Das Hinweisgeberschutzgesetz setzt die Vorgaben der sogenannten EU-Whistleblower-Richtlinie in Deutschland um. Es ist am 2. Juli 2023 in Kraft getreten..
Damit gilt:

• Ab 2. Juli 2023: Alle Unternehmen ab 250 Beschäftigten müssen ein Hinweisgebersystem, also sichere und zuverlässige Kanäle für die interne Meldung von Verstößen, einrichten. Für Finanzinstitute (Kredit-, Finanzdienstleistungs- und Wertpapierinstitute, Wertpapierdienstleistungsunternehmen, Börsenträger, Kapitalverwaltungsgesellschaften etc.) gilt diese Pflicht unabhängig von der Mitarbeiterzahl.
• Ab 17. Dezember 2023: Alle Unternehmen ab 50 Beschäftigten müssen ein Hinweisgebersystem einrichten.

Die Schwellenwerte sind unternehmensbezogen, es kommt also auf die Mitarbeiterzahl in der jeweiligen „Legal Entity“,d.h. bei der jeweiligen juristischen Person, an.

Die unterbliebene oder nicht rechtzeitige Einrichtung eines Hinweisgebersystems ist eine bußgeldbewehrte Ordnungswidrigkeit:

• Ab 1. Dezember 2023: Allen Unternehmen ab 250 Beschäftigten und Finanzinstituten, die noch kein Hinweisgebersystem eingerichtet haben, droht ab jetzt ein Bußgeld in Höhe von 20.000 €.
• Ab 17. Dezember 2023: Alle Unternehmen ab 50 Beschäftigten müssen ein Hinweisgebersystem einrichten, auch ihnen droht ab jetzt ein Bußgeld in Höhe von 20.000 €.

Zudem riskiert man, dass sich Hinweisgeber an Behörden, z. B. an die beim Bundesamt für Justiz eingerichtete externe Meldestelle des Bundes, wenden. Sollte diese nicht reagieren, dürfen sich Hinweisgeber künftig legal an Öffentlichkeit und Medien wenden. Damit können naturgemäß erhebliche Risiken für das Unternehmensimage einhergehen.

Eingehende Meldungen müssen dokumentiert und drei Jahre aufbewahrt werden. Für die Bearbeitung von Meldungen müssen folgende Aspekte beachtet werden:

• Bestätigung des Eingangs der Meldung spätestens nach sieben Tagen.
• Prüfung, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich des Hinweisgeberschutzgesetzes fällt.
• Prüfung der Meldung auf Plausibilität und rechtliche Validierung des Hinweises.
• Falls erforderlich: Dialog mit dem Hinweisgeber und Ersuchen um weitere Informationen.
• Rückmeldung an den Hinweisgeber innerhalb der gesetzlichen Rückmeldefristen, spätestens drei Monate und sieben Tage nach Eingang der Meldung bei der internen Meldestelle.
• Rückmeldung zu geplanten sowie bereits ergriffenen Folgemaßnahmen sowie den Gründen für diese.

Wie der Name bereits sagt, schützt das Gesetz Hinweisgeber, auch Whistleblower genannt. Grundsätzlich wird jeder, der über das Hinweisgebersystem einen Missstand melden kann, geschützt. Diese Meldemöglichkeit muss für Beschäftigte des Unternehmens und überlassene Leiharbeitnehmer bestehen. Auf freiwilliger Basis kann das Hinweisgebersystem auch für Externe geöffnet werden, wie zum Beispiel Kunden oder Lieferanten.
Neben dem Hinweisgeber sind geschützt:

• Personen, die den Hinweisgeber bei einer Meldung im beruflichen Zusammenhang vertraulich unterstützt haben,
• Personen, die mit dem Hinweisgeber in Verbindung stehen und im beruflichen Zusammenhang Repressalien erlitten haben,
• Juristische Personen (z. B. GmbH) oder rechtsfähige Personengesellschaften (z. B. OHG), die – vereinfacht gesagt – mit der hinweisgebenden Person in Verbindung stehen.

Last but not least werden auch Personen geschützt, die Gegenstand einer Meldung sind. Für diese Personen ist der Schutz jedoch begrenzt. Er beschränkt sich hauptsächlich auf die Vertraulichkeit der Identität.

Der Schutz gilt nur, wenn der Hinweisgeber bei Abgabe seines Hinweises hinreichend Grund zu der Annahme hatte, dass seine Meldung der Wahrheit entspricht und der gemeldete Verstoß in den Anwendungsbereich des Hinweisgeberschutzgesetzes fällt.

Dem Hinweisgeber kann also selbst bei unzutreffenden Angaben Schutz zukommen, solange er seinen Hinweis in gutem Glauben abgegeben hat. Die Gesetzesbegründung konkretisiert die Anforderungen an die Gutgläubigkeit. Danach müssen tatsächliche Anhaltspunkte für einen Verstoß vorliegen. Bloße Gerüchte oder Spekulationen genügen nicht.

Für Personal- und Compliance-Verantwortliche, die sich bislang noch nicht mit dem Thema beschäftigt haben, wird es jetzt höchste Zeit.

Insbesondere Unternehmen ab 250 Beschäftigten (und Finanzinstituten unabhängig von der Mitarbeiterzahl) bleibt nicht mehr viel Zeit, um die neuen Vorgaben zu erfüllen.

Die unterbliebene oder nicht rechtzeitige Einrichtung eines Hinweisgebersystems wird zwar erst voraussichtlich ab 01. November 2023 bußgeldbewehrt sein. Doch unabhängig hiervon gelten die neuen Vorgaben bereits ab Inkrafttreten des Gesetzes, also voraussichtlich Ende Juni 2023. Wer sich bis November Zeit lässt, ist somit nicht nur vorerst „non-compliant“, sondern riskiert auch, dass sich Hinweisgeber in der Zwischenzeit an Behörden wenden. Wenn diese nicht reagieren, dürfen sich Hinweisgeber künftig auch legal an Öffentlichkeit und Medien wenden.

Unternehmensverantwortliche sollten daher – soweit noch nicht vorhanden – zügig ein Hinweisgebersystem einführen (Achtung: Beteiligungsrechte des Betriebsrats) bzw. ein etwaig vorhandenes System, z. B. eine Whistleblower-Hotline, auf die Einhaltung der neuen Vorgaben hin überprüfen.