ZDH-Leitfaden zum Hinweisgeberschutzgesetz

Ziel des Gesetzes ist es, Personen, die im Rahmen ihrer beruflichen Betätigung Rechtsverstöße melden, vor Repressalien zu schützen. Durch die Regelungen sollen Beschäftigungsgeber zur Errichtung von Compliance-Strukturen angehalten werden. Das Gesetz enthält besondere Bestimmungen zum Schutz von Hinweisgebern, die weit über bisher bestehende Regelungen hinausgehen. Zudem ist für Beschäftigungsgeber ab einer bestimmten Größe die Schaffung interner Meldestellen vorgesehen.

In diesem Leitfaden werden zunächst allgemeine Begrifflichkeiten erklärt und die neuen Schutzbestimmungen für Hinweisgeber skizziert. Daran schließt eine Darstellung der Vorgaben für Beschäftigungsgeber zur Errichtung interner Meldestellen an. Unter III. finden sich Checklisten zur Einrichtung einer internen Meldestelle und zur Durchführung eines Meldeverfahrens nach dem HinSchG.

Das HinSchG gewährt hinweisgebenden Personen einen umfassenden Schutz vor Benachteiligungen in Folge einer Meldung oder einer Offenlegung von Verstößen gegenüber für die Entgegennahme entsprechender Hinweise zuständigen Stellen.

Hinweisgebende Personen sind nach dem Gesetz natürliche Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese den nach dem HinSchG vorgesehenen Meldestellen anzeigen oder offenlegen. Der Anwendungsbereich des Gesetzes kann damit auch eröffnet sein, wenn noch gar kein Arbeitsverhältnis besteht, da sich die hinweisgebende Person in einem Bewerbungsverfahren befindet oder das Arbeitsverhältnis noch nicht begonnen hat, aber während des Einstellungsverfahrens oder anderer vorvertragli- cher Verhandlungen Informationen über Verstöße erlangt wurden. Zudem können Personen unter den Schutzbereich fallen, deren Arbeitsverhältnis zwischenzeitlich beendet wurde.

Ein Zusammenhang mit der beruflichen Tätigkeit ist daher anzunehmen, wenn sich anbahnende, laufende oder frühere berufliche Tätigkeiten betroffen sind und sich eine hinweisgebende Person Repressalien ausgesetzt sehen könnte, würde sie erlangte Informationen über Verstöße melden. Vom Anwendungsbereich des Gesetzes werden darüber hinaus Personen erfasst, die potenziell Kenntnis von einem Verstoß im beruflichen Umfeld erlangt haben können. Hierzu gehören ausweislich der Gesetzesbegründung Selbstständige, Praktikanten, Freiwillige und Organmitglieder von Körperschaften.

Als Beschäftigungsgeber gelten neben natürlichen und juristischen Personen des privaten und des öffentlichen Rechts auch rechtsfähige Personengesellschaften und sonstige rechtsfähige Personenvereinigungen, bei denen mindestens eine Person beschäftigt ist. Damit ist jeder Unternehmer mit abhängig Beschäftigten im Bereich der gewerblichen Wirtschaft als Beschäftigungsgeber im Sinne des HinSchG anzusehen, unabhängig davon, ob eine einzelunternehmerische Betätigung vorliegt oder eine Personen- bzw. Kapitalgesellschaft als Unternehmensträgerin fungiert. Zudem werden alle Selbstverwaltungsorganisationen der Wirtschaft erfasst. Dies gilt für Kammern, Kreishandwerkerschaften und Innungen als Körperschaften des öffentlichen Rechts genauso wie für Landesinnungsverbände als juristische Personen des privaten Rechts oder eingetragene Vereine.

Verstöße im Sinne des Gesetzes sind rechtswidrige Handlungen und Unterlassungen im Rahmen einer beruflichen, unternehmerischen oder dienstlichen Tätigkeit. Nicht erfasst werden damit Informationen über privates Fehlverhalten ohne beruflichen, unternehmerischen oder dienstlichen Bezug, auch wenn sie im beruflichen Kontext erlangt wurden. Insoweit findet sich folgende Klarstellung im Gesetz:

Das HinSchG konkretisiert den sachlichen Anwendungsbereich durch eine abschließende Aufzählung. Es gilt für die Meldung und Offenlegung von Informationen über Verstöße,

• die strafbewehrt sind,
• die bußgeldbewehrt sind, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient, wobei auch arbeitsschutzrechtliche Mitteilungs-, Erlaubnis-, Prüfungs-, Bestellungs-, Belehrungs-, Dokumentations- und Anzeigepflichten erfasst sind, sowie
• in zahlreichen sektorspezifischen Bereichen, zu denen etwa Vorgaben zur Produktsicherheit und -konformität genauso gehören wie Vorgaben zum Umweltschutz, zur Lebensmittelsicherheit oder Verstöße gegen für Körperschaften und Personenhandelsgesellschaften geltende steuerliche Rechtsnormen.

