Das Hinweisgeberschutzgesetz setzt die europäische Hinweisgeberschutzrichtlinie in deutsches Recht um. Es verfolgt zwei Ziele zugleich: Personen, die Missstände melden, sollen vor Nachteilen geschützt werden, und Organisationen sollen einen geordneten Weg schaffen, auf dem Hinweise intern ankommen, bevor sie extern oder öffentlich landen.
Wer eine interne Meldestelle einrichten muss
Die Pflicht nach § 12 Absatz 1 Satz 1 HinSchG gilt nach § 12 Absatz 2 nur für Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten. Abzustellen ist auf die regelmäßige Beschäftigtenzahl, nicht auf einen Stichtagswert.
Unabhängig von der Beschäftigtenzahl trifft die Pflicht bestimmte Unternehmen des Finanz- und Wertpapierbereichs, die § 12 Absatz 3 HinSchG ausdrücklich aufzählt. Für private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten sah die Übergangsregelung des § 42 HinSchG vor, dass sie ihre internen Meldestellen erst ab dem 17. Dezember 2023 einrichten mussten.
Was gemeldet werden kann
Der sachliche Anwendungsbereich steht in § 2 HinSchG und ist enger, als der Alltagsbegriff „Whistleblowing“ vermuten lässt. Erfasst sind unter anderem Straftaten, bestimmte bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten dient, sowie Verstöße gegen zahlreiche namentlich benannte Rechtsbereiche, darunter Geldwäsche, Produktsicherheit, Umweltschutz, Lebensmittel- und Arzneimittelrecht, Vergaberecht, Datenschutz, Verbraucherschutz und Wettbewerbsrecht.
Ein allgemeiner Kanal für jede Art von Beschwerde ist die interne Meldestelle damit nicht. Es empfiehlt sich trotzdem, den Umgang mit Hinweisen außerhalb des Anwendungsbereichs vorab zu klären, statt sie ungeregelt abzuweisen.
Meldekanäle und anonyme Meldungen
Nach § 16 Absatz 3 HinSchG müssen interne Meldekanäle Meldungen in mündlicher oder in Textform ermöglichen; auf Ersuchen der hinweisgebenden Person ist zudem eine persönliche Zusammenkunft innerhalb angemessener Zeit zu ermöglichen. Zugriff auf eingehende Meldungen dürfen nur die zuständigen Personen und die sie unterstützenden Personen haben.
Beim Thema Anonymität ist das Gesetz präziser, als oft wiedergegeben wird: Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten. Eine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen, besteht dagegen nicht. Wer einen anonymen Kanal anbietet, geht also über die gesetzliche Mindestanforderung hinaus – was aus Sicht der Aufklärungswahrscheinlichkeit häufig sinnvoll ist.
Zugang haben mindestens die eigenen Beschäftigten und die dem Beschäftigungsgeber überlassenen Leiharbeitnehmerinnen und Leiharbeitnehmer. Der Kreis kann auf weitere Personen erweitert werden, die im Rahmen ihrer beruflichen Tätigkeit mit dem Unternehmen in Kontakt stehen.
Die Fristen aus § 17 HinSchG
| Schritt | Frist |
|---|---|
| Eingangsbestätigung an die hinweisgebende Person | spätestens nach sieben Tagen |
| Rückmeldung über geplante und ergriffene Folgemaßnahmen | innerhalb von drei Monaten nach der Eingangsbestätigung, spätestens drei Monate und sieben Tage nach Eingang der Meldung |
Die Rückmeldung darf interne Nachforschungen und die Rechte betroffener Personen nicht beeinträchtigen. Diese Fristen sind der häufigste Stolperstein im Betrieb: Sie laufen unabhängig davon, ob die Sachverhaltsklärung abgeschlossen ist.
Auslagerung und gemeinsame Meldestellen
Nach § 14 Absatz 1 HinSchG darf ein Dritter mit den Aufgaben einer internen Meldestelle betraut werden, etwa eine Kanzlei oder ein Ombudsdienst. Das entbindet den betrauenden Beschäftigungsgeber jedoch nicht von der Pflicht, selbst geeignete Maßnahmen zu ergreifen. Die Aufklärung und die Abstellung des Missstands bleiben also beim Unternehmen.
Private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten dürfen nach § 14 Absatz 2 HinSchG eine gemeinsame Stelle einrichten und betreiben. Geteilt wird dabei die Entgegennahme der Meldungen; die Pflicht zur Rückmeldung an die hinweisgebende Person verbleibt bei dem einzelnen Beschäftigungsgeber.
Externe Meldestellen
Hinweisgebende Personen können zwischen interner und externer Meldung wählen. Der Bund errichtet nach § 19 HinSchG beim Bundesamt für Justiz eine Stelle für externe Meldungen; daneben bestehen weitere externe Meldestellen nach den §§ 20 bis 23 HinSchG. Für Unternehmen ist das ein starkes praktisches Argument für einen funktionierenden internen Kanal: Ein Hinweis, der intern verlässlich bearbeitet wird, geht seltener zuerst nach außen.
Repressalienverbot und Bußgelder
Nach § 36 Absatz 1 HinSchG sind gegen hinweisgebende Personen gerichtete Repressalien verboten; das gilt auch für Androhung und Versuch. § 36 Absatz 2 verschiebt die Beweislast: Erleidet eine hinweisgebende Person nach einer Meldung eine Benachteiligung und macht sie geltend, diese Folge einer Meldung zu sein, wird vermutet, dass die Benachteiligung eine Repressalie ist. Der Beschäftigungsgeber muss dann darlegen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen beruhte oder nicht auf der Meldung beruhte.
Die Bußgeldvorschrift des § 40 HinSchG erfasst unter anderem das Behindern einer Meldung, Repressalien, den Verstoß gegen das Vertraulichkeitsgebot und das Unterlassen der Einrichtung und des Betriebs einer internen Meldestelle. Der Rahmen reicht je nach Verstoß bis zu fünfzigtausend Euro beziehungsweise bis zu zwanzigtausend Euro.
Wie Rizzqo hier einzuordnen ist
Rizzqo enthält kein Hinweisgebersystem. Für die Meldestelle nach dem Hinweisgeberschutzgesetz braucht es eine dafür vorgesehene Lösung, und dieser Beitrag erläutert die Rechtslage, nicht den Funktionsumfang eines Produkts. Was sich in Rizzqo abbilden lässt, ist die Meldestelle als Objekt: Wird sie extern betrieben, ist der Betreiber ein unterstützender Wert mit Kategorie, benanntem Verantwortlichen und Verknüpfung zu dem Prozess, den er trägt.
Damit greift dieselbe Mechanik wie bei anderen Dienstleistern. Die Anforderungen, die für die Kategorie hinterlegt sind, erscheinen an diesem Asset, und da über eine Meldestelle besonders sensible personenbezogene Daten laufen, wirkt sich der Schutzbedarf des tragenden Prozesses auf die Bewertung aus.