Hinweisgeberschutz tritt am 2. Juli 2023 in Kraft
Das neue Gesetz bringt viel Arbeit für den Datenschutz
Mit rund eineinhalb Jahren Verspätung tritt das Hinweisgeberschutzgesetz (HinSchG) nun am 2. Juli 2023 in Kraft. Das Bundesgesetzblatt (siehe Teil I 2023 Nr. 140) hat das Hinweisgeberschutzgesetz am heutigen Freitag verkündet. Der Anwendungsbereich des Gesetzes geht weit über die Vorgaben der EU-Richtlinie hinaus und umfasst neben Arbeiternehmern, Beamten, Anteilseignern, Beschäftigten von Lieferanten auch Personen, die bereits vor dem Beginn eines Arbeitsverhältnisses Kenntnisse von Verstößen erlangt haben.
Einrichten einer internen Meldestelle ab 50 Beschäftigten
Gemäß HinSchG müssen grundsätzliche alle Unternehmen mit mindestens 50 Beschäftigten eine interne Meldestelle einrichten. Als externe Meldestelle soll grundsätzlich das Bundesamt für Justiz dienen, für einige Bereiche sind spezielle Meldestellen vorgesehen.
Unternehmen mit in der Regel 50 bis 249 Beschäftigten müssen die vom Gesetz vorgeschriebenen internen Meldestellen spätestens ab dem 17. Dezember 2023 voll funktionsfähig eingerichtet haben und gesetzeskonform betreiben.
Aus Sicht der DS-GVO handelt es sich bei den durch die internen Meldestellen zu verarbeitenden personenbezogenen Daten durchweg um sehr sensible Informationen und es sind umfangreiche Verschwiegenheits- und Geheimhaltungspflichten zu beachten.
Bestimmte Unternehmen aus den Bereichen Finanzen und Versicherungen wie Wertpapierdienstleistungsunternehmen, Kapitalverwaltungsgesellschaften, Institute im Sinne des § 1 Absatz 1b des Kreditwesengesetzes und Unternehmen gemäß § 1 Absatz 1 des Versicherungsaufsichtsgesetzes müssen unabhängig von der Beschäftigenzahl immer eine interne Meldestelle einrichten.
Änderungen durch Vermittlungsausschuss sind eher marginal
Der Vermittlungsausschuss einigte sich darauf, auf die ursprünglich vorgesehene Pflicht zur Einrichtung anonymer Meldekanäle für die anonyme Entgegennahme von Hinweisen zu verzichten. Gleichwohl sollen aber anonym eingehende Meldungen nach wie vor durch die jeweiligen Meldestellen bearbeitet werden. Dies bedeutet, dass anonyme Meldungen weiterhin möglich sind, das Unternehmen muss lediglich keine besonderen technischen Maßnahmen bereitstellen, die einen anonymen Meldekanal für die Kommunikation Übertragung der Meldung ermöglichen.
Einbindung von OwiG ermöglicht Bußgelder von 500.000,– €
Die maximale Höhe der im HinSchG angedrohten Bußgelder wurde im Vermittlungsausschuss zwar von 100.000,– Euro auf 50.000,– Euro reduziert, da im § 40 Abs. (6 ) S. 2 HinSchG („Bußgeldvorschriften“) aber die Anwendung von § 30 Abs. (2) S. 3 des Gesetzes über Ordnungswidrigkeiten (OWiG) bestimmt ist, bedeutet dies für bestimmte Verstöße (z. B. durch die Behinderung einer Meldung, durch Repressalien gegen den Hinweisgeber, durch die Verletzung der Vertraulichkeit), dass das Bußgeld sich auf das zehnfache des im HinSchG angedrohten Höchstmaßes – in den genannten Fällen sind dies 500.000 Euro – erhöht (im § 30 Abs. (2) S. 3 OWiG steht (auszugsweise) wörtlich „Verweist das Gesetz auf diese Vorschrift, so verzehnfacht sich das Höchstmaß der Geldbuße … für die im Gesetz bezeichneten Tatbestände.“)
Der Hinweisgeber hat Schadenersatzanspruch
Der Schadenersatzanspruch des Hinweisgebers nach Repressalien klammert nun zwar immaterielle Ansprüche aus, verpflichtet das Unternehmen aber weiterhin zu einem materiellen Schadenersatz
Hier ein Ausschnitt aus den umfassten Bereichen
Die nachfolgende Auflistung ist ein Ausschnitt aus den umfassten Bereichen, in denen Hinweisgeber für ihre Meldung und Offenlegung von Informationen über Verstöße durch das Gesetz geschützt sind (im § 2 Abs. (1) HinSchG finden sich alle Schutzbereiche):
- Informationen über Verstöße, die bußgeldbewehrt sind, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit dient
Betriebliche Relevanz für die Bereiche: Arbeitsschutz, Arbeitssicherheit, Gesundheitsvorsorge, Gewerbeordnung, Brandschutz, ..) - Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane
Betriebliche Relevanz für die Bereiche: Arbeitgeber, Personal, Arbeitsrecht, Betriebsrat - Schutz personenbezogener Daten im Anwendungsbereich der DS-GVO
Betriebliche Relevanz für alle Bereiche im Unternehmen, welche eine Verarbeitung personenbezogener Daten durchführen (zum Beispiel Geschäftsleitung, Abteilungsleitung, Personalabteilung, Buchhaltung) - Schutz der Privatsphäre in der elektronischen Kommunikation („TTDSG“) zum Schutz der Vertraulichkeit der Kommunikation, zum Schutz personenbezogener Daten im Bereich der elektronischen Kommunikation, zum Schutz der Privatsphäre der Endeinrichtungen von Nutzern und von in diesen Endeinrichtungen gespeicherten Informationen.
Betriebliche Relevanz für alle Bereiche im Unternehmen, die Telemedien für ihre Tätigkeiten verwenden oder betreiben (zum Beispiel Online-Shop, E-Mail, Bewerber-Portal, News-Letter, cloudbasierte B2B- und B2C-Anwendungen). - Vorgaben zur Produktsicherheit und -konformität
- Vorgaben zum Umweltschutz
- Verstöße gegen geltende steuerliche Rechtsnormen
- Bekämpfung von Geldwäsche und Terrorismusfinanzierung
- sonstige Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie unmittelbar geltende Rechtsakte der Europäischen Union.
Hinweisgebende Person kann die Meldestelle wählen
Die hinweisgebende Person kann gemäß § 7 HinSchG wählen, ob sie sich an eine interne Meldestelle oder an eine externe Meldestelle wendet. Das Gesetz gibt den Hinweisgebern lediglich auf, in den Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten, die Meldung an eine interne Meldestelle zu bevorzugen.
Wird einem intern gemeldeten Verstoß nicht abgeholfen, bleibt es der hinweisgebenden Person unbenommen, sich an eine externe Meldestelle zu wenden und sich unter bestimmten Umständen sogar direkt an die Öffentlichkeit zu wenden.
Die Identität der hinweisgebenden Person ist in beiden Fällen grundsätzlich vertraulich zu behandeln.
Als externe Meldestelle soll grundsätzlich das Bundesamt für Justiz dienen, für einige Bereiche sind spezielle Meldestellen vorgesehen. Die einzelnen Bundesländer werden die Regelungen für ihre Meldestellen in einer eigenen Landesgesetzgebung festlegen.
Meldungen laut Gesetz auch weiterhin anonym möglich
Gemäß § 16 HinSchG sollen interne Meldestellen auch anonym eingehende Meldungen bearbeiten. Es besteht allerdings keine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen.
Gemäß § 13 HinSchG sind die internen Meldestellen dazu verpflichtet, für Beschäftigte klare und leicht zugängliche Informationen über externe Meldeverfahren und einschlägige Meldeverfahren von Organen, Einrichtungen oder sonstigen Stellen der Europäischen Union bereitzustellen!
Striktes Vertraulichkeitsgebot der Meldestellen (§ 8 HinSchG)
Die Meldestellen haben die Vertraulichkeit der Identität der hinweisgebenden Person sowie der Personen, die Gegenstand einer Meldung sind, sowie sonstige in der Meldung genannte Personen zu wahren.
Verbot von Repressalien, Beweislastumkehr, Schadenersatz
Erleidet eine hinweisgebende Person nach einer Meldung oder Offenlegung eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit, so wird vermutet, dass diese Benachteiligung eine Repressalie ist. In diesem Fall hat die Person, die die hinweisgebende Person benachteiligt hat, zu beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen basierte oder dass sie nicht auf der Meldung oder Offenlegung beruhte.
Bei einem Verstoß gegen das Verbot von Repressalien ist der Verursacher verpflichtet, der hinweisgebenden Person den daraus entstehenden materiellen Schaden zu ersetzen!