Was ist das Hinweisgeberschutzgesetz?

Kurze Einleitung

Die Bundesregierung veröffentlichte am 27.07.2022 den Entwurf zum “Gesetz für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden (Hinweisgeberschutzgesetz – HinSchG)“. Das HinSchG dient dem Schutz natürlicher Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld, dessen Informationen über Verstöße von Unionsrecht erhalten haben und dies melden oder öffentlich machen. Das heißt, es gilt dem Schutze von (ehemaligen) Arbeitnehmerinnen und Arbeitnehmern, Auszubildenden sowie Praktikantinnen und Praktikanten. Der Gesetzentwurf enthält die Umsetzung der EU-Richtlinie 2019/1937 des Europäischen Parlaments und Rates vom 23. Oktober 2019 in nationales Recht. Die Frist zur Umsetzung war bisher eigentlich der 17.12.2021, allerdings lag der finale Beschluss des Bundestages des HinSchG mit entsprechenden Änderungen des Entwurfs vom 27.07.2022 erst zum 16.12.2022 vor. Mit dem beschlossenen Gesetz soll die Umsetzung der Richtlinie nun geschehen und demnach soll der Schutz von Hinweisgebern in Deutschland an die Vorstellungen der EU hierzu angepasst werden.

Inhalt:

• Was ist das Hinweisgeberschutzgesetz?
• Persönlicher und sachlicher Anwendungsbereich des HinSchG
• Wer muss ein Hinweisgeberschutzsystem einrichten?
• Anforderungen an ein Hinweisgebersystem
• Externe Meldesysteme für Hinweisgeber
• Meldungen an die Öffentlichkeit im Rahmen des HinSchG
• Sanktionen beim Hinweisgeberschutz
• Hinweisgeberschutz und Datenschutz – ein Spannungsverhältnis?
• Inkrafttreten und Empfehlungen zum Hinweisgeberschutz

Persönlicher und sachlicher Anwendungsbereich des HinSchG

Die vom Hinweisgeberschutzgesetz geschützten Personen sind, wie bereits benannt, (ehemalige) Arbeitnehmerinnen und Arbeitnehmer, Auszubildende und Praktikantinnen und Praktikanten. Diese haben im Rahmen des Gesetzes die Möglichkeit, sich bei Verstößen an interne oder externe Meldestellen zu wenden. Sie sollen bei einer Meldung an die entsprechende Meldestelle vor Repressalien geschützt werden. Sind mit der Meldung im Nachgang dennoch ungerechtfertigte Nachteile im beruflichen Umfeld verbunden, wie z.B. eine Kündigung, negative Mitarbeiterbeurteilungen oder Belästigungen, ist der Verursachende dazu verpflichtet, der betroffenen Person materiellen sowie immateriellen Schadensersatz diesbezüglich zu leisten. Außerdem gilt diesbezüglich eine Beweislastumkehr zugunsten des Hinweisgebenden. Diese bezieht sich auf den Umstand, dass, wenn nach einer Meldung eine negative Auswirkung im beruflichen Umfeld auf die meldende Person erfolgt, eine Repressalie vermutet wird. Der Verursacher müsste diese Vermutung durch geeignete Darlegung und Beweis der Umstände dann widerlegen. Die hinweisgebende Person muss hinsichtlich des Verstoßes allerdings hinreichenden Grund zur Annahme haben, dass der gemeldete/veröffentlichte Sachverhalt wahrheitsgemäß ist. Der Schutz des Hinweisgebenden kann unter Umständen sogar vorrangig vor den Verboten des Geschäftsgeheimnisgesetzes greifen.

Es können außerdem auch weitere Personen vom Schutzbereich des HinSchG erfasst werden. Dies kann beispielsweise vorkommen, wenn eine Person einen Hinweisgebenden bei einer entsprechenden Meldung im beruflichen Kontext mit Vertraulichkeit unterstützt oder eine Verbindung zu dem Hinweisgebenden besteht und hinsichtlich der Meldung berufliche Repressalien für diese dritte Person entstehen.

Sachlich bezieht sich der HinSchG auf strafbewehrte und bußgeldbewehrte Verstöße, die potentiell von dem Hinweisgebenden gemeldet werden.  Bußgeldverstöße sind im HinSchG nur dann erfasst,, wenn die in Rede stehende verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Es werden außerdem weitere Rechtsgebiete aufgezählt, bei deren Verletzung eine Meldung infrage kommt, wie Verstöße gegen Vorschriften des Geldwäschegesetzes, des Produkthaftungsgesetz, des Umweltschutzgesetzes, des Lebensmittel-, Bedarfsgegenstände- und Futtermittelgesetzbuches und bestimmte Aspekte des Tierschutzgesetzes. Zudem besteht ein Schutz für Hinweisgebende hinsichtlich verfassungsfeindlicher Äußerungen von Beamtinnen und Beamten. Die gemeldeten Sachverhalte müssen die o.g. Verstöße betreffen bzw. muss der Hinweisgebende bei der Meldung zu dieser Annahme einen hinreichenden Grund haben.

Anforderungen an ein Hinweisgebersystem

Das Hinweisgebersystem, welches der Beschäftigungsgeber etablieren muss, muss die folgenden Anforderungen erfüllen:

1. Es muss ein anonymer Hinweis erfolgen können, über einen Kanal, welcher keine personenbezogenen Daten erhebt (schriftlich oder in Textform).
2. Die Hinweise müssen in einem System verwaltet, ausgewertet und gesteuert werden können.
3. Es muss eine telefonische Meldung ermöglicht werden. Dies kann durch den Anbieter für Telefonsekretariate eBüro abgebildet werden.
4. Es müssen Kanälen und Verfahren für interne Meldungen und Folgemaßnahmen eingeführt werden.
5. Der Schutz der Identität des Hinweisgebenden und Dritter, die in der Meldung erwähnt werden, muss sichergestellt werden.
6. Innerhalb von 7 Tagen muss eine Empfangsbestätigung an den Hinweisgeber versandt werden.
7. Innerhalb von drei Monaten muss eine Rückmeldung an den Hinweisgeber erfolgen.
8. Jede eingehende Meldung muss dokumentiert werden. 

Die weitergehende Kommunikation zu dem Fall muss außerdem anonym gewährleistet werden. 

Externe Meldesysteme für Hinweisgeber

Nach dem HinSchG müssen zusätzlich zu den internen Meldesystemen der Beschäftigungsgeber externe Meldestellen eingerichtet werden. Die externen Meldestellen sollen demnach beim Bundesamt für Justiz, der Bundesanstalt für Finanzdienstleistungsaufsicht, dem Bundeskartellamt und weiteren Stellen des Bundes und der Länder entstehen. Die Hinweisgebenden haben dabei die freie Wahl, an wen sie sich bei ihrer Meldung wenden möchten (interne oder externe Stelle). Zusätzlich zu den oben genannten Vorgaben der internen Meldesysteme bestehen bei externen Meldestellen weitere, spezifische Anforderungen nach dem HinSchG.

Meldungen an die Öffentlichkeit im Rahmen des HinSchG

Sofern ein Hinweisgebender sich hinsichtlich eines Verstoßes z.B. an die Presse wendet, damit dieser Umstand der Öffentlichkeit preisgegeben wird, kann unter bestimmten Voraussetzungen für diese Person ebenfalls Schutz durch das HinSchG bestehen. Voraussetzung hierfür ist die Meldung an eine externe Stelle und daraufhin ausbleibende Folgemaßnahmen oder Rückmeldung hierüber innerhalb der vom Gesetz festgelegten Fristen. 

Außer diesem Fall besteht zusätzlich Schutz für den Hinweisgebenden in folgenden Fällen: 

• Hinweisgebende haben einen hinreichenden Grund zur Annahme, dass der Verstoß wegen eines Notfalls, der Gefahr irreversibler Schäden oder vergleichbarer Umstände eine unmittelbare oder offenkundige Gefährdung des öffentlichen Interesses darstellen kann
• bei einer externen Meldung Repressalien zu befürchten sind oder Beweismittel unterdrückt oder vernichtet werden könnten, 
• Absprachen zwischen der zuständigen externen Meldestelle und dem Urheber des Verstoßes bestehen könnten und
• aufgrund sonstiger besonderer Umstände die Aussichten gering sind, dass die externe Meldestelle wirksame Folgemaßnahmen einleiten wird.

Sanktionen beim Hinweisgeberschutz

Werden die Vorgaben nicht eingehalten, so sind im HinSchG Sanktionen die Folge. Wird zum Beispiel eine Meldung behindert oder eine Repressalie ausgeführt, droht ein Bußgeld von bis zu 100.000 Euro. Wird keine vorgegebene Meldestelle etabliert oder nicht entsprechend betrieben, kann dies ein Bußgeld von bis zu 20.000 € zur Folge haben. 

Allerdings kann andersherum auch, wenn der Schutzbereich des HinSchG aufgrund wissentlich unrichtig verbreiteter Informationen nicht eröffnet ist, gegen den (unrichtig) Hinweisgebenden ein Bußgeld von bis zu 20.000 € erlassen werden. 

Hinweisgeberschutz und Datenschutz – ein Spannungsverhältnis? 

Der Datenschutz muss auch und insbesondere im Hinblick auf das Hinweisgeberschutzgesetz berücksichtigt werden. Hierbei ist der Datenschutz des Hinweisgebers, der bezichtigten Personen und des Unternehmens einzuhalten. Die Rechte des/der Betroffenen (z.B. beschuldigte Person) aus der DSGVO können hierbei in Konflikt mit dem Hinweisgeberschutz stehen. Das Zusammenspiel zwischen der DSGVO und dem HinSchG soll daher im Folgenden näher erläutert werden.

Das HinSchG umfasst explizit auch Datenschutzverstöße (Verstöße gegen die Bestimmungen der DSGVO) im sachlichen Anwendungsbereich, die Gegenstand einer Meldung oder Offenlegung sind, vgl. § 2 Abs. 1 Nr. 3 lit. p) HinSchG. Wenn eine hinweisgebende Person dementsprechend im Betrieb eine Datenpanne entdeckt, kann sie unter Umständen bei Veröffentlichung oder Meldung an externe Behörden unter dem Schutz des HinSchG stehen. Voraussetzung hierfür, wie auch für alle anderen Meldungen, ist nach § 5 Abs. 1 und 2 HinSchG ist immer, dass 1. die hinweisgebende Person hinreichenden Grund zu der Annahme hatte, dass die Weitergabe oder die Offenlegung des Inhalts dieser Informationen notwendig ist, um einen Verstoß aufzudecken, 2. die hinweisgebende Person (berechtigterweise) von der Richtigkeit der Informationen ausgeht und 3. der Anwendungsbereich des Gesetzes eröffnet ist bzw. die hinweisgebende Person (berechtigterweise) davon ausgeht. Dann geht der Schutz des HinSchG sogar über vertragliche und gesetzliche (GeschGehG) Verschwiegenheitspflichten hinaus, vgl. § 5 Abs. 1 und 2.

Zudem werden bei den eingerichteten Meldestellen eine Vielzahl von Daten verarbeitet, welche in der Regel personenbezogene Daten i.S.d. Art. 4 Nr. 1 DSGVO darstellen, so zum Beispiel Angaben zum Hinweisgeber, zum Sachverhalt, zu der beschuldigten Person/ggf. Zeugen, sowie erhobene Daten aus E-Mails, Datenbanken, IT-Systemen.

Der etablierte Meldemechanismus setzt demnach eine Vielzahl an Anforderungen der DSGVO voraus, die hierbei erfüllt werden müssen. 

 Es muss zum Beispiel eine Datenschutzfolgenabschätzung (Art. 35 DSGVO) vor Einrichtung des Hinweisgebersystems durchgeführt werden, da ein voraussichtlich hohes Risiko für die Rechte und Freiheiten der betroffenen natürlichen Personen bei der Verarbeitung besteht. 

Als Rechtsgrundlage für die Datenerhebung der Meldestelle dient aktuell Art. 6 Abs. 1 S. 1 lit. f) DSGVO, das berechtigte Interesse des Verantwortlichen. Die Rechtsgrundlage kann außerdem eine Betriebsvereinbarung oder ein Tarifvertrag sein (Art. 88 DSGVO i.V.m. § 26 Abs. 4 BDSG). Mit Einführung des HinSchG gibt es in § 10 eine spezielle Rechtsgrundlage für die Verarbeitung durch eine interne Meldestelle. Die Verarbeitung ist demnach rechtmäßig, soweit dies zur Erfüllung der Aufgaben nach §§ 13, 24 HinSchG der internen Meldestellen erforderlich ist. 

Nach § 16 Abs. 2 RegE-HinSchG dürfen nur Personen Zugriff auf das Meldesystem haben, die als interne Meldestelle zuständig sind oder diese unterstützen. Es dürfen nach § 8 Abs. 1 S. 2 HinSchG nur Personen Informationen zur Meldung erlangen, die für interne Meldestellen oder für Folgemaßnahmen zuständig sind (Compliance-Abteilung für interne Ermittlungen), sowie die diese Personen Unterstützende. Die Identität des Hinweisgebers darf nur weitergegeben werden, wenn dies für die Durchführung von Folgemaßnahmen erforderlich ist und der Hinweisgeber seine Einwilligung erteilt hat. 

Diese Anforderungen an die Vertraulichkeit stehen den Betroffenenrechten des Bezichtigten entgegen. Denn werden durch eine Meldung personenbezogene Daten ohne Kenntnis des Bezichtigten erhoben, besteht für den Beschäftigungsgeber die Pflicht, diesen über die Erhebung und Verarbeitung der Daten nach Art. 14 Abs. 1 und 2 DSGVO zu informieren, auch über die Zwecke und die Quelle, aus der die Informationen stammen. Eigentlich müsste dem Betroffenen dadurch die Meldung und die Person des Hinweisgebenden offenbart werden. Das HinSchG verweist hierzu auf die Gesetzesbegründung des § 29 Abs. 1 S. 1 BDSG-neu, wonach die Informationspflicht nicht bestehen soll, soweit durch deren Erfüllung Informationen offenbart würden, die ihrem Wesen nach geheim gehalten werden müssen. Außerdem kann hierzu der Ausnahmetatbestand des Art. 14 Abs. 5 lit. b) DSGVO zurate gezogen werden. Nach diesem besteht keine Informationspflicht, soweit diese voraussichtlich die Verwirklichung der Ziele der Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt. Bei internen Ermittlungen hinsichtlich der gemeldeten Verstöße kann hier demnach auf die Verdunklungsgefahr abgestellt werden. Wenn das Geheimhaltungsinteresse des Beschäftigungsgebers nicht mehr überwiegt, kann allerdings im Verlauf des Verfahrens wieder eine Informationspflicht entstehen. Nach Sicherung von etwaigen Beweisen durch beispielsweise ein Gespräch mit dem Bezichtigten sollte der Beschäftigungsgeber daher schnellstmöglich der Informationspflicht nachträglich nachkommen.

Die bezichtigten Personen können zudem den Auskunftsanspruch nach Art. 15 Abs. 1 DSGVO geltend machen. Umfasst ist hierbei auch die Quelle der Daten gem. Art. 15 Abs. 1 lit. g) DSGVO. Aufgrund der Gesetzesbegründung des § 29 Abs. 1 S. 2 BDSG-neu und der Vorschriften der §§ 8, 9 HinSchG kann allerdings davon ausgegangen werden, dass das Gebot aus §§ 8, 9 HinSchG berechtigt und verpflichtet, die Vertraulichkeit der Identität des Hinweisgebers zu wahren und das Auskunftsersuchen sanktionslos abzulehnen.

Die Frage, ob ein Dritter als Meldestelle Auftragsverarbeiter oder Verantwortlicher ist, richtet sich nach den bekannten Kriterien zur Abgrenzung. Demnach ist dafür entscheidend, ob der Dritte oder der Beschäftigungsgeber die wesentlichen Entscheidungen über Zweck und Mittel der Datenverarbeitung treffen. Die Behebung eines Verstoßes ist allerdings immer durch den Beschäftigungsgeber vorzunehmen, vgl. § 14 Abs. 1 S. 2 RegE-HinSchG.

Bezüglich der Löschung besteht im Rahmen der DSGVO der Grundsatz der Zweckbindung. Demnach sind die Daten zu löschen, sofern ein Fortfall des Zwecks, für den sie erhoben wurden, vorliegt. Nach dem HinScHG beträgt die Löschfrist bezüglich der Fallunterlagen, wie nach der gesetzlichen regelmäßigen Verjährungsfrist, 3 Jahre nach Abschluss des Verfahrens.

Inkrafttreten und Empfehlungen zum Hinweisgeberschutz

Nach dem Gesagten dürfte deutlich werden, dass aufgrund der bereits abgelaufenen Umsetzungsfrist der europäischen Richtlinie das HinSchG baldigst in Kraft treten wird. Am 10. Februar 2023 hat der Bundesrat zwar seine Zustimmung zum Hinweisgeberschutzgesetz verweigert. Der Bundestag kann nun den Vermittlungsausschuss anrufen, wobei durch einen inhaltlichen Kompromiss das Gesetz gegebenenfalls noch zustimmungsfähig ausgestaltet werden kann. Außerdem muss aufgrund der Umsetzungsfrist der EU das Gesetz in Kürze in Kraft treten. Dementsprechend sollten Arbeitgeber schon jetzt entsprechende Maßnahmen vorsorglich und frühzeitig treffen, um die vorgegebenen Meldemechanismen verantwortungsvoll und zuverlässig zu etablieren. So sind Sie bereits vor Inkrafttreten des Gesetzes bestens vorbereitet und können einem Verstoß, mit der Folge eines Bußgeldes, vorbeugen. Ein möglicher Meldemechanismus wäre zum Beispiel eine Art anonymes Chatsystem, in dem Hinweisgebende und Unternehmen miteinander kommunizieren können und bei denen ein bestimmter Benutzer als Ombudsperson (Compliance-Mitarbeitende) fungiert. 

Auch im Bereich des Datenschutzes gilt es, wie gezeigt, Besonderheiten in Verbindung mit dem neuen Gesetz zu beachten. Wir beraten Sie gerne zu den Vorgaben im Einzelnen und helfen Ihnen bei einer datenschutzkonformen Umsetzung.