HinweisgeberInnen­schutzgesetz

Unternehmen mit 50 oder mehr Mitarbeiter:innen sind zur Einrichtung einer internen Meldestelle verpflichtet. Bei schwankender Anzahl an Mitarbeiter:innen ist auf die durchschnittliche Anzahl der Beschäftigten während des vorangegangenen Kalenderjahres abzustellen.

Unternehmen, die in folgenden Bereichen tätig sind, trifft die Verpflichtung zur Einrichtung einer internen Meldestelle, ungeachtet der Anzahl der Mitarbeiter:innen:

• Finanzdienstleistungen,
• Finanzprodukte und Finanzmärkte,
• Verhinderung von Geldwäsche und Terrorismusfinanzierung,
• Sicherheit in der Zivilluftfahrt, Schifffahrt und
• Sicherheit von Offshore-Erdöl und ‑Erdgasaktivitäten.

Keine Verpflichtung besteht hingegen für Einzelunternehmer.

Empfehlung
Evaluierung der Beschäftigtenanzahl und aller unternehmerischen Tätigkeitsbereiche, um zu prüfen, ob die Verpflichtung zur Einrichtung einer internen Meldestelle besteht.

Rechtliche Grundlage
§ 3 HSchG; Teile I.B und II des Anhangs zur RL 2019/1937/EU.

Das HSchG gilt nur in den Bereichen, die nicht bereits aufgrund der in Teil II des Anhangs zur RL 2019/1937/EU angeführten unmittelbar anwendbaren Unionsvorschriften oder aufgrund der folgenden Bundesgesetze geregelt sind:

• Abschlussprüfer-Aufsichtsgesetz,
• Bankwesengesetz,
• Bilanzbuchhaltungsgesetz 2014,
• Börsegesetz 2018,
• Bundeskriminalamt-Gesetz,
• Disziplinarstatut für Rechtsanwälte und Rechtsanwaltsanwärter,
• Finanzmarkt-Geldwäschegesetz,
• Gewerbeordnung 1994,
• Investmentfondsgesetz 2011,
• Kapitalmarktgesetz 2019,
• Notariatsordnung,
• Rechtsanwaltsordnung,
• PRIIP-Vollzugsgesetz,
• SFT-Vollzugsgesetz,
• Versicherungsaufsichtsgesetz 2016, soweit dieses die Richtlinie 2016/97/EU umsetzt
• Wertpapieraufsichtsgesetz 2018,
• Wirtschaftstreuhandberufsgesetz 2017,
• Zentralverwahrer-Vollzugsgesetz.

Andere als die genannten Rechtsvorschriften zum Verfahren und zum Schutz von Hinweisgeber:innen sind dann anzuwenden, wenn sie für die Hinweisgeber:in günstiger sind, über den persönlichen oder sachlichen Geltungsbereich des HSchG hinausgehen oder die Behandlung von Hinweisen spezifischer regeln, ohne dabei von den Mindestanforderungen des HSchG abweichen.

Empfehlung
Prüfung, ob und falls ja, in welchem Umfang das Unternehmen bereits von Verpflichtungen zur Einrichtung eines Meldesystems betroffen ist. 

Hinweise müssen entweder mündlich oder schriftlich oder in beiden Formen abgegeben werden können.

Jeder Hinweis ist auf seine Stichhaltigkeit zu überprüfen.

Die Meldestelle muss gemäß Art. 25 Datenschutz-Grundverordnung (DSGVO) technisch und organisatorisch geeignet sein (zB Pseudonymisierung). Konkrete gesetzliche Vorgaben, wie die Meldekanäle technisch einzurichten sind, fehlen jedoch.

Bei der Entgegennahme und Behandlung von Hinweisen ist unparteilich und unvoreingenommen vorzugehen. Es sind Vorkehrungen zu treffen, damit die für die Bearbeitung der Hinweise zuständige Person, unbefangen und unparteilich handeln kann.

Auf Ersuchen einer Hinweisgeber:in hat spätestens nach 14 Kalendertagen eine mündliche Besprechung stattzufinden.

