Whistleblowing-Beauftragter

Innerhalb des Unternehmens müssen "Whistleblower-Beauftragte" (eine oder mehrere Personen oder Abteilungen) ernannt werden, die die Berichte empfangen, den Eingang innerhalb von 7 Tagen bestätigen, den Bericht prüfen, geeignete Folgemaßnahmen einleiten und den Whistleblower innerhalb von 3 Monaten über die ergriffenen Maßnahmen informieren. Es gibt keine spezifischen Anforderungen an die Personen oder Abteilungen, jedoch sollte darauf geachtet werden, dass sie unabhängig agieren können und über die notwendige Expertise verfügen.

Auch Dritte können als interne Meldestellen beauftragt werden. Der Empfang und die Verarbeitung von Informationen können auch an externe Anbieter von Meldungsplattformen oder Ombudspersonen (wie Anwälte) ausgelagert werden, sofern sie angemessene Garantien für die Wahrung von Unabhängigkeit, Vertraulichkeit oder Anonymität, Datenschutz und Geheimhaltung bieten.

Innerhalb einer Unternehmensgruppe sind verschiedene Optionen denkbar. Einerseits gibt es die Möglichkeit einer lokalen Organisation, bei der jedes Unternehmen der Gruppe ein eigenes Hinweisgebersystem betreibt. Eine regionale Organisation ist ebenfalls denkbar, bei der einzelne Konzernunternehmen ein Hinweisgebersystem für eine bestimmte Region betreiben. Eine zentrale Lösung ist auch möglich, indem das Hinweisgebersystem zentral in einer Einheit (in der Regel beim Mutterunternehmen) angesiedelt ist.

Das HinSchG erlaubt auch die Beauftragung eines "Dritten" mit der Aufgabe eines internen Meldesystems. Gemäß der Begründung des HinSchG kann auch ein unabhängiges und vertrauliches Büro als "Dritter" bei einem anderen Konzernunternehmen (z. B. Muttergesellschaft, Schwester- oder Tochtergesellschaft) eingerichtet werden, das auch für mehrere eigenständige Unternehmen in der Gruppe arbeiten kann. Es ist jedoch erforderlich, dass die ursprüngliche Verantwortung für die Behebung und Nachverfolgung einer festgestellten Verletzung stets bei dem jeweiligen beauftragenden Unternehmen verbleibt.

Der Entwurf unterscheidet nicht zwischen Konzernunternehmen mit mehr oder weniger als 249 Mitarbeitern, aber die Möglichkeit der Einrichtung eines zentralen Meldesystems in der Gruppe ist wahrscheinlich für alle Konzernunternehmen ohne Unterscheidung möglich.

Die internen Meldekanäle sollten Meldungn in mündlicher, schriftlicher oder auch in persönlicher Weise ermöglichen.

Beispiele für schriftliche Meldekanäle:

• Hinweisgebersystem mittels Software (Internet oder Intranet)
• Ein nur für diesen Zweck (Entgegennahme einer Meldung und Korrespondenz mit Hinweisgeber eingerichtete E-Mail-Adresse
• Breifkasten (physischen existenten) oder die Möglichkeit, eine Meldung über den Postweg abzusetzen.

Beispiele für mündliche Meldekanäle:

• Eine eigens eingerichtete Hinweisgeber-Telefonnummer (Hotline)

Auf Wunsch des Hinweisgebers sollte es über diese Kanäle auch möglich sein, innerhalb eines angemessenen Zeitraums Hinweise in einem persönlichen Treffen zu besprechen.

Alle Meldekanäle müssen die Vertraulichkeit des Hinweisgebers und Dritter schützen:

Interne Meldekanäle müssen so gestaltet sein, dass die Vertraulichkeit und Integrität des Hinweisgebers gewahrt bleibt und nicht autorisierten Mitarbeitern der Zugang dazu verwehrt wird.

Vertraulichkeit bedeutet, dass die Integrität des Hinweisgebers im Prinzip nur von autorisierten Personen offengelegt werden darf, die ohne explizite Zustimmung des Hinweisgebers Berichte entgegennehmen dürfen.

Die verantwortliche Person oder Abteilung im Unternehmen muss angemessene Folgemaßnahmen ergreifen, dazu könnten zum Beispiel gehören:

• Einleitung interner Untersuchungen
• Mögliche Maßnahmen zur Behebung des Problems
• Verweis auf andere Kanäle oder Verfahren zur Meldung
• Schließung des Falls aufgrund fehlender Beweise oder aus anderen Gründen
• Überweisung an eine zuständige Behörde

Innerhalb von sieben Tagen muss der Hinweisgeber eine Bestätigung erhalten, dass sein Bericht eingegangen ist.

Spätestens drei Monate nach Bestätigung des Eingangs des Berichts muss der Hinweisgeber über geplante oder bereits ergriffene Folgemaßnahmen sowie die Gründe dafür informiert werden.

Alle Meldungen, die eingehen, müssen vertraulich behandelt und dokumentiert werden. Wie die Dokumentation erfolgen soll, hängt davon ab, auf welchem Weg die Meldung eingegangen ist. Das Meldesystem sollte so gestaltet sein, dass Meldungen und Maßnahmen dokumentiert werden können und gegebenenfalls als Beweismittel genutzt werden können.

Aktuell müssen diese Dokumentationen nach Abschluss des Verfahrens nach drei Jahren gelöscht werden. Einige Leute haben diese Regelung kritisiert. Ob sich diese Regelung im Gesetzgebungsverfahren ändern wird, ist noch unklar.

Unternehmen müssen Informationen über den internen Meldungsprozess und alternative externe Meldeverfahren an die zuständigen Behörden bereitstellen. Diese Informationen müssen leicht verständlich und zugänglich sein, zum Beispiel über die Unternehmenswebsite, das Intranet oder an einem Schwarzen Brett.

Im Hinweisgebersystem werden persönliche Informationen gespeichert. Bei der Einrichtung und Verwendung des internen Meldeverfahrens müssen alle Datenschutzgesetze beachtet werden. Das bedeutet, dass alle persönlichen Informationen, sowohl des Hinweisgebers als auch der beschuldigten Person, gemäß der EU-Datenschutzgrundverordnung (DSGVO) und des Bundesdatenschutzgesetzes verarbeitet werden müssen.

Es ist wichtig, Aufbewahrungs- und Löschfristen für die Daten festzulegen (siehe Punkt: 7. Dokumentation der Meldungen und Datenaufbewahrung). Eine Datenschutzerklärung für Hinweisgeber muss erstellt werden, wenn externe Anbieter als interne Meldestellen eingesetzt werden. Wenn das der Fall ist, müssen entsprechende Vereinbarungen für die Auftragsdatenverarbeitung getroffen werden.

Der Prozess für den internen Meldekanal muss im Verzeichnis der Verarbeitungstätigkeiten (VVT) aufgeführt werden. In der Regel ist auch eine Datenschutz-Folgeabschätzung erforderlich, um eine sichere Datenverarbeitung zu gewährleisten. Es müssen geeignete technische und organisatorische Maßnahmen (TOM) ergriffen werden, um sicherzustellen, dass die Daten sicher verarbeitet werden.

Hinweis: Es ist empfehlenswert, den (externen) Datenschutzbeauftragten frühzeitig in den Prozess einzubeziehen. Wenn es Zweifelsfragen gibt, können Sie sich auch an Datenschutzbehörden wenden.

Der Betriebsrat hat kein Mitspracherecht, ob ein Meldesystem eingerichtet wird oder wer es betreibt.

Aber der Betriebsrat kann bei der Gestaltung der Meldewege und -verfahren mitbestimmen. Wenn das Unternehmen eigene Verfahren zur Meldung und zum Umgang mit Verstößen einführt, hat der Betriebsrat Mitspracherecht, weil es um Fragen der Betriebsordnung und des Verhaltens der Mitarbeiter geht. Der Betriebsrat hat auch Mitspracherecht bei Schulungen für Mitarbeiter. Es ist ratsam, den Betriebsrat frühzeitig in den Prozess einzubeziehen und mit ihm zu sprechen.