Mit dem HinweisgeberInnenschutzgesetz (HSchG) hat Österreich die sog Whistleblower-Richtlinie (RL (EU) 2019/1937) mit Verspätung umgesetzt (vgl dazu bereits Newsletter Kapitalmarkt- und Bankrecht, FinTechs Issue 4|2021: „Whistleblower-Richtlinie ante portas“, Issue 7|2021: „Whistleblower-RL: Was Sie schon jetzt tun können“ und Newsletter Corporate/M&A Issue 5|2021: „Verspätete Umsetzung der Whistleblower-RL“). Wir stellen Ihnen die wesentlichen Inhalte des HSchG vor und zeigen auf, dass kleinere Unternehmen mit mehr als 50 und weniger als 250 Mitarbeiter:innen ab 17.12.2023 neue Compliance-Pflichten treffen.
I. Grundlagen und Geltungsbereich
Das am 25.02.2023 in Kraft getretene HSchG regelt u.a., wer als Hinweisgeber:in gilt und wie er/sie geschützt ist, welche Unternehmen interne Meldekanäle einzurichten und zu betreiben haben, wie interne und externe Meldekanäle ausgestaltet zu sein haben und wie mit Hinweisen umzugehen ist. Außerdem enthält das HSchG etwa Schutzbestimmungen für Hinweisgeber:innen und Regelungen zur Verhinderung ungerechtfertigter Verdächtigungen (sog „Vernadern“). Wer im Rahmen einer beruflichen Tätigkeit von einer Rechtsverletzung Kenntnis erlangt und diese durch einen Hinweis aufdeckt, gehört zum Kreis der geschützten Hinweisgeber:innen. Das sind neben Arbeitnehmer:innen auch z.B. Praktikant:innen, Mitglieder von Leitungs- und Aufsichtsorganen, Arbeitnehmer:innen von Auftragnehmer:innen und (Sub-)Lieferant:innen. Unbeteiligte Dritte unterliegen daher nicht dem persönlichen Anwendungsbereich des HSchG. Das HSchG ist für Arbeitgeber:innen mit zumindest 50 Arbeitnehmer:innen beachtlich, wenn die Möglichkeit besteht, dass sie von Hinweisen in den vom HSchG genannten Bereichen betroffen sein können. Das HSchG gilt für die Hinweisgebung hinsichtlich (des Verdachts) der Verletzung von Vorschriften in den Bereichen
- Öffentliches Auftragswesen;
- Finanzdienstleistungen, Finanzprodukte und Finanzmärkte;
- Produktsicherheit- und konformität;
- Verkehrssicherheit;
- Umweltschutz;
- Strahlenschutz und nukleare Sicherheit;
- Lebensmittel- und Futtermittelsicherheit, Tiergesundheit und Tierschutz;
- öffentliche Gesundheit;
- Verbraucherschutz;
- Schutz der Privatsphäre und personenbezogener Daten sowie Sicherheit von Netz- und Informationssystemen;
- Korruptionsstrafrecht (§§ 302 bis 309 StGB).
Dabei ist es irrelevant, ob der Rechtsverletzung österreichisches Recht oder Unionsrecht zugrunde liegt. Auch umfasst sind Rechtsverletzungen zum Nachteil der finanziellen Interessen der Europäischen Union, wie der Missbrauch von EU-Fördergeldern, Bieterabsprachen und grenzüberschreitender Umsatzsteuerbetrug, die Verletzung von Binnenmarktvorschriften sowie Handlungen zur Umgehung der Körperschaftssteuer. Unternehmen können über diesen sachlichen Anwendungsbereich hinaus freiwillig weitere Rechtsvorschriften (etwa Untreue gemäß § 153 StGB) miteinbeziehen.
II. Schutz von Hinweisgeber:innen
Hinweisgeber:innen sind zur Inanspruchnahme der Verfahren und des Schutzes für die Hinweisgebung ab der Abgabe des Hinweises berechtigt, wenn sie zum Zeitpunkt des Hinweises auf der Grundlage der tatsächlichen Umstände und der ihnen verfügbaren Informationen hinreichende Gründe dafür annehmen können, dass die von ihnen gegebenen Hinweise wahr sind und in den Geltungsbereich des HSchG fallen. Durch das HschG werden daher nur „gutgläubige“ Hinweisgeber:innen geschützt. Die Hinweisgebung kann als interne Meldung an die interne Meldestelle oder als externe Meldung an das Bundesamt für Korruptionsprävention und Korruptionsbekämpfung (BAK) erfolgen. Die Identität von Hinweisgeber:innen ist durch diese internen und externen Stellen zu schützen. Dies gilt auch für alle anderen Informationen, aus denen die Identität von Hinweisgeber:innen direkt oder indirekt abgeleitet werden kann. Eine Veröffentlichung durch Hinweisgeber:innen ist nur in ganz bestimmten, eng begrenzten Fällen als „ultima ratio“ zulässig. Hinweisgeber:innen, interne und externe Stellen sowie Behörden dürfen Geschäftsgeheimnisse, die ihnen aufgrund eines Hinweises bekannt werden, nur für die Zwecke des HSchG und nur im dafür erforderlichen Ausmaß benutzen oder offenlegen. Das HSchG enthält umfangreiche Datenschutzbestimmungen.
Sowohl Meldungen unter Angabe der Identität der Hinweisgeber:innen als auch anonyme Meldungen können Schutz nach dem HSchG begründen.
III. Interne und externe Hinweisgebung sowie Veröffentlichung
Arbeitgeber:innen (inkl. öffentlicher Stellen), mit mindestens 50 Arbeitnehmer:innen (hM sämtliche, nicht nur FTE), sind verpflichtet, ein internes Meldesystem nach den Vorgaben des HSchG einzurichten und zu betreiben. Wer dieses nicht einrichtet, kann zwar nicht bestraft werden. Es ist allerdings davon auszugehen, dass bestehende interne Einrichtungen eher genützt werden als externe Meldesysteme gegenüber Behörden oder sogar eine Veröffentlichung. Durch ein internes Verfahren für die Hinweisgebung könnten daher Risiken, wie zB Rufschädigung oder der Verlust der Möglichkeit in einem Kartellverfahren Kronzeuge zu sein, vermieden werden. Laut HSchG ist die interne Meldestelle mit angemessenen personellen und finanziellen Ressourcen auszustatten, es ist eine unparteiliche und unvoreingenommene Vorgehensweise sicherzustellten, es muss ein Zugang zum Meldesystem für die eigenen Beschäftigten bestehen, die Hinweise sind zu dokumentieren und es bedarf einer Rückmeldung binnen dreier Monate und des Setzens von Folgemaßnahmen. Arbeitgeber:innen können selbst entscheiden, ob das interne System nur schriftliche, nur mündliche, oder Hinweise in beiden Formen zulässt. Unternehmen können die Aufgaben einer internen Stelle auf eine gemeinsame Stelle (z.B. Konzernmutter) oder Externe (z.B. Rechtsanwält:innen) übertragen. Beispiele für Meldekanäle zur internen Hinweisgebung sind etwa Beschwerde-Briefkasten, Online-Plattform, Intranet, E-Mail-Adresse, Telefon-Hotline, Ombudsstelle.
Nach dem HSchG sind externe Meldestellen einzurichten, an die sich Hinweisgeber:innen auch direkt wenden dürfen (obwohl die Anregung besteht, dass er/sie zunächst den Hinweis intern abgibt). BAK ist eine allgemeine externe Stelle. Für bestimmte Bereiche gibt es ausschließlich zuständige externe Stellen.
Hinweisgeber:innen sind berechtigt, unter bestimmten Umständen Hinweise durch deren öffentliches Zugänglichmachen (etwa auf „sozialen“ Plattformen) zu veröffentlichen; dies jedoch nur unter strikten Voraussetzungen, so etwa dann, wenn er/sie einen hinreichenden Grund zur Annahme hat, dass die Rechtsverletzung eine unmittelbare oder offenkundige Gefährdung des öffentlichen Interesses darstellen kann. Das BAK berät und setzt Folgemaßnahmen.
IV. Schutz der/des Hinweisgebers:in
Die Identität der Hinweisgeber:innen darf grundsätzlich ohne deren Zustimmung nicht offengelegt werden. Maßnahmen, die in Vergeltung eines berechtigen Hinweises erfolgen, etwa Suspendierung, Kündigung, Nichtverlängerung eines befristeten Arbeitsvertrags, Herabstufung oder Versagung einer Beförderung, sind rechtsunwirksam. Arbeitgeber:innen sind zur Wiederherstellung des rechtmäßigen Zustands, zum Ersatz des Vermögensschadens sowie zu einer Entschädigung für die erlittene persönliche Beeinträchtigung verpflichtet. Schutzwürdige Hinweisgeber:innen haften nicht für tatsächliche oder rechtliche Folgen eines berechtigten Hinweises. Geschützt ist jedoch nicht, wer sich diese Informationen durch eine eigenständige Straftat beschafft und in weiterer Folge mit diesen einen Hinweis erstattet. Strafbar ist, wer eine Person im Zusammenhang mit einer Hinweisgebung behindert oder zu behindern sucht oder durch mutwillige gerichtliche oder verwaltungsbehördliche Verfahren unter Druck setzt, wer eine Vergeltungsmaßnahme setzt, wer die Bestimmungen zum Schutz der Vertraulichkeit verletzt oder wissentlich einen falschen Hinweis gibt. Dies stellt eine Verwaltungsübertretung dar und ist mit Geldstrafe bis zu EUR 20.000 (im Wiederholungsfall EUR 40.000) zu bestrafen.
V. Timeline
Für Unternehmen mit weniger als 250 Beschäftigten aber mehr als 50 Beschäftigten sind interne Stellen längstens bis 17.12.2023 einzurichten. Unternehmen mit der höheren Beschäftigtenzahl von mindestens 250 Beschäftigten sind dagegen bereits seit 25.08.2023 verpflichtet, einen Meldekanal für vertrauliche Hinweise auf bestimmte gesetzlich definierte Rechtsverletzungen bereitzustellen. Wir beraten bereits einige Unternehmen bei der Implementierung und stehen auch Ihnen dafür gern zur Verfügung.
Dr. Sebastian Sieder