Mehr Whistleblower dank Hinweisgeberschutzgesetz?

Das Hinweisgeberschutzgesetz gibt die Installation von Meldestellen in Betrieben ab 50 Mitarbeitenden zwingend vor, um Whistleblowern die Meldung von dolosem Verdachtsfällen zu ermöglichen. Für Unternehmen, die weniger als 250 Mitarbeitende beschäftigen, galt für die Umsetzung noch eine Frist bis zum 17. Dezember 2023.

Das HinSchG soll vermeiden, dass Whistleblower für ihr Tun sanktioniert werden. Geschützt sind natürliche Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die nach dem HinSchG vorgesehenen Meldestellen melden oder offenlegen. Dabei führt die „Meldung“ und „Offenlegung“ von Informationen nicht in jedem Fall zu einem Schutz: Nur der Hinweis auf bestimmte Verstöße und die Nutzung der vorgegebenen Meldewege eröffnet den Schutzschirm des Gesetzgebers. Daher verpflichtet das Gesetz die Unternehmen, diese Meldewege zu installieren. Nach § 3 Abs. 4 HinSchG (im Folgenden genannte Paragrafen ohne nähere Nennung sind solche des HinSchG) sind „Meldungen“ „Mitteilungen von Information über Verstöße an interne Meldestellen oder externe Meldestellen“. Der Begriff der „Offenlegung“ bezeichnet das „Zugänglichmachen von Informationen über Verstöße gegenüber der Öffentlichkeit“. Letztgenanntes ist wichtig, weil auch die Preisgabe nach Extern oder an die Öffentlichkeit geschützt ist. „Repressalien“ sind nach § 3 Abs. 6 „Handlungen oder Unterlassungen im Zusammenhang mit der beruflichen Tätigkeit, die eine Reaktion auf eine Meldung oder eine Offenlegung sind und durch die der hinweisgebenden Person ein ungerechtfertigter Nachteil entsteht oder entstehen kann.“

Verpflichtet werden die „Beschäftigungsgeber“, die nach § 3 Abs. 9 vom Gesetzgeber wie folgt definiert werden: „Beschäftigungsgeber sind, sofern mindestens eine Person bei ihnen beschäftigt ist, 1. natürliche Personen sowie juristische Personen des öffentlichen und des privaten Rechts, 2. rechtsfähige Personengesellschaften und sonstige nicht in den Nr. 1 und 2 genannten rechtsfähigen Personenvereinigungen.“ „Private Beschäftigungsgeber“ sind nach § 3 Abs. 10 „Beschäftigungsgeber mit Ausnahme juristische Person des öffentlichen Rechts und solche Beschäftigungsgeber, die im Eigentum oder unter der Kontrolle einer juristischen Person des öffentlichen Rechts stehen“.

Neben diesen allgemeineren Verstößen rechtfertigen Meldungen von Verstößen gegen spezielle Rechtsvorschriften des Bundes und der Länder sowie der Europäischen Union und der europäischen Atomgemeinschaft einen Schutz, sofern sich die Regelungen unter anderem gegen die Bekämpfung von Geldwäsche und Terrorismusfinanzierung richten. Darüber hinaus können Verstöße gegen bundesrechtlich und einheitlich geltende Regelungen im Zusammenhang mit Vergabeverfahren, mit besonderen Regelungen des Finanzdienstleistungsaufsichtsgesetzes und Verstöße gegen steuerliche Rechtsnormen für Körperschaften und Personenhandelsgesellschaften mit Schutzwirkung gemeldet werden.

Obgleich der sachliche Anwendungsbereich sehr breit gefächert ist, gibt es Ausnahmefälle, bei denen eine Offenbarung über die vorgegebenen Meldewege keinen Schutz für die hinweisgebende Person auslöst: In § 5 nimmt man vor dem Hintergrund der nationalen Sicherheit bestimmte Sektoren aus und versagt Personen, die zur Verschwiegenheit und Geheimhaltung verpflichtet sind, einen Schutz. Dass Meldungen und Offenlegung nicht in den Anwendungsbereich des Gesetzes fallen, wenn ihnen eine berufliche Verschwiegenheitspflicht wie beispielsweise bei Ärzten, Zahnärzten, Tierärzten, bei Richtern, Anwälten und Notaren, ist selbstverständlich auch normiert.

