Von den Regelungen direkt betroffen sind, unabhängig von der Rechtsform, alle Unternehmen, die in der Regel mindestens 50 Beschäftigte haben (§ 12 Abs. 2 HinSchG-E).

Vom Schutzbereich umfasst sind alle natürlichen Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an interne oder externe Meldestellen melden oder offenlegen (hinweisgebende Personen), § 1 Abs. 1 HinSchG-E. Erfasst sind unter anderem auch Teilzeitkräfte, Leiharbeitnehmer und Praktikanten/Freiwillige, Lieferanten sowie Personen, deren Arbeitsverhältnis bereits beendet ist oder noch nicht begonnen hat (Art. 4 der RL).

Interne Meldestellen sind vom Unternehmen organisierte Meldestellen (interne Abteilung oder externe Dienstleister wie Ombudspersonen, externe Berater, Prüfer, Gewerkschaftsvertreter), an die sich die Beschäftigten wenden können, § 12 Abs. 1 HinSchG-E.

Externe Meldestellen werden zuständige Behörden unter anderem auf Bundes- und Länderebene sein sowie bei der BaFin und beim Bundeskartellamt.

Unternehmen können ihr Hinweisgebersystem für Dritte öffnen, § 12 Abs. 1 S. 3 HinSchG-E. Das bietet sich insbesondere für Unternehmen an, die aufgrund ihrer Arbeitnehmeranzahl unter das Lieferkettenschutzgesetz fallen und ohnehin ein Beschwerdeverfahren einrichten müssen, das nicht auf Arbeitnehmer beschränkt ist.

Zunächst prüft die interne Meldestelle unter anderem, ob der gemeldete Verstoß in den Anwendungsbereich des HinSchG fällt und die Meldung stichhaltig ist sowie ob weitere Informationen vom Hinweisgeber erforderlich sind.

Fristenmanagement:

• Die interne Meldestelle muss binnen sieben Tagen Rückmeldung an den Melder geben, § 17 Abs. 1 Nr. 1 HinSchG-E.
• Darüber hinaus ist binnen drei Monaten eine Rückmeldung an Melder über den Verfahrensstand zu geben, § 17 Abs. 2 HinSchG-E.

Die interne Meldestelle muss „angemessene“ Folgemaßnahmen ergreifen. Es besteht allerdings keine Meldepflicht des Verstoßes an die Behörden (vgl. § 18 Nr. 4 HinSchG-E).

Von den Unternehmen sind interne Meldekanäle für alle Beschäftigten sowie Leiharbeitnehmer einzurichten, über die sich diese mit Informationen über Verstöße an die interne Meldestelle wenden können, § 16 Abs. 1 HinSchG-E.

Weder die RL noch das HinSchG-E fordern die Möglichkeit der anonymen Meldung. Die Anonymität der Identität des Melders muss jedoch außerhalb der Meldestelle gewährleistet werden.

Mindeststandard der Meldekanäle:

• Es besteht insbesondere die Pflicht zur vertraulichen Behandlung der Identität des Melders.
• Der Inhalt interner Meldungen muss umfassend dokumentiert werden.
• Die Meldestelle muss laufenden Kontakt mit dem Melder halten, diesem ggf. Rückfragen stellen und für physische Zusammenkünfte zur Verfügung stehen.
• Darüber hinaus sind bei Abschluss des Verfahrens Löschungsverpflichtungen und sonstige datenschutzrechtliche Vorgaben zu beachten.

Nach dem RefE kann in einem Konzern auch ein zentrales internes Hinweisgebersystem (etwa bei der Konzernobergesellschaft) eingerichtet werden. In diesem Punkt widerspricht der RefE eindeutig zwei Stellungnahmen der EU-Kommission zur Auslegung der Richtlinie, die für Tochtergesellschaften mit in der Regel mehr als 249 Beschäftigten je eine eigene Meldestelle verlangt. Einige Mitgliedstaaten haben die RL auch entsprechend umgesetzt. Es bleibt daher abzuwarten, ob es bei der derzeitigen Regelung im RefE bleibt.

Aktuell ist es nach dem HinSchG-E jedenfalls möglich, auch bei einer anderen Konzerngesellschaft eine unabhängige und vertrauliche Meldestelle als „Dritter“ (Art. 8 Abs. 5 RL) einzurichten, die für mehrere selbstständige Unternehmen im Konzern tätig sein kann. So kann beispielsweise eine Konzernobergesellschaft mit eigener Compliance-Abteilung von ihren Tochtergesellschaften beauftragt werden, eingehende Meldungen von Hinweisgebern zu empfangen und diese – getrennt nach Gesellschaften – vertraulich zu bearbeiten.

