7 datenschutzrechtliche Herausforderungen beim Einsatz von...
Erhalten Sie Tipps zu einer rechtskonformen Nutzung und datenschutzrechtlichen Herausforderungen im Zusammenhang mit dem Einsatz von KI.
Inhaltsverzeichnis:
1. Aktuelles
2. Historie
3. Inhalte des Hinweisgeberschutzgesetzes
4. Systematik der Meldestellen
7. Offenlegung
Anders als der Name vermuten ließe, dient dieses Gesetz nicht ausschließlich dem Schutz von Hinweisgebern – auch wenn dies der primäre Zweck ist. Der vorgelagerte, vom Gesetz geforderte Schritt, ist die Einrichtung von Meldesystemen, die das Abgeben von Hinweisen erst ermöglichen.
Private Unternehmen müssen interne, der öffentliche Sektor (bspw. der Bund – geplant über das Bundesamt für Justiz) muss externe Meldestellen einrichten.
Wie für Unternehmen wichtige interne Meldestellen eingerichtet werden können, wer von dem Schutzbereich dieses Gesetzes betroffen ist und welche inhaltlichen Voraussetzungen an eine solche Meldung gelten, erfahren Sie in diesem Beitrag.
Aktuelles
- Mai 2023: Nach einigen Änderungen hat der Bundesrat das Gesetz verabschiedet
- Juli 2023: Einen Monat nach Verkündung im Amtsblatt tritt das HinSchG in Kraft
- Juli 2023: Unternehmen ab 250 Mitarbeitenden müssen eine interne Meldestelle eingerichtet haben
- Dezember 2023: Unternehmen mit 50 bis 249 Mitarbeitenden müssen eine interne Meldestelle eingerichtet haben
Historie
Das nationale Hinweisgeberschutzgesetz entspringt der europäischen „Whistleblower-Richtlinie“. Diese „Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“ (EU 2019/1937) wurde bereits im Oktober 2019 verkündet und sollte bis zum Dezember 2021 in nationales Recht umgesetzt werden.
Deutschland (neben einigen anderen Staaten) befand sich also seit geraumer Zeit in einem Vertragsverletzungsverfahren, aufgrund dessen die EU-Kommission 61.600 Euro pro Tag (mindestens aber 17.248.000 Euro) für die verpasste Umsetzungsfrist fordert.
Nach mehreren erfolglosen Versuchen (der erste Entwurf wurde bereits Ende 2020 vorgestellt) wurde das Hinweisgeberschutzgesetz nun am 12.05.2023 vom Bundesrat verabschiedet.
Die Inhalte des Hinweisgeberschutzgesetzes (HinSchG)
Zweck des Gesetzes ist der Schutz von natürlichen Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese melden oder offenlegen bzw. von Personen, die Gegenstand einer Meldung oder Offenlegung oder anderweitig davon betroffen sind.
Es wird also ein beruflicher Kontext vorausgesetzt, um in den Anwendungsbereich dieses Gesetzes zu fallen.
Adressat dieses Gesetzes sind Beschäftigungsgeber, also natürliche und juristische Personen und Personengesellschaften, die mindestens eine Person beschäftigt haben.
Somit sollten sich auch die allermeisten Shop-Betreiber mit dem Hinweisgeberschutz näher auseinandersetzen, auch wenn das Vorhalten von Meldestellen – dazu später mehr – erst ab einer Beschäftigtenzahl von mindestens 50 Personen verpflichtend ist.
An eine Meldung setzt das Gesetz inhaltliche Anforderungen: Eine solche muss Informationen über Verstöße enthalten, die straf- oder bußgeldbewehrt sind oder gegen sonstige nationale und EU-weite Regelungen verstoßen bzw. deren Ziele zuwiderlaufen, die in § 2 des HinSchG normiert sind (bspw. Produktsicherheit, Umweltschutz oder auch Vorschriften zum Schutz von personenbezogenen Daten – zum Schutz von Daten empfehlen wir den Blogbeitrag 5 Jahre DSGVO).
So wird eine unliebsame Liaison zwischen Kolleg*innen wohl nicht ohne weiteres als ein solcher Verstoß zu werten sein. Führt diese aber dazu, dass vertrauliche Daten unberechtigterweise offengelegt werden, wäre dies möglicherweise ein von dem HinSchG umfasster und somit meldbarer Verstoß.
Hier wäre aber zu prüfen, ob die Anwendung des HinSchG entfällt, weil vorrangige Sicherheitsinteressen oder Verschwiegenheits- / Geheimhaltungspflichten den Anwendungsbereich dieses Gesetzes einschränken können.
Es ist ratsam, gemeldete Verstöße durch geschultes Personal im Vorhinein auf ihre Substanz hin untersuchen zu lassen, bspw. durch die betreuenden Rechtsanwälte einer extern ausgelagerten internen Meldestelle. Interne, externe, externe interne Meldestellen: Was bedeutet das eigentlich?
