Hinweisgeberschutzgesetz: Auch für den Datenschutz relevant

Das Hinweisgeberschutzgesetz (HinSchG) ist am 02.07.2023 in Kraft getreten. Dieses Gesetz dient der Umsetzung der Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23. Oktober 2019.   

Ziel dieses Gesetzes

• Die Einrichtung von sicheren Meldesystemen, um Beschäftigten die Möglichkeit zu geben, an geeigneter Stelle Hinweise auf Missstände zu geben, die diese im Zusammenhang mit ihrer beruflichen Tätigkeit wahrgenommen haben.
• Dem Arbeitgeber die Möglichkeit zu geben durch frühzeitiges Einschreiten die Missstände unternehmensintern aufzuarbeiten und zu unterbinden.
• Schutz der hinweisgebenden Personen vor Nachteilen bzw. Repressalien (z.B. Kündigung, Versagung einer Beförderung, negative Leistungsbeurteilung, Nötigung etc.)

Nicht jede Meldung ist vom HinSchG umfasst. Gemäß § 2 HinSchG kommen insbesondere straf- oder bußgeldbewerte Verstöße des Arbeitgebers gegen EU-Recht oder nationale Rechtsvorschriften in Betracht. Meldefähig sind damit Straftaten oder Ordnungswidrigkeiten, wenn die verletzte Norm dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient.

Gilt das Gesetz für alle Unternehmen?

Nein, nicht für alle Unternehmen gilt dieses Gesetz.

• Ab dem 02.07.2023 sind nur Unternehmen ab 250 Beschäftigten verpflichtet ein Hinweisgebersystem, das heißt interne Meldestellen, einzurichten.
• Unternehmen zwischen 50 und 249 Beschäftigten haben noch eine Schonfrist und müssen das Hinweisgebersystem erst zum 17.12.2023 umgesetzt haben.
• Unternehmen mit weniger als 50 Mitarbeiter haben keine Verpflichtung Meldestellen einzurichten.
• Eine Ausnahme gilt nach § 12 Abs.3 HinSchG: Hiernach müssen bestimmte Unternehmen unabhängig von der Zahl der Beschäftigten eine Stelle für interne Meldungen einrichten. Hierzu zählen u.a. Kreditinstitute.
• Eine weitere Ausnahme gilt für Regierungen und den öffentlichen Dienst. Auch hier müssen Meldestellen unabhängig der Beschäftigtenanzahl eingerichtet werden.

In Einzelfällen ist es Unternehmen nach § 14 Abs. HinSchG erlaubt, Ressourcen zu teilen und mit anderen Unternehmen eine gemeinsame Meldestelle zu betreiben.

Grundsätzlich kann es sich bei den Beschäftigungsgebern um juristische Personen des Privatrechts (z.B. AG, GbR, eingetragener Verein etc.) oder des öffentlichen Rechts, rechtsfähige Personengesellschaften, öffentlich-rechtliche Stiftungen oder Kirchen mit ihren Kirchengemeinden handeln.

Was gilt es bei der Einrichtung der Meldestelle zu beachten?

• Hinweisgebende Personen müssen die Möglichkeit erhalten, Hinweise mündlich, schriftlich oder auch durch eine persönliche Meldung abgeben zu können.
• Auch die Einrichtung einer anonymen Meldefunktion wird empfohlen.
• Unternehmen müssen innerhalb von 7 Tagen den Eingang der Meldung bestätigen und innerhalb von 3 Monaten Rückmeldung über die weiteren Maßnahmen geben.
• Priorität hat der wirksame Schutz der Identität der hinweisgebenden und sämtlicher von einer Meldung betroffenen Personen.
• Die Beschäftigten müssen über die Existenz einer Meldestelle, sowie darüber wie über diese Meldungen eingereicht werden können, informiert werden.  

Gemäß § 7 HinSchG haben Personen, die beabsichtigen einen Verstoß zu melden, die Möglichkeit, sich an interne oder externe Meldestellen (eingerichtet beim Bundesamt für Justiz) zu wenden.

Verstöße gegen die wesentlichen Vorgaben des HinSchG sollen ab dem 01.12.2023 als Ordnungswidrigkeiten mit einer Geldbuße bis zu 50.000 € geahndet werden können. Dies gilt beispielsweise für das Behindern von Meldungen oder das Ergreifen von Repressalien, aber auch das wissentliche Offenlegen unrichtiger Informationen.

Hierbei ist zu beachten, dass es eine Beweislastumkehr zum Schutz der hinweisgebenden Person gibt. Dies bedeutet: wird die hinweisgebende Person im Zusammenhang mit ihrer beruflichen Tätigkeit benachteiligt, wird vermutet, dass diese Benachteiligung eine Repressalie ist. Der Arbeitgeber hat das Gegenteil nachzuweisen. Kann der Nachweis nicht geführt werden, stehen Schadensersatzansprüche im Raum.

Datenschutz

Bei einer Meldung werden sowohl personenbezogene Daten des Hinweisgebers als auch der beschuldigten Personen verarbeitet. Die Verarbeitung muss daher entsprechend der geltenden Datenschutzvorschriften des DSGVO, sowie des BDSG erfolgen.

Es müssen daher folgende datenschutzrechtliche Aspekte berücksichtigt werden:

• TOMs: Durch geeignete technische und organisatorische Maßnahmen ist eine sichere Datenverarbeitung zu gewährleisten.
• Verarbeitungsverzeichnis: Der Prozess über den internen Meldekanal muss im Verarbeitungsverzeichnis aufgenommen werden (insbesondere auch die Festlegung entsprechender Aufbewahrungs- und Löschfristen)
• Datenschutz-Folgeabschätzung:  Es ist zu prüfen, ob eine Datenschutz-Folgeabschätzung durchgeführt werden muss.
• Datenschutzerklärung: Die Datenschutzerklärung des Unternehmens muss entsprechend angepasst werden.
• Auftragsverarbeitungsverträge: Mit externen Anbietern einer Meldestelle ist ein Auftragsverarbeitungsvertrag abzuschließen.

Fazit

• Für Unternehmen ab 250 Beschäftigten: Die Frist zur Einrichtung des Meldesystems war der 02.07.2023!
• Für Unternehmen zwischen 50 und 249 Beschäftigten gilt daher: Warten Sie nicht bis zum 17.12.2023!

Nicht nur die Einrichtung eines sicheren Meldesystems erfordert seitens des Unternehmens einen organisatorischen und personellen Aufwand. Man sollte auch nicht vergessen, an anderen Stellen im Unternehmen die entsprechenden Anpassungen, wie z.B. im Datenschutz, vorzunehmen.  

Sie haben Fragen zu diesem Thema? Dann melden Sie sich gerne in unserer Kanzlei und vereinbaren Sie einen Termin. Wir unterstützen Sie gerne. 

_{Foto(s): Adobe Stock - nmann77}