breakpilot-compliance/backend-compliance/migrations/098_whistleblower_policy.sql

-- Migration 098: Whistleblower-Richtlinie (HinSchG)
-- Neues Template fuer das /sdk/whistleblower Modul
-- Pflicht ab 50 MA (seit Dez 2023), anonyme Meldungen ab 2025

INSERT INTO compliance_legal_templates (
    id, tenant_id, document_type, title, description, content,
    placeholders, language, jurisdiction,
    license_id, license_name, source_name,
    attribution_required, is_complete_document, version, status,
    created_at, updated_at
) SELECT
    gen_random_uuid(),
    '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e',
    'whistleblower_policy',
    'Hinweisgeberrichtlinie (HinSchG)',
    'Interne Richtlinie zum Hinweisgeberschutz gemaess Hinweisgeberschutzgesetz (HinSchG). Meldestelle, Verfahren, Vertraulichkeit, Schutz vor Repressalien, Fristen. Pflicht ab 50 Mitarbeitende.',
    $template$# Hinweisgeberrichtlinie

Interne Richtlinie zum Schutz hinweisgebender Personen gemaess Hinweisgeberschutzgesetz (HinSchG)

**{{COMPANY_LEGAL_NAME}}**
Stand: {{VERSION_DATE}}

---

## 1. Zweck und Geltungsbereich

(1) Diese Richtlinie regelt das Verfahren zur Meldung von Verstoessen und den Schutz hinweisgebender Personen bei **{{COMPANY_LEGAL_NAME}}** gemaess dem Hinweisgeberschutzgesetz (HinSchG).

(2) Die Richtlinie gilt fuer alle Beschaeftigten, Leiharbeitnehmer, Praktikanten, Bewerber, ehemalige Beschaeftigte sowie Personen, die im Rahmen ihrer beruflichen Taetigkeit mit {{COMPANY_LEGAL_NAME}} in Kontakt stehen (Lieferanten, Auftragnehmer, Anteilseigner).

(3) Die Richtlinie ergaenzt bestehende Compliance-Regelungen und ersetzt diese nicht.

---

## 2. Sachlicher Anwendungsbereich

(1) Meldungen ueber folgende Verstoesse werden entgegengenommen und bearbeitet:

- Verstoesse gegen Strafvorschriften
- Verstoesse gegen bussgeldbewehrte Vorschriften (Ordnungswidrigkeiten), soweit die verletzte Vorschrift dem Schutz von Leben, Leib, Gesundheit oder dem Schutz der Rechte von Beschaeftigten oder ihrer Vertretungsorgane dient
- Verstoesse gegen Rechtsvorschriften des Bundes und der Laender, die zur Umsetzung von EU-Richtlinien erlassen wurden, insbesondere in den Bereichen:
  - Datenschutz und IT-Sicherheit
  - Umweltschutz
  - Verbraucherschutz
  - Produktsicherheit
  - Vergaberecht
  - Geldwaeschebekaempfung
  - Lebensmittel- und Futtermittelsicherheit
  - Steuerbetrug

(2) Nicht erfasst sind Meldungen, die ausschliesslich persoenliche Beschwerden oder arbeitsrechtliche Streitigkeiten betreffen, sofern diese keine Verstoesse im Sinne von Absatz 1 darstellen.

---

## 3. Interne Meldestelle

(1) {{COMPANY_LEGAL_NAME}} hat eine interne Meldestelle eingerichtet. Die Meldestelle ist besetzt durch:

**{{WHISTLEBLOWER_CONTACT_NAME}}**
{{WHISTLEBLOWER_CONTACT_ROLE}}
E-Mail: {{WHISTLEBLOWER_EMAIL}}
{{#IF WHISTLEBLOWER_PHONE}}Telefon: {{WHISTLEBLOWER_PHONE}}{{/IF}}
{{#IF WHISTLEBLOWER_URL}}Online-Meldeformular: {{WHISTLEBLOWER_URL}}{{/IF}}

(2) Die mit den Aufgaben der internen Meldestelle betraute Person ist bei der Ausuebung ihrer Taetigkeit unabhaengig und weisungsfrei. Sie verfuegt ueber die erforderliche Fachkunde.