Ein Verstoß im Sinne des Gesetzes liegt auch bei missbräuchlichen Handlungen und Unterlassungen vor, die dem Ziel oder dem Zweck der Vorschriften im sachlichen Anwendungsbereich zuwiderlaufen. Hierdurch sollen Praktiken erfasst werden, die der Gesetzgeber bei der Regelung der betreffenden Fachmaterie nicht im Blick hatte, die er aber miteinbezogen hätte, wenn er eine Vorstellung von den möglichen Umgehungsversuchen gehabt hätte. Generell muss die hinweisgebende Person im Zeitpunkt der Meldung einen hinreichenden Grund zu der Annahme haben, dass die Informationen, die Gegenstand der Meldung sind, der Wahrheit entsprechen und gegenständlich dem Anwendungsbereich des Hinweisgeberschutzgesetzes unterfallen.

Die Klärung der Eröffnung des Anwendungsbereichs des HinSchG kann in Anbetracht dieser weitreichenden Regelungen im Einzelfall äußerst schwierig sein. In Zweifelsfällen sollte daher ein gemeldeter Sachverhalt zunächst einmal im Sinne einer umfassenden internen Compliance als dem Anwendungsbereich des HinSchG unterfallend behandelt werden. Denn Beschäftigungsgeber haben generell ein Interesse an gesetzeskonformem Handeln. Ob der Anwendungsbereich des HinSchG in einem "Zweifelsfall" tatsächlich er- öffnet war oder nicht, müsste allein dann abgeklärt werden, wenn im Nachgang durch die hinweisgebende Person Rechte nach dem HinSchG geltend gemacht werden.

Geschäftsgeheimnisse im Sinne des Geschäftsgeheimnisgesetzes (GeschGehG) können Gegenstand einer Meldung sein. Nach § 3 Abs. 2 GeschGehG dürfen Geschäftsgeheimnisse dann erlangt, genutzt oder offengelegt werden, wenn dies durch Gesetz, aufgrund eines Gesetzes oder durch Rechtsgeschäft erlaubt ist. Eine Erlaubnisvorschrift in diesem Sinne stellt § 6 HinSchG dar. Hiernach ist die Weitergabe eines Geschäftsgeheimnisses an eine Meldestelle erlaubt, sofern die hinweisgebende Person hinreichend Grund zur Annahme hatte, dass die Meldung oder Offenlegung notwendig ist, um einen Verstoß aufzudecken, das gesetzliche Verfahren eingehalten wurde und der meldefähige Sachverhalt der Wahrheit entsprach. Entsprechendes gilt für vertraglich vereinbarte Verschwiegenheitspflichten.

Anonyme Meldungen sollten sowohl von internen als auch von externen Meldestellen bearbeitet werden. Eine gesetzliche Verpflichtung zur Bearbeitung anonymer Meldungen besteht jedoch nicht. Auch müssen keine besonderen Meldekanäle für die die Abgabe anonymer Meldungen vorgehalten werden, die eine Kommunikation im Hin- und Rückkanal ermöglichen.

Das HinSchG enthält zahlreiche Regelungen zum Schutz hinweisgebender Personen vor Repressalien durch Beschäftigungsgeber. Nach dem Gesetz sind sowohl Repressalien, deren Androhung als auch der Versuch von Repressalien verboten.

Dies umfasst alle benachteiligenden Handlungen oder Unterlassungen, wie etwa die Kündigung des Arbeitsverhältnisses, Disziplinarmaßnahmen (z.B. Abmahnung, Gehaltskürzung, Versagung von Beförderungen), die vorzeitige Beendigung eines Werk- oder freien Dienstvertrags bis hin zur Erfassung der hinweisgebenden Person auf einer „schwarzen Liste“, die ihr eine sektor- oder branchenspezifische Beschäftigung erschwert. Dabei spielt es keine Rolle, ob die Repressalien vom Beschäftigungsgeber, Dienstberechtigten, Auftraggeber oder einer sonstigen Organisation, mit der die hinweisgebende Person in beruflichem Kontakt steht, vorgenommen werden, oder von solchen Personen, die für diese arbeiten oder in ihrem Namen handeln. Rechtsgeschäfte, die gegen das Repressalienverbot verstoßen, sind nichtig. Der Repressalienschutz wird gewährt, wenn

• die hinweisgebende Person die internen bzw. externen Meldewege eingehalten hat,
• zum Zeitpunkt der Meldung bzw. Offenlegung hinreichend Grund zu der Annahme bestand, dass die gemeldeten oder offengelegten Informationen der Wahrheit entsprechen und
• die Informationen Verstöße betreffen, die tatsächlich oder – aus Hinweisgebersicht – vermeintlich unter den Geltungsbereich des HinSchG fallen.

An die Sorgfalt der hinweisgebenden Person bezüglich der Überprüfung des Wahrheitsgehalts einer Meldung dürfen keine erhöhten Anforderungen gestellt werden. Auch wer in gutem Glauben ungenaue oder unzutreffende Informationen meldet, ist geschützt. Versagt wird der Hinweisgeberschutz dagegen demjenigen, der leichtfertig, missbräuchlich oder bösgläubig unrichtige Informationen weitergibt.