Notwendig ist in diesem Fall aber, dass die originäre Weiterverfolgung und das Abstellen der Verstöße bei der jeweiligen (Konzern)Tochtergesellschaft verbleibt.

Das HinSchG-E umfasst neben Verstößen gegen von der RL erfasstes Unionsrecht auch Verstöße gegen nationale Strafvorschriften und bußgeldbewährte Vorschriften, soweit die Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient. Dies ist eine Einschränkung gegenüber dem alten RefE der Vorgängerregierung, der „alle Verstöße, die straf- oder bußgeldbewehrt sind“ erfasste.

Bußgelder:

• Bußgeld von bis zu 100.000 Euro, wer eine Meldung oder die darauffolgende Kommunikation verhindert (oder dies versucht), wer verbotene Repressalien ergreift (oder dies versucht) oder wer vorsätzlich oder fahrlässig das Vertraulichkeitsgebot missachtet.
• Geldbuße von bis zu 20.000 Euro: Nicht-Einrichtung und das Nicht-Betreiben eines internen Meldesystems
• Juristische Personen können zudem mit einer Geldbuße sanktioniert werden, wenn eine Leitungsperson die Ordnungswidrigkeit begangen hat. Gleichzeitig können Aufsichtspflichtverletzungen sanktioniert werden.

Im RefE ist eine Beweislastumkehr vorgesehen. Danach wird zugunsten des Hinweisgebers bei einer erlittenen Benachteiligung nach einer Meldung oder Offenlegung vermutet, dass diese Benachteiligung eine verbotene Repressalie (zum Beispiel die Kündigung eines Arbeitsverhältnisses oder eine Abmahnung im Arbeitsverhältnis) ist. Es obliegt dann dem Arbeitgeber (bzw. Dienstgeber, Auftraggeber oder der sonstigen Organisation) zu beweisen, dass sie auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung oder Offenlegung beruhte. Damit könnte jede Maßnahme des Arbeitgebers, die in einem zeitlichen Zusammenhang mit der Meldung steht, Indizwirkung haben und damit ein erhebliches Streitpotenzial bieten.

Der Hinweisgeber kann unter Umständen auch einen Schadensersatzanspruch gegen den Arbeitgeber geltend machen, wenn dieser gegen das Verbot von Repressalien verstößt. Es besteht hier allerdings kein Anspruch auf Begründung eines Beschäftigungsverhältnisses oder eine beruflich bessere Position.

Für Unternehmen mit 50 bis 249 Beschäftigten sieht der RefE in § 42 HinSchG-E eine verlängerte Umsetzungsfrist bis 17. Dezember 2023 vor.

Auch wenn es für bestimmte Unternehmen Übergangsfristen gibt, sollte zur Vermeidung von Bußgeldern dringend – gegebenenfalls auch mit externer fachlicher Unterstützung durch Rechtsanwälte – mit der Vorbereitung zur Einrichtung von internen Meldestellen begonnen werden. Unternehmen, die bereits ein Compliance Management System haben, können hier die Maßnahmen zum Schutz von Hinweisgebern gut integrieren.

Die größten finanziellen Auswirkungen wird nicht die Einrichtung der internen Meldestelle haben, sondern die Ermittlungen und Folgemaßnahmen bei Verstößen. Bei der Ausgestaltung interner Meldestellen im Unternehmen durch eigene Mitarbeiter (etwa Compliance Officer/Korruptionsbeauftragter/Datenschutzbeauftragter/Audit-Verantwortlicher) sollte insbesondere deren Unabhängigkeit sichergestellt sein, um Interessenskonflikte zu vermeiden.

Der RefE sieht keine Priorisierung der internen Meldestelle vor. Hinweisgebern bleibt es also unbenommen, sich auch an externe Meldestellen zu wenden. Hier werden Unternehmen selber (möglicherweise auch finanzielle) Anreize für ihre Arbeitnehmer schaffen müssen, wenn sie zunächst eine unternehmensinterne Untersuchung (gegenüber externen Ermittlungen beispielsweise durch die Staatsanwaltschaft) vornehmen wollen.