Hinweisgeberschutzgesetz – um was geht es?
Das Hinweisgeberschutzgesetz (HinSchG) bezweckt den Schutz von Personen, die im Rahmen ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese melden. Wenn Mitarbeiter oder Dritte im beruflichen Kontext Informationen weitergeben wollen, um auf interne Missstände, Verstöße gegen Gesetz oder interne Richtlinien hinzuweisen, befürchten Hinweisgeber oftmals nachteilige Auswirkungen. Aber auch Unternehmen sind in aller Regel daran interessiert, dass interne Prozesse und Vorgaben eingehalten werden und sich das Unternehmen an Recht und Gesetz hält. Diesen vermeintlichen Widerspruch soll das HinSchG bis zu einem gewissen Grad auflösen, damit beide Seiten bei der Ermittlung und Aufdeckung solcher Verstöße geschützt sind.
Das HinSchG verpflichtet Unternehmen nun vor allem dazu, interne Meldestellen für Hinweisgebende, sogenannte Whistleblower, einzurichten und die darüber erlangten Informationen nur anhand der Vorgaben des HinSchG zu verwenden. Für Unternehmen ab 250 Mitarbeitern gilt dies bereits seit dem 2. Juli 2023. Für Unternehmen zwischen 50 und 249 Mitarbeitern galt eine Übergangsfrist bis zum 17. Dezember 2023. D.h. spätestens seit diesem Tag sollten alle Unternehmen entsprechende Meldestellen gem. HinSchG eingerichtet haben. Als Anwalt für HinSchG beraten wir Sie hierzu gerne.
Wer ist vom Hinweisgeberschutzgesetz betroffen?
Das HinSchG zielt darauf ab, den Schutz von Personen sicherzustellen, die im beruflichen Kontext Informationen über Verstöße bei entsprechenden Meldestellen offenlegen. Es werden durch das Hinweisgeberschutzgesetz auch diejenigen geschützt, die in einer solchen Meldung genannt werden oder anderweitig davon betroffen sind, wie beispielsweise Zeugen oder Dritte. Sowohl Unternehmen als auch Behörden unterliegen bestimmten gesetzlichen Verpflichtungen. Unabhängig von der Mitarbeiteranzahl kann ein Hinweissystem gem. HinSchG vorgeschrieben sein, wenn das Unternehmen in einer bestimmten Branche tätig ist. Dazu zählen z.B. Unternehmen im Gesundheitswesen oder bestimmte Finanzdienstleister.
Voraussetzungen für eine interne Meldestelle nach dem HinSchG
Nach § 12 HinSchG kann eine interne Meldestelle eine einzelne angestellte Person beim Arbeitgeber, eine Gruppe von Mitarbeitern oder ein extern beauftragter Dritter sein. Diese Stellen müssen unabhängig sein, um die Gefahr von Interessenkonflikten zu vermeiden. Außerdem sollte die Einheit über spezifisches Fachwissen verfügen. Personen in dieser Funktion müssen die Zuständigkeiten, Unabhängigkeit und Vertraulichkeit der Meldestelle kennen. Die erforderlichen rechtlichen und fachlichen Kenntnisse richten sich nach den potenziellen Verstößen im jeweiligen Arbeitsumfeld. Wir beraten Sie als Anwalt für HinSchG zu allen Fragen im Hinweisgeberschutzgesetz.
