Interne Meldestelle nach dem HinSchG

Das Hinweisgeberschutzgesetz (HinSchG) sieht vor, dass Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten eine interne Meldestelle einrichten müssen, an die sich hinweisgebende Personen wenden können, die einen Verstoß melden oder offenlegen möchten.

Durch das HinSchG wird, mit erheblicher Verspätung, die sog. Whistleblower-Richtlinie der EU (Richtlinie (EU) 2019/1937) in deutsches Recht umgesetzt. Am 12.05.2023 stimmte der Bundesrat nach Beteiligung des Vermittlungsausschusses dem Einigungsvorschlag des Bundesrates zu. Das HinSchG wurde am 02.06.2023 im Bundesgesetzblatt veröffentlicht und ist am 02.07.2023 in Kraft getreten. Der Gesetzestext ist hier abrufbar.

Ziel des Gesetzes ist es, hinweisgebende Personen vor Repressalien zu schützen und für Rechtsicherheit bei der Meldung bzw. Offenlegung von Informationen über Verstöße zu sorgen. Verstöße „sind Handlungen oder Unterlassungen im Rahmen einer beruflichen, unternehmerischen oder dienstlichen Tätigkeit“, die entweder rechtswidrig sind oder den Regelungen in den in § 2 genannten Vorschriften und Rechtsgebieten zuwiderlaufen. Der effektive Schutz von Hinweisgebenden ist zentral für die erfolgreiche Prävention sowie für die Aufdeckung von Verstößen und Fehlverhalten in einer Organisation.

Beschäftigungsgeber müssen bestimmte Meldekanäle einrichten, über die die Mitteilungen erfolgen können. So sind Meldekanäle für Meldungen in mündlicher Form oder in Textform vorzuhalten. Die Abgabe anonymer Meldungen sollte hierbei ermöglicht werden. Die betroffenen Organisationen sind jedoch nicht zur Einrichtung anonymer Meldekanäle verpflichtet. Auf Wunsch der hinweisgebenden Person muss zudem eine persönliche Zusammenkunft zwecks Meldung mit der zuständigen Person der internen Meldestelle möglich sein.

Um die Meldungen zu bearbeiten, sollten die zuständigen Personen die notwendige Fachkunde besitzen, da geprüft werden muss, ob die Meldung in den Anwendungsbereich des Gesetzes fällt und welche Folgemaßnahmen zu ergreifen sind.

Trillerpfeife in einem roten Kasten, der an der Wand hängt.

Betrieb einer internen Meldestelle: Was ist zu tun?

Durch eine Meldung bzw. Offenlegung wird ein Prozess in Gang gesetzt, der klare Regeln und Zuständigkeiten erfordert. Die hinweisgebende Person hat das Recht auf eine Eingangsbestätigung, auf das Protokoll zur Meldung sowie auf einen Bericht über die ergriffenen oder geplanten Folgemaßnahmen. Jede Meldung ist zu dokumentieren, für drei Jahre nach Abschluss des Verfahrens aufzubewahren und dann zu löschen. In Einzelfällen kann es aber auch geboten sein, die Dokumentation länger aufzubewahren, sofern dies erforderlich und verhältnismäßig ist.

Die interne Meldestelle kann so gestaltet sein, dass sie nicht nur den eigenen Beschäftigten und überlassenen Leiharbeiter*innen zur Verfügung steht, sondern auch Dritten, die im Rahmen mit ihrer beruflichen Tätigkeit mit dem Beschäftigungsgeber Kontakt haben.

Es ist sinnvoll, die Meldestelle der Compliance-Abteilung zuzuordnen und in das Compliance-Managementsystem (CMS) zu integrieren. Da mit der Einrichtung dieser Stelle ein nicht unerheblicher organisatorischer und personeller Aufwand einhergeht, gab es eine Übergangsregelung für mittelständische Unternehmen: Private Arbeitgeber, die zwischen 50 und 249 Mitarbeitende beschäftigen, hatten für die Einrichtung einer internen Meldestelle bis zum 17. Dezember 2023 Zeit.

