BMJV legt Referentenentwurf eines Hinweisgeberschutzgesetzes vor

17.02.2021 - Die Bundesregierung plant die zeitnahe Umsetzung der Vorgaben der sog. EU-Whistleblower-Richtlinie in nationales Recht. Das Bundesministerium der Justiz und für Verbraucherschutz (BMJV) hat hierzu einen Referentenentwurf über ein Hinweisgeberschutzgesetz in die Ressortabstimmung mit dem Bundeskanzleramt und den anderen Ministerien gegeben.

Die EU-Whistleblower-Richtlinie vom 23.10.2019 (RL (EU) 2019/1937) ist durch die nationalen Gesetzgeber in den Mitgliedstaaten bis zum 17.12.2021 umzusetzen. Der bisher nicht offiziell veröffentliche Referentenentwurf des BMJV sieht hierzu die Einführung eines Hinweisgeberschutzgesetzes (HinSchG) vor, das die EU-rechtlichen Vorgaben umsetzen und für Hinweisgeber Rechtsklarheit darüber schaffen soll, wann und durch welche Vorgaben sie bei der Meldung oder Offenlegung von Verstößen geschützt sind.

Unter den Hinweisgeberschutz fallen künftig Hinweise auf alle straf- und bußgeldbewehrten Verstöße sowie darüber hinaus Hinweise auf Verstöße gegen Gesetze, Rechtsverordnungen des Bundes und der Länder sowie gegen Rechtsakte der EU, soweit die Verstöße einen der in § 2 Abs. 1 Nr. 2 sowie Abs. 2 HinSchG-E enumerativ aufgezählten Regelungsbereiche (u.a. Regelungen über die Vergabe öffentlicher Aufträge, den Umweltschutz, die Verkehrssicherheit, den Verbraucherschutz, den Datenschutz u.v.m.) betreffen.

Pflicht zur Implementierung eines internen Hinweisgebersystems

Entsprechend den Vorgaben der EU-Whistleblower-Richtlinie sieht der Entwurf für Unternehmen und „Dienststellen“ (der öffentlichen Verwaltung und der Gerichte) mit mindestens 50 Beschäftigten eine Pflicht zur Einrichtung und zum Betrieb interner Meldestellen vor (§ 12 HinSchG-E). Für Gemeinden gilt diese Pflicht nur, soweit das jeweilige Landesrecht dies vorsieht, für kommunale Betriebe und Anstalten (also etwa kommunale Beteiligungsgesellschaften und Sparkassen) gilt die Pflicht unmittelbar (§ 3 Abs. 10 HinSchG).

Mit der Wahrnehmung der Aufgaben der internen Meldestelle kann sowohl eine interne Organisationseinheit (z.B. Compliance- oder Integritätsbeauftragter, Leiter Recht, Datenschutzbeauftragter) als auch ein Dritter (z.B. eine Anwaltskanzlei) betraut werden (§ 14 HinSchG-E).

Die internen Meldestellen sind durch die verpflichteten Unternehmen und Dienststellen mit den notwendigen Befugnissen auszustatten, um ihre Aufgaben wahrzunehmen, insbesondere um eingehende Meldungen zu prüfen und Folgemaßnahmen einzuleiten. Die mit den Aufgaben einer internen Meldestelle beauftragten Personen haben ihre Tätigkeit zwar unabhängig auszuüben (§ 15 HinSchG-E), nach der Entwurfsbegründung soll den verpflichteten Unternehmen bei der Organisation der internen Meldestelle jedoch ein breiter Ermessensspielraum zustehen. Hierbei sind insbesondere Organisationsstruktur, Größe des Unternehmens sowie Art der Tätigkeit zu berücksichtigen.

Die internen Meldestellen haben Meldekanäle einzurichten, über die Beschäftigte Informationen über Verstöße melden können (§ 16 HinSchG-E). Nicht verpflichtend – aber möglich – soll es sein, die Meldekanäle auch für unternehmensfremde Dritte, die z.B. in einer Geschäftsbeziehung mit dem betroffenen Unternehmen stehen, also etwa Kunden oder Lieferanten, zugänglich zu machen.

Die Meldekanäle müssen so ausgestaltet sein, dass sowohl eine – anonyme – mündliche (via Telefon oder anderer Art der Sprachübermittlung, z.B. Mailbox) als auch eine schriftliche Meldung von Verstößen möglich ist. Die Meldestellen haben die Vertraulichkeit insbesondere in Bezug auf die Identität des Hinweisgebers zu wahren (§ 8 HinSchG-E), wobei dies einen strafprozessualen Zugriff auf die personenbezogenen Daten des Hinweisgebers nicht ausschließen soll.

