Eigentlich hätte die EU-Whistleblower Richtlinie (EU-RL 2019/1937) bereits mit Dezember 2021 in Österreich umgesetzt werden müssen. Schließlich wurde sie, nach Einleitung eines Vertragsverletzungsverfahrens durch die EU, die Umsetzung in Form des HinweisgeberInnenschutzgesetzes (HSchG) im Nationalrat mit 01.02.2023 beschlossen.
Nachdem der Entwurf des HSchG mit Juni 2022 veröffentlicht wurde, passierte nachfolgend recht wenig von Regierungsseite. Es wurden 62 Stellungnahmen von unterschiedlichen Vertreter eingebracht. Die Kritikpunkte reichten von Behandlung im Konzernkontext, über die Ausweitung des sachlichen Anwendungsbereichs, bis hin zu Vorschlägen zur Namensänderung. Was schließlich umgesetzt werden würde, blieb abzuwarten.
Obwohl noch mit 22.12.2022 über eine Umsetzung gemunkelt wurde, konnte dies nicht bestätigt werden. Es war wenig Neues und kaum Bewegung in dieser Angelegenheit wahrzunehmen, weshalb vorsichtig von einer Umsetzung im Frühjahr 2023 ausgegangen wurde. Ab Jänner 2023 ging jedoch alles sehr schnell. Am 25.01.2023 gab der Sozialausschuss des Nationalrats grünes Licht für den neuen Entwurf vom 25.01.2023. Prompt danach wurde das HSchG am 01.02.2023 im Nationalrat verabschiedet.
Es wurden einige Änderungen am Gesetz vorgenommen, auf die wir später eingehen. Doch auch trotz oder sogar aufgrund der vorgenommenen Änderungen, war die Verabschiedung nur durch eine knappe Mehrheit in der Regierung möglich:
Für die Abstimmung für oder gegen das Gesetz gab es unterschiedliche Motive. Nichts desto trotz, wurde mit dem HSchG das Gesetz zur Umsetzung der EU-Whistleblower Richtlinie endlich verabschiedet. Jedoch soll das Gesetz 2026 bezüglich seiner Wirksamkeit evaluiert werden (§ 28 Abs 3 HSchG).
Unternehmen ab 50 Beschäftigten sind betroffen
Das HSchG hat den Schutz von Hinweisgebenden und damit die Bekräftigung von rechtmäßigem Verhalten zum Ziel (vgl. § 1 HSchG). In diesem Zusammenhang müssen von juristischen Personen des privaten und öffentlichen Rechts Maßnahmen ergriffen werden, um den Schutz der Hinweisgebenden zu gewährleisten.
Gem. § 3 Abs 1 HSchG sind juristische Personen des privaten (Unternehmen) und öffentlichen Rechts mit 50 oder mehr Beschäftigten vom HSchG betroffen. Schwankt die Anzahl der Beschäftigten, so ist der Jahresdurchschnitt (Kalenderjahr) gem. § 11 Abs 2 HSchG zu errechnen. Wenn dieser Jahresdurchschnitt bei 50 oder mehr liegt, so gelten für das Unternehmen die Bestimmungen des HSchG.
Unternehmen und juristische Personen öffentlichen Rechts mit zwischen 50 und 249 Beschäftigten müssen die Vorgaben des HSchG mit 17.12.2023 erfüllen (vgl. § 28 Abs 2 HSchG).
Unternehmen und juristische Personen öffentlichen Rechts ab 250 Beschäftigten müssen die Vorgaben mit Februar 2023 erfüllen, mit Ausnahme der Implementierung von internen Meldekanälen. Für die Einrichtung interner und auch externe Meldekanäle gilt eine sechsmonatige Übergangsfrist ab Inkrafttreten des Gesetzes. Somit müssen interne Meldekanäle mit Juli 2023 implementiert werden (vgl. § 28 Abs 1 HSchG).
Tipp:
Der Durchschnitt der Anzahl der Beschäftigen im Kalenderjahr, nicht im Wirtschaftsjahr, ist für die Grenzwerte ausschlaggebend.
Unternehmen erhalten Hinweise über interne Meldekanäle
Das HSchG sieht unterschiedliche Arten von Meldemöglichkeiten vor. Der wichtigste Meldekanal für Unternehmen ist der interne Meldekanal. Da hierüber Hinweise zu potentiellen Fehlverhalten oder Missständen direkt beim Unternehmen einlangen und das Unternehmen darauf reagieren kann. Durch diesen Informationsvorsprung können interne Untersuchung durchgeführt werden und strukturiert auf den Hinweis reagiert werden. Interne Meldekanäle sind von Unternehmen selbst einzurichten.
Hinweise über interne Meldekanäle müssen schriftlich oder mündlich oder in beiden Formen gegeben werden können (vgl. § 13 Abs 5 HSchG). Welche Möglichkeiten es zur Ausgestaltung von internen Meldekanälen gibt und was diese für Vor- und Nachteile und welchen Aufwand sie mit sich bringen, erfahren Sie in unserem Wiki.
Hinweisgebende können neben internen Meldekanälen auch den externen Meldekanal für die Hinweisabgabe wählen. Meldungen langen dann direkt beim Bundesamt für Korruptionsprävention und Korruptionsbekämpfung ein (vgl. § 15 Abs 1 HSchG). Die Behörde darf Meldungen auch an andere Stellen weiterleiten. Bei externen Meldungen erlangen die Unternehmen erst Kenntnis, wenn Untersuchungen durch das Bundesamt für Korruptionsprävention und Korruptionsbekämpfung oder eine andere Stelle eingeleitet werden, die zu Verfahren und Strafen für das Unternehmen führen können.
Hinweisgebende können frei wählen, ob sie interne Meldungen oder externe Meldungen abgeben, ohne Voraussetzungen erfüllen zu müssen.
Anders gestaltet es sich bei der Veröffentlichung von Hinweisen, also über Soziale Medien oder ähnliche Kanäle. Hinweisgebende müssen bspw. erfolglos bereits intern oder extern gemeldet haben, um auch bei einer Veröffentlichung geschützt zu sein. Voraussetzungen für einen Schutz bei Veröffentlichung von Hinweisen sind (vgl. § 14 Abs 2 HSchG):
Abgaben von Hinweisen an interne oder externe Stellen und innerhalb der vorgegebenen Fristen (3 bzw. 6 Monate für Hinweisbearbeitung) wurden keine geeigneten Folgemaßnahmen ergriffen
Hinreichender Grund zur Annahme, dass Hinweisgebende bei einem vorherigen Hinweis an eine externe Stelle Vergeltungsmaßnahmen zu befürchten haben oder aufgrund der besonderen Umstände des Falls geringe Aussichten bestehen, dass wirksam gegen die Rechtsverletzung vorgegangen wird, insbesondere weil Beweismittel unterdrückt oder vernichtet werden könnten oder weil Absprachen oder eine Beteiligung der externen Stelle befürchtet werden
Hinreichender Grund zur Annahme, dass die Rechtsverletzung eine unmittelbare oder offenkundige Gefährdung des öffentlichen Interesses darstellen kann, wie etwa in einer Notsituation oder bei Gefahr eines irreversiblen Schadens
Externe Meldungen und Veröffentlichungen nehmen Unternehmen den Informationsvorsprung und die Gelegenheit, den Vorfall in Ruhe zu analysieren.
Whistleblower können nicht nur Beschäftigte sein
Das HSchG definiert, wer ein Whistleblower sein kann (vgl. § 2 HSchG). Nach dem Gesetz nach, sind Beschäftigte der juristischen Personen des öffentlichen und privaten Rechts potentielle Hinweisgebende, jedoch reicht die Definition noch wesentlich weiter. Neben Beschäftigten sind folgende Personengruppen zu schützen, die Hinweisgebende sein können oder Hinweisgebende unterstützen (vgl. § 2 HSchG):
Bewerberinnen oder -bewerber, für jegliche Art von Stelle
selbständig erwerbstätige Personen
Mitglieder eines Verwaltungs-, Leitungs- oder Aufsichtsorgans des Rechtsträgers
Beschäftigte von Lieferanten, Subunternehmern, oder von Lieferanten von Lieferanten etc.
Anteilseignerinnen und Anteilseigner von Rechtsträgern (laufender oder früherer beruflicher Verbindung)
natürliche Personen, die Hinweisgebende bei der Hinweisgebung unterstützen
natürliche Personen im Umkreis der Hinweisgebenden, die, ohne die Hinweisgebung zu unterstützen, von nachteiligen Folgen der Hinweisgebung wie Vergeltungsmaßnahmen betroffen sein können
juristische Personen zur Gänze oder teilweise im Eigentum der Hinweisgebenden oder für Hinweisgebende arbeitet oder mit denen sie in einem beruflichen Zusammenhang anderweitig in Verbindung steht etc.