Die Systematik der Meldestellen
Der Gesetzgeber sieht mehrere Möglichkeiten vor, wie ein Verstoß gemeldet werden kann. Während eine externe Meldestelle in öffentlicher Hand liegt – bspw. verwaltet durch den Bund oder die Länder – werden interne Meldestellen durch den Beschäftigenden selbst oder ausgelagert an einen Dritten betrieben.
Der meldenden Person bleibt es frei, sich für eine Meldung an eine interne oder an eine externe Stelle zu wenden. Die Wahl einer internen Meldung wird jedoch von dem Gesetzgeber als vorzugswürdig erachtet, so nimmt er auch Beschäftigende in die Pflicht, Anreize für eine interne Meldung zu schaffen.
Alle eingegangenen Meldungen sind zu dokumentieren – ggf. auch mittels eines Wort- oder Inhaltsprotokolls – und in dauerhaft abrufbarer Weise abzulegen.
Wichtig dabei ist, dass die Vertraulichkeit der Identität der hinweisgebenden bzw. der in der Meldung genannten Personen gewahrt wird. Diese Dokumentation unterliegt einer Löschfrist von drei Jahren, es sei denn, Rechtsvorschriften erfordern eine längere Aufbewahrung und diese ist auch verhältnismäßig.
Externe Meldestelle
Der Bund errichtet eine unabhängige externe Meldestelle bei dem Bundesamt für Justiz, für den der*die Präsident*in dieses Bundesamts die Dienstaufsicht übernimmt. Diese Stelle ist jedoch nur zuständig, sofern keine andere, speziellere Meldestelle einschlägig ist. Speziellere Meldestellen sind einerseits solche, die durch die einzelnen Bundesländer eingerichtet werden, andererseits solche, die spezifische Themenfelder abdecken – bspw. die Finanzdienstleistungsaufsicht oder das Bundeskartellamt.
Die Pflicht zur Bearbeitung anonymer Meldungen wurde im letzten Vermittlungsausschuss dahingehend aufgeweicht, dass solche Meldungen nur noch bearbeitet werden sollen (nicht müssen) und es keine Verpflichtung gibt, Meldekanäle so einzurichten, dass eine anonyme Meldung möglich ist.
Diese Meldekanäle müssen den Eingang mündlicher (bspw. per Telefon) und Meldungen in Textform ermöglichen – aber auch persönliche Übereinkünfte oder solche über Bild- und Tonübertragungsprogramme sollen möglich sein.
Neben einer umgehenden Eingangsbestätigung leitet die externe Stelle ggf. Folgemaßnahmen ein und gibt spätestens drei bzw. in Ausnahmefällen sechs Monate nach Eingang der Meldung eine Rückmeldung.
Die externen Meldestellen arbeiten fachlich unabhängig und auch von den im Folgenden erläuterten internen Stellen getrennt.
Interne Meldestellen
Sie betreiben einen Shop mit einer Mitarbeiterzahl von mindestens 50 Personen? Dann haben Sie dafür zu sorgen, eine interne Meldestelle für Beschäftigte einzurichten und diese in Betrieb zu halten.
Die internen Stellen betreiben Meldekanäle, führen ein bestimmtes Verfahren nach einer Meldung durch und ergreifen ggf. Folgemaßnahmen. Zudem halten sie für Beschäftigte Informationen über externe Meldeverfahren bereit.
Die Aufgaben einer internen Meldestelle können auch an einen externen Dritten ausgelagert werden, was den*die Beschäftigende*n jedoch nicht von der Pflicht befreit, geeignete Maßnahmen zu ergreifen, um einen etwaigen Verstoß abzustellen.
Der Vorteil des Auslagerns einer internen Meldestelle an einen externen Dritten ist die zu unterstellende Unabhängigkeit (einem möglichen Interessenskonflikt wird somit vorgebeugt) und notwendige Fachkunde (Weiterbildungskosten eigener Mitarbeiter*innen werden eingespart), über die die eingesetzte Person verfügen muss.
Ein eingerichteter Meldekanal muss Beschäftigten (inkl. Leiharbeitnehmer*innen) die Möglichkeit einräumen, von dem HinSchG umfasste Verstöße melden zu können. Diese können in mündlicher (bspw. per Telefon) oder in Textform eingereicht werden, auf Ersuchen der hinweisgebenden Person ist auch eine persönliche Zusammenkunft zu ermöglichen.
In der Praxis wird es wohl der häufigste Fall sein, eine Telefon- und E-Mail-Kontaktmöglichkeit als Meldekanäle bereitzustellen.
Anders, als es noch die letzte Entwurfsfassung des HinSchG vorsah, trifft Beschäftigende auch bei der internen Meldestelle keine Pflicht mehr, anonyme Meldungen zu bearbeiten bzw. einen Meldekanal für ebensolche Meldungen einzurichten.