Die zentrale Weichenstellung findet sich in § 7: Demnach haben Personen, die beabsichtigen, Informationen über einen Verstoß zu melden, die Möglichkeit, dies bei einer einzurichtenden internen Meldestelle oder einer externen Meldestelle vorzunehmen. Die Meldenden haben also eine Wahlmöglichkeit. Beschäftigungsgeber, die nach § 12 Absatz 1 und 3 zur Einrichtung interner Meldestellen verpflichtet sind, sollten daher dringend Anreize dafür schaffen, dass sich hinweisgebende Personen zunächst an die jeweilige interne Meldestelle wenden, bevor sie die externe Meldestelle kontaktieren. Der Hinweis im Gesetz, für Beschäftigte klare und leicht zugängliche Informationen über die Nutzung des internen Meldeverfahrens bereitzustellen, sollte unbedingt befolgt werden. Wichtig zu wissen: Wenn einem intern gemeldeten Verstoß nicht abgeholfen wurde, bleibt es der hinweisgebenden Person gleichwohl unbenommen, sich an eine externe Meldestelle zu wenden. Zudem ist verboten, Meldungen oder die auf eine Meldung folgende Kommunikation zwischen hinweisgebender Person und Meldestelle zu behindern oder dies zu versuchen.

Ein Kernelement des Gesetzes ist das „Vertraulichkeitsgebot“ in § 8. Die Meldestellen haben die Vertraulichkeit der Identität der folgenden Personengruppe zu wahren: der hinweisgebenden Person, der Personen, die Gegenstand der Meldungen sind und der sonstigen in der Meldung genannten Personen. Dabei wird eine je nach betroffener Gruppe unterschiedliches Schutzniveau konkretisiert. Die Vorgaben gelten unabhängig davon, ob die Meldestelle für die eingehende Meldung zuständig ist oder aber auch nicht. Die Meldevorgänge sind intern zu dokumentieren, die Dokumentation ist drei Jahre nach Abschluss des Verfahrens zu löschen.

Nach § 12 haben Beschäftigungsgeber dafür zu sorgen, dass bei ihnen mindestens eine Stelle für interne Meldungen eingerichtet ist und betrieben wird, an die sich Beschäftigte wenden können. Sie sollen dies auch intern kundtun. Dies gilt zunächst nur für Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten und Unternehmungen aus bestimmten Branchen (wenn sie etwa Wertpapierdienstleistungen oder Datenbereitstellungsdienste im Wertpapiersektor anbieten). Beschäftigungsgebende Unternehmen trifft die Pflicht, eine interne Meldestelle einzurichten und sollten das auch hausintern zeitnah umsetzen. Dafür streitet nicht nur die unternehmerische Intention, eine interne Fehlerkultur zur Fort- und Weiterentwicklung und zur Stabilisierung des Unternehmens zu etablieren. In Zukunft werden tendenziell die prosperierenden Compliance Anforderungen und die damit einhergehenden Haftungserweiterungen der Unternehmensverantwortlichen ein internes Meldesystem als Teil der Compliancestrategie unbedingt erforderlich machen.

Interne Meldestellen haben die Aufgabe, Meldekanäle nach § 16 vorzuhalten, das Verfahren nach § 17 zu führen und Folgemaßnahmen nach § 18 zu ergreifen. Der Normgeber sieht vor, entweder selbst oder mit zusammen mit anderen eine eigene interne Meldestelle zu betreiben oder aber einen Dienstleister/eine Anwaltskanzlei damit zu beauftragen. Dies entbindet den Beschäftigungsgebenden freilich nicht, selbst geeignete Maßnahmen zu ergreifen, um einen etwaigen Verstoß abzustellen. Das ist indes dringend empfehlenswert, weil so eine Offenlegung mit Reputationsverlust zumeist vermieden werden kann. Es sind Meldekanäle für interne Meldestellen einzurichten. Die Meldestelle sollten auch anonyme Meldungen bearbeiten. Es besteht allerdings keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen.