Als Hinweisgebende sind also nicht nur Beschäftigte, sondern auch Angehörige von Beschäftigte und Personen, die Informationen über das Unternehmen in einem beruflichen Kontext erlangt haben könnten, zu schützen.
Auf das Rechtsgebiet kommt es an
Der Schutz von Hinweisgebenden hängt jedoch nicht alleine von ihrer Beziehung zur juristischen Person, bei der Fehlverhalten und Missstände auftraten, ab. Einer der für Hinweisgebende schwierigste und von Experten viel kritisierten Punkte ist der sachliche Geltungsbereich gem. § 3 HSchG. Hinweisgebende sind nur nach dem HSchG geschützt, wenn sie Meldungen zu bestimmten gesetzlichen Vorschriften abgeben. Vom HSchG sind folgende Bereiche umfasst:
Öffentliches Auftragswesen
Finanzdienstleistungen, Finanzprodukte und Finanzmärkte sowie Verhinderung von Geldwäsche und Terrorismusfinanzierung
Produktsicherheit und -konformität
Verkehrssicherheit
Umweltschutz
Strahlenschutz und nukleare Sicherheit
Lebensmittel- und Futtermittelsicherheit, Tiergesundheit und Tierschutz
öffentliche Gesundheit
Verbraucherschutz
Schutz der Privatsphäre und personenbezogener Daten sowie Sicherheit von Netz- und Informationssystemen
Verhinderung und Ahndung von Straftaten nach den §§ 302 bis 309 des Strafgesetzbuches (StGB), BGBl. Nr. 60/1974
Rechtsverletzungen zum Nachteil der finanziellen Interessen der Union im Sinne von Art. 325 des Vertrages über die Arbeitsweise der Europäischen Union (AEUV) sowie gemäß besonderen Definitionen in einschlägigen Unionsmaßnahmen
Verletzungen von Binnenmarktvorschriften im Sinne von Art. 26 Abs. 2 AEUV
Verletzungen von Unionsvorschriften über Wettbewerb und staatliche Beihilfen und Verletzungen von Binnenmarktvorschriften in Bezug auf Handlungen, die die Körperschaftsteuervorschriften verletzen oder in Bezug auf Vereinbarungen, die darauf abzielen, sich einen steuerlichen Vorteil zu verschaffen, der dem Ziel oder dem Zweck des Körperschaftsteuerrechts zuwiderläuft.
Wie die Auflistung der Rechtsgebiete zeigt, sind unterschiedliche Themenbereiche umfasst, von Auftragsvergabe über Produktsicherheit bis hin zu Unionsvorschriften zum Wettbewerb. Selbst für Juristen mag die Beurteilung, ob ein potentieller Verstoß in eines dieser Gebiete fällt, nicht einfach zu beurteilen sein. Es stellt sich die Frage, wie Hinweisgebende, ohne juristische Bildung, entscheiden sollen, ob ein Verstoß in eines dieser Themengebiete fällt und sie damit nach dem HSchG geschützt sind?
Experten haben hier mehrfach den Ausweitung des Schutzes von Hinweisgebenden angeregt, da es unzumutbar erscheint, eine juristische Beurteilung auf Hinweisgebende abzuwälzen.
Des Weiteren wurde die Ausweitung des Geltungsbereichs auf nationales Strafrecht generell und nicht nur auf ausgewählte Paragraphen (hier §§ 302 bis 309 StGB). Es stellt sich die Frage, weshalb es nicht schützenswert ist, wenn strafrechtlich relevante Angelegenheiten gemeldet werden. Ebenso wurde die Aufnahme von Arbeitsrecht in den Geltungsbereich nicht umgesetzt. Das österreichische HinweisgeberInnenschutzgesetz (HSchG) weist eine Reihe von Mängeln auf, wenn es um den Schutz von Arbeitnehmern geht, die über Fehlverhalten an ihrem Arbeitsplatz sprechen.