Geschützt sind der Hinweisgeber selbst sowie unter bestimmten Voraussetzungen auch Personen, die ihn bei einer internen oder externen Meldung oder Offenlegung im beruflichen Kontext vertraulich unterstützen. Gleiches gilt für Dritte, die mit der hinweisgebenden Person in Verbindung stehen und in einem beruflichen Zusammenhang Repressalien erleiden, die auf einer Meldung oder Offenlegung der hinweisgebenden Person beruhen. Ebenfalls geschützt sind juristische Personen, rechtsfähige Personengesellschaften und sonstige rechtsfähige Personenvereinigungen, die mit der hinweisgebenden Person infolge einer Beteiligung rechtlich verbunden oder für die hinweisgebende Person tätig sind oder mit dieser in einem beruflichen Zusammenhang anderweitig in Verbindung stehen.

Um die Durchsetzbarkeit von Ansprüchen wegen Repressalien gegen den Schädiger zu verbessern, enthält das HinSchG eine Beweislastumkehr zugunsten der geschützten Person. Danach gilt:

Wenn die hinweisgebende Person geltend macht, eine Repressalie aufgrund einer vorausgehenden Meldung nach dem HinSchG erlitten zu haben, obliegt es dem Beschäftigungsgeber zu beweisen, dass die betreffende Maßnahme nicht auf der Meldung oder Offenlegung von Informationen, sondern auf hinreichend gerechtfertigten anderen Gründen beruht. Bei personalrelevanten Maßnahmen sollte daher zukünftig a priori geprüft werden, ob hiervon auch hinweisgebende Personen im Sinne des Gesetzes betroffen sind. Bejahendenfalls ist intern zu prüfen, ob eine weniger einschneidende Maßnahme zur Zielereichung nicht genauso geeignet ist und der von der Maßnahme betroffene Personenkreis benachteiligungsfrei festgelegt wurde.

Das HinSchG enthält zwei spezielle Schadensersatzvorschriften. Nach der ersten Regelung hat der Schädiger der hinweisgebenden Person bei einem Verstoß gegen das Repressalienverbot den daraus resultierenden Schaden zu ersetzen. Dieser Anspruch umfasst auch zukünftige finanzielle Einbußen. Daneben können nach allgemeinen Regelungen des Zivilrechts weitere Ansprüche bestehen, so etwa auf Schmerzensgeld oder auf Entschädigung in Geld wegen Verletzung des Allgemeinen Persönlichkeitsrechts. Auch Unterstützer hinweisgebender Personen sind bei Vorliegen der Voraussetzungen zur Geltendmachung von Schadensersatzansprüchen wegen Verstoßes gegen das Repressalienverbot berechtigt. Generell kann aus der Schadensersatzregelung kein Anspruch auf Begründung eines Beschäftigungsverhältnisses, eines Berufsausbildungsverhältnisses oder eines anderen Vertragsverhältnisses oder auf einen beruflichen Aufstieg geltend gemacht werden.

Hinweisgebende Person haben im Falle einer vorsätzlichen oder grob fahrlässigen Falschmeldung den daraus resultierenden Schaden zu erstatten. Sonstige fahrlässig getätigte unrichtige Meldungen sollen indes keine Schadensersatzansprüche begründen, obwohl auch hierdurch weitreichende negative Folgen für davon Betroffene resultieren können.

Begründet wird der Ausschluss damit, dass überhöhte Anforderungen an hinweisgebende Personen in Bezug auf die Überprüfung der Richtigkeit von Informationen verfehlt wären.

Verstöße gegen wesentliche Vorgaben des HinSchG können als Ordnungswidrigkeit mit einer Geldbuße geahndet werden. Dies gilt beispielsweise für das Behindern von Meldungen oder das Ergreifen von Repressalien durch Beschäftigungsgeber sowie die Verletzung des Vertraulichkeitsgebots. Auch grob fahrlässige oder vorsätzliche Falschmeldungen durch Hinweisgeber sind als Ordnungswidrigkeit bußgeldbewehrt.

Das HinSchG verpflichtet private Beschäftigungsgeber mit in der Regel zwischen 50 und 249 Beschäftigten, bis zum 17.12.2023 interne Stellen einzurichten, über die Beschäftigungsnehmer Verstöße und Missstände melden können. Für öffentliche Beschäftigungsgeber mit regelmäßig mindestens 50 Beschäftigten und private Beschäftigungsgeber mit mehr als 249 Beschäftigten besteht eine Pflicht zur Bereitstellung interner Meldestellen ab Inkrafttreten des Gesetzes (2. Juli 2023). Ungeachtet der Fristregelungen zur Errichtung interner Meldestellen können Hinweisgeber mit Inkrafttreten des Gesetzes Informationen extern melden und werden bei Vorliegen der gesetzlichen Meldevoraussetzungen vom Schutzsystem des HinSchG erfasst. Daher ist es für Beschäftigungsgeber mit zwischen 50 und 249 Beschäftigten ratsam, die Fristen nicht auszuschöpfen, sondern zeitnah eine schlanke interne Meldestruktur aufzubauen, die den gesetzlichen Anforderungen genügt, ohne zu größeren finanziellen Belastungen zu führen.

