Der bundesdeutsche Gesetzgeber bezieht neben Verstöße gegen das EU-Recht auch das nationale Recht mit ein:

• Verstöße gegen Strafvorschriften (jede Strafnorm nach deutschem Recht);
• Verstöße, die bußgeldbewehrt sind, soweit die Norm dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient, z.B. Vorschriften aus den Bereichen des Arbeits- und Gesundheitsschutzes, Verstöße gegen das Mindestlohngesetz oder Bußgeldvorschriften, die Verstöße gegen Aufklärungs- und Auskunftspflichten gegenüber Organen der Betriebsverfassung wie Betriebsräten sanktionieren;
• Alle Verstöße gegen Rechtsvorschriften des Bundes und der Länder sowie gegen unmittelbar geltende EU-Rechtsakte in einer Vielzahl von Bereichen, etwa: Regelungen zur Bekämpfung der Geldwäsche, Vorgaben zur Verkehrssicherheit und Beförderung gefährlicher Güter, Vorgaben zum Umwelt- und Strahlenschutz, zur Lebensmittel- und Fleischmittelsicherheit, Qualitäts- und Sicherheitsstandards bei Arzneimitteln und Medizinprodukten, Vorgaben des Verbraucher- und Datenschutzes und der Sicherheit in der Informationstechnik, Vergaberecht, Regelungen zur Rechnungslegung bei Kapitalgesellschaften, Regelungen im Bereich des Wettbewerbsrechts etc.

Wichtig: Es fallen Verstöße nur dann in den Anwendungsbereich, wenn sie sich auf den Beschäftigungs-/Arbeitgeber oder eine andere Stelle beziehen, mit der die hinweisgebende Person selbst in beruflichem Kontakt stand oder steht.

Hinweisgeber sind Personen, die Informationen über Verstöße melden oder offenlegen. Der persönliche Anwendungsbereich soll weit gefasst sein und umfasst alle Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben, insbesondere:

• Arbeitnehmer, auch Arbeitnehmer, deren Arbeitsverhältnis bereits beendet ist, Stellenbewerber, Praktikanten, Leiharbeitnehmer
• Selbstständige, die Dienstleistungen erbringen, Freiberufler, Auftragnehmer, Unterauftragnehmer, Lieferanten und deren Mitarbeiter
• Anteilseigner und Personen in Leitungsgremien

Die zur Einrichtung verpflichteten Unternehmen können selbst entscheiden, ob das Meldeverfahren darüber hinaus auch außenstehenden Personen, die im Kontakt zum Unternehmen stehen, offenstehen soll.

Damit überhaupt Verstöße gegen z.B. den Datenschutz gemeldet werden können, müssen externe und interne Meldestellen eingerichtet werden:

Die externen Meldestellen werden von der öffentlichen Hand eingerichtet, u.a. beim Bundesamt für Justiz (BfJ), der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sowie beim Bundeskartellamt.

Die internen Meldestellen müssen von jedem Unternehmen mit mindestens 50 Beschäftigten selbst eingerichtet werden und bestimmten Anforderungen entsprechen.

Hinweisgeber sollen in den Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten, die Meldung an eine interne Meldestelle bevorzugen. Grundsätzlich aber haben sie die freie Wahl, an welche Meldestelle sie sich wenden. Wendet sich die hinweisgebende Person jedoch an die Öffentlichkeit, ist sie nur dann durch das Hinweisgeberschutzgesetz geschützt, wenn sie sich zuvor erfolglos an eine externe Meldestelle gewendet hat oder Gefahr für die Allgemeinheit droht.

Der Gesetzgeber hat unterschiedliche Fristen zur Einrichtung des internen Meldekanals in Unternehmen beschlossen:

• Unternehmen mit mindestens 250 Beschäftigten: Bis 2. Juli 2023
• Unternehmen mit 50 bis 249 Beschäftigten: Bis zum 17. Dezember 2023

Die Nichteinführung bzw. der Nichtbetrieb ist bußgeldbewährt: Geldbuße in Höhe bis zu 20.000 Euro sind ab dem 2.12.2023 möglich.

Unternehmen müssen nun zeitnah interne Meldekanäle einrichten, um Hinweisgebern Meldungen unter Wahrung der Vertraulichkeit zu ermöglichen.

Hinweisgebern dürfen durch ihren Hinweis auf Missstände in Unternehmen keine Benachteiligungen drohen. Verboten sind daher insbesondere Suspendierung, Kündigung, Herabstufung oder Versagung von Beförderung, Nötigung, Einschüchterung, Mobbing oder Aussetzung, aber auch Nichtverlängerung befristeter Arbeitsverträge, Rufschädigung, Entzug einer Lizenz oder Genehmigung, negative Leistungsbeurteilung etc.. Bei einem Verstoß gegen dieses Repressalienverbot ist der hinweisgebenden Person der daraus entstehende Schaden zu ersetzen.

Das HinSchG enthält ergänzend eine Beweislastumkehr zugunsten der geschützten Person: Bisher musste der Arbeitnehmer bzw. der Hinweisgeber den Zusammenhang zwischen Meldung und Benachteiligung im Streitfall nachweisen. Künftig muss der Arbeitgeber / das Unternehmen den (abweichenden) Grund für eine vermeintliche Benachteiligung darlegen und ggf. beweisen, wenn die Benachteiligung zeitlich nach der Meldung erfolgt.

Vor diesem Hintergrund sollten Personalverantwortliche künftig die Gründe für arbeitsrechtliche Maßnahmen sorgfältig dokumentieren.

Um diesen Schutz zu genießen, muss der Hinweis zutreffend sein und muss Verstöße betreffen, die in den Anwendungsbereich des HinSchG fallen. Ausreichend ist, wenn der Hinweisgeber zum Zeitpunkt der Meldung oder Offenlegung hinreichenden Grund zu solcher Annahme hatte.

Ein Schutz für Hinweisgeber besteht nicht, wenn es sich um eine vorsätzliche oder grob fahrlässige Falschmeldung von ihm handelt. In solchen Fällen ist der bösgläubige Hinweisgeber sogar zum Ersatz des dadurch entstehenden Schadens verpflichtet.

Die internen Meldekanäle müssen Meldungen in mündlicher oder in Textform sowie auf Wunsch in persönlicher Weise ermöglichen:

• Meldekanäle, die Meldungen in Textform ermöglichen, können sein: IT-gestütztes Hinweisgebersystem wie etwa eine Plattform im Internet/ Intranet oder eine eigens für die Entgegennahme und Bearbeitung von Hinweisen eingerichtete E-Mail-Adresse (Achtung: keine Zugriffsmöglichkeit der IT); Meldekanäle, die Meldungen ausschließlich in Schriftform ermöglichen (z.B. ein Beschwerde-Briefkasten oder Meldungen über den Postweg) dürften nicht ausreichen;
• Mündliche Meldekanäle können sein: Whistleblower-Hotline, Anrufbeantwortersystem
• Auf Wunsch des Hinweisgebers soll es auch möglich sein, innerhalb eines angemessenen Zeitraums Hinweise in einem persönlichen Treffen oder auch in einer Videokonferenz zu besprechen.
• Die internen Meldekanäle müssen keine Abgabe anonymer Meldungen ermöglichen. Erhält eine interne Meldestelle jedoch eine anonym eingehende Meldung, soll sie sie bearbeiten.

Die internen Meldekanäle müssen so konzipiert sein, dass die Vertraulichkeit der Integrität des Hinweisgebers und Dritter, die in der Meldung erwähnt werden, gewahrt bleibt und nicht befugten Mitarbeitern der Zugriff darauf verwehrt wird.

1. Interne Meldestellen-Beauftragte

• Innerhalb des Unternehmens können eine oder mehrere Beschäftigte beauftragt werden, die Meldungen entgegenzunehmen, dem Hinweisgeber innerhalb der 7-Tage-Frist den Eingang der Meldung zu bestätigen, die Meldung zu prüfen, entsprechende Folgemaßnahmen in die Wege zu leiten und den Hinweisgeber innerhalb von 3 Monaten über ergriffene Folgemaßnahmen zu informieren.
• Diese Personen müssen die notwendige Fachkunde haben und geschult werden. Sie können zum Beispiel Compliance-Leiter, Legal Councel, Datenschutzbeauftragter, Finanzdirektor, Auditverantwortlicher sein;
• Neben ihrer Tätigkeit für die interne Meldestelle können dieser Personen andere Aufgaben und Pflichten wahrnehmen. Wichtig ist aber, sicherzustellen, dass derartige Aufgaben und Pflichten nicht zu Interessenskonflikten führen und die Personen unabhängig handeln können.

2. Dritte als interne Meldestelle

Die Entgegennahme und Bearbeitung von Hinweisen kann auch auf externe Anbieter von Meldeplattformen bzw. auf Ombudspersonen (etwa Rechtsanwälten) ausgelagert werden, sofern diese entsprechende Garantien für die Wahrung der Unabhängigkeit und Vertraulichkeit, des Datenschutzes und der Geheimhaltung bieten.

Folgemaßnahmen können z.B. sein

• Einleitung interner Nachforschungen
• Mögliche Maßnahmen zur Behebung des Problems
• Abschluss des Verfahrens aufgrund mangelnder Beweise oder anderer Gründe
• Befassung einer zuständigen Behörde

• Alle eingehenden Meldungen müssen im Einklang mit den Vertraulichkeitspflichten dokumentiert werden, so, dass sie als Beweismittel verwendet werden können.
• Aufbewahrungsfrist: Löschung nach 3 Jahren, ggf. auch längere Aufbewahrung möglich, wenn Anforderungen nach dem HinSchG oder nach anderen Rechtsvorschriften zu erfüllen sind

Unternehmen müssen ihren Beschäftigten Informationen über den internen Meldeprozess und über alternative externe Meldeverfahren in einfacher Form und leicht zugänglich bereitstellen, z.B. über die Unternehmens-Website, im Intranet oder am Schwarzen Brett.

Alle personenbezogenen Daten, sowohl die des Hinweisgebers als auch etwaiger beschuldigter Personen, müssen im Einklang mit der EU-Datenschutzgrundverordnung sowie des Bundesdatenschutzgesetzes verarbeitet werden.