Hinweisgeberschutzgesetz: Datenschutz für Whistleblower und Unternehmensintegrität
Am 2. Juli 2023 ist das Hinweisgeberschutzgesetz in Kraft getreten. Das Hinweisgeberschutzgesetz (auch als Whistleblower-Schutzgesetz bekannt) ist eine rechtliche Regelung, die den Schutz von Hinweisgebern gewährleistet, die ihrerseits Informationen über Missstände, Rechtsverstöße oder ggf. Fehlverhalten melden.
Welche Unternehmen sind von der Whistleblower Richtlinie betroffen?
Die Regelungen des Hinweisgeberschutzgesetzes (HinSchG) verpflichten die Unternehmen sich daran zu halten und dieses umzusetzen.
Unternehmen mit mehr als 250 Beschäftigten sollten mit der Umsetzung schon begonnen haben. Idealerweise ist die Implementierungsphase abgeschlossen.
Für Unternehmen die zwischen 50 und 249 Beschäftigte haben, gilt noch eine Übergangsfrist bis zum 17. Dezember 2023. Für kleinere Unternehmen, also unter 50 Beschäftigte, ist das Hinweisgeberschutzgesetz nicht verpflichtend.
Grundsätzlich sollte eine sogenannte interne Meldestelle (§ 12 HinSchG) im Unternehmen eingerichtet und in Betrieb genommen worden sein.
Bei allen Unternehmen gibt es aber die Möglichkeit, dass Hinweisgebende (sogenannte Whistleblower) sich an einer externen Meldestelle wenden können. In der Regel handelt es sich dabei um eine Stelle bei einer Bundes- oder Landesbehörde, die thematisch dafür zuständig ist, wie z.B. das Bundesamt für Justiz.
Wer ist Hinweisgeber?
Hinweisgeber sind Personen, die Informationen über Verstöße melden oder offenlegen. Hierbei handelt es sich um Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit diese melden, also i.d.R. Beschäftigte eines Unternehmens.
Wer ist Meldestelle?
- Interne Meldestellen können/kann eine interne Person im Unternehmen oder ein externer Dritter (Datenschutzbeauftragter, Rechtsanwalt, Ombudsmann etc.) sein (§ 14 Abs. 1 HinSchG).
- Externe Dritte ist der öffentliche Bereich, z.B. das Bundesjustizministerium.
Wie erfolgen die Meldungen
- Telefonisch
- Schriftlich (E-Mail oder Brief)
- Softwareportal (i.d.R. cloudbasiert)
Welche Aufgaben hat eine interne Meldestelle
- Die interne Meldestelle hat der hinweisgebenden Person (=Whistleblower) den Eingang der Meldung zu Verstößen im Unternehmen innerhalb einer Frist von sieben Tagen zu bestätigen.
- Die gemeldeten Verstöße werden anhand des Informationsmaterials des Hinweisgebers umfassend geprüft. Ggf. werden Folgemaßnahmen eingeleitet.
- Die interne Meldestelle ist allerdings verpflichtet, dem Hinweisgeber über die getroffenen Folgemaßnahmen zu informieren. Dies sollte spätestens nach drei Monaten erfolgen.
- Die Meldungen sind unter Wahrung des Vertraulichkeitsgebotes sicher und geschützt aufzubewahren.
Welche Anforderungen muss ein Meldestellenbeauftragter erfüllen?
- Die beauftragte Person muss eine Fachkunde nachweisen (§ 15 Abs. 2 HinSchG)
- Die Fachkunde ist durch diverse Schulungen oder Unterweisungen regelmäßig nachzuweisen
- Es darf zu keinem Interessenkonflikt der beauftragten Person kommen (§ 15 Abs. 2 HinSchG)
- Die beauftragte Person muss im Rahmen ihrer Aufgaben unabhängig arbeiten können
- Die beauftragte Person muss mit ausreichend Ressourcen und Zeit ausgestattet sein.
