Unterweisung Hinweisgeberschutzgesetz & Meldestellen – Informative Schulung

Die rechtliche Basis bildet das Hinweisgeberschutzgesetz vom 12.05.2023 (BGBl. I S. 986), das die EU-Whistleblower-Richtlinie (EU) 2019/1937 umsetzt. Zentrale Vorschriften:

• § 2 HinSchG – Begriff der internen Meldestelle und Meldekanal.
• § 3 HinSchG – Verpflichtung zur Einrichtung einer internen Meldestelle bei mehr als 249 Beschäftigten.
• § 4 HinSchG – Ausnahme: Kleinstunternehmen (weniger als 50 Beschäftigte) können auf externe Meldestelle des Bundesamtes für Justiz (§ 26 HinSchG) verweisen.
• § 8 ArbSchG – Allgemeine Fürsorgepflicht des Arbeitgebers, die auch ein wirksames Hinweisgebersystem einschließt.
• § 12 ArbSchG – Unterweisungspflicht über Gefahren und Schutzmaßnahmen, erweitert um Rechte und Pflichten nach HinSchG.
• DGUV Vorschrift 1 – Grundsätze der Prävention: Betriebsorganisation muss Hinweisgeberstrukturen integrieren.
• § 80 Abs. 1 Nr. 12 BetrVG – Mitbestimmung des Betriebsrats bei der Einführung von Kontrollmaßnahmen, einschließlich Meldestellen.

Pflichten des Arbeitgebers nach § 3 HinSchG in Kombination mit § 12 ArbSchG:

• Einrichtung einer sicheren, vertraulichen und datenschutzkonformen Meldestelle bis zum 17.12.2023 (bzw. 17.12.2021 für Behörden und 17.12.2023 für Unternehmen 250+ MA).
• Gefährdungsbeurteilung nach § 5 ArbSchG erweitern: Risiko, dass Hinweisgeber Repressalien erleiden, identifizieren und Schutzmaßnahmen festlegen.
• Unterweisung nach § 12 ArbSchG: Alle Beschäftigte und Leitungskräfte müssen mindestens einmal pro Jahr (bei neueingestellten Mitarbeitern unverzüglich) über das Verfahren informiert und in die Handhabung eingewiesen werden.
• Dokumentation: Nachweis der Schulung, Prozessbeschreibungen und Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO aufbewahren (mind. 3 Jahre).
• Benennung verantwortlicher Person/en (§ 4 Abs. 1 HinSchG), die unabhängig im Unternehmen agieren und regelmäßig geschult werden (mind. 20 Unterrichtsstunden alle 2 Jahre).

1. Grundlagen des Hinweisgeberschutzgesetzes

Die Schulung startet mit einer verständlichen Erklärung, was das HinSchG ist: ein Gesetz, das Beschäftigte schützt, die Missstände melden – von Korruption über Verstöße gegen Umweltvorschriften bis hin zu Menschenrechtsverletzungen. Teilnehmer lernen die Rechtsbegriffe „Hinweis“, „Hinweisgeber“, „interne Meldestelle“ und „externe Meldestelle“ kennen.

2. Aufbau und Funktionsweise einer Meldestelle

• Defintion: Eine Meldestelle ist ein organisatorischer Kanal (E-Mail, Hotline, Web-Portal, Briefkasten), über den Hinweise entgegengenommen, bearbeitet und gegebenenfalls eskaliert werden.
• Betreiberlaubnis: Meldestellen dürfen nur von juristischen Personen (AG, GmbH, Behörde) oder von autorisierten Dritten (z. B. Rechtsanwaltskanzlei, spezialisiertes Compliance-Portal) betrieben werden, die datenschutzrechtlich als Auftragsverarbeiter tätig werden dürfen.
• Technische Anforderungen: Ende-zu-Ende-Verschlüsselung, anonyme Meldung ermöglichen, sichere Speicherung maximal 3 Monate, bis der Fall abgeschlossen ist (§ 7 HinSchG).

3. Rechte und Pflichten des Hinweisgebers

• Rechte:
  • Schutz vor Repressalien (§ 9 HinSchG): keine Kündigung, Versetzung, Benachteiligung.
  • Vertraulichkeit: Identität darf nur mit Zustimmung offengelegt werden.
  • Rückmeldung: innerhalb von drei Monaten muss der Hinweisgeber informiert werden, ob Maßnahmen ergriffen wurden (§ 10 HinSchG).
• Pflichten:
  • Meldepflicht besteht nicht – Hinweisgeber handeln freiwillig.
  • Wahrheitsgemäße Schilderung: Vorsätzlich falsche Tatsachen können zivil- oder arbeitsrechtliche Konsequenzen haben (§ 11 HinSchG).

4. Praxisbeispiele

• Beispiel 1 – Finanzabteilung: Buchhalterin meldet unerlaubte Bilanzmanipulation über interne Web-Meldestelle. Meldestellenleiter bestätigt Eingang binnen 7 Tagen, leitet Ermittlungen ein, informiert Geschäftsführung und Datenschutzbeauftragten, dokumentiert Maßnahmen.
• Beispiel 2 – Produktionsbetrieb: Mitarbeiter beobachtet fehlenden Arbeitsschutz bei Instandhaltung. Nutzt anonymen Briefkasten. Betriebsrat wird parallel involviert, Gefährdungsbeurteilung wird überprüft, Sicherheitsunterweisungen werden verstärkt.

Identifizierte Gefährdungen:

• Repressalien gegen Hinweisgeber durch Vorgesetzte oder Kollegen (Mobbing, Leistungskürzung, Kündigungsandrohung).
• Datenschutzverletzung durch unsichere IT-Systeme oder mangelnde Verschlüsselung.
• Reputationsrisiko für Unternehmen, wenn Meldestelle als Spitzel-Portal wahrgenommen wird.

Maßnahmen nach dem TOP-Prinzip:

• Technisch: Einsatz zertifizierter Hinweisgeber-Software (ISO 27001), Zwei-Faktor-Authentifizierung für Meldestellen-Mitarbeiter, regelmäßige Penetrationstests.
• Organisatorisch: Betriebsvereinbarung mit Betriebsrat zur Verfahrensgestaltung, Festlegung eines Eskalationsplans („4-Augen-Prinzip“), Schulung aller Führungskräfte zur Zero-Retaliation-Politik.
• Personell: Schulung der Meldestellen-Mitarbeiter zu Verfahrenskenntnissen und Datenschutz, gegebenenfalls externe Rechtsberatung einkaufen.

Hochrisiko-Branchen mit besonderem Hinweisgeber-Bedarf:

• Finanzdienstleistungen (BaFin-Rundschreiben 4/2022 verlangt ergänzende Hinweisgebersysteme).
• Pharmaindustrie – Compliance mit AMWHV und GMP-Leitlinien.
• Öffentlicher Dienst – Bundes- und Landesbehörden müssen zusätzlich externe Meldestellen des Bundesamtes für Justiz berücksichtigen.
• Logistik & Supply-Chain – EU-Lieferkettengesetz (LkSG) verschärft Meldepflichten zu Menschenrechtsverletzungen.

• Teilnahmeliste mit Datum, Themen, Dauer und Unterschrift der Mitarbeiter.
• Unterweisungsmaterial (Folien, Hand-out, Link zum E-Learning).
• Nachweis der aktualisierten Gefährdungsbeurteilung bzgl. Hinweisgeber.

Aufbewahrungsfrist: 3 Jahre nach Ablauf des Kalenderjahres (§ 6b ArbSchG i. V. m. § 147 AO).