Hinweisgebersystem

Mittlerweile finden sich in vielen Gesetzen Vorgaben zur Einrichtung von Hinweisgeberstellen, etwa in den § 8 Abs. 1 LkSG, § 25a Abs.1 S.4 KWG, § 33 Abs. 1 S. 1 WpHG, § 23 Abs. 6VAG, § 55b Abs. 2 S. 2 Nr. 7WPO und § 28 Abs. 1 S. 2 Nr. 9 KAGBGemäß dem

Nach dem neuen Hinweisgeberschutzgesetz ist die Einrichtung einer Hinweisgeberstelle für Unternehmen ab 50 Mitarbeitern verpflichtend.

Für die Compliance-Praxis besonders wichtig ist die Frage, wie nach demEingang eines Hinweises weiter zu verfahren ist. So muss dem Hinweisgeber nachdem neuen HinweisgeberschutzG innerhalb von sieben Tagen nach Eingang derMeldung eine Eingangsbestätigung zu gehen, und spätestens nach 3 Monaten soll der Hinweisgeber über die eingeleiteten Folgemaßnahmen informiert werden.

Aus Unternehmenssicht besonders wichtig ist die Einleitung von Folgemaßnahmen, also unternehmenseigene interne Ermittlung zurAufklärung des Vorfalls. Die Definition eines solchen Prozess steht im ureigenstenInteresse des Unternehmens. Es ist daher von zentraler Bedeutung, zum Schutz aller Beteiligten klare Prozesse und Eskalationswege für den Umgang mit dem Hinweis bis zur Einleitung und Durchführung unternehmenseigener Ermittlungen zu definieren. Dies dient zum einen der Gewährleistung der Unschuldsvermutung für die verdächtigten Personen. Zum anderen ermöglicht dies dem Compliance-Beauftragten eine unabhängige Durchführung von Ermittlungen und stärkt so seine Position.

Mit der Richtline (EU) 2019/1937 will die Union das Melden von Verstößen in Unternehmen fördern. Einerseits sollen Missstände frühzeitig aufgedeckt und behoben werden, anderseits sollen die Hinweisgeber durch die Meldung keine Diskreditierung fürchten.

Zur Umsetzung sieht die Richtline eine Vielzahl von neuen Pflichten für Unternehmen vor:

Geltungsbereich

Unternehmen ab 50 Mitarbeitern oder mit mehr als 10 Mio. Euro Jahresumsatz müssen künftig eine geeignete Hinweisgeberstelle bereitstellen. Für Unternehmen mit 50 bis 250 Mitarbeitern ist zur Umsetzung eine Übergangsfrist von zwei weiteren Jahren vorgesehen; für Unternehmen mit mehr als 250 Mitarbeitern ist eine solche Übergangsfrist zur Umsetzung nicht vorgesehen. Diese sind ab dem Zeitpunkt der nationalen Umsetzung zur Bereitstellung einer Hinweisgeberstelle verpflichtet.

Meldekanäle

‍Hinweisgeber sollen die Möglichkeit erhalten, Meldungen entweder schriftlich über ein Online-System, einen Briefkasten oder auf dem postalischen Weg abzugeben. Auch die Möglichkeit einer mündlichen Mitteilung über eine Telefonhotline oder ein Anrufbeantwortersystem soll gewährleistet werden. Auf Verlangen des Hinweisgebers soll auch ein persönliches Treffen ermöglicht werden. Unabhängig vom Meldekanal muss die Vertraulichkeit des Hinweisgebers geschützt werden.

Datenschutz

‍Alle personenbezogenen Daten, sowohl die des Hinweisgebers als auch etwaiger anderer Personen, müssen entsprechend der Datenschutzgrundverordnung (DSGVO) verarbeitet werden.

Datenaufbewahrung

‍Alle Meldungen inkl. aller Dokumente sind so sicher aufzubewahren, dass sie in einem möglichen gerichtlichen Verfahren als Beweismittel zur Verfügung stehen.

Zuständigkeit im Unternehmen

‍Innerhalb des Unternehmens soll eine Person zum Erhalt und zur Nachverfolgung der Meldungen bestimmt werden. Dies können u.a. sein: Compliance Officer, Personalleiter, Unternehmensjurist, Finanzdirektor, Mitglied des Vorstands oder der Geschäftsführung. Unternehmen können die Bearbeitung von Hinweisen auch auslagern z.B. an einen externen Ombudsmann.

Bearbeitungsfristen

‍Die zuständige Person muss dem Hinweisgeber innerhalb einer Frist von 7 Tagen den Eingang der Meldung bestätigen. Innerhalb einer Frist von 3 Monaten muss der Hinweisgeber über die ergriffenen Maßnahmen, den Stand der Ermittlungen und deren Ergebnis in Kenntnis gesetzt werden.

Informationspflichten

‍Das Unternehmen ist verpflichtet den Mitarbeitern, Zulieferern, Dienstleistern und Geschäftspartner Informationen über den unternehmensinternen Meldeprozess, sowie über die Möglichkeit des alternativen Meldewegs an die zuständige Behörde, bereitzustellen.

Sanktionierung

‍Unternehmen, die das Melden von Missständen vereiteln oder versuchen zu vereiteln sollen sanktioniert werden. Ebenfalls sanktioniert werden sollen Unternehmen, die die Identität des Hinweisgebers nicht vertraulich behandeln oder den Hinweisgeber diskreditieren. Die Art und die Höhe der Sanktionierung legt der jeweilige nationale Gesetzgeber fest.

Ausnahmen

‍Unternehmen, die zwischen 50 und 250 Mitarbeitern beschäftigen, können für den Erhalt und die Ermittlung von Hinweisen auf gemeinsame Ressourcen zurückgreifen. Die gemeinsame Ressource, also die Nutzung einer gemeinsamen Hinweisgeberstelle, unterliegt dabei gleichermaßen der vorgenannten Pflichten. Die Überwachung der Einhaltung der Pflichten obliegt jedem Unternehmen. Im Falle einer Pflichtverletzung wird das Unternehmen ebenfalls sanktioniert.  

Eine Vielzahl internationaler Gesetze fordert die Einrichtung und Unterhaltung von Compliance-Systemen und damit verbunden Hinweisgebersystemen, welche insbesondere die Anonymität von Hinweisgebern schützen sollen.

Teilweise gelten diese Verpflichtungen nur für Unternehmen mit Geschäftsbeziehungen in den jeweiligen Ländern, teilweise auch darüber hinaus.

Stellvertretend für andere Gesetze können die US-amerikanischen Regelungen im Sarbanes-Oxley Act von 2002 und im Foreign Corrupt Practices Act (FCPA) von 1977 als Beispiel angeführt werden: Hierdurch werden Unternehmen, die Geschäftsbeziehungen mit Einrichtungen in den USA pflegen, dazu angehalten, ein effektives Compliance-System einzurichten. Dazu zählt auch ein Hinweisgebersystem. Bei einer Nichtbeachtung drohen empfindliche Sanktionen durch Behörden der USA.