Das HinSchG, Deutsches Hinweisgeberschutzgesetz: Der Stand der Entwicklung

Die EU hat eine Whistleblower-Richtlinie erlassen, um mehr Transparenz zu fördern und diejenigen zu schützen, die auf Fehlverhalten oder Missstände in Organisationen aufmerksam machen. Als EU-Mitgliedstaat hatte Deutschland die Verantwortung, seine nationalen Gesetze basierend auf der EU-Richtlinie zu gestalten, was zur Entstehung des deutschen Hinweisgeberschutzgesetzes (HinSchG) beitrug.

Was ist das deutsche Hinweisgeberschutzgesetz? 

Das deutsche Hinweisgeberschutzgesetz (HinSchG) ist eine Umsetzung der EU-Whistleblowing-Richtlinie in das deutsche Rechtssystem. Mit anderen Worten: Es ist ein nationales Whistleblowing-Schutzgesetz, das die Transparenz in deutschen Unternehmen fördern und Personen, die Missstände und Verstöße melden, vor Vergeltungsmaßnahmen schützen soll. 

Von der EU-Richtlinie zur deutschen Hinweisgeberschutzgesetz umsetzung

Wann tritt das HinSchG in Kraft?

Das HinSchG wurde Mitte Mai 2023 vom Bundesrat und Bundestag angenommen. Daraufhin wurde es am 02. Juni 2023 vom Bundespräsidenten unterschrieben und trat damit am 02. Juli 2023 in Kraft. 

Für wen gilt das HinSchG?

Alle deutschen Unternehmen und Organisationen mit 50 oder mehr Mitarbeitenden sind verpflichtet, eine geeignete Meldestelle einzurichten. 

Bis wann müssen deutsche Unternehmen das HinSchG umsetzen?

Für Unternehmen mit 50 bis 249 Mitarbeitenden gibt es eine Übergangsphase bis zum 17. Dezember 2023; größere Unternehmen, mit 250+ Mitarbeitenden, müssen einen geeigneten Hinweisgeberkanal bis zum 02. Juli 2023 einrichten. 

HinSchG: Welche Verstöße fallen unter das Hinweisgeberschutzgesetz?

Nach den Bestimmungen der EU-Richtlinie muss Deutschland das nationale Schutzgesetz umsetzen, das den Rechtsschutz für Personen gewährleistet, die Verstöße in den folgenden Bereichen melden:

• Öffentliches Auftragswesen;
• Finanzdienstleistungen, Produkte, Märkte, Verhinderung von Geldwäsche und Terrorismusfinanzierung;
• Produktsicherheit und Konformität;
• Sicherheit im Verkehr;
• Schutz der Umwelt;
• Strahlenschutz und nukleare Sicherheit;
• Lebensmittel- und Futtermittelsicherheit, Tiergesundheit und Tierschutz;
• Öffentliche Gesundheit;
• Verbraucherschutz;
• Schutz der Privatsphäre und personenbezogener Daten, Sicherheit von Netzen und Informationssystemen.

Neben den in der Whistleblowing-Richtlinie empfohlenen Mindestbereichen geht das deutsche Whistleblower-Gesetz noch weiter und umfasst auch andere Bereiche:

• Jede strafrechtliche Bestimmung nach deutschem Recht;

• Verstöße gegen Vorschriften zum Schutz von Leben, Gesundheit und Rechten der Arbeitnehmenden oder ihrer Vertretungsorgane. Die häufigsten Fälle hierfür sind Vorschriften im Bereich des Arbeitsschutzes, Verstöße gegen das Mindestlohngesetz usw.;

• Äußerungen von Beamten, die einen Verstoß gegen ihre verfassungsrechtlichen Verpflichtungen zur Verfassungstreue darstellen;

• Sowohl rechtswidrige als auch rechtmäßige Handlungen oder Unterlassungen, wenn sie dem Zweck der Vorschriften in den Rechtsgebieten widersprechen;

• Alle Verstöße gegen bundes- und landesrechtliche Vorschriften und unmittelbar geltende EU-Rechtsakte.

HinSchG: Was müssen deutsche Unternehmen wissen?

