Österreichs Whistleblower-Gesetz, das HinweisgeberInnenschutzgesetz

Das HinweisgeberInnenschutzgesetz (HSchG) ist das österreichische Whistleblower-Gesetz. Es schützt Menschen, die berufliche Rechtsverletzungen melden, vor Vergeltung. Es überführt die EU-Richtlinie 2019/1937 in österreichisches Recht. Das Gesetz ist seit dem 25. Februar 2023 in Kraft. Es verpflichtet Unternehmen und Behörden, einen sicheren Meldeweg einzurichten. Im Folgenden erklären wir, für wen es gilt, was Sie vorbereiten müssen und welche Strafen drohen.

Wer muss das HinweisgeberInnenschutzgesetz einhalten?

Die Pflicht beginnt bei 50 Beschäftigten. Jedes Unternehmen und jede juristische Person des öffentlichen Sektors mit 50 oder mehr Arbeitnehmern oder Bediensteten muss die interne Hinweisgebung ermöglichen. Die Beschäftigtenzahl entscheidet, nicht die Rechtsform: Sie gilt für GmbHs, Vereine, Stiftungen und Behörden gleichermaßen.

Der Finanzsektor ist unabhängig von der Größe erfasst. Für die Bereiche der Finanzdienstleistungen, der Finanzprodukte und der Geldwäschebekämpfung gilt das Gesetz schon unter der 50-Personen-Schwelle. Bei einer wechselnden, vor allem saisonal schwankenden Belegschaft zählt die durchschnittliche Beschäftigtenzahl des Vorjahres.

Kleinere Arbeitgeber erhielten mehr Zeit. Unternehmen und öffentliche Stellen mit weniger als 250 Beschäftigten mussten ihre interne Meldestelle erst ab dem 17. Dezember 2023 einrichten. Größere Arbeitgeber waren schon kurz nach dem Inkrafttreten in der Pflicht, mit einer Übergangsfrist von sechs Monaten. Mehrere Arbeitgeber dürfen außerdem eine gemeinsame Stelle betreiben oder einen Dritten damit betrauen, um den Aufwand zu teilen.

Wie richten Sie die interne Meldestelle ein?

Der interne Meldeweg ist die erste Anlaufstelle. Das Gesetz möchte, dass Beschäftigte ihn der externen Stelle vorziehen, wenn der Verstoß intern wirksam behoben werden kann und keine Vergeltung droht. Er muss eigenen Beschäftigten und überlassenen Arbeitskräften offenstehen.

Die interne Stelle muss mehrere Anforderungen erfüllen:

• Hinweise schriftlich oder mündlich entgegennehmen, mündlich per Telefon oder Sprachnachricht;
• auf Wunsch binnen 14 Tagen eine persönliche Zusammenkunft anbieten;
• die Vertraulichkeit der Identität des Hinweisgebers und genannter Dritter wahren;
• unparteiisch und unvoreingenommen vorgehen und eine weisungsfreie Erledigung sicherstellen;
• den Eingang von Ergänzungen binnen 7 Tagen bestätigen und binnen 3 Monaten über die Folgemaßnahmen informieren;
• das System technisch und organisatorisch gemäß Art. 25 DSGVO gestalten.

Anonyme Meldungen sind ein Sonderfall. Anders als manche Nachbarstaaten verpflichtet das HSchG die Meldestelle nicht, anonym eingehende Hinweise zu bearbeiten. Anonymität bleibt nur gewahrt, soweit andere, günstigere Vorschriften sie vorsehen. Wer anonyme Meldungen dennoch zulässt, gewinnt das Vertrauen der Belegschaft und erfährt früher von Problemen.

Das Verfahren ist nicht dasselbe wie das Werkzeug. Der Kanal legt die Abläufe fest, doch das System muss zuverlässig sein, Daten sicher speichern und den Zugriff strikt begrenzen. Wemoral erfüllt als Whistleblowing-System diese Anforderungen. Sie führen es ein, ohne ein Werkzeug von Grund auf zu bauen. Wenn Sie bei null anfangen, helfen wir mit einer Vorlage für eine Whistleblowing-Richtlinie und einer Anleitung zur Einrichtung des Systems.

Welche Verstöße können gemeldet werden?

Der Anwendungsbereich ist weit gefasst. Über die interne oder die externe Stelle können Sie Verstöße in diesen Bereichen melden:

• öffentliches Auftragswesen sowie Finanzdienstleistungen und die Bekämpfung von Geldwäsche und Terrorismusfinanzierung;
• Produktsicherheit, Verkehrssicherheit sowie Lebensmittel- und Futtermittelsicherheit, Tier- und Pflanzengesundheit;
• Umweltschutz, Strahlenschutz und nukleare Sicherheit sowie öffentliche Gesundheit;
• Verbraucherschutz, der Schutz der Privatsphäre und personenbezogener Daten und die Sicherheit von Netz- und Informationssystemen;
• Korruptionsdelikte nach den §§ 302 bis 309 StGB sowie Verstöße gegen die finanziellen Interessen der Union und gegen Binnenmarktvorschriften.

