Wer muss in Österreich eine interne Meldestelle einrichten? : HinweisgeberInnenschutzgesetz (HSchG)

Das HinweisgeberInnenschutzgesetz (HSchG) im österreichischen Verfassungsgefüge

Die Verabschiedung des HSchG im Februar 2023 markierte den Abschluss eines intensiven rechtspolitischen Gesetzgebungsverfahrens in Österreich. Die Kompetenzverteilung des Bundes-Verfassungsgesetzes (B-VG) stellte den Gesetzgeber vor erhebliche Herausforderungen: Gemäß Artikel 10 Absatz 1 Ziffer 8 und 11 B-VG fällt das Zivilrechtswesen und das Arbeitsrecht in die ausschließliche Gesetzgebungs- und Vollziehungskompetenz des Bundes. Dagegen verbleibt das Dienstrecht der Landes- und Gemeindebediensteten nach Artikel 21 B-VG im Zuständigkeitsbereich der neun Bundesländer. Infolgedessen regelt das HSchG des Bundes verbindlich den gesamten privaten Wirtschaftssektor sowie die Bundesverwaltung, während die Bundesländer Wien, Niederösterreich, Oberösterreich, Steiermark, Kärnten, Salzburg, Tirol, Vorarlberg und Burgenland jeweils eigenständige Landes-Hinweisgeberschutzgesetze für ihre Hoheitsbereiche erlassen haben.

Für private Arbeitgeber in Österreich schafft das HSchG des Bundes einen zwingenden Mindeststandard. Vertragliche Abreden im Dienstvertrag oder in Betriebsvereinbarungen, welche die Rechte der Hinweisgeber einschränken oder abbedingen, sind gemäß § 5 HSchG absolut nichtig. Das Gesetz schützt Personen nicht erst nach formeller Abgabe einer Verdachtsmeldung, sondern entfaltet eine umfassende Vorwirkung im Bewerbungs- und Anbahnungsstadium sowie eine unbefristete nachvertragliche Schutzwirkung nach Beendigung der beruflichen Zusammenarbeit.

Der geschützte Personenkreis nach § 2 HSchG: Wer darf melden?

Das österreichische Gesetz orientiert sich am weiten Arbeitnehmerbegriff des europäischen Unionsrechts und dehnt den Schutzschirm über alle Akteure des betrieblichen Umfelds aus:

Dienstnehmer im privatrechtlichen Arbeitsverhältnis

Den Kernbereich der geschützten Personen bilden alle echten Dienstnehmer im Sinne des Angestelltengesetzes (AngG) sowie die gewerblichen Arbeiter. Das Gesetz unterscheidet nicht nach der Art der Tätigkeit, der Entlohnungshöhe oder der hierarchischen Stellung im Unternehmen:

• Vollzeit- und Teilzeitkräfte: Genießen uneingeschränkten Schutz vor Kündigung, Versetzung oder Diskriminierung ;
• Geringfügig Beschäftigte (§ 5 Abs 2 ASVG): Sind arbeitsrechtlich vollwertige Dienstnehmer und fallen ohne Einschränkung unter den Schutzbereich ;
• Befristet Beschäftigte: Sind insbesondere gegen die sachgrundlose Nichtverlängerung ihres befristeten Dienstverhältnisses infolge einer Meldung geschützt ;
• Karenzierte Mitarbeiter: Dienstnehmer in Elternkarenz, Väterkarenz, Bildungskarenz oder Präsenzdienst bleiben geschützt.

Freie Dienstnehmer und arbeitnehmerähnliche Personen

Eine zentrale österreichische Besonderheit stellt die Einbindung freier Dienstnehmer nach § 4 Absatz 4 ASVG dar. Personen, die gegen Entgelt ihre Arbeitskraft im Wesentlichen persönlich zur Verfügung stellen, ohne in den Betrieb vollständig persönlich eingegliedert zu sein (wie Dozenten, IT-Entwickler, freie Projektleiter), fallen unmittelbar unter das HSchG. Das Verbot von Repressalien schützt sie vor vorzeitiger Kündigung ihrer Dienstleistungsverträge oder Honorarkürzungen.

Leitungs- und Aufsichtsorgane

Der Schutzbereich erfasst ausdrücklich Organmitglieder juristischer Personen:

• Handelsrechtliche Geschäftsführer von Gesellschaften mit beschränkter Haftung (GmbH) ;
• Vorstandsmitglieder von Aktiengesellschaften (AG) und Genossenschaften ;
• Mitglieder des Aufsichtsrats, Beirats oder Stiftungsvorstands ;
• Gesellschafter, Kommanditisten und Prokuristen, die geschäftliche Einblicke in Missstände erhalten.

Vorvertragliche Kontakte, Praktikanten und Bewerber

Das Gesetz entfaltet vorvertragliche Schutzwirkung: Bewerber, die während eines Bewerbungsgesprächs oder im Rahmen einer Due-Diligence-Prüfung Kenntnis von Rechtsverstößen (z. B. Kartellabsprachen, Korruption, Steuerhinterziehung) erlangen und diese melden, dürfen bei Eignung nicht aus Vergeltungsgründen von der Einstellung ausgeschlossen werden. Ferialpraktikanten, Volontäre und Diplomanden sind unabhängig davon geschützt, ob ihnen eine finanzielle Entschädigung gewährt wird.

Die 50-Mitarbeiter-Schwelle (§ 8 HSchG): Exakte Berechnungsregeln in Österreich

Für die Mehrheit der österreichischen Betriebe hängt die gesetzliche Pflicht zur Errichtung eines internen Meldekanals von der Beschäftigtenzahl ab. Die Zählung wirft in der arbeitsrechtlichen Praxis komplexe Einzelfragen auf:

Das Kopfzahl-Prinzip (Headcount) nach der Rechtsprechung

Der österreichische Gesetzgeber hat in § 8 HSchG den Begriff des "Arbeitnehmers" verwendet. In Anlehnung an die gefestigte Rechtsprechung des Obersten Gerichtshofs (OGH) zur Belegschaftszählung nach dem Arbeitsverfassungsgesetz gilt im Zweifel das Kopfzahl-Prinzip:

• Teilzeitbeschäftigte zählen voll: Eine Arbeitskraft mit 15 Wochenstunden zählt bei der Ermittlung der 50er-Grenze exakt wie eine Vollzeitkraft mit 40 Wochenstunden. Eine proportionale Umrechnung in Vollzeitäquivalente (FTE) findet im österreichischen Recht keine gesetzliche Stütze ;
• Geringfügige Beschäftigung: Geringfügig Beschäftigte sind Dienstnehmer und erhöhen die Kopfzahl der Belegschaft ;
• Lehrlinge: Lehrlinge im Sinne des Berufsausbildungsgesetzes (BAG) stehen in einem Ausbildungsverhältnis mit Dienstnehmercharakter und zählen mit ;
• Saisonbetriebe: Erreicht ein Unternehmen (z. B. ein Hotelbetrieb im Bundesland Salzburg oder Tirol) in der Hochsaison 55 Mitarbeiter, im Jahresdurchschnitt jedoch nur 35, ist nach teleologischer Auslegung während der Spitzenmonate ein Meldesystem bereitzuhalten.

Anrechnung überlassener Arbeitskräfte (AÜG)

Gemäß § 8 des Arbeitskräfteüberlassungsgesetzes (AÜG) gilt der Beschäftigerbetrieb während der Überlassung für arbeitnehmerschutzrechtliche Zwecke als Arbeitgeber. Leiharbeitnehmer, die in den Betrieb eingegliedert sind, zählen zur Belegschaft des Beschäftigers, sofern ihr Einsatz auf eine gewisse Dauer angelegt ist. Gleichzeitig muss das Personaldienstleistungsunternehmen die überlassenen Arbeitskräfte in seiner eigenen Stammzählung erfassen.

Schwellenwertunabhängige Verpflichtung: Branchen ab dem 1. Mitarbeiter (§ 8 Abs 2 HSchG)

In Übereinstimmung mit unionsrechtlichen Richtlinien hebt das HSchG für sensible Finanz- und Sicherheitssektoren den Schwellenwert von 50 Arbeitnehmern vollständig auf. Unternehmen dieser Branchen müssen ab dem ersten Angestellten einen Meldekanal implementieren:

Kreditinstitute und Wertpapierdienstleister

• Kreditinstitute mit Konzession nach dem Bankwesengesetz (BWG) ;
• Wertpapierfirmen und Wertpapierdienstleistungsunternehmen nach dem Wertpapieraufsichtsgesetz 2018 (WAG 2018) ;
• Zahlungsinstitute nach dem Zahlungsdienstegesetz 2018 (ZaDiG 2018) ;
• E-Geld-Institute nach dem E-Geld-Gesetz 2010.

Kapitalanlagegesellschaften und Fondswirtschaft

• Kapitalanlagegesellschaften (KAG) nach dem Investmentfondsgesetz 2011 (InvFG 2011) ;
• Alternative Investmentfonds Manager (AIFM) nach dem AIFMG ;
• Immobilien-Investmentfonds nach dem Immobilien-Investmentfondsgesetz (ImmoInvFG).

Versicherungswirtschaft und Pensionskassen

• Versicherungs- und Rückversicherungsgesellschaften nach dem VAG 2016 ;
• Pensionskassen nach dem Pensionskassengesetz (PKG) ;
• Betriebliche Vorsorgekassen (BVK) nach dem BMSVG.

Verpflichtete nach dem Geldwäscherecht (FM-GwG und GewO)

Die Verpflichtung erfasst ferner reglementierte Berufe, die der geldwäscherechtlichen Aufsicht unterliegen: Wirtschaftstreuhänder, Steuerberater, Bilanzbuchhalter, Notare und Rechtsanwälte (soweit sie Vermögens- oder Immobilientransaktionen betreuen) sowie gewerbliche Güterhändler, die Barzahlungen ab 10.000 Euro entgegennehmen.

Zwingendes Arbeitsverfassungsrecht: Die Betriebsvereinbarung nach § 96a ArbVG

In Betrieben mit Betriebsrat darf ein digitales Hinweisgebersystem niemals durch einseitige Weisung der Geschäftsführung eingeführt werden. Das österreichische Arbeitsverfassungsrecht verankert hier eine zwingende Mitbestimmung:

Qualifikation als Kontrollmaßnahme nach § 96a Abs 1 Z 1 ArbVG

Ein Meldesystem verarbeitet personenbezogene Daten, protokolliert Zeitstempel und dient der Aufdeckung von Pflichtverletzungen im Betrieb. Nach ständiger Rechtsprechung des OGH berühren solche Systeme die Menschenwürde der Belegschaft, da sie das Risiko von Denunziationen, verdeckten Ermittlungen und Überwachung begründen. Daher erfordert die Errichtung zwingend den vorherigen Abschluss einer schriftlichen Betriebsvereinbarung nach § 96a ArbVG.

Die Schlichtungsstelle beim Arbeits- und Sozialgericht

Verweigert der Betriebsrat den Abschluss der Betriebsvereinbarung oder fordern die Parteien unüberbrückbare Regelungen, kann die Geschäftsführung die Schlichtungsstelle beim Arbeits- und Sozialgericht anrufen. Die Schlichtungsstelle entscheidet mit Stimmenmehrheit und ersetzt durch ihren Spruch die Betriebsvereinbarung. Bis zum rechtskräftigen Schlichtungsspruch ist die Inbetriebnahme des Meldekanals strikt unzulässig.

Regelungsinhalte der Betriebsvereinbarung

Eine rechtskonforme Betriebsvereinbarung nach § 96a ArbVG muss zwingend folgende Schutzmechanismen regeln:

• Zulässige Meldekategorien: Präzise Aufzählung der Meldebereiche (Korruption, Betrug, Datenschutz, Arbeitssicherheit) und Ausschluss reiner privater Differenzen ;
• Funktionelle Unabhängigkeit der Meldestellenbeauftragten: Weisungsfreiheit der internen Ermittler gegenüber der Geschäftsleitung ;
• Verbot automatisierter Auswertungen: Verbot von KI-gestützter Emotionserkennung, Stimmanalysen oder Leistungskontrollen ;
• Akteneinsicht und Gehör: Klare Fristen für die Anhörung des beschuldigten Arbeitnehmers ;
• Löschungsroutinen: Festlegung automatischer Löschfristen für gegenstandslose Meldungen nach DSGVO.

Die Aufsichtsbehörden: Das BAK und spezialisierte Bundesstellen

Österreich verfügt über ein differenziertes Netz an externen Behörden, die neben internen Kanälen angerufen werden können:

Das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (BAK)

Das BAK mit Sitz in Wien fungiert als zentrale externe Meldestelle des Bundes. Es nimmt Meldungen über strafbare Handlungen im Bereich der Korruption (§§ 304 bis 309 StGB), des Amtsmissbrauchs (§ 302 StGB), der Untreue (§ 153 StGB) und der schweren Wirtschaftskriminalität entgegen. Das BAK arbeitet mit dem Bundeskriminalamt und der Wirtschafts- und Korruptionsstaatsanwaltschaft (WKStA) zusammen.

Sektorale Sonderbehörden

• Finanzmarktaufsicht (FMA): Zuständig für Meldungen im Banken-, Wertpapier- und Versicherungsbereich ;
• Bundeswettbewerbsbehörde (BWB): Zuständig für Meldungen über verbotene Kartellabsprachen, Preisabsprachen und Marktmachtmissbrauch nach dem Kartellgesetz 2005 ;
• Datenschutzbehörde (DSB): Zuständig für systematische Datenschutzverletzungen und Missbrauch biometrischer Daten ;
• Bundesamt für Ernährungssicherheit (BAES): Zuständig für Lebensmittel- und Futtermittelsicherheit ;
• Arbeitsinspektorat: Überwacht die Einhaltung der Vorschriften zum Schutz von Leben und Gesundheit der Dienstnehmer.

Der Schutzschirm gegen Repressalien und die Beweislastumkehr (§ 23 HSchG)

Hinweisgeber, die den gesetzlichen Meldeweg einhalten, sind nach § 20 HSchG absolut geschützt vor Repressalien:

Das umfassende Benachteiligungsverbot

Verboten ist jede Maßnahme, die als Vergeltung für eine Meldung gesetzt wird. Hierzu gehören Entlassungen, Kündigungen, Nichterneuerung befristeter Verträge, Versetzungen an schlechtere Arbeitsplätze, Gehaltseinbußen, Verweigerung von Schulungen, Mobbing oder grundlose Leistungsbeurteilungen.

Beweislastumkehr vor dem Arbeits- und Sozialgericht

Erleidet ein Dienstnehmer nach einer Meldung eine Kündigung oder sonstige Schlechterstellung, greift vor dem Arbeits- und Sozialgericht (ASG) die gesetzliche Vermutung des Kausalzusammenhangs. Der Arbeitgeber trägt nach § 23 HSchG die Beweislast: Er muss vor Gericht beweisen, dass die Kündigung auf objektiven betrieblichen Erfordernissen oder nachweisbarem Fehlverhalten beruhte und in keiner Weise durch die Meldung motiviert war. Misslingt dieser Beweis, erklärt das Gericht die Kündigung für rechtsunwirksam und spricht Schadenersatz zu.

Sanktionen und Strafbestimmungen (§ 24 HSchG)

Verstöße gegen die Bestimmungen des HSchG werden von den Bezirksverwaltungsbehörden als schwere Verwaltungsübertretungen verfolgt:

• Behinderung einer Meldung: Wer einen Hinweisgeber an der Meldung hindert oder einzuschüchtern versucht, wird mit einer Geldstrafe bis zu 20.000 Euro, im Wiederholungsfall bis zu 40.000 Euro bestraft ;
• Ergreifung von Repressalien: Die Durchführung von Vergeltungsmaßnahmen wird mit Geldstrafen bis zu 40.000 Euro geahndet ;
• Verletzung der Vertraulichkeit: Wer vorsätzlich oder grob fahrlässig die Identität eines Informanten ohne dessen Zustimmung preisgibt, zahlt bis zu 20.000 Euro Strafe ;
• Wissentliche Falschmeldungen: Wer vorsätzlich unwahre Informationen meldet, wird mit Geldstrafen bis zu 20.000 Euro belegt und haftet zivilrechtlich unbeschränkt für alle Folgeschäden.

Volksgruppenrechte und Mehrsprachigkeit in Österreich

In den gemischtsprachigen Regionen Österreichs greifen verfassungsgesetzlich garantierte Minderheitenrechte nach Artikel 7 des Staatsvertrags von Wien (1955) und dem Volksgruppengesetz 1976:

Burgenlandkroaten und Ungarn im Burgenland

In den burgenländischen Gerichtsbezirken Eisenstadt, Oberwart, Güssing und Oberpullendorf sind das Burgenlandkroatische und das Ungarische anerkannte Amtssprachen. Unternehmen, die in diesen Regionen tätig sind, müssen sicherstellen, dass interne Richtlinien und Meldekanäle barrierefrei auch in diesen Sprachen zur Verfügung stehen.

Kärntner Slowenen in Südkärnten

In den zweisprachigen Bezirken Klagenfurt-Land, Villach-Land und Völkermarkt garantiert die Bundesverfassung den Gebrauch des Slowenischen vor Gerichten und Behörden. Für Betriebe mit slowenischsprachigen Mitarbeitern empfiehlt sich die Bereitstellung slowenischer Meldeformulare, um den Diskriminierungsschutz lückenlos zu gewährleisten.

Revisionssichere IT-Architektur und DSGVO-Konformität

Die Implementierung eines Meldesystems verlangt höchste IT-Sicherheitsstandards nach Art 32 DSGVO:

• Asymmetrische Verschlüsselung: Meldungen müssen bereits auf dem Endgerät des Nutzers verschlüsselt werden, sodass selbst IT-Administratoren keinen Zugriff auf Rohdaten besitzen ;
• Ausschließliche Zuständigkeit: Nur besonders geschulte und schriftlich zur Verschwiegenheit verpflichtete Meldestellenbeauftragte dürfen Lese- und Bearbeitungsrechte besitzen ;
• Unveränderlicher Audit-Trail: Jeder Zugriff, jede Statusänderung und jede Mitteilung muss mit einem kryptografischen Zeitstempel fälschungssicher protokolliert werden ;
• Datenschutz-Folgenabschätzung (DSFA): Vor Inbetriebnahme ist eine DSFA nach Art 35 DSGVO durchzuführen, um die Risiken für Betroffene zu evaluieren.

Das Verbandsverantwortlichkeitsgesetz (VStgG) und die Organhaftung in Österreich

Die Nichtbeachtung der Hinweisgeberpflichten beschränkt sich nicht auf das klassische Verwaltungsstrafrecht nach § 24 HSchG. In der österreichischen Unternehmenspraxis entfaltet das Hinweisgebersystem eine entscheidende exkulpierende Funktion im Rahmen des Verbandsverantwortlichkeitsgesetzes (VStgG, BGBl. I Nr. 151/2005):

Strafrechtliche Verantwortlichkeit juristischer Personen

Nach § 3 VStgG haftet ein Verband (AG, GmbH, Genossenschaft, Verein) unmittelbar für Straftaten, die von seinen Entscheidungsträgern (Geschäftsführern, Vorständen) begangen wurden, sowie für Delikte von Mitarbeitern, wenn Entscheidungsträger es unterlassen haben, die gebotenen Sorgfalts- und Kontrollmaßnahmen zur Verhinderung solcher Taten zu treffen. Wird über einen funktionierenden Meldekanal ein Korruptions- oder Betrugsdelikt (§§ 146 ff., 304 ff. StGB) aufgedeckt und unverzüglich abgestellt, kann dies vor der Wirtschafts- und Korruptionsstaatsanwaltschaft (WKStA) als wesentlicher Milderungsgrund gewertet oder zur Einstellung des Verbandsverfahrens führen.

Zivilrechtliche Organinnenhaftung nach § 25 GmbHG und § 84 AktG

Geschäftsführer und Vorstandsmitglieder unterliegen der strengen Sorgfaltspflicht eines ordentlichen und gewissenhaften Geschäftsleiters (§ 25 Absatz 1 GmbHG, § 84 Absatz 1 AktG). Unterlässt die Geschäftsführung die gesetzlich zwingende Einrichtung einer Meldestelle oder ignoriert sie fundierte Meldungen, haftet sie der Gesellschaft persönlich und solidarisch für alle daraus resultierenden Nachteile. Hierzu zählen verhängte Verbandsgeldbußen, Kosten verwaltungsbehördlicher Strafverfahren, Schadensersatzzahlungen an geschädigte Dritte sowie der Ersatz von Reputationsschäden.