• Whistleblowing-Kanäle

Mitarbeitenden muss die Möglichkeit gegeben werden, eine Meldung sowohl in mündlicher, als auch in schriftlicher Form einzureichen. Unternehmen können auch eine indirekte Whistleblowing-Option über eine Ombudsperson anbieten. Anonyme Meldungen sind kein Muss, dennoch wird vom Gesetz empfohlen, anonyme Meldungen entgegenzunehmen und zu bearbeiten. 

• Interne Meldungen   

Nach dem HinSchG müssen Unternehmen ein internes Meldesystem einrichten, über das Mitarbeitende und möglicherweise auch Dritte schriftlich, mündlich oder persönlich melden können. Insbesondere: 

• Schriftliche Meldungen können über ein digitales Hinweisgebersystem, eine spezielle E-Mail-Adresse, einen Beschwerdebriefkasten oder per Post eingereicht werden;

• Mündliche Meldungen können über ein Formular in einem digitalen Hinweisgebersystem, eine Whistleblowing-Hotline (Telefon) oder ein Anrufbeantworter-System eingereicht werden;

• Persönliche Treffen sollten immer möglich sein, entweder mit einem Sachbearbeiter als Folgemaßnahme oder über einen extern beauftragten Anwalt oder Ombudsperson. 

Es gibt keine Beschränkungen für die Verwendung externer Meldungen als erste Wahl. Das deutsche Recht sieht jedoch vor, dass die interne Meldung Vorrang haben sollte. Daher sollten alle Unternehmen Anreize für ihre Mitarbeitenden schaffen, in erster Linie die interne Meldung zu nutzen.

Das HinSchG legt die Mindestanforderungen für den verpflichtenden Zugang zum internen Meldetool fest: Es muss für die eigenen Mitarbeitenden und Leiharbeitnehmenden des Unternehmens zur Verfügung stehen. Für Bewerber, Partner und andere Dritte ist es Sache der Unternehmen zu definieren, ob diese ihr internes System nutzen können. 

• Externe Meldung

Darüber hinaus sieht das Hinweisgeberschutzgesetz die verpflichtende Einrichtung eines externen Meldewegs vor, für den das Bundesministerium der Justiz (BfJ) zuständig ist. Zuständig für die externe Meldung innerhalb des Bundesministeriums der Justiz sind in erster Linie Bund und Länder sowie Informationen aus dem privaten und öffentlichen Sektor. Daneben haben die Bundesländer die Möglichkeit, eigene Stellen für die externe Meldung einzurichten.

• Vertraulichkeit von Whistleblowern 

Das Gesetz zum Schutz von hinweisgebenden Personen (Whistleblower Protection Act) schreibt vor, dass alle Meldewege die Vertraulichkeit von Hinweisgebenden gewährleisten müssen. Vertraulichkeit ist nicht gleichbedeutend mit Anonymität; ein Sachbearbeitender kann die Identität einer hinweisgebenden Person kennen. Vertraulichkeit bedeutet jedoch, dass nur eine vorher festgelegte Anzahl von Personen oder eine Person, die vom Unternehmen vorab mit der Prüfung interner Meldungen beauftragt wurde, die Identität einer hinweisgebenden Person kennt und für die Wahrung der vollständigen Vertraulichkeit verantwortlich ist. Sofern die hinweisgebende Person nicht ausdrücklich zustimmt oder es sich um ein Strafverfahren handelt, werden ihre persönlichen Informationen nicht an Dritte weitergegeben.

• Anonyme Meldungen

Unternehmen sind nicht dazu verpflichtet, einen Meldekanal einzurichten, der es Mitarbeitenden ermöglicht, anonym eine Meldung einzureichen. Dennoch empfiehlt das Gesetz, dass anonyme Meldungen angenommen und bearbeitet werden.

• Verantwortung für das Follow-up innerhalb des Unternehmens

Das Gesetz legt auch Fristen für Maßnahmen fest, z. B. wann ein Whistleblower eine Bestätigung für eine eingereichte Meldung erhält und wann dieser spätestens über die Ergebnisse informiert werden muss. Hinweisgebende Personen müssen spätestens nach 7 Tagen eine Bestätigung der eingereichten Meldung erhalten, und weitere Rückmeldungen sollten spätestens nach 3 Monaten mitgeteilt werden.