Vergeltung für Hinweise ist verboten
Werden Hinweise von Hinweisgebenden zu Rechtsgebieten gem. des HSchG abgegeben, sind Hinweisgebende vor Vergeltungsmaßnahmen geschützt bzw. zu schützen. Bei berechtigten Hinweise sind folgende Vergeltungsmaßnahmen als rechtsunwirksam anzusehen (vgl. § 20 Abs 1 HSchG):
Suspendierung, Kündigung oder vergleichbare Maßnahmen
Nichtverlängerung oder vorzeitige Beendigung eines befristeten Arbeitsvertrags
Herabstufung oder Versagung einer Beförderung
Aufgabenverlagerung, Änderung des Arbeitsortes, Minderung des Entgelts, Änderung der Arbeitszeit
Versagung der Teilnahme an Weiterbildungsmaßnahmen
negative Leistungsbeurteilung oder Ausstellung eines schlechten Dienstzeugnisses
Disziplinarmaßnahme, Rüge oder sonstige Sanktion einschließlich finanzieller Sanktionen
vorzeitige Kündigung oder Aufhebung eines Vertrags über Waren oder Dienstleistungen
Entzug einer Lizenz oder einer Genehmigung
Weiters ist vom Täter eine Entschädigung zu leisten und die Wiederherstellung in den rechtsgemäßen Zustand durchzuführen, wenn eine der folgenden Maßnahmen zur Vergeltung für Hinweise gesetzt wurden (vgl. § 20 Abs 2 HSchG):
Nötigung, Einschüchterung, Mobbing oder Ausgrenzung
Diskriminierung, benachteiligende oder ungleiche Behandlung
Nichtumwandlung eines befristeten Arbeitsvertrags in einen unbefristeten Arbeitsvertrag in Fällen, in denen eine Arbeitnehmerin oder ein Arbeitnehmer zu Recht erwarten durfte, einen unbefristeten Arbeitsvertrag angeboten zu bekommen
Schädigung einschließlich Rufschädigung, insbesondere in den sozialen Medien, oder Herbeiführung finanzieller Verluste einschließlich Auftrags- oder Einnahmeverluste
Erfassung Hinweisgebender auf einer schwarzen Liste auf Basis einer informellen oder formellen sektor- oder branchenspezifischen Vereinbarung mit der Folge, dass die Hinweisgebenden sektor- oder branchenweit keine Beschäftigung mehr finden
psychiatrische oder sonstige Zuweisung zu ärztlichen Behandlungen
Ausnahmen von Datenschutzpflichten
Erhält man Hinweise, erhält man zwangsläufig auch personenbezogene Daten, da immer Personen Fehlverhalten oder Missstände verursachen. Bei der Verarbeitung personenbezogener Daten müssen natürlich datenschutzrechtliche Vorgaben eingehalten werden. § 8 HSchG regelt datenschutzrechtliche Aspekte. Im Rahmen des HSchG ist die Verarbeitung von personenbezogenen Daten prinzipiell zulässig.
Verantwortliche für die Daten sind jene Rechtsträger, die die interne oder externe Stelle betreiben. Also bei Unternehmen, jenes Unternehmen, das den internen Meldekanal betreibt, auch wenn dieser Meldekanal an Dritte ausgelagert ist.
Für Daten, die über die erforderlichen Daten für die Hinweisverfolgung hinausgehen, also zusätzliche personenbezogene Daten, die nicht unbedingt für die Hinweisbearbeitung erforderlich sind, sind die Hinweisgebenden selbst verantwortlich.
Bei der Hinweisabgabe werden meist nicht nur personenbezogene Daten von Hinweisgebenden übermittelt, sondern auch von anderen Personen, die Verursacher, Zeugen oder auch Unbeteiligte sein können. Alle personenbezogenen Daten, die mit der Hinweisbearbeitung erhoben werden, sind vertraulich zu behandeln und nur so lange aufzubewahren, wie es notwendig ist. Weiters umfasst der Datenschutz gem. § 8 Abs 1 HSchG auch Personen, die von Folgemaßnahmen betroffen sind. Also auch personenbezogene Daten von Personen, die von den gesetzten Maßnahmen aufgrund des gemeldeten Hinweises und der durchgeführten Analysen betroffen sind.
Um Untersuchungen von Hinweisen nicht zu gefährden, müssen gewisse Datenschutzrechte nicht erfüllt werden. Bspw. müssen keine Auskünfte über personenbezogene Daten, die bei der Analyse von Hinweisen verarbeitet werden, gegeben werden, wenn sie den Schutz von Hinweisgebenden oder den Erfolg der Hinweisbearbeitung gefährden würden.
