeitsrechts, des Datenschutzrechts und anderer Meldeverfahren bei.

Ausgewählte Fragestellungen aus der Praxis

An vielen Stellen hat es der Gesetzgeber versäumt, eine hinreichend eindeutige und mit der geltenden Gesetzeslage abgestimmte Regelung im Hinweisgeberschutzgesetz zu schaffen. In der Rechtsanwendung haben sich daher mittlerweile eine Reihe von Fragestellungen ergeben, die mangels zwischenzeitlich ergangener, höchstrichterlicher Rechtsprechung nur durch gesetzeskonforme Auslegung gelöst werden können.

Unternehmen stehen in der Praxis vor einer Vielzahl von Fragen, wie etwa dem Umgang im Konzern, der vorrangigen Nutzung von internen Meldestellen sowie der Vereinbarkeit mit dem Datenschutz.

Konzernprivileg – wirklich eine Lösung für alle Größenklassen?

Für Unternehmensgruppen und Konzerne stellt sich die Frage, ob durch Einrichtung einer zentralen Meldestelle Ressourcen gebündelt werden können.

Für private Beschäftigungsgeber mit 50 bis 249 Beschäftigten ist diese Frage einfach zu beantworten. Hier sieht der deutsche Gesetzgeber in Umsetzung der EU-Richtlinie das Konzernprivileg, eine gemeinsame Stelle einzurichten, ausdrücklich vor, soweit die Pflicht, Maßnahmen zu ergreifen und Rückmeldung an den Hinweisgeber zu geben, bei den einzelnen Beschäftigungsgebern verbleibt (§ 14 Abs. 2 Satz 1 HinSchG). Kleineren Unternehmen soll es so möglich sein, Ressourcen zu schonen und eine kostengünstige und wenig aufwendige Lösung zu finden.

Zugleich besteht nach § 14 Abs. 1 Satz 1 HinSchG für verpflichtete Unternehmen die Möglichkeit, einen Dritten mit den Aufgaben der internen Meldestelle zu betrauen.

Fraglich ist allerdings, wie der Begriff „Dritte“ zu verstehen ist und ob dieses Privileg auch für Unternehmen ab 250 Beschäftigten gilt. Über die ausdrückliche Regelung in § 14 Abs. 2 Satz 1 HinSchG hinaus würde nämlich das Konzernprivileg auch für Unternehmen ab 250 Beschäftigten gelten, wenn „Dritter“ auch eine Gesellschaft aus der eigenen ­Unternehmensgruppe bzw. des eigenen Konzerns sein kann.

Dies wird in der Literatur bislang kontrovers diskutiert. Hintergrund sind Äußerungen der EU-Kommission (siehe hier), wonach sich der Begriff „Dritte“ nicht auf Einrichtungen innerhalb derselben Unternehmensgruppe beziehen soll. Hingegen stuft die Entwurfsbegründung des Hinweisgeberschutzgesetzes verbundene Unternehmen unter Berufung auf das (deutsche) konzernrechtliche Trennungsprinzip allgemein als unabhängige „Dritte“ ein.

Ob der extensive Gebrauch des Begriffs des „Dritten“ durch den deutschen Gesetzgeber noch im Einklang mit der Richtlinie steht, wird letztlich der EuGH entscheiden müssen. Fest steht, dass dieser Widerspruch zu Rechtsunsicherheit führt und die Anwendbarkeit des Konzernprivilegs für Beschäftigungsgeber ab 250 Beschäftigten daher bis zum Ergehen einer höchstrichterlichen Rechtsprechung ein ­Risiko bedeutet.

Kein gesetzlicher Vorrang interner Meldestellen – Anreize für interne Klärung nötig

Nachdem die meisten Unternehmen die Hürde der Implementierung eines Meldekanals nach dem Hinweisgeberschutzgesetz, gleich ob freiwillig oder erst aufgrund gesetzlicher Verpflichtung, genommen haben, liegt für die unternehmerische Praxis die größere Herausforderung wohl eher darin, hinweisgebende Personen dazu zu animieren, Meldungen über den internen Meldekanal abzugeben, statt die externe Meldestelle des Bundes zu konsultieren. Denn letztlich bringt die Nutzung des internen Melde­kanals durch den Hinweisgeber für das Unternehmen den Vorteil, gemeldete Gesetzesverstöße unternehmensintern aufzuarbeiten, abzustellen und gegebenenfalls zu sanktionieren, ohne die externe Meldestelle einzubinden, und ­damit selbst „Herr des Verfahrens“ zu sein.

Das Hinweisgeberschutzgesetz kennt keinen Vorrang zur Nutzung der internen Meldestelle. Allerdings gibt § 7 Abs. 3 HinSchG Beschäftigungsgebern die Möglichkeit, Anreize dafür zu schaffen, dass sich hinweisgebende Personen vor einer Meldung an eine externe Meldestelle zunächst an die jeweilige interne Meldestelle wenden. Welche Anreize durch den Beschäftigungsgeber zulässig sind, lässt der ­Gesetzgeber – bewusst oder unbewusst – offen. Die Aus­lotung der Grenze zwischen zulässigem Anreiz und unzulässiger Behinderung zur Meldung an die externe Meldestelle (§ 7 Abs. 2 HinSchG) bleibt der Ausgestaltung durch die Praxis überlassen.

Von einem gesetzeskonformen Anreiz kann jedenfalls dann gesprochen werden, wenn es sich um eine transparente und hinweisgeberfreundliche Ausgestaltung der jeweiligen ­betrieblichen Regelungen handelt. Der Zugang sollte deshalb so niedrigschwellig wie möglich gestaltet sein, so dass jeder Hinweisgebende die Möglichkeit zur Angabe eines Missstandes hat. Ein Anreiz kann dadurch geschaffen werden, dass hiervon umfasste Verstöße klar definiert, die Verschwiegenheit bei der Abgabe von Meldungen explizit nochmals garantiert sowie Mitarbeiter regelmäßig über die interne Meldestelle informiert werden. Denn je besser die einzelnen Arbeitnehmer informiert sind, desto eher greifen sie auf die von ihnen anerkannte interne Meldestelle ­zurück.

Wechselwirkungen mit dem Datenschutzrecht

Das Hinweisgeberschutzgesetz lässt ausdrücklich zu, dass die mit den Aufgaben einer internen Meldestelle beauftragten Personen neben ihrer Tätigkeit für die interne Meldestelle auch andere Aufgaben und Pflichten wahrnehmen dürfen, wie etwa die Position als Datenschutzbeauftragter. Insofern liegt für viele Arbeitgeber die Überlegung nahe, den bereits vorhandenen Datenschutzbeauftragten auch mit den Aufgaben der internen Meldestelle zu betrauen. Der Datenschutzbeauftragte muss allerdings nach Art. 38 Abs. 6 Satz 2 DSGVO sowie § 15 Abs. 1 Satz 3 HinSchG seinerseits sicherstellen, dass die Wahrnehmung anderer Aufgaben und Pflichten nicht zu Zielkonflikten führt. Auch wenn der Gesetzgeber diesen Zielkonflikt erkannt hat, sorgt die Umsetzung in der Praxis für Schwierigkeiten.

Ein offensichtlicher Zielkonflikt liegt darin, dass nach § 2 Abs. 1 Nr. 3 Buchst. p HinSchG unter anderem auch Meldungen und Offenlegungen von Verstößen gegen die ­Datenschutz-Grundverordnung (DSGVO) in den sach­lichen Anwendungsbereich des Hinweisgeberschutzgesetzes fallen. Werden Hinweise aus diesem Bereich an den mit Aufgaben der internen Meldestelle beauftragten Datenschutzbeauftragten gerichtet, hätte dies zur Folge, dass der Datenschutzbeauftragte eine Untersuchung in dem durch ihn zu überwachenden Bereich – gleichsam also gegen sich selbst – vornehmen müsste.

