(1) Eine interne Meldestelle kann eingerichtet werden, indem eine bei dem jeweiligen Beschäftigungsgeber oder bei der jeweiligen Organisationseinheit beschäftigte Person, eine aus mehreren beschäftigten Personen bestehende Arbeitseinheit oder ein Dritter mit den Aufgaben einer internen Meldestelle betraut wird. Die Betrauung eines Dritten mit den Aufgaben einer internen Meldestelle entbindet den betrauenden Beschäftigungsgeber nicht von der Pflicht, selbst geeignete Maßnahmen zu ergreifen, um einen etwaigen Verstoß abzustellen. Ist der Beschäftigungsgeber der Bund oder ein Land, gilt Satz 2 für die jeweiligen Organisationseinheiten entsprechend.
(2) Mehrere private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können für die Entgegennahme von Meldungen und für die weiteren nach diesem Gesetz vorgesehenen Maßnahmen eine gemeinsame Stelle einrichten und betreiben. Die Pflicht, Maßnahmen zu ergreifen, um den Verstoß abzustellen, und die Pflicht zur Rückmeldung an die hinweisgebende Person verbleiben bei dem einzelnen Beschäftigungsgeber.
Gesetzesbegründung zu § 14 HinSchG
Zu Absatz 1
Die Vorschrift dient der Umsetzung von Artikel 9 Absatz 1 Buchstabe c der HinSch-RL. Es werden bewusst keine Vorgaben dazu gemacht, welche Personen oder Organisationseinheiten am besten geeignet sind, um diese Aufgabe auszuführen. Dies hängt von der jeweiligen Organisationsstruktur, der Größe und der Art der ausgeübten Tätigkeiten ab. Daher soll den betroffenen Stellen im Einzelfall die größtmögliche Freiheit bei der Erfüllung dieser Anforderungen eingeräumt werden.
Unerlässlich für die Funktionsfähigkeit des Systems ist allerdings, dass die Person oder Organisationseinheit, die mit der Aufgabe betraut wird, im Rahmen dieser Tätigkeit unabhängig arbeiten kann. Auch mögliche Interessenkonflikte sind auszuschließen. Darüber hinaus sollte die interne Meldestelle für eine gewisse Dauer bei einer bestimmten Person oder Organisationseinheit beziehungsweise einer oder einem Dritten eingerichtet werden, um ein sachgerechtes Arbeiten zu ermöglichen, das Vertrauen potentiell hinweisgebender Personen in die Meldestelle und eine gewisse Expertise der Meldestelle verlangt.
Erwägungsgrund 56 der HinSch-RL nennt als mögliche interne Meldestellen in kleineren Unternehmen Mitarbeiterinnen oder Mitarbeiter mit einer Doppelfunktion, Leiterinnen oder Leiter der Complianceabteilung, Integritätsbeauftragte, Rechts- oder Datenschutzbeauftragte oder Auditverantwortliche. Dies zeigt die Bandbreite der möglichen Umsetzung der Verpflichtung, die nicht eingeschränkt werden soll, solange die gesetzlichen Vorgaben insbesondere in Bezug auf die Unabhängigkeit und Vertraulichkeit eingehalten werden.
Es können, so wie dies auch bereits in der Praxis teilweise durch Ombudspersonen gehandhabt wird, externe Dritte mit der Einrichtung und dem Betreiben der internen Meldestelle beauftragt werden. Insbesondere die Beauftragung externer Anwältinnen und Anwälte als Ombudspersonen ist weiterhin möglich, die die zusätzliche Aufgabe des Betreibens einer internen Meldestelle übernehmen können. Damit setzt die Vorschrift auch Artikel 8 Absatz 5 Satz 1 der HinSch-RL um. Ergänzend nennt deren Erwägungsgrund 54 als mögliche Dritte, die eine interne Meldestelle betreiben können, externe Berater, Prüfer, Gewerkschaftsvertreter oder Arbeitnehmervertreter.
Die Beauftragung eines Dritten entlässt den jeweiligen Beschäftigungsgeber nicht aus der Pflicht, geeignete Maßnahmen zu ergreifen, um einen etwaigen Verstoß abzustellen. In keinem Fall kann der Dritte völlig losgelöst von dem betreffenden Unternehmen oder der jeweiligen Institution agieren. Insbesondere für Folgemaßnahmen zur Prüfung der Stichhaltigkeit einer Meldung bedarf es einer Kooperation zwischen dem beauftragten Dritten und dem Beschäftigungsgeber oder der jeweiligen Organisationseinheit. Auch die Verantwortung dafür, dass ein etwaiger Verstoß abgestellt wird, verbleibt bei dem beauftragenden Beschäftigungsgeber beziehungsweise der Organisationseinheit. Gemäß dem konzernrechtlichen Trennungsprinzip kann auch bei einer anderen Konzerngesellschaft (zum Beispiel Mutter-, Schwester-, oder Tochtergesellschaft) eine unabhängige und vertrauliche Stelle als „Dritter“ im Sinne von Artikel 8 Absatz 5 HinSch-RL eingerichtet werden, die auch für mehrere selbständige Unternehmen in dem Konzern tätig sein kann. Dabei ist es – wie auch sonst bei der Unterstützung von Unternehmen – notwendig, dass die originäre Verantwortung dafür, einen festgestellten Verstoß zu beheben und weiterzuverfolgen, immer bei dem jeweiligen beauftragenden Tochterunternehmen verbleibt.