Einige Bereiche bleiben ausgenommen. Das Gesetz erfasst nicht die Verschwiegenheitspflichten der Gesundheitsberufe, das anwaltliche und notarielle Berufsgeheimnis, klassifizierte Vergabeverfahren der nationalen Sicherheit, strafprozessuale Vorgänge ab einem Anfangsverdacht und das seelsorgliche Beichtgeheimnis.

Wer kann Hinweisgeber sein?

Nicht nur der fest angestellte Beschäftigte. Ein Hinweisgeber ist jede Person, die aufgrund einer beruflichen Verbindung von einer Rechtsverletzung erfährt und sie meldet. Wir erläutern dies ausführlich in unserem Beitrag dazu, wer ein Whistleblower ist. Nach dem Gesetz kann dies sein:

• die Arbeitnehmerin und der Arbeitnehmer oder Bedienstete des Rechtsträgers;
• die überlassene Arbeitskraft sowie Bewerberinnen und Bewerber um eine Stelle;
• die Praktikantin und der Praktikant, Volontäre und sonstige Auszubildende;
• die selbständig erwerbstätige Person sowie Personen bei Auftragnehmern und Lieferanten;
• die ehemalige Beschäftigte, auch nach dem Ende der Tätigkeit.

Der Schutz erstreckt sich auch auf Personen im Umkreis des Hinweisgebers, etwa Kollegen und Angehörige, die deswegen Vergeltung erleiden könnten.

Wie wird der Hinweisgeber geschützt?

Das Herzstück des Gesetzes ist der Schutz vor Vergeltung. Der Schutz greift mit einem berechtigten Hinweis. Es gibt eine Bedingung: Der Hinweisgeber muss zum Zeitpunkt des Hinweises hinreichenden Grund zu der Annahme gehabt haben, dass die Informationen zutrafen und in den Anwendungsbereich des Gesetzes fielen.

Vergeltungsmaßnahmen sind rechtsunwirksam

Die Liste der Repressalien ist offen. Sie umfasst Suspendierung und Kündigung, die Nichtverlängerung eines befristeten Vertrags, Herabstufung und versagte Beförderung, die Änderung von Arbeitsort, Entgelt oder Arbeitszeit, versagte Weiterbildung, eine schlechte Beurteilung, Disziplinarmaßnahmen, den Entzug einer Lizenz sowie Nötigung, Mobbing, Rufschädigung und das Setzen auf eine schwarze Liste. Wer eine solche Maßnahme zu verantworten hat, muss den rechtmäßigen Zustand wiederherstellen, den Vermögensschaden ersetzen und eine Entschädigung für die persönliche Beeinträchtigung zahlen.

Glaubhaftmachung statt Beweis

Der Hinweisgeber muss die Vergeltung nicht beweisen. Er muss nur glaubhaft machen, dass die Maßnahme eine Folge seines Hinweises war. Dann liegt es am Arbeitgeber, ein anderes, ausschlaggebendes Motiv glaubhaft zu machen. Gelingt ihm das nicht, gilt die Maßnahme als Vergeltung.

„Maßnahmen, die in Vergeltung eines berechtigten Hinweises erfolgt sind, sind rechtsunwirksam.“
§ 20 Abs. 1 des HinweisgeberInnenschutzgesetzes

Meldewege

Das Gesetz stellt drei Wege bereit, denselben Verstoß zu melden:

Der Hinweisgeber hat die Wahl zwischen intern und extern. Das Gesetz empfiehlt, zuerst intern zu melden, schreibt es aber nicht vor. Österreich hat seine bestehende Antikorruptionsbehörde, das BAK, als zentrale externe Stelle bestimmt. Eine Veröffentlichung gegenüber der Öffentlichkeit ist nur geschützt, wenn die Stellen nicht rechtzeitig reagiert haben oder eine unmittelbare Gefahr für das öffentliche Interesse besteht.

Welche Strafen sieht das Gesetz vor?

Verstöße sind eine Verwaltungsübertretung. Die Bezirksverwaltungsbehörde verhängt die Geldstrafe, sofern die Tat nicht nach einer anderen Bestimmung strenger bedroht ist. Anders als in mehreren Nachbarstaaten bleibt der Rahmen vergleichsweise schmal und trifft die handelnde Person.

Der Rahmen ist niedriger als bei den Nachbarn. Wo Spanien Unternehmen bis zu einer Million Euro androht, bleibt Österreich bei einer überschaubaren Verwaltungsstrafe gegen die verantwortliche Person. Das senkt nicht die Pflicht: Eine fehlende oder bloß scheinbare Meldestelle fällt spätestens dann auf, wenn ein Beschäftigter sich an das BAK wendet.

Österreich ist einen eigenen Weg gegangen. Statt eine neue Behörde zu schaffen, hat es die Aufsicht seiner bestehenden Antikorruptionsbehörde übertragen, die Anonymität offengelassen und mit dem gendergerechten Namen HinweisgeberInnenschutzgesetz sogar im Titel Haltung gezeigt. Eine Evaluierung für 2026 ist bereits im Gesetz angelegt. Sehen Sie in unserer Liste der Whistleblowing-Gesetze nach Land, wie sich Österreich in das übrige Europa einfügt, und richten Sie eine Meldestelle ein, bevor die erste Meldung kommt.