{{#IF HAS_EXTERNAL_REPORTING}}
(3) Alternativ oder ergaenzend steht die externe Meldestelle des Bundes beim Bundesamt fuer Justiz (BfJ) zur Verfuegung:
Bundesamt fuer Justiz
Adenauerallee 99-103, 53113 Bonn
https://www.bundesjustizamt.de/DE/MeldestelledesHinweisgeberschutzgesetzes

Hinweisgebende Personen koennen frei waehlen, ob sie sich an die interne oder externe Meldestelle wenden. {{COMPANY_LEGAL_NAME}} ermutigt jedoch, zunaechst die interne Meldestelle zu nutzen, sofern dem Verstoss intern wirksam abgeholfen werden kann.
{{/IF}}

---

## 4. Meldevorgaenge

### 4.1 Meldewege

(1) Meldungen koennen auf folgenden Wegen abgegeben werden:

- **Schriftlich:** per E-Mail an {{WHISTLEBLOWER_EMAIL}} oder ueber das Meldeformular ({{WHISTLEBLOWER_URL}})
- **Muendlich:** per Telefon unter {{WHISTLEBLOWER_PHONE}} oder auf Wunsch in einem persoenlichen Gespraech
{{#IF HAS_ANONYMOUS_REPORTING}}
- **Anonym:** Anonyme Meldungen werden entgegengenommen und bearbeitet. Die Meldestelle stellt einen anonymen Kommunikationskanal zur Verfuegung, ueber den auch Rueckfragen moeglich sind, ohne die Identitaet preiszugeben.
{{/IF}}

### 4.2 Inhalt einer Meldung

(2) Eine Meldung sollte nach Moeglichkeit folgende Angaben enthalten:

- Beschreibung des gemeldeten Verstosses
- Beteiligte Personen (soweit bekannt)
- Zeitpunkt und Ort des Verstosses
- Vorhandene Belege oder Beweismittel
- Angabe, ob die meldende Person bereits anderweitig Meldung erstattet hat

### 4.3 Verfahrensablauf

(3) Die Meldestelle bestaetigt den Eingang der Meldung **innerhalb von 7 Tagen**.

(4) Die Meldestelle prueft die Stichhaltigkeit der Meldung und ergreift angemessene Folgemassnahmen. Dies kann insbesondere umfassen:

- Interne Untersuchungen
- Weiterleitung an zustaendige interne Stellen (unter Wahrung der Vertraulichkeit)
- Weiterleitung an zustaendige Behoerden
- Abschluss des Verfahrens bei fehlender Stichhaltigkeit

(5) Die Meldestelle gibt der hinweisgebenden Person **innerhalb von 3 Monaten** nach Eingangsbestaetigung eine Rueckmeldung ueber die ergriffenen oder geplanten Folgemassnahmen sowie die Gruende hierfuer.

---

## 5. Vertraulichkeit

(1) Die Identitaet der hinweisgebenden Person wird von der Meldestelle vertraulich behandelt. Sie darf ohne deren ausdrueckliche Zustimmung nicht an Dritte weitergegeben werden.

(2) Ausnahmen bestehen nur, wenn die Weitergabe:
- durch Rechtsvorschrift oder gerichtliche Entscheidung angeordnet ist
- fuer die Durchfuehrung eines Strafverfahrens zwingend erforderlich ist

(3) In diesen Faellen wird die hinweisgebende Person vorab informiert, sofern dies die Ermittlungen nicht gefaehrdet.

(4) Alle an der Bearbeitung einer Meldung beteiligten Personen sind zur Vertraulichkeit verpflichtet.

---

## 6. Schutz vor Repressalien

(1) Hinweisgebende Personen duerfen wegen einer Meldung keine Repressalien erleiden. Repressalien sind insbesondere:

- Kuendigung oder Suspendierung
- Herabstufung, Versetzung oder Verweigerung einer Befoerderung
- Gehaltsminderung oder Entzug von Leistungen
- Abmahnung, Disziplinarmassnahmen
- Einschuechterung, Belaestigung, Diskriminierung
- Schaedigung des Ansehens, insbesondere in sozialen Medien
- Nichtverlaengerung oder vorzeitige Beendigung eines befristeten Vertrags

(2) Erleidet eine hinweisgebende Person nach einer Meldung eine Benachteiligung, wird vermutet, dass diese Benachteiligung eine Repressalie ist (Beweislastumkehr gemaess § 36 HinSchG).

(3) Personen, die Repressalien gegenueber hinweisgebenden Personen ausueben, koennen disziplinar- und schadensersatzrechtlich zur Verantwortung gezogen werden.

---

## 7. Datenschutz

(1) Die Verarbeitung personenbezogener Daten im Rahmen des Meldeverfahrens erfolgt gemaess den Bestimmungen der DSGVO und des BDSG.

(2) Personenbezogene Daten werden nur erhoben, verarbeitet und gespeichert, soweit dies fuer die Bearbeitung der Meldung und die Durchfuehrung von Folgemassnahmen erforderlich ist.

(3) Die Dokumentation einer Meldung wird **3 Jahre** nach Abschluss des Verfahrens geloescht, sofern keine laengere Aufbewahrung gesetzlich vorgeschrieben oder fuer die Durchsetzung von Rechtsanspruechen erforderlich ist.

(4) Weitere Informationen zur Datenverarbeitung finden sich in der Datenschutzerklaerung unter {{PRIVACY_POLICY_URL}}.

---

## 8. Dokumentation und Berichterstattung

(1) Die Meldestelle dokumentiert alle eingehenden Meldungen unter Wahrung der Vertraulichkeit. Die Dokumentation umfasst:

- Eingangsdatum und Art der Meldung
- Gegenstand des gemeldeten Verstosses
- Ergriffene Folgemassnahmen
- Ergebnis und Abschlussdatum

(2) Die Meldestelle erstellt einen jaehrlichen Bericht ueber die Anzahl der eingegangenen Meldungen, die Art der gemeldeten Verstoesse und die ergriffenen Massnahmen. Dieser Bericht enthaelt keine Angaben, die Rueckschluesse auf die Identitaet von Hinweisgebern oder beschuldigten Personen ermoeglichen.

---

## 9. Schulung und Information

(1) {{COMPANY_LEGAL_NAME}} informiert alle Beschaeftigten ueber die Existenz und den Zweck dieser Richtlinie sowie ueber die verfuegbaren Meldewege.

(2) Die mit den Aufgaben der Meldestelle betrauten Personen erhalten regelmaessige Schulungen zu den Anforderungen des HinSchG und zum Umgang mit Meldungen.

---

## 10. Inkrafttreten und Aenderungen

Diese Richtlinie tritt am {{EFFECTIVE_DATE}} in Kraft. {{COMPANY_LEGAL_NAME}} behaelt sich vor, diese Richtlinie bei Aenderungen der Rechtslage oder des internen Verfahrens anzupassen.

---

*Erstellt mit BreakPilot Compliance — {{COMPANY_LEGAL_NAME}} | Stand: {{VERSION_DATE}}*
$template$,
    '["COMPANY_LEGAL_NAME","VERSION_DATE","EFFECTIVE_DATE","WHISTLEBLOWER_CONTACT_NAME","WHISTLEBLOWER_CONTACT_ROLE","WHISTLEBLOWER_EMAIL","WHISTLEBLOWER_PHONE","WHISTLEBLOWER_URL","PRIVACY_POLICY_URL"]'::jsonb,
    'de', 'DE',
    'mit', 'MIT License', 'BreakPilot Compliance',
    false, true, '1.0.0', 'published',
    NOW(), NOW()
WHERE NOT EXISTS (
    SELECT 1 FROM compliance_legal_templates
    WHERE document_type = 'whistleblower_policy'
    AND tenant_id = '9282a473-5c95-4b3a-bf78-0ecc0ec71d3e'
);