Die Unternehmen müssen sicherstellen, dass ihr Feedback praktische Folgemaßnahmen und eine verantwortliche Person oder Stelle enthält, die es übernehmen kann. Beispiele für den Aktionsplan für Folgemaßnahmen können die Einleitung interner Untersuchungen, ein Aktionsplan zur Lösung eines Problems, ein Verweis auf Verfahren, eine Verweisung an eine zuständige Behörde oder eine umfassende Erklärung für den Fall sein, dass das Verfahren aus Mangel an Beweisen oder aus anderen Gründen eingestellt wird. 

• Anforderungen an das Untersuchungsteam

Die Unternehmen müssen einen internen Sachbearbeitenden oder (bei größeren Unternehmen) ein aus mehreren Personen bestehendes Untersuchungsteam benennen, das für die Entgegennahme, Untersuchung und Weiterverfolgung der eingereichten Meldungen zuständig ist.

Zu den Mitgliedern des Untersuchungsausschusses können Compliance-Manager, Rechtsberatende, Datenschutzbeauftragte, Finanz- oder Personalleiter oder ähnliche Personen ernannt werden, sofern sie unabhängig handeln können und über die erforderlichen Fachkenntnisse verfügen. Die Unternehmen sollten regelmäßige Schulungen organisieren, um sicherzustellen, dass die Sachbearbeitenden ihre Aufgaben kennen. Die Tätigkeit eines Sachbearbeitenden für Whistleblowing ist kein Vollzeitjob. Diese Personen können die Untersuchung von Whistleblowing-Fällen mit anderen Aufgaben kombinieren, für die sie ursprünglich eingestellt wurden. 

Alternativ können Unternehmen die Entgegennahme und Verarbeitung von Informationen an externe Rechtsanwälte oder Ombudsleute auslagern, sofern diese angemessene Garantien für die Wahrung der Vertraulichkeit und des Datenschutzes bieten.

• Gemeinsame Systeme und Outsourcing

Der Gesetzesentwurf sieht vor, dass Organisationen mit 50 bis 249 Mitarbeitenden ein gemeinsames Hinweisgebersystem nutzen können. Außerdem können Unternehmen mit mehreren Tochtergesellschaften ein System gemeinsam nutzen. Dies ist über eine Drittimplementierung möglich. Durch die Beauftragung einer internen Meldestelle kann ein Unternehmen eine unabhängige und vertrauliche Stelle als "Drittpartei" für seine Konzernunternehmen einrichten, die dasselbe System nutzt. Die Verantwortung für die Untersuchung von Verstößen bleibt bei dem beauftragenden Unternehmen.

• Zusätzliche Bestimmungen - über die EU-Anforderungen hinaus

Das deutsche Recht geht über die in der EU-Richtlinie festgelegten Anforderungen hinaus.

In erster Linie will der deutsche Gesetzgeber den Geltungsbereich seines Gesetzesentwurfs ausweiten, um hinweisgebende Personen vor möglichen rechtlichen Unstimmigkeiten zu schützen und sicherzustellen, dass eine umfassende Politik alle Meldungen abdeckt. Diese Ausweitung soll jegliche Verwirrung oder Zweifel beseitigen, wenn es um diejenigen geht, die kritische Informationen über Missstände haben, und sicherstellen, dass sie sich sicher fühlen, wenn sie offenlegen, was gehört werden muss, ohne spätere Konsequenzen zu riskieren.

Lesen Sie den gesamten Gesetzes-Text.

Mit wie vielen Meldungen können die Unternehmen nach der Einführung eines Whistleblowing-Kanals rechnen?

Die Anzahl der Meldungen, die ein Unternehmen erwarten kann, hängt von verschiedenen Faktoren ab, wie z. B. der Größe des Unternehmens, der Branche, der Unternehmenskultur und der Wirksamkeit seiner Richtlinien und Verfahren für hinweisgebende Personen.

Im Allgemeinen erhalten größere Unternehmen mit mehr Mitarbeitenden und einem breiteren Tätigkeitsbereich mehr Meldungen als kleinere Organisationen. Auch Unternehmen, die in Hochrisikobranchen tätig sind oder bei denen es in der Vergangenheit zu ethischen oder Compliance-Problemen gekommen ist, erhalten möglicherweise mehr Meldungen.

Nach den Beobachtungen und Analysen von Whistleblower Software gibt es im Durchschnitt eine Meldung pro 250 Mitarbeitenden pro Jahr.

