{"id":10916,"date":"2023-02-28T08:00:25","date_gmt":"2023-02-28T07:00:25","guid":{"rendered":"https:\/\/barth-datenschutz.de\/?p=10916"},"modified":"2024-12-03T05:52:26","modified_gmt":"2024-12-03T04:52:26","slug":"hinweisgeberschutzgesetz","status":"publish","type":"post","link":"https:\/\/barth-datenschutz.de\/blog\/hinweisgeberschutzgesetz\/","title":{"rendered":"Zusammenfassung des neuen Hinweisgeberschutzgesetzes: Das sollten Sie wissen"},"content":{"rendered":"<p>Bald kommen auf Unternehmen und Beh\u00f6rden neue Vorgaben zu: Das neue Hinweisgeberschutzgesetz fordert das Einrichten eines Meldesystems f\u00fcr Rechtsverst\u00f6\u00dfe. Dieser Beitrag beantwortet die wichtigsten Fragen rund um die Hinweisgeberrichtlinie.<\/p>\n<p><em>Dieser Beitrag wurde am 28.02.2023 aktualisiert.<\/em><\/p>\n<h2>Was steckt hinter dem Hinweisgeberschutzgesetz?<\/h2>\n<p>Das Hinweisgeberschutzgesetz, auch Hinweisgeberrichtlinie genannt, ist eine versp\u00e4tete Umsetzung der EU-Whistleblower-Richtlinie auf nationaler Ebene. Letztere trat 2019 in Kraft und sollte bereits 2021 in Deutschland umgesetzt werden. Das Hinweisgeberschutzgesetz soll<\/p>\n<p style=\"text-align: left;\">a) Mitarbeiter vor Entlassung, Mobbing, Disziplinarverfahren, Abmahnung oder anderweitiger Benachteiligung sch\u00fctzen, wenn sie Verst\u00f6\u00dfe gegen Compliance, jegliches EU-Recht oder deutsches Recht oder verfassungsfeindliche \u00c4u\u00dferungen bei Beamten bemerken und diese melden und<\/p>\n<p style=\"text-align: left;\">b) das Melden dieser Verst\u00f6\u00dfe erleichtern.<\/p>\n<p>Im Folgenden finden Sie einen verst\u00e4ndlichen \u00dcberblick, zur Umsetzung der Richtlinie (EU) 2019\/1937 \u2013 oder auf Deutsch: Wie Sie die Hinweisgeberrichtlinie umsetzen.<\/p>\n<h2>Wann tritt die Hinweisgeber-Richtlinie bzw. das Hinweisgeberschutzgesetz in Kraft?<\/h2>\n<p>Das steht bislang in den Sternen. Am 19. Oktober 2022 fand eine \u00f6ffentliche Anh\u00f6rung zum Entwurf im Rechtsausschuss des Bundestages statt; seitdem dreht sich die Sache im Kreis. Der aktuelle Stand: Am 10. Februar 2023 wurde die <a href=\"https:\/\/netzpolitik.org\/2023\/whistleblower-bundesrat-blockiert-hinweisgeberschutzgesetz\/\" target=\"_blank\" rel=\"noopener\">Hinweisgeber-Richtlinie vom Bundesrat abgelehnt<\/a> und kann also nicht, wie erst geplant, im April 2023 in Kraft treten.<\/p>\n<h2>Was ist ein Hinweisgeber?<\/h2>\n<p>Als Hinweisgeber versteht das neue Hinweisgeberschutzgesetz alle Besch\u00e4ftigen eines Unternehmens oder eine Beh\u00f6rde. Hinweisgeber kann vom Festangestellten bis zum Freelancer jeder sein, der im Unternehmen besch\u00e4ftigt ist. Dar\u00fcber hinaus werden mit dem Gesetz auch Einwohner gesch\u00fctzt, aber ich werde mich in diesem Beitrag auf Unternehmen und Beh\u00f6rden beschr\u00e4nken.<\/p>\n<h2>Wer muss das Hinweisgeberschutzgesetz umsetzen?<\/h2>\n<p>Hier wird es jetzt etwas kompliziert. F\u00fcr wen die Hinweisgeberrichtlinie gilt, h\u00e4ngt unter anderem von der Art der Einrichtung und der Zahl der Besch\u00e4ftigten ab.<\/p>\n<p>Ein eigenes Hinweisgebersystem, wie ich es im n\u00e4chsten Absatz erl\u00e4utere, ben\u00f6tigen mit Inkrafttreten des neuen Hinweisgeberschutzgesetzes:<\/p>\n<ul>\n<li>Beh\u00f6rden und Unternehmen ab 50 Mitarbeitern<\/li>\n<li>Nach <a href=\"https:\/\/dserver.bundestag.de\/btd\/20\/034\/2003442.pdf\">\u00a7 12 des aktuellen Entwurfes<\/a> unabh\u00e4ngig von der Mitarbeiterzahl\n<ul>\n<li>Wertpapierdienstleistungsunternehmen<\/li>\n<li>Datenbereitstellungsdienste<\/li>\n<li>B\u00f6rsentr\u00e4ger<\/li>\n<li>Kredit- und Wertpapierinstitute<\/li>\n<li>Kapitalverwaltungsgesellschaften<\/li>\n<li>Versicherer<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>Unternehmen zwischen 50 und 250 Mitarbeitern haben zun\u00e4chst eine Schonfrist. Ab dem 17.12.2023 muss auch jedes Unternehmen ab 50 Mitarbeitern ein <a href=\"https:\/\/barth-datenschutz.de\/faqs\/welche-pflichten-gibt-es-fuer-die-betroffenen-unternehmen-und-organisationen\/\">Meldesystem<\/a> einrichten.