Die internen Stellen sind mit den zur Erfüllung ihrer Aufgaben notwendigen finanziellen und personellen Mitteln auszustatten.

Die interne Meldestelle kann auch an Dritte (zB Rechtsanwaltskanzlei, Consulting Agentur) ausgelagert werden.

Bei Konzernunternehmen kann auch eine gemeinsame interne Meldestelle im Konzern errichtet werden.

Es ist sicherzustellen, dass klare Informationen über das Verfahren der Hinweisgebung zur Verfügung stehen. Zudem müssen klare Informationen über die Möglichkeiten sich an eine Meldestelle, sei es eine interne oder eine externe (zB Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung), zu wenden vorliegen.

Die interne Meldestelle ist in einer Weise einzurichten, die dazu anregt, Hinweise bevorzugt der internen Stelle zu melden.

Beispiele

• Einrichtung eines digitalen Meldeportals, das anonyme Meldungen ermöglicht und leicht über das Intranet des Unternehmens zugänglich ist.
• Einrichtung einer telefonischen Melde-Hotline mit speziell geschultem Personal.
• Auslagerung der Meldestelle an eine Rechtsanwaltskanzlei oder Consulting Agentur.
• Bereitstellung von Informationsbroschüren: Newsletter per E-Mail oder Bereitstellung im Intranet.

Empfehlung
Prüfung, ob und wie sich eine interne Meldestelle mit den bestehenden personellen und technischen Ressourcen des Unternehmens umsetzen lässt, oder ob die Auslagerung der internen Meldestelle in Frage kommt.

Sicherstellung, dass die interne Meldestelle - sei sie im Unternehmen angesiedelt oder ausgelagert - einfach zugänglich ist und den Mitarbeiter:innen Informationen über die Möglichkeit zur Hinweisgebung vorliegen.

Rechtliche Grundlage
§§ 10 Abs. 1, 11 Abs. 1 und 13 HSchG.

Alle eingehenden Hinweise müssen dokumentiert werden.

Mündliche Hinweise sind, bei Zustimmung der Hinweisgeber:in, durch Tonaufzeichnung oder durch vollständige und genaue Transkription des Gesprächs zu dokumentieren. Die Meldestelle ist jedenfalls berechtigt, mündliche Hinweise in Form eines detaillierten Gesprächprotokolls zu dokumentieren.

Der Eingang schriftlicher Hinweise ist der Hinweisgeber:in spätestens nach sieben Kalendertagen schriftlich zu bestätigen.

Hinweisgeber:innen haben das Recht auf Bearbeitung und Korrektur ihrer Hinweise.

Drei Monate nach Eingang des Hinweises sind der Hinweisgeber:in die Ergebnisse des Verfahrens, Folgemaßnahmen oder Gründe für die Einstellung mitzuteilen.

Beispiele

• Tonaufzeichnungen.
• Einrichtung eines elektronischen Dokumentenmanagementsystems, das die sichere Speicherung von Hinweisen ermöglicht und den Zugriff auf autorisiertes Personal beschränkt.

Rechtliche Grundlage
§ 9 HSchG.

Im Sinne des HSchG sollen all jene Personen geschützt werden, die aufgrund laufender oder früherer beruflicher Verbindung Informationen über Rechtsverletzungen erlangt haben.

Darunter fallen

• Arbeitnehmer:innen,
• überlassene Arbeitskräfte,
• Bewerber:innen,
• Praktikant:innen,
• Volontäre,
• Auszubildende,
• selbständig erwerbstätige Personen,
• Mitglieder eines Verwaltungs-, Leitungs- oder Aufsichtsorgans sowie
• Personen, die unter Aufsicht und Leitung eines Auftragnehmers oder Subunternehmers oder deren Lieferanten arbeiten bzw. gearbeitet haben.

Zudem sollen auch jene Personen im Umkreis des Hinweisgebers geschützt werden, die den Hinweisgeber unterstützen oder von nachteiligen Folgen der Hinweisgebung, wie bspw. Vergeltungsmaßnahmen, betroffen sein könnten.

Rechtliche Grundlage
§ 2 HSchG

Das HSchG umfasst die Hinweisgebung über die Verletzung von Vorschriften in den folgenden Bereichen:

• Verkehrssicherheit,
• Öffentliches Auftragswesen,
• Finanzdienstleistungen,
• Finanzprodukte und Finanzmärkte,
• Verhinderung von Geldwäsche und Terrorismusfinanzierung,
• Produktsicherheit und -konformität,
• Umweltschutz,
• Strahlenschutz und nukleare Sicherheit,
• Lebensmittel- und Futtermittelsicherheit,
• Tiergesundheit und Tierschutz,
• öffentliche Gesundheit,
• Verbraucherschutz,
• Schutz der Privatsphäre und personenbezogener Daten sowie Sicherheit von Netz- und Informationssystemen,
• Verhinderung und Ahndung von Straftaten nach den §§ 302 bis 309 des Strafgesetzbuches (Korruption, Bestechung),
• Rechtsverletzungen zum Nachteil der finanziellen Interessen der Europäischen Union,
• Verletzungen von Binnenmarktvorschriften.

Wenn über die Meldestelle bloß die im HSchG vorgesehenen Hinweisthemen gemeldet werden können sollen, ist für die Einrichtung der Meldestelle keine Betriebsvereinbarung notwendig.

Ist hingegen geplant, über die Meldestelle auch darüberhinausgehende Rechtsverletzungen (bspw. Mobbing, Verletzung der Gleichbehandlung, Verstöße gegen das Arbeitszeitgesetz) melden zu können, könnte eine zustimmungspflichtige Maßnahme („Kontrollsystem, das die Menschenwürde berührt“) vorliegen, die eine Betriebsvereinbarung erfordert.

Empfehlung
Festlegung welche Art von Hinweisen über die interne Meldestelle gemeldet werden können.

Ist geplant, über die Meldestelle auch über das HSchG hinausgehende Rechtsverletzungen melden zu können, empfiehlt sich eine Prüfung, ob eine Betriebsvereinbarung notwendig ist.

Rechtliche Grundlage
§ 3 Abs. 3 - 6 HSchG; § 96 ArbVG.

Die Verarbeitung der in Hinweisen enthaltenen personenbezogenen Daten – sowohl die der Hinweisgeber:in als auch die der von der Hinweisgebung betroffenen Personen - ist zulässig. Bei der Verarbeitung der in den Hinweisen enthaltenen personenbezogenen Daten sind grundsätzlich die Vorgaben der DSGVO einzuhalten.

Verantwortliche für die Datenverarbeitung im Sinne des Art. 4 Z 7 der DSGVO sind einerseits die Hinweisgeber:in hinsichtlich personenbezogener Daten, von denen sie wissen, dass sie über das zur Weiterverfolgung des Hinweises Erforderliche hinausgehen sowie das Unternehmen, dem die interne Meldestelle angehört. Bei gemeinsamem Betrieb einer internen Meldestelle der Konzerngesellschaften, sind diese gemeinsam Verantwortliche im Sinne des Art 26 DSGVO.

Die Identität der Hinweisgeber:in sowie alle Informationen, die ihre Identität offenbaren könnten, müssen streng vertraulich behandelt werden. Die Offenlegung der Identität erfolgt nur, wenn dies im Rahmen eines verwaltungsbehördlichen- oder gerichtlichen- oder Ermittlungsverfahren unerlässlich ist.

Solange es zum Schutz der Hinweisgeber:in und zur Behandlung des Hinweises erforderlich ist, finden die Betroffenenrechte iSd DSGVO (wie insb. Auskunfts- und Löschpflichten) auf vom Hinweis betroffene Personen keine Anwendung.

Empfehlung
Schulung des Personals hinsichtlich der Vertraulichkeit und Sicherstellung, dass die Identität der Hinweisgeber:in in allen Phasen des Verfahrens geschützt wird.

Festlegung, ob über die Meldestelle nur das HSchG umgesetzt werden soll, oder auch darüberhinausgehende Themen erfasst werden sollen.

Rechtliche Grundlage
§§ 7 Abs. 1-7, 8 HSchG; Art. 4 Z 7, 26 DSGVO.