Bei der Berechnung der Beschäftigtenzahl gilt – anders als zum Beispiel im Kündigungsschutzgesetz – das Kopfprinzip. Das heißt, dass alle Beschäftigten pro Person unabhängig davon gleichviel zählen, ob sie in Teilzeit oder in Vollzeit tätig sind. Zu den Beschäftigten zählen neben den Arbeitnehmern auch die zu ihrer Berufsausbildung beschäftigten Personen sowie überlassene Zeitarbeitskräfte. Da das HinSchG der Umsetzung der europäischen Hinweisgeberschutzrichtlinie dient, ist für die Bestimmung des persönlichen Anwendungsbereichs der europäische Arbeitnehmerbegriff zugrunde zu legen.

Danach besitzen auch Mitglieder der Unternehmensleitung von Kapitalgesellschaften eine Arbeitnehmereigenschaft, wenn sie ihre Tätigkeit für eine bestimmte Zeit nach Weisung oder unter Aufsicht eines anderen Organs der Gesellschaft ausüben und als Gegenleistung für die Tätigkeit ein Entgelt erhalten. Daher ist etwa ein angestellter Geschäftsführer einer GmbH zu berücksichtigen, sofern es sich nicht um einen Gesellschafter-Geschäftsführer handelt. Bei Körperschaften des öffentlichen Rechts sind Geschäftsführer mitzuzählen, da es sich nicht um Organe handelt und sie in einem Anstellungsverhältnis stehen.

Errichtung der Meldestelle

Die Meldestelle kann entweder aus einer natürlichen Person, einer aus mehreren Personen bestehenden Arbeitseinheit oder aus einem dem Beschäftigungsgeber nicht angehörenden, aber von ihm beauftragten Dritten bestehen. Zudem können private Beschäftigungsgeber mit in der Regel zwischen 50 und 249 Beschäftigten eine gemeinsame Meldestelle einrichten und betreiben. Die Beauftragung eines Dritten oder die Einrichtung einer gemeinsamen Meldestelle entbindet die jeweiligen Beschäftigungsgeber jedoch nicht von der Pflicht, selbstständig den gemeldeten Verstoß zu bearbeiten und ein dabei etwaig festgestelltes Fehlverhalten abzustellen. Zudem besteht weiterhin eine Pflicht zur Rückmeldung an die hinweisgebende Person, so dass eine umfängliche Auslagerung der internen Meldestelle nicht möglich ist.

Die Meldestelle muss unabhängig arbeiten und ihre Tätigkeit weisungsungebunden ausüben können. Nicht erforderlich ist, dass mit der Aufgabe betraute Beschäftigte die Funktion als Meldestelle in Vollzeit ausüben. Vielmehr können sie neben ihrer Funktion als Meldestelle auch (weiterhin) anderen Tätigkeiten nachgehen. Allerdings müssen die Tätigkeiten klar voneinander abgegrenzt werden. Sicherzustellen ist dabei, dass die Aufgaben und Pflichten nicht zu Interessenkonflikten führen. Beschäftigungsgebern ist zu emp- fehlen, vertraglich zu regeln, dass hinsichtlich der Tätigkeit als Meldestelle Weisungsfreiheit besteht. Im Regelfall wird bei den Betriebsgrößen im Handwerk eine Einzelbeauftragung hinreichend sein.

In den allermeisten Fällen dürfte es am zweckmäßigsten sein, betriebsintern eine geeignete Person mit der Funktion als interne Meldestelle zu betrauen, die sich möglicherweise bereits mit Compliance-Fragen befasst oder aber eine vergleichbare Funktion – etwa als Datenschutzbeauftragter – innehat, da allenfalls ein geringes Meldeaufkommen zu erwarten ist. Die Ausgliederung der Meldestelle durch Nutzung externer Dienstleister oder Errichtung einer gemeinsamen Meldestelle führt zu höheren Kosten und im Meldefall zur Weiterleitung möglicherweise sensibler Informationen an Dritte außerhalb des Beschäftigungsgebers, die im Regelfall nicht zur selbstständigen Sachverhaltsüberprüfung in der Lage sind.

Auch bei externer Beauftragung oder Einrichtung einer gemeinsamen Meldestelle bedarf es daher eines hinreichend qualifizierten und befähigten "Kümmerers," der zur internen Vorgangsbearbeitung und zur Beseitigung nicht rechtskonformer Zustände durch interne Kompetenzzuweisungen oder sonstige Mechanismen in der Lage ist. Zudem sollte ein Ko-operations- und Kommunikationskonzept erstellt werden, das das Zusammenspiel der ausgelagerten Meldestelle mit dem internen Ansprechpartner regelt.

