Das HinweisgeberInnenschutzgesetz - Was lange währt, wird endlich gut?

Die österreichische Umsetzung der EU-Whistleblower-Richtlinie (RL (EU) 2019/1937) in Form des HinweisgeberInnenschutzgesetzes ließ lange auf sich warten. Am 02.02.23 hat der Nationalrat nun endlich das HinweisgeberInnenschutzgesetz (HSchG) beschlossen. Was dieses enthält und welche Schritte betroffene Unternehmen zu setzen haben, ist Gegenstand des vorliegenden Newsletters. Außerdem bietet HSP.law mit dem Whistleblowertool WHISPER eine Lösung, die allen gesetzlichen Anforderungen gerecht wird.

Wer wird geschützt?

§ 2 HSchG regelt den persönlichen Geltungsbereich und legt darin fest, welche Hinweisgeber:innen geschützt werden. Ausschlaggebend ist die Kenntnis von Rechtsverletzungen aufgrund beruflicher Verbindung zu einem Rechtsträger des privaten oder des öffentlichen Sektors. Diese berufliche Verbindung kann vielerlei Gestalt haben, erfasst werden z.B. klassische Arbeitnehmer:innen, als auch Selbständige, aber auch bereits Bewerber:innen, Mitglieder von Aufsichts- und Verwaltungsorganen oder Anteilseigner:innen.

Wer wird verpflichtet?

Das Gesetz betrifft Rechtsverletzungen insbesondere in folgenden Bereichen: Öffentliches Auftragswesen, Geldwäsche und Terrorismusfinanzierung, Produktsicherheit, Verkehrssicherheit, Umweltschutz, Verbraucherschutz und auch den Schutz der Privatsphäre und personenbezogener Daten und Verhinderung und Ahndung von Korruption.

Das Gesetz gilt grundsätzlich für Rechtsverletzungen in privaten Unternehmen oder in juristischen Personen des öffentlichen Sektors mit jeweils 50 oder mehr ArbeitnehmerInnen. Diese sind zur Einrichtung eines internen Meldesystems verpflichtet. Für Unternehmen mit mehr als 250 Bediensteten ist im Gesetz eine Umsetzungsfrist von sechs Monaten ab Inkrafttreten des Gesetzes vorgesehen, die Maßnahmen sind demnach aller Wahrscheinlichkeit nach bis August zu implementieren. Für jene Unternehmen mit mehr als 50, aber weniger als 250 Mitarbeiter:innen, gilt eine Übergangsfrist bis zum 17. Dezember 2023.

Was ist zu tun?

Betroffene Unternehmen und Organisationen sind dazu verpflichtet, ein internes, sicheres Meldesystem für Hinweisgeber:innen einzurichten, das diese dazu anregt, Hinweise der internen Stelle gegenüber einer externen Stelle bevorzugt abzugeben.

Externe Meldestellen, also solche außerhalb des Unternehmens des/der Hinweisgeber:in, sind teilweise schon seit längerem eingerichtet. Die Konsequenzen einer externen Meldung an eine staatliche Behörde sind allerdings für die Unternehmen oft enorm. Daher bevorzugt der österreichische Gesetzgeber zunächst eine interne Meldung. So besteht die Möglichkeit, dass ein Verstoß zunächst innerhalb des Unternehmens behandelt wird und erst nach einer erfolglosen internen Meldung eine externe Meldestelle verständigt wird.

Dies kann zum Beispiel in digitaler Form geschehen, mittels entsprechender Software. Auf jeden Fall müssen die Meldungen sowohl schriftlich als auch mündlich und auf Anfrage persönlich abgegeben werden können. Es besteht nach dem Gesetz auch die Möglichkeit zur anonymen Meldung, eine Verpflichtung einer solchen nachzugehen ist im österreichischen Gesetz allerdings nicht vorgesehen. Zudem muss das Meldesystem auch DSGVO-konform sein. Als Erleichterung gibt es die Möglichkeit, die Aufgaben der internen Meldestelle auf eine im Inland gelegene Stelle, wie etwa eine Rechtsanwaltskanzlei, zu übertragen. Dadurch muss keine direkt im Unternehmen gelegene Meldestelle eingerichtet werden (§13 Abs 4 HSchG).

Nach Eingang einer Meldung durch eine/n Hinweisgeber:in muss diese dokumentiert werden und innerhalb von maximal sieben Tagen eine Bestätigung darüber an den/die Hinweisgeber:in erfolgen. Innerhalb von drei Monaten muss der/die Hinweisgeber:in über dies Reaktion informiert werden. Als Reaktion auf einen eingegangenen Hinweis kommen unter anderem interne Nachforschungen oder Untersuchungen in Frage, wenn diese nicht stattfinden, ist auch diese Nichtvornahme zu begründen (§12 HSchG).

Bei Verstoß gegen das HSchG drohen Geldstrafe bis zu EUR 20.000 betragen, im Wiederholungsfall sogar bis zu EUR 40.000 (§24 HSchG). Bestraft werden etwa die Behinderung einer Meldung oder auch tatsächlich erfolgte oder angedrohte Vergeltungsmaßnahmen gegen den/die Hinweisgeber:in.

Interne Meldestelle WHISPER:

HSP.law unterstützt Unternehmen und juristische Personen gerne bei der Implementierung der von HSP.law eigens entwickelten, HSchG- und DSGVO-konformen Hinweisgeber-Plattform WHISPER.