Was Aufsichtsrät*innen über das Hinweisgeberschutzgesetz wissen müssen

Was ist das Hinweisgeberschutzgesetz und wann tritt es in Kraft?

Die Whistleblower-Richtlinie (2019/1937) der Europäischen Union trat 2019 in Kraft. Die EU-Mitgliedsländer mussten sie bis zum 17. Dezember 2021 in nationales Recht umsetzen. Weil die Bundesrepublik Deutschland den Termin nicht eingehalten hat, leitete die EU-Kommission ein Vertragsverletzungsverfahren ein. „Nachdem der Bundesrat den Entwurf des Gesetzes zunächst abgelehnt hat, konnte sich der Vermittlungsausschuss aus Bundestag und Bundesrat auf einen Kompromiss einigen und das Gesetz verabschieden. Damit wird die Whistleblower-Richtlinie nach jahrelangem Anlauf in deutsches Recht umgesetzt“, erklärt Peter Christian Felst, Jurist und Partner bei Forvis Mazars in Deutschland. Nach Inkrafttreten des Gesetzes – voraussichtlich im Juni 2023 – müssen Unternehmen die rechtlichen Vorgaben befolgen.

Was ist das Ziel des Gesetzes?

Das Gesetz schützt Personen, die Verstöße gegen Gesetze oder Compliance-Regeln in Unternehmen und anderen Institutionen melden. Bislang existierte in Deutschland keine umfassende rechtliche Regelung, um Whistleblower zu schützen.

Welche Institutionen müssen die neuen Regelungen umsetzen?

Unternehmen mit mehr als 250 Mitarbeiter*innen müssen sofort nach Inkrafttreten des Gesetzes ein Hinweisgebersystem installieren. Für Unternehmen, die 50 bis 249 Menschen beschäftigen, ist das Hinweisgeberschutzgesetz ab dem 17. Dezember 2023 verpflichtend. Nicht nur Unternehmen, auch weitere Institutionen wie Landesrundfunkanstalten, öffentlich-rechtliche Stiftungen, Religionsgemeinschaften, aber auch eingetragene Vereine müssen das Gesetz einhalten.

Was kommt auf Unternehmen zu?

Die Unternehmen benötigen ein Hinweisgebersystem. „Das Gesetz sieht vor, dass Unternehmen entgegen der ursprünglichen Regelung keine anonyme interne Meldestelle einrichten müssen. Die Meldung kann auch über bestehende interne Kommunikationskanäle erfolgen“, erklärt Felst. Auch der Betrieb der internen Meldestelle durch einen externen Dienstleister ist möglich. Konzerne können eine unabhängige und vertrauliche Meldestelle einrichten, die für mehrere selbstständige Tochterunternehmen die Aufgaben übernimmt. Die Verantwortung, einen Verstoß zu verfolgen, liegt aber beim jeweiligen Tochterunternehmen. Mehrere Unternehmen, die zwischen 50 und 249 Menschen beschäftigten, können auch eine gemeinsame Meldestelle betreiben.

Unternehmen müssen sicherstellen, dass die Meldungen nur damit beauftragte Personen erreichen. „Sie sollten den Meldeprozess so gestalten, dass keine unberechtigte Person Zugang hat. Die hinweisgebende Person hat einen Anspruch auf Vertraulichkeit“, sagt Felst. Nur dann hätten die Hinweisgeber*innen auch einen Anreiz, Missstände zu melden. Lediglich in Ausnahmefällen, zum Beispiel bei einem Strafverfahren durch Strafverfolgungsbehörden, dürfen Unternehmen den Namen weitergeben.

Wie können Hinweisgeber*innen Vorfälle melden?

Das Gesetz sieht mehrere Wege vor, wie Hinweisgeber*innen Meldungen abgeben können. Nach dem Gesetz muss der Beschäftigungsgeber Meldungen mündlich oder in Schriftform ermöglichen, zum Beispiel telefonisch oder per Sprachnachricht. In Schriftform können Meldungen postalisch, per E-Mail oder Eingabe in die Maske eines IT-gestützten Tools erfolgen. Daneben muss auch eine persönliche Kontaktaufnahme möglich sein.

Wie müssen Unternehmen mit Meldungen umgehen?

Das Hinweisgeberschutzgesetz macht genaue Vorgaben, wie Unternehmen mit einer Meldung umgehen müssen:

• Das Unternehmen bestätigt den Eingang spätestens nach sieben Tagen.
• Es folgt eine Prüfung, ob der gemeldete Verstoß in den Anwendungsbereich des Hinweisgeberschutzgesetzes fällt.
• Die Meldestelle hält Kontakt zum*zur Hinweisgeber*in, zum Beispiel, um weitere Informationen anzufragen.
• Die Meldestelle gibt dem*der Hinweisgeber*in innerhalb von drei Monaten nach der Bestätigung eine Rückmeldung.
• Die Hinweise sind unter Wahrung des Vertraulichkeitsgebots zu dokumentieren und regelmäßig drei Jahre nach Ablauf des Verfahrens zu löschen.

Was sind die Folgen einer falschen Meldung?

Das neue Gesetz ist kein Freischein für ungerechtfertigte Anschuldigungen. Gibt ein*e Hinweisgeber*in vorsätzlich oder grob fahrlässig unrichtige Informationen weiter, ist er*sie zum Ersatz des eingetretenen Schadens verpflichtet.

Was passiert, wenn betroffene Unternehmen das Gesetz nicht umsetzen?

Wenn das Gesetz in Kraft getreten ist, bleibt eine Übergangsfrist von sechs Monaten. Damit will der Gesetzgeber Unternehmen Zeit geben, um sich auf die Änderungen einzustellen. Bußgelder wegen eines fehlenden Hinweisgeberschutzsystems drohen erst ein halbes Jahr nach Inkrafttreten des Gesetzes. Ursprünglich war bei einem Verstoß gegen das Gesetz ein Bußgeldrahmen von bis zu 100.000 € vorgesehen. Das verabschiedete Gesetz nennt nun eine Summe von bis zu 50.000 €.