Das Hinweisgeberschutzgesetz ist die Umsetzung der sogenannten EU-Whistleblower-Richtlinie in deutsches Recht. Für Unternehmen ab 250 Mitarbeitenden gilt die Pflicht zur Einrichtung eines internen Meldesystems mit Inkrafttreten des Gesetzes. Unternehmen zwischen 50 und 249 Mitarbeitenden wurde eine Übergangsfrist bis zum 17.12.2023 eingeräumt. 

Das HinSchG hat den Zweck, Hinweisgeber (Whistleblower) vor etwaigen Repressalien aufgrund ihrer Meldung zu schützen.
Fürchteten Mitarbeitende bisher negative Konsequenzen durch ihre Meldung, so gilt mit dem Hinweisgeberschutzgesetz künftig die Beweislastumkehr.
Das bedeutet: Kommt es zu einer Benachteiligung eines Hinweisgebers, so muss das betreffende Unternehmen nachweisen, dass diese nicht in Zusammenhang mit der Meldung steht.

Das Hinweisgeberschutzgesetz soll also Hinweisgeber schützen und Mitarbeitende zu einer Meldung von Problemen und Missständen ermutigen.

Unternehmen mit mehr als 50 Mitarbeitenden sowie Behörden, öffentliche Einrichtungen und Kommunen mit mehr als 10.000 Einwohnern sind zur Einrichtung einer internen Meldestelle verpflichtet, über die Beschwerden und Rechtsverstöße, die das Unternehmen oder Behörden betreffen, gemeldet werden können. Für bestimmte Branchen, z. B. Wertpapierdienstleistungen oder Versicherungen, muss eine interne Meldestelle unabhängig der Mitarbeiterzahl eingerichtet werden.

Weiter gibt es noch externe Meldestellen, darunter das Bundesamt für Justiz. Hinweisgeber können frei wählen, ob sie sich an die interne oder an eine externe Meldestelle wenden. Der Hinweisgeberschutz greift auch dann, wenn Hinweisgeber sich für den Gang an die Öffentlichkeit entscheiden. Unternehmen sind jedoch dazu angehalten Anreize für eine interne Meldung zu schaffen.

Missachten Unternehmen das HinSchG, so drohen Bußgelder bis zu 50.000 EUR. Das Versäumnis eine interne Meldestelle einzurichten wird mit einem Bußgeld bis zu 20.000 EUR geahndet.

Gleichermaßen müssen Hinweisgeber bei vorsätzlichen oder grob fahrlässigen Falschmeldungen für den Schaden aufkommen.  

Die personenbezogenen Daten von Hinweisgebern und Beteiligten müssen geschützt und DSGVO-konform gespeichert werden. Die Implementierung einer Funktion zur anonymen Meldung ist zwar gesetzlich nicht mehr vorgeschrieben, wird jedoch empfohlen.

Laut dem Gesetzesentwurf darf die Identität von Hinweisgebern und gemeldeten Personen nur dem Hinweisempfänger bekannt sein. Diese dürfen nur in absoluten Ausnahmefällen bspw. bei strafrechtlicher Verfolgung herausgegeben werden.

Die für die Bearbeitung der Meldungen verantwortliche Person muss daher entsprechend geschult werden. Sie muss sowohl mit den jeweiligen Systemen als auch mit den datenschutzrechtlichen Gegebenheiten vertraut sein.

Im Gesetzesentwurf wird zwar nicht definiert, welche Personen sich am besten als Hinweisempfänger eignen,  allerdings müssen die internen Meldestellen Unabhängigkeit wahren und frei von Interessenskonflikten sein. 

In der EU-Whistleblower-Richtlinie werden hierfür beispielhaft Mitarbeiter der Compliance- oder Rechtsabteilung, der Datenschutzbeauftragte sowie externe Berater genannt.

Unternehmen können unabhängige Dritte als interne Meldestelle (BPO/Ombudsstelle) beauftragen. Um Interessenskonflikte zu vermeiden, sollte die Rolle des Hinweisempfängers von einer neutralen Person besetzt werden. Eine naheliegende Wahl für die Besetzung der internen Meldestelle ist ein Anwalt oder auch der externe Datenschutzbeauftragte des Unternehmens.
Der Vorteil: Diese sind mit den Unternehmensprozessen vertraut und fungieren als neutrale Ansprechpartner. Außerdem können Sie bei der Implementierung einer Whistleblower Plattform unterstützen. Zudem haben Hinweisgeber möglicherweise weniger Hemmungen, sich bei einem Missstand an eine externe Partei zu wenden.

• Implementieren Sie ein Hinweisgebersystem, auf das alle Mitarbeiter problemlos Zugriff haben.
• Kommunizieren Sie dies an alle Mitarbeiter.
• Ernennen Sie eine neutrale Person zum Hinweisempfänger, die die Meldungen entgegennimmt, bearbeitet und die Kommunikation mit den Hinweisgebern übernimmt.