1. Zielgruppe definieren

Vor der Auswahl der genutzten Medien sollte immer die Definition der Zielgruppe stehen. Fragen, die man sich zum Beispiel stellen kann, sind: Welche sprachlichen Voraussetzungen bzw. potentiellen Einschränkungen gilt es zu berücksichtigen? Mit welchen Medien kann ich meine Mitarbeiter erreichen? Für Produktionsmitarbeiter ist das Intranet zum Beispiel oft kein geeignetes Mittel. Weiterhin spielen natürlich auch das Alter und die präferiert genutzten Informationskanäle eine Rolle. Die „Generation Tiktok“ wird man vermutlich schwerer über statische Kanäle erreichen können.

2. Authentizität

Authentisch wird die Kommunikation durch das Zusammenspiel mit der gelebten Unternehmenskultur. Herrscht im Unternehmen eine Duz-Kultur, sollte sie auch in der Kommunikation genutzt werden. Weiterhin stellt sich die Frage, ob es vorher bereits Kampagnen gegeben hat, die die Mitarbeiter z.B. zu mehr Bottom-up Partizipation aufgerufen haben. Wenn nicht, muss man ggf. erst einmal daran ansetzen bzw. viel breiter kommunizieren. Wenn es bereits Compliance- oder ähnliche Kampagnen gegeben hat, sollte sich die Kampagne der Meldestelle natürlich nicht nur nicht widersprechen, sondern sich am besten sogar ergänzen, um Verknüpfungen herzustellen.

3. Tone from the Top

Eng verbunden mit der Authentizität ist der so genannte „Tone from the Top“. In Unternehmen, in denen es trotz eines bestehenden Compliance-Management-Systems zu teilweise schweren Verstößen und Schäden gekommen ist, hat diese oft gefehlt, wenn z.B. ein CEO im Interview sagte, dass „Compliance nur was für die Rechtsabteilung“ sei. Der einfachste Weg bzw. erste Schritt für den Tone from the Top ist wenn die Unternehmensleitung auch die Einrichtung der Meldestelle an alle Mitarbeiter (z.B. via Email) kommuniziert. Diese Maßnahme sollte dann aber nicht einmalig sein, sondern flankiert werden von weiteren Aussagen und vor allen Dingen gilt insbesondere das gute Alte mit bestem Beispiel voranzugehen. Jeder Hinweisgeber muss sich sicher sein, dass sein Schutz ernst genommen und sein Hinweis als Hilfe und nicht als Denunziation oder ähnliches gesehen wird.

4. Kreativität

Dieser sollten keine Grenzen gesetzt sein. Mit gut gestalteten Postern, Handouts, deren Erhalt bestenfalls auch bestätigt wird, oder Erklärvideos kann man sicherlich erstmal nichts falsch machen. Es gibt jedoch auch noch andere Wege jenseits von Print und Digital. Ein gutes Beispiel wäre zum Beispiel „Role Modelling“ oder das Ernennen von Compliance-Botschaftern. Diese können insbesondere das Verständnis fürs Whistleblowing und das Vertrauen darin auch auf der persönlichen Ebene weitergeben. Natürlich abhängig vom „Fit“ in die Unternehmenskultur und Design gilt, dass Compliance nicht immer grau und textlastig sein muss. Hier lassen sich auch abgestufte Modelle entwickeln, die sowohl die rechtliche Absicherung bieten als auch das Auge ansprechen.

5. Steter Tropfen

Zuletzt ist es bei der Kommunikation der internen Meldestelle auch wie mit vielen anderen Themen, die gern mal in Vergessenheit geraten. Der stete Tropfen höhlt den Stein. Die Einrichtung der internen Meldestelle sollte nicht nur einmal kommuniziert werden, sondern unter Beachtung der zuvor genannten Punkte kontinuierlich fortgeführt werden.

Interne Meldestelle als praktische Implikation
Das Hinweisgeberschutzgesetz ist die Umsetzung der EU-Whistleblower-Richtlinie, mit der Hinweisgeber vor Repressalien geschützt werden, nachdem sie Missstände im Unternehmen aufgedeckt haben. In der unternehmerischen Praxis bedeutet dies die Einrichtung einer internen Meldestelle mit vielen formalen und prozessualen Anforderungen. Die interne Meldestelle soll Informationen über potenzielle Verstöße unabhängig und verlässlich entgegennehmen sowie bearbeiten.

Deutschland hatte die Umsetzungsfrist für die Richtlinie in die nationale Gesetzgebung bereits im Dezember 2021 überschritten. Im Februar diesen Jahres wurde das Gesetz aufgrund der Übererfüllung der zugrunde liegenden EU-Richtlinie durch den Bundesrat abgelehnt. Im März wurden dann zwei Entwürfe, von denen einer nicht mehr der Zustimmung des Bundesrats bedurft hätte, im Bundestag beraten. Aufgrund verfassungsrechtlicher Bedenken wurden diese dann aber zurückgezogen und doch der Vermittlungsausschuss einberufen.

Das HinSchG geht jetzt nur noch leicht über die Anforderungen der EU hinaus. Unter anderem wurde die Pflicht zur Einrichtung eines anonymen Meldekanals gestrichen. Damit ist die Einrichtung eines Systems für die Abgabe von Hinweisen auch nicht mehr erforderlich. Entgegen vieler Anzeigen für IT gestützte Hinweisgeberschutzsysteme erfordert die Umsetzung aber generell viel mehr als die Einrichtung eines mündlichen oder schriftlichen Kommunikationskanals bzw. beiden.

Anforderungen und Risiken bei den zuständigen Mitarbeitern
Zahlreiche personelle und organisatorische Punkte müssen beachtet werden. So muss ein bestehender Verhaltenskodex angepasst oder noch geschrieben werden. In mitbestimmten Unternehmen ist der Betriebsrat miteinzubinden und ggf. noch eine Betriebsvereinbarung abzuschließen. Das HinSchG legt großen Wert auf die Vertraulichkeit und den Schutz der Identität des Hinweisgebers und sonstiger genannter Personen (z.B. der Beschuldigte). Daher sollte über ein Berechtigungskonzept sichergestellt werden, dass nur die mit der Meldestelle betrauten Mitarbeiter Zugriff auf die Daten haben.

Die Auswahl dieser Mitarbeiter sollte weiterhin wohl durchdacht sein. Gemäß Gesetz sollen sie unabhängig und frei von Interessenskonflikten sein. Zudem gilt es die arbeitsrechtlichen Risiken im Blick zu haben. Diese ergeben sich insbesondere aus dem Verbot von Repressalien gegen Hinweisgeber und der damit verbundenen Beweislastumkehr. Unternehmen müssen nachweisen, dass Hinweis und arbeitsrechtliche Maßnahme getrennt voneinander betrachtet wurden. Die vermeintlich naheliegendste Ansiedlung der Meldestelle in der Personalabteilung macht daher oft weniger Sinn.

Wenn die Mitarbeiter gefunden sind, müssen diese voraussichtlich noch geschult werden. Das Gesetz fordert hierzu explizit die notwendige Fachkunde. Neben der Kenntnis der Anforderungen des Gesetzes, sollten hier neben den DSGVO Grundsätzen auch das allgemeine Compliance und juristische Verständnis relevant sein. Zur Durchführung bieten sich hier zum Beispiel externe Dienstleister / Zertifizierer an.

Aber auch ohne die gesetzliche Anforderung erfordert der Betrieb der Meldestelle viel rechtliches „Fingerspitzengefühl“. So steht das HinSchG zum Beispiel mit den Informations- und Auskunftspflichten aus der DSGVO im Konflikt. Hier wird dann abzuwägen sein, ab wann die DSGVO wieder Vorrang vom dem Schutz der Identität von Hinweisgeber oder Beschuldigten hat.

Zielgruppengerechte Kommunikation der Einrichtung
Zuletzt nicht zu vernachlässigen ist die durchgängige Kommunikation der Einrichtung und des Zwecks der internen Meldestelle in der Belegschaft. Hierzu empfiehlt es sich zunächst Gedanken zur Mitarbeiterstruktur und deren Zugang zu Unternehmensinformationen (z.B. Intranet, schwarzes Brett) zu machen, um eine zielgruppenadäquate Ansprache sicherzustellen. Ein wesentliches Instrument sollte weiterhin immer der „Tone from the top“, also die Kommunikation der Unternehmensleitung sein. Diese sollte den Mitarbeitern insbesondere das Vertrauen in die interne Meldestelle geben und so sicherstellen, dass sie bei einem Verdacht auf einen Gesetzesverstoß die interne der externen Meldestelle vorziehen. So wird der Hinweisgeberschutz dann auch zum Unternehmensschutz, da der Sachverhalt aufgeklärt werden kann, ohne dass zum Beispiel ein Reputationsschaden bereits eingetreten ist.

Risikominimierung durch externe Vergabe
Hilfe bzw. Erledigung vieler der vorgenannten erforderlichen Maßnahmen bietet die externe Vergabe der internen Meldestelle. Hier erlaubt der Gesetzgeber explizit die Betrauung eines Dritten. Aufgrund ihrer Fachkunde und rechtlichen Standes eignen sich hier insbesondere Rechtsanwaltskanzleien als Betreiber der internen Meldestelle.

Wenn die Kanzlei die Anonymität des Hinweisgebers gegenüber dem Arbeitgeber sichert, wird es leichter fallen zu beweisen, dass eine arbeitsrechtliche Maßnahme zusammenhangslos vom abgegebenen Hinweis stattgefunden hat. Insbesondere in kleineren Unternehmen, in denen die Meldestelle oft in der Personalabteilung angesiedelt ist, kann der Nachweis der Sachverhaltsunabhängigkeit ansonsten nur schwerer geführt werden.

Durch die Erfahrung mit Hinweisgebern und regelmäßiger Befassung mit den Anforderungen kann die Hinweisbearbeitung durch eine IT-gestützte und auf Mengenverfahren spezialisierte Anwaltskanzlei zudem kosteneffizienter und oftmals mit höheren Aufklärungsquoten abgeschlossen werden. Zudem entfallen bei der externen Vergabe die Schulungskosten der mit der Betreuung der Meldestelle betrauten Mitarbeiter und ggf. Einrichtung eines eigenen Systems, was meist mehr ist als die monatlichen Gebühren für das Vorhalten und den Betrieb der interne Meldestelle durch eine Rechtsanwaltskanzlei.

Kostenloses Webinarangebot
Welche Anforderungen jetzt auf Unternehmen zukommen und wie diese optimal umgesetzt werden, erfahre diese im kostenlosen Webinar am 6. Juni 2023 von 12 – 12.30 Uhr. Durch das Webinar fühen die beiden KSP-Spezialisten Kristin Peitz und Dr. Andreas Seegers. Anmeldung zum Webinar über diesen Link.

Das Gesetz wurde am 16. Dezember vom Bundestag verabschiedet und wird vermutlich am 10. Februar auch vom Bundesrat bestätigt. Danach läuft die Frist von drei Monaten zur Umsetzung. Mit dem Ende der Frist muss nicht die Einrichtung der internen Meldestelle beginnen, sondern sie muss eingerichtet und in Betrieb sein.

Auch wenn sich das Inkrafttreten des HinSchG noch ein wenig hinzieht, sollten Unternehmen sich schon jetzt mit den Anforderungen auseinandersetzen. Entgegen vieler Anzeigen für IT gestützte Hinweisgeberschutzsysteme erfordert die Umsetzung mehr als die Einrichtung der Kommunikationskanäle. In mitbestimmten Unternehmen ist aber auch hier ein Vorlauf erforderlich. Der Betriebsrat ist einzubinden und ggf. muss eine Betriebsvereinbarung geschlossen werden.

Aber auch ohne Betriebsrat müssen zahlreiche personelle und organisatorische Punkte beachtet werden. So muss ein bestehender Verhaltenskodex angepasst oder noch geschrieben werden. Das HinSchG legt großen Wert auf die Vertraulichkeit und den Schutz der Identität des Hinweisgebers. Daher sollte über ein Berechtigungskonzept sichergestellt werden, dass nur die mit der Meldestelle betrauten Mitarbeiter Zugriff auf die Daten haben.

Die Auswahl dieser Mitarbeiter sollte weiterhin wohl durchdacht sein. Gemäß Gesetz sollen sie unabhängig und frei von Interessenskonflikten sein. Zudem gilt es die arbeitsrechtlichen Risiken im Blick zu haben. Diese ergeben sich insbesondere aus dem Verbot von Repressalien gegen Hinweisgeber und der damit verbundenen Beweislastumkehr. Unternehmen müssen nachweisen, dass Hinweis und arbeitsrechtliche Maßnahme vollkommen getrennt voneinander betrachtet wurden. Die vermeintlich naheliegendste Ansiedlung der Meldestelle in der Personalabteilung macht daher oft weniger Sinn.

Wenn die Mitarbeiter gefunden sind, müssen diese voraussichtlich noch geschult werden. Das Gesetz fordert hierzu explizit die notwendige Fachkunde. Neben der Kenntnis der Anforderungen des Gesetzes, sollten hier neben den DSGVO Grundsätzen auch das allgemeine Compliance und juristische Verständnis relevant sein. Zur Durchführung bieten sich hier zum Beispiel externe Dienstleister / Zertifizierer an.

