Nachdem das Hinweisgeberschutzgesetzt zuletzt im Dezember 2022 nicht die erforderliche Mehrheit im Bundesrat erhalten hatte, hat der Vermittlungsausschuss nun einen Kompromissvorschlag erarbeitet, der vom Bundestag und Bundesrat verabschiedet wurde.
Damit wird das „Gesetz für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ wahrscheinlich noch im Juni 2023 in Kraft treten können.
Mit dem Hinweisgeberschutzgesetz (so die Kurzform) wird die EU-Richtlinie 2019/1937 in ein nationales Gesetz überführt und soll dadurch den Schutz von Whistleblowern verbessern und diese vor Benachteiligungen schützen.
Was sieht das Gesetz vor?
Das Gesetz soll Hinweisgeber schützen, in dem es diese Personen nicht für die Beschaffung der gemeldeten Informationen verantwortlich macht. Dabei sind Hinweisgeber „Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die vorgesehenen Meldestellen melden“.
Einzig: Die Beschaffung dieser Informationen darf nicht durch eine eigenständige Straftat erreicht worden sein. Und die Information muss richtig sein, ansonsten kann das Unternehmen bei einer vorsätzlich mit falschen Informationen gemachten Meldung auch Schadensersatz verlangen.
Gleichzeitig müssen zur Annahme entsprechender Informationen Meldestellen eingerichtet werden. Einerseits wird es externe Meldestellen (BaFin, Bundeskartellamt etc.) geben, den Unternehmen wird je nach Größe aber auferlegt oder die Möglichkeit gegeben auch eigene interne Meldestellen bereitzustellen.
Was ist bei der Annahme der Meldungen zu beachten?
Während im ersten Entwurf noch eine Pflicht vorgesehen hat, auch anonyme Meldungen zu akzeptieren, ist dies in der neuen Variante nicht mehr explizit vorgesehen.
Eine Schwierigkeit bestand technisch z.B. darin, dass dem Hinweisgeber – ob anonym oder nicht – ein Recht eingeräumt wurde, über den Verlauf des Verfahrens unterrichtet zu werden. So soll die interne Meldestelle der hinweisgebenden Person beispielsweise innerhalb von 7 Tagen den Eingang der Meldung bestätigen. Spätestens nach drei Monaten ist zudem eine Rückmeldung an den Hinweisgeber notwendig.
Gleichzeitig halten wir es ohnehin für sinnvoll, auch weiterhin einen anonymen Meldeweg vorzusehen, denn viele Hinweisgeber werden möglicherweise abgeschreckt, wenn eine anonyme Meldung nicht möglich ist, und melden die Informationen dann ggf. an die externen Meldestellen.
Nur weil der Hinweisgeber seine Meldung nicht anonym abgegeben hat, ist dies nicht damit gleichzusetzen, dass die personenbezogenen Daten des Hinweisgebers im Verfahren frei genutzt werden dürfen. Denn das Hinweisgeberschutzgesetz fordert auch die Vertraulichkeit zur Person des Hinweisgebers, zur Meldung und zu in der Meldung genannten Personen, sofern §9 des Hinweisgeberschutzgesetzes keine Ausnahme vom Vertraulichkeitsgebot vorsieht.
Welche Unternehmen müssen Meldekanäle einführen?
Alle Unternehmen ab 50 Beschäftigte werden die Pflicht haben die entsprechenden Meldekanäle einzurichten. Allerdings wird es eine Übergangsfrist bis zum 17.12.2023 für alle Unternehmen geben, die zwischen 50 und 249 Mitarbeiter beschäftigen.
Unternehmen mit weniger als 50 Beschäftigten sind von der Pflicht zur Einrichtung einer internen Meldestelle nicht betroffen. Wie eingangs erwähnt, kann es je nach Unternehmen vielleicht trotzdem sinnvoll sein, sich mit dieser Thematik zu befassen, da ansonsten nur die externen Meldestellen bei den Behörden für die Hinweisgeber zur Verfügung stehen.
Mehrere Unternehmen in einer Unternehmensgruppe mit i.d.R. bis zu 249 Beschäftigten können auch eine gemeinsame Meldestelle zur Annahme von Meldungen bereitstellen.
Wie können wir Sie bei der Pflicht unterstützen?
Wir werden in unserem Datenschutzmanagementsystem die Möglichkeit vorsehen, auch die interne Meldestelle für den Hinweisgeber bereitzustellen. Die Funktionalität wird wahrscheinlich ab dem dritten Quartal 2023 im System verfügbar sein.
Zudem stellen wir uns als Ombudsmann zur Verfügung, wodurch auch die Vertraulichkeit des Hinweisgebers sichergestellt wird. Wir übernehmen die Kommunikation zwischen dem Hinweisgeber und der Unternehmen. Dies schafft Vertrauen auf der Seite des Hinweisgebers und bindet keine zusätzlichen Arbeitszeiten eigener Mitarbeiter.
Wenn ein Hinweis eingeht, bestätigen wir dem Hinweisgeber den Eingang, halten die Fristen im Auge und klären den Sachverhalt mit Ihnen im Dialog.
Aktuell ist der Aufwand, der durch die Einrichtung der Meldestellen entstehen wird, noch nicht abschätzen. Aus diesem Grund werden wir zu Beginn zumindest noch keine Pauschalangebote anbieten können.
Unser Hinweisgeberpaket sieht daher folgende Bestandteile vor:
- Bereitstellung des Meldekanals integriert im DSMS.
- Möglichkeit zur Benennung als Ombudsmann und Erreichbarkeit für die Hinweisgeber.
Für dieses Paket erheben wir ab Bereitstellung des Meldemoduls eine monatliche Pauschale von 79,00 EUR netto pro Unternehmen und Monat (99,00 EUR netto für Nicht-Mandanten). Bei Unternehmensgruppen, die gem. §14 Abs. 2 Hinweisgeberschutzgesetz eine gemeinsame Meldestelle einrichten wollen, treffen wir gerne eine individuelle Vereinbarung.
Die Bearbeitung von Meldungen wird gem. unseres allgemeinen Stundensatzes abgerechnet.
Die nächsten Schritte
Wenn Sie Interesse haben den internen Meldekanal über unser DSMS abzubilden und uns als Ombudsmann mit der Annahme der Meldungen beauftragen wollen, nehmen Sie bitte kurzfristig Kontakt mit uns auf!
Sollten Sie weitere Fragen haben, stehen wir Ihnen selbstverständlich gerne zur Verfügung.
Beste Grüße
Ihre Datenschutzbeauftragten der CompliPro GmbH
Folgende Links können bei der Bewertung des Sachverhaltes hilfreich sein:
- Gesetzentwurf zum Hinweisgeberschutzgesetz (Stand 07/2022)
- Beschlussempfehlung des Vermittlungsausschusses (Stand 05/2023)
- Pressemitteilung – Einigung beim Hinweisgeberschutzgesetz erzielt (10.05.2023)
- Gesetzgebungsverfahren und Stellungnahmen zum Hinweisgeberschutz (Stand 03/2023)
