Dokumentációs és megőrzési kötelezettségek a HSchG szerint: Az 5 éves határidő, a GDPR és a revízióbiztosság

A nyilvántartási kötelezettség jogszabályi alapjai (§ 11 HSchG)

A belső bejelentési szerv jogszerű működése megköveteli minden egyes bejelentési esemény hiánytalan, manipulációbiztos és időbélyegzővel hitelesített rögzítését. Az HSchG § 11 szakasza a bejelentés formája szerint differenciál, egyértelmű eljárásrendet teremtve az osztrák jogalanyok számára:

Írásbeli és digitális bejelentések

Ha a bejelentés írásban érkezik – legyen az titkosított internetes felületen (SaaS), e-mailben vagy papíralapú levélben –, a beadvány teljes eredeti szövegét változatlan formában archiválni kell. Az elektronikus ügyirat alapbestandját a következők alkotják:

• A bejelentés beérkezésének szerveroldali, másodperc-alapú időbélyegzője ;
• Valamennyi becsatolt melléklet, elektronikus táblázat, szerződés, könyvelési kivonat és fénykép ;
• A törvényes 7 naptári napos kézhezvételi visszaigazolás hiteles másolata és elküldésének digitális bizonyítéka (§ 13 Abs 3 HSchG) ;
• A vizsgálóbiztos hivatalos feljegyzései a vizsgálat megindításáról és az eljárási cselekmények ütemezéséről.

Szóbeli bejelentések telefonon vagy hangposta útján

Amennyiben a vállalat telefonos bejelentő vonalat vagy automatizált hangposta-rendszert üzemeltet, az HSchG § 11 Abs 2 szakasza két kógens eljárási alternatívát rögzít:

• Hangfelvétel készítése tartós adathordozóra: A telefonbeszélgetés vagy hangüzenet rögzítése kizárólag akkor jogszerű, ha a bejelentő a felvétel elindítása előtt kifejezett, tájékozott és igazolható hozzájárulását adta. A rendszernek a rögzítés előtt automatikusan le kell játszania az adatvédelmi tájékoztatót a GDPR 13. cikke alapján ;
• Teljes és pontos szó szerinti jegyzőkönyv (Wortprotokoll) készítése: Ha a bejelentő megtagadja a hangfelvételhez való hozzájárulást, vagy ha a technikai rendszer nem támogatja az audiorögzítést, a megbízott köteles részletes, szó szerinti jegyzőkönyvet felvenni. A törvény kifejezetten rögzíti, hogy a bejelentőnek biztosítani kell a jogot a jegyzőkönyv átolvasására, a félreértések tisztázására, kiegészítések tételére, valamint a szöveg aláírással vagy elektronikus jóváhagyással történő hitelesítésére.

Személyes egyeztetések a bejelentő kérelmére

Az HSchG § 9 Abs 1 szakasza értelmében, ha a bejelentő személyes meghallgatást kérelmez, a munkáltató köteles azt ésszerű időn belül – a gyakorlatban legkésőbb 14 napon belül – megszervezni. A személyes találkozóról a bejelentő beleegyezésével hangfelvétel készülhet, vagy részletes jegyzőkönyvet kell vezetni. A bejelentőnek a helyszínen vagy a megbeszélést követően haladéktalanul át kell adni a jegyzőkönyv másolatát jóváhagyás és aláírás céljából.

Az 5 éves megőrzési kötelezettség (§ 13 Abs 7 HSchG): Számítás és kivételek

Az osztrák bejelentővédelmi archiválási jog központi normája a § 13 Abs 7 HSchG, amely pontosan definiálja az ügyirat életciklusát:

„A bejelentéseket a belső bejelentési szerv köteles a feldolgozás befejezésétől számított öt évig megőrizni. Amennyiben ez már folyamatban lévő közigazgatási hatósági vagy bírósági eljárások lebonyolításához szükséges, az adatok ezen az időtartamon túl is megőrizhetők az adott eljárás jogerős befejezéséig. A megőrzési idő lejárta után az adatokat haladéktalanul törölni kell, vagy teljesen anonimizálni kell.”

A határidő kezdete: Mit jelent a „feldolgozás befejezése”?

Az öt év nem a bejelentés beérkezésének napján indul, hanem azon a napon, amikor a belső vizsgálat és az összes intézkedés érdemben lezárult (Abschluss der Bearbeitung). Ez az az időpont, amikor:

• A belső vizsgálati jelentés elkészült és az illetékes vezetés jóváhagyta ;
• A törvényes 3 hónapos érdemi visszajelzést kézbesítették a bejelentőnek ;
• A szükséges fegyelmi, munkajogi vagy szerződéses lépéseket (pl. fegyelmi felmondás, kártérítési per) végrehajtották ;
• Vagy az eljárást alaptalanság miatt hivatalosan megszüntették.

A határidő számítására az AVG és az ABGB általános szabályai érvényesek. Ha az ügyet 2024. május 15-én zárták le, a megőrzési határidő 2029. május 15-én 24:00 órakor jár le. Amennyiben a zárónap szombatra, vasárnapra vagy törvényes osztrák munkaszüneti napra esik, a határidő a következő munkanap végéig tart az AVG § 33 Abs 2 analógiája szerint.

Törvényi kivétel: Folyamatban lévő bírósági és hatósági eljárások

Az 5 éves határidő ex lege meghosszabbodik, amennyiben annak lejárta előtt olyan eljárás indult, amelyben a bejelentési iratok bizonyítékként szolgálnak. Ide tartoznak:

• Munkajogi felmondási és kártérítési perek a Munkaügyi és Szociális Bíróság (ASG) előtt ;
• Büntetőeljárások a Gazdasági és Korrupciós Ügyészségnél (WKStA) vagy a tartományi büntetőbíróságokon (Landesgerichte) ;
• A Pénzügyi Rendőrség és az Adóhivatal eljárásai a Pénzügyi Csalások Elleni Törvény (FinStrG) alapján ;
• Kartellügyek a Bécsi Felsőbíróság (OLG Wien) mint Kartellbíróság előtt ;
• Közigazgatási szabálysértési eljárások a járási hivataloknál (Bezirkshauptmannschaften) az HSchG § 24 alapján.

Ilyen esetekben az iratokat a bírósági ítélet vagy hatósági határozat formális jogerőre emelkedéséig (Rechtskraft) kötelező megőrizni a védekezési jogok biztosítása érdekében.

Kötelező törlés vagy visszafordíthatatlan anonimizálás

Ha az 5 év letelt és nincs folyamatban lévő per, a megőrzési jogosultság azonnal szigorú törlési kötelezettséggé alakul át. Az adatokat digitálisan és fizikailag meg kell semmisíteni, vagy olyan mértékben anonimizálni, hogy a bejelentőre, a terheltre vagy a tanúkra semmilyen módon ne lehessen visszakövetkeztetni. A vállalatok kizárólag összesített statisztikai mutatókat tarthatnak meg éves compliance jelentéseikben.

A határidők elmulasztásának felelősségi köre az osztrák társasági jogban: ügyvezetői felelősség (GmbHG § 25 & AktG § 84)

Az osztrák társasági jogban az ügyvezetőket és igazgatósági tagokat szigorú gondossági kötelezettség terheli a törvényes megfelelőségi rendszerek működtetése terén. A Korlátolt Felelősségű Társaságokról szóló Törvény (GmbHG) § 25 szakasza és a Részvénytörvény (AktG) § 84 szakasza kimondja, hogy a cégvezetők egyetemlegesen és személyes vagyonukkal felelnek a társaságnak okozott minden olyan kárért, amely a jogszabályi kötelezettségek felróható megszegéséből ered.

Amennyiben a vezetőség elmulasztja a belső bejelentési akták törvényes 5 éves archiválását, és emiatt a társaság egy munkaügyi perben bizonyítási bukás miatt jelentős kártérítés vagy elmaradt bér megfizetésére kényszerül, a cég tulajdonosai és felügyelőbizottsága közvetlen megtérítési igénnyel (Regressanspruch) léphetnek fel az érintett ügyvezetővel szemben. Ugyanez a személyes felelősség érvényesül akkor is, ha a vállalatot az Adatvédelmi Hatóság (DSB) sújtja milliós bírsággal az adatok törvénytelen, 5 éven túli jogalap nélküli megőrzése miatt.

GDPR vs. HSchG: Adattakarékosság kontra kötelező megőrzés

A GDPR 5. cikk (1) bekezdés e) pontja kimondja a tárolás korlátozásának elvét. Az HSchG 5 éves szabálya ehhez képest speciális törvényi kötelezettség:

Az Osztrák Adatvédelmi Hatóság (DSB) megerősítette: a munkáltató köteles elutasítani a megvádolt vezetők törlési kérelmét az 5 éves időtartam alatt a GDPR 17. cikk (3) bekezdés b) és e) pontjaira hivatkozva.

A DSB hatósági ellenőrzései és az Adatvédelmi Hatásvizsgálat (DSFA)

Az Osztrák Adatvédelmi Hatóság (DSB) rendszeres ellenőrzéseket végez a vállalati bejelentő rendszerek adatkezelési gyakorlatának felülvizsgálatára. Ha egy megvádolt munkatárs panasszal él a DSB-nél, a hatóság vizsgálja, hogy a vállalat rendelkezik-e érvényes jogalappal az adatok tárolására. Az HSchG § 13 Abs 7 szakasza egyértelmű törvényi mandátumot biztosít az 5 éves archiválásra, így a hatóság az eljárás alatt benyújtott törlési panaszokat elutasítja.

Ugyanakkor a DSB kiemelt figyelmet fordít arra, hogy a munkáltató lefolytatta-e a kötelező Adatvédelmi Hatásvizsgálatot (DSFA) a GDPR 35. cikke alapján. A hatásvizsgálat hiánya vagy a törlési határidők 5 éven túli túllépése súlyos mulasztásnak minősül, amelyért a hatóság a GDPR 83. cikke szerinti közigazgatási bírságot szabhat ki.

Adatkezelési nyilvántartás (Verzeichnis von Verarbeitungstätigkeiten) az Art. 30 GDPR szerint

A GDPR 30. cikke kötelezi az osztrák munkáltatókat arra, hogy valamennyi belső adatkezelési folyamatukról naprakész, részletes nyilvántartást vezessenek. A visszaélés-bejelentési rendszer üzemeltetése önálló adatkezelési tevékenységnek minősül, amelyet a nyilvántartásban külön fejezetként kell rögzíteni.

A nyilvántartásnak precízen tartalmaznia kell a felhasznált jogalapot (GDPR 6. cikk (1) c) pont az HSchG § 13 Abs 7 rendelkezésével összefüggésben), a címzettek kategóriáit (kizárólag a független vizsgálóbiztosok és az eljáró bíróságok), a megőrzési és törlési határidőket (pontosan 5 év a lezárástól, illetve a folyamatban lévő per jogerős befejezéséig), valamint a technikai biztonsági intézkedések leírását (Zero-Knowledge titkosítás, SHA-256 ujjlenyomatok). A megfelelően vezetett nyilvántartás hiányában a DSB azonnali mulasztási bírságot szabhat ki.

Technikai és szervezési intézkedések (TOM) a GDPR 32. cikke alapján

A visszaélés-bejelentési iratok tárolása rendkívül szigorú biztonsági intézkedéseket követel meg. A sima irodai hálózati meghajtókon vagy nyitott postafiókokban történő tárolás a GDPR 32. cikkének és az HSchG § 7 szakaszának súlyos megsértését jelenti.

A „Need-to-Know” elv és jogosultságkezelés (§ 13 Abs 2 HSchG)

Az iratokhoz kizárólag a formálisan kijelölt belső vizsgálóbiztosok férhetnek hozzá. A vállalat általános IT rendszergazdái nem rendelkezhetnek olvasási joggal. A UNOVOX rendszerben a jogosultságok kriptográfiailag elkülönülnek, és kétlépcsős azonosítás (2FA) védi a hozzáférést.

Manipulálhatatlan revíziós napló (Audit-Trail)

A rendszerben minden egyes művelet – betekintés, letöltés, státuszváltás – automatikusan, kitörölhetetlenül naplózásra kerül. Ez az audit-napló cáfolhatatlan bizonyítékul szolgál a bíróság előtt arra, hogy illetéktelen vezetők nem fértek hozzá a bejelentő adataihoz.

Titkosítás nyugalmi és átviteli állapotban

A UNOVOX katonai szintű biztonságot alkalmaz:

• Átviteli titkosítás (In Transit): TLS 1.3 protokoll Perfect Forward Secrecy funkcióval ;
• Nyugalmi titkosítás (At Rest): AES-256 titkosítás hardveres biztonsági modulokban (HSM) őrzött kulcsokkal ;
• Zero-Knowledge elv: A szolgáltató mérnökei sem férhetnek hozzá az ügyfél nyers adataihoz.

Kriptográfiai integritásvédelem (SHA-256) és a ZPO § 272 szerinti bizonyító erő

Az osztrák Polgári Perrendtartás (Zivilprozessordnung – ZPO) § 272 szakasza a szabad bírói bizonyítékértékelés elvét rögzíti. Elektronikus dokumentumok esetén a bíróság csak akkor tulajdonít teljes bizonyító erőt a digitális aktának, ha annak hitelessége és manipulációmentessége kétséget kizáróan igazolható.

A UNOVOX platform a fájlok feltöltésekor automatikusan kiszámítja azok egyedi SHA-256 kriptográfiai ellenőrző összegét (hash), és ezt beágyazza a megváltoztathatatlan audit-naplóba. Ezzel a bíróság előtt matematikai pontossággal bizonyítható, hogy a jegyzőkönyv egyetlen vesszővel sem módosult a beérkezés óta, ami kizárja a bizonyítékhamisítás vádját.

Üzemi tanácsi jóváhagyás: Kötelező megállapodás az ArbVG § 96a alapján

Az adatok digitális nyilvántartása és archiválása közvetlenül érinti a munkavállalók ellenőrzését, így az osztrák Munkaalkotmányi Törvény (ArbVG) § 96a szakasza alapján üzemi megállapodás (Betriebsvereinbarung) megkötése kötelező.

A megállapodás kötelező tartalma

A megállapodásnak tartalmaznia kell:

• A hozzáférésre jogosult személyek körének pontos megjelölését ;
• Az 5 éves megőrzési idő pontos átvételét a § 13 Abs 7 HSchG szerint ;
• Az automatizált törlési mechanizmusok szabályozását a határidő lejárta után ;
• A munkavállalók általános digitális ellenőrzésének és az e-mailek pásztázásának szigorú tilalmát ;
• Az üzemi tanács tájékoztatási jogát az anonim statisztikai adatok tekintetében.

A Békéltető Bizottság (Schlichtungsstelle) szerepe és a megállapodás kényszermentessége

Fontos kiemelni, hogy az ArbVG § 96a szerinti ellenőrzési rendszereknél a jogalkotó nem biztosított kötelező pótlási lehetőséget Békéltető Bizottság (Schlichtungsstelle) útján. Ez azt jelenti, hogy az üzemi tanács hozzájárulása nem kényszeríthető ki bírói úton: a munkáltató és az üzemi tanács közötti konszenzus elengedhetetlen feltétele a rendszer jogszerű működésének. A UNOVOX által kínált átlátható, jogosultság-korlátozott és emberi méltóságot tiszteletben tartó architektúra a legbiztosabb alap a megállapodás gyors és zökkenőmentes megkötéséhez.

Bizonyítási érték a bíróság előtt és büntetőjogi kockázatok

A szabályszerűen megőrzött és naplózott iratok sorsdöntőek az osztrák bíróságok előtt:

Védekezés a felmondási perekben (§ 20 & § 23 HSchG)

A megtorlási perekben érvényesülő megfordított bizonyítási teher miatt a munkáltató kizárólag a revízióbiztos nyilvántartás bemutatásával tudja igazolni, hogy a felmondás független volt a bejelentéstől, és a felmondást kezdeményező vezetők nem ismerték a bejelentő kilétét.

A „Legal Privilege” hiánya az in-house jogászoknál (§ 157 StPO)

Az osztrák StPO szerint a belső jogászok nem élveznek lefoglalási mentességet. Ezért a cégek az érzékeny vizsgálati dokumentumokat gyakran független külső ügyvédi irodáknál vagy izolált felhőplatformokon tárolják.

A bizonyítékmegsemmisítés büntetőjogi felelőssége (StGB)

A bejelentési iratok jogellenes vagy idő előtti törlése súlyos bűncselekmény:

• Bizonyíték elnyomása (§ 295 StGB): Bírósági vagy hatósági eljárásban felhasználható bizonyíték megsemmisítése, elrejtése vagy megrongálása egy évig terjedő szabadságvesztéssel vagy 720 napi tétel bírsággal büntetendő ;
• Adatrongálás (§ 126a StGB): A számítástechnikai rendszerben tárolt adatok jogosulatlan törlése vagy megváltoztatása hat hónapig (jelentős kár esetén két évig) terjedő szabadságvesztéssel sújtható ;
• Hűtlen kezelés (§ 153 StGB): Ha az iratmegsemmisítés kárt okoz a vállalatnak a kártérítési jogok elvesztése miatt, az ügyvezető személyes büntetőjogi és kártérítési felelősséggel tartozik.

Az Osztrák Munkáskamara (AK) felügyeleti és jogvédelmi szerepe

Az Osztrák Munkáskamara (Arbeiterkammer – AK Burgenland Kismartonban és Felsőőrön) kiemelt figyelmet fordít arra, hogy a munkáltatók ne semmisítsék meg a munkavállalók védelmét szolgáló iratokat. Amennyiben egy elbocsátott dolgozó megtorlási pert indít, az AK jogsegélyszolgálata kötelezést kér a bíróságtól a teljes vizsgálati dokumentáció bemutatására. Ha a munkáltató nem tudja felmutatni a törvényes 5 éves nyilvántartást, az AK segítségével a dolgozó azonnal megnyeri a pert, és megkapja teljes elmaradt jövedelmét.

Szervezeti büntetőjogi felelősség (VbVG) és közbeszerzési kizárás (BVergG 2018)

Az osztrák Vállalati Felelősségi Törvény (Verbandsverantwortlichkeitsgesetz – VbVG) alapján a jogi személyek közvetlenül büntetőjogi felelősségre vonhatók a vezető tisztségviselők és alkalmazottak által a vállalat javára vagy a szervezeti kontroll hiányosságai miatt elkövetett bűncselekményekért. Amennyiben a bejelentési iratok jogellenes megsemmisítése, meghamisítása vagy a panaszok elszabotálása miatt bűncselekmény (például StGB § 295 szerinti bizonyítékelnyomás vagy StGB § 153 szerinti hűtlen kezelés) valósul meg, a Gazdasági és Korrupciós Ügyészség (WKStA) közvetlenül a vállalattal szemben emel vádat.

A VbVG szerinti pénzbírság (Verbandsgeldbuße) a napi tételek számától és a vállalat éves árbevételétől függően akár több millió euróra is rúghat. Ezen felül a Szövetségi Közbeszerzési Törvény (Bundesvergabegesetz 2018 – BVergG 2018) § 78 szakasza alapján a jogerős büntetőjogi elmarasztalás vagy a szakmai megbízhatóság súlyos hiánya miatt a vállalat automatikusan kizárásra kerül valamennyi állami, tartományi és önkormányzati közbeszerzési pályázatból Ausztria teljes területén, ami egy közép- vagy nagyvállalat számára azonnali piacvesztést és katasztrofális gazdasági következményeket idéz elő.

A Szövetségi Korrupcióellenes Hivatal (BAK) és a Versenyhivatal (BWB) iratbetekintési jogkörei

Az HSchG alapján működő külső bejelentési hatóságok, különösen a Szövetségi Korrupcióellenes Hivatal (Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung – BAK) és a Szövetségi Versenyhivatal (Bundeswettbewerbsbehörde – BWB) széles körű vizsgálati jogkörrel rendelkeznek. Amennyiben egy bejelentő a belső csatorna eredménytelensége vagy megtorlástól való félelem miatt a külső hatósághoz fordul, a hatóság hivatalos megkereséssel élhet a munkáltató felé a belső eljárás teljes dokumentációjának kiadása érdekében.

A manipulálhatatlan UNOVOX audit-napló bemutatásával a cég hitelt érdemlően tudja igazolni a vizsgálati szervek előtt, hogy a belső bejelentést a törvényes határidőkön belül, részrehajlás nélkül és alaposan kivizsgálta. Ezzel szemben a hiányos vagy utólag módosított nyilvántartás azonnal hatósági helyszíni kutatást (Hausdurchsuchung) és bírságkiszabást von maga után az HSchG § 24 szakasza alapján, amely 20 000 euróig (ismételt esetben 40 000 euróig) terjedő közigazgatási bírsággal sújtja az eljárást akadályozó szervezeteket.

Gyakorlati esettanulmányok az osztrák joggyakorlatból

Ellenőrző lista: Dokumentációs megfelelés osztrák vállalatok számára

A törvényi megfelelés és a revízióbiztosság biztosításához kövesse az alábbi lépéseket:

• Hiánytalan beérkezési nyilvántartás: Rögzítsen minden bejelentést pontos időbélyegzővel és változatlan szöveggel a UNOVOX felületén ;
• 7 napos visszaigazolás archiválása: Csatolja a visszaigazolás bizonyítékát a bejelentési aktához az eljárási rend igazolására ;
• Szóbeli bejelentések hitelesítése (§ 11 HSchG): Készítsen hangfelvételt írásbeli hozzájárulással vagy a bejelentő által ellenjegyzett szó szerinti jegyzőkönyvet ;
• Vizsgálati zárójelentés és 3 hónapos visszajelzés: Rögzítse a vizsgálat eredményét, az intézkedések részleteit és a tájékoztatás dátumát ;
• Automatizált 5 éves cikluskezelés (§ 13 Abs 7 HSchG): Alkalmazzon olyan szoftvert, amely pontosan 5 év után riaszt és töröl, kivéve peres eljárások esetén ;
• Üzemi megállapodás megkötése: Zárja le a Betriebsvereinbarung-ot az ArbVG § 96a alapján az üzemi tanáccsal a viták elkerülése végett ;
• Forenzikus platform használata: Vezesse be a UNOVOX-ot a Zero-Knowledge titkosítás és a manipulációbiztos naplózás garantálására ;
• Burgenlandi kétnyelvűség támogatása: Biztosítsa a dokumentáció és a jegyzőkönyvek magyar nyelvű vezetését a vegyes lakosságú térségekben.

A dokumentációs fegyelem szigorú betartása a legbiztosabb záloga annak, hogy a vállalat sikeresen elkerülje a munkaügyi pereket és az adatvédelmi hatósági bírságokat.

Gyakran Ismételt Kérdések a dokumentációról és megőrzésről (FAQ)