Zuletzt nicht zu vernachlässigen ist die durchgängige Kommunikation der Einrichtung und des Zwecks der internen Meldestelle in der Belegschaft. Hierzu empfiehlt es sich zunächst Gedanken zur Mitarbeiterstruktur und deren Zugang zu Unternehmensinformationen (z.B. Intranet, schwarzes Brett) zu machen, um eine zielgruppenadäquate Ansprache sicherzustellen. Ein wesentliches Instrument sollte weiterhin immer der „Tone from the top“, also die Kommunikation der Unternehmensleitung sein. Diese sollte den Mitarbeitern insbesondere das Vertrauen in die interne Meldestelle geben und so sicherstellen, dass sie bei einem Verdacht auf einen Gesetzesverstoß die interne der externen Meldestelle vorziehen. So wird der Hinweisgeberschutz dann auch zum Unternehmensschutz, da der Sachverhalt aufgeklärt werden kann, ohne dass zum Beispiel ein Reputationsschaden bereits eingetreten ist.  

Hilfe bzw. Erledigung vieler der vorgenannten erforderlichen Maßnahmen bietet die externe Vergabe der internen Meldestelle. Hier erlaubt der Gesetzgeber explizit die Betrauung eines Dritten. Aufgrund ihrer Fachkunde und rechtlichen Standes eignen sich hier insbesondere Rechtsanwaltskanzleien als Betreiber der internen Meldestelle.

Die wesentlichste Änderung für die betroffenen Unternehmen ist die Verpflichtung zur Einrichtung anonymer Melde- und Kommunikationskanäle für die weitere Kommunikation. Diese Verpflichtung soll allerdings erst zum 1. Januar 2025 in Kraft treten. Unternehmen die jedoch noch vor der Herausforderung der Implementierung einer internen Meldestelle stehen, sollten jedoch bereits direkt diese Möglichkeit aufnehmen. Ansonsten kommt neben dem initialen Aufwand für die Kommunikation ein weiterer für die Ergänzung des anonymen Meldekanals hinzu. Je nach Einbindung in den Unternehmensaufbau und Kommunikationsstrategie müssten dann zum Beispiel Schulungsunterlagen, der Code of Conduct oder Hinweisposter vor 2025 aktualisiert werden.

Entgegen der Forderungen vieler Wirtschaftsvertreter wurde der Anwendungsbereich nicht verkürzt, sondern um zwei weitere Punkte ergänzt. Neu ist die Anwendbarkeit auf Verstöße gegen die EU-Verordnung über bestreitbare und faire Märkte im digitalen Sektor und der EU-Richtlinie über digitale Märkte. Wohl auch aus aktuellem Anlass wurden weiterhin Äußerungen von Beamtinnen und Beamten, die einen Verstoß gegen die Pflicht zur Verfassungstreue darstellen, in den sachlichen Anwendungsbereich aufgenommen.

Verschärft wurde zudem der Schadensersatz im Fall von Repressalien gegen den Hinweisgeber. Hier kann nun auch im Fall eines Schadens, der kein Vermögensschaden ist, eine monetäre Entschädigung vom Hinweisgeber verlangt werden.

In der praktischen Umsetzung wurde die Aufbewahrungsfrist von zwei auf drei Jahre verlängert und der Digitalisierung der Kommunikation Rechnung getragen. Mit Einwilligung des Hinweisgebers kann eine weitere Sachverhaltsaufklärung nicht mehr nur über ein persönliches Zusammentreffen, sondern auch via „Bild- und Tonübertragung“ – also einer Videokonferenz – erfolgen.

Den Unternehmensinteressen Rechnung trägt die Ergänzung des Vorrangs der internen vor der externen Meldestelle. Allerdings wird die Schaffung von Anreizen dazu als Aufgabe des Einrichters der internen Meldestelle gesehen, anstatt den Vorrang rechtlich klar zu regeln.

Wenn das Gesetz dieses Jahr vom Bundestag verabschiedet wird, könnte es am 10. Februar 2023 auch den Bundesrat passieren und würde damit bereits im Frühsommer nächsten Jahres für Beschäftigungsgeber mit mehr als 249 Mitarbeitern in Kraft treten. Für Beschäftigungsgeber mit mehr als 49 Mitarbeitern gilt eine Übergangsfrist von einem Jahr.