Wie Whistleblower in der Finanzbranche besser geschützt werden sollen

Folgende wesentliche Änderungen zu dem Entwurf, der zuletzt im Februar 2023 durch den Bundesrat abgelehnt worden war, wurden beschlossen:

• Die Meldestellen, die Unternehmen ab 50 Beschäftigten künftig einrichten müssen, um es ihren Angestellten zu ermöglichen, rechtliche Verstöße im Unternehmen aufzuzeigen, sollen auch anonym eingehende Meldungen bearbeiten. Es besteht allerdings keine Pflicht, die Meldekanäle so zu gestalten, dass die Abgabe von Meldungen auch anonym möglich ist.
• In Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und die hinweisgebende Person keine Repressalien befürchten muss, soll sie eine Meldung an die interne Meldestelle bevorzugen.
• Die im Gesetz vorgesehene Beweislastumkehr, wenn die hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit erleidet, greift nur, wenn die hinweisgebende Person diese selbst geltend macht.
• Die Dokumentation der Meldung kann länger als die vorgesehenen drei Jahre aufbewahrt werden, um die Anforderungen nach dem Gesetz oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist.
• Die maximale im Gesetz vorgesehene Bußgeldhöhe wurde von 100.000 Euro auf 50.000 Euro reduziert.

Das Gesetz tritt einen Monat nach Veröffentlichung und damit voraussichtlich Anfang Juli 2023 in Kraft. Betroffene Unternehmen sollten deshalb umgehend handeln.

Ziel des Gesetzes ist es, Rechtsschutz für hinweisgebende Personen zu schaffen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße erlangt haben. Das Gesetz sieht ein Vertraulichkeitsgebot vor, sodass neben der Identität des Whistleblowers auch die Identitäten von gegebenenfalls in der Meldung erwähnten Personen geschützt bleiben. Zudem ist geregelt, dass der hinweisgebenden Person aufgrund ihrer Meldung keine beruflichen Nachteile entstehen dürfen, dass ihnen also beispielsweise nicht gekündigt werden darf. Zur Abgabe der Meldungen sollen sowohl interne Meldestellen in den Unternehmen als auch externe Meldestellen eingerichtet werden.

Die folgenden Unternehmen sind vom neuen Hinweisgeberschutzgesetz betroffen:

Bei der Einrichtung einer internen Meldestelle sind die folgenden Punkte zu beachten:

• Der interne Meldekanal muss sowohl eigenen Mitarbeitenden als auch in Leiharbeit Beschäftigten offenstehen. Eine Öffnung des internen Kanals für externe Stakeholder ist freiwillig. 
• Die internen Meldekanäle müssen Meldungen in mündlicher oder in Textform entgegennehmen. Auf Wunsch der hinweisgebenden Person sollte auch ein persönliches Treffen ermöglicht werden.
• Das Vertraulichkeitsgebot muss gewahrt werden.
• Unternehmen sollten nur einen engen Kreis zuständiger Personen definieren, die Zugriff auf die Meldungen haben.
• Die für die Meldungen zuständige Stelle sollte die Bearbeitungsfristen beachten. So muss spätestens nach sieben Tagen eine Eingangsbestätigung an die hinweisgebende Person ausgestellt werden und innerhalb von drei Monaten eine Rückmeldung erfolgen.
• In Abhängigkeit vom Inhalt der Meldung sollten Folgemaßnahmen ergriffen werden. Dazu können beispielweise interne Untersuchungen, Maßnahmen zur Behebung der Missstände oder die Weitergabe des Verfahrens, etwa an ermittelnde Behörden, gehören.
• Die Meldung muss dauerhaft dokumentiert werden. Bei mündlicher Übermittlung der Meldung sollte beispielsweise ein Inhaltsprotokoll angefertigt werden. 

Für Unternehmen der Finanzbranche ändern sich mit dem neuen Gesetz einige regulatorische Anforderungen. So gab es zwar auch schon bisher Vorschriften zu Hinweisgeberstellen für regulierte Unternehmen aus der Finanzbranche nach dem Kreditwesengesetz (§ 25a Abs. 1 Satz 6 Nr. 3 KWG), dem Kapitalanlagegesetzbuch (§ 28 Abs. 1 Satz 2 Nr. 9 KAGB) und dem Versicherungsaufsichtsgesetz (§ 23 Abs. 6 VAG), allerdings konkretisiert das neue Gesetz die Vorgaben an solche internen Meldestellen deutlich. Neu sind insbesondere die Regelungen zur Eingangsbestätigung und zur Rückmeldung.

Darüber hinaus sind künftig auch Unternehmen von dem Gesetz betroffen, für die es zuvor keine Verpflichtung zur Einrichtung einer solchen Meldestelle gab.

Betroffene Unternehmen sollten daher jetzt prüfen, ob sie die Vorgaben an die interne Meldestelle bereits vollumfänglich erfüllen, und soweit erforderlich ihre internen Prozesse anpassen.