HinweisgeberInnenschutzgesetz in Österreich: Was Betriebe ab 50 Beschäftigten jetzt beachten müssen

Rechtssicherheit und Vertrauenskultur im österreichischen Mittelstand

Das HinweisgeberInnenschutzgesetz (HSchG) ist in Österreich seit 25. Februar 2023 in Kraft. Es setzt die europäische Whistleblowing-Richtlinie um und verpflichtet bestimmte Unternehmen dazu, sichere interne Meldekanäle einzurichten. Für Betriebe mit 50 bis 249 regelmäßig Beschäftigten ist besonders wichtig, dass die Übergangsfrist inzwischen abgelaufen ist. Die interne Meldestelle darf daher nicht mehr als zukünftiges Projekt behandelt werden, sondern muss im laufenden Betrieb tatsächlich erreichbar, vertraulich organisiert und verlässlich funktionsfähig sein.

Richtig umgesetzt, ist das HSchG weit mehr als eine zusätzliche Dokumentationspflicht. Ein geschützter Meldekanal kann auf Korruption, Betrug, Verstöße gegen Umwelt- oder Produktsicherheitsvorschriften und andere erhebliche Risiken aufmerksam machen, bevor daraus finanzielle Schäden, behördliche Verfahren oder ein nachhaltiger Vertrauensverlust entstehen. Dieser Leitfaden zeigt, wie Geschäftsführung, Compliance, HR und Rechtsabteilung die Anforderungen praktisch umsetzen können. Eine digitale Compliance-Lösung kann dabei insbesondere die vertrauliche Kommunikation und die nachvollziehbare Fallbearbeitung unterstützen.

Gesetzliche Eckpunkte und Fristen für Betriebe ab 50 Beschäftigten

Grundsätzlich müssen private Unternehmen mit mindestens 50 regelmäßig Beschäftigten eine interne Meldestelle einrichten. Für die Schwelle zählt nicht nur die Zahl der Vollzeitkräfte. Auch Teilzeitbeschäftigte, geringfügig Beschäftigte, Lehrlinge und weitere regelmäßig eingesetzte Personen sind einzubeziehen. Leiharbeitskräfte können bei der Beurteilung ebenfalls relevant sein. Entscheidend ist daher eine belastbare Betrachtung der tatsächlichen Personalstruktur und nicht bloß ein Blick auf die Zahl der Vollzeitäquivalente in der Lohnverrechnung.

Der sachliche Anwendungsbereich des HSchG ist begrenzt, aber weitreichend. Erfasst werden unter anderem Verstöße im Zusammenhang mit öffentlichen Aufträgen, Finanzdienstleistungen, Geldwäscheprävention, Produkt- und Verkehrssicherheit, Umweltschutz, öffentlicher Gesundheit, Verbraucher- und Datenschutz sowie der Verhinderung von Korruption. Nicht jeder interne Konflikt fällt automatisch unter das Gesetz. Eine gewöhnliche Meinungsverschiedenheit über Arbeitsorganisation oder eine individuelle Unzufriedenheit ohne Bezug zu einem geschützten Rechtsbereich ist grundsätzlich anders zu behandeln als ein Hinweis auf eine mögliche Rechtsverletzung.

Die Meldestelle muss schriftliche und mündliche Hinweise ermöglichen. Unternehmen mit 50 bis 249 Beschäftigten dürfen Ressourcen mit anderen Unternehmen teilen, müssen aber trotzdem sicherstellen, dass jeder Hinweis fristgerecht und unparteiisch bearbeitet wird. Neben dem internen Kanal besteht die Möglichkeit, sich an die zuständige externe Meldestelle des Bundes zu wenden. Ein gut funktionierender interner Kanal schafft daher keinen unzulässigen Vorrang des Unternehmens, sondern ein niederschwelliges, geschütztes Angebot für eine frühzeitige Klärung. Für die arbeitsrechtliche Einordnung, die Rolle des Betriebsrats und die praktische Umsetzung bietet die Wirtschaftskammer Österreich eine wichtige erste Orientierung.

• Die Beschäftigtenzahl sollte regelmäßig und nachvollziehbar überprüft werden.
• Die interne Meldestelle muss schriftliche und mündliche Meldungen annehmen können.
• Die zuständigen Personen müssen unparteiisch, fachlich geeignet und zur Vertraulichkeit verpflichtet sein.
• Der Betriebsrat sollte frühzeitig eingebunden werden, insbesondere bei organisatorischen und datenschutzrechtlichen Fragen.
• Interne Prozesse müssen klar von allgemeinen HR-Beschwerdewegen und arbeitsrechtlichen Konfliktlösungen abgegrenzt werden.

