Bericht

des Ausschusses für Arbeit und Soziales

über den Antrag 3087/A der Abgeordneten Peter Haubner, Mag. Agnes Sirkka Prammer, Kolleginnen und Kollegen betreffend ein Bundesgesetz, mit dem ein Bundesgesetz über das Verfahren und den Schutz bei Hinweisen auf Rechtsverletzungen in bestimmten Rechtsbereichen (HinweisgeberInnenschutzgesetz – HSchG) erlassen wird und das Gesetz über das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung, das Beamten-Dienstrechtsgesetz 1979, das Vertragsbedienstetengesetz 1948, das Richter- und Staatsanwaltsdienstgesetz, das Landeslehrer-Dienstrechtsgesetz, das Land- und forstwirtschaftliche Landeslehrpersonen-Dienstrechtsgesetz, das Landesvertragslehrpersonengesetz 1966, das Land- und forstwirtschaftliche Landesvertragslehrpersonengesetz und das Rechtspraktikantengesetz geändert werden

Die Abgeordneten Peter Haubner, Mag. Agnes Sirkka Prammer, Kolleginnen und Kollegen haben den gegenständlichen Initiativantrag am 15. Dezember 2022 im Nationalrat eingebracht und wie folgt begründet:

„Allgemeiner Teil

Als Whistleblowing ereignen sich international nun schon seit Jahrzehnten – zum Teil prominente und in Medien stark vertretene – Fälle, in denen es Menschen mit Insiderwissen gelingt, Rechtsverletzungen mit beträchtlichem Schaden für die Allgemeinheit aufzudecken und durch ihr Aufdecken weiteren Schaden zu verhindern. Whistleblower sind Personen, die aus ihrem beruflichen Umfeld Informationen über Praktiken wie Betrug, Korruption, Gesundheits-, Umweltgefährdungen erlangt haben und diese Informationen weitergeben.

In einem nicht spezifisch regulierten Umfeld riskieren Whistleblower, ungeachtet des oft hohen gesellschaftlichen Werts ihres Engagements Anfeindungen, existenzbedrohenden Gerichtsprozessen, Repressalien am Arbeitsplatz und in ihrem Privatleben bis hin zu physischen Bedrohungen ausgesetzt zu sein. Auch wenn sich Whistleblower auf Schutzbestimmungen und Rechtfertigungsgründe des allgemeinen Zivil-, Straf- und Arbeitsrechts berufen können, ist der faktische Druck der Anfeindungen und der Verfolgung aufgrund von Rechtsvorschriften enorm, die noch nicht dem gesamtgesellschaftlichen Interesse an Whistleblowing mittels spezifischer Schutzbestimmungen Rechnung tragen. Ein solches Risiko gehen Whistleblower insbesondere dann ein, wenn Whistleblowing die Preisgabe von Geschäfts-, Betriebs- oder anderen Geheimnissen in Kauf nehmen muss oder sich auf wirkmächtige Rechtsträger bezieht, denen eigene Einrichtungen der öffentlichen Kommunikation und der spezialisierten rechtskundigen Expertise jederzeit zur Verfügung stehen.

In Europa war Whistleblowing bislang Gegenstand der Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte und einer Empfehlung des Europarates zum Schutz von Whistleblowern aus dem Jahr 2014 (CM/Rec(2014)7). Auf EU‑Ebene wurden bereits, insbesondere zur Verhinderung von Geldwäsche und Terrorismusfinanzierung, Elemente des Whistleblowerschutzes in einzelnen Rechtsakten und in Teilbereichen wie Finanzdienstleistungen, –produkte und –märkte, Wettbewerbsrecht oder für Kreditinstitute, Wertpapierfirmen, Versicherungsunternehmen, Glücksspielbetreiber, bestimmte Rechtsberufe u.a. verankert.

Innerstaatlich sind diese Rechtsakte z. B. im Abschlussprüfer-Aufsichtsgesetz, im Bankwesengesetz, im Bilanzbuchhaltungsgesetz 2014, im Börsegesetz, im Finanzmarkt-Geldwäschegesetz, in der Gewerbeordnung, im Glücksspielgesetz, Investmentfondsgesetz 2011, in der Notariatsordnung, im PRIIP‑Vollzugsgesetz, in der Rechtsanwaltsordnung, im SFT‑Vollzugsgesetz, im Versicherungsaufsichtsgesetz 2016, im Wertpapieraufsichtsgesetz 2018, im Wettbewerbsgesetz, Wirtschaftstreuhandberufsgesetz 2017 und im Zentralverwahrer-Vollzugsgesetz umgesetzt.

Eine wiederum auf bestimmte Rechtsbereiche des Unionsrecht beschränkte, hinsichtlich der institutionellen Vorkehrungen und des Whistleblowerschutzes jedoch ‚horizontale‘ Regelung des Whistleblowings ist nun mit der Richtlinie 2019/1937/EU zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, gegeben (im Folgenden ‚die Richtlinie‘).

Die Richtlinie wurde am 26.11.2019 im Amtsblatt der Europäischen Union kundgemacht (ABl. Nr. L 305 vom 26.11.2019, S.17) und war bis zum 17.12.2021, hinsichtlich privater Unternehmen in Form juristischer Personen mit 50 bis 249 Beschäftigten ist sie spätestens bis zum 17.12.2023 in innerstaatliches Recht umzusetzen.

Der vorliegende Entwurf dient der Umsetzung dieser Richtlinie. Der Umsetzung liegt das Konzept zugrunde, die Bestimmungen vorerst auf die von der Richtlinie zwingend vorgegebenen Inhalte zu beschränken. Damit sollen die Belastungen, die für kleinere und mittlere Unternehmen mit den neuartigen Einrichtungen zur Ermöglichung des Whistleblowings verbunden sind, geringgehalten werden. Auf der anderen Seite ist im Gesetzentwurf (im Folgenden auch ‚HSchG‘) die Option einer späteren Erweiterung des sachlichen Geltungsbereichs und der Instrumente zur Unterstützung des Whistleblowings enthalten. Über die Option, späterhin über die Umsetzung der Mindestinhalte der Richtlinie hinauszugehen und die gesetzlichen Bestimmungen zu erweitern, ist vom Gesetzgeber nach einer Auswertung der Erfahrungen mit dem HSchG zu entscheiden.

Wie in der Richtlinie steht im Entwurf anstelle des Begriffs ‚Whistleblower‘ ‚Hinweisgeber‘ bzw. ‚Hinweisgeberin‘ und entsprechend anstelle von ‚Whistleblowing‘ ‚Hinweisgebung‘.

Im Wesentlichen sieht der vorliegende Entwurf Folgendes vor:

-       eine klare Abgrenzung der Personen und der Bereiche, die vom Hinweisgeberschutz umfasst sind, durch eine Bestimmung zum Zweck des HSchG, durch Legaldefinitionen, die Festlegungen zum persönlichen und sachlichen Geltungsbereich und zu den Voraussetzungen der Schutzwürdigkeit von Hinweisgeberinnen und Hinweisgebern;

-       regulative Vorkehrungen, um faktisch bereits etablierte Hinweisgebersysteme zu erhalten und bereits vorhandene Spezialbestimmungen zur Hinweisgebung nicht zu unterlaufen;

-       Bestimmungen zum Datenschutz, dem insbesondere im Spannungsverhältnis zwischen dem Schutz der Identität der Hinweisgeberinnen und Hinweisgeber und dem Schutz der Rechte der von Hinweisgebung betroffenen Personen und sonstigen Rechtsträger besondere Bedeutung zukommt;

-       die Einrichtung von Meldestellen für die Hinweisgebung sowohl innerhalb als auch außerhalb eines Rechtsträgers;

-       Verfahren der Behandlung, Dokumentation, Aufbewahrung und Weiterverfolgung von Hinweisen;

-       besondere Maßnahmen des Rechtsschutzes für Hinweisgeberinnen und Hinweisgeber;

-       Verwaltungsstrafbestimmungen für die Behinderung von bzw. die Vergeltung an Hinweisgeberinnen und Hinweisgebern, für wissentliche Falschinformationen durch Hinweisgeberinnen und Hinweisgeber und für die rechtswidrige Preisgabe der Identität von Hinweisgeberinnen und Hinweisgebern;

-       die statistische Erfassung und Auswertung der Erfahrungen mit bisherigen Hinweisen als Grundlage für eine Entscheidung über allfällige spätere gesetzliche Anpassungen.

-       Anpassungen im Dienstrecht im Hinblick und unter Bedachtnahme auf das vorgeschlagene HSchG insbesondere zum Schutz von Hinweisgeberinnen und Hinweisgebern sowie hinsichtlich der Meldepflichten von Leiterinnen und Leitern der Meldestellen

Die einzelnen vorgeschlagenen Maßnahmen sind im Besonderen Teil der Erläuterungen dargestellt.

Kompetenzgrundlage:

In kompetenzrechtlicher Hinsicht stützt sich der vorliegende Entwurf auf Art. 10 Abs. 1 Z 6 (Zivilrechtswesen, Strafrechtswesen), Z 8 (Angelegenheiten des Gewerbes und der Industrie), Z 11 (Arbeitsrecht) und Z 16 B-VG (Einrichtung der Bundesbehörden und sonstigen Bundesämter sowie Dienstrecht und Personalvertretungsrecht der Bundesbediensteten) und auf Art. 11 Abs. 1 Z 9 B-VG (Landarbeitsrecht). Indem der Entwurf vorwiegend Regelungen enthält, die die Rechtsdurchsetzung in bestimmten Rechtsbereichen vorbereiten oder unterstützen, sind diese Regelungen Annexmaterie zu den Rechtsbereichen in der Zuständigkeit des Bundes.

Die Zuständigkeit des Bundes zur Erlassung des vorgeschlagenen Bundesgesetzes ergibt sich

1.     hinsichtlich der Art. 3 bis 5 und 10 (BDG 1979, VBG, RStDG, RPG) aus Art. 10 Abs. 1 Z 16 B-VG (Dienstrecht und Personalvertretungsrecht der Bundesbediensteten),

2.     hinsichtlich der Art. 6 und 8 (LDG 1984, LVG) aus Art. 14 Abs. 2 B-VG (Dienstrecht und Personalvertretungsrecht der Lehrer für öffentliche Pflichtschulen),

3.     hinsichtlich der Art. 7 und 9 (LLDG 1985, LLVG) aus Art. 14a Abs. 3 B-VG (Dienstrecht und Personalvertretungsrecht der Lehrer für öffentliche land- und forstwirtschaftliche Berufs- und Fachschulen).

Besonderer Teil

Zu Artikel 1 (Bundesgesetz über das Verfahren und den Schutz bei Hinweisen auf Rechtsverletzungen in bestimmten Rechtsbereichen (HinweisgeberInnenschutzgesetz – HSchG)):

Zum Titel des Gesetzes:

Anstelle des Ausdruckes ‚Whistleblowing‘ wird der Terminologie der Richtlinie entsprechend ‚Hinweisgeber‘ bzw. ‚Hinweis(gebung)‘ in der Bezeichnung im Kurztitel des Gesetzes und dann in seinen einzelnen Bestimmungen verwendet.

Zu § 1 HSchG:

Zu Beginn des HSchG sollen ausdrücklich Funktion, Zielsetzung und Bedeutung des Gesetzes festgehalten und auf die wesentlichen Gesetzesstellen zur Definition der persönlichen und sachlichen Voraussetzungen aufmerksam gemacht werden. Die Bestimmung ermöglicht damit einen ersten vereinfachten Zugang zur Reichweite und zum Schutzumfang des HSchG.

Zweitens ist die Bestimmung des § 1 für eine Bezugnahme auf den Gesetzeszweck in den Bestimmungen über die Rechtmäßigkeit der Datenverarbeitung geeignet.

Über die weiteren Bestimmungen des HSchG hinausgehende Ansprüche und Verpflichtungen sind aus § 1 nicht ableitbar.

Zu § 2 HSchG:

In enger Anlehnung an Art. 4 der Richtlinie definiert § 2 insgesamt den Kreis jener Personen, die entweder im Zusammenhang mit einem von ihnen gegebenen Hinweis oder weil sie einem bestimmten Umkreis zur Hinweisgebung angehören, Anspruch auf den Schutz nach dem HSchG haben.

Im Hinblick auf die Anwendbarkeit dieses Schutzes bestimmen die Abs. 1 bis 3, welchen Personen sowohl grundsätzlich die institutionellen Zugänge für die Hinweisgebung (interne und externe Meldestellen) offenstehen als auch der vollständige spezifische Rechtsschutz nach dem vierten Hauptstück (Haftungsbefreiung, Beweislastverteilung, Befreiung von Geheimhaltungsverpflichtungen, Schutz vor Vergeltungsmaßnahmen) zugutekommen soll. Entsprechend ausdrücklicher Anordnung in § 11 Abs. 1 ist allerdings nur jenen Personen zwingend Zugang zu einem internen Meldesystem eines Unternehmens, einer Organisationseinheit etc. zu ermöglichen, deren Beschäftigte oder Bedienstete sie sind (§ 11 Abs. 1 iVm § 2 Abs. 1 Z 1).

Bei der Festlegung des Kreises dieser Personen knüpft der Entwurf wie Art. 4 Absatz 1 der Richtlinie an den beruflichen Kontext an: Wer im Rahmen einer beruflichen Tätigkeit von einer Rechtsverletzung Kenntnis erlangt und diese durch einen Hinweis aufdeckt, soll zum Kreis geschützter Hinweisgeberinnen und Hinweisgeber gehören, weil als Folge des Hinweises wirtschaftliche Nachteile für die berufliche Tätigkeit zu befürchten sind. Wirtschaftliche Nachteile sind vor allem dann zu befürchten, wenn eine gewisse wirtschaftliche Abhängigkeit zur Person besteht, auf die sich der Hinweis bezieht. Eine solche wirtschaftliche Abhängigkeit besteht in erster Linie aus einem bestehenden oder angestrebten Arbeitsverhältnis heraus. Aber auch selbständige Geschäftspartner und –partnerinnen einer von einem Hinweis betroffenen Person können sich zur Unterlassung eines Hinweises genötigt sehen, da sie durch die notwendige Verletzung der Vertraulichkeits- und Loyalitätspflicht ihre Geschäftsbeziehung verlieren und wirtschaftliche Nachteile bis zum Geschäftsboykott erleiden können. Die berufliche Verbindung ist es, die selbst bei Anteilseignerinnen und -eignern und Mitglieder in Leitungsgremien eines Rechtsträgers die Befürchtung von Vergeltungsmaßnahmen, finanziellen Einbußen, Einschüchterung oder Mobbing, Eintragung in ‚schwarze Listen‘ oder Rufschädigung substanzieller macht.

Entsprechend der Definition von ‚beruflicher Kontext‘ in Art. 5 Z 9 der Richtlinie ist im Einleitungssatz zu § 2 Abs. 1 festgelegt, dass ein Hinweis den Zeitraum sowohl einer laufenden als auch einer früheren beruflichen Verbindung betreffen kann.

Der für den Personenkreis des § 2 Abs. 1, 2 und 4 gewählte Begriff der ‚beruflichen Verbindung‘ darf nicht zu sehr eingeengt werden, insbesondere nicht auf das Erfordernis einer Vertragsbeziehung zwischen der Hinweisgeberin oder dem Hinweisgeber auf der einen Seite und der vom Hinweis betroffenen Person auf der anderen Seite. Die Richtlinie lässt in diesem Zusammenhang als Eingrenzung des persönlichen Mindestanwendungsbereichs lediglich zu, dass die Information über eine Rechtsverletzung im beruflichen Zusammenhang erlangt wurde, nicht, dass eine direkte vertragliche Verbindung zwischen der hinweisgebenden und der vom Hinweis betroffenen Person vorauszusetzen ist.

Der Voraussetzung einer beruflichen Verbindung entspricht für den Regelsachverhalt, dass der Hinweis die Qualität eines Insiderwissens aufweist, das nur über die berufliche Tätigkeit zu erlangen ist. Die Einschränkung des persönlichen Geltungsbereichs in den Abs. 1 und 2 auf Personen in beruflicher Verbindung führt dazu, dass unbeteiligte Dritte, außenstehende Beschwerdeführerinnen und –führer nicht dem Schutz des HSchG für Hinweisgeber und Hinweisgeberinnen unterliegen.

Zum Personenkreis des § 2 Abs. 1 Z 1 gehören neben Personen in einem privatrechtlichen Arbeitsverhältnis auch öffentlich Bedienstete einschließlich Beamtinnen und Beamte. Vom Arbeitnehmerbegriff des § 2 Abs. 1 Z 1 nicht umfasst sind arbeitnehmerähnliche Personen und freie Dienstnehmerinnen und –nehmer, diese fallen jedoch wie sonstige quasi-selbständige und außerhalb eines Arbeitsverhältnisses stehende Personen in beruflicher Nähe zum Rechtsträger unter die Z 3 des § 2 Abs. 1 (‚selbständig erwerbstätige Personen‘).Überlassene Arbeitskräfte stehen sowohl in beruflicher Verbindung mit Beschäftigerinnen und Beschäftigern als auch mit ihren Arbeitgebern bzw. Arbeitgeberinnen, sodass der Rechtsträger im Sinne des § 2 Abs. 1, auf den sich ein Hinweis bezieht, sowohl Beschäftiger oder Beschäftigerin wie Arbeitgeber oder Arbeitgeberin sein kann.

Abs. 3 definiert jene natürlichen und juristischen Personen im Umfeld einer Hinweisgeberin oder eines Hinweisgebers, die, ohne selbst einen Hinweis nach dem HSchG gegeben zu haben, besonders als Opfer indirekter Vergeltungsmaßnahmen in Betracht kommen. Sie sollen dem Entwurf nach den Bestimmungen des vierten Hauptstücks unterliegen. Eine berufliche Verbindung zur Person, auf die sich der Hinweis bezieht, wird für den Personenkreis des Abs. 3 nicht vorausgesetzt. Zu diesem Personenkreis sind neben den die Hinweisgebung, soweit sie unter das HSchG fällt, aktiv unterstützenden Personen wie Betriebsräte und sonstige Arbeitnehmervertreterinnen und –vertreter vor allem Arbeitskolleginnen und –kollegen, Verwandte der Hinweisgeberin oder des Hinweisgebers sowie juristische Personen im Eigentum der Hinweisgeberin oder des Hinweisgebers zu zählen.

Abs. 4 ist ein Teil der Festlegungen im HSchG zu folgender Problemstellung:

In diesem Punkt ist es unbeachtlich, auf welche Organisation, auf welches Unternehmen, auf welche Organisationseinheit des öffentlichen Dienstes oder auf welche natürliche Person sich der Hinweis bezieht. In Umsetzung der Richtlinie muss das HSchG jedoch auch bestimmen, im Verhältnis zu wem eine berufliche Verbindung Voraussetzung für die Hinweisgebung ist, um zum spezifischen Schutz nach den Umsetzungsbestimmungen zu gelangen. Diesbezüglich regelt das HSchG aus kompetenzrechtlichen Gründen und nach Abstimmung mit den Ländern generell, dass im Bereich des privaten Sektors die Verbindung zu jeglichem Rechtsträger der Privatwirtschaft bestehen oder bestanden haben kann – hinsichtlich des öffentlichen Sektors hingegen nur zu einem Rechtsträger des Bundes. Diese generelle Festlegung ist für Fälle zu spezifizieren, dass eine Hinweisgeberin oder ein Hinweisgeber zwar die Verletzung einer Vorschrift in der Zuständigkeit des Bundes aufzeigt, selbst jedoch einem Rechtsträger des Landes oder einer Gemeinde angehörte oder angehört. Auf solche Fälle ist lediglich ausdrücklich die Anwendbarkeit der HSchG-Bestimmungen zum Schutz der Hinweisgeberinnen und Hinweisgeber auszuweiten – es erfolgt kein Eingriff in die Kompetenz zur Regelung der beruflichen Verbindung als solcher (zum Land, zur Gemeinde etc.). Ohne die ausdrückliche Anordnung des Abs. 4 hingegen bestünde eine Lücke im Hinweisgeberschutz nach dem HSchG in Fällen, in denen zwar ein Hinweis auf die Verletzung einer Vorschrift in der Kompetenz des Bundes gegeben wird, aber die berufliche Verbindung eine andere ist als zu einem Rechtsträger des Bundes.

Zu § 3 HSchG:

Der sachliche Anwendungsbereich hat sich nach der Richtlinie jedenfalls auf Folgendes zu erstrecken:

1.     auf den in der Richtlinie so genannten und nicht näher definierten öffentlichen Sektor sowie auf den in der Richtlinie so genannten und näher eingegrenzten privaten Sektor und

2.     auf Hinweisgebung zu Rechtsbereichen, die in Art. 2 Abs. 1 lit. a) bis c) der Richtlinie allgemein benannt und durch den Verweis des Art. 2 Abs. 1 lit. a) der Richtlinie auf die im Anhang der Richtlinie aufgelisteten Rechtsakte der Union konkretisiert sind.

Die Erstreckung der Umsetzungsvorschriften sowohl auf den öffentlichen wie den privaten Sektor wird im Entwurf erreicht durch die Definitionen der Begriffe ‚juristische Person des öffentlichen Sektors‘ und ‚Unternehmen‘ (§ 5 Z 7 und Z 14) sowie ‚Rechtsträger des öffentlichen Sektors‘ (§ 5 Z 10) und ‚Rechtsträger des privaten Sektors‘ (§ 5 Z 111) in Verbindung mit den Bestimmungen, die den solcherart definierten öffentlichen bzw. privaten Sektor zur Einrichtung interner Meldestellen verpflichten und das Verfahren bei internen und externen Meldestellen regeln.

Auf der Basis dieser Definitionen spiegeln die §§ 11 und 12 die Vorgaben der Richtlinienbestimmungen dazu wider, wer im öffentlichen bzw. privaten Sektor zur Einrichtung interner Meldestellen verpflichtet ist (Art. 8 Abs. 3 und 9 der Richtlinie) und die §§ 11, 12 und 15, auf welche Einheiten des öffentlichen bzw. privaten Sektors sich Hinweisgebung mit Anspruch auf den spezifischen Rechtsschutz des vierten Hauptstücks beziehen kann (Kapitel III der Richtlinie).

Demnach sind zur Einrichtung interner Meldestellen Organisationen in Form juristischer Personen ab 50 Beschäftigten verpflichtet, und zwar:

-       bundesgesetzlich geregelte juristische Personen des öffentlichen Rechts, juristische Personen des privaten Rechts, deren Anteile ganz oder teilweise im Eigentum des Bundes stehen und vom Bund im Allgemeininteresse gegründete juristische Personen mit jeweils 50 oder mehr Bediensteten und

-       sonstige juristische Personen des Privatrechts und eingetragene Personengesellschaften mit jeweils 50 oder mehr Bediensteten. ‚Einzelunternehmen‘, die keine juristischen Personen sind, sind dazu nicht verpflichtet.

§ 3 Abs. 2 trägt den Bestimmungen des Art. 8 Abs. 4 in Verbindung mit Art. 3 Abs. 1 der Richtlinie Rechnung. § 3 Abs. 2 steht dem entsprechend mit der Bestimmung des § 4 Abs. 1 in Zusammenhang, auf welche § 3 Abs. 2 verweist.

Der Problemzusammenhang ist folgender:

Art. 8 Abs. 4 der Richtlinie bestimmt, dass der Schwellenwert von 50 Beschäftigten nicht für juristische Personen gelten soll, die unter die im Anhang in den Teilen I.B und II genannten Unionsrechtsakte fallen. Die Teile I.B und II des Anhangs umfassen auf Unionsebene bestehende Regelungen in den Bereichen Finanzdienstleistungen, Finanzprodukte und Finanzmärkte, Verhinderung von Geldwäsche und Terrorismusfinanzierung sowie Sicherheit in der Zivilluftfahrt, Schifffahrt und Sicherheit von Offshore-Erdöl und –Erdgasaktivitäten.

Für diese Bereiche sieht Art. 3 Abs. 1 der Richtlinie vor, dass, falls sektorspezifische EU-Rechtsakte die Meldung von Verstößen spezifisch regeln, diese sektorspezifischen Regeln als solche gelten und die Richtlinie nicht anzuwenden ist. Nur insoweit eine Angelegenheit des Hinweisgeberschutzes in diesen Bereichen nicht oder nicht verbindlich durch sektorspezifische EU-Rechtsakte geregelt ist, sind die Richtlinienbestimmungen anzuwenden.

Art. 3 Abs. 1 der Richtlinie ist in § 4 Abs. 1 umgesetzt.

Art. 8 Abs. 4 der Richtlinie enthält in ihrem Regelungszusammenhang die Bedeutung, dass der Schwellenwert von 50 Beschäftigten der Richtlinie auch dann nicht gilt, wenn ein Schwellenwert in einem sektorspezifischen Rechtsakt nicht oder nicht verbindlich vorgesehen ist. Wer zur Einrichtung eines sektorspezifischen Meldesystems verpflichtet ist, für das der sektorspezifische Rechtsakt keine Mindestpersonenzahl festlegt, kann sich nicht auf den höheren Schwellenwert von 50 Beschäftigten der Richtlinie berufen.

Aus Art. 8 Abs. 4 der Richtlinie ist hingegen nicht abzuleiten, dass Klein- oder Kleinstunternehmen (mit weniger als 50 Beschäftigten), die zur Einrichtung eines sektorspezifischen Meldesystems verpflichtet sind, dieses den Anforderungen der Richtlinie anzupassen und auch die sonstigen Vorgaben der Richtlinie einzuhalten hätten.

Aus § 3 Abs. 2 resultiert daher in Zusammenhalt mit § 4 Abs. 1, dass in den Bereichen Finanzdienstleistungen, Finanzprodukte und Finanzmärkte, Verhinderung von Geldwäsche und Terrorismusfinanzierung sowie Sicherheit in der Zivilluftfahrt, Schifffahrt und Sicherheit von Offshore-Erdöl und –Erdgasaktivitäten

-       der Schwellenwert von 50 Arbeitnehmerinnen und Arbeitnehmern oder Bediensteten für die Einrichtung interner Meldestellen nicht gilt, wenn die spezifischeren Bestimmungen des Unionsrechts oder die in § 4 Abs. 1 genannten Bundesgesetze zu einem Hinweisgeberschutz einschließlich eines internen Meldesystems unabhängig von einem solchen Schwellenwert verpflichten und

-       auch unterhalb des Schwellenwerts von 50 Arbeitnehmerinnen und Arbeitnehmern oder Bediensteten die Bestimmungen des 2. Hauptstücks über interne Hinweise nicht gelten, wenn Unionsrechtsakte oder die in § 4 Abs. 1 genannten Bundesgesetze die interne Hinweisgebung spezifischer regeln.

§ 3 Abs. 3 regelt den grundsätzlichen sachlichen Geltungsbereich des HSchG.

Der sachliche Geltungsbereich ergibt sich, wie eingangs unter 2. skizziert, aus den Rechtsbereichen, die in Art. 2 Abs. 1 lit. a) bis c) der Richtlinie allgemein benannt bzw. die mittels Verweises in Art. 2 Abs. 1 lit. a) durch Rechtsakte der Union spezifiziert sind.

Jedoch kann dem Entwurf zufolge Gegenstand der Hinweisgebung unter diesen beiden Voraussetzungen jegliche Rechtsverletzung sein, d. h. nicht nur dann, wenn der verletzten Vorschrift Unionsrecht zugrundliegt.

Das Bestreben, den sachlichen Anwendungsbereich im Rahmen der Mindestvorgaben der Richtlinie beschränkt zu halten, steht nämlich zunächst vor folgendem Problem: Wenn auch die Rechtsgebiete des sachlichen Anwendungsbereichs in Art. 2 Abs. 1 lit. a) bis c) der Richtlinie allgemein benannt sind, ist der verpflichtend umzusetzende sachliche Mindestanwendungsbereich nur durch die Gesamtheit der in die Hunderte gehenden Richtlinien definiert, die im Anhang der Richtlinie aufgelistet sind. Die Gesamtheit der aufgelisteten Richtlinien ergibt nämlich möglicherweise einen kleineren Anwendungsbereich als aus der Umgrenzung durch die allgemein benannten Rechtsgebiete. Daher scheint zunächst eine Definition des sachlichen Geltungsbereichs durch Aufzählung aller jener österreichischen Vorschriften, die die Richtlinien des Anhangs umsetzen, unumgänglich zu sein. Eine solche Aufzählung wäre jedoch weder machbar noch zielführend. Allein die im Anhang angeführten Richtlinien zählen an die 200 und sind – wie das Beispiel der im Anhang angeführten Verordnung 2019/1020/EU über Marktüberwachung und die Konformität von Produkten zeigt – um weitere Hunderte, in diesen Richtlinien zusätzlich angeführte Richtlinien zu erweitern. Nachdem die wenigsten Richtlinien nur in einem einzigen Bundesgesetz umgesetzt sind, würde die Aufzählung der den sachlichen Geltungsbereich ergebenden Bundesgesetze aus vielen Hunderten bestehen. Aber selbst durch eine solche Aufzählung wäre nicht gewährleistet, dass der Mindestanwendungsbereich der Richtlinie abgedeckt ist, weil es denkbar ist, dass einzelne der im Anhang aufgelisteten Richtlinien nicht umgesetzt sind.

Zur Lösung dieses Problems übernimmt § 3 Abs. 3 die allgemeine Benennung der Rechtsgebiete und macht sie zum maßgeblichen sachlichen Geltungsbereich. Für diese Lösung spricht auch, dass nachfolgende Änderungen und Erweiterungen des Anhangs der Richtlinie durch bzw. um neue Rechtsakte auf EU-Ebene (wie zuletzt durch die Verordnung (EU) 2020/1503 über Europäische Schwarmfinanzierungsdienstleister für Unternehmen und zur Änderung der Verordnung (EU) 2017/1129 und der Richtlinie (EU) 2019/1937 sowie durch die Verordnung (EU) 2022/1925 über bestreitbare und faire Märkte im digitalen Sektor und zur Änderung der Richtlinien (EU) 2019/1937 und (EU) 2020/1828 (‚Gesetz über digitale Märkte‘)) von den allgemein benannten Rechtsgebieten bereits umfasst sein können. Damit erübrigt sich eine jeweilige nachfolgende Anpassung des Bundesgesetzes zur Umsetzung der Richtlinie.

Abs. 4 und 5 erweitern den grundsätzlichen sachlichen Geltungsbereich des Abs. 3um die in Art. 2 Abs. 1 lit. b) und c) der Richtlinie genannten Tatbestände.

Zu den Rechtsverletzungen zum Nachteil der finanziellen Interessen der Union im Sinne von Artikel 325 des Vertrages über die Arbeitsweise der Europäischen Union (AEUV) zählen Straftaten wie der ausgabenseitige Betrug zum Nachteil der finanziellen Interessen der Europäischen Union nach § 168f StGB (Art. 3 Abs. 2 lit. a und b der Richtlinie 2017/1371 (PIF-Richtlinie)), die missbräuchliche Verwendung von Mitteln und Vermögenswerten zum Nachteil der finanziellen Interessen der Europäischen Union nach § 168g StGB (Art. 4 Abs. 3 PIF-Richtlinie), die Bestechlichkeit nach § 304 StGB, die Vorteilsannahme nach § 305 StGB, die Bestechung nach § 307 StGB und die Vorteilszuwendung nach § 307a StGB (alle jeweils Art. 4 Abs. 2 PIF-Richtlinie). In Bezug auf den einnahmenseitigen Betrug zum Nachteil der finanziellen Interessen der Union kommen der Schmuggel nach § 35 Abs. 1 FinStrG, die Hinterziehung von Eingangsabgaben nach § 35 Abs. 2 und 3 FinStrG, die Abgabenhehlerei gemäß § 37 Abs. 1 FinStrG sowie die Qualifikationen nach § 38a FinStrG (Strafe bei Begehung als Mitglied einer Bande oder unter Gewaltanwendung) und § 39 FinStrG (Abgabenbetrug; Art. 3 Abs. 2 lit. c PIF-Richtlinie) und der grenzüberschreitende Umsatzsteuerbetrug nach § 40 FinStrG (Art. 3 Abs. 2 lit. d PIF-Richtlinie) in Betracht; letztlich auch die Geldwäscherei nach § 165 StGB (Art. 4 Abs. 1 PIF-Richtlinie). Darüber hinaus kommen auch der Betrug nach §§ 146 ff StGB und der Förderungsmissbrauch nach § 153b StGB in Betracht, soweit dadurch die finanziellen Interessen der Union geschädigt wurden oder hätten werden können, sowie die missbräuchliche Vergabe von Mitteln und Vermögenswerten (§§ 153, 302 StGB) und wettbewerbsbeschränkende Absprachen bei Vergabeverfahren (§ 168b StGB), wenn sie zum Nachteil der finanziellen Interessen der Europäischen Union sind.

Der Begriff ‚Verstöße gegen die finanziellen Interessen der Union‘ des Art. 2 Abs. 1 lit. b) der Richtlinie ist jedoch weiter als bloß strafrechtlich relevantes Verhalten; er umfasst auch die ‚Unregelmäßigkeiten‘, also Verhalten, das verwaltungsstrafrechtlich zu ahnden ist oder Anlass für zivilrechtliche Rückforderungsansprüche gibt, sowie Umgehungs- und Scheingeschäfte.

Nach Art. 3 Abs. 2 und 3 der Richtlinie können vom sachlichen Anwendungsbereich des die Richtlinie umsetzenden Gesetzes die in Art. 3 Abs. 2 und 3 der Richtlinie benannten Bereiche ausgenommen werden, wie Angelegenheiten, die wesentliche Sicherheitsinteressen berühren, Verschlusssachen, anwaltliche und ärztliche Verschwiegenheitspflichten, das richterliche Beratungsgeheimnis und das Strafprozessrecht. Dem entsprechend sieht Abs. 6 vor, dass das HSchG die Verschwiegenheitspflichten der gesetzlich geregelten Gesundheitsberufe, der Rechtsanwältinnen und Rechtsanwälte, Notarinnen und Notare sowie der Wirtschaftstreuhandberufe Ausübenden und die Vergabe öffentlicher Aufträge und Konzessionen, die wesentliche Sicherheitsinteressen betreffen, und die Anwendung der Strafprozeßordnung 1975 ab Vorliegen eines Anfangsverdachts (§ 1 Abs. 3 StPO) unberührt lässt.

Verschlusssachen werden im Entwurf nicht schlechthin von den Regelungen zur Hinweisgebung ausgenommen, sondern der Entwurf macht die Rechtmäßigkeit einer auf Verschlusssachen bezogenen Hinweisgebung von der Einhaltung der für klassifizierte Informationen geltenden Standards abhängig. Wenn im Hinweis eine Information, Material oder eine Nachricht, die oder das entsprechend § 3 Z 39 des Bundesvergabegesetzes Verteidigung und Sicherheit 2012 oder § 2 der Informationssicherheitsverordnung besonders zu schützen sind, verwendet wird, muss er den objektiven und subjektiven Anforderungen des § 6 Abs. 2 im Entwurf gerecht werden, um rechtmäßig zu sein.

Eine Einschränkung des sachlichen Geltungsbereichs resultiert zudem aus der Bestimmung des § 4 Abs. 1 (s. dazu sogleich).

Zu § 4 HSchG:

Vor allem größere Unternehmen und österreichische Tochterunternehmen internationaler Konzerne haben schon seit einigen Jahren aus eigenem Antrieb Whistleblowersysteme implementiert. Auf gesetzlicher und Verordnungsbasis verpflichtet geregelt ist die Ermöglichung der Hinweisgebung bereits in einer Reihe von Bundesgesetzen und Verordnungen für ausgewählte Wirtschaftssektoren. Diese Bundesgesetze und Verordnungen setzen Unionsrechtsakte um, die vor allem zur Verhinderung von Geldwäsche und Terrorismusfinanzierung erlassen wurden.

Aufgabe des Entwurfes ist es daher, das Verhältnis des in Umsetzung der Richtlinie horizontal angelegten HSchG zu den bereits faktisch bestehenden bzw. aufgrund besonderer Vorschriften vorgesehenen Hinweisgebersystemen klarzustellen. Der Entwurf geht vom Grundsatz aus, dass die schon bewährten Hinweisgebersysteme unverändert fortgeführt werden sollen, soweit sie mit der Richtlinie vereinbar sind.

Die Richtlinie selbst regelt in Art. 3 Abs. 1 das Verhältnis zu jenen Unionsrechtsakten mit spezifischem Bezug zu Hinweisgebersystemen, die im Teil II des Anhangs zur Richtlinie aufgelistet sind. Davon müssen die unmittelbar anwendbaren Unionsrechtsakte und die Unionsrechtsakte umsetzenden Bundesgesetze Art. 3 Abs. 1 der Richtlinie entsprechend insoweit abweichend vom Gesetz gelten, als eine Materie mit Bezug zur Hinweisgebung durch einen unmittelbar anwendbaren Unionsrechtsakt verbindlich geregelt ist oder durch die spezifischen Bundesgesetze geregelt ist. Die entsprechenden Bundesgesetze sind in Abs. 1 aufgezählt.

Daraus ergibt sich, dass der sachliche Geltungsbereich des HSchG auch nach Maßgabe der unmittelbar anwendbaren Unionsrechtsakte im Teil II des Anhangs zur Richtlinie und der in Abs. 1 aufgezählten Bundesgesetze eingeschränkt ist.

Abs. 2 regelt das Verhältnis zu anderen, nicht in Abs. 1 erwähnten, auch künftigen Rechtsvorschriften, die Bestimmungen zur Hinweisgebung enthalten. Für diesen Zusammenhang in Frage kommen derzeit z. B. § 2a Abs. 6 Staatsanwaltschaftsgesetz iVm § 20a Abs. 1 Strafprozessordnung über das internetbasierte Hinweisgebersystem der Zentralen Staatsanwaltschaft zur Verfolgung von Wirtschaftsstrafsachen und Korruption und die Bestimmungen des § 31c Abs. 5 Glücksspielgesetz und der darauf zu erlassenden Verordnung. Das Verhältnis zu diesen Vorschriften wird im Sinn eines Günstigkeitsprinzips und des Vorrangs der spezifischeren Regelung festgelegt.

Abs. 3 bezieht das Günstigkeitsprinzip und den Vorrang der spezifischeren Ausgestaltung auch auf das Verhältnis zu tatsächlich bestehenden oder künftig eingerichteten Hinweisgebersystemen.

Abs. 4 sieht in Umsetzung des Art. 24 der Richtlinie vor, dass im Rahmen vertraglicher Beziehungen die Bestimmungen des HSchG als zwingendes Recht anzusehen und nicht entgegen den Grundsätzen der Günstigkeit oder des Vorrangs der speziellen Regelung oder Ausgestaltung abdingbar sind.

Zu § 5 HSchG:

Zum Zweck einer wesentlichen Textverknappung und um den Zentralbegriffen der Richtlinie in den Umsetzungsvorschriften einen möglichst eindeutigen Inhalt zu geben, enthält der Entwurf in § 5 eine Reihe von Legaldefinitionen. Dabei handelt es sich zum Teil (z. B. bei den Begriffen ‚interne‘ oder ‚externe Stelle‘, ‚Unternehmen‘, ‚juristische Person des öffentlichen Sektors‘, ‚Rechtsträger‘) um eigens für die speziellen Regelungszwecke des HSchG gewählte Festlegungen der Begrifflichkeit und ihrer Bedeutung.

Besonders zu erläutern wären folgende Begriffe:

Zu Z 7: Der Begriff ‚juristische Person des öffentlichen Sektors‘ entspricht diesem Begriff in der Richtlinie (z. B. in Art. 8 Abs. 9 der Richtlinie). In Umsetzung der Richtlinie spielt der Bedeutungsumfang von ‚juristischer Person des öffentlichen Sektors‘ vor allem eine Rolle hinsichtlich der Verpflichtung zur Einrichtung interner Meldestellen (erstes und zweites Hauptstück des HSchG). Nach der Richtlinie ist die öffentliche Hand (Hoheitsverwaltung und näher zu bestimmende Privatwirtschaftsverwaltung) zur Einrichtung interner Meldestellen verpflichtet, dies jedoch nur hinsichtlich der Organisationseinheiten in Form juristischer Personen und, soweit gesetzlich so vorgesehen, nur wenn sich diese Organisationseinheiten aus mindestens 50 Bediensteten zusammensetzen.

Die Festlegung des Bedeutungsumfangs in Z 7 ist Ergebnis folgender Überlegungen: Das öffentliche Auftragswesen (Art. 2 Abs. 1 lit. a) sublit. i) der Richtlinie) ist ein wichtiger Teil des sachlichen Anwendungsbereichs der Richtlinie. Daher können zur Konkretisierung des unionsrechtlichen Begriffs ‚öffentlicher Sektor‘ bzw. ‚juristische Person des öffentlichen Sektors‘ explizitere Begriffsverwendungen im Zusammenhang der unionsrechtlichen Regelung der öffentlichen Auftragsvergabe herangezogen werden. Art. 2 Abs. 1 Z 1 und 4 der Richtlinie 2014/24/EU über die öffentliche Auftragsvergabe ist insofern einschlägig, als der Begriff ‚öffentlicher Auftraggeber‘ und, diese einschließend, ‚Einrichtungen des öffentlichen Rechts‘ definiert werden. Diese Definitionen übernimmt § 4 Abs. 1 des Bundesvergabegesetzes 2018, sodass innerstaatlich bereits eine vergleichbare und geeignete Grundlage für die Definition des öffentlichen Sektors im Sinne der Richtlinie gegeben ist.

Die vorgeschlagene Definition der ‚juristischen Person des öffentlichen Sektors‘ im HSchG beruht daher auf § 4 Abs. 1 des Bundesvergabegesetzes 2018 und umfasst Rechtsträger der Hoheits- und der Privatwirtschaftsverwaltung im Umfang dieser Bestimmung, soweit sie juristische Personen sind.

Zu Z 10 und 11:

Die Verwendung der Begriffe ‚Rechtsträger des öffentlichen Sektors‘ und ‚Rechtsträger des privaten Sektors‘ dient einer begrifflichen Zusammenfassung jener in der Richtlinie geregelten Sachverhalte, in denen ein Kreis natürlicher oder juristischer Personen von der Hinweisgebung betroffen ist: Der Entwurf geht der hM (z. B. der in der EU-Expertengruppe zur Umsetzung der Richtlinie von der Kommission und den Mitgliedstaaten vertretenen Standpunkte) entsprechend davon aus, dass die Richtlinie für die Mitgliedstaaten verpflichtend interne Meldestellen nur für den öffentlichen und privaten Sektor in der Form juristischer Personen vorsieht und nur dann, wenn die jeweilige Organisationseinheit mindestens 50 Beschäftigte aufweist.

Die Begriffe ‚Rechtsträger des öffentlichen Sektors‘ und ‚Rechtsträger des privaten Sektors‘ haben daher den in Z 10 und 11 definierten weiteren Umfang als die Begriffe ‚juristische Person des öffentlichen Sektors‘ in Z 7 und ‚Unternehmen‘ in Z 14 und sind im Regelungszusammenhang des persönlichen Geltungsbereichs und der Einrichtung und des Verfahrens der externen Stellen erforderlich.

Zur Abgrenzung des ‚privaten Sektors‘ vom ‚öffentlicher Sektor‘ s. zu Z 14.

Zu Z 12: Der Begriff ‚Rechtsverletzung‘ steht anstelle des in der Richtlinie verwendeten Begriffs ‚Verstoß‘, umfasst aber wie dieser im Sinne des Art. 5 Z 1 lit. ii) der Richtlinie auch Zuwiderhandlungen gegen das Ziel oder den Zweck einer Rechtsvorschrift. Indem ‚Rechtsverletzung‘ auf § 3 Abs. 3 bis 5 verweist, ist der Begriff auch zentral für die Festlegung an mehreren anderen Stellen des Gesetzes (§ 2 Abs. 4, § 15 Abs. 2 und 3), zu regeln. Entsprechend dem in Z 4 definierten Begriff ‚Hinweis‘ bzw. ‚Hinweisgebung‘ kann der Hinweis auch in der Behauptung einer erst bevorstehenden Rechtsverletzung, der Verschleierung oder des Versuchs der Verschleierung einer Rechtsverletzung bestehen.

Zu Z 14: Wie der Begriff ‚juristische Person des öffentlichen Sektors‘ für den öffentlichen Sektor umfasst der Begriff ‚Unternehmen‘ für den privaten Sektor jene Organisationseinheiten in Form juristischer Personen, die ab einer Größe von 50 Beschäftigten zur Einrichtung interner Meldestellen verpflichtet sind. Dabei ist die Definition des ‚privaten Sektors‘ und des ‚Rechtsträgers des privaten Sektors‘ wie die des ‚Unternehmens‘ (als Teilmenge des ‚Rechtsträgers des privaten Sektors‘) negativ, in Abgrenzung von dem begriffsinhaltlich positiv in Z 7 definierten öffentlichen Sektor festgelegt: Alle Organisationseinheiten in Form juristischer Personen, die nicht juristische Personen oder sonstige Rechtsträger des öffentlichen Sektors sind, sind ‚Unternehmen‘.

Unter den Begriff ‚Unternehmen‘ fallen iSd Entwurfs daher nicht nur gewinnorientiert, gewerblich, wirtschaftlich etc. tätige Unternehmen iSd § 1 Abs. 2 Unternehmensgesetzbuch, sondern auch juristische Personen wie Vereine und gemeinnützige Organisationen.

Zu § 6 HSchG:

Im Entwurf sind in § 6 die Voraussetzungen dafür geregelt, dass eine Hinweisgeberin oder ein Hinweisgeber sich auf die institutionellen Vorkehrungen und den spezifischen Rechtsschutz nach dem HSchG berufen können.

Abs. 1 enthält dazu einen Rahmen objektiver und subjektiver Sachverhaltsmerkmale. Mit der aus Erwägungsgrund (32), Art. 6 Abs. 1 lit. a), Art. 15 Abs. 1 lit. b) und Art. 21 Abs. 7 der Richtlinie entnommenen Wortfolge ‚auf der Grundlage der tatsächlichen Umstände und der ihnen verfügbaren Informationen hinreichende Gründe dafür annehmen können‘ besteht der Rahmen der Schutzwürdigkeit von Hinweisgeberinnen und Hinweisