Hinweisgebersystem

Was ist das und was muss dabei beachtet werden?

Das neue Hinweisgeberschutzgesetz (HinSchG) ist am 2. Juli 2023 in Kraft getreten. Gemäß der darin festgelegten Vorschriften sind Unternehmen künftig dazu verpflichtet, eine interne Meldestelle für Hinweise über Verstöße einzurichten. Besonders in Verbindung mit dem deutschen Lieferkettengesetz stößt man immer häufiger auf die Begriffe Whistleblowing-System, Hinweisgebersystem oder Melde- und Reklamationssystem. Doch was genau bedeuten diese Begriffe? Welche Kommunikationswege sind zulässig? Und welche Firmen müssen eine solche Meldestelle einrichten?

Was ist ein Hinweisgebersystem?

Allgemeine Definition

„Der Ausdruck Hinweisgebersystem bezeichnet ein System zum Gewinnen von Informationen, das Ermittler in Unternehmen und Verwaltungen einsetzen, um ihren Mitarbeitern und auch Personen des Umfeldes einen vertraulichen Kommunikationskanal zu eröffnen. Dieser kann von ihnen – das betrifft auch Whistleblower – zum Melden möglicher Straftaten und Ethikverstöße genutzt werden.“ (vgl. Schemmel/Ruhmanseder/Witzigmann: Hinweisgebersysteme, C.F. Müller, Heidelberg 2012)

Kurzum bedeutet dies, dass Hinweisgeber (Whistleblower) Hinweise anonym abgeben können, ohne negative Konsequenzen befürchten zu müssen.

Welche Hinweisgebersysteme gibt es?

Um den Richtlinien des HinSchG nachzukommen gibt es verschiedene Formen des Hinweisgebersystems:

Briefkasten

Das Einrichten eines Briefkastens als Meldestelle ist in den meisten Fällen schnell geschehen. Diese Form der internen Meldestelle ist jedoch gemäß HinSchG nicht zulässig, da Sie so die beiden Aspekte Datenschutz und Vertraulichkeit nicht gewährleisten können. Darüber hinaus können Meldungen lediglich analog abgegeben werden, sodass kein Dialog seitens des Unternehmens mit den Hinweisgebenden erfolgen kann.

E-Mail Postfach

Ähnlich wie beim Briefkasten, können Sie mit einem E-Mail Postfach nicht den notwendigen Schutz gewährleisten. Besonders, weil die Daten bei den meisten Anbietern im Ausland verarbeitet werden, besteht ein hohes Risiko. Zudem müssen die Daten einer internen Meldestelle drei Jahre nach Abschluss eines Verfahrens aufbewahrt werden. Dies kann mittels E-Mail Postfach nicht sichergestellt werden. Schließlich ist diese Form des Hinweisgebersystems besonders anfällig für Hacking.

Telefon

Eine Telefon-Hotline ist zwar leicht zugänglich, ist jedoch auch mit einer gewissen Hemmschwelle verbunden, je kritischer der Inhalt der Meldung. Besonders Sprachbarrieren können so nur schwierig überwunden werden. Zudem kann die Anonymität der Hinweisgebenden nicht gewähreistet werden und die notwendige Eingangsbestätigung ist nicht möglich.

Ombudsperson

Eine Ombudsperson nimmt Meldungen entgegen und bearbeitet diese. Diese Form des Hinweisgebersystems ist damit gesetzeskonform. Dennoch bietet sie einige Nachteile:

Digitales Hinweisgebersystem

Ein digitales Hinweisgebersystem ermöglicht in den meisten Fällen einen Echtzeit-Chat, der die direkte Kommunikation mit Hinweisgebenden gewährleistet. Damit ist es zeit- und ortsunabhängig. Die Anonymität der Hinweisgebenden wird ebenfalls gewahrt. Darüber hinaus können so Eingangsbestätigungen versendet werden. Damit ist diese Form des Hinweisgebersystems besonders gesetzeskonform.

Wer benötigt ein Hinweisgebersystem?

Seit dem 2. Juli 2023 sind Unternehmen mit mehr als 250 Mitarbeitern und Kommunen mit mehr als 10.000 Einwohnern laut EU-Whistleblower-Richtlinie verpflichtet, ein Hinweisgebersystem einzurichten. Ab dem 17. Dezember 2023 sind dann auch Unternehmen ab 50 Mitarbeitenden zur Einrichtung verpflichtet. Aber auch kleinere Unternehmen sollten die Implementierung in Erwägung ziehen, da sie dadurch ihre Compliance-Strategie stärken und potenzielle Risiken minimieren können.

Wie profitieren Unternehmen von Hinweisgebersystemen?

Ein Hinweisgebersystem kann als Schutzschild für Ihr Unternehmen fungieren:

Risikominimierung: Durch die frühzeitige Erkennung von Verstößen können Unternehmen proaktiv handeln, bevor größere Schäden entstehen.
Compliance: Ein Hinweisgebersystem unterstützt Unternehmen bei der Einhaltung gesetzlicher Vorgaben und minimiert das Risiko von Strafen.
Vertrauensbildung: Ein transparentes und effektives Hinweisgebersystem fördert eine offene Unternehmenskultur, in der sich Mitarbeiter sicher fühlen, Bedenken zu äußern.
Reputationsschutz: Ein gut verwaltetes Hinweisgebersystem kann dazu beitragen, den guten Ruf des Unternehmens zu schützen.
Wettbewerbsvorteil: Unternehmen, die ethisches Verhalten fördern, sind oft attraktiver für Kunden und Partner.

10 Kriterien für ein erfolgreiches Hinweisgebersystem

Anonymität: Ihr Hinweisgebersystem sollte die Identität der Hinweisgebenden jederzeit schützen.
Schnelle Reaktionszeit: Ein effizientes System muss in der Lage sein, schnell auf eingehende Hinweise zu reagieren.
Einfache Bedienbarkeit: Ein benutzerfreundliches Interface fördert die Nutzung des Systems.
Klare Zuständigkeiten: Eindeutige Rollen und Verantwortlichkeiten innerhalb des Systems sind entscheidend für dessen Erfolg.
Regelmäßige Überprüfung: Das System sollte regelmäßig überprüft und aktualisiert werden, um seine Effektivität sicherzustellen.
Datenschutzkonformität: Das System muss den Datenschutzrichtlinien entsprechen, um rechtliche Konsequenzen zu vermeiden.
Integration in bestehende Systeme: Ein erfolgreiches Hinweisgebersystem sollte nahtlos in die bestehende IT-Infrastruktur integriert werden können.
Schulung der Mitarbeiter: Für die effektive Nutzung des Systems ist eine umfassende Schulung der Mitarbeiter erforderlich.
Transparenz und Berichterstattung: Regelmäßige Berichte über die Leistung des Systems sind notwendig, um dessen Erfolg zu messen.
Kontinuierliche Verbesserung: Ein Hinweisgebersystem sollte ständig weiterentwickelt werden, um den sich ändernden Anforderungen gerecht zu werden.

Wie funktioniert ein Hinweisgebersystem?

Ein Hinweisgebersystem besteht aus mehreren Kanälen, durch die Hinweise anonym eingereicht werden können. Diese Hinweise werden dann von einer zuständigen Stelle geprüft und entsprechende Maßnahmen werden eingeleitet. Es ist wichtig, dass dieses System unabhängig verwaltet wird, um die Integrität der gemeldeten Informationen zu gewährleisten.

Ein Hinweisgebersystem funktioniert dabei nach folgendem Schema:

Hinweisgeber beobachten rechtlichen Verstoß
Meldung über das Hinweisgebersystem: Die hinweisgebende Person gibt den rechtlichen Verstoß in Ihrem Hinweisgebersystem anonym ab.
Prüfung der Meldung und Kommunikation mit Hinweisgebenden: Ihre Meldestellenbeauftragten bearbeiten den Hinweis und geben der hinweisgebenden Person kontinuierlich Rückmeldung zum Stand der Bearbeitung.
Konsequenz der Meldung: Sofern die Meldung Folgemaßnahmen erfordert, werden diese ergriffen. Daraus resultieren Konsequenzen.
Follow-Up: Die Nachsorge gehört ebenso zum Umgang mit Hinweisen. Mit einem gewissen zeitlichen Abstand wird geprüft, ob die getroffenen Maßnahmen erfolgreich waren.

