Die Umsetzung der Whistleblower-Richtlinie in Österreich

Am 17. Dezember 2021 endete die Umsetzungsfrist der EU-Whistleblower-Richtlinie (RL (EU) 2019/1937). Mit diesem Zeitpunkt wurde sie direkt wirksam und alle Betriebe mit mehr als 250 Mitarbeiter:innen wurden dazu verpflichtet, ein internes Hinweisgebersystem einzurichten. Doch der österreichische Gesetzgeber konnte sich bis zu diesem Datum nicht zur nationalen Umsetzung in Form eines Gesetzes durchringen. Mittlerweile liegt, mit einiger Verzögerung, ein Gesetzesentwurf in Form des HinweisgeberInnenschutzgesetzes (HSchG) vor. Die Begutachtungsfrist dauert noch bis 15. Juli 2022.

Das Hinweisgeber:innenschutzgesetz (HSchG)

oder „Bundesgesetz über das Verfahren und den Schutz bei Hinweisen auf Rechtsverletzungen in bestimmten Rechtsbereichen“. So der Titel der österreichischen Umsetzung der Richtlinie (EU) 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“. Der folgende Newsletter bietet einen Überblick der wesentlichen Inhalte des Gesetzesentwurfs.

Whistleblower-Schutz in Österreich

Nach etlichen Skandalen rund um Whistleblower in den letzten Jahren, wie beispielsweise rund um die Panama-Papers oder den VW-Abgasskandal, sah sich die EU dazu veranlasst, Hinweisgeber:innen durch den Erlass der Whistleblower-RL besser zu schützen.  Durch die Verwendung des Instruments der Richtlinie war eine Umsetzung in das nationale Recht der Mitgliedsstaaten erforderlich. Dabei muss der Inhalt des nationalen Gesetzes mindestens der Richtlinie entsprechen, kann aber auch darüber hinaus gehen.

Persönlicher und sachlicher Anwendungsbereich - Wer wird geschützt? Wer wird verpflichtet?

§2 HSchG regelt den persönlichen Geltungsbereich und legt darin fest, wann Hinweisgeber:innen geschützt werden. Ausschlaggebend ist die Kenntnis von Rechtsverletzungen aufgrund beruflicher Verbindung zu einem Rechtsträger des Privatrechts oder des öffentlichen Rechts. Diese berufliche Verbindung kann vielerlei Gestalt haben, erfasst werden beispielsweise klassische ArbeitnehmerInnen, als auch Selbständige, aber auch bereits Bewerber:innen, Praktikant:innen oder Anteilseigner:innen.

Die Schutzbestimmungen des 4. und 5. Hauptstücks sollen darüber hinaus auch auf solche Personen Anwendung finden, die den/die Hinweisgeber:in unterstützen oder mit diesem anderweitig in Verbindung stehen.

Das Gesetz gilt für die Hinweisgebung zur Verletzung von Vorschriften unter anderem in folgenden Bereichen: Öffentliches Auftragswesen, Geldwäsche und Terrorismusfinanzierung, Produktsicherheit, Verkehrssicherheit, Umweltschutz, Lebensmittelsicherheit, Verbraucherschutz und auch der Schutz der Privatsphäre und personenbezogener Daten und Verhinderung und Ahndung von Korruption.

§11 HSchG verpflichtet private Unternehmen ab 50 Mitarbeiter:innen, juristische Personen des öffentlichen Sektors und Gemeinden ab 10.000 Einwohner:innen zur Einrichtung eines internen Meldesystems, das so ausgestaltet sein soll, dass sich die potenziellen Hinweisegeber:innen bevorzugt an interne Meldestellen wenden, anstatt mit ihrem Wissen an die Öffentlichkeit zu gehen. Für jene Unternehmen mit weniger als 250 Mitarbeiter:innen, gilt aufgrund der EU-Richtlinie allerdings eine Übergangsfrist von 2 Jahren, also bis zum 18. Dezember 2023, um ihnen die Implementierung zu erleichtern. Aufgrund der Verzögerung bei der Umsetzung der EU-Vorgaben durch den österreichischen Gesetzgeber, wird auch jenen Unternehmen, die aufgrund ihrer Größe bereits jetzt zur Einrichtung von internen Meldesystemen verpflichtet wären, eine 6-monatige Umsetzungsfrist eingeräumt.