Eine – im Regelfall vorzugswürdige – Beauftragung einer betriebsinternen Person mit der Funktion als interne Meldestelle kann wie folgt lauten:

Die Entwicklung oder der Einkauf von IT-Lösungen zur Abwicklung von internen Meldeverfahren nach dem Hinweisgeberschutzgesetz bieten zwar den Vorteil der digitalen Abwicklung mit Fristenmanagement und einer lückenlosen Dokumentation, sind allerdings mit nicht unerheblichen Kosten verbunden. Sie lassen sich im Zweifel nur dann rechtfertigen, wenn mit gewissen Fallzahlen zu rechnen ist. Da keinerlei konkrete Anhaltspunkte bezüglich des zu erwartenden Fallaufkommens bestehen und auf jeden Fall eine Person umfassend mit der Aufgabe als interne Meldestelle betraut und entsprechend geschult werden muss, sollten im Regelfall zunächst erste Erfahrungen mit dem neuen Recht ohne kostenintensive IT-Lösungen gesammelt werden.

Fachkunde

Mit der Funktion als interne Meldestelle betraute Personen müssen die notwendige Fach-kunde aufweisen. Dazu gehört die Überprüfung mitgeteilter Sachverhalte genauso wie die Einhaltung bestehender Verfahrensregelungen. Dabei gehört es zum Pflichtenkreis des Beschäftigungsgebers, für die zielgerichtete Schulung und Unterweisung und damit Arbeitsfähigkeit der internen Meldestelle Sorge zu tragen. Um die erforderliche Fachkunde zu erlangen und aufrechtzuerhalten, sollten in regelmäßigen Abständen Schulungen genutzt werden.

Form der Meldung

Grundsätzlich ist ein Multikanalzugang zu eröffnen, wobei die internen Meldekanäle zumindest Meldungen in mündlicher oder in Textform ermöglichen müssen. Letzteres umfasst neben Briefen (ohne Unterschrift) auch E-Mails. Daher ist eine dezidierte E-Mail-Adresse für Hinweismeldungen bereitzustellen, deren Zugriffsrechte auf die Person(-en) beschränkt ist, die beim Beschäftigungsgeber mit der Entgegennahme betraut sind. Mündlich meint nicht nur per Telefon, sondern auch mittels anderer Art der Sprachübermittlung. Wenn die hinweisgebende Person dies wünscht, ist ihr binnen angemessener Zeit eine persönliche Vorsprache zu ermöglichen.

Die Erstellung von Wortprotokollen ist dabei nur mit Einverständnis der meldenden Person erlaubt. Wird die Einwilligung verweigert, ist ein Inhaltsprotokoll zu erstellen. Mit Einwilligung der hinweisgebenden Person kann die Zusammenkunft schließlich auch im Wege der Bild- und Tonübertragung erfolgen.

Verfahrens- und Aufbewahrungsfristen

Die interne Meldestelle hat der hinweisgebenden Person innerhalb von sieben Tagen nach Eingang der Meldung eine Eingangsbestätigung zu übermitteln. Hierfür ist keine besondere Form vorgesehen, so dass sich eine Bestätigung per E-Mail anbietet, wenn auch die Meldung auf diesem Wege erfolgt ist. Spätestens innerhalb von drei Monaten nach der Bestätigung des Eingangs der Meldung oder, wenn der Eingang nicht bestätigt wurde, spätestens drei Monate und sieben Tage nach Eingang der Meldung hat sie dem Hinweisgeber eine Rückmeldung über geplante sowie bereits ergriffener Folgemaßnahmen sowie die Gründe für diese zu geben. Die Rückmeldung darf dabei jedoch nur insoweit erfolgen, als dadurch interne Nachforschungen oder Ermittlungen nicht berührt und die Rechte der Personen, die Gegenstand einer Meldung sind oder die in der Meldung genannt werden, nicht beeinträchtigt werden.

Die Löschungsfrist für die Dokumentation von Meldungen nach dem Hinweisgeberschutzgesetz beträgt drei Jahre nach Abschluss des Verfahrens. Eine Dokumentation kann länger aufbewahrt werden, um die Anforderungen des Hinweisgeberschutzgesetzes oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist. Aufgrund dieser dezidierten Vorgaben muss die interne Meldestelle über ein Fristenmanagement und ein Löschkonzept verfügen.

Umgang mit anonymen Meldungen

Interne Meldestellen sind nicht verpflichtet, anonymen Meldungen nachzugehen. Dessen ungeachtet kann ein Interesse bestehen, im Sinne einer effizienten Compliance zumindest solchen anonymen Sachverhalten nachzugehen, die konkrete Hinweise auf mögliche Rechtsverstöße beinhalten. Besondere Meldekanäle, die eine anonyme Kontaktaufnahme sowie eine für die hinweisgebende Person anonyme Kommunikation ermöglichen, sind nicht verpflichtend vorzuhalten.

Vertraulichkeit

Es ist sicherzustellen, dass nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen sowie die sie bei der Erfüllung dieser Aufgaben unterstützenden Personen Zugriff auf die eingehenden Meldungen haben. Die Identitäten aller von einer Meldung betroffenen Personen sind vertraulich zu behandeln (Vertraulichkeitsgebot). Dies betrifft nicht nur die meldende Person, sondern auch die Identität von Personen, die von der Meldung oder Offenlegung betroffen sind, weil sie dort genannt werden und als potenzielle Zeugen in Betracht kommen, oder denen ein Fehlverhalten vorgeworfen wird. Daraus resultiert die Verpflichtung zur gesonderten Aufbewahrung und Zugriffsbeschränkung.