Falls eine anonyme Meldung eingeht, soll sie dennoch bearbeitet werden.
Wie sieht nun konkret das Verfahren aus, wenn eine Meldung an eine interne Stelle eingegangen ist?
- Eingang der Meldung an die hinweisgebende Person bestätigen
- Prüfung, ob es sich bei der Meldung um einen vom HinSchG umfassten Verstoß handelt
- Hinweisgebende Person up to date halten
- Stichhaltigkeit der Meldung prüfen
- Erforderlichenfalls die hinweisgebende Person um weitere Informationen bitten
- Angemessene Folgemaßnahmen ergreifen
- Sofern nicht hinderlich für weitere Ermittlungen und keine Beeinträchtigung der hinweisgebenden Person zu erwarten ist: Rückmeldung geplanter und bereits eingeleiteter Folgemaßnahmen, spätestens nach drei Monaten und 7 Tagen nach Eingang der Meldung
Angemessene Folgemaßnahmen können unter anderem das Einleiten einer internen Untersuchung, die Verweisung der hinweisgebenden Person an eine andere zuständige Stelle oder die Weiterleitung bzw. das Einstellen des Verfahrens sein.
Offenlegung
Hinweisgebende, deren Meldung an eine externe Meldestelle ohne das Ergreifen angemessener Folgemaßnahmen oder einer Rückmeldung zu diesen verbleibt, fallen auch bei einer anderweitigen Veröffentlichung – bspw. gegenüber der Presse – in den Schutzbereich des HinSchG.
Selbiges gilt, wenn die hinweisgebende Person einen hinreichenden Grund zur Annahme vorweisen kann, dass bei einer externen Meldung eine Gefährdung des öffentlichen Interesses vorliegen wird, Repressalien zu befürchten sind oder es durch die Unterdrückung/Vernichtung von Beweismitteln bzw. der Absprache von Beteiligten zu unwirksamen Folgemaßnahmen kommen wird.
Die Konsequenzen (angedrohter/versuchter) Repressalien nach einer Meldung/Offenlegung
Grundsätzlich gilt, dass jegliche Repressalien gegen die hinweisgebende Person verboten sind, inklusive deren Androhung und das versuchte Ausüben.
Erleidet die hinweisgebende Person eine Benachteiligung im beruflichen Kontext, nachdem durch sie eine Meldung oder Offenlegung erfolgt ist, wird vermutet, dass es sich hierbei um eine solche verbotene Repressalie handelt.
Unternehmen haben dann zu beweisen, dass diese Benachteiligung auf gerechtfertigten Gründen basiert oder nicht in einem Zusammenhang mit der Meldung oder Offenlegung steht. Kann er das nicht, so ist er der hinweisgebenden Person gegenüber schadensersatzpflichtig.
Zudem stellen auch schon nur versuchte Repressalien eine Ordnungswidrigkeit dar, die mit bis zu 50.000 Euro bestraft werden kann. Gleiches gilt, wenn eine Meldung oder die auf eine Meldung folgende Kommunikation behindert oder dies versucht wird oder die Vertraulichkeit nicht gewahrt wird.
Wird nicht fristgemäß eine interne Meldestelle eingerichtet und betrieben, kann dies zu Bußgeldern bis zu 20.000 Euro führen.
Was ist jetzt zu tun?
Ich bin Shop-Betreiber*in und habe mindestens eine beschäftigte Person. Was muss ich jetzt konkret beachten?
Wenn Sie den Blog-Beitrag bis hierhin gelesen haben, ist der erste Schritt bereits getan: Setzen Sie sich mit den Inhalten des Gesetzes auseinander, um bei etwaigen Kontaktversuchen nicht unvorbereitet zu sein!
Bei 50 bis 249 Beschäftigten sollten Sie sich zeitnah über die Einrichtung einer internen Meldestelle inkl. zugehöriger Meldekanäle auseinandersetzen und Prozesse entwickeln, wie Sie das o.g. Verfahren und die Folgemaßnahmen einer internen Meldung implementieren wollen – ob nun gänzlich intern oder teilweise ausgelagert an einen Dritten.
Bei 250 oder mehr Beschäftigten ist Eile bei der Einrichtung einer internen Meldestelle geboten, aber auch hier gilt: Erst Informationen einholen und auf Basis derer Entscheidungen treffen – zügig, aber ohne Hast!
Über den Autor
Fabian Pohl absolvierte das Studium Wirtschaftsrecht an der Universität Siegen. Nachdem er erste Erfahrungen in den Gebieten des Vertrags-, Unternehmens- und Datenschutzrecht in einer Digital-Agentur sammeln konnte, schloss er sich 2022 Trusted Shops an. Dort betreut er als Legal Consultant mit dem Schwerpunkt Datenschutzrecht die Trusted Shops Legal Produkte.
08.06.23