Aufgaben der Meldestellen nach Hinweisgeberschutzgesetz
Die Meldestellen gem. HinSchG haben die Aufgabe, eingehende Meldungen zu untersuchen, Missstände zu beheben und den Kontakt zum Hinweisgeber während des Verfahrens zu halten, insbesondere die Fristen für Eingangsbestätigungen und Informationen über Folgemaßnahmen einzuhalten. Sie sind verpflichtet die Vertraulichkeit der Hinweisgeber und Dritter zu wahren. Gemäß § 11 HinSchG müssen eingehende Meldungen entsprechend den datenschutzrechtlichen Anforderungen, insbesondere aus Art. 5 DSGVO, dokumentiert werden. Die Daten müssen zweckmäßig und auf das für die Verarbeitung notwendige Maß beschränkt sein. Sie müssen sachlich korrekt und aktuell sein und bei Bedarf berichtigt oder gelöscht werden. Auch die Protokollierung von mündlichen Meldungen muss diesen Grundsätzen entsprechen. Bei der Speicherung und Aufbewahrung der Dokumente muss die Sicherheit der Daten gewährleistet werden, um den Zugriff Unbefugter zu verhindern. Entsprechende Verschlüsselungstechnologien sind ebenso vorzusehen wie Rollen- und Berechtigungskonzepte. Die Dokumentation laut Hinweisgeberschutzgesetz ist drei Jahre nach Abschluss des Verfahrens zu löschen, es sei denn darüber hinaus gehende Aufbewahrungspflichten bestehen. Als Anwalt für HinSchG beraten wir Sie hierzu.
Verpflichtungen der Hinweisgebenden nach dem HinSchG
Whistleblower müssen nach dem Hinweisgeberschutzgesetz sicherstellen, dass gemeldete Informationen der Wahrheit entsprechen oder zumindest hinreichender Grund zu deren Annahme besteht. Informationen dürfen durch Hinweisgeber nur offengelegt werden, wenn sie diese zuvor über interne oder externe Meldestellen mitgeteilt haben und darauf weder eine Reaktion noch eine Behebung erfolgte. Werden falsche Angaben vorsätzlich oder grob fahrlässig falsch gemeldet oder gegenüber Dritten offengelegt, kann dies laut HinSchG zu einem Bußgeld führen oder straf- und zivilrechtliche Konsequenzen nach sich ziehen.
Konsequenzen der Einführung des Hinweisgeberschutzgesetz
Unternehmen, die gegen das Hinweisgeberschutzgesetz verstoßen, drohen Bußgelder von bis zu 50.000 Euro. Dazu zählen beispielsweise Verstöße mit Blick auf mangelnde Vertraulichkeit von Hinweisen oder bei direkten Maßnahmen/Konsequenzen zum Nachteil von Whistleblowern. Das Fehlen einer internen Meldestelle kann mit einem Bußgeld von bis zu 20.000 Euro geahndet werden. Die betroffenen Unternehmen sind daher gut beraten, die entsprechenden Meldestellen gem. dem HinSchG einzurichten und ordnungsgemäß mit geschultem Personal für die Bearbeitung der eingehenden Hinweise zu betreiben. Hierzu beraten wir Sie als Anwalt für HinSchG gerne.
Datenschutz im Hinweisgeberschutzgesetz (HinSchG)
Da bei dem Betrieb von internen Meldestellen nach dem Hinweisgeberschutzgesetz durch die Entgegenahme von Hinweisen und Meldungen personenbezogene Daten verarbeitet werden, müssen Unternehmen die geltenden Datenschutzanforderungen erfüllen. Darunter fallen bereits die Angaben des Hinweisgebenden, sofern der Hinweis nicht anonym erfolgt. Aber auch der Hinweis selbst enthält in aller Regel personenbezogene Daten, beispielsweise in Bezug auf den Sachverhalt und Informationen zu Beschuldigten oder involvierten Dritten. § 10 HinSchG dient insoweit als Rechtsgrundlage für die Verarbeitung dieser Daten im Sinne von Art. 6 DSGVO. Demnach sind Meldestellen befugt, personenbezogene Daten zu verarbeiten, soweit dies zur Erfüllung ihrer im Gesetz festgelegten Aufgaben erforderlich ist.