Interne und externe Meldestellen

Externe Meldestellen, also solche außerhalb des Unternehmens des/der Hinweisgebenden, sind teilweise schon seit längerem eingerichtet, dazu zählen die Finanzmarktaufsichtsbehörde (FMA), die Geldwäschemeldestelle, die Abschlussprüferaufsichtsbehörde oder die Hinweisgebersysteme der Bundeswettbewerbsbehörde und der Bilanzbuchhaltungsbehörde. Solche staatlichen Meldestellen sind von großer Bedeutung, die Konsequenzen einer externen Meldung an eine staatliche Behörde sind allerdings für die Unternehmen des/der Hinweisgeber:ins oft enorm. Daher bevorzugt der österreichische Gesetzgeber zunächst eine interne Meldung. So besteht die Möglichkeit, dass ein Verstoß zunächst innerhalb des Unternehmens behandelt wird und erst nach einer erfolglosen internen Meldung eine externe Meldestelle verständigt wird.

Umzusetzende Maßnahmen

Betroffene Unternehmen und Organisationen sind dazu verpflichtet, ein internes, sicheres Meldesystem für Hinweisgeber einzurichten, das zudem auch DSGVO-konform ist. Das kann sowohl in digitaler Form geschehen, also mittels entsprechender Software, oder auch als Telefon-Hotline oder Anrufbeantwortersystem. Auf jeden Fall müssen die Meldungen sowohl schriftlich als auch mündlich und auf Anfrage persönlich abgegeben werden können. Es besteht nach dem Gesetz auch die Möglichkeit zur anonymen Meldung

Nach Eingang einer Meldung durch eine/n Hinweisgeber:in muss diese dokumentiert werden und innerhalb von maximal 7 Tagen eine Bestätigung darüber an den/die Hinweisgeber:in erfolgen. Nach der Meldung sind Folgemaßnahmen zu treffen. Innerhalb von drei Monaten muss der/die Hinweisgeber:in über diese informiert werden. Als Reaktion auf einen eingegangenen Hinweis kommen unter anderem interne Nachforschungen oder Untersuchungen in Frage, wenn diese nicht stattfinden, ist auch diese Nichtvornahme zu begründen (§12 HSchG). Für etwaige Folgemaßnahmen kann sowohl die interne Meldestelle als auch ein anderes für die Ergreifung von Folgemaßnahmen zuständiges Organ vorgesehen sein.

Als Erleichterung für Unternehmen mit weniger als 250 Mitarbeiter:innen und juristische Personen des öffentlichen Rechts (die nicht zu den Verwaltungsstellen des Bundes gehören) gibt es die Möglichkeit, die Aufgabe der internen Meldestelle auf eine im Inland gelegene gemeinsame Stelle, wie etwa eine Rechtsanwaltskanzlei, zu übertragen wodurch keine direkt im Unternehmen gelegene Meldestelle eingerichtet werden muss (§12 Abs 4 HSchG).

Sanktionen

Bei Verstoß gegen das Whistleblowinggesetz drohen hohe Verwaltungsstrafen. Bestraft werden etwa die Behinderung einer Meldung oder auch tatsächlich erfolgte oder angedrohte Vergeltungsmaßnahmen gegen den/die HinweisgeberIn. Bei einem erstmaligen Verstoß kann die Höhe der Geldstrafe bis zu 20.000 € betragen, im Wiederholungsfall sogar bis zu 40.000 € (§24 HSchG).

WHISPER- Das Hinweisgebertool von HSP.law

 Für die Ausgestaltung eines internen Meldekanals für Whistleblower empfehlen Expert:innen eine webbasierte Plattform, da auf einer solchen das Vertraulichkeitsgebot der Richtlinie sicher umgesetzt werden kann.   WHISPER ist sowohl über Webbrowser als auch mittels App zugänglich, so kann ein Hinweis schnell und unkompliziert abgegeben werden.  Anschließend werden die eingegangenen Meldungen von einem Juristen und zertifizierten Compliance-Officer geprüft. Wenn ein Vergehen festgestellt wird, werden angemessene Schritte eingeleitet, die Geschäftsführung informiert und eine gemeinsame Lösung erarbeitet.

Durch die Implementierung einer Hinweisgeber-Plattform wie WHISPER, sind Unternehmen rechtlich auf der sicheren Seite und können dadurch nicht nur Strafen, sondern auch potenzielle Imageschäden abwenden. Darüber hinaus wird Mitarbeitenden die Möglichkeit geboten, anonym und sicher Hinweise abzugeben. HSP.law unterstützt Unternehmen und juristische Personen gerne bei der Implementierung der Hinweisgeber-Plattform und steht jederzeit für Fragen zur Verfügung.