<\/p>\n<p>Sie sollten au\u00dferdem noch einige Besonderheiten in Bezug auf den Ort der Meldestelle kennen:<\/p>\n<ul>\n<li>F\u00fcr Beh\u00f6rden legen Bund oder Land (je nachdem, wer Arbeitgeber ist) die Meldestelle auf Bundes- oder Landesebene fest<\/li>\n<li>Mehrere Unternehmen mit weniger als 250 Mitarbeitern k\u00f6nnen eine gemeinsame Meldestelle betreiben<\/li>\n<li>Konzerne k\u00f6nnen die Meldestelle bei der Konzernmutter einrichten<\/li>\n<\/ul>\n<h2>Das Hinweisgeberschutzgesetz kommt: Achim Barth im Interview bei Hamburg 1 &#8222;Gut beraten&#8220;<\/h2>\n<div style=\"padding: 56.25% 0 0 0; position: relative;\">\n<div class=\"brlbs-cmpnt-container brlbs-cmpnt-content-blocker brlbs-cmpnt-with-individual-styles\" data-borlabs-cookie-content-blocker-id=\"default\" data-borlabs-cookie-content=\"PGlmcmFtZSBzdHlsZT0icG9zaXRpb246IGFic29sdXRlOyB0b3A6IDA7IGxlZnQ6IDA7IHdpZHRoOiA4MDBweDsgaGVpZ2h0OiA0NTBweDsiIHRpdGxlPSJHdXQtQmVyYXRlbi1BY2hpbS1CYXJ0aC1JbnRlcnZpZXcyLm1wNCIgc3JjPSJodHRwczovL3BsYXllci52aW1lby5jb20vdmlkZW8vNzc2OTc3NjEwP2g9NWNlYzdkOTRmOCZhbXA7YmFkZ2U9MCZhbXA7YXV0b3BhdXNlPTAmYW1wO3BsYXllcl9pZD0wJmFtcDthcHBfaWQ9NTg0NzkiIGZyYW1lYm9yZGVyPSIwIiBhbGxvd2Z1bGxzY3JlZW49ImFsbG93ZnVsbHNjcmVlbiI+PC9pZnJhbWU+\">\n<div class=\"brlbs-cmpnt-cb-preset-a\">\n<p class=\"brlbs-cmpnt-cb-description\">Sie sehen gerade einen Platzhalterinhalt von <strong>Standard<\/strong>. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf den Button unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.<\/p>\n<div class=\"brlbs-cmpnt-cb-buttons\"> <a class=\"brlbs-cmpnt-cb-btn\" href=\"#\" data-borlabs-cookie-unblock role=\"button\">Inhalt entsperren<\/a> <a class=\"brlbs-cmpnt-cb-btn\" href=\"#\" data-borlabs-cookie-accept-service role=\"button\" style=\"display: none\">Erforderlichen Service akzeptieren und Inhalte entsperren<\/a> <\/div>\n<p> <a class=\"brlbs-cmpnt-cb-provider-toggle\" href=\"#\" data-borlabs-cookie-show-provider-information role=\"button\">Weitere Informationen<\/a> <\/div>\n<\/div>\n<\/div>\n<p><script src=\"https:\/\/player.vimeo.com\/api\/player.js\"><\/script><\/p>\n<h2>Wie hat so ein Meldesystem im Sinne des Hinweisgeberschutzgesetzes auszusehen?<\/h2>\n<p>Sie wissen nun, wer ein Hinweisgebersystem einrichten muss. Nun stellt sich noch die Frage: Wie soll das aussehen? Grunds\u00e4tzlich haben Hinweisgeber laut Hinweisgeber-Richtlinie die Wahl, ob sie einen Versto\u00df direkt bei der \u201ehauseigenen\u201c <a href=\"https:\/\/barth-datenschutz.de\/faqs\/was-ist-ein-meldestellen-beauftragter\/\">Meldestelle<\/a> oder bei einer der drei externen Meldestellen des Bundes melden:<\/p>\n<ul>\n<li>Bundesministerium f\u00fcr Justiz<\/li>\n<li>Bundesanstalt f\u00fcr Finanzdienstleistungen<\/li>\n<li>Bundeskartellamt<\/li>\n<\/ul>\n<p>Wendet sich ein Hinweisgeber aber direkt an eine Bundesstelle, k\u00f6nnen direkt staatliche Kontrollen Ihres Unternehmens angeordnet werden. Ich rate Ihnen also dringend dazu, ein m\u00f6glichst attraktives, leicht nutzbares Meldesystem einzurichten \u2013 besonders, da bei Verhinderung von Meldungen durch das Unternehmen ein Bu\u00dfgeld von bis zu 100.000 Euro droht. Haben Sie bis drei Monate nach Inkrafttreten des Gesetzes trotz Verpflichtung keine <a href=\"https:\/\/barth-datenschutz.de\/faqs\/vorteile-die-interne-meldestelle-durch-einen-externen-datenschutzbeauftragten-betreiben-zu-lassen\/\">Meldestelle<\/a> eingerichtet, k\u00f6nnen Sie mit einem Bu\u00dfgeld von 20.000 Euro rechnen.<\/p>\n<p>Mit der Meldestelle Ihres Unternehmens verh\u00e4lt es sich \u00e4hnlich wie mit der Benennung eines <a href=\"https:\/\/barth-datenschutz.de\/presse\/pressemitteilungen\/wofuer-brauchen-unternehmen-einen-datenschutzbeauftragten\/\">Datenschutzbeauftragten<\/a>: Sie muss unabh\u00e4ngig arbeiten und frei von Interessenskonflikten sein. Dar\u00fcber hinaus sollte sich der Beauftragte nach einer grundlegenden Schulung regelm\u00e4\u00dfig weiterbilden. Mit einem eigenen Mitarbeiter als Vertrauensperson kann das zum Mammutprojekt heranwachsen. Das Hinweisgeberschutzgesetz h\u00e4lt deshalb auch die M\u00f6glichkeit offen, eine externen Meldestellen-Beauftragten als Ombudsmann f\u00fcr Hinweis-Entgegennahme, Ermittlung und Kommunikation mit dem Hinweisgeber einzustellen.<\/p>\n<p>In jedem Fall gilt: Es muss dem Hinweisgeber m\u00f6glich sein, Verst\u00f6\u00dfe sowohl m\u00fcndlich als auch schriftlich ohne H\u00fcrden zu melden. Richten Sie also eine Telefonhotline, eine E-Mail-Adresse oder ein Onlineportal ein, um <a href=\"https:\/\/barth-datenschutz.de\/faqs\/wie-laeuft-die-bearbeitung-eines-hinweises-in-der-praxis-ab\/\">Meldungen<\/a> entgegenzunehmen.<\/p>\n<h2>Was ist nach einer Meldung zu tun?<\/h2>\n<p>Geht eine Meldung ein, hat erst einmal innerhalb von sieben Tagen nach Eingang eine Meldebest\u00e4tigung an den Hinweisgeber zu erfolgen. Die Meldung wird dokumentiert und revisionssicher eingepflegt. Dann beginnt die Ermittlung im Unternehmen bzw. der jeweiligen Organisationseinheit. Die Meldestelle muss den Hinweis unparteiisch pr\u00fcfen, mit den Betroffenen sprechen und den Hinweisgeber, wenn n\u00f6tig, an andere zust\u00e4ndige Stellen verweisen. Dazu hat die Meldestelle drei Monate Zeit. Sie sollte in diesem Zeitraum au\u00dferdem den Hinweisgeber \u00fcber das bisher erfolgte bzw. geplante Vorgehen informieren und dieses begr\u00fcnden.<\/p>\n<p>Erfolgt keine Reaktion, kann der Hinweisgeber als letztes Mittel nat\u00fcrlich immer noch an die \u00d6ffentlichkeit gehen.<\/p>\n<h2>Wie verh\u00e4lt es sich bei der Umsetzung der EU-Hinweisgeberrichtlinie mit dem Datenschutz?<\/h2>\n<p>Der aktuelle Entwurf der Hinweisgeberrichtlinie sieht nicht vor, dass Sie ein anonymes Meldesystem anbieten. Im Sinne von DSGVO und BDSG sind die Daten der Hinweisgeber also in jedem Fall vor dem Einblick unbefugter Dritter zu sch\u00fctzen.<\/p>\n<p>Konkret schreibt \u00a7 8 des Hinweisgeberschutzgesetzes:<br \/>\n<em>(1) Die Meldestellen haben die Vertraulichkeit der Identit\u00e4t der folgenden Personen zuwahren:<\/em><\/p>\n<ol>\n<li><em>der hinweisgebenden Person, sofern die gemeldeten Informationen Verst\u00f6\u00dfe betreffen, die in den Anwendungsbereich dieses Gesetzes fallen, oder die hinweisgebende Person zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass dies der Fall sei,<\/em><\/li>\n<li><em>der Personen, die Gegenstand einer Meldung sind, und<\/em><\/li>\n<li><em>der sonstigen in der Meldung genannten Personen.<\/em><\/li>\n<\/ol>\n<p><em>Die Identit\u00e4t der in Satz 1 genannten Personen darf ausschlie\u00dflich den Personen, die f\u00fcr die Entgegennahme von Meldungen oder f\u00fcr das Ergreifen von Folgema\u00dfnahmen zust\u00e4ndig sind, sowie den sie bei der Erf\u00fcllung dieser Aufgaben unterst\u00fctzenden Personen bekannt werden.<\/em><\/p>\n<p><em>(2) Das Gebot der Vertraulichkeit der Identit\u00e4t gilt unabh\u00e4ngig davon, ob die Melde-stelle f\u00fcr die eingehende Meldung zust\u00e4ndig ist.<\/em><\/p>\n<h2>Muss ich als Unternehmer jetzt mit Sch\u00e4den durch Falschmeldungen rechnen?<\/h2>\n<p>Unternehmer sollten das neue Hinweisgeberschutzgesetz nicht als Strafe sehen. Begehen Sie keine bewussten Verst\u00f6\u00dfe, haben Sie nichts zu bef\u00fcrchten. Begehen Sie unwissentlich einen Versto\u00df, k\u00f6nnen Sie das Meldesystem als eine Art Fr\u00fchwarnsystem betrachten: Mitarbeiter k\u00f6nnen hier Missst\u00e4nde aufzeigen, bevor Beh\u00f6rden darauf aufmerksam werden.<\/p>\n<p>Nun kann es nat\u00fcrlich immer sein, dass ein Mitarbeiter Ihnen eins auswischen will und falsche Hinweise liefert. Stellt eine Meldestelle eine Falschmeldung fest und ist dadurch schon ein Schaden entstanden, muss der Hinweisgeber f\u00fcr diesen Schaden aufkommen. Als Unternehmer sind Sie der Hinweisgeberrichtlinie also nicht schutzlos ausgeliefert, was besonders wichtig ist, da f\u00fcr das Melderecht mitunter auch Verschwiegenheits- oder Geheimhaltungspflichten umgangen werden d\u00fcrfen.<\/p>\n<h2>Mein Fazit: Mit der Hinweisgeberrichtlinie kommt wieder Einiges auf Unternehmen zu<\/h2>\n<p>F\u00fcr Hinweisgeber ist der erweiterte Schutz und die damit verbundene Erleichterung bei Verfolgen von Missst\u00e4nden nat\u00fcrlich zu begr\u00fc\u00dfen. Auf Unternehmen kommt damit aber wieder einiges an Arbeit zu.<\/p>\n<p>\u00c4hnlich wie bei der Frage nach dem Datenschutzbeauftragten empfehle ich deshalb auch hier: Machen Sie es sich nicht unn\u00f6tig schwer und geben Sie die Sache an einen externen Partner ab, sobald das neue Hinweisgeberschutzgesetz in Kraft tritt. So sparen Sie Zeit und Nerven, die Sie sonst in das Einrichten und Pflegen des Hinweissystems investieren m\u00fcssten.<\/p>\n<p>Laden Sie sich gerne noch meine kostenlose Kurz-\u00dcbersicht zum Hinweisgeberschutzgesetz herunter!<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Sp\u00e4testens ab dem 1. Quartal 2023 kommen auf Unternehmen und Beh\u00f6rden neue Vorgaben zu: Das neue Hinweisgeberschutzgesetz fordert das Einrichten eines Meldesystems f\u00fcr Rechtsverst\u00f6\u00dfe. Dieser Beitrag beantwortet die wichtigsten Fragen rund um die Hinweisgeberrichtlinie.<\/p>\n","protected":false},"author":106,"featured_media":10918,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[297],"tags":[298,299,300],"class_list":["post-10916","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hinweisgeberschutzgesetz","tag-hinweisgeberrichtlinie","tag-hinweisgebersystem","tag-whistleblower-unternehmen"],"_links":{"self":[{"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/posts\/10916","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/users\/106"}],"replies":[{"embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/comments?post=10916"}],"version-history":[{"count":1,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/posts\/10916\/revisions"}],"predecessor-version":[{"id":12918,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/posts\/10916\/revisions\/12918"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/media\/10918"}],"wp:attachment":[{"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/media?parent=10916"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/categories?post=10916"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/barth-datenschutz.de\/blog\/wp-json\/wp\/v2\/tags?post=10916"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}