Das Hinweisgeberschutzgesetz setzt die EU-Whistleblower Richtlinie (WBRL) in Deutschland um. Es soll Menschen, die in der Ausübung ihrer beruflichen Tätigkeit über Verstöße in ihrer Organisation erfahren und darüber interne oder auch externe Stellen informieren, schützen. Im Juli 2022 hatte das Bundeskabinett einen Regierungsentwurf für das Hinweisgeberschutzgesetz (HinSchG-RegE) beschlossen. Aktuell ist davon auszugehen, dass das Gesetz spätestens Mitte 2023 in Kraft treten wird.

Der Schutz von Hinweisgebern geht gemäß Art. 16 WBRL, §§ 8, 9 HinSchG-RegE auch mit dem Vertraulichkeitsgebot einher, wonach es die Identität des Hinweisgebers umfassend zu schützen gilt. Gleichzeitig muss nach Art. 17 WBRL, § 10 HinSchG-RegE die Verarbeitung personenbezogener Daten nach der Europäischen Datenschutzgrundverordnung (DSGVO) unter Beachtung der Informations- und Auskunftspflichten erfolgen. Es drängt sich die Frage auf, ob nicht der Schutz der Hinweisgeber durch die Betroffenenrechte der DSGVO, insbesondere durch die Informationspflicht nach Art. 14 DSGVO, torpediert wird. Demnach ist es eigentlich Pflicht von Unternehmen, die Betroffenen einer Hinweisgebermeldung zu informieren, wenn deren personenbezogene Daten erhoben oder verarbeitet werden, zumal eine Verletzung der Unterrichtungspflicht bußgeldbewehrt ist (Art. 83 Abs. 5 lit. b) DSGVO). Die Folge wäre, dass der Name des Hinweisgebers dadurch publik würde, dass das Vertraulichkeitsgebot nicht gewahrt wird und die Erteilung von Informationen über den Inhalt einer Meldung den Erfolg interner Ermittlungen beeinträchtigen könnte (z. B. aufgrund Verdunklungsgefahr).

Der HinSchG-RegE löst dieses Spannungsverhältnis nicht auf. Lediglich die Gesetzesbegründung verweist auf § 29 Abs. 1, S. 1 Bundesdatenschutzgesetz (BDSG), wonach die Informationspflicht ausnahmsweise nicht besteht, sofern durch deren Erfüllung Informationen offenbart würden, die ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen. Hinsichtlich des Inhalts einer Meldung kann daneben der Ausnahmetatbestand in Art. 14 Abs. 5 lit. b) DSGVO zum Tragen kommen: Demnach besteht die Informationspflicht nicht, sofern sie voraussichtlich die Verwirklichung der Ziele der Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, sodass bei internen Ermittlungen mit einer Verdunklungsgefahr argumentiert werden kann. Im Laufe der Bearbeitung von Meldungen kann die Informationspflicht für bestimmte Daten allerdings wieder „aufleben“, wenn das Geheimhaltungsinteresse des Beschäftigungsgebers nicht mehr überwiegt.

FAZIT

Insgesamt ist die rechtliche Lage unsicher und nicht zufriedenstellend. Um zu verhindern, dass das Werkzeug des Whistleblowings zur Verhinderung von Missständen in Unternehmen nicht oder weniger genutzt wird, müssen Unternehmen entsprechende Vorkehrungen treffen und Hinweisgeber auf die mögliche Einschränkung der Vertraulichkeit hinweisen, wenn diese keine anonyme Meldung tätigen wollen oder können (an dieser Stelle empfiehlt sich die Einführung eines digitalen Meldesystems, das anonyme Meldungen ermöglicht). Wichtig ist, dass das Whistleblower-System in Unternehmen für alle Beteiligten transparent ist und Schutz für alle bietet – auch für die Personen, die wegen eines Fehlverhaltens beschuldigt werden.