Dokumentations- & Aufbewahrungspflichten nach HSchG : Die 5-Jahres-Frist, DSGVO & Revisionssicherheit

Der gesetzliche Grundauftrag: Aufzeichnungspflicht nach § 11 HSchG

Ein rechtskonformer Betrieb einer internen Meldestelle nach österreichischem Recht erfordert die lückenlose, manipulationssichere Erfassung jedes Meldevorgangs. § 11 HSchG differenziert detailliert nach der Art und Weise, wie ein Hinweis abgegeben wird:

Schriftliche und digitale Meldungen

Geht eine Meldung in Textform ein (über eine gesicherte Webplattform, per Brief oder über E-Mail), ist die Meldung im Originalwortlaut zu speichern. Sämtliche beigefügten Beweismittel, Dateianhänge, Zeitstempel des Eingangs sowie die schriftliche Eingangsbestätigung (binnen sieben Kalendertagen) bilden den unveränderbaren Grundbestand der Meldeakte.

Mündliche Meldungen über Telefonleitungen oder Sprachnachrichten

Wird die Meldung über ein telefonisches Hinweissystem oder einen anderen Sprachübermittlungsdienst erstattet, stehen dem Unternehmen nach § 11 Absatz 2 HSchG zwei rechtliche Wege offen:

• Aufzeichnung des Gesprächs auf Tonträger: Eine Tonaufnahme ist nur zulässig, wenn der Hinweisgeber vorab ausdrücklich und nachweislich eingewilligt hat. Vor Beginn der Aufnahme muss ein entsprechender Datenschutzhinweis erfolgen ;
• Erstellung eines vollständigen und genauen Wortprotokolls: Verweigert der Anrufer die Aufzeichnung oder verfügt das System über keine Audioaufzeichnungsfunktion, muss die für die Entgegennahme zuständige Person ein detailliertes Protokoll anfertigen. Dem Hinweisgeber ist die Möglichkeit einzuräumen, das Protokoll zu überprüfen, gegebenenfalls zu korrigieren und durch seine Bestätigung (oder digitale Freigabe) zu genehmigen.

Persönliche Zusammenkünfte auf Verlangen des Hinweisgebers

Beantragt der Hinweisgeber gemäß § 9 Absatz 1 HSchG ein persönliches Treffen mit der internen Meldestelle, muss dieses Treffen binnen angemessener Frist (spätestens binnen 14 Tagen) stattfinden. Über das Gespräch ist mit Einwilligung des Hinweisgebers entweder eine Tonaufnahme anzufertigen oder ein detailliertes Gesprächsprotokoll zu erstellen. Auch hier hat der Hinweisgeber das unverzichtbare Recht, das Protokoll gegenzulesen, Ergänzungen vorzunehmen und die Richtigkeit abzuzeichnen.

Die 5-Jahres-Aufbewahrungsfrist nach § 13 Absatz 7 HSchG: Berechnung & Ausnahmen

Das Herzstück des österreichischen Hinweisgeber-Archivierungsrechts bildet § 13 Absatz 7 HSchG. Die Vorschrift regelt präzise den Lebenszyklus einer Hinweisgeberakte:

„Meldungen sind von der internen Meldestelle für die Dauer von fünf Jahren ab dem Abschluss der Bearbeitung aufzubewahren. Soweit dies für die Abwicklung bereits anhängiger verwaltungsbehördlicher oder gerichtlicher Verfahren erforderlich ist, dürfen die Daten auch über diesen Zeitraum hinaus bis zum rechtskräftigen Abschluss des jeweiligen Verfahrens aufbewahrt werden. Nach Ablauf der Aufbewahrungsfrist sind die Daten unverzüglich zu löschen oder vollständig zu anonymisieren.“

Aus dieser Regelung ergeben sich für die betriebliche Compliance-Praxis vier maßgebliche Rechtsfolgen:

Fristbeginn: Was bedeutet „Abschluss der Bearbeitung“?

