Das HSchG ist da – was jetzt auf Unternehmen zukommt

Das HSchG ist da. Hier erfahren Sie, was genau das jetzt für Ihr Unternehmen bedeutet, was vom Gesetz abgedeckt wird, und worauf bei der Einrichtung eines internen Meldekanals besonders zu achten ist. Die nationale Umsetzung der Whistleblowing-Richtlinie der Europäischen Union ist abgeschlossen. Das HinweisgeberInnenschutzgesetz wurde vom Nationalrat verabschiedet. Seit dem 25. Februar 2023 ist es offiziell in Kraft. Nun haben Unternehmen mit mehr als 250 Mitarbeitern bis zum 25. August 2023 Zeit, um einen internen Meldekanal zu implementieren. Ab Dezember 2023 wird dieses Gesetz auch auf Unternehmen mit mehr als 50 Mitarbeitern ausgeweitet. Das Ziel des Gesetzes ist es (1) Hinweisgebern zu ermöglichen, Verstöße gegen die im Gesetz genannten Rechtsvorschriften bedenkenlos zu melden, und (2) Unternehmen vor Reputationsschäden zu bewahren. Die vom Gesetz geschützten Personengruppen sind (aktuelle und ehemalige) Arbeitnehmer, Bewerber, Selbstständige und auch Lieferanten.

Anwendungsbereiche des HSchG

Das HSchG übernimmt vollständig die vorgegebenen Meldethemen der EU-Richtlinie. Diese erstrecken sich auf verschiedene Bereiche, darunter öffentliches Auftragswesen, Finanzdienstleistungen zur Verhinderung von Terrorismusfinanzierung, Produktsicherheit und Konformität, Umweltschutz, Verkehrsschutz, Lebensmittel- und Futtermittelschutz, Verbraucherschutz und Schutz personenbezogener Daten. Zusätzlich zu den vorgegebenen Meldethemen deckt das HSchG auch Korruptionstatbestände (§ 302-309 des Strafgesetzbuches) ab. Der praktische Anwendungsbereich des HSchG ist de facto kaum eingrenzbar. Von Konstruktionsfehlern bei Geräten, bis Produktionsfehlern bei Spielzeugen, über fehlerhafte Kennzeichnung von Arzneimitteln oder Verstöße gegen die Gewährleistung bei Kleidung, kann alles gemeldet werden, um nur einige wenige Beispiele zu nennen.

Worauf Unternehmen achten müssen

Das HSchG sieht zwei Arten von Meldekanälen vor: interne und externe. Als externen Meldekanal hat der Gesetzgeber das Bundesamt für Korruptionsbekämpfung- und Prävention festgelegt. Intern sind Unternehmen selbst bzw. in Kooperation mit Mutter- oder Tochtergesellschaft(en) für die Implementierung eines Hinweisgebersystems zuständig. Unternehmen müssen laut HSchG dafür sorgen, dass Meldungen sowohl mündlich als auch schriftlich eingebracht werden können. Dabei ist stets darauf zu achten, dass die vertrauenswürdige Kommunikation gewahrt wird, d.h. die Identität des Hinweisgebers geschützt wird – eine Offenlegung ist nur dann erlaubt, wenn sie von einem laufenden Verfahren erfordert wird. Was passiert, sobald eine Meldung einlangt? Innerhalb von 7 Kalendertagen muss der Whistleblower eine Eingangsbestätigung seines Hinweises erhalten. Nach spätestens 3 Monaten muss das Unternehmen dem Whistleblower Rückmeldung darüber geben, ob bzw. zu welchen Ergebnissen das Unternehmen aufgrund seines Hinweises gekommen ist. Der Kauf einer Hinweisgebersoftware wie flustron steht – wie auch das Versäumnis einen Meldekanal einzurichten – zwar nicht unter Strafe, wird von Experten aber dringendst empfohlen, um eine positive und offene Unternehmenskultur zu schaffen und Reputationsschäden vorzubeugen. Außerdem sind Arbeitnehmer dazu angehalten, zunächst interne Meldekanäle zu benutzen und nicht direkt vom externen Kanal des Bundesamts für Korruptionsbekämpfung- und Prävention Gebrauch zu machen. Durch ein transparentes und anonymes Hinweisgebersystem wie flustron, wird auch die Wahrscheinlichkeit, dass Mitarbeiter mit Informationen direkt zu den Medien gehen, stark reduziert. Wenn ein Unternehmen gegen einen Angestellten aufgrund eines von ihm eingebrachten Hinweises vorgeht, sind mit Verwaltungsstrafen von bis zu 20.000 Euro zu rechnen. Im Wiederholungsfall bis zu 40.000 Euro. Darunter fallen etwa die versuchte Behinderung einer Meldung, Unterdrucksetzung durch gerichtliche oder verwaltungsbehördliche Verfahren oder Verletzung der Vertraulichkeit. Aber auch Angestellte können abgestraft werden, wenn sie absichtlich falsche oder irreführende Hinweise weitergeben.

Splitting – warum es so wichtig ist

Eine der wichtigsten Fragen, die sich Unternehmen jetzt stellen müssen, ist, ob sie mit ihrem Hinweisgebersystem mehr als den gesetzlichen Anwendungsbereich regeln wollen, oder nicht. Denn arbeitsrechtlich relevante Aspekte, wie Arbeitszeitgesetze, die Arbeitsruhebestimmung, aber auch Bereiche wie Gleichbehandlung, Diskriminierung oder sexuelle Belästigung, sind allesamt nicht im sachlichen Anwendungsbereich des HSchG enthalten. Besonders wichtig ist also, dass der interne Meldekanal des Unternehmens, mit zugehöriger Datenschutzerklärung, an den jeweiligen Anwendungsbereich angepasst wird, weil sich die Rechtsgrundlagen für Meldungen innerhalb und außerhalb des HSchG unterscheiden. Innerhalb sind die Rechtsgrundlagen gesetzlich geregelt, außerhalb nach „überwiegend berechtigtem Interesse“. Wenn eine Meldung als wichtig oder relevant genug bewertet wird und z.B. Schlüsselpersonen eines Unternehmens betrifft, kann von überwiegend berechtigtem Interesse gesprochen werden. Ob dieses Interesse jedoch tatsächlich gegeben ist, muss von Fall zu Fall entschieden werden. Wenn ein Unternehmen nun auch Hinweise seiner Angestellten in Bereichen, die nicht vom HSchG abgedeckt sind, erhalten möchte, ist eine Betriebsvereinbarung mit dem Betriebsrat abzuschließen, sofern es einen gibt. Gibt es keinen, ist eine Einzelvereinbarung mit jedem Mitarbeiter erforderlich. Das ist deswegen so wichtig, weil mit personenbezogenen Daten unterschiedlich umgegangen werden muss, wenn sie nicht in den sachlichen Anwendungsbereich des HSchG fallen. Betroffenenrechte können, wenn es für die Zwecke des HSchG vonnöten ist, eingeschränkt werden. Das heißt, dass das Recht auf Auskunft, auf Information und auf Löschung von Personen, die für ein aktives Verfahren eine entscheidende Rolle spielen (Hinweisgeber, Zeugen und Beschuldigte) eingeschränkt werden kann. Für den erweiterten Anwendungsbereich innerhalb eines Unternehmens gilt hingegen das Recht des DSGVO. Es regelt Aufbewahrungsfristen nach dem Grundsatz der Datenminimierung: Daten sollen nur für einen Zweck aufbewahrt werden und nicht länger. Fünf Jahre ab der letztmaligen Anwendung bei gesetzlichem Bereich. Protokolldaten, also Logfiles, sollten nach drei Jahren vernichtet werden.

Hinweisgebersystem implementieren – darauf müssen Unternehmen Rücksicht nehmen

Transparenz schaffen: Das HWG-System sollte keine „Blackbox“ sein, sondern klar kommunizieren, was passiert, wenn Hinweise gemeldet werden. Es ist empfehlenswert, einen oder mehrere zuständige Whistleblowing-Officers zu ernennen, die am besten schon länger im Betrieb sind und das Vertrauen der Belegschaft genießen. Den Anwendungsbereich definieren: Unternehmen sollten präzise beschreiben, für welche Art von Meldungen das Hinweisgebersystem genutzt werden soll. HR, Marketing und Communications an Bord holen: Unternehmen sollten eine gute Kommunikationsstrategie entwickeln und auch die Mitarbeiter einbeziehen, die kein Firmenhandy oder Computer haben. Einen guten Namen finden: Unternehmen sollten für das Hinweisgebersystem einen Namen wählen, der positive Konnotationen hat und Schutz sowie Positives in den Vordergrund rückt. Einbindung unternehmensinterner Stakeholder: Das Unternehmen sollte das mittlere Management und den Betriebsrat einbeziehen, um den Multiplikatoreneffekt zu nutzen. Schulung und Bewusstseinsbildung: Das Unternehmen sollte ein Hinweisgebersystem in Compliance-Schulungen einbinden und eine „Speak-up-culture“ promoten. Es ist wichtig, auch externe Zielgruppen wie Lieferanten, Bewerber und ehemalige Mitarbeiter zu berücksichtigen. Schaffung eines vertrauensvollen Umfelds: Unternehmen sollten ein Umfeld schaffen, in dem die Mitarbeiter Vertrauen haben, dass ihre Hinweise ernst genommen werden. Zeitnah reagieren: Unternehmen sollten auf Hinweise zeitnah reagieren und individuell antworten, um sicherzustellen, dass die Hinweisgeber sich ernstgenommen fühlen.

Für weitere Fragen und Informationen stehen Ihnen die Experten von flustron gerne zur Verfügung.