Beim Begriff Whistleblowing denken viele zunächst an geheime Dokumente, große Enthüllungen und Menschen, die mit Sonnenbrille in Tiefgaragen stehen. Im Unternehmensalltag beginnt Hinweisgeberschutz meist deutlich unspektakulärer: mit einer verdächtigen Rechnung, einem umgangenen Sicherheitsprozess oder der Sorge, dass eine offene Meldung berufliche Nachteile haben könnte.
Das Hinweisgeberschutzgesetz soll dafür sorgen, dass solche Informationen sicher gemeldet und sachgerecht bearbeitet werden können. Verpflichtete Unternehmen brauchen deshalb mehr als eine E-Mail-Adresse. Sie brauchen eine Meldestelle, die vertraulich arbeitet, Fristen einhält, Hinweise bewertet und angemessene Folgemaßnahmen anstoßen kann.
Ein Postfach mit dem Wort „vertraulich“ im Namen ist noch keine unabhängige Meldestelle. Es ist zunächst ein Postfach mit Ambitionen.
Nach dem Hinweisgeberschutzgesetz müssen private Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten eine interne Meldestelle einrichten und betreiben. Für bestimmte Unternehmen aus regulierten Bereichen, insbesondere dem Finanz- und Versicherungssektor, kann die Pflicht unabhängig von der Beschäftigtenzahl bestehen.
Unternehmen mit 50 bis 249 Beschäftigten dürfen eine gemeinsame Meldestelle betreiben. Auch innerhalb einer Unternehmensgruppe sind gemeinsame Strukturen möglich, sofern die gesetzlichen Anforderungen im jeweiligen Unternehmen eingehalten werden.
Entscheidend ist nicht nur, dass irgendwo eine technische Meldemöglichkeit existiert. Die Meldestelle muss tatsächlich betrieben werden. Sie benötigt Zuständigkeiten, Befugnisse und ausreichende Fachkunde. Eingehende Hinweise müssen geprüft und erforderliche Folgemaßnahmen veranlasst werden können.
Whistleblowing im Unternehmen braucht einen verlässlichen Kommunikationsweg. Interne Meldungen müssen in Textform oder mündlich möglich sein. Auf Wunsch der hinweisgebenden Person muss innerhalb angemessener Zeit auch eine persönliche Zusammenkunft ermöglicht werden.
Der Meldekanal muss so gestaltet sein, dass nur die zuständigen und unterstützenden Personen Zugriff auf die eingehenden Informationen haben. Das Vertraulichkeitsgebot schützt nicht nur die Identität der hinweisgebenden Person. Es erfasst auch Personen, die Gegenstand einer Meldung sind, sowie weitere darin genannte Personen.
Anonyme Meldungen muss ein Unternehmen technisch nicht zwingend ermöglichen. Das Gesetz sieht jedoch vor, dass anonym eingehende Hinweise bearbeitet werden sollten. Praktisch kann ein anonymer oder pseudonymer Rückkanal erheblich zur Akzeptanz beitragen. Wer nicht nachfragen kann, muss einen möglicherweise wichtigen Hinweis anhand der ersten drei Sätze beurteilen. Das ist keine ideale Ausgangslage für eine Untersuchung.
Nach Eingang eines Hinweises beginnt ein geregeltes Verfahren. Die interne Meldestelle muss den Eingang grundsätzlich spätestens nach sieben Tagen bestätigen. Anschließend prüft sie unter anderem:
Spätestens drei Monate nach der Eingangsbestätigung muss die hinweisgebende Person eine Rückmeldung über geplante oder bereits ergriffene Maßnahmen erhalten. Dabei dürfen laufende Untersuchungen und die Rechte der beschuldigten oder anderweitig genannten Personen nicht beeinträchtigt werden.
Eine Rückmeldung bedeutet deshalb nicht, dass jedes Untersuchungsergebnis offengelegt werden muss. Schweigen ist allerdings ebenfalls kein Verfahren.
Hinweisgebende Personen können grundsätzlich wählen, ob sie eine interne oder eine zuständige externe Meldestelle nutzen. Eine zentrale externe Meldestelle des Bundes ist beim Bundesamt für Justiz eingerichtet; für bestimmte Bereiche bestehen besondere Zuständigkeiten, etwa bei der BaFin oder dem Bundeskartellamt.
Unternehmen dürfen interne Meldungen fördern, wenn ein Verstoß intern wirksam bearbeitet werden kann und keine Repressalien zu befürchten sind. Sie dürfen den externen Meldeweg jedoch nicht beschränken oder erschweren.
Für Unternehmen ergibt sich daraus ein recht einfacher Zusammenhang: Je vertrauenswürdiger die interne Meldestelle arbeitet, desto eher wird sie auch genutzt. Vertrauen lässt sich nicht in die Verfahrensordnung schreiben und anschließend als erledigt markieren. Es entsteht durch erreichbare Ansprechpartner, nachvollziehbare Prozesse und einen glaubwürdigen Schutz vor Benachteiligungen.
Das Hinweisgeberschutzgesetz erlaubt ausdrücklich, einen Dritten mit den Aufgaben der internen Meldestelle zu beauftragen. Das kann insbesondere für mittelständische Unternehmen sinnvoll sein, denen intern die notwendige Fachkunde, personelle Kapazität oder organisatorische Unabhängigkeit fehlt.
Eine externe Ombudsperson kann Hinweise entgegennehmen, den Kontakt mit der hinweisgebenden Person führen, Sachverhalte rechtlich und organisatorisch einordnen und das weitere Verfahren koordinieren. Gleichzeitig lassen sich Interessenkonflikte reduzieren. Eine Meldung gegen die Geschäftsführung sollte beispielsweise nicht ausgerechnet im persönlichen Postfach der Geschäftsführung enden.
Die Beauftragung einer externen Stelle überträgt allerdings nicht die gesamte Verantwortung. Das Unternehmen bleibt verpflichtet, geeignete Maßnahmen zu ergreifen, um festgestellte Verstöße abzustellen. Auslagern lässt sich die professionelle Bearbeitung. Wegdelegieren lässt sich die Unternehmensverantwortung nicht.
Der Whistleblower-Helpdesk bietet Unternehmen die Möglichkeit, eine externe Ombudsperson einzubinden und die Annahme, Prüfung und strukturierte Bearbeitung von Hinweisen professionell zu organisieren.
Hinweise können zahlreiche personenbezogene Daten enthalten: Namen, berufliche Vorwürfe, Kommunikationsinhalte, Gesundheitsinformationen oder Angaben zu möglichen Straftaten. Betroffen sind nicht nur Hinweisgebende, sondern auch beschuldigte Personen, Zeugen und weitere Beteiligte.
Das Hinweisgeberschutzgesetz erlaubt den Meldestellen die erforderliche Datenverarbeitung. Dadurch verschwinden die Anforderungen der DSGVO jedoch nicht. Unternehmen müssen insbesondere klären:
Die Dokumentation einer Meldung ist grundsätzlich drei Jahre nach Abschluss des Verfahrens zu löschen. Eine längere Aufbewahrung kommt nur infrage, wenn sie zur Erfüllung gesetzlicher Anforderungen erforderlich und verhältnismäßig ist.
Bei einer externen Meldestelle sollten Datenschutz, Vertraulichkeit, technische Sicherheit und die jeweiligen Verantwortlichkeiten deshalb vertraglich sauber geregelt sein. Ein Hinweisgebersystem verarbeitet Informationen, die niemand gern versehentlich im allgemeinen Projektordner wiederfindet.
Hinweisgebende Personen dürfen wegen einer geschützten Meldung nicht benachteiligt werden. Das Verbot umfasst auch die Androhung und den Versuch von Repressalien. Denkbar sind beispielsweise Kündigung, Versetzung, verweigerte Beförderung, Einschüchterung oder eine negative Leistungsbeurteilung als Reaktion auf die Meldung.
Kommt es nach einer Meldung zu einer beruflichen Benachteiligung und macht die hinweisgebende Person einen Zusammenhang geltend, greift eine gesetzliche Beweislastumkehr. Dann muss die andere Seite darlegen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen beruhte oder nicht mit der Meldung zusammenhing.
Das betrifft nicht nur die Meldestelle. Auch Führungskräfte und Personalabteilungen müssen wissen, wie sie nach einem Hinweis handeln und Entscheidungen dokumentieren. Hinweisgeberschutz ist deshalb Teil der Unternehmensorganisation und nicht das diskrete Hobby der Compliance-Abteilung.
Ein funktionierendes Hinweisgebersystem sollte mindestens folgende Punkte abdecken:
Dabei sollte auch geklärt werden, welche Sachverhalte nicht in den gesetzlichen Anwendungsbereich fallen und wohin sonstige Beschwerden weitergeleitet werden. Nicht jede Unzufriedenheit ist ein Fall für das Hinweisgeberschutzgesetz. Sie kann trotzdem ein Problem sein, das jemand bearbeiten sollte.
Wer trotz Verpflichtung keine interne Meldestelle einrichtet und betreibt, riskiert ein Bußgeld von bis zu 20.000 Euro. Bei der Behinderung einer Meldung, Repressalien oder bestimmten Verletzungen der Vertraulichkeit können Bußgelder bis zu 50.000 Euro vorgesehen sein. Daneben kommen Schadensersatzansprüche und weitere arbeits-, datenschutz- oder strafrechtliche Folgen in Betracht.
Der wichtigere wirtschaftliche Punkt liegt häufig früher: Ein gut bearbeiteter interner Hinweis kann helfen, Schäden zu begrenzen, bevor aus einem Problem ein Ermittlungsverfahren, ein Datenschutzvorfall oder eine öffentliche Affäre wird.
Ein Hinweisgebersystem schützt deshalb nicht nur hinweisgebende Personen. Es gibt dem Unternehmen die Möglichkeit, von Problemen zu erfahren, solange noch etwas dagegen unternommen werden kann.
Ein wirksames Hinweisgebersystem besteht aus einem sicheren Meldekanal, unabhängiger Bearbeitung und einem belastbaren Folgeprozess. Fehlt einer dieser Bestandteile, kann ein Hinweis zwar eingehen. Ob daraus eine sinnvolle Reaktion entsteht, bleibt dann eher dem organisatorischen Wetter überlassen.
Gerade für mittelständische Unternehmen kann eine externe Ombudsperson eine pragmatische Lösung sein. Sie verbindet Vertraulichkeit, Fachkunde und klare Fristen, ohne dass intern eine vollständige Spezialfunktion aufgebaut werden muss.
Der Whistleblower-Helpdesk unterstützt Unternehmen dabei, eine externe Ombudsperson einzubinden und die Anforderungen des Hinweisgeberschutzgesetzes praktisch umzusetzen.