Folgen der Nichtimplementierung eines Hinweisgebersystems nach dem deutschen Hinweisgeberschutzgesetz

Das Versäumnis, ein System zur Meldung von Missständen einzurichten, kann zu einer Geldstrafe führen, die auch den Ruf eines Unternehmens schädigen kann.

Darüber hinaus können Verstöße gegen andere Vorschriften, wie die unsachgemäße Bearbeitung von Fällen, die Verletzung der Vertraulichkeit, das Verhindern einer Meldung oder die Verhängung von Repressalien, zu höheren Geldstrafen von bis zu 50.000 € führen. 

Wie schützt das HinSchG Sie als Whistleblower? 

Beratung über die nächsten Schritte zur HinSchG-Konformität 

Es liegt im Interesse der Unternehmen, sich über das Gesetz auf dem Laufenden zu halten und über eine Whistleblowing-Richtlinie zu verfügen, um sicherzustellen, dass ihre Tätigkeit den Vorschriften entspricht. Damit die Whistleblowing-Richtlinie funktioniert, müssen die Unternehmen eine Whistleblowing-Hotline einrichten, bei der die Mitarbeitenden ihre Meldungen abgeben können.  

Im Folgenden finden Sie eine schrittweise Empfehlung, die Ihnen dabei hilft, ein System zur Meldung von Missständen einzurichten und zu implementieren und dabei die Bestimmungen des Hinweisgeberschutzgesetzes einzuhalten.

1. Erstellung einer Whistleblower-Richtlinie 

Die Whistleblower-Richtlinie ist nicht nur ein Teil der Einhaltung von Rechtsvorschriften, sondern dient auch dem Aufbau einer "speak-up"-Kultur. Aus diesem Grund sollte eine Whistleblower-Richtlinie in die Werteerklärung der Organisation integriert werden. 

Eines der Hauptziele jeder Whistleblower-Richtlinie ist es, den Mitarbeitenden zu vermitteln, dass ihre Identität geschützt ist und keine Vergeltungsmaßnahmen oder Viktimisierung folgen werden. In einer Whistleblower-Richtlinie sollte klar definiert werden, wer ein Whistleblower ist, und es sollte erläutert werden, welchen Schutz dieser erhält, wenn er Missstände meldet. Darüber hinaus sollte sie klären, welche Arten von Bedenken die Mitarbeitenden melden können, wie sie diese melden können, wer die eingegangenen Meldungen untersucht und wie die Kommunikation über gemeldete Fälle geregelt wird. 

Mit dem Hinweis auf die ständige Schulung von Sachbearbeitern und Untersuchungsausschüssen zeigen die Unternehmen, dass sie der Untersuchung von Fällen und der Sicherheit von hinweisgebenden Personen besondere Bedeutung beimessen. 

2. Denken Sie an den Komfort für die Mitarbeitenden 

Das Einreichen eines Hinweises sollte einfach sein. Jeder Schritt im Whistleblowing-Prozess sollte so erklärt werden, dass sich eine hinweisgebende Person sicher fühlt, wenn sie eine Meldung einreicht. Außerdem sollten sich die Mitarbeitenden nicht den Kopf zerbrechen, wenn sie nach einer Meldeseite suchen. Viele Unternehmen richten auf ihrer Webseite eine spezielle Seite ein, auf die die Mitarbeitenden schnell zugreifen können, indem sie auf einen Link aus den internen Ressourcen klicken oder die Seite in die Suchanfrage eingeben. 

3. Die digitale Lösung für eine Whistleblowing-Hotline

Es gibt mehrere Möglichkeiten, eine Whistleblowing-Hotline zu organisieren: per Telefon, E-Mail, persönliche Treffen oder ein digitales System. Für eine bessere Ressourceneffizienz und einen reibungslosen Betrieb empfehlen wir, eine digitale Plattform für Ihr Reporting-Management-System in Betracht zu ziehen. Die richtigen digitalen Whistleblowing-Plattformen werden im Einklang mit den aktuellen gesetzlichen und datenschutzrechtlichen Anforderungen entwickelt, was bedeutet, dass Sie:

• Eine anpassungsfähiges und sicheres Berichtstool bereitstellen;
• Die Identität von Meldenden schützen, indem Sie persönliche Daten verschlüsseln;
• Eine sichere Kommunikation zwischen Meldenden und Sachbearbeitern ermöglichen, sogar im anonymen Modus;
• Alle Daten gemäß den höchsten Datensicherheitsstandards behandeln.