Technische und organisatorische Anforderungen an moderne Meldekanäle

Ein Meldekanal muss vor allem Vertraulichkeit gewährleisten. Die Identität der hinweisgebenden Person darf nur jenen Personen bekannt werden, die für die Bearbeitung des Falls zuständig sind. Das betrifft nicht nur den Namen, sondern auch indirekt identifizierende Angaben, etwa konkrete Abteilungsbezeichnungen, seltene Funktionen oder technische Metadaten. Ein datenschutzkonformes System braucht deshalb ein durchdachtes Berechtigungskonzept, sichere Übertragung, verschlüsselte Speicherung und klare Lösch- beziehungsweise Aufbewahrungsregeln. Die Datenschutzinformation sollte erklären, welche Daten zu welchem Zweck verarbeitet werden und wer Zugriff erhalten kann.

In der Praxis stehen mehrere Formate zur Verfügung. Eine Telefon-Hotline kann für Personen hilfreich sein, die digitale Systeme nicht gewohnt sind. Vertrauenspersonen ermöglichen persönliche Gespräche, bergen aber bei kleinen Organisationen ein erhöhtes Risiko, dass die meldende Person rasch erkannt wird. Digitale Hinweisgebersysteme bieten meist strukturierte Formulare, sichere Postfächer, Zeitstempel und eine nachvollziehbare Fallakte. Anonyme Kommunikation kann dabei ermöglicht werden, ohne dass die Meldestelle auf Rückfragen verzichten muss. Absolute Anonymität lässt sich allerdings nur dann seriös zusagen, wenn auch technische Zugriffsrechte und organisatorische Abläufe entsprechend gestaltet sind.

Für mittelständische Betriebe ist die technische Lösung allein jedoch nicht ausreichend. Die interne Stelle braucht ein schriftlich festgelegtes Mandat, definierte Eskalationswege und Zugang zu erforderlicher fachlicher Unterstützung. Bei Hinweisen gegen Mitglieder der Geschäftsführung, gegen die Leitung der Meldestelle oder bei komplexen Bilanz-, Kartell- oder Korruptionsfragen sollte eine externe Rechtsberatung oder eine unabhängige Untersuchungsstelle vorgesehen werden. Schulungen müssen nicht nur gesetzliche Pflichten, sondern auch faire Befragung, Beweissicherung, den Umgang mit betroffenen Personen und die psychischen Auswirkungen eines Verfahrens abdecken.

Vier Schritte zur fehlerfreien Bearbeitung von Hinweisen

Ein klarer Ablauf schützt alle Beteiligten. Die Meldestelle darf Hinweise weder vorschnell als unbegründet abtun noch ohne Prüfung an die betroffene Führungskraft weiterleiten. Jede Bearbeitung braucht eine nachvollziehbare Akte, eine dokumentierte Zuständigkeitsprüfung und eine angemessene Balance zwischen Aufklärung, Vertraulichkeit und den Rechten der beschuldigten Person.

1. Eingang bestätigen: Der Eingang ist der hinweisgebenden Person binnen sieben Tagen zu bestätigen. Wird ein persönliches Gespräch gewünscht, muss dieses grundsätzlich innerhalb von 14 Tagen angeboten werden können. Die Bestätigung sollte auch erklären, wie die weitere Kommunikation abläuft und an wen Rückfragen gerichtet werden können.
2. Plausibilität prüfen: Geschulte und unparteiische Personen prüfen zunächst, ob der Sachverhalt in den Anwendungsbereich des HSchG fallen könnte und ob konkrete Anhaltspunkte für eine weitere Bearbeitung bestehen. Dabei sind Tatsachen, Vermutungen und Bewertungen voneinander zu trennen. Offenkundig falsche oder völlig unsubstanziierte Angaben dürfen anders behandelt werden als Hinweise, die zwar noch nicht vollständig belegt, aber plausibel und überprüfbar sind.
3. Folgemaßnahmen setzen: Je nach Fall kommen interne Nachfragen, Dokumentenprüfungen, Interviews, technische Auswertungen oder die Einschaltung externer Sachverständiger in Betracht. Die Untersuchung muss vertraulich, objektiv und verhältnismäßig erfolgen. Personen mit einem eigenen Interesse am Ausgang des Falls dürfen nicht über die wesentlichen Untersuchungsschritte entscheiden.
4. Feedback erteilen: Spätestens innerhalb von drei Monaten ist mitzuteilen, welche Folgemaßnahmen gesetzt wurden oder vorgesehen sind. Dabei dürfen keine Geschäftsgeheimnisse, personenbezogenen Daten Dritter oder Details offengelegt werden, die eine laufende Untersuchung gefährden. Auch die Mitteilung, warum ein Fall nicht weiterverfolgt wird, kann erforderlich sein.

Die Dokumentation sollte den Eingang, die Kommunikation, die Zuständigkeitsprüfung, die Entscheidung über Folgemaßnahmen und die Rückmeldung abbilden. Zugriffe sind zu protokollieren und auf das notwendige Maß zu beschränken. Aufbewahrungsfristen müssen mit dem HSchG, der DSGVO, arbeitsrechtlichen Pflichten und allfälligen Verjährungs- oder Verfahrensinteressen abgestimmt werden. Eine einheitliche Aktenstruktur verhindert, dass Fristen übersehen oder sensible Informationen unkontrolliert per E-Mail verteilt werden.

Entkräftung von Mythen rund um Missbrauch und Repressalien

Die Sorge vor Denunziationen ist in vielen Unternehmen präsent. Sie sollte ernst genommen, aber nicht zum Grund für einen schlecht zugänglichen Meldekanal gemacht werden. Das HSchG verlangt keine absolute Gewissheit der hinweisgebenden Person. Geschützt ist grundsätzlich, wer zum Zeitpunkt der Meldung vertretbare Gründe für die Annahme hat, dass die Informationen zutreffen und in den sachlichen Anwendungsbereich fallen. Dadurch können auch frühe Hinweise aufgenommen werden, wenn eine vollständige Beweislage erst durch eine interne Prüfung geschaffen werden kann.

Der Schutz gilt nicht für wissentlich falsche Meldungen. Wer einen Sachverhalt bewusst unwahr darstellt, kann verwaltungsrechtliche Konsequenzen auslösen. Gleichzeitig darf eine Meldung nicht allein deshalb sanktioniert werden, weil sich ein Verdacht nach der Prüfung nicht bestätigt. Das HSchG schützt vor Repressalien wie Kündigung, Versetzung, Gehaltsnachteilen, Benachteiligung oder sonstigen Vergeltungsmaßnahmen. Kommt es zu einem arbeitsgerichtlichen Streit, kann eine Beweislastumkehr zugunsten der hinweisgebenden Person greifen. Der Betrieb muss dann nachvollziehbar darlegen, dass eine nachteilige Maßnahme sachlich gerechtfertigt und nicht durch die Meldung veranlasst war.

• Eine nicht bestätigte Meldung ist nicht automatisch eine missbräuchliche Meldung.
• Wissentlich falsche Angaben sind vom Schutz nicht umfasst.
• Führungskräfte sollten nach einer Meldung besonders sorgfältig auf mögliche Benachteiligungen achten.
• Personalentscheidungen im zeitlichen Umfeld eines Hinweises müssen sachlich dokumentiert werden.

Sanktionen und Haftungsrisiken bei Verstößen gegen das HSchG

Wer eine vorgeschriebene interne Meldestelle nicht einrichtet, Hinweise behindert, die Vertraulichkeit verletzt oder gegen eine hinweisgebende Person Vergeltungsmaßnahmen setzt, riskiert Verwaltungsstrafen. Nach den dargestellten gesetzlichen Strafrahmen können Geldstrafen bis zu 20.000 Euro verhängt werden, bei Wiederholung bis zu 40.000 Euro. Die konkrete rechtliche Bewertung hängt vom Verstoß und den Umständen des Einzelfalls ab. Neben der Geldstrafe können Wiederherstellung, Schadenersatz und weitere arbeitsrechtliche Folgen relevant werden.

Das größere Risiko liegt in vielen Fällen nicht in der einzelnen Verwaltungsstrafe, sondern in der verspäteten Entdeckung eines Problems. Ein nicht bearbeiteter Hinweis kann zu Produktionsausfällen, Rückrufen, Behördenverfahren, Vertragskündigungen oder erheblichem Reputationsschaden führen. Eine Geschäftsführung sollte daher regelmäßig prüfen, ob der Prozess tatsächlich funktioniert und nicht bloß formal in einer Richtlinie beschrieben ist.

• Ist die Schwelle von 50 Beschäftigten korrekt und regelmäßig bewertet?
• Sind schriftliche und mündliche Meldungen tatsächlich möglich?
• Sind Zuständigkeit, Stellvertretung und Eskalation bei Interessenkonflikten geregelt?
• Werden Eingangsbestätigungen binnen sieben Tagen und Rückmeldungen binnen drei Monaten überwacht?
• Sind Zugriffsrechte, Datenschutzinformation, Schulungen und Aufbewahrung dokumentiert?
• Gibt es einen unabhängigen Weg für Hinweise gegen die Geschäftsführung oder die interne Meldestelle?

Hinweisgeberschutz als Fundament nachhaltiger Unternehmenskultur nutzen

Gesetzeskonformität und operative Stabilität stehen beim HSchG nicht im Widerspruch. Ein gut organisierter Meldekanal schafft Rechtssicherheit, senkt die Schwelle für frühzeitige Hinweise und ermöglicht es dem Unternehmen, Risiken kontrolliert zu untersuchen. Vertraulichkeit, Unabhängigkeit, klare Fristen und sorgfältige Dokumentation bilden dabei die entscheidenden Bausteine.

Transparente Prozesse stärken zudem das Vertrauen von Beschäftigten, Kundinnen und Kunden sowie Geschäftspartnern. Der nächste sinnvolle Schritt ist eine strukturierte Bestandsaufnahme: Beschäftigtenzahl prüfen, bestehende Kanäle bewerten, Zuständigkeiten festlegen, Datenschutz und Betriebsrat einbinden und eine realistische Testmeldung durchführen. Wo Lücken bestehen, sollten sie zeitnah geschlossen werden. So wird der Hinweisgeberschutz nicht als isolierte Pflicht verwaltet, sondern als verlässlicher Bestandteil einer verantwortungsvollen und belastbaren Unternehmenskultur etabliert.