Abweichend von dem Vertraulichkeitsgebot dürfen Informationen über die Identität des Hinweisgebers oder über sonstige Umstände, die Rückschlüsse auf seine Identität zulassen, nur in Ausnahmefällen weitergegeben werden. Dies kann etwa in Strafverfahren auf Verlangen der Strafverfolgungsbehörden oder aufgrund einer gerichtlichen Entscheidung der Fall sein. Über die Weitergabe der Identitätsinformationen ist der Hinweisgeber vorab zu informieren, es sei denn, die zuständige Stelle sieht dadurch ihre Ermittlungen gefährdet und hat dies der internen Meldestelle entsprechend mitgeteilt. Mit der Information des Hinweisgebers sind ihm zugleich die Gründe für Informationsweitergabe schriftlich oder elektronisch darzulegen.

Erlaubt ist zudem eine Weitergabe der Identitätsinformationen, wenn sie für Folgemaßnahmen erforderlich sind und der Hinweisgeber zuvor in die Weitergabe eingewilligt hat. Die Einwilligung muss für jede einzelne Weitergabe von Informationen über die Identität gesondert und in Schriftform vorliegen. Tätigt der Hinweisgeber vorsätzlich oder grob fahrlässig unrichtige Meldungen über Verstöße, kommt ihm kein Identitätsschutz nach dem Hinweisgeberschutzgesetz zugute.

Beschäftigungsgeber sind verpflichtet, Anreize für eine vorrangige Nutzung interner Meldestellen zu schaffen, indem sie klare und leicht zugängliche Informationen über die Nutzung des internen Meldeverfahrens für ihre Beschäftigten bereitstellen. Zudem müssen Informationen über externe Meldestellen vorgehalten werden. Zur Erfüllung letzterer Informationspflicht genügt es für Beschäftigungsgeber, die zuständige externe Meldestelle – im Regelfall das Bundesamt für Justiz – zu benennen und auf von ihr bereitgestellte weiterführende Informationen zu verweisen.

Durch interne Meldestellen werden personenbezogene Daten verarbeitet. Hierzu sind sie zur Aufgabenerfüllung befugt. Werden durch Meldungen Daten Dritter tangiert, denen beispielsweise ein konkretes Fehlverhalten vorgeworfen wird, ist eine Datenverarbeitung im Rahmen einer durchzuführenden Interessenabwägung – in Ermangelung einer Einwilligung – zulässig, wenn das Interesse des Beschäftigungsgebers an der Datenverarbeitung das Interesse der Betroffenen Person an ihren eigenen Daten überwiegt. Dies ist stets dann zu bejahen, wenn der gemeldete Sacherhalt in den Anwendungsbereich des HinSchG fällt. Bei besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (z.B. Gewerkschaftszugehörigkeit, religiöse oder weltanschauliche Überzeugungen) ist die Verarbeitung zulässig, sofern dies zur Erfüllung der Aufgaben der Meldestelle erforderlich ist und angemessene Maßnahmen zur Wahrung der Interessen der betroffenen Personen (vgl. § 22 Abs. 2 S. 2 BDSG) getroffen wurden.

Entscheidet sich die hinweisgebende Person für eine nicht-anonyme Meldung, ist die Meldestelle gemäß Art. 13 DSGVO verpflichtet, die Person über die Verarbeitung ihrer personenbezogenen Daten zu informieren. Ein entsprechender Hinweis kann wie folgt lauten:

Von einer Meldung betroffene Personen sind gemäß Art. 14 DSGVO ebenfalls über die Verarbeitung ihrer personenbezogenen Daten zu unterrichten. Eine Ausnahme von der Informationspflicht besteht dann, wenn durch die Information beispielsweise die Untersuchung des Vorwurfs oder die Beweisführung erschwert würde, oder wenn Informationen offenbart würden, die ihrem Wesen nach – insbesondere wegen berechtigter Interessen Dritter – geheim gehalten werden müssen.

Besteht bei dem Arbeitgebenden ein Betriebsrat/Personalrat, sind im Zusammenhang mit der Errichtung und dem Betrieb einer internen Meldestelle die Regelungen des Betriebsverfassungsgesetzes/Personalvertretungsgesetzes zur betrieblichen Mitbestimmung zu beachten. So räumt etwa die Vorschrift des § 87 Abs. 1 Nr. 1 BetrVG dem Betriebsrat ein ausdrückliches Mitbestimmungsrecht ein, wenn es um Fragen der Ordnung des Betriebs oder des Verhaltens der Beschäftigten im Betrieb geht. Maßnahmen, die der Arbeitgeber in diesem Zusammenhang durchführen möchte, bedürfen zwingend einer vorherigen Anhörung und Beteiligung des Betriebsrats. Relevant wird dies für die Ausgestaltung des Verfahrens, wenn beispielsweise für eine Meldestelle ein in gewissem Umfang standardisiertes Meldeverfahren oder ein elektronisches Meldesystem als technische Einrichtung vorgesehen werden soll. Zudem sind die Beteiligungsrechte des Betriebsrates bei personellen Einzelmaßnahmen und Schulungsmaßnahmen zu berücksichtigen, also bei der personellen Besetzung der Meldestelle (z.B. Einstellung oder Versetzung) sowie der Sicherstellung der notwendigen Fachkunde (Unterrichtung des Betriebsrats bei Schulungsmaßnahmen).