5 Schritte zur Einrichtung eines Hinweisgebersystems

Schritt 1: Betroffenheit ermitteln

Zunächst ist es wichtig, die gesetzlichen Anforderungen und die spezifischen Bedürfnisse des eigenen Unternehmens zu verstehen. Unternehmen mit mehr als 250 Mitarbeitern sind seit dem 17. Dezember 2021 zur Einführung eines Hinweisgebersystems verpflichtet. Ab 2023 gilt diese Pflicht auch für Unternehmen mit mehr als 50 Mitarbeitern.

Schritt 2: Organisation und Zuständigkeiten klären

Ein Hinweisgebersystem besteht aus internen und externen Kanälen. Die interne Meldestelle kann von Fachmitarbeitern des Compliance-Bereichs oder einer Ombudsperson betreut werden. Ein externer Kanal soll künftig beim Bundesdatenschutzbeauftragten liegen.

Schritt 3: Hinweisgebersystem wählen

Die Auswahl des richtigen Systems ist entscheidend. Es gibt verschiedene Lösungen, von digitalen Briefkästen bis zu spezialisierten IT-Tools. Wichtig ist, dass das System die Anonymität des Hinweisgebers gewährleistet.

Schritt 4: Kommunikation mit Mitarbeitenden

Die Einführung eines Hinweisgebersystems sollte kommunikativ begleitet werden. Führungskräfte sollten mit Leitfäden ausgestattet und die internen Kommunikationskanäle genutzt werden, um das Team auf die neuen Prozesse vorzubereiten.

Schritt 5: Stand der Umsetzung beachten

Die Implementierung eines Hinweisgebersystems ist zeitkritisch. Unternehmen sollten daher schnellstmöglich mit der Umsetzung beginnen, um rechtliche Konsequenzen zu vermeiden.

Welche Konsequenzen drohen, wenn ich kein Hinweisgebersystem einrichte?

Laut Richtlinie müssen Unternehmen, die Personen daran hindern, einen Hinweis abzugeben, dafür kein geeignetes System einrichten oder andere Verstöße begehen, damit rechnen, dass Sanktionen drohen. Gemäß EU Whistleblower-Richtlinie wird es den Ländern überlassen, geeignete Sanktionen zu verhängen. In Deutschland können diese Sanktionen in einigen Fällen in Höhe von bis zu 50.000€ ausfallen.

Antonia Wülle

HinSchG Expertin

Kostenlose 7-Tage-Testversion

Erhalten Sie einen Einblick in die Funktionalität und Benutzerfreundlichkeit der Paralbox-Software durch einen kostenfreien Trail.

Digitales Hinweisgebersystem einrichten mit Parlabox

Cortina Consult hilft Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen.

Mit unsererm Hinweisgebersystem Parlabox können Sie durch wenige Klicks eine Meldestelle einrichten und damit den Gesetzen zum Hinweisgeberschutz nachkommen.

Häufig gestellte Fragen rund um das Hinweisgebersystem

Mit wie vielen Hinweismeldungen ist zu rechnen?

Der Whistleblowing Report 2021 hat ergeben, dass bei Unternehmen mit mehr als 250 Mitarbeitenden durchschnittlich 65 Meldungen pro Jahr eingingen. Bei Unternehmen bis zu 50 Mitarbeitenden waren es 16 Meldungen. Darüber hinaus ergab der Report, dass rund jede zweite der eingegangenen Meldungen als relevant bearbeitet wurde.

Inwiefern unterstützt ein Hinweisgebersystem die Unternehmenskultur?

Das Hinweisgebersystem dient nicht nur der Prävention von Repressalien und der Enthüllung von Missständen im Unternehmen. Vielmehr wird eine offene und transparente Compliance Kultur gemeinsam mit den Mitarbeitern etabliert und vorangetrieben.

Wie viel Zeit muss zur Implementierung eingeplant werden?

Die Implementierungsdauer ist abhängig von der Art des Systems. Demnach kann diese von wenigen Tagen bis zu 4 bis 6 Wochen beanspruchen.

Wie kann ich maximale Anonymität und Sicherheit gewährleisten?

Eine wirkliche DSGVO-Konformität inklusive Anonymität und Sicherheit kann lediglich mit einem digitalen System gewährleistet werden. Die meisten dieser Systeme anonymisieren nämlich die personenbezogenen Daten und erfüllen bestenfalls die Sicherheitskriterien einer ISO-Zertifizierung.