Unternehmen können das System durch eine Telefonleitung oder einer Ombudsperson ergänzen. In den meisten Fällen deckt eine digitale Plattform aber alle Anforderungen von Unternehmen an die Einhaltung der Whistleblowing-Richtlinien ab. Einige digitale Systeme bieten auch die Möglichkeit, telefonischen Support hinzuzufügen. Um zu sehen wie dies funktioniert, können Sie einen Blick auf unsere Meldeseite werfen.

Rechtliche und datenschutzrechtliche Anforderungen an das Whistleblowing-System

Bei einem Vergleich der Anbieter von Hinweisgebersystemen ist es für Organisationen von entscheidender Bedeutung, einen Anbieter zu wählen, der die vollständige Einhaltung von Vorschriften nationalen Whistleblowing-Gesetzen, HinSchG gewährleistet. Mit anderen Worten: Das gewählte Whistleblowing-System sollte die erforderlichen Datenschutzzertifizierungen, darunter die ISO 37002, einhalten, um den Whistleblowern ein Höchstmaß an Schutz zu bieten.

Überblick über traditionelle & digitale Whistleblowing-Anbieter

Traditionell haben Anbieter von Whistleblowing-Systemen diesen Prozess durch E-Mail, Telefon und persönliche Treffen ermöglicht. Mit dem Aufkommen des digitalen Zeitalters, technologischen Fortschritten und der Notwendigkeit einer höheren Effizienz haben sich digitale Whistleblowing-Anbieter jedoch zu einem Wendepunkt entwickelt. Diese Anbieter, sowohl die traditionellen als auch die digitalen, bieten einzigartige Funktionen zur Erleichterung des Melde-Prozesses, wobei jeder seinen eigenen Ansatz mitbringt.

Was jedes Unternehmen bei der Auswahl eines Anbieters von Whistleblowing-Systemen wissen muss

Bei der Auswahl eines Anbieters von Hinweisgebersystemen müssen Organisationen sicherstellen, dass ihre Lösung über alle erforderlichen Zertifizierungen verfügt, die die Einhaltung der höchsten Standards für Datensicherheit und Datenschutz bestätigen. Ist dies nicht der Fall, steigt das Risiko von Datenschutzverletzungen, die den Prozess untergraben und den Ruf der Organisation schädigen können. 

Neben der Einhaltung wichtiger Sicherheitszertifizierungen wie ISO 27001:2013, ISAE 3000 Typ 2 und wichtiger gesetzlicher Vorschriften zum Thema Whistleblowing hat sich Whistleblower Software daher auch zu einem hohen Maß an Sicherheit verpflichtet:

●   Ende-zu-Ende-Verschlüsselung aller Kommunikationskanäle;

●   Entfernung von Metadaten aus angehängten Dateien, um sicherzustellen, dass nichts auf eine Person hinweisen kann;

●   Zugangs- und Authentifizierungsmanagement zur Beseitigung des Risikos eines unbefugten Zugangs;

●   Regelmäßige Penetrationstests, um die Widerstandsfähigkeit der Plattform zu gewährleisten;

●   WCAG 2.1 AA-Konformität für sehbehindertengerechten Zugang;

●   Benutzerdefinierte Aufbewahrungsfrist, um festzulegen, wie lange die Daten gespeichert werden müssen

●   Multi-Faktor-Authentifizierung, Whitelist-IP-Zugang, SSO und andere Kontosicherheitsfunktionen.

__________________________________________________________________________

Brauchen Sie Hilfe, um die Frist einzuhalten? Die Suche nach einer sicheren Whistleblowing-Lösung in einem engen Zeitrahmen kann eine Herausforderung sein, aber wir sind hier, um zu helfen. Erhalten Sie einen Einblick, wie Whistleblower Software die Anforderungen des deutschen Hinweisgeberschutzgesetzes (HinSchG) erfüllt und Meldungen sicher verwaltet - alles mit einer einfachen Lösung.

Dieser Artikel wurde nur zur Information entworfen und beabsichtigt keine Rechtsberatung. Wenn Sie eine rechtliche Beratung wünschen, kontaktieren Sie den Berater Ihres Vertrauens. Alternativ kann „Whistleblower Software“ Sie mit einem Rechtsexperten bei Ihnen vor Ort in Kontakt bringen.