Unternehmen mit 250 Beschäftigten und mehr müssen die Vorgaben unverzüglich mit Inkrafttreten des Gesetzes, zum 02.07.2023 umsetzen. Gemeinden mit mehr als 10.000 Einwohnerinnen und Einwohnern trifft diese Umsetzungspflicht ebenfalls, vorbehaltlich landesrechtlicher Regelungen.

Wichtig: Unternehmen aus dem Finanzsektor müssen unabhängig von der Anzahl der Beschäftigten sofort nach Inkrafttreten des Gesetzes eine interne Meldestelle einrichten. Gleiches gilt für bestimmte Beschäftigungsgeber, die unter den § 1 Abs. 1 VAG fallen.

So können wir Sie unterstützen:

Die interne Meldestelle kann entweder durch den Beschäftigungsgeber oder durch einen externen Dritten betrieben werden. Wir stehen Ihnen in beiden Fällen zur Seite! Bei der Einrichtung einer internen Meldestelle beraten wir Sie gerne und übernehmen auf Wunsch auch die Stellung als Ombudsperson für Sie.

Als Ombudsperson sind wir die direkte Anlaufstelle für alle Hinweise und Meldungen zu tatsächlichen, vermuteten, möglichen oder befürchteten Verstößen und übernehmen insbesondere die folgenden Tätigkeiten:

Wir richten gemeinsam mit Ihnen die vorgeschriebenen Meldekanäle ein.
Wir prüfen die Hinweise (erste Schlüssigkeitsprüfung, sachlicher Anwendungsbereich) und leiten unsere Einschätzung hinsichtlich des erforderlichen Reaktions- und Ermittlungsbedarfs an Sie weiter.
Wir übernehmen die fristgerechte Kommunikation mit der hinweisgebenden Person (Eingangsbestätigung, Protokoll, Bericht) und stehen für eine persönliche Zusammenkunft zwecks Meldung zur Verfügung.
Wir informieren Sie zudem über Änderungen in der Rechtslage, klären Fragen zur Optimierung des Meldesystems und geben Ihnen eine Auswertung zu den Meldungen.

Für ein unverbindliches Angebot nehmen Sie gerne Kontakt mit uns auf!

Ihre Ansprechpartner

Dominik Bleckmann, Volljurist

Prokurist | Leiter Compliance

E-Mail: dbleckmann@re-move-this.datenschutz-nord.de

Telefon: +49 421 69 66 32-349

Falko Klages, Volljurist

Senior Berater Datenschutz | Berater Compliance

E-Mail: fklages@re-move-this.datenschutz-nord.de

Telefon: +49 421 69 66 32-329

Häufig gestellte Fragen (FAQ) zum Hinweisgeberschutz & HinSchG

Was ist das Hinweisgeberschutzgesetz (HinSchG)?

Das Hinweisgeberschutzgesetz (HinSchG) hat zum Ziel, hinweisgebende Personen im beruflichen Umfeld besser zu schützen, bspw. vor Repressalien. Gleichzeitig soll das Gesetz die Verantwortlichen in Unternehmen und Organisationen dazu auffordern, bestehende Missstände intern aufzuklären und diese abzustellen.

Am 12.05.2023 stimmte der Bundesrat, nach der Beteiligung des Vermittlungsausschusses dem Einigungsvorschlag des Bundesrates zu. Das HinSchG wurde am 02.06.2023 im Bundesgesetzblatt veröffentlicht und ist am 02.07.2023 in Kraft getreten. Der Gesetzestext ist hier abrufbar.

Was sind externe und interne Meldestellen?

Das HinSchG sieht vor, dass sich Personen, die Informationen über einen Verstoß melden bzw. offenlegen möchten, entweder an eine interne oder externe Meldestelle wenden können. Allerdings, so der Beschluss des Rechtsausschusses, sollen Beschäftigungsgeber, die zur Einrichtung einer internen Meldestelle verpflichtet sind, Anreize schaffen, dass sich hinweisgebende Personen zunächst an die interne Meldestelle wenden. Dazu sollen Informationen über die Nutzung des eigenen Meldeverfahrens zur Verfügung gestellt werden, die klar verständlich und leicht zugänglich sind.