Solche innerhalb eines Konzerns zentral angesiedelten, aber im Sinne der HinSch-RL unabhängigen, unparteiischen und vertraulichen Meldestellen würden der Unterstützung etwa durch externe Anwaltskanzleien entsprechen. Da diese Einheiten dennoch, je nach Meldung und hinweisgebender Person, für die jeweiligen rechtlich selbstständigen Tochterunternehmen tätig würden, käme es nicht zu einem Übergang der Verantwortung. Die Expertise für die Bearbeitung von Meldungen läge dann konzentriert bei der internen Meldestelle, die beispielsweise über technische Meldekanäle und Personal verfügt und auch interne Ermittlungen in den jeweils betroffenen Konzernteilen durchführen kann, wohingegen die Verantwortung und die Verpflichtung zum Abstellen des Rechtsverstoßes beim jeweiligen Tochterunternehmen lägen. Soweit eine Berichterstattung an die Konzernleitung erforderlich erscheint, z. B. weil ein Verstoß nicht nur das konkrete Unternehmen betrifft, müsste diese unter voller Wahrung der Vertraulichkeit der Identität der hinweisgebenden Person durch oder im Auftrag des jeweiligen Tochterunternehmens erfolgen. In jedem Fall ist zu gewährleisten, dass die Stelle, die im Konzern mit den Aufgaben einer internen Meldestelle beauftragt wird, bei der Ausübung ihrer Tätigkeit unabhängig ist und auch das Vertraulichkeitsgebot beachtet. Dabei ist mit Blick auf etwaige Umsetzungsunterschiede in den einzelnen Ländern bei transnational tätigen Konzernen das hinweisgebende Personen schützende Recht des jeweiligen Staates zu beachten. Interne Meldungen müssen dabei auch in der im jeweiligen beauftragenden Tochterunternehmen vorherrschenden Arbeitssprache möglich sein. Zudem ist sicherzustellen, dass durch die Beauftragung einer zentralen Meldestelle bei einer Konzerngesellschaft keine zusätzlichen Hürden für hinweisgebende Personen aufgebaut werden.
Die Anforderungen in Bezug auf die Ausgestaltung des internen Meldekanals gelten gleichermaßen für mit der Einrichtung oder dem Betreiben interner Meldestellen beauftragte externe Dritte, um hinweisgebenden Personen den gleichen Schutzstandard zu sichern. Artikel 8 Absatz 5 Satz 2 der HinSch-RL sieht diese Vorgabe ausdrücklich für die Beauftragung Dritter durch juristische Personen des privaten Rechts vor. Eine Differenzierung zwischen privatem und öffentlichem Sektor wäre allerdings nicht sachgerecht. Auch für juristische Personen des öffentlichen Rechts, Behörden, Gerichte und Streitkräfte müssen die gleichen Anforderungen an die interne Meldestelle gelten, unabhängig davon, ob diese intern betrieben oder eine externe dritte Person damit beauftragt wird.
Bei der Verarbeitung personenbezogener Daten hat die interne Meldestelle die Vorschriften über den Datenschutz einzuhalten. Soweit die interne Meldestelle zur Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben personenbezogene Daten verarbeitet, soll vor allem bei internen Meldestellen, die von einer Einzelperson betrieben werden, diese nicht die für die Verarbeitung Verantwortliche im Sinne der datenschutzrechtlichen Vorschriften sein. Soweit externe Dritte im Rahmen einer Auftragsverarbeitung mit der Einrichtung und dem Betreiben der internen Meldestelle beauftragt werden, sind die Vorgaben für Auftragsdatenverarbeitungen zu beachten, vergleiche Artikel 28 DSGVO.
Zu Absatz 2
Die Vorschrift setzt Artikel 8 Absatz 6 der HinSch-RL um und sieht für kleinere Unternehmen zusätzliche, über Absatz 1 hinausgehende Erleichterungen vor. Dadurch, dass sich kleinere Unternehmen für das Betreiben einer internen Meldestelle zusammenschließen können, soll es möglich sein, Ressourcen zu schonen und eine kostengünstige und wenig aufwendige Lösung zu finden. Hierdurch soll eine ökonomische Überlastung vermieden werden. Auch für Gemeinden, für die sich die Pflicht zur Einrichtung interner Meldestellen nach demjeweiligen Landesrecht richtet (vergleiche § 12 Absatz 1 Satz 4), kann das jeweilige Lan-desrecht in Umsetzung von Artikel 8 Absatz 9 Unterabsatz 3 der HinSch-RL vorsehen, dass Gemeinden und Gemeindeverbände interne Meldestellen gemeinsam betreiben können.