Die Frage der Einrichtung einer internen Meldestelle bei Betrieben mit regelmäßig mehr als 50 Beschäftigten ist bereits gesetzlich zwingend geregelt und daher mitbestimmungsfrei. Ob für die interne Meldestelle ein externer Dienstleister beauftragt werden soll, unterliegt als unternehmerische Entscheidung im Zweifel ebenfalls nicht dem Mitbestimmungsrecht des Betriebsrats/Personalrats.

Neben dem sachlichen Anwendungsbereich (Frage: Für welche Hinweise ist die Meldestelle zuständig? Vgl. hierzu näher unter I. 3.) kann die Bestimmung des persönlichen Anwendungsbereichs einer internen Meldestelle (Frage: Für welchen Personenkreis bin ich als interne Meldestelle zuständig?) im Einzelfall schwierig sein. Nach dem HinSchG haben Beschäftigungsgeber dafür zu sorgen, dass bei ihnen mindestens eine Stelle für interne Meldungen eingerichtet ist und betrieben wird, an die sich Beschäftigte wenden können. Zur Gruppe der Beschäftigten zählen unter anderem Arbeitnehmerinnen und Arbeitnehmer, die zu ihrer Berufsbildung Beschäftigten und Personen, die wegen ihrer wirtschaftlichen Unselbständigkeit als arbeitnehmerähnliche Personen anzusehen sind.

Indes ist der Schutzbereich des Gesetzes weiter gefasst, da der Repressalienschutz für alle natürlichen Personen greift, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese gegenüber dafür vorgesehenen internen oder externen Meldestellen offenlegen. Zweckmäßig ist es, letzterer Gruppe ebenfalls einen Zugang zur internen Meldestelle zu ermöglichen, sofern ein betrieblicher Bezug vorliegt. Dies sollte im Rahmen der bestehenden Informationspflichten klar nach außen kommuniziert werden. Ergibt eine erste summarische Prüfung, dass ein betrieblicher Bezug fehlt, kann eine Weiterverweisung an eine andere Meldestelle erfolgen.

Beispielsweise wäre die Zuständigkeit einer internen Meldestelle einer Handwerkskammer in der Eigenschaft als ÜLU-Betreiber im Kontext der Meldung von Missständen bei der ÜLU zu bejahen, sofern sie dem sachlichen Anwendungsbereich des HinSchG unterfallen. Die ÜLU gilt als Fortführung der betrieblichen Berufsausbildung an einem anderen Ort. Insofern nehmen die Ausbilder die Rolle von Beschäftigten bzw. Beauftragten (je nach Vertragskonstellation) des ULÜ-Betreibers ein. Für Beschwerden von Auszubildenden über ÜLU-Ausbilder sind die jeweiligen ÜLU-Betreiber zuständig. Indes sind allein die jeweiligen Betriebe für relevante Meldungen von Auszubildenden im rein betrieblichen Ausbildungskontext im Ausbildungsbetrieb zuständig, sofern sie über interne Meldestellen verfügen. Besteht hier keine interne Meldestelle, bleibt nur der Weg zur externen Meldestelle.

Wer muss eine interne Meldestelle einrichten?

• Pflicht für Betriebe und Handwerksorganisationen ab 50 Beschäftigten: berechnet wird der Schwellenwert nach dem Kopfprinzip, es zählen also auch Teilzeitkräfte und Zeitarbeitskräfte vollwertig mit.
• Freiwillig bei weniger Beschäftigten, aber dennoch empfehlenswert, da Beschäftigte grundsätzlich berechtigt sind, externe Meldestellen zu kontaktieren.

Wer kann interne Meldestelle sein?

Folgende Alternativen kommen in Betracht:

• Eine natürliche Person.
• Eine Arbeitseinheit aus mehreren Personen.
• Ein durch den Betrieb beauftragter Externer.
• Eine durch mehrere private Betriebe gemeinsam eingerichtete Meldestelle.

Wie ist die interne Meldestelle zu organisieren? Wie arbeitet die interne Meldestelle?

