FAQ -MCD

Unternehmen und Organisationen ab 50 Beschäftigte müssen sichere interne Hinweisgebersysteme betreiben. Kleinere Unternehmen zwischen 50 und 249 Beschäftigten wird dafür eine Umsetzungsfrist bis zum 17. Dezember 2023 eingeräumt. Unternehmen über 250 Beschäftigte sind ab der Inkraftsetzung (01. Juli 2023) in der Umsetzungspflicht. Ab dem 1. Dezember 2023 werden Bußgelder fällig, wenn Unternehmen/ Organisationen keine interne Meldestelle eingerichtet haben. Als Beschäftige im Sinne des HinSchG gelten dabei Angestellte, Auszubildende, BeamtInnen, Selbstständige, HeimarbeiterInnen.

Das Hinweisgeberschutzgesetz will einen umfassenden Schutz von WhistleblowerInnen sicherstellen. Das Ziel ist das Risiko für Menschen zu senken, die auf Missstände in ihrem Unternehmen oder in ihrer Behörde hinweisen.

Das Unternehmen kann den Meldekanal auch Personen zur Verfügung stellen, welche lediglich mit dem Unternehmen in Kontakt stehen, bspw. im Rahmen einer geschäftlichen Beziehung, damit diese Informationen über Verstöße melden können.

§ 7 Abs. 1 HinSchG besagt, dass die hinweisgebende Person die Wahl hat, ob sie die Meldung eines Sachverhalts, an eine interne oder an eine externe Meldestelle richtet. Kann die interne Meldestelle dem Hinweis bspw. nicht nachgehen, hat die hinweisgebende Person die Möglichkeit, sich an die externe Meldestelle zu wenden. Es wird jedoch betont, dass die interne Meldestelle bevorzugt werden soll.

Bei der Inanspruchnahme eines IT-Dienstleisters, der eine entsprechende cloudbasierte Lösung anbietet, handelt es sich in der Regel um eine Auftragsverarbeitung im Sinne des Art. 28 DS-GVO. Das bedeutet, dass in einem ersten Schritt ein entsprechender Vertrag mit dem Dienstleister geschlossen werden muss, der die Anforderungen des Art. 28 Abs. 3 DS-GVO erfüllt. Dazu gehören insbesondere: Die Weisungsgebundenheit bei der Verarbeitung personenbezogener Daten: - Die Verpflichtung zur Wahrung der Vertraulichkeit - Das Ergreifen angemessener technischer und organisatorischer Maßnahmen - Klare Regelungen für den Einsatz weiterer Unterauftragsverarbeiter

Nach Eingang einer Meldung muss diese durch die interne Meldestelle innerhalb von sieben Tagen bestätigt werden. Insgesamt hat der/die Bearbeiter/in drei Monate, um die meldende Person über die ergriffenen Maßnahmen zu informieren. Dazu wird die Meldung geprüft und die hinweisegebende Person ggf. um weitere Informationen gebeten. Abschließend ergriffene Maßnahmen können die Einleitung einer internen Compliance-Untersuchung oder die Weiterleitung der Meldung an eine zuständige Behörde, etwa eine Strafverfolgungsbehörde, sein. Während des gesamten Prozesses herrscht eine strenge Vertraulichkeit, nicht nur in Bezug auf die Identität der hinweisgebenden Person, sondern auch gegenüber allen in der Hinweismeldung genannten Personen. Es gilt die Regellöschfrist von drei Jahren, es sei denn es ist gesetzlich erforderlich diese länger aufzubewahren (Einzelfallentscheidung).

- Bei telefonischen Meldungen darf eine dauerhaft abrufbare Tonaufzeichnung bzw. ein Wortprotokoll nur mit Zustimmung der hinweisgebenden Person erfolgen. Liegt keine Einwilligung vor, ist lediglich eine Inhaltszusammenfassung zu erstellen. - Im Falle eines persönlichen Treffens können mit Zustimmung der hinweisgebenden Person auch Aufzeichnungen des Treffens erstellt und aufbewahrt werden. Dies kann durch eine Audioaufnahme oder die Erstellung eines Wortprotokolls erfolgen

- § 14 Abs. 1 HinSchG besagt, dass eine unternehmensinterne Meldestelle von dort Beschäftigen betreut werden darf. Voraussetzung dafür ist die notwendige Fachkunde und die Möglichkeit unabhängiger Arbeit, um Interessenskonflikte zu vermeiden. - Um die hinweisgebenden Personen zu schützen, ist der Kreis derjenigen Personen, die Zugriff auf eingehende Meldungen haben, möglichst klein zu halten. Als „unterstützende Personen“ kommen dabei bspw. Büro- oder IT-Kräfte in Betracht, soweit diese eine Unterstützungstätigkeit ausüben.