Damit Unternehmen dennoch Synergieeffekte durch die Beauftragung des Datenschutzbeauftragten als zugleich ­Beauftragten für die interne Meldestelle nutzen können, kann dem Zielkonflikt durch personelle, organisatorische sowie technische Maßnahmen Abhilfe geleistet werden.

Der Zielkonflikt der Selbstkontrolle des Datenschutzbeauftragten bei Meldungen an die interne Meldestelle von Verstößen aus dem Bereich der DSGVO kann durch organisatorische und personelle Maßnahmen gelöst werden. Ein Meldekanal könnte vorliegend so organisiert werden, dass Meldungen, schon bevor sie die mit den Aufgaben der internen Meldestelle beauftragte Person erreichen, ein Filtersystem durchlaufen. Betreffen eingehende Hinweise Verstöße gegen die Datenschutz-Grundverordnung, werden diese nicht an den Datenschutzbeauftragten weitergegeben. In Konsequenz ist als personelle Maßnahme die Besetzung der internen Meldestelle mit einer weiteren Person, jedenfalls in diesen Fällen, erforderlich. In organisatorischer Hinsicht ist daher eine klare Rollenverteilung der Aufgaben innerhalb der Meldestelle zwingend geboten. Letztlich wird sich der Zielkonflikt der Selbstkontrolle nur durch eine Mehrfachbesetzung der internen Meldestelle, zumindest für den Bereich von Verstößen gegen die Datenschutz-Grundverordnung, auflösen lassen.

Aus Sicht des Hinweisgeberschutzes sind solche Maßnahmen zu empfehlen, da der aufgezeigte Zielkonflikt geeignet ist, das Vertrauen von potentiellen Hinweisgebern in die Unabhängigkeit und Vertraulichkeit einer internen Meldestelle nachhaltig zu erschüttern. In der Folge werden Hinweisgeber entweder gänzlich von einer Meldung absehen oder sich direkt an die externe Meldestelle des Bundes wenden. Das wünschenswerte Ziel des Hinweisgeberschutz­gesetzes, vorrangig zur Nutzung eines internen Melde­kanals zu animieren, wird konterkariert.

Fazit nach einem Jahr ­Hinweisgeberschutzgesetz

Die mit anderen Rechtsbereichen abgestimmte Umsetzung des Hinweisgeberschutzgesetzes, unter Einbeziehung vorhandener Strukturen und Vorgaben, lohnt sich zur ­Gewährleistung eines effizienten Schutzes hinweisgebender Personen und nicht zuletzt des Schutzes von Unternehmens- und Vermögenswerten. Schließlich haben Unternehmen ein gesteigertes Interesse daran, „Herr des Verfahrens“ zu bleiben. Je attraktiver interne Meldungen für Arbeitnehmer ausgestaltet sind, desto unwahrscheinlicher ist die Involvierung der externen Meldestelle. Das Einrichten und Betreiben einer internen Meldestelle ist zwar einerseits mit erhöhtem administrativem und finanziellem Aufwand für Unternehmen verbunden, dieser kann aber andererseits im Konzern durch Nutzung der Konzern­lösung und im Übrigen durch Nutzung von Synergie­effekten mit bereits aufgrund anderer gesetzlicher Vor­gaben eingerichteten Stellen begrenzt werden.

Hinweis der Redaktion:
Das BWD-Positionspapier zum Hinweisgeberschutzsystem nach dem Regierungsentwurf vom 27.07.2022/12.10.2022 finden Sie hier.
Zum Thema Hinweisgeberschutz in Deutschland und Europa finden Sie hier den gesamten Beitrag aus Ausgabe 2/2022 des Verbandsmagazins fourword. (tw)