Im Zusammenhang mit der Einrichtung einer internen Meldestelle sind die Informationspflichten nach Art. 13, 14 DSGVO zu erfüllen. Danach müssen Personen, die die interne Meldestelle kontaktieren, über die Verarbeitung ihrer personenbezogenen Daten informiert werden. Ebenso sind Informationspflichten gegenüber den Mitarbeitern zu beachten. Die Datenverarbeitung im Zusammenhang mit dem Betrieb der Meldestelle ist nach Art. 30 DSGVO im Verzeichnis der Verarbeitungstätigkeiten zu erfassen. Auf Grund der Tatsache, dass besondere personenbezogene Daten verarbeitet werden, ist in aller Regel eine vorherige Datenschutz-Folgeabschätzung nach Art. 35 DSGVO erforderlich. Zusätzlich sind Maßnahmen gemäß Art. 32 DSGVO zu treffen, um den Schutz der Daten zu gewährleisten und insbesondere einen unbefugten Zugriff Dritter zu verhindern. Bei der Einbindung von Software und technischen Lösungen Dritter sind die Anforderungen des Art. 28 DSGVO zu beachten und ein entsprechender Auftragsverarbeitungsvertrag zu schließen. Datenschutzbeauftragte müssen gemäß Art. 38 DSGVO frühzeitig und angemessen in alle datenschutzrelevanten Fragen rund um die Meldestellen eingebunden werden. Diese Datenschutzanforderungen zielen darauf ab, die Verarbeitung personenbezogener Daten durch interne Meldestellen transparent, sicher und im Einklang mit den geltenden Datenschutzbestimmungen zu gestalten. Aufgrund unserer Spezialisierung im IT-Recht und Datenschutzrecht beraten wir Sie gerne zu allen Fragen im Hinweisgeberschutzgesetz gerade und auch an der Schnittstelle zum Datenschutzrecht.
Hinweisgeberschutzgesetz: Vertraulichkeit gewährleisten
8 Abs. 1 HinSchG legt fest, dass Meldestellen die Identität der hinweisgebenden Person sowie die der in den Meldungen genannten Personen wahren müssen, sofern die angezeigten Informationen unter den Anwendungsbereich des Hinweisgeberschutzgesetz fallen. Um die Datenschutzgrundsätze zu wahren, darf die Identität der betroffenen Personen ausschließlich zuständigen Stellen und anderweitig beteiligten Personen bekannt sein. Wichtige Ausnahmen sind in § 9 HinSchG geregelt. Die Identität eines Hinweisgebenden, der vorsätzlich oder grob fahrlässig falsche Informationen meldet, ist nach § 9 Abs. 1 HinSchG nicht geschützt. Außerdem zulässig, ist die Weitergabe von Informationen über die Identität einer hinweisgebenden Person, wenn dies gesetzlich vorgeschrieben ist. Das kann beispielsweise aufgrund einer Anforderung von Strafverfolgungsbehörden, Verwaltungsanordnungen oder Gerichtsbeschlüssen der Fall sein (§ 9 Abs. 2 HinSchG). Weitere Möglichkeiten zur begrenzten Weitergabe oder Offenlegung der Identität des Hinweisgebers sind in § 9 Abs. 3 und 4 HinSchG geregelt. Vor einer möglichen Weitergabe oder Offenlegung sollten Unternehmen stets genau prüfen, ob einer dieser Ausnahmetatbestände greift, um nicht die Sanktionsvorschrift des § 40 Abs. 3 HinSchG auszulösen und ein Bußgeld nach Hinweisgeberschutzgesetz zu riskieren.
Fazit zum Hinweisgeberschutzgesetz (HinschG)
Es ist wichtig, dass Unternehmen nun schnellstmöglich die gesetzlichen Anforderungen zur Implementierung eines Meldesystems gemäß dem Hinweisgeberschutzgesetz umsetzen. Ziel des Hinweisgeberschutzgesetzes ist es, Whistleblower zu schützen, die Transparenz in Unternehmen zu fördern und klare Richtlinien für die Einrichtung und den Betrieb interner Meldestellen festzulegen. Wir helfen Ihnen dabei insbesondere die datenschutzrechtlichen Anforderungen an den Betrieb von Meldesystemen sowie die Umsetzung der Vorgaben des HinSchG zu erfüllen. Sie haben Fragen zum Hinweisgeberschutzgesetz? Als Anwalt für HinSchG beraten wir Sie gerne:
