Hinweisgeberschutz in der HR-Software: Wer was sieht

Wer eine Meldestelle braucht

Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen nach § 12 Abs. 1 und 2 HinSchG eine interne Meldestelle einrichten und betreiben. Für private Beschäftigungsgeber mit 50 bis 249 Beschäftigten galt die Pflicht nach § 42 Abs. 1 erst ab dem 17. Dezember 2023; diese Übergangsfrist ist abgelaufen. Für bestimmte Unternehmen der Finanz- und Versicherungsbranche gilt die Pflicht nach § 12 Abs. 3 unabhängig von der Größe. Wer keine Meldestelle betreibt, handelt nach § 40 Abs. 2 Nr. 2 ordnungswidrig, mit einer Geldbuße bis zu 20 000 Euro.

Das Gesetz lässt offen, mit welcher Software das geschieht. Es sagt aber sehr genau, wer eine Meldung sehen darf: nach § 8 Abs. 1 Satz 2 nur die Personen, die für Entgegennahme und Folgemaßnahmen zuständig sind, und die sie dabei unterstützen. Nach § 16 Abs. 2 sind die Meldekanäle so zu gestalten, dass nur diese Personen Zugriff haben. Die Vertraulichkeit schützt nicht nur die hinweisgebende Person, sondern auch die Personen, die Gegenstand der Meldung sind oder in ihr genannt werden.

Drei weitere Vorgaben betreffen den Kanal selbst. Nach § 16 Abs. 1 Satz 1 muss er auch Leiharbeitskräften offenstehen, die dem Beschäftigungsgeber überlassen sind; ein Meldemodul, das nur mit einem Konto der HR-Software erreichbar ist, genügt dafür nach unserer Einschätzung allein nicht. Nach § 16 Abs. 3 müssen Meldungen mündlich und in Textform möglich sein, mündlich per Telefon oder über eine andere Art der Sprachübermittlung, auf Wunsch auch in einem persönlichen Treffen; ein Webformular allein genügt also nicht. Anonyme Meldungen sollte die Meldestelle nach § 16 Abs. 1 Satz 4 bearbeiten, einen anonymen Kanal muss sie nach Satz 5 nicht anbieten. Nach unserer Einschätzung lohnt sich ein Postfach, über das die Meldestelle auch einer anonym meldenden Person Rückfragen stellen und die Rückmeldung nach § 17 Abs. 2 geben kann.

Warum die Personalabteilung draußen bleibt

Nach unserer Einschätzung gehört die gewöhnliche HR-Rolle nicht zu diesem Kreis. Die Personalabteilung setzt Abmahnungen, Versetzungen und Kündigungen um, also genau die Maßnahmen, die § 36 Abs. 1 als Repressalien verbietet, wenn sie Reaktion auf eine Meldung sind. Macht eine benachteiligte Person geltend, die Benachteiligung folge aus ihrer Meldung, wird das nach § 36 Abs. 2 vermutet; wer benachteiligt hat, muss beweisen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen beruhte oder nicht auf der Meldung. Wer die Identität nie kannte, kann das leichter. Eine Repressalie ist zudem nach § 40 Abs. 2 Nr. 3 und Abs. 6 mit bis zu 50 000 Euro bußgeldbewehrt.

§ 15 Abs. 1 erlaubt, dass Personen der Meldestelle andere Aufgaben wahrnehmen, solange keine Interessenkonflikte entstehen. Die Begründung des Regierungsentwurfs (Drucksache 20/3442, S. 80) nennt als Beispiele für kleinere Beschäftigungsgeber die Korruptions-, Integritäts- oder Datenschutzbeauftragten, nicht die Personalleitung. Ausgeschlossen ist eine Person aus dem Personalbereich damit nicht; sie sollte dann aber nicht über Maßnahmen gegen Beteiligte mitentscheiden.

In einer HR-Suite kann die Administratorrolle Leserechte auf alle Module erben, und Benachrichtigungen, Exporte und Suchindizes können modulübergreifend arbeiten. Ein Meldemodul ist deshalb nur dann tragbar, wenn es aus diesen Mechanismen herausgenommen ist.

Sechs Tests vor dem Kauf

Lassen Sie sich die folgenden Proben in einer Testumgebung mit fiktiven Meldungen vorführen:

1. Administrator: Die HR-Administratorin öffnet das Meldemodul. Erwartet: kein Zugriff und keine Möglichkeit, sich die Rolle selbst zuzuweisen.
2. Benachrichtigung: Eine Meldung geht ein. Erwartet: Nachricht nur an die Meldestelle, ohne Inhalt im Betreff, nicht an Sammelpostfächer der Personalabteilung.
3. Export und Suche: Ein vollständiger Personaldatenexport und die globale Suche werden ausgeführt. Erwartet: keine Meldungen, keine Namen aus Meldungen.
4. Fristen: Das System zeigt die Eingangsbestätigung spätestens nach sieben Tagen und die Rückmeldung innerhalb von drei Monaten nach der Bestätigung als Frist an (§ 17 Abs. 1 Nr. 1, Abs. 2).
5. Mündliche Meldung: Ohne Einwilligung in eine Aufzeichnung lässt sich ein Inhaltsprotokoll anlegen, das die hinweisgebende Person prüfen, korrigieren und bestätigen kann (§ 11 Abs. 2 und 4).
6. Löschung: Drei Jahre nach Abschluss des Verfahrens löscht das System die Dokumentation oder verlangt eine Begründung, warum eine längere Aufbewahrung erforderlich und verhältnismäßig ist (§ 11 Abs. 5).

Fällt Test 1 oder 3 durch, ist das Modul nach unserer Bewertung ungeeignet, unabhängig davon, wie gut der Rest funktioniert. Ein Verstoß gegen das Vertraulichkeitsgebot ist nach § 40 Abs. 3, 4 und 6 bei Vorsatz oder Leichtfertigkeit mit bis zu 50 000 Euro bußgeldbewehrt, bei Fahrlässigkeit mit bis zu 10 000 Euro. Für die Geldbuße gegen das Unternehmen verweist § 40 Abs. 6 in diesen Fällen und bei Repressalien auf § 30 Abs. 2 Satz 3 OWiG, der das Höchstmaß verzehnfacht, also auf bis zu 500 000 beziehungsweise 100 000 Euro.

Wenn ein Dritter die Meldestelle betreibt

Nach § 14 Abs. 1 kann ein Dritter mit den Aufgaben der internen Meldestelle betraut werden; der Beschäftigungsgeber bleibt verpflichtet, Verstöße abzustellen. Private Beschäftigungsgeber mit 50 bis 249 Beschäftigten können nach § 14 Abs. 2 eine gemeinsame Stelle betreiben. Im Konzern hält die Begründung des Regierungsentwurfs (S. 79) eine zentrale Stelle bei einer anderen Konzerngesellschaft als „Dritten“ für möglich, solange die Verantwortung für Abhilfe bei der jeweiligen Gesellschaft bleibt und Berichte an die Konzernleitung die Identität wahren.

In diesen Modellen ist die HR-Software nicht der Meldekanal. Prüfen Sie dann nur die Schnittstelle: Welche Informationen gelangen für Folgemaßnahmen in die Personalakte, und wer entscheidet darüber? Gibt die Meldestelle ein Verfahren an eine intern zuständige Arbeitseinheit ab (§ 18 Nr. 4 Buchst. a), dürfen Identitäten gemeldeter oder genannter Personen weitergegeben werden, soweit das für interne Untersuchungen oder Folgemaßnahmen erforderlich ist (§ 9 Abs. 4 Nr. 2 und 3). Nach § 9 Abs. 3 darf die Identität der hinweisgebenden Person über die gesetzlichen Fälle hinaus nur weitergegeben werden, wenn das für Folgemaßnahmen erforderlich ist und sie für jede einzelne Weitergabe gesondert in Textform eingewilligt hat.

Unter 50 Beschäftigten

Wer in der Regel weniger als 50 Beschäftigte hat und nicht unter § 12 Abs. 3 fällt, muss keine Meldestelle einrichten. Das Repressalienverbot des § 36 gilt trotzdem für jede hinweisgebende Person, die nach dem Gesetz meldet, etwa an eine externe Meldestelle. Ein freiwilliger Kanal ist möglich; für ihn empfehlen wir dieselbe Trennung von den Personalrechten. Welche weiteren Pflichten mit wachsender Belegschaft hinzukommen, zeigt das Profil Start-ups. Ob ein konkreter Fall unter das HinSchG fällt, klären Sie mit einer Fachanwältin oder einem Fachanwalt für Arbeitsrecht.