Maßnahmen, die in Vergeltung eines berechtigten Hinweises erfolgt sind, sind rechtsunwirksam und können Wiederherstellungs- und Schadenersatzverpflichtungen nach sich ziehen. Beispielhaft zählt das Gesetz folgende Maßnahmen auf:

• Suspendierung,
• Kündigung oder vergleichbare Maßnahmen,
• Nichtverlängerung oder vorzeitige Beendigung eines befristeten Arbeitsvertrags,
• Herabstufung oder Versagung einer Beförderung,
• Aufgabenverlagerung,
• Änderung des Arbeitsortes,
• Minderung des Entgelts,
• Änderung der Arbeitszeit,
• Versagung der Teilnahme an Weiterbildungsmaßnahmen,
• negative Leistungsbeurteilung oder Ausstellung eines schlechten Dienstzeugnisses,
• Disziplinarmaßnahme, Rüge oder sonstige Sanktion einschließlich finanzieller Sanktionen,
• vorzeitige Kündigung oder Aufhebung eines Vertrags über Waren oder Dienstleistungen,
• Entzug einer Lizenz oder einer Genehmigung

Weitere Maßnahmen, die Wiederherstellungs- und Schadenersatzverpflichtungen nach sich ziehen können:

• Nötigung, Einschüchterung, Mobbing oder Ausgrenzung,
• Diskriminierung, benachteiligende oder ungleiche Behandlung,
• Nichtumwandlung eines befristeten Arbeitsvertrags in einen unbefristeten Arbeitsvertrag in Fällen, in denen eine Arbeitnehmerin oder ein Arbeitnehmer zu Recht erwarten durfte, einen unbefristeten Arbeitsvertrag angeboten zu bekommen,
• Schädigung einschließlich Rufschädigung, insbesondere in den sozialen Medien, oder Herbeiführung finanzieller Verluste einschließlich Auftrags- oder Einnahmeverluste,
• Erfassung der Hinweisgeberin oder des Hinweisgebers auf einer schwarzen Liste auf Basis einer informellen oder formellen sektor- oder branchenspezifischen Vereinbarung mit der Folge, dass die Hinweisgeberin oder der Hinweisgeber sektor- oder branchenweit keine Beschäftigung mehr findet,
• psychiatrische oder sonstige Zuweisung zu ärztlicher Behandlung.

Zu beachten ist, dass die Hinweisgeber:in im gerichtlichen oder verwaltungsbehördlichen Verfahren nur glaubhaft machen muss, dass sie durch eine der genannten Maßnahmen als Folge eines Hinweises benachteiligt wurde. Die für die Maßnahme verantwortliche Person kann hingegen glaubhaft machen, dass ein anderes Motiv für die Maßnahme ausschlaggebend war.

Empfehlung
Dokumentation aller personalbezogenen Entscheidungen, damit diese nicht fälschlicherweise als Vergeltung für Hinweise interpretiert werden können.

Schulung der Führungskräfte und Mitarbeiter:innen über die rechtlichen Konsequenzen von Vergeltungsmaßnahmen.

Rechtliche Grundlage
§§ 20, 23 HSchG.

Strafbar mit bis zu 20.000 Euro (im Wiederholungsfall 40.000 Euro) ist

• die Behinderung bzw. der Versuch der Behinderung (intern oder extern) der Hinweisgebung,
• die Unterdrucksetzung potenzieller Hinweisgeber durch mutwillige gerichtliche oder verwaltungsbehördliche Verfahren,
• die Setzung von Vergeltungsmaßnahmen sowie
• die Verletzung der Vertraulichkeit des Hinweisgebers.

Nicht strafbar ist, die bloße Nichteinrichtung einer internen Meldestelle.

Allerdings ist zu beachten, dass potenzielle Hinweisgeber:innen sich in Fällen, in denen keine interne Meldestelle eingerichtet wurde, dennoch an eine externe Stelle wenden können und auch die Schutzbestimmungen (Verbot von Vergeltungsmaßnahmen) des HSchG zur Anwendung kommen.

Rechtliche Grundlage
§ 24 HSchG.