Die EU-Richtlinie 2019/1937, auch bekannt als „EU-Whistleblower-Richtlinie“, hätte bereits mit 17. Dezember 2021 von den Mitgliedsstaaten der Europäischen Union in nationales Recht umgesetzt werden müssen. 

Mit einer mehr als einjährigen Verzögerung hat der Nationalrat nun am 1.2.2023 das HinweisgeberInnenschutzgesetz („HSchG“) beschlossen. Im nächsten Schritt wird sich der Bundesrat damit befassen.
Der folgende Beitrag fasst die wichtigsten Eckpunkte des HSchG zusammen:

Wer ist ein Hinweisgeber?

Ein Hinweisgeber ist eine Person, die aufgrund beruflicher Verbindung Informationen über Rechtsverletzungen erlangt hat und darüber einen Hinweis gibt oder diesen veröffentlicht. Erfasst werden nicht nur klassische Arbeitnehmer, sondern beispielsweise auch Selbständige, Bewerber, Praktikanten sowie ehemalige Beschäftigte.

Welche Verstöße können gemeldet werden?

Der Schutz für Hinweisgeber gilt nur bei Hinweisen, die sich auf Rechtsverletzungen in Lebensbereichen von besonderem öffentlichen Interesse beziehen. So gilt das HinweisgeberInnenschutzgesetz bei Verstößen gegen Vorschriften unter anderem in folgenden Bereichen: Öffentliches Auftragswesen, Geldwäsche, Produktsicherheit, Verkehrssicherheit, Umweltschutz, Tierschutz, Lebensmittelsicherheit, Verbraucherschutz und Datenschutz.

Wer ist betroffen? Welche Fristen gelten?

Unternehmen (und juristische Personen des öffentlichen Sektors) Öffentliche Einrichtungen mit über 250 Mitarbeitern müssen das Hinweisgebersystem binnen sechs Monaten ab Inkrafttreten des Gesetzes implementieren (diese Frist wird voraussichtlich im August 2023 enden). Ab 17. Dezember 2023 werden dann auch juristische Personen des privaten und öffentlichen Sektors mit mehr als 50 Beschäftigten verpflichtet.

Was versteht man unter „interne“ und „externe Stellen“?

Zur Meldung von Hinweisen sieht das Gesetz interne und externe Stellen vor. Zu den externen Meldestellen zählen neben dem Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung unter anderem auch die Finanzmarktaufsichtsbehörde (FMA), die Geldwäschemeldestelle, die Abschlussprüferaufsichtsbehörde oder die Hinweisgebersysteme der Bundeswettbewerbsbehörde und der Bilanzbuchhaltungsbehörde. Da die Konsequenzen einer Meldung an eine externe Behörde für die Unternehmen des Hinweisgebers weitreichend sein können, bevorzugt der österreichische Gesetzgeber zunächst eine Meldung an eine interne Stelle. Eine interne Stelle ist eine natürliche Person oder eine Organisationseinheit innerhalb eines Unternehmens oder einer juristischen Person des öffentlichen Sektors, die Hinweise entgegennimmt, überprüft sowie im Hinblick auf Folgemaßnahmen weiter behandelt. Somit sollen die externen Meldestellen mit dem Verstoß erst nach einer erfolglosen Intervention durch die interne Stelle befasst werden.

Die Identität des Hinweisgebers ist auch intern geheim zu halten. Es dürfen nur Personen zur Bearbeitung von Meldefällen eingebunden werden, die dafür zwingend erforderlich sind.

Welche Maßnahmen sind umzusetzen?

Das HinweisgeberInnenschutzgesetz verpflichtet betroffene Unternehmen und juristische Personen des öffentlichen Sektors zur Errichtung eines internen Meldesystems, bei dem Meldungen schriftlich oder mündlich abgegeben werden können. Auf Ersuchen des Hinweisgebers soll die Meldung auch persönlich erfolgen können. Das System soll die Hinweisgebung intern in einer Weise ermöglichen, die die Hinweisgeber dazu anregt, Hinweise der internen Stelle gegenüber einer externen Stelle bevorzugt zu geben. Die Ausgestaltung des Systems muss technisch und organisatorisch DSGVO-konform sein. Das Gesetz sieht auch die Möglichkeit einer anonymen Meldung vor.

Nach Entgegennahme einer Meldung muss diese dokumentiert werden und unverzüglich (innerhalb von maximal 7 Tagen) eine Bestätigung darüber an den Hinweisgeber erfolgen. Nach der Meldung sind Folgemaßnahmen (wie interne Nachforschungen und Ermittlungen) zu treffen. Spätestens drei Monate nach Zugang des Hinweises hat die interne Stelle den Hinweisgeber über die Folgemaßnahmen zu benachrichtigen. Wenn keine Folgemaßnahmen stattfinden, ist der Hinweisgeber darüber zu informieren, warum der Hinweis nicht weiterverfolgt wird. Mit der Ergreifung von Folgemaßnahmen kann die interne Stelle oder ein dafür zuständiges Organ betraut werden.

Mit welchen Sanktionen ist zu rechnen?

Bei Verstößen gegen das HinweisgeberInnenschutzgesetz drohen Verwaltungsstrafen bis zu EUR 20.000,--, im Wiederholungsfall sogar bis zu EUR 40.000,--. Bestraft werden etwa die Behinderung einer Meldung oder Vergeltungsmaßnahmen gegen Hinweisgeber.