Die Fünfjahresfrist beginnt nicht mit dem Tag des Eingangs der Meldung, sondern erst mit dem formalen Abschluss der Folgemaßnahmen. Dies ist der Zeitpunkt, zu dem:

• Die interne Untersuchung abgeschlossen und der Abschlussbericht verfasst wurde ;
• Die gesetzliche Rückmeldung über das Ergebnis an den Hinweisgeber erteilt wurde ;
• Etwaige interne Disziplinarmaßnahmen, vertragliche Kündigungen oder Schadenersatzforderungen umgesetzt wurden ;
• Oder das Verfahren mangels hinreichender Verdachtsmomente förmlich eingestellt wurde.

Für die Fristberechnung gelten die allgemeinen Regeln des Allgemeinen Verwaltungsverfahrensgesetzes (AVG) bzw. des ABGB: Wurde ein Fall am 15. Mai 2024 abgeschlossen, endet die Fünfjahresfrist mit Ablauf des 15. Mai 2029.

Fällt das Ende der Fünfjahresfrist auf einen Samstag, Sonntag oder einen gesetzlichen Feiertag, verlängert sich die Frist in Anlehnung an § 33 Absatz 2 AVG bis zum Ablauf des nächstfolgenden Werktages. Unternehmen müssen sicherstellen, dass in ihren elektronischen Archivsystemen ein automatisierter Workflow hinterlegt ist, der den genauen Fristablauf taggenau berechnet und den zuständigen Compliance-Officer rechtzeitig vor der zwingenden endgültigen Löschung benachrichtigt.

Gesetzliche Ausnahme: Anhängige Gerichts- und Verwaltungsverfahren

Die 5-Jahres-Grenze wird ex lege durchbrochen, wenn vor ihrem Ablauf ein gerichtliches oder behördliches Verfahren eingeleitet wurde, für welches die Dokumente als Beweismittel von Bedeutung sind. Hierzu zählen:

• Kündigungsanfechtungsklagen des Hinweisgebers oder des Beschuldigten vor dem Arbeits- und Sozialgericht ;
• Strafverfahren bei der Wirtschafts- und Korruptionsstaatsanwaltschaft (WKStA) oder Landesgerichten wegen Untreue, Betrug oder Bestechung ;
• Finanzstrafverfahren der Finanzstrafbehörde oder Zollämter ;
• Kartellverfahren vor dem Oberlandesgericht Wien als Kartellgericht ;
• Verwaltungsstrafverfahren der Bezirksverwaltungsbehörden nach § 24 HSchG.

In diesen Fällen dürfen und müssen die Daten bis zur formellen Rechtskraft des Urteils bzw. Bescheids aufbewahrt werden, um die Verteidigungsrechte des Unternehmens und der Verfahrensbeteiligten zu sichern.

Die zwingende Lösch- oder Anonymisierungspflicht

Ist die Fünfjahresfrist abgelaufen und ist kein Verfahren anhängig, wandelt sich das Recht zur Aufbewahrung in eine strikte Löschpflicht. Die Daten müssen entweder unwiederbringlich physisch/digital gelöscht oder derart anonymisiert werden, dass keinerlei Personenbezug zu Hinweisgebern, Beschuldigten oder Zeugen mehr herstellbar ist (reine statistische Kennzahlen zur Fallart und Bearbeitungsdauer dürfen im Compliance-Report fortgeführt werden).

Das Spannungsverhältnis zur DSGVO: Speicherbegrenzung vs. Aufbewahrungspflicht

In der Praxis von Datenschutzbeauftragten führte die Einführung des HSchG zu intensiven Diskussionen über die Vereinbarkeit der starren 5-Jahres-Frist mit dem Grundsatz der Speicherbegrenzung gemäß Art. 5 Absatz 1 lit e DSGVO. Nach dem DSGVO-Prinzip dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.

Die österreichische Datenschutzbehörde (DSB) hat klargestellt, dass Verantwortliche Löschbegehren von Beschuldigten während der laufenden Fünfjahresfrist unter Berufung auf Art. 17 Absatz 3 lit b DSGVO in Verbindung mit § 13 Absatz 7 HSchG rechtmäßig abweisen dürfen und müssen.