Folgende datenschutzrechtliche Vorgaben müssen gem. § 8 Abs 9 HSchG nicht eingehalten werden, wenn der Schutz von Hinweisgebenden oder einer involvierten Person gefährdet ist, sowie eine Gefahr für die Verschleppung von Hinweisen oder Folgemaßnahmen zu befürchten wäre, oder für die Dauer von Verfahren:
Recht auf Information (§ 43 DSG, Art. 13 und 14 DSGVO)
Recht auf Auskunft (§ 1 Abs 3 Z 1 und § 44 DSG, Art. 15 DSGVO)
Recht auf Berichtigung (§ 1 Abs 3 Z 2 und § 45 DSG, Art. 16 DSGVO)
Recht auf Löschung (§ 1 Abs 3 Z 2 und § 45 DSG, Art. 17 DSGVO)
Recht auf Einschränkung der Verarbeitung (§ 45 DSG, Art. 18 DSGVO)
Widerspruchsrecht (Art. 21 DSGVO)
Recht auf Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten (§ 56 DSG und Art. 34 DSGVO).
Doch keine 30 Jahre Aufbewahrungsfrist
Im Entwurf zum HSchG aus Juni 2022 war eine Aufbewahrungsfrist von 30 Jahren für personenbezogene Daten in Hinweisen vorgesehen. Diese lange Aufbewahrungsfrist konnte sich in der letztgültigen Fassung nicht halten.
Gem. § 8 Abs 11 HSchg sind personenbezogene Daten durch die Verantwortlichen fünf Jahre ab der letzten Verarbeitung oder Übermittlung aufzubewahren. Darüber hinaus dürfen personenbezogene Daten iZm Hinweisen auch länger aufbewahrt werden, wenn verwaltungsbehördliche oder gerichtliche Verfahren bereits eingeleitet wurden oder ein Strafprozess erforderlich ist. Nach der Aufbewahrungsdauer sind personenbezogene Daten zu löschen.
Eine eigene Aufbewahrungspflicht von drei Jahren gilt für Protokolldaten, ab der letztmaligen Verarbeitung bzw. Übermittlung. Protokolldateien enthalten Informationen über Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlung.
Keine Strafen für das Nichteinrichten von internen Meldekanälen
Die Strafbestimmungen finden sich in § 24 HSchG. Geldstrafen belaufen sich auf zwischen € 20.000,00 und € 40.000,00 bei wiederholten Verstößen.
Strafen wurden für folgende Verstöße festgesetzt:
Behinderung oder versuchte Behinderung der Hinweisgebung oder unter Druck setzen von potentiellen Hinweisgebenden durch mutwillige gerichtliche oder verwaltungsbehördliche Verfahren
Vergeltungsmaßnahmen für abgegebene Hinweise
Verletzung von Schutz oder Vertraulichkeit der Hinweisgebenden
Abgabe von wissentlich falschen Hinweisen
Eine Strafe, für die Unterlassung der Implementierung eines internen Meldekanals wurde nicht festgelegt. Doch das Fehlen von internen Meldekanälen kann wesentlich schlimmere Auswirkungen haben, als Strafen nach dem HSchG. Mehr dazu erfahren Sie in unserem Beitrag zu internen Meldekanälen.
War das HSchG das erste Gesetz zur EU-Whistleblower Richtlinie?
Nein, von den Bundesländern wurden bereits für Länder und Kommunen Landesgesetze zum Hinweisgeberschutz verabschiedet. Die Landesgesetze orientieren sich stark am Aufbau der EU-Whistleblower Richtlinie.
Hier finden Sie die Ländergesetze:
Fazit
Mit dem HSchG wurde die EU-Whistleblower Richtlinie nun endlich auch in Österreich umgesetzt. Es gibt noch viele Kritikpunkt die nicht berücksichtigt wurden und die Umsetzung der Maßnahmen erschweren. Unternehmen haben noch bis Juli 2023 Zeit, um interne Meldekanäle einzurichten und das Personal zu schulen. Bis dahin kann die Zeit noch genutzt werden, das Gesetz besser kennen zu lernen und über den geeigneten internen Meldekanal zu entscheiden.
Auch wenn keine Strafen für die Nichteinrichtung von internen Meldekanälen vorgesehen sind, ist es eine unternehmerische Entscheidung, ob das Risiko von externen Meldungen und Offenlegungen eingegangen werden soll.
Sie möchten wissen, was Sie nun tun müssen?
Lesen Sie auch unsere anderen Artikel zu diesem Thema in unserem Wiki und erhalten Sie alle wichtigen Informationen.
Erhalten Sie automatische Benachrichtigungen über neue Artikel, indem Sie unser Wiki abonnieren.
Sie sind sich unsicher, wie sie weiter vorgehen sollen oder ob Sie von den Maßnahmen betroffen sind?
Dann kontaktieren Sie uns gerne: office@compliance2b.com
Comments