Nach etlichen Anläufen im Gesetzgebungsverfahren haben sich Bundestag und Bundesrat mit rund eineinhalb Jahren Verspätung am 11./12. Mai 2023 für den Kompromissvorschlag des Vermittlungsausschusses vom 9. Mai 2023 zur nationalen Umsetzung des Hinweisgeberschutzes (HinSchG) (Drs. 20/6700) entschieden. Das HinSchG ist das nationale Umsetzungsgesetz der EU-Hinweisgeberschutz-Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23. Oktober 2019 zum Schutz hinweisgebender Personen, die Verstöße im beruflichen Kontext bei einer hierfür vorgesehenen internen oder externen Meldestelle melden. Zwischenzeitlich erfolgte auch die Ausfertigung des HinSchG durch den Bundespräsidenten und die Verkündung im Bundesgesetzblatt. Aufgrund des bereits einen Monat nach seiner Verkündung in Kraft tretenden Gesetzes tritt das HinSchG am 2. Juli 2023 in Kraft. 

Hinweisgebende Personen nun unter gesetzlichem Schutz

Hinweise auf Korruption, Geldwäsche, Bestechung, Veruntreuung von Geldern sowie Verstöße gegen Produktsicherheit und Umweltschutz sind nur einige Beispiele für Meldungen, die ab dem Inkrafttreten des HinSchG unter seinem besonderen gesetzlichen Schutz stehen. Dieser gesetzliche Schutz für hinweisgebende Personen erstreckt sich neben Meldungen von Verstößen gegen das Unionsrecht auch gegen nationale strafbewehrte und teilweise nationale bußgeldbewehrte Vorschriften, soweit die verletzte Vorschrift dem Schutz von Leben, Leib, Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Um diesen Schutz sicherzustellen, sind entsprechende Meldungen an hierfür einzurichtende interne oder externe Meldestellen abzugeben und von der jeweiligen Meldestelle zu prüfen, wobei die Meldestelle auch angemessene Folgemaßnahmen zu ergreifen hat.

Für wen diese Verpflichtungen gelten und wie sie umgesetzt werden können, soll nachfolgend erläutert werden.

Mehrere Anläufe für das neue Gesetz

Nachdem schon die fristgerechte Umsetzung der Richtlinie in nationales Recht bis zum 17. Dezember 2021 in der vorherigen Legislaturperiode versäumt wurde, ist auch die aktuelle Ampelkoalition mehrmals mit diesem Vorhaben gescheitert. Nachdem der Bundesrat am 10. Februar 2023 seine Zustimmung für den ersten, am 16. Dezember 2022 vom Bundestag beschlossenen Gesetzesentwurf (Drs. 20/4909) verweigerte, verklagte die EU-Kommission Deutschland am 15. Februar 2023 vor dem Europäischen Gerichtshof wegen der verspäteten Umsetzung der Hinweisgeberschutz-Richtlinie und verlangte für jeden Tag des Verzugs eine Strafe von 61 600 Euro, insgesamt jedoch mindestens 17,248 Millionen Euro.

Nachfolgende Aspekte sollten im Hinblick darauf geprüft und beachtet werden, worauf Wissenschaftseinrichtungen bei der Umsetzung des Hinweisgeberschutzes jetzt achten müssen:

I. IST MEINE WISSENSCHAFTSEINRICHTUNG VOM HinSchG ÜBERHAUPT BETROFFEN? 

Das ist die wesentliche Frage, die sich Wissenschaftseinrichtungen nun stellen. Zu Recht, denn der Anwendungsbereich des HinSchG ist nicht eindeutig.

1. Verpflichtete des privaten und öffentlichen Sektors

Nach dem HinSchG haben juristische Personen des privaten wie auch des öffentlichen Sektors mit einer Beschäftigtenzahl ab 50 Personen (siehe aber die Ausführungen in Ziffer I.4.) die Pflicht zur Einrichtung einer internen Meldestelle (vgl. § 12 Abs. 1 und 2 HinSchG). Allerdings sieht das HinSchG für den privaten Sektor eine Übergangsfrist für Unternehmen mit einer Zahl von 50 bis 249 Beschäftigten vor – diese Unternehmen müssen den Hinweisgeberschutz erst bis zum 17. Dezember 2023 umsetzen (vgl. § 42 Abs. 1 HinSchG). Die genannte Übergangsfrist gilt jedoch nicht für den öffentlichen Sektor und damit nicht für die meisten Wissenschaftseinrichtungen.

2. Organisationen bestimmter Branchen unabhängig von der Beschäftigtenzahl

Daneben sind auch Organisationen bestimmter Branchen unabhängig von der Beschäftigtenzahl verpflichtet, interne Meldestellen einzurichten (vgl. § 12 Abs. 3 HinSchG sowie Art. 8 Abs. 4 der Richtlinie). Für Wissenschaftseinrichtungen dürfte diese Regelung in der Regel nicht einschlägig sein, da hierzu unter anderem Organisationen der Versicherungsbranche und Institute nach dem Kreditwesengesetz (KWG) zählen.

3. Ermittlung der Beschäftigtenzahl

Die Pflicht zur Einrichtung interner Meldestellen „gilt nur für Beschäftigungsgeber mit jeweils in der Regel mindestens 50 Beschäftigten“ (§ 12 Abs. 2 HinSchG).

Einrichtungs- beziehungsweise organisationsweite Betrachtung der Beschäftigtenzahl: In zahlreichen Wissenschaftseinrichtungen wird gefragt, ob hinsichtlich der Beschäftigtenzahl die Beschäftigten der jeweiligen Einrichtung oder eine gruppenweite Betrachtung maßgeblich ist. Die Antwort hierauf ist eindeutig: Es kommt allein auf die jeweilige Organisation beziehungsweise die jeweilige Einrichtung an, eine gruppenweite Zurechnung findet nicht statt; aus anderen Gesetzen bekannte Zurechnungsnormen (vgl. § 5 Abs. 1 MitbestG, § 2 Abs. 2 DrittelbG) existieren nicht.

• „in der Regel“ mindestens 50 Beschäftigte: Im Gegensatz dazu ist noch nicht eindeutig klar, wie die maßgebliche Beschäftigtenzahl von „in der Regel“ mindestens 50 Beschäftigen konkret zu bestimmen ist. Nach der Gesetzesbegründung sollen Beschäftigungsgeber bei der Bestimmung nicht auf einen bestimmten Stichtag abstellen, sondern – entsprechend der höchstrichterlichen Rechtsprechung des Bundesarbeitsgerichts zum Kündigungsschutzrecht – die bisherige personelle Stärke heranziehen und eine Prognose zur zukünftigen Entwicklung der Beschäftigtenzahl treffen (vgl. S. 77 BT-Drs. 20/3442 mit Verweis auf BAG, Urteil vom 31.01.1991, Az.: 2 AZR 356/90, und Urteil vom 24.01.2013, Az.: 2 AZR 140/12). Wie die Gerichte zukünftig „in der Regel“ auslegen, bleibt abzuwarten. Mit Blick auf drohende Bußgelder dürfte Vorsicht besser als Nachsicht sein.
• Begriff des Beschäftigten im HinSchG: Als „Beschäftigte“ nach dem HinSchG zählen neben Arbeitnehmern und Auszubildenden sowie Personen, die wegen ihrer wirtschaftlichen Unselbstständigkeit als arbeitnehmerähnliche Personen anzusehen sind, auch Leiharbeitnehmer (vgl. § 3 Abs. 8 und § 16 HinSchG)

4. Wissenschaftseinrichtungen als Verpflichtete des öffentlichen Sektors

Bei den meisten Wissenschaftseinrichtungen handelt es sich um Organisationen des öffentlichen Sektors. Nach der Gesetzesbegründung zählen zum öffentlichen Sektor neben originär staatlichen Stellen wie Landes- oder Bundesbehörden unter anderem sonstige Körperschaften oder Anstalten, aber auch sämtliche in Form einer eigentlich privatrechtlichen Rechtsform organisierten Unternehmen in (mehrheitlich) öffentlicher Trägerschaft beziehungsweise mit beherrschendem Einfluss durch staatliche Stellen (vgl. S. 66 BT-Drs. 20/3442, 20/6700). 

Die Einrichtungspflicht des öffentlichen Sektors dürfte aufgrund der unmittelbaren Wirkung der Richtlinie aber nicht erst durch das künftig in Kraft tretende HinSchG gelten, sondern sich bereits seit Ablauf der Umsetzungsfrist am 17. Dezember 2021 unmittelbar aus der Richtlinie ableiten lassen. Aus diesem Grund dürften Organisationen des öffentlichen Sektors – jedenfalls ohne entsprechende Gesetzgebung auf Ebene der Bundesländer – auch bereits ab dem ersten (!) Beschäftigten entsprechend verpflichtet sein.

5. Sektorspezifische Meldestellen haben Vorrang gegenüber dem HinSchG

Sofern Wissenschaftseinrichtungen ausnahmsweise bereits durch bestehende gesetzlich verpflichtende Vorgaben zur Einrichtung von Meldestellen (unter anderem § 25a Abs. 1 Satz 6 Nr. 3 KWG und § 23 Abs. 6 VAG) verpflichtet sein sollten, regelt § 4 Abs. 1 HinSchG das Verhältnis der beiden Meldestellen zueinander. Danach haben gesetzlich bereits bestehende spezifische Meldestellen Vorrang vor den Vorgaben des HinSchG (vgl. S. 67 BT-Drs. 20/3442, 20/6700). Ein Rückgriff auf das allgemeine Hinweisgeberschutzsystem nach dem HinSchG ist geboten, wenn der persönliche und/oder sachliche Anwendungsbereich des spezifischen Meldesystems nicht eröffnet ist; dies gilt auch, soweit die spezifischen Regelungen keine Vorgaben machen (vgl. S. 67 BT-Drs. 20/3442, 20/6700). In den letztgenannten Fällen bilden die sektorspezifischen Vorgaben das Grundgerüst, welches gegebenenfalls durch einzelne Regelungsbausteine des HinSchG ergänzt wird.

II. MIT WELCHEN HANDLUNGSPFLICHTEN MÜSSEN SICH WISSENSCHAFTSEINRICHTUNGEN VERTRAUT MACHEN?

1. Pflicht zur Einrichtung einer internen Meldestelle

Beschäftigungsgeber sind verpflichtet, interne Meldestellen einzurichten (vgl. § 12 Abs. 1 HinSchG). Ist der Bund oder ein Land Beschäftigungsgeber, bestimmen die obersten Bundes- oder Landesbehörden Organisationseinheiten in Form von einzelnen oder mehreren Behörden, Verwaltungsstellen, Betrieben oder Gerichten. Die Pflicht zur Einrichtung einer internen Meldestelle gilt sodann für die Einrichtung und den Betrieb der internen Meldestelle bei den jeweiligen Organisationseinheiten. Für Gemeinden und Gemeindeverbände und solche Beschäftigungsgeber, die im Eigentum oder unter der Kontrolle von Gemeinden und Gemeindeverbänden stehen, gilt die Pflicht zur Einrichtung und zum Betrieb interner Meldestellen nach Maßgabe des jeweiligen Landesrechts. Dem Bund ist infolge des „Durchgriffsverbots“ nach Art. 84 Abs. 1 Satz 7 GG eine unmittelbare Aufgabenübertragung an Gemeinden und Gemeindeverbände verwehrt. Da es hierzu noch keine Landesgesetze gibt, wird die Entwicklung in den einzelnen Bundesländern zu beobachten sein, wobei sich die Pflicht zur Einrichtung einer internen Meldestelle für Beschäftigungsgeber des öffentlichen Sektors ja bereits unmittelbar aus der Richtlinie ergeben dürfte.

Die Aufgaben der internen Meldestelle umfassen unter anderem den Betrieb des Meldekanals, die Prüfung der Stichhaltigkeit der Meldung und das Veranlassen von Folgemaßnahmen wie etwa weiteren Untersuchungen beim Verpflichteten, Hinzuziehung von Experten (zum Beispiel Wirtschaftsprüfern) und die Abgabe an die zuständige Behörde (§ 13 Abs. 1 HinSchG).

2. Auswahl eines hinweisgeberkonformen Meldekanals 

Form der Meldung: Gemäß § 16 Abs. 1 Satz 1 HinSchG richten „zur Einrichtung interner Meldestellen verpflichtete Beschäftigungsgeber […] für diese Meldekanäle ein“, um die Abgabe von Meldungen von Verstößen zu ermöglichen. Meldekanäle müssen Meldungen in mündlicher Form oder in Textform ermöglichen (§ 16 Abs. 3 HinSchG). Als Meldekanal kommen somit mündliche (zum Beispiel Hotline, Anrufbeantworter), physische (zum Beispiel persönliche Zusammenkunft mit einer für die Entgegennahme einer Meldung zuständigen Person) oder IT-gestützte (E-Mail, digitale oder webbasierte Systeme) Lösungen in Betracht (vgl. S. 82 f. BT-Drs. 20/3442, 20/6700). 

Wahrung von Vertraulichkeit und gegebenenfalls Anonymität: Der Meldekanal muss den Anforderungen an Vertraulichkeit und gegebenenfalls Anonymität einerseits und den Vorgaben zu Lösch- und Speicherfristen andererseits gerecht werden (§ 11 Abs. 1, Abs. 5 und § 16 Abs. 1, Abs. 2 HinSchG) (vgl. S. 74, 77 BT-Drs. 20/3442). Bestimmte IT-gestützte Meldekanäle erfüllen die vorgenannten Anforderungen am ehesten, da sie nicht nur einer anonymisierten Kommunikation am besten gerecht werden, sondern auch die jederzeitige Erreichbarkeit gewährleisten, etwaige Sprachbarrieren überwinden und Lösch- sowie Speicherfristen automatisiert beachten können. Auch wenn anonyme Meldungen integraler Bestandteil eines effektiven Hinweisgebersystems sind, so müssen anonyme Meldungen von Verpflichteten nach dem neuen HinSchG nicht (mehr) ermöglicht werden. Verpflichteten wird im Rahmen einer „Soll“-Vorschrift lediglich empfohlen, anonyme Meldungen entgegenzunehmen. Studien haben gezeigt, dass hinweisgebende Personen in über 50 Prozent der Fälle ihre Meldung anonym abgeben.

Eingangsbestätigung und Rückmeldung: Über den Meldekanal muss gewährleistet sein, dass nach spätestens sieben Tagen die verpflichtende Eingangsbestätigung und nach spätestens drei Monaten und sieben Tagen die verpflichtende qualifizierte Rückmeldung über die ergriffenen und geplanten Folgemaßnahmen an die hinweisgebende Person erfolgt (§ 17 HinSchG).

3. Personelle Besetzung der internen Meldestelle

Notwendige Fachkunde: Eine Meldestelle befasst sich in der Regel mit äußerst sensiblen Themen. Daher müssen die mit der Bearbeitung betrauten Personen über die notwendige Fachkunde zur Entgegennahme und Bearbeitung von Meldungen verfügen.

Betrauung eigener Mitarbeiter: Als über die notwendige Fachkunde verfügende Bearbeiter von Meldungen kommen insbesondere interne Compliance Officer, Legal Counsel und Datenschutzbeauftragte in Betracht, da diese Personen in der Regel über die entsprechenden Qualifikationen verfügen. Allerdings sollten die vorgenannten Personen kritisch hinterfragen, ob sie tatsächlich über die spezifische Fachkunde (unter anderem in den Themenbereichen Compliance, Datenschutz, Wahrung der Vertraulichkeit der Identität der beteiligten Personen und Geschäftsgeheimnisse) verfügen oder ergänzende Schulungen geboten sind. Zudem ist – parallel zum Sonderkündigungsschutz von Datenschutzbeauftragten – ein solcher Sonderkündigungsschutz in analoger Anwendung auf interne Bearbeiter von Meldungen in der Diskussion. Überdies ist zu gewährleisten, dass die zusätzliche Funktion des internen Bearbeiters nicht zu einer Interessenkollision bei der Bearbeitung der Meldungen führt, die unter anderem daraus entstehen können, dass die Meldung einen befreundeten Kollegen, den unmittelbaren Vorgesetzten oder den Bearbeiter selbst betrifft.

Betrauung externer Dienstleister: Die Hauptaufgabe externer Dienstleister (sogenannte Ombudspersonen) ist der ordnungsgemäße Umgang mit den vorgenannten Themenbereichen. Ombudspersonen haben gegenüber eher generell ausgebildeten oder geschulten internen Bearbeitern regelmäßig einen deutlichen Wissens- und Erfahrungsvorsprung hinsichtlich der ordnungsgemäßen und vertraulichen Handhabe von sensiblen Meldungen. Aufgrund der hohen Anforderungen an die notwendige Fachkunde der Bearbeiter mag es rechtssicherer erscheinen, externen Dienstleistern die Aufgaben der internen Meldestelle zu übertragen. Auch mangelnde personelle Ressourcen bei kleinen und mittleren Wissenschaftseinrichtungen können gute Gründe für die Auswahl eines externen Dienstleisters sein, ebenso drohende Interessenkonflikte. Werden eingehende Meldungen von externen Ombudspersonen geprüft, sollten trotzdem interne Prozesse für den Umgang mit Meldungen und Folgemaßnahmen in den jeweiligen Wissenschaftseinrichtungen implementiert werden.

4. Zeitnahe Einbindung interner Organe und Gremien

Bereits bei der Einrichtung einer internen Meldestelle sind die relevanten Organe und Gremien, beispielsweise ein Personal- beziehungsweise Betriebsrat, zu involvieren, sodass sich jede Wissenschaftseinrichtung sehr zeitnah mit der Implementierung eines Hinweisgeberschutzsystems beschäftigen sollte.

5. Interne Richtlinien und Prozesse zur Sicherstellung einer verlässlichen Wahrnehmung der Aufgaben der internen Meldestelle 

Zur lückenlosen und einheitlichen Bearbeitung von Meldungen empfiehlt sich die Implementierung interner Richtlinien zur Regelung der Prozesse bei Eingang von Meldungen, unter anderem mit Blick auf Zuständigkeiten, Ablauf der inhaltlichen Prüfung und Ergreifen von Folgemaßnahmen. Verpflichtete müssen zudem Informationen zur internen Meldestelle, zum Verfahren sowie auch Informationen über externe Meldestellen bereitstellen (§ 13 Abs. 2 HinSchG) (vgl. S. 78 BT Drs. 20/3442, 20/6700). Darüber hinaus sollten klare und leicht zugängliche Informationen über das Inter-/Intranet bereitgestellt werden, um für hinweisgebende Personen einen Anreiz dafür zu schaffen, sich zuerst an die interne Meldestelle zu wenden. Denn gemäß § 7 HinSchG haben hinweisgebende Personen ein Wahlrecht zwischen der Meldung an eine interne oder externe Meldestelle (zum Beispiel Bundesamt für Justiz).

III. WELCHEN SCHUTZ BIETET DAS HinSchG?

1. Der Begriff des Hinweisgebers

Nach dem HinSchG sind „hinweisgebende Person“ alle natürlichen Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben (vgl. § 1 Abs. 1 HinSchG). Hierunter fallen unter anderem Arbeitnehmer, Auszubildende, Kunden, Lieferanten, Bewerber, Selbständige, Praktikanten und Organmitglieder (vgl. S. 56 BT-Drs. 20/3442, 20/6700). 

2. Voraussetzungen für den Schutz

Das HinSchG schützt hinweisgebende Personen nur, sofern sie hinreichenden Grund zu der Annahme hatten, dass der Inhalt der Meldung der Wahrheit entspricht; sofern die hinweisgebende Person hingegen bewusst wahrheitswidrige Angaben macht, ist sie nicht geschützt (vgl. § 33 Abs. 1 HinSchG).

3. Schutz der hinweisgebenden Personen vor Repressalien

Geschützt werden hinweisgebende Personen vor Repressalien (vgl. § 36 Abs. 1 HinSchG) (siehe rechts). Gleichermaßen sind auch schon die Androhung und der Versuch einer Repressalie verboten. Sofern eine hinweisgebende Person nach einer Meldung berufliche Benachteiligungen erfährt, sieht das Gesetz zudem eine Beweislastumkehr vor (vgl. § 36 Abs. 2 HinSchG).

Das Repressalienverbot lässt sich nicht anhand von einseitigen Erklärungen oder Verträgen ausschließen, da diese nichtig wären (vgl. § 134 BGB ) (vgl S. 95 BT-Drs. 20/3442, 20/6700). Eine Repressalie liegt nur dann nicht vor, wenn der Nachteil, welcher der hinweisgebenden Person entsteht, auf sachlichen Gründen beruht, die nicht im Zusammenhang mit der Abgabe einer Meldung stehen.

IV. SANKTIONEN BEI VERSTÖSSEN GEGEN HinSchG

Verstöße gegen das HinSchG stellen eine Ordnungswidrigkeit dar und sind bußgeldbewehrt, wobei sich der Bußgeldrahmen abhängig vom Verstoß zwischen 10 000 und 50 000 Euro bewegt und auch mehrfach verhängt werden kann (§ 40 HinSchG). Zudem kann auch ein Schadensersatzanspruch der hinweisgebenden Person gegen den Verpflichteten bestehen. Aber nicht nur Verpflichtete, auch hinweisgebende Personen können mit einer Geldbuße von bis zu 20 000 Euro belangt werden, wenn sie vorsätzlich oder grob fahrlässig unrichtige Informationen melden. Verstöße sind jedoch erst sechs Monate ab Inkrafttreten des HinSchG bußgeldbewehrt. //