Das Spannungsfeld zwischen Betroffenenrechten und behördlicher Aufsicht

Die Datenschutzbehörde (DSB) überwacht die Einhaltung der Verarbeitungsregeln auch im Rahmen von Whistleblowing-Systemen. Wendet sich ein Beschuldigter mit dem Vorwurf an die DSB, dass das Unternehmen Daten über angebliche Pflichtverletzungen unrechtmäßig speichere, verlangt die DSB den Nachweis einer rechtskonformen Rechtsgrundlage. Gemäß § 13 Absatz 7 HSchG ist die Speicherung für fünf Jahre gesetzlich vorgeschrieben, wodurch der Rechtfertigungstatbestand nach Art. 6 Absatz 1 lit c DSGVO (Erfüllung einer rechtlichen Verpflichtung) zweifelsfrei erfüllt ist. Die DSB erkennt an, dass diese Frist dem Schutz des Rechtsstaates und der Funktionsfähigkeit des Meldesystems dient. Erst wenn ein Unternehmen nach Ablauf der fünf Jahre untätig bleibt und die Daten nicht löscht, leitet die DSB behördliche Prüfverfahren ein, die im Wiederholungsfall mit empfindlichen Geldbußen nach Art. 83 DSGVO geahndet werden können.

Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO

Hinweisgeberakten enthalten hochgradig sensible Daten: Anschuldigungen wegen strafbarer Handlungen, Disziplinarverstöße, Finanzdaten, Betriebsgeheimnisse sowie die vertrauliche Identität des Whistleblowers. Die Speicherung auf gewöhnlichen Netzlaufwerken, in frei zugänglichen E-Mail-Postfächern oder in Papierordnern im HR-Schrank verstößt eklatant gegen Art. 32 DSGVO und § 7 HSchG.

Das Rollen- und Berechtigungskonzept (Need-to-Know-Prinzip)

Der Zugriff auf die Meldeplattform und archivierte Akten darf ausschließlich den ausdrücklich benannten Meldebeauftragten gestattet sein (§ 13 Abs 2 HSchG). Administratoren der allgemeinen Unternehmens-IT dürfen weder Lese- noch Schreibzugriff auf die Inhalte der Meldungen haben. Systemzugriffe müssen kryptografisch getrennt und über separate Sicherheitszertifikate verwaltet werden.

Revisionssichere Protokollierung (Audit-Trail)

Jeder Zugriff, jede Akteneinsicht, jeder Export von Dokumenten und jede Statusänderung muss im System automatisiert, manipulationssicher und unveränderbar protokolliert werden. Dieser Audit-Trail dient vor Gericht als Nachweis dafür, dass:

• Die Vertraulichkeit nach § 7 HSchG zu keinem Zeitpunkt verletzt wurde ;
• Keine unbefugten Führungskräfte Einsicht in Whistleblower-Identitäten genommen haben ;
• Beweismittel und Gesprächsprotokolle im Originalzustand verblieben sind und nicht nachträglich manipuliert wurden.

Verschlüsselungsstandards nach dem Stand der Technik

Moderne Meldesysteme wie UNOVOX implementieren Verschlüsselung auf mehreren Architekturebenen:

• Verschlüsselung bei Übertragung (In Transit): Erzwungenes TLS 1.3 mit Perfect Forward Secrecy ;
• Verschlüsselung im Ruhezustand (At Rest): AES-256 mit getrennter Schlüsselverwaltung in Hardwaresicherheitsmodulen (HSM) ;
• Zero-Knowledge-Datenbanktrennung: Technische Unmöglichkeit für Cloud-Provider oder unbefugte Dritte, Klartextdaten ohne den kundeneigenen Masterschlüssel einzusehen.

Forensische Integritätssicherung und kryptografische Hash-Signaturen

Um im Zivilprozess vor den Arbeits- und Sozialgerichten oder im Strafverfahren vor Geschworenen- und Schöffengerichten den vollen Beweiswert zu entfalten, müssen digitale Dokumentationen manipulationssicher sein. Nach § 272 ZPO gilt zwar der Grundsatz der freien richterlichen Beweiswürdigung; allerdings schenken Gerichte elektronischen Dokumenten nur dann Glauben, wenn deren Authentizität zweifelsfrei feststeht. Führende Hinweisgebersysteme wie UNOVOX berechnen beim Hochladen von Dokumenten und beim Speichern von Protokollen automatisch einen kryptografischen SHA-256-Hashwert und verankern diesen in einem unveränderbaren Transaktionsprotokoll. Damit kann das Unternehmen vor Gericht mathematisch beweisen, dass der Text seit dem Eingangszeitpunkt nicht um ein einziges Zeichen verändert wurde.