Judikatur des Obersten Gerichtshofs (OGH) und arbeitsgerichtliche Fallkonstellationen

Die Auslegung der Schutzvorschriften im Spannungsfeld von Treuepflicht und Hinweisgeberschutz stützt sich auf eine gewachsene Rechtsprechungstradition der österreichischen Gerichte:

Die Grenzen der arbeitsrechtlichen Treuepflicht

Traditionell leitet die österreichische Arbeitsrechtsjudikatur aus dem Dienstvertrag eine gesteigerte Treuepflicht des Arbeitnehmers ab. Der Dienstnehmer hat die berechtigten Interessen des Dienstgebers zu wahren und betriebliche Missstände primär betriebsintern zu monieren. Der OGH hat in ständiger Rechtsprechung (u. a. 9 ObA 138/03m und 8 ObA 24/18x) betont, dass die Erstattung einer Strafanzeige gegen den Arbeitgeber nur dann keine Treuepflichtverletzung und keinen Entlassungsgrund darstellt, wenn der Dienstnehmer zuvor erfolglos versucht hat, die Abstellung im Betrieb zu erwirken, oder wenn ihm ein internes Vorgehen unzumutbar war. Das HSchG kodifiziert und präzisiert diesen Grundsatz: Die Nutzung des internen Kanals genießt Vorrang, schließt jedoch das Recht auf unmittelbare Anrufung des BAK nicht aus.

Kündigungsanfechtung wegen verpönter Motive (§ 105 ArbVG)

Neben dem spezialgesetzlichen Schutz nach § 20 HSchG steht österreichischen Dienstnehmern in Betrieben mit Betriebsrat die allgemeine Kündigungsanfechtung nach § 105 Absatz 3 Ziffer 1 ArbVG offen. Eine Kündigung, die wegen der nicht offenbar unberechtigten Geltendmachung von Ansprüchen aus dem Dienstverhältnis oder wegen der Ausübung gesetzlicher Bürgerpflichten ausgesprochen wird, ist als Motivkündigung rechtsunwirksam. Das HSchG ergänzt diesen Schutz um die Beweislastumkehr nach § 23 HSchG, wodurch die gerichtliche Anfechtung vor den Landesgerichten als Arbeits- und Sozialgerichten erheblich erleichtert wird.

Schritt-für-Schritt-Verfahrensablauf bei Eingang einer internen Meldung

Ein rechtskonformes Meldesystem verlangt standardisierte Arbeitsabläufe, die bei einer Überprüfung durch die Arbeitsinspektion oder die Gerichte lückenlos nachgewiesen werden müssen:

• Registrierung und Zeiterfassung: Unverzügliche Erfassung der Meldung im geschützten System unter Vergabe eines manipulationssicheren Aktenzeichens ;
• Eingangsbestätigung binnen 7 Kalendertagen (§ 13 Abs 2 HSchG): Formelle Übermittlung der Bestätigung an den Hinweisgeber über das geschützte Portal ;
• Plausibilitäts- und Zuständigkeitsprüfung: Prüfung durch die unabhängige Meldestelle, ob die Vorwürfe in den sachlichen Anwendungsbereich des Gesetzes fallen ;
• Durchführung interner Ermittlungen: Einholung von Stellungnahmen, Prüfung von Buchungsunterlagen, Sichtung von Verträgen unter Wahrung der Vertraulichkeit ;
• Anhörung des Beschuldigten: Gewährung des rechtlichen Gehörs zur Wahrung der Verteidigungsrechte, sobald dies ohne Gefährdung der Untersuchung möglich ist ;
• Abschlussbericht und Rückmeldung binnen 3 Monaten: Mitteilung an den Hinweisgeber über ergriffene oder geplante Folgemaßnahmen und deren Begründung.

Technische Integration und Nachweiserbringung mit UNOVOX in Österreich

Die rechtssichere Erfüllung der Vorgaben des HSchG und der Mitbestimmungsrechte nach § 96a ArbVG verlangt eine technologisch ausgereifte Lösung, die den sensiblen Schutz von Hinweisgeberdaten mit lückenloser Revisionssicherheit verbindet:

Zero-Knowledge-Verschlüsselung und Hosting in der Europäischen Union

Die Whistleblowing-Plattform UNOVOX implementiert eine strikte Zero-Knowledge-Architektur auf Servern innerhalb des Rechtsraums der Europäischen Union. Sämtliche Textmeldungen, hochgeladenen Dokumente (PDFs, Excel-Dateien, Bildnachweise) und Kommunikationsverläufe werden clientseitig im Webbrowser mit asymmetrischen Schlüsselpaaren (RSA-4096 und AES-GCM-256) verschlüsselt. Weder der Plattformbetreiber noch interne IT-Administratoren oder unbefugte Dritte verfügen über den privaten Schlüssel zur Entschlüsselung der Klardaten. Dies garantiert den lückenlosen Schutz des Informanten selbst im Fall unbefugter Netzwerkzugriffe.

Pseudonymisierter Dialog ohne IP-Tracking

Für Hinweisgeber, die eine namentliche Nennung scheuen, stellt UNOVOX ein geschütztes Postfach mit einem zufallsgenerierten, 16-stelligen Wiederherstellungsschlüssel bereit. Die gesamte Kommunikation erfolgt über anonymisierte Routing-Verfahren, bei denen IP-Adressen, Browser-Fingerprints und Metadaten vor der Speicherung irreversibel verworfen werden. Die interne Meldestelle kann über diesen verschlüsselten Rückkanal Rückfragen stellen, Dokumente anfordern und Zwischenberichte übermitteln, ohne dass die Anonymität des Melders gefährdet wird.

Automatisierte Fristenüberwachung und Nachweisführung

Zur Vermeidung von Verwaltungsstrafen nach § 24 HSchG verfügt die Plattform über ein integriertes Fristenmanagement: Eingehende Meldungen lösen automatische Fristenläufe für die 7-tägige Empfangsbestätigung und die 3-monatige Rückmeldung aus. Bei drohendem Fristablauf erhalten die zuständigen Meldestellenbeauftragten eskalierende Warnhinweise. Für Prüfungen durch das Arbeitsinspektorat oder das BAK generiert das System auf Knopfdruck anonymisierte Audit-Berichte, die die ordnungsgemäße Verfahrensführung lückenlos belegen.

Audit-Prüfliste für österreichische Unternehmen und Compliance-Beauftragte

Vor einer behördlichen Kontrolle oder Überprüfung durch den Betriebsrat sollten Unternehmen folgende zehn Kernanforderungen anhand dieser Checkliste verifizieren:

• Schwellenwertbestimmung dokumentiert: Liegt eine nachvollziehbare Zählung aller Arbeitnehmer (inklusive Teilzeitkräfte, geringfügig Beschäftigte und überlassene Arbeitskräfte) vor? ;
• Betriebsvereinbarung nach § 96a ArbVG abgeschlossen: Wurde die Betriebsvereinbarung mit dem Betriebsrat formal unterzeichnet oder liegt ein rechtskräftiger Schlichtungsstellenbescheid vor? ;
• Unabhängige Meldestellenbeauftragte bestellt: Wurden fachlich geeignete Personen schriftlich benannt und mit der gebotenen Weisungsfreiheit ausgestattet? ;
• Mehrkanaliger Zugang gewährleistet: Steht neben dem digitalen Portal auch die Möglichkeit zur telefonischen oder persönlichen Vorsprache zur Verfügung? ;
• Fristeneinhaltung technisch gesichert: Ist gewährleistet, dass Empfangsbestätigungen binnen 7 Tagen und Rückmeldungen binnen 3 Monaten zuverlässig dokumentiert werden? ;
• DSGVO-Dokumentation vollständig: Sind das Verzeichnis von Verarbeitungstätigkeiten (Art 30) und die Datenschutz-Folgenabschätzung (Art 35) aktualisiert? ;
• Löschkonzept implementiert: Werden nicht stichhaltige Meldungen und irrelevante personenbezogene Daten unverzüglich aus den Akten gelöscht? ;
• Informationspflichten erfüllt: Sind Mitarbeiter, Bewerber und externe Partner über das Intranet und die Unternehmenswebsite transparent über die Meldewege informiert? ;
• Repressalienverbot im Führungskreis verankert: Wurden Führungskräfte nachweislich über das absolute Benachteiligungsverbot und die Beweislastumkehr geschult? ;
• Revisionssichere Archivierung eingerichtet: Werden Verfahrensakten für die gesetzliche Dauer von 5 Jahren manipulationssicher und zugriffsbeschränkt aufbewahrt?

Übersichtstabelle: Verpflichtungen nach Unternehmensgröße und Branche in Österreich

Häufig gestellte Fragen (FAQ) zur HSchG-Verpflichtung in Österreich