Schon fast Gesetz.
Am 16. Dezember 2022 hat der Bundestag nun das lang ersehnte Hinweisgeberschutzgesetz (HinSchG) beschlossen. Das im EU-Jargon Whistleblower Richtline genannte Gesetz schützt die Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit beobachtete Verstöße melden. Insgesamt soll das HinSchG die Meldung von Verstößen und deren Untersuchung durch die Unternehmen transparenter regeln. Das HinSchG wird nach der als sicher geltenden Zustimmung im Bundesrat (voraussichtlich 10.Feb. 2023) drei Monate nach seiner Verkündung im Bundesgesetzblatt in Kraft treten. (Mai 2023)
Wer muss? Und wann?
Ab dem Zeitpunkt des Inkrafttretens haben Unternehmen mit über 250 Beschäftigten drei Monate Zeit, die Vorgaben des Hinweisgeberschutzgesetzes umzusetzen (August 2023). Für Unternehmen zwischen 50 und 249 Beschäftigten ist der Stichtag der Umsetzungsfrist der 17.12.2023. Bis dahin müssen Meldestellen und Konzepte zum Schutz von Whistleblowern / Hinweisgebern eingerichtet und betrieben werden. Erfolgt dies nicht, drohen den Unternehmen empfindliche Bußgelder.
Und weiter?
Ein wesentlicher Punkt des (HinSchG) bezieht sich auf den Umgang mit anonymen Meldungen. Demnach steht es den Meldestellen nicht mehr frei anonyme Meldungen zu bearbeiten sondern sind dazu verpflichtet. Hierfür muss die Möglichkeit einer anonymen Kommunikation zwischen hinweisgebender Person und Meldestelle gewährleisten werden (§ 16 Abs. 1 HinSchG). Der klassische „Kummerkasten“ und der einfache E-Mail-Postkasten werden der Erfordernis anonymer Kommunikation in der Regel nicht mehr gerecht. Allerdings besteht keine Verpflichtung zur Einrichtung einer internen Meldestelle, es gilt lediglich „die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen“. Eine externe Meldestelle ist hier eine effiziente Alternative.
Und der Datenschutz?
Natürlich spielt hier der Datenschutz auch eine erhebliche Rolle. Neben der selbstverständlichen absoluten Vertraulichkeit und Aufrechterhaltung der Anonymität, wäre z.B. bei der Erhebung von personenbezogenen Daten in Hinweisgebermeldungen die betroffene(n)Person(n) grundsätzlich nach Art. 14 DSGVO über die Umstände der Datenverarbeitung zu unterrichten. Auch kann es z.B. bei einem Auskunftsanspruch des Beschuldigten nach Art. 15 DSGVO zu datenschutzrechtlichen Fragestellungen kommen. Überdies wird die Aufbewahrungsfrist nach dem Abschluss des Hinweisverfahrens von zwei Jahren auf drei Jahre erweitert, um einen Gleichlauf mit der zivilrechtlichen Verjährungsfrist zu schaffen (§ 11 Abs. 5 HinSchG). Das Löschkonzept des Unternehmens wäre entsprechend anzupassen.
Wer hilft?
Neben ein Vielzahl von Vorgehensweisen bietet die Dataliance GmbH Unternehmen die Möglichkeit diese sowohl bei ihren Datenschutzverpflichtungen zu unterstützen, als auch Pflichten und Aufgaben einer externen Meldestelle zu übernehmen. Unsere Datenschützer, IT-ler und Rechtsanwälte helfen gerne