Zur Einrichtung einer internen Meldestelle sind

Beschäftigungsgeber mit (jeweils i. d. R.) mindestens 50 Beschäftigten verpflichtet und,
einige Beschäftigungsgeber unabhängig von der Anzahl der Beschäftigten, dazu zählen Unternehmen aus dem Finanzsektor, z. B. Wertpapierdienstleistungsunternehmen, Datenbereitstellungsdienste, Kapitalveraltungsgesellschaften, sowie Unternehmen gemäß § 1 Abs. 1 VAG (mit bestimmten Ausnahmen).

Besteht in einem Unternehmen bzw. einer Organisation bereits ein Compliance-Management-System (CMS) oder eine Compliance-Abteilung, so kann die interne Meldestelle hier eingebunden werden. Das Gesetz sieht auch die Möglichkeit vor, Dritte mit den Aufgaben einer internen Meldestelle zu beauftragen.

Die Einrichtung von externen Meldestellen obliegt dem Bund, den Ländern, der Bundesanstalt für Finanzdienstleistungsaufsicht und dem Bundeskartellamt. Die externen Meldestellen haben die Aufgaben,

einer natürlichen Person, die erwägt, eine Meldung zu erstatten, mit Informationen und Beratung zur Seite zu stehen und auch über die Möglichkeiten einer internen Meldung zu informieren, sowie
auf der eigenen Website klare, leicht verständliche und zugängliche Informationen u. a. über die Voraussetzungen dieses Gesetzes, die Meldeverfahren, Vertraulichkeitsregelungen und Verfahren zum Schutz vor Repressalien bereitzustellen, die sowohl die hinweisgebenden Personen nutzen können als auch die internen Meldestellen.

Wer ist zur Einrichtung einer internen Meldestelle verpflichtet?

Zur Einrichtung einer internen Meldestelle sind verpflichtet:

Beschäftigungsgeber mit (jeweils i. d. R.) mindestens 50 Beschäftigten sowie
unabhängig von der Anzahl der Beschäftigten bestimmte Beschäftigungsgeber, dazu zählen Unternehmen aus dem Finanzsektor, wie z. B. Wertpapierdienstleistungsunternehmen, Datenbereitstellungsdienste, Kapitalveraltungsgesellschaften, und Unternehmen gemäß § 1 Abs. 1 VAG (mit bestimmten Ausnahmen).

Arbeitgebende mit einer Beschäftigtenanzahl von 250 Personen müssen die interne Meldestelle dann unverzüglich einrichten oder einen Dritten damit beauftragten. Für Unternehmen und Organisationen aus der privaten Wirtschaft mit einer Beschäftigtenzahl zwischen 50 und 249 Personen galt eine Übergangsfrist bis zum 17. Dezember 2023.

Welche Meldekanäle muss die interne Meldestelle bereitstellen?

Das HinSchG sieht für die interne Meldestelle verschiedene Meldekanäle vor: Die Meldekanäle müssen Meldungen in Textform oder mündlicher Form (z. B. per Telefon) ermöglichen. Auf Ersuchen der hinweisgebenden Person muss auch die Möglichkeit für eine persönliche Zusammenkunft mit der zuständigen Person der Meldestelle angeboten werden, um bei dieser Gelegenheit die Meldung entgegenzunehmen. Sofern die hinweisgebende Person einverstanden ist, kann dieses Treffen auch per Bild- und Tonübertragung stattfinden.

Es sollen die Meldekanäle wie folgt genutzt werden können:

Von Beschäftigten des Unternehmens bzw. der Organisation und von Leiharbeiter*innen, die diesen überlassen wurden (Arbeitsnehmerüberlassung).
Die Meldekanäle können auch natürlichen Personen offenstehen, die beruflich mit dem Beschäftigungsgeber in Kontakt stehen, dort aber nicht selbst arbeiten.

Die Meldekanäle sollen dabei so ausgestaltet werden, dass eine anonyme Kontaktaufnahme und Kommunikation möglich sind. Eine Verpflichtung zur Ermöglichung anonymer Meldungen enthält das Gesetz jedoch nicht.

Was müssen Verantwortliche einer internen Meldestelle beachten?

Beschäftigungsgeber müssen beim Betrieb einer internen Meldestelle u. a. die folgenden Punkte beachten:

Die interne Meldestelle hat die Meldungen, auch anonyme Meldungen, zu bearbeiten und der hinweisgebenden Person innerhalb einer Frist von sieben Tagen eine Eingangsbestätigung zukommen zu lassen.

Die Meldestelle muss sodann prüfen, ob der Verstoß in den sachlichen Anwendungsbereich des Gesetzes fällt und ob die Meldung stichhaltig ist. Des Weiteren hält die Meldestelle Kontakt zur hinweisgebenden Person, fordert ggf. weitere Informationen von dieser und ergreift vorgesehenen Folgemaßnahmen.

Folgemaßnahmen können interne Untersuchungen sein, aber auch, die hinweisgebende Person an eine entsprechend zuständige Stelle zu verweisen, das Verfahren abzuschließen (aus Mangel an Beweisen oder anderen Gründen) oder dieses an eine andere Stelle abzugeben (z. B. an eine Behörde).

Der Hinweisgeber soll möglichst umfassend über den Umgang mit seinem Hinweis unterrichtet werden. Dies umfasst sowohl eine Empfangsbestätigung als auch eine Darlegung der geplanten und ergriffenen Folgemaßnahmen sowie der Ergebnisse einer etwaigen Untersuchung.

Dem Hinweisgeber muss innerhalb einer Frist von sieben Tagen nach Eingang einer Meldung der Eingang des Hinweises bestätigt werden. Innerhalb eines angemessenen zeitlichen Rahmens – maximal innerhalb von drei Monaten – ist der hinweisgebenden Person eine Rückmeldung über Folgemaßnahmen zu geben.

Die Rückmeldung muss Folgendes beinhalten:

Mitteilung geplanter und/oder bereits ergriffener Folgemaßnahmen und
die Gründe für die Maßnahmen, die ergriffen wurden und
sie darf nur insoweit erfolgen, als dass weitere Ermittlungen oder Nachforschungen davon nicht berührt und die Rechte der Person(en), die in der Meldung genannt wird (werden) oder Gegenstand dieser sind, dürfen dadurch nicht beeinträchtigt werden.

Die zuständige(n) Person(en) der internen Meldestelle hat die Meldung in „dauerhaft abrufbarer Weise unter Beachtung des Vertraulichkeitsgebotes“ zu dokumentieren. Erfolgt die Meldung telefonisch oder auf eine andere Art der Sprachübermittlung, so ist eine dauerhaft abrufbare, wortgenaue Niederschrift oder Tonaufzeichnung des Gesprächs nur möglich, wenn die hinweisgebende Person einwilligt. Liegt die Einwilligung nicht vor, dann wird nur ein Inhaltsprotokoll im Sinne einer Zusammenfassung erstellt, um die Meldung zu dokumentieren. Gleiches gilt für eine Meldung, die im Rahmen einer persönlichen Zusammenkunft stattfindet. In jedem Fall muss die hinweisgebende Person die Gelegenheit haben, das Protokoll zu prüfen, ggf. Korrekturen einzubringen und durch Unterschrift bzw. in elektronischer Form dieses zu bestätigen. Tonaufnahmen, die zur Erstellung des Protokolls dienen, sind anschließend zu löschen. Die Dokumentation ist drei Jahre nach Abschluss des Verfahrens zu löschen.

Wichtig: Die Personen, die mit der Aufgabe der internen Meldestelle beauftragt werden, müssen in Ausübung dieser Tätigkeit unabhängig sein und dürfen auch andere Aufgaben und Pflichten wahrnehmen, sofern sich daraus kein Interessenkonflikt ergibt. Des Weiteren muss der Beschäftigungsgeber dafür sorgen, dass die beauftragten Personen die notwendige Fachkunde für diese Aufgabe besitzen.

Nicht jede Meldung bzw. Offenlegung fällt unter das HinSchG!
Der Aspekt der Fachkunde ist auch insofern relevant, als dass der gemeldete Verstoß zunächst von der internen Meldestelle geprüft wird, ob dieser in den Anwendungsbereich des Gesetzes fällt. Folgende Informationen fallen nicht darunter:

Vorrang von Sicherheitsinteressen sowie Verschwiegenheits- und Geheimhaltungspflichten: Wenn die Meldung Informationen beinhaltet, die die nationale Sicherheit betreffen, die von Nachrichtendiensten des Bundes oder der Länder stammen, über die Vergabe öffentlicher Aufträge und Konzessionen, bei denen es Geheimhaltungs- oder Vertraulichkeitspflichten zum Schutz von Verschlusssachen gibt, die unter die Pflicht zur Wahrung der Verschwiegenheit bestimmter Berufsgruppen fallen (z. B. Ärzt*innen) etc.
Sonstige Verschwiegenheits- und Geheimhaltungspflichten: Beinhaltet die Meldung bzw. Offenlegung ein Geschäftsgeheimnis, so ist die Weitergabe an die Meldestelle nur unter bestimmten Bedingungen erlaubt. Ähnliches gilt für Verschwiegenheitspflichten, die sich aus einer vertraglichen oder rechtlichen Regelung ergeben. Hierbei müssen die zuständigen Personen der Meldestelle entscheiden, ob diese Informationen für das Ergreifen von Folgemaßnahmen erforderlich sind bzw. verwendet werden dürfen und die schutzwürdigen Belange der von der Meldung betroffenen Personen beachten.

Umgang mit personenbezogenen Daten und der Identität der hinweisgebenden Person

Personenbezogene Daten dürfen durch die Meldestelle verarbeitet werden, soweit dies erforderlich ist, um ihre Aufgaben zu erfüllen. Auch eine Verarbeitung von sog. Artikel-9-Daten (siehe Art. 9 DSGVO) ist zulässig, wenn die Aufgabe dies erfordert. Allerdings hat die Meldestelle, um die Interessen der betroffenen Person zu wahren, „spezifische und angemessene Maßnahmen“ vorzusehen.

Die Vertraulichkeit der Identität der hinweisgebenden Person sowie der Personen, die Gegenstand der Meldung sind oder darin genannt werden, hat die Meldestelle zu wahren. Ausnahmen von diesem Vertraulichkeitsgebot werden in § 9 HinSchG beschreiben, bspw. wenn vorsätzlich unrichtige Informationen über einen Verstoß gemeldet werden. Dann ist die Identität nicht nach diesem Gesetz geschützt.

„Konzernlösung“ und die Beauftragung Dritter mit der Einrichtung und dem Betrieb einer internen Meldestelle

Das HinSchG ermöglicht verschiedene Formen der Organisation der internen Meldestelle. Es

kann (können) eine (mehrere) beschäftigte Person(en) beauftragt werden oder ein Dritter.
Wird ein Dritter beauftragt mit den Aufgaben der Meldestelle, so ist dennoch der Beschäftigungsgeber in der Pflicht, bei einem etwaigen Verstoß geeignete Maßnahmen zu ergreifen, um diesen weiterzuverfolgen und abzustellen.

Mehrere private Beschäftigungsgeber können auch eine gemeinsame interne Meldestelle einrichten und betreiben, wenn die einzelnen Beschäftigungsgeber nur zwischen 50 und 249 Personen beschäftigen. Des Weiteren gibt es noch eine sog. Konzernlösung: So kann „auch innerhalb eines Konzerns zentral bei einer Konzerngesellschaft eine unabhängige und vertrauliche Stelle als Dritter angesiedelt werden.“ (S. 51, Drucksache 20/4909)

Die Beauftragung eines Dritten mit der Einrichtung und dem Betrieb einer internen Meldestelle bietet eine Reihe von Vorteilen, insbesondere steht direkt die erforderliche Fachkunde zur Verfügung sowie die Möglichkeit des anonymen Meldekanals durch die Tätigkeit als Ombudsperson.

Des Weiteren ist aus datenschutzrechtlicher Sicht zu beachten, dass der Betrieb der internen Meldestelle auch in das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) aufgenommen werden muss und für das Verfahren eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) durchzuführen ist. Der hinweisgebenden Person sind zudem entsprechende Datenschutzhinweise (Art. 13 DSGVO) zur Verfügung zu stellen. Ist im Unternehmen bzw. in der Organisation ein Betriebsrat vorhanden, so gilt es, diesen in den Prozess zur Einrichtung und dem Betrieb der Meldestelle einzubeziehen und eine Betriebsvereinbarung abzuschließen.