Hinsichtlich des Verfahrens zur Entgegennahme interner Meldungen sieht der Gesetzentwurf vor, dass die interne Meldestelle sowohl für die Aufnahme der Meldung und die (weitere) Kommunikation mit dem Hinweisgeber als auch für die Einleitung von Folgemaßnahmen zuständig ist (§ 17 HinSchG-E). Die Meldestelle hat dem Hinweisgeber innerhalb von drei Monaten ab Eingang der Meldung eine Rückmeldung über die ergriffenen Folgemaßnahmen zu geben. Folgemaßnahmen sind insbesondere die interne Untersuchung des gemeldeten Sachverhalts, die Abgabe des Sachverhalts an eine zuständige Stelle im Unternehmen sowie der Abschluss des Verfahrens durch Einstellung oder Abgabe an eine zuständige Behörde (§ 18 HinSchG-E). 

Schaffung externer Meldestellen durch den Bund

Darüber hinaus – und unabhängig von der Pflicht zur Einrichtung einer internen Meldestelle in den Unternehmen – soll durch den Bund beim Bundesdatenschutzbeauftragen eine sog. „externe Meldestelle“ eingerichtet werden (§§ 19 ff. HinSchG-E), an die sich potentielle Hinweisgeber ebenfalls wenden können. Hierbei steht dem Hinweisgeber ein Wahlrecht zu, ob er sich mit seinen Informationen an eine interne oder externe Meldestelle wendet (§ 7 HinSchG-E). Die externe Meldestelle soll auch dann noch kontaktiert werden können, wenn einem zunächst intern gemeldeten Verstoß nicht abgeholfen wurde.

Verhältnis zum Schutz von Geschäftsgeheimnissen

Der Entwurf regelt auch das Verhältnis der Whistleblower-Meldung zu möglicherweise entgegenstehenden Verschwiegenheits- und Geheimhaltungspflichten des Hinweisgebers (§§ 5, 6 HinSchG-E). So fällt eine Meldung u.a. dann nicht in den Anwendungsbereich des Hinweisgeberschutzgesetzes, wenn der Meldende Berufsgeheimnisträger (z.B. Rechtsanwalt, Notar oder Steuerberater, Arzt oder Apotheker) ist. Anders sieht dies jedoch im Falle einer Meldung durch einen (arbeits-) vertraglichen Geheimhaltungspflichten unterliegenden Beschäftigten aus, der mit der Meldung eines Sachverhalts zugleich ein Geschäftsgeheimnis offenbart. Dies soll erlaubt sein, sofern der Hinweisgeber hinreichenden Grund zu der Annahme hatte, dass die Weitergabe bzw. Offenlegung notwendig ist, um den Verstoß aufzudecken. Auf das Motiv des Hinweisgebers soll es hierbei nach der Gesetzesbegründung nicht ankommen. Die in den (internen) Meldestellen tätigen Personen sollen daher ihrerseits zur Verschwiegenheit verpflichtet sein.

Der Entwurf enthält in § 31 zudem eine – bereits im Zusammenhang mit der EU-Whistleblower-Richtlinie kontrovers diskutierte – Regelung über die Zulässigkeit der Offenlegung von Informationen gegenüber Dritten (z.B. der Presse). So soll eine Offenlegung solcher Informationen ebenfalls unter die Schutzmaßnahmen des Gesetzes fallen, wenn der Hinweisgeber auf eine externe Meldung innerhalb der Frist (3 Monate) keine Rückmeldung von der Meldestelle erhalten hat oder der Hinweisgeber Grund zu der Annahme hatte, dass der Verstoß eine unmittelbare oder offenkundige Gefährdung des öffentlichen Interesses darstellen kann oder aufgrund der besonderen Umstände des Falles die Aussichten auf Folgemaßnahmen durch die Meldestelle gering sind.

Maßnahmen zum Schutz des Hinweisgebers

Zum Schutz des Hinweisgebers sieht der Entwurf in den §§ 32 ff. diverse Maßnahmen vor, insbesondere den Schutz des Hinweisgebers vor Repressalien und Benachteiligungen im Nachgang zur Meldung oder Offenlegung eines Sachverhalts. Verstöße gegen dieses Verbot sollen nicht nur eine Schadensersatzpflicht des Verursachers (z.B. des von der Offenlegung der Informationen betroffenen Unternehmens) gegenüber dem Hinweisgeber begründen (§ 32 HinSchG-E), sondern sind auch bußgeldbewehrt (§ 39 Abs. 1 Nr. 3 HinSchG-E).

Darüber hinaus soll der Hinweisgeber für die Meldung oder Offenlegung von Informationen sowie daraus ggf. entstehender Schäden aufseiten des Betroffenen nicht verantwortlich gemacht werden können, soweit der Hinweisgeber rechtmäßig Zugriff auf die Informationen nehmen konnte und Grund zu der Annahme hatte, dass die Weitergabe der Informationen erforderlich war, um den Verstoß aufzudecken (§ 34 HinSchG-E).

Folgen für Unternehmen mit mehr als 50 Beschäftigten

Die Folgen des geplanten Hinweisgeberschutzgesetzes für Unternehmen und ihre Verantwortlichen sind weitreichend. Die Pflicht zur Implementierung eines effektiven Hinweisgebersystems trifft künftig nicht nur große, international agierende Unternehmen, sondern insbesondere auch kleine und mittelständische Betriebe mit mehr als 50 Beschäftigten.

Gerade solche Unternehmen, die die Grenze von 50 Beschäftigten nur knapp überschreiten, werden durch die Regelungen des geplanten Hinweisgeberschutzgesetzes sowohl in personeller als auch in fachlicher und finanzieller Hinsicht vor erhebliche Herausforderungen gestellt. Besonderer Beachtung bedarf, dass nicht nur die entsprechenden Meldekanäle vorgehalten, sondern eingehende Meldungen auch entsprechend bearbeitet und Folgemaßnahmen ergriffen werden müssen, die gegenüber dem Hinweisgeber nachzuweisen sind. De facto schafft der Gesetzgeber mit dieser Regelung eine Pflicht zur Einrichtung eines Compliance Management Systems auch für kleine und mittlere Unternehmen durch die Hintertür.

Besonders kritisch zu sehen ist auch die geplante Regelung über die Zulässigkeit der Offenlegung von sensiblen Informationen bzw. Geschäftsgeheimnissen gegenüber Dritten im Falle der Untätigkeit externer Meldestellen (§ 31 HinSchG-E), also der Meldestellen des Bundes, da es somit vollständig der Kontrolle des Unternehmens entzogen ist, wie und in welchem Umfang solche Informationen (u.U. straflos) an die Öffentlichkeit gelangen. Einerseits stellt der Entwurf die Erforderlichkeit der Weitergabe vollständig in das Ermessen des Hinweisgebers, der die Tragweite seines Handelns vielfach nicht überblicken dürfte, andererseits hängt die Frage, ob Informationen gegenüber der Presse oder sonstigen Dritten offengelegt werden dürfen, maßgeblich davon ab, ob die durch den Bund oder die Länder eingerichtete Meldestelle in der Lage sein wird, eingehende Meldungen innerhalb der Frist von drei Monaten zu bearbeiten. Eine zeitnahe Bearbeitung darf mit Blick auf die sonst im Bereich der (Justiz-) Verwaltung üblichen Bearbeitungszeiten, insbesondere bei der personell chronisch unterbesetzten Stelle des Bundesdatenschutzbeauftragen, bezweifelt werden. Diese Regelung öffnet damit einem potentiellen Missbrauch sowie einer Legalisierung der unberechtigten Weitergabe von Geschäftsgeheimnissen Tür und Tor, zumal der Hinweisgeber hierfür nur noch sehr eingeschränkt haftbar gemacht werden kann.

Abzuwarten bleibt indes, ob der Referentenentwurf des BMJV noch vor der Bundestagswahl im Herbst 2021 das parlamentarische Verfahren durchläuft und innerhalb der durch die EU vorgegebenen Umsetzungsfrist bis zum 19.12.2021 verabschiedet wird. Der Entwurf in seiner jetzigen Form dürfte – ähnlich wie der Entwurf des BMJV über ein Verbandssanktionengesetz – jedenfalls für Diskussionen innerhalb der Regierungskoalition sorgen. Gelingt eine Verabschiedung innerhalb dieser Legislatur nicht mehr, drohte Deutschland nicht nur ein Vertragsverletzungsverfahren, sondern der betroffene Bürger könnte sich zumindest im Falle hoheitlicher Maßnahmen (etwa der Strafverfolgung wegen Geheimnisverrats) u.U. direkt auf die Regelungen der EU-Whistleblower-Richtlinie berufen.