• Die Meldestelle muss unabhängig, frei von Interessenkollisionen und weisungsungebunden sein.
• Person, Arbeitseinheit oder beauftragter Dritter muss die Funktion als interne Meldestelle nicht hauptamtlich ausüben, sondern darf (weiterhin) anderen Tätigkeiten nachgehen.
• Geht die mit der Meldestelle betraute Person(-nengruppe) weiteren Tätigkeiten nach, müssen die Tätigkeiten klar voneinander abgegrenzt werden.
• Beschäftigungsgeber sind verpflichtet, Anreize für eine vorrangige Nutzung interner Meldestellen zu schaffen, indem sie klare und leicht zugängliche Informationen über die Nutzung des internen Meldeverfahrens bereitstellen.
• Beschäftigungsgeber sollten anonyme Meldungen zulassen und ihnen nachgehen. Dafür sind keine besonderen Meldekanäle vorzuhalten.
• Es sind verschiedene Meldekanäle zu eröffnen, zu denen neben telefonischer Kommunikation und direkter Vorsprache auch die Entgegennahme in Textform gehört. Zu diesem Zweck sollte eine gesonderte E-Mail-Adresse eingerichtet werden. Auf diesen Account darf nur der mit der Funktion als Meldestelle betraute Personenkreis Zugriff haben. Mit Einwilligung der hinweisgebenden Person kann die Zusammenkunft zudem im Wege der Bild- und Tonübertragung erfolgen.
• Innerbetrieblich sollte in geeigneter Form (z.B. firmeneigenes Intranet) auf die Meldestelle und ihren Aufgabenbereich hingewiesen werden.
• Die interne Meldestelle ist verpflichtet, auf das Bestehen externer Meldestellen (insb. die beim Bundesamt für Justiz) und die Möglichkeit, den Vorwurf auch dort melden zu können, hinzuweisen.

Wie wird das Verfahren in Gang gesetzt?

• Ein Hinweisgeber meldet einen nach dem HinSchG relevanten Verstoß bei der internen Meldestelle des Beschäftigungsgebers.

Wie ist mit der Meldung zu verfahren?

• Die Meldestelle bestätigt der hinweisgebenden Person den Eingang der Meldung binnen 7 Tagen, sofern der Hinweis nicht anonym erfolgt.
• Wurde der Vorwurf unter einem Pseudonym per E-Mail geschickt, sollte an diese E-Mail-Adresse eine Eingangsbestätigung gesendet werden.
• Es wird geprüft, ob der gemeldete Verstoß ein nach dem Hinweisgeberschutzgesetz relevanter Verstoß ist. Erfasst werden hier unter anderem mögliche Verstöße, die:
  • strafbewehrt sind (Strafgesetzbuch und Nebenstrafrecht)
  • bußgeldbewehrt sind, sofern die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient
  • in zahlreichen sektorspezifischen Bereichen wie Geldwäscherecht, Rechnungslegung, Handels- und Aktienrecht, Produktsicherheit und -konformität, Verkehrssicherheit, Verbraucherrecht, Lebensmittelsicherheit, Umweltschutz, Wettbewerbs- und Beihilfenrecht, Verstöße gegen für Körperschaften und Personenhandelsgesellschaften geltende steuerliche Rechtsnormen

In Zweifelsfällen sollte zunächst eine Sachverhaltsüberprüfung erfolgen.

• Falls nötig, holt die Meldestelle bei der hinweisgebenden Person weitere Informationen ein.
• Die Identitäten der hinweisgebenden Person(-en), der Person(-en), die Gegenstand der Meldung sind und sonstiger in der Meldung genannter Personen sind vertraulich zu behandeln und dürfen nur denjenigen bekannt werden, die zur Entgegennahme der Meldung bzw. für das Ergreifen von Folgemaßnahmen zuständig sind.
• Die Meldung ist durch die Meldestelle zu dokumentieren. Erfolgt die Meldung telefonisch oder mittels anderer Tonaufzeichnung, darf ein Wortprotokoll nur mit Einwilligung der hinweisgebenden Person erfolgen. Wird die Einwilligung verweigert, ist ein Inhaltsprotokoll anzufertigen.
• Bei nicht-anonymen Meldungen muss die Meldestelle die meldende Person über die Verarbeitung ihrer personenbezogenen Daten informieren.
• Die von der Meldung betroffene Person ist ebenfalls über die Verarbeitung ihrer personenbezogenen Daten zu informieren, sofern dadurch nicht die Untersuchung des Vorwurfs oder die Beweisführung erschwert wird.

Welche Maßnahmen kann die Meldestelle ergreifen?

• Interne Untersuchungen beim Beschäftigungsgeber.
• Abgabe des Verfahrens zwecks weiterer Untersuchungen an eine für interne Ermittlungen zuständige Arbeitseinheit des Betriebs oder eine zuständige Behörde.
• Weiterverweis der hinweisgebenden Person an eine andere zuständige Stelle.

Wie erfolgt der Abschluss des Verfahrens?

• Innerhalb von drei Monaten nach Bestätigung des Eingangs der Meldung oder, wenn der Eingang nicht bestätigt wurde, spätestens drei Monate und sieben Tage nach Eingang der Meldung gibt die Meldestelle der hinweisgebenden Person Rückmeldung über geplante und ergriffene Maßnahmen sowie die Gründe.
• Werden die Ermittlungen oder die Rechte der Personen, die Gegenstand einer Meldung sind, beeinträchtigt, erfolgt keine Rückmeldung.
• Drei Jahre nach Abschluss des Verfahrens ist die Dokumentation des Vorgangs im Regelfall zu löschen. Sie kann länger aufbewahrt werden, um die Anforderungen des Hinweisgeberschutzgesetzes oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist.