Dokumentacijske in hrambene obveznosti po HSchG: 5-letni rok, GDPR in revizijska varnost

Pravne podlage za vodenje evidenc prijav (§ 11 HSchG)

Zakonito delovanje notranje prijavne točke zahteva natančno, časovno žigosano in revizijsko varno beleženje vsakega prejetega obvestila. Člen 11 HSchG podrobno ureja postopke evidentiranja glede na obliko oddaje prijave:

Pisne in digitalne prijave

Kadar prijava prispe v pisni obliki – bodisi prek varnega šifriranega spletnega portala, po elektronski pošti ali v papirni obliki –, mora notranja enota celotno besedilo arhivirati v nespremenjeni obliki. Temeljni elektronski spis sestavljajo:

• Časovno žigosan zapis trenutka prejema prijave z natančnostjo do sekunde ;
• Vse priložene datoteke, pogodbe, bančni izpiski, fotografije in tehnična poročila v izvirni obliki ;
• Potrdilo o prejemu prijave, izdano prijavitelju v zakonitem roku 7 koledarskih dni po § 13 Abs 3 HSchG ;
• Uradni zaznamki preiskovalca o začetku preiskovalnih dejanj, načrtovanih ukrepih in časovnem poteku.

Ustne prijave po telefonu ali prek zvočnih sporočil

Kadar podjetje omogoča prijavo prek telefonske linije ali sistemov za snemanje zvočnih sporočil, § 11 Abs 2 HSchG predpisuje dve kogenski alternativi:

• Zvočni posnetek pogovora na trajnem nosilcu podatkov: Snemanje pogovora je zakonito izključno tedaj, ko prijavitelj pred začetkom snemanja poda svojo izrecno, informirano in dokazljivo privolitev. Sistem mora pred začetkom predvajati opozorilo o varstvu podatkov po 13. členu GDPR ;
• Celovit in natančen dobesedni zapisnik (Wortprotokoll): Če prijavitelj snemanje zavrne ali tehnični sistem snemanja ne omogoča, mora pooblaščenec sestaviti natančen dobesedni zapisnik. Zakon izrecno zahteva, da se prijavitelju omogoči pregled zapisnika, popravek morebitnih napak, dopolnitev ter potrditev s podpisom ali elektronsko odobritvijo.

Osebna srečanja na zahtevo prijavitelja

Po § 9 Abs 1 HSchG mora podjetje na zahtevo prijavitelja v razumnem roku – v praksi najpozneje v 14 dneh – organizirati osebni zaupni sestanek. O poteku sestanka se s privolitvijo prijavitelja lahko napravi zvočni posnetek ali pa se sestavi podroben zapisnik, ki ga prijavitelj na kraju samem ali nemudoma po srečanju pregleda in podpiše.

5-letni rok hrambe po § 13 Abs 7 HSchG: Izračun in izjeme

Osrednja določba avstrijskega prava o arhiviranju prijavnih dosjejev je § 13 Abs 7 HSchG, ki določa življenjski krog dokumentacije:

„Prijave mora notranja prijavna enota hraniti pet let od zaključka obravnave. Če je to potrebno za izvedbo že začetih upravnih ali sodnih postopkov, se podatki lahko hranijo dlje, vse do pravnomočnega zaključka zadevnega postopka. Po poteku obdobja hrambe je treba podatke nemudoma izbrisati ali popolnoma anonimizirati.“

Začetek teka 5-letnega roka: Kaj pomeni „zaključek obravnave“?

Petletni rok ne začne teči z dnem prejema prijave, temveč z dnem, ko je notranja preiskava v celoti formalno zaključena (Abschluss der Bearbeitung). To je trenutek, ko:

• Je bilo sprejeto končno preiskovalno poročilo in potrjeno s strani vodstva družbe ;
• So bile prijavitelju v zakonitem roku 3 mesecev posredovane vsebinske povratne informacije ;
• So bili izvedeni potrebni delovnopravni ali pogodbeni ukrepi (npr. disciplinska odpoved kršitelju, odškodninski zahtevki) ;
• Oziroma je bil postopek uradno ustavljen zaradi ugotovljene neutemeljenosti.

Za računanje roka se uporabljata načeli AVG in ABGB. Če je bila obravnava uradno zaključena 15. maja 2024, se petletni rok izteče 15. maja 2029 ob 24:00 uri.

Zakonska izjema: Začeti sodni in upravni postopki

Rok se po samem zakonu podaljša preko 5 let, če je bil pred iztekom roka začet uradni postopek, v katerem prijavni dosje predstavlja dokazno gradivo. Med takšne postopke sodijo:

• Delovnopravne tožbe zaradi nezakonite odpovedi pred Delovnim in socialnim sodiščem (ASG) po § 20 HSchG ;
• Kazenske preiskave tožilstva za gospodarski kriminal in korupcijo (WKStA) ali deželnih kazenskih sodišč ;
• Postopki Finančne policije ali Davčne uprave po Zakonu o finančnih prekrških (FinStrG) ;
• Postopki pred Kartelnim sodiščem (OLG Wien) na predlog Zveznega organa za konkurenco (BWB) ;
• Upravni kazenski postopki pred okrajnimi glavarstvi (Bezirkshauptmannschaften) po § 24 HSchG.

V teh primerih je treba celoten spis hraniti do pravnomočnosti sodne odločbe ali upravnega akta (Rechtskraft), da se zagotovijo pravice do obrambe.

Obvezno brisanje ali nepovratna anonimizacija

Ko poteče 5 let in ni nobenih tekočih sodnih sporov, se pravica do hrambe takoj preoblikuje v strogo dolžnost izbrisa. Podatke je treba digitalno in fizično uničiti ali pa jih v tolikšni meri anonimizirati, da niti s pomočjo dodatnih informacij ni mogoče prepoznati prijavitelja, osumljenca ali prič. Podjetja smejo obdržati le agregirane statistične kazalnike za letna poročila o skladnosti.

Osebna odgovornost poslovodij po GmbHG § 25 in AktG § 84

Po avstrijskem korporacijskem pravu so poslovodje in člani uprav osebno odgovorni za zakonito delovanje podjetja. Če vodstvo opusti dolžno hrambo podatkov za 5 let in podjetje v delovnem sporu izgubi tožbo zaradi nezmožnosti predložitve dokazov, lahko lastniki družbe od poslovodje zahtevajo povrnitev celotne škode (Regressanspruch). Enako velja, če podjetje utrpi milijonsko globo s strani DSB zaradi nezakonite hrambe podatkov po izteku 5 let.

GDPR nasproti HSchG: Omejitev hrambe kontra zakonska dolžnost

Člen 5(1)(e) GDPR določa načelo omejitve shranjevanja podatkov. Petletno pravilo iz HSchG predstavlja specialno zakonsko dolžnost v smislu prava Evropske unije:

Avstrijski organ za varstvo podatkov (Datenschutzbehörde – DSB) je v svojih stališčih potrdil: podjetje mora zavrniti zahteve obtoženih vodij za predčasen izbris podatkov v 5-letnem obdobju, saj je hramba nujna za izpolnjevanje zakonskih obveznosti in obrambo v sodnih postopkih.

Ocena učinka na varstvo podatkov (DPIA / DSFA po členu 35 GDPR)

Uvedba digitalnega prijavnega sistema z obdelavo občutljivih podatkov o sumih kaznivih dejanj predstavlja visoko tveganje za pravice posameznikov. Zato mora vsako podjetje pred uvedbo sistema izvesti Oceno učinka na varstvo podatkov (Datenschutz-Folgenabschätzung – DSFA) po členu 35 GDPR. Odsotnost ocene učinka ob nadzoru DSB povzroči neposredne globe po členu 83 GDPR.

Evidenca dejavnosti obdelave po členu 30 GDPR

Podjetje mora delovanje prijavne točke vključiti v svojo evidenco dejavnosti obdelave (Verzeichnis von Verarbeitungstätigkeiten). Vpis mora natančno opredeliti namen obdelave, kategorije podatkov, pooblaščene prejemnike, varnostne ukrepe ter natančen rok hrambe (5 let po zaključku obravnave).

Tehnični in organizacijski ukrepi (TOM) po členu 32 GDPR

Prijavni spisi vsebujejo najbolj zaupne poslovne informacije, zato je njihova hramba na skupnih omrežnih pogonih ali v nezaščiteni e-pošti strogo prepovedana:

Načelo minimalnega dostopa (Need-to-Know) po § 13 Abs 2 HSchG

Dostop do dokumentacije imajo izključno formalno imenovani preiskovalci. Splošni skrbniki IT omrežja nimajo pravice do vpogleda. Platforma UNOVOX zagotavlja kriptografsko ločitev vlog in zahteva dvofaktorsko avtentikacijo (2FA) za vsak vstop.

Nespremenljiva revizijska sled (Audit-Trail)

Vsako dejanje v sistemu – branje, prenos datoteke, dodajanje opomb, sprememba statusa – se samodejno in trajno zabeleži v revizijski dnevnik. Ta dnevnik pred sodiščem služi kot nesporen dokaz, da nepooblaščene osebe niso imele vpogleda v identiteto prijavitelja.

Kriptografska zaščita celovitosti (SHA-256) in dokazna moč po § 272 ZPO

Po avstrijskem Zakoniku o pravdnem postopku (Zivilprozessordnung – ZPO) § 272 sodišče prosto presoja dokaze. Elektronski dokumenti imajo polno dokazno moč le, če je mogoče dokazati njihovo pristnost in nespremenjenost. UNOVOX ob uvozu vsake datoteke izračuna kriptografski kontrolni odtis SHA-256 in ga vključi v revizijsko sled, kar pred sodiščem izključuje očitke o naknadnem ponarejanju dokazov.

Šifriranje v mirovanju in med prenosom po smernicah BSI

Hramba prijavnih spisov mora izpolnjevati najvišje varnostne standarde, ki jih določajo nemški in avstrijski organi za informacijsko varnost (BSI in CERT.at). Vsi podatki morajo biti med prenosom zaščiteni s protokolom TLS 1.3 s tehnologijo Perfect Forward Secrecy, medtem ko morajo biti v mirovanju (At Rest) šifrirani z algoritmom AES-256 z uporabo namenskih strojnih varnostnih modulov (Hardware Security Modules – HSM). S tem se prepreči, da bi nepooblaščene osebe ob morebitnem fizičnem dostopu do strežniških diskov lahko prebrale zaupne dokumente.

Podatkovna suverenost in hramba izključno v Evropski uniji

V skladu s sodbo Sodišča EU v zadevi Schrems II je prenos osebnih podatkov prijaviteljev v tretje države (zlasti v ZDA) podvržen strogim omejitvam. Če podjetje uporablja platformo z gostovanjem pri ameriških ponudnikih, tvega kršitev GDPR zaradi zakonodaje Cloud Act. Platforma UNOVOX vse podatke hrani izključno v varnostno certificiranih podatkovnih centrih (ISO 27001) na območju Evropske unije, kar zagotavlja popolno pravno in podatkovno suverenost koroških podjetij.

Obratni sporazum: Obvezno soglasje obratnega sveta po § 96a ArbVG

Evidentiranje in digitalno shranjevanje podatkov o zaposlenih neposredno vpliva na varstvo delavcev, zato je v Avstriji obvezna sklenitev obratnega sporazuma (Betriebsvereinbarung) po § 96a Zakona o delovni ustavi (ArbVG).

Obvezna vsebina obratnega sporazuma

Sporazum med delodajalcem in obratnim svetom mora vsebovati:

• Natančen krog oseb z dostopom do podatkovne baze ;
• Dosledno vključitev 5-letnega roka hrambe po § 13 Abs 7 HSchG ;
• Postopke za avtomatski izbris podatkov po poteku roka ;
• Izrecno prepoved uporabe sistema za ocenjevanje delovne uspešnosti zaposlenih ;
• Pravico obratnega sveta do letnih statističnih poročil.

Poleg tega avstrijska delovnopravna doktrina priporoča, da se v sporazum vključi klavzula o rednem letnem varnostnem pregledu (Security Audit), s katerim pooblaščeni zunanji revizor preveri, ali se podatki dejansko brišejo po preteku 5 let in ali ni prišlo do nepooblaščenih posegov v revizijsko sled. Ta mehanizem daje obratnemu svetu trdno zagotovilo, da se spoštuje človeško dostojanstvo zaposlenih po § 96a ArbVG.

Odsotnost prisilnega nadomestka preko Spravnega sveta (Schlichtungsstelle)

Pri sistemih iz § 96a ArbVG zakon ne predvideva možnosti, da bi soglasje obratnega sveta nadomestil državni Spravni svet (Schlichtungsstelle). Brez soglasja obratnega sveta sistema ni mogoče zakonito uvesti. UNOVOX delodajalcem ponuja vnaprej pripravljene vzorce sporazumov, ki izpolnjujejo vse zahteve Delavske zbornice za Koroško (AK Kärnten) in omogočajo hitro doseganje soglasja.

Dokazna moč pred sodišči in kazenska tveganja

Pravilno vodena dokumentacija je ključnega pomena za uspeh podjetja v sodnih postopkih:

Obramba v sporih zaradi odpovedi (§ 20 in § 23 HSchG)

Zaradi obrnjenega dokaznega bremena pred Delovnim in socialnim sodiščem (ASG) lahko delodajalec domnevo povračilnega ukrepa ovrže le z brezhibnim revizijskim dnevnikom, ki dokazuje, da vodje, ki so sprejeli odločitev o odpovedi, niso vedeli za prijavo, ali pa so razlogi za odpoved nastali pred prijavo.

Odsotnost odvetniškega privilegija za hišne pravnike (§ 157 StPO)

Po avstrijskem pravu (§ 157 StPO) zaposleni pravniki v podjetju ne uživajo imunitete pred zasegom dokumentov. Zato koroška podjetja občutljivo preiskovalno dokumentacijo hranijo v varni platformi UNOVOX ali v sodelovanju z neodvisnimi zunanjimi odvetniki.

Kazenska odgovornost za uničenje dokazov po Kazenskem zakoniku (StGB)

Predčasno ali namerno uničenje prijavne dokumentacije predstavlja huda kazniva dejanja:

• Zatajitev dokazov (§ 295 StGB): Uničenje, poškodovanje ali prikritje dokaza, ki bi se lahko uporabil v sodnem ali upravnem postopku, se kaznuje z zaporno kaznijo do enega leta ali denarno kaznijo do 720 dnevnih zneskov ;
• Poškodovanje podatkov (§ 126a StGB): Neupravičen izbris ali sprememba elektronsko shranjenih podatkov se kaznuje z zaporom do šestih mesecev (ob večji škodi do dveh let) ;
• Zloraba zaupanja (§ 153 StGB): Če opustitev hrambe povzroči podjetju premoženjsko škodo, poslovodja odgovarja kazensko in z lastnim premoženjem.

Korporativna kazenska odgovornost po Zakonu o odgovornosti združenj (VbVG)

Po avstrijskem VbVG podjetje odgovarja za kazniva dejanja svojih vodstvenih delavcev. Če vodstvo uniči dokumente o korupciji, tožilstvo WKStA sproži pregon zoper podjetje, kar privede do večmilijonskih korporativnih glob in avtomatske izključitve iz javnih naročil po Zakonu o javnem naročanju (BVergG 2018 § 78).

Preiskovalna pooblastila tožilstva WKStA in Zveznega kriminalističnega urada (BK)

Kadar tožilstvo za gospodarski kriminal in korupcijo (WKStA) ali Zvezni kriminalistični urad (Bundeskriminalamt – BK) zaznata sum uničenja ali ponarejanja dokumentov, lahko preiskovalci s sodno odredbo izvedejo forenzično analizo strežnikov podjetja. Strokovnjaki za digitalno forenzično analizo zlahka obnovijo izbrisane datoteke in ugotovijo točen čas ter identiteto uporabnika, ki je ukazal izbris. Ugotovitev naklepnega uničevanja prijavnih spisov za osumljene direktorje praviloma pomeni preiskovalni pripor zaradi nevarnosti ponavljanja dejanja ali uničenja dokazov (Kollusionsgefahr).

Odškodninska odgovornost po § 1295 ABGB zaradi izgube sodnih postopkov

Če delodajalec zaradi malomarne hrambe ali prezgodnjega uničenja spisov izgubi tožbo pred Delovnim in socialnim sodiščem (ASG), nastane neposredna civilnopravna odškodninska odgovornost. Po § 1295 ABGB mora vsakdo povrniti škodo, ki jo je drugemu povzročil s krivdnim ravnanjem. Poslovodja, ki je opustil vzpostavitev varnega arhiva, podjetju odgovarja za vsa izplačila zaostalih plač, sodne stroške in plačilo odvetniških storitev nasprotne stranke.

Koroški regionalni kontekst: Dvojezično vodenje dokumentacije

Na Koroškem vodenje dokumentacije vključuje spoštovanje ustavnih pravic slovenske manjšine:

Uveljavljanje 7. člena Državne pogodbe iz leta 1955

V skladu s 7. členom Državne pogodbe iz leta 1955 in Zakonom o narodnih skupnostih (Volksgruppengesetz 1976) imajo pripadniki slovenske narodne skupnosti pravico do uporabe slovenskega jezika pred sodišči in upravnimi organi v dvojezičnih okrajih na Koroškem. Prijavni spisi, zapisniki in korespondenca, vodena v slovenščini, imajo enako veljavnost kot nemški dokumenti.

Avstrijsko Ustavno sodišče (VfGH) je v več prelomnih odločbah potrdilo, da mora biti dvojezično delovanje omogočeno nemoteno in brez dodatnih administrativnih bremen za državljane. Za delodajalca to pomeni, da mora biti celotna veriga hrambe in obdelave podatkov prirejena tako, da podpira slovensko pisavo, posebne znake ter dvojezično indeksiranje spisa.

Dvojezični zapisniki in sodna praksa na Koroškem

Kadar delavec v dvojezični občini (kot so Pliberk, Borovlje, Železna Kapla ali Dobrla vas) poda ustno prijavo v slovenskem jeziku, mora biti zapisnik po § 11 HSchG sestavljen v slovenščini ali dvojezično. Platforma UNOVOX omogoča popolno dvojezično vodenje spisov, kar preprečuje spore pred Delovnim in socialnim sodiščem ter odpravlja potrebo po sodnih prevodih.

Sodni tolmači in overjeni prevodi pred koroškimi sodišči

Če koroško podjetje posluje z zveznimi organi na Dunaju (npr. Zveznim uradom za boj proti korupciji – BAK) ali če se zadeva prenese na višja zvezna sodišča, se dokumentacija, sestavljena v slovenskem jeziku, prevede z overjenim prevodom zapriseženih sodnih tolmačev za slovenski jezik. Stroški sodnega tolmačenja bremenijo državo, kadar gre za postopke pred sodišči na dvojezičnem območju Koroške. Sistem UNOVOX zagotavlja nemoten izvoz spisov v dvojezični obliki z vsemi pripadajočimi časovnimi žigi in metapodatki.

Primerjalne študije primerov iz koroške prakse

Kontrolni seznam za dokumentacijsko skladnost koroških podjetij

Za zagotovitev popolne pravne varnosti in revizijske skladnosti upoštevajte naslednje korake:

• Popolno evidentiranje vsake prijave: Zapišite natančen čas prejema, vsebino in vse priloge v varen sistem UNOVOX ;
• Izdaja potrdila v 7 dneh: Arhivirajte dokazilo o pravočasnem posredovanju potrdila o prejemu prijavitelju ;
• Pravilno zapisovanje ustnih prijav (§ 11 HSchG): Zagotovite privolitev za zvočni posnetek ali dobesedni zapisnik s podpisom prijavitelja ;
• Zakonito računanje 5-letnega roka: Nastavite samodejno spremljanje roka hrambe, ki začne teči z dnem formalnega zaključka obravnave ;
• Zamrznitev izbrisa ob sodnih postopkih: V primeru tožb pred ASG ali kazenskih preiskav takoj ustavite postopke brisanja do pravnomočnosti ;
• Brezpogojen izbris po 5 letih: Po poteku roka podatke trajno izbrišite ali nepovratno anonimizirajte v skladu z GDPR ;
• Sklenitev obratnega sporazuma po § 96a ArbVG: Pravila hrambe in brisanja uskladite z obratnim svetom in priporočili AK Kärnten ;
• Zagotovitev dvojezičnosti na Koroškem: Omogočite vodenje zapisnikov in dokumentacije v slovenskem jeziku v dvojezičnih regijah.

Pogosta vprašanja o dokumentaciji in hrambi po HSchG (FAQ)