Während die „Meldung“ zunächst im Dialog mit zwei Beteiligten stattfindet, richtet sich die Offenlegung an die Öffentlichkeit. Wenn vertrauliche Unternehmensinformationen erst einmal geleakt sind, wird es der Unternehmensführung beinahe nicht mehr möglich sein, diese noch zu schützen. Zwar bleibt das Offenlegen unrichtiger Informationen über Verstöße verboten. Das Gesetz entfaltet gleichwohl den Schutzschirm bei einer Offenlegung, wenn der Hinweisgebende hinreichenden Grund zu der Annahme hatte, dass a) der Verstoß wegen eines Notfalls, der Gefahr irreversibler Schäden oder vergleichbarer Umstände eine unmittelbare oder offenkundige Gefährdung des öffentlichen Interesses darstellen kann, b) im Fall einer externen Meldung Repressalien zu befürchten sind oder c) Beweismittel unterdrückt oder vernichtet werden könnten, Absprachen zwischen der zuständigen externen Meldestelle und dem Urheber des Verstoßes bestehen könnten oder aufgrund sonstiger besonderer Umstände die Aussichten gering sind, dass die externe Meldestelle wirksame Folgemaßnahmen nach § 29 einleiten wird. Und auch wenn der externe Meldeweg beschritten wurde, ist eine Offenlegung rechtmäßig. Daher ist ein beschäftigungsgebendes Unternehmen bestens beraten, die Hinweisgebenden möglichst in das internen Meldesystem zu lenken.

Um seinen Namen gerecht zu werden, sieht §§ 33 ff. Schutzmaßnahmen für hinweisgebende Personen vor. Immer (und nur) dann, wenn hinweisgebende Personen intern oder extern eine Meldung erstattet oder aber eine Offenlegung gemäß § 32 vorgenommen haben, können sie sich unter den Schutz des Gesetzes stellen. Das beginnt mit dem Ausschluss der Verantwortlichkeit in § 35: Eine hinweisgebende Person kann nicht für die Beschaffung von oder den Zugriff auf Informationen, die sie gemeldet oder offengelegt hat, rechtlich verantwortlich gemacht werden, sofern die Beschaffung nicht selbst als solche oder der Zugriff nicht als solcher eine eigenständige Straftat darstellt. Auch verletzt eine hinweisgebende Person keine Offenlegungsbeschränkungen und kann nicht für die bei einer Meldung oder Offenlegung erfolgte Weitergabe von Informationen rechtlich verantwortlich gemacht werden, sofern sie einen hinreichenden Grund zu der Annahme hatte, dass die Weitergabe der Informationen erforderlich war, um einen Verstoß aufzudecken. Gegen hinweisgebende Personen gerichtete Repressalien sind dementsprechend verboten. Das gilt auch für die Androhung und den Versuch, Repressalien auszuüben.

Flankiert wird der Schutz schließlich durch Schadensersatzansprüche des Hinweisgebenden nach Repressalien sowie - vice versa – um Schadensersatzansprüche nach einer Falschmeldung, wenn der Schaden aus einer vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen entstanden ist. Gesetzgeberisch schließen sich dann noch Bußgeldvorschriften an. Dabei ist vor allem der Verstoß gegen die Einrichtungspflicht einer internen Meldestelle zu benennen: Wer die interne Meldestelle nicht einrichtet, kann etwa mit einer Geldbuße bis zu 20.000 € belegt werden.

Bei diesem Gesetz geht es nicht bloß um ein Schutzgesetz für Hinweisgeber: Es geht um ein Instrument der Schadensabwehr von Unternehmen. Eine große Menge von Unternehmen ist heute (kaum) in der Lage, alle strafbewährten Verstöße im Betrieb zu vermeiden oder sie auch nur im Auge zu behalten. Das ist durch die Zerstreuung der Mitarbeitenden ins Homeoffice noch befördert worden. Unternehmen können bei einem professionellen Umgang mit einer internen Meldung hingegen etwaige Missstände frühzeitig abstellen und so das Risiko einer bloßstellenden Offenlegung interner Vorgänge und Dokumente nach außen nachhaltig vermeiden.

Roman G. Weber, LLM,  Rechtsanwalt & Mediator