Betriebsverfassungsrecht: Die zwingende Mitbestimmung nach § 96a ArbVG

Ein gravierender Stolperstein bei der Einrichtung und Dokumentation interner Meldestellen liegt im österreichischen Arbeitsverfassungsgesetz (ArbVG). Werden im Rahmen des Hinweisgebersystems personenbezogene Daten der Beschäftigten automationsunterstützt erfasst, protokolliert und ausgewertet, berührt dies unmittelbar die Kontrollbefugnisse des Arbeitgebers.

Der Tatbestand des § 96a ArbVG

Gemäß § 96a Absatz 1 ArbVG bedarf die Einführung von Systemen zur automationsunterstützten Ermittlung, Verarbeitung und Übermittlung von personenbezogenen Daten der Arbeitnehmer, die über die Erfassung von allgemeinen Personaldaten und Bezügen hinausgehen, zu ihrer Rechtswirksamkeit der Zustimmung des Betriebsrats in Form einer Betriebsvereinbarung, sofern diese Daten zur Kontrolle der Arbeitnehmer verwendet werden können und die Menschenwürde berühren.

Da Hinweisgebersysteme naturgemäß dazu dienen, rechtswidriges Verhalten von Mitarbeitern aufzudecken und zu dokumentieren, bejaht die herrschende österreichische Lehre und Rechtsprechung einhellig die Anwendbarkeit von § 96a ArbVG. Führt die Geschäftsführung ein solches System ohne Betriebsvereinbarung ein, ist der Betrieb des Systems rechtswidrig. Der Betriebsrat kann die sofortige Stilllegung des Systems gerichtlich erzwingen (§ 89 ArbVG), und im System gesammelte Daten dürfen im Disziplinarverfahren nicht zu Lasten des Arbeitnehmers verwertet werden.

Regelungsinhalte der Hinweisgeber-Betriebsvereinbarung

Eine rechtssichere Betriebsvereinbarung nach § 96a ArbVG muss insbesondere folgende Regelungen zur Dokumentation enthalten:

• Festlegung der konkreten Aufbewahrungsfristen (exakt korrespondierend mit § 13 Abs 7 HSchG) ;
• Regelung der automatisierten Löschroutinen nach Fristablauf ;
• Verbot der Verhaltenskontrolle jenseits von konkreten Missstandsmeldungen (Verbot von verdachtsunabhängigem Data-Mining oder Rasterfahndung in Mitarbeiter-E-Mails) ;
• Zusammensetzung und Unabhängigkeit der internen Meldestelle ;
• Beteiligungsrechte des Betriebsrats bei allgemeinen statistischen Berichten (ohne Offenlegung von Einzelfalldaten oder Namen).

Beweisverwertbarkeit vor österreichischen Gerichten: ZPO, ASG & StPO

Die akribische Einhaltung der Dokumentationspflichten nach § 11 und § 13 HSchG entscheidet vor Gericht häufig über Sieg oder Niederlage in Millionenprozessen:

Beweissicherung im Kündigungsschutzprozess (§ 20 & § 23 HSchG)

Klagt ein gekündigter Mitarbeiter vor dem Arbeits- und Sozialgericht auf Unwirksamkeit der Kündigung und behauptet, er sei Opfer einer Vergeltungsmaßnahme geworden, greift nach § 23 Absatz 2 HSchG die gesetzliche Beweislastumkehr. Verfügt das Unternehmen über eine lückenlose, revisionssichere Dokumentation der Meldestelle, kann es detailliert nachweisen:

• Dass die für die Kündigung verantwortlichen Führungskräfte zu keinem Zeitpunkt Kenntnis von der Identität des Hinweisgebers hatten (strikte Abschottung der Meldeakte) ;
• Dass die sachlichen Kündigungsgründe (z. B. Schlechtleistung, Arbeitsverweigerung) bereits vor Eingang der Meldung dokumentiert und eingeleitet wurden ;
• Dass das Meldeverfahren strikt nach den gesetzlichen Vorgaben abgewickelt und abgeschlossen wurde.

Das Fehlen des Legal Privilege für In-House-Compliance-Akten im Strafverfahren

Wie bereits hervorgehoben, kennt das österreichische Strafprozessrecht (§ 157 Abs 1 Z 2 StPO) kein Beschlagnahmeprivileg für Unternehmensjuristen. Werden Dokumentationen und interne Untersuchungsberichte auf Unternehmensservern gespeichert, können sie von der WKStA bei einer Durchsuchung nach § 119 StPO beschlagnahmt werden. Unternehmen, die maximale Vertraulichkeit wahren wollen, lagern die Funktion der internen Meldestelle oder die Durchführung von forensischen Untersuchungen an externe Rechtsanwaltskanzleien aus, deren Handakten unter dem verfassungsrechtlichen Beschlagnahmeschutz des § 112 StPO stehen.

Strafrechtliche Risiken bei eigenmächtiger Beweisvernichtung (§§ 126a, 295 StGB)

Versuchen Führungskräfte oder Meldebeauftragte, belastende Hinweise zu vertuschen oder Meldedaten vor Ablauf der fünf Jahre eigenmächtig zu vernichten, drohen schwere strafrechtliche Sanktionen:

• Beweismittelunterdrückung nach § 295 StGB: Wer ein Beweismittel, das zur Verwendung in einem gerichtlichen oder verwaltungsbehördlichen Verfahren bestimmt ist, vernichtet, beschädigt oder unterdrückt, ist mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bis zu 720 Tagessätzen zu bestrafen ;
• Datenbeschädigung nach § 126a StGB: Die vorsätzliche Löschung, Unbrauchbarmachung oder Veränderung automationsunterstützt verarbeiteter Daten im Meldesystem ohne Berechtigung begründet Freiheitsstrafen von bis zu sechs Monaten (bei schwerem Schaden bis zu zwei Jahren) ;
• Untreue nach § 153 StGB: Entstehen dem Unternehmen durch die verdeckte Löschung von Meldedaten (z. B. durch den Verlust von Regressansprüchen gegen untreue Manager) Vermögensschäden, haftet der handelnde Organwalter wegen Befugnismissbrauchs.

Praxisbeispiele aus der österreichischen Rechtsprechung

Checkliste: Dokumentations-Compliance für österreichische Meldestellen

Um Haftungsrisiken nach HSchG, DSGVO und ArbVG sicher auszuschließen, sollten Compliance-Verantwortliche folgende Vorgaben beachten:

• Lückenlose Eingangsdokumentation: Erfassen Sie Datum, Uhrzeit, Meldeweg und Originalwortlaut jeder Meldung manipulationssicher ;
• Eingangsbestätigung binnen 7 Kalendertagen: Hinterlegen Sie den Nachweis über die erfolgte Bestätigung in der Meldeakte ;
• Dokumentation mündlicher Hinweise (§ 11 HSchG): Stellen Sie sicher, dass Tonaufnahmen nur mit schriftlicher Einwilligung erfolgen und Wortprotokolle dem Melder zur Freigabe vorgelegt werden ;
• Abschlussbericht und Rückmeldung: Dokumentieren Sie die ergriffenen Folgemaßnahmen und die fristgerechte Rückmeldung (spätestens 3 Monate nach Eingang) ;
• Fristenüberwachung der 5 Jahre (§ 13 Abs 7 HSchG): Etablieren Sie ein automatisiertes System, das nach exakt fünf Jahren ab Abschluss die Löschung anmahnt oder durchführt, sofern keine Rechtsstreitigkeiten anhängig sind ;
• Rechtssichere Betriebsvereinbarung nach § 96a ArbVG: Schließen Sie die notwendige Vereinbarung mit dem Betriebsrat ab, bevor das Meldesystem produktiv geschaltet wird ;
• Einsatz zertifizierter Software: Verwenden Sie spezialisierte Lösungen wie UNOVOX, die granulare Rollenkonzepte, Audit-Trails und automatisierte Löschroutinen nativ abbilden.

Häufig gestellte Fragen zu Dokumentation und Aufbewahrung (FAQ)