Schon Goethe wusste, „Gut ist der Vorsatz, aber die Erfüllung ist schwer“. Daran scheint sich im Laufe der Jahrhunderte nichts geändert zu haben. Laut Statista (Statista-Umfrage 2019) bricht nur jeder Fünfte seine guten Vorsätze für das nächste Jahr nicht. Bei der großen Mehrheit halten die guten Vorsätze nur wenige Stunden (3 Prozent der Befragten) bis – immerhin – zwei Monate (27 Prozent der Befragten). Ernüchternde Zahlen. Dass die „Aufschieberitis“ kein rein privates Phänomen ist, zeigt die Umsetzung der EU-Whistleblower-Richtline durch den deutschen Gesetzgeber. Mit über einem Jahr Verspätung steht die Umsetzung nun auf der Agenda des Gesetzgebers und die Anforderungen des Hinweisgeberschutzgesetzes (HinSchG) werden voraussichtlich im Frühsommer diesen Jahres für Unternehmen ab 250 Mitarbeitern verpflichtend sein. Unternehmen ab 50 Mitarbeitern haben aber auch lediglich bis Ende des Jahres Zeit für die Umsetzung.
Das Gesetz wurde am 16. Dezember vom Bundestag verabschiedet und wird vermutlich am 10. Februar auch vom Bundesrat bestätigt. Danach läuft die Frist von drei Monaten zur Umsetzung. Mit dem Ende der Frist muss nicht die Einrichtung der internen Meldestelle beginnen, sondern sie muss eingerichtet und in Betrieb sein.
Auch wenn sich das Inkrafttreten des HinSchG noch ein wenig hinzieht, sollten Unternehmen sich schon jetzt mit den Anforderungen auseinandersetzen. Entgegen vieler Anzeigen für IT gestützte Hinweisgeberschutzsysteme erfordert die Umsetzung mehr als die Einrichtung der Kommunikationskanäle. In mitbestimmten Unternehmen ist aber auch hier ein Vorlauf erforderlich. Der Betriebsrat ist einzubinden und ggf. muss eine Betriebsvereinbarung geschlossen werden.
Aber auch ohne Betriebsrat müssen zahlreiche personelle und organisatorische Punkte beachtet werden. So muss ein bestehender Verhaltenskodex angepasst oder noch geschrieben werden. Das HinSchG legt großen Wert auf die Vertraulichkeit und den Schutz der Identität des Hinweisgebers. Daher sollte über ein Berechtigungskonzept sichergestellt werden, dass nur die mit der Meldestelle betrauten Mitarbeiter Zugriff auf die Daten haben.
Die Auswahl dieser Mitarbeiter sollte weiterhin wohl durchdacht sein. Gemäß Gesetz sollen sie unabhängig und frei von Interessenskonflikten sein. Zudem gilt es die arbeitsrechtlichen Risiken im Blick zu haben. Diese ergeben sich insbesondere aus dem Verbot von Repressalien gegen Hinweisgeber und der damit verbundenen Beweislastumkehr. Unternehmen müssen nachweisen, dass Hinweis und arbeitsrechtliche Maßnahme vollkommen getrennt voneinander betrachtet wurden. Die vermeintlich naheliegendste Ansiedlung der Meldestelle in der Personalabteilung macht daher oft weniger Sinn.
Wenn die Mitarbeiter gefunden sind, müssen diese voraussichtlich noch geschult werden. Das Gesetz fordert hierzu explizit die notwendige Fachkunde. Neben der Kenntnis der Anforderungen des Gesetzes, sollten hier neben den DSGVO Grundsätzen auch das allgemeine Compliance und juristische Verständnis relevant sein. Zur Durchführung bieten sich hier zum Beispiel externe Dienstleister / Zertifizierer an.
Zuletzt nicht zu vernachlässigen ist die durchgängige Kommunikation der Einrichtung und des Zwecks der internen Meldestelle in der Belegschaft. Hierzu empfiehlt es sich zunächst Gedanken zur Mitarbeiterstruktur und deren Zugang zu Unternehmensinformationen (z.B. Intranet, schwarzes Brett) zu machen, um eine zielgruppenadäquate Ansprache sicherzustellen. Ein wesentliches Instrument sollte weiterhin immer der „Tone from the top“, also die Kommunikation der Unternehmensleitung sein. Diese sollte den Mitarbeitern insbesondere das Vertrauen in die interne Meldestelle geben und so sicherstellen, dass sie bei einem Verdacht auf einen Gesetzesverstoß die interne der externen Meldestelle vorziehen. So wird der Hinweisgeberschutz dann auch zum Unternehmensschutz, da der Sachverhalt aufgeklärt werden kann, ohne dass zum Beispiel ein Reputationsschaden bereits eingetreten ist.
Hilfe bzw. Erledigung vieler der vorgenannten erforderlichen Maßnahmen bietet die externe Vergabe der internen Meldestelle. Hier erlaubt der Gesetzgeber explizit die Betrauung eines Dritten. Aufgrund ihrer Fachkunde und rechtlichen Standes eignen sich hier insbesondere Rechtsanwaltskanzleien als Betreiber der internen Meldestelle.
Das Gesetz wurde am 16. Dezember vom Bundestag verabschiedet und wird vermutlich am 10. Februar auch vom Bundesrat bestätigt. Danach läuft die Frist von drei Monaten zur Umsetzung. Mit dem Ende der Frist muss nicht die Einrichtung der internen Meldestelle beginnen, sondern sie muss eingerichtet und in Betrieb sein.
Auch wenn sich das Inkrafttreten des HinSchG noch ein wenig hinzieht, sollten Unternehmen sich schon jetzt mit den Anforderungen auseinandersetzen. Entgegen vieler Anzeigen für IT gestützte Hinweisgeberschutzsysteme erfordert die Umsetzung mehr als die Einrichtung der Kommunikationskanäle. In mitbestimmten Unternehmen ist aber auch hier ein Vorlauf erforderlich. Der Betriebsrat ist einzubinden und ggf. muss eine Betriebsvereinbarung geschlossen werden.
Aber auch ohne Betriebsrat müssen zahlreiche personelle und organisatorische Punkte beachtet werden. So muss ein bestehender Verhaltenskodex angepasst oder noch geschrieben werden. Das HinSchG legt großen Wert auf die Vertraulichkeit und den Schutz der Identität des Hinweisgebers. Daher sollte über ein Berechtigungskonzept sichergestellt werden, dass nur die mit der Meldestelle betrauten Mitarbeiter Zugriff auf die Daten haben.
Die Auswahl dieser Mitarbeiter sollte weiterhin wohl durchdacht sein. Gemäß Gesetz sollen sie unabhängig und frei von Interessenskonflikten sein. Zudem gilt es die arbeitsrechtlichen Risiken im Blick zu haben. Diese ergeben sich insbesondere aus dem Verbot von Repressalien gegen Hinweisgeber und der damit verbundenen Beweislastumkehr. Unternehmen müssen nachweisen, dass Hinweis und arbeitsrechtliche Maßnahme vollkommen getrennt voneinander betrachtet wurden. Die vermeintlich naheliegendste Ansiedlung der Meldestelle in der Personalabteilung macht daher oft weniger Sinn.
Wenn die Mitarbeiter gefunden sind, müssen diese voraussichtlich noch geschult werden. Das Gesetz fordert hierzu explizit die notwendige Fachkunde. Neben der Kenntnis der Anforderungen des Gesetzes, sollten hier neben den DSGVO Grundsätzen auch das allgemeine Compliance und juristische Verständnis relevant sein. Zur Durchführung bieten sich hier zum Beispiel externe Dienstleister / Zertifizierer an.
Zuletzt nicht zu vernachlässigen ist die durchgängige Kommunikation der Einrichtung und des Zwecks der internen Meldestelle in der Belegschaft. Hierzu empfiehlt es sich zunächst Gedanken zur Mitarbeiterstruktur und deren Zugang zu Unternehmensinformationen (z.B. Intranet, schwarzes Brett) zu machen, um eine zielgruppenadäquate Ansprache sicherzustellen. Ein wesentliches Instrument sollte weiterhin immer der „Tone from the top“, also die Kommunikation der Unternehmensleitung sein. Diese sollte den Mitarbeitern insbesondere das Vertrauen in die interne Meldestelle geben und so sicherstellen, dass sie bei einem Verdacht auf einen Gesetzesverstoß die interne der externen Meldestelle vorziehen. So wird der Hinweisgeberschutz dann auch zum Unternehmensschutz, da der Sachverhalt aufgeklärt werden kann, ohne dass zum Beispiel ein Reputationsschaden bereits eingetreten ist.
Hilfe bzw. Erledigung vieler der vorgenannten erforderlichen Maßnahmen bietet die externe Vergabe der internen Meldestelle. Hier erlaubt der Gesetzgeber explizit die Betrauung eines Dritten. Aufgrund ihrer Fachkunde und rechtlichen Standes eignen sich hier insbesondere Rechtsanwaltskanzleien als Betreiber der internen Meldestelle.