Was passiert, wenn die interne Meldestelle nicht eingerichtet ist?
- Es droht ein Verstoß für das Unternehmen in Höhe von 20.000 Euro
Was passiert, wenn die Vertraulichkeit des Meldenden nicht gewahrt wird?
- Es droht ein Bußgeld für das Unternehmen in Höhe 50.000 Euro.
Warum ist das Gesetz für Ihr Unternehmen wichtig?
Welche Vorteile hat der Einsatz eines externen Datenschutzbeauftragten als Meldestelle in Ihrem Unternehmen?
- Der externe Datenschutzbeauftragter als interne Meldestelle ist eine unabhängige und neutrale Person. Interessenkonflikte zwischen der interne Meldestelle und Ihrem Unternehmen sind somit ausgeschlossen.
- Der externe Datenschutzbeauftragte hat die Expertise mit der Komplexität des Datenschutzes sowie Vertraulichkeit umzugehen und sorgt mit seiner Kompetenz dafür zu Aufklärungen beizutragen. Das Risiko des Unternehmens wird erheblich verringert.
- Der externe Datenschutzbeauftragte ist als zuverlässiger Ansprechpartner für Ihr Unternehmen zu sehen. Die eingehenden Hinweise werden fristgerecht und sorgfältig bearbeitet. Ebenso ist ein vertrauensvoller Kontakt zum Hinweisgeber vorhanden.
- Viele Meldungen von Whistleblowern können im Zusammenhang mit evtl. Datenschutzverstößen gesehen werden. Gerade das macht den externen Datenschutzbeauftragten zum idealen Ansprechpartner für den Hinweisgeber.
- Der externe Datenschutzbeauftragte hat die notwendige Fachkunde und Erfahrung in der Kommunikation mit Hinweisgebern und Behörden.
Dann sind Sie bei uns richtig. Wir beraten und unterstützen Sie gerne in der Funktion als externer Datenschutzbeauftragter, um das Hinweisgebersystem in Ihrem Unternehmen zu implementieren.
Als externer zertifizierter Datenschutzbeauftragter (TÜV) und Datenschutzauditor (TÜV) sowie Datenschutzmanager wirken wir in Ihrem Unternehmen auf die Einhaltung des Datenschutzes und der Datensicherheit (=IT-Sicherheit) hin.
- Datenschutzbeauftragter in Ihrer Nähe
- Kurze Anfahrtszeiten
- Weiterbildung und Schulungen
- Qualifizierte und persönliche Beratung
- Faire, transparente und planbare Kosten
Wie lange benötige ich für die Einführung eines Hinweisgebersystems in meinem Unternehmen?
Die Zeit, die ein Unternehmen benötigt, um ein Hinweisgebersystem zu implementieren, kann von verschiedenen Faktoren abhängen. Dies ist i.d.R. abhängig von der Größe und Komplexität des Unternehmens, dem aktuellen Stand der Datenschutzmaßnahmen, den bestehenden Prozessen und Ressourcen sowie den spezifischen Anforderungen des Hinweisgeberschutzgesetzes (HinSchG).
Für die Implementierung eines Hinweisgebersystems ist die Durchführung einer Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSDVO notwendig: Aufgrund der sensiblen Daten ist es erforderlich eine Datenschutz-Folgenabschätzung durchzuführen, um die Auswirkungen von Datenschutzverletzungen zu bewerten und angemessene Maßnahmen zum Schutz der Hinweisgeber zu identifizieren.
Schulung und Sensibilisierung der Mitarbeiter: Die Schulung und Sensibilisierung der Mitarbeiter ist entscheidend, um sicherzustellen, dass sie die Anforderungen des Hinweisgebersystems verstehen und in der Lage sind, angemessen auf Hinweise zu reagieren.
Integration in bestehende Prozesse: Die Anpassung und Integration von HinSchG-Maßnahmen in bestehende Unternehmensprozesse ist durchaus komplex und nimmt Zeit in Anspruch.
Weiterführende Themen:
