Die Zeit läuft – Das Hinweisgeberschutzgesetz kommt!

Der Bundestag hat am 11. Mai 2023 das Hinweisgeberschutzgesetz verabschiedet (Update Compliance 04/2023), der Bundesrat hat am 12. Mai 2023 zugestimmt. Das Gesetz wird zu überwiegenden Teilen einen Monat nach Verkündung im Bundesgesetzblatt in Kraft treten. Noch ist das Gesetz indes nicht verkündet worden.

Der Weg bis zum Inkrafttreten des Gesetzes war lang. Deutschland befindet sich bereits mehr als eineinhalb Jahre im Verzug bei der Umsetzung der Whistleblowing-Richtlinie (EU 2019/1937). Eine Vorversion des HinSchG war im Dezember 2022 im Bundestag verabschiedet worden, erhielt jedoch am 10. Februar 2023 nicht die erforderliche Zustimmung des Bundesrats. Die Kritik insbesondere der unionsgeführten Bundesländer richtete sich im Wesentlichen darauf, dass das Gesetz über die Anforderungen der EU-Whistleblowing-Richtlinie hinausgehe und kleine und mittlere Unternehmen unverhältnismäßig belastet würden.

Nachdem die daraufhin zur Beschleunigung des Gesetzgebungsverfahrens entwickelte Idee, nur (nicht zustimmungsbedürftige) Teile des Gesetzes ohne Zustimmung des Bundesrates zu verabschieden, von Sachverständigen stark kritisiert und daraufhin verworfen wurde, rief die Bundesregierung am 5. April 2023 den Vermittlungsausschuss an.

Im Vermittlungsausschuss einigten sich Vertreter und Vertreterinnen von Bundestag und Bundesrat am 9. Mai 2023 auf einen Kompromiss des Gesetzes, der redaktionelle und inhaltliche Änderungen vorsieht. Diese betreffen insbesondere den Schutzbereich des Gesetzes, die Fragen der Priorisierung interner Meldestellen, die Löschfristen, die Pflicht zur Entgegennahme anonymer Meldungen, die Entschädigung bei Nichtvermögensschäden, die Beweisregeln, die Bußgeldhöhe und den Zeitpunkt des Inkrafttretens. Diese entsprechende Beschlussempfehlung des Vermittlungsausschusses hat der Bundestag am 11. Mai 2023 angenommen (vgl. im Einzelnen Update Compliance 04/2023), der Bundesrat hat einen Tag später seine Zustimmung erteilt.

Inkrafttreten in Aussicht

Im nächsten Schritt wird das Gesetz dem Bundespräsidenten zur Unterzeichnung vorgelegt und anschließend im Bundesgesetzblatt verkündet. Das HinSchG tritt in weiten Teilen einen Monat nach Verkündung in Kraft, voraussichtlich Ende Juni/Anfang Juli 2023 (noch ist das Gesetz nicht im Bundesgesetzblatt verkündet worden).

Was bedeutet das für Unternehmen?

Das HinSchG regelt den Schutz hinweisgebender Personen. Es normiert spezifische Anforderungen an die Einführung von Hinweisgeberstellen, die Entgegennahme von und den Umgang mit Hinweisgebermeldungen und hinweisgebenden Personen und durchzuführende Folgemaßnahmen durch verpflichtete Beschäftigungsgeber. Verpflichtet sind alle Beschäftigungsgeber mit 50 oder mehr Beschäftigten. Die Pflicht trifft auch den öffentlichen Sektor, d. h. Kommunen und andere öffentliche Einrichtungen.

Sie haben noch keine interne Meldestelle?

Die Zeit drängt. Beschäftigungsgeber mit 250 oder mehr Beschäftigten (hier ist der „headcount“ maßgeblich, nicht das „full time equivalent“) müssen eine interne Meldestelle bis zum Inkrafttreten des Gesetzes eingeführt haben und die entsprechenden Voraussetzungen an den Umgang mit Hinweisgebermeldungen erfüllen. Private Beschäftigungsgeber mit 50 bis 249 Beschäftigten haben noch Zeit bis zum 17. Dezember 2023.

Die interne Meldestelle kann auf externe Dritte, beispielsweise Anwaltskanzleien, ausgelagert werden.

Werden diese Pflichten nicht oder nicht rechtzeitig erfüllt, kann dies nicht nur zu Bußgeldern gegen verantwortliche Personen und Unternehmen, sondern auch zu Schadensersatzansprüchen und Reputationsschäden führen.

Sie haben bereits eine interne Meldestelle?

Bereits vorhandene interne Meldestellen, Hinweisgeber- und Ombudsmannsysteme sollten vor Inkrafttreten des Gesetzes daraufhin geprüft werden, ob diese den aktuellsten gesetzlichen Anforderungen entsprechen. Im Zuge des langwierigen Gesetzgebungsverfahrens mit später wieder verworfenen Änderungsvorschlägen geriet die (angekündigte) Rechtslage unübersichtlich – eine konsolidierte Fassung des Gesetzes liegt bis jetzt nicht vor.

Einbettung ins Compliance Management System

Es ist zudem sicherzustellen, dass das noch zu etablierende oder bereits eingerichtete Hinweisgebersystem in die Compliance-Struktur des Unternehmens eingebettet ist. Die Meldewege und das Meldeverfahren müssen auch in Einklang mit dem Vertraulichkeitsgebot und den datenschutzrechtlichen Anforderungen stehen. Prozessabläufe sind auf nachvollziehbare Art und Weise in einer internen Richtlinie festzulegen und zu dokumentieren; sie müssen gegenüber den Beschäftigten auch kommuniziert werden.

Erleichterungen für kleinere Gesellschaften, besondere Anforderungen an (internationale) Konzerne

Eine Erleichterung sieht das HinSchG für kleinere Beschäftigungsgeber vor: Mehrere private Beschäftigungsgeber mit jeweils bis zu 249 Beschäftigten dürfen eine gemeinsame Meldestelle einrichten. Dies entbindet indes jede einzelne Gesellschaft nicht davon, die übrigen Pflichten aus dem Hinweisgeberschutzgesetz zu erfüllen.

Nach dem Willen der EU-Kommission soll es in Konzernen nicht ausreichen, eine zentrale Meldestelle einzurichten. Jedes einzelne verpflichtete Konzernunternehmen soll seine eigene interne Meldestelle einrichten müssen. Der deutsche Gesetzgeber sieht dies anders: Der Begründung des Gesetzes zufolge sollen konzernweite Meldestellen ausreichend sein.

In internationalen Unternehmensgruppen ist das Recht des jeweilig betroffenen EU-Staates zu beachten. Die EU-Richtlinie sieht zwar Mindestvorgaben vor, die nationalen Umsetzungsgesetze unterscheiden sich jedoch in Nuancen. So kann es sinnvoll sein, in internationalen Unternehmensgruppen dezentrale Meldestellen in der jeweils vorherrschenden Arbeitssprache einzurichten.

Webinar zum Hinweisgeberschutzgesetz

In unserem Webinar am 31. Mai 2023 zwischen 12.30 Uhr und 13.30 Uhr erklären wir:

• welche Anforderungen das Gesetz – teilweise in letzter Sekunde – an öffentliche und private Beschäftigungsgeber stellt
• wie und wann diese umgesetzt werden müssen
• auf welche Art und Weise dies geschehen kann

Mehr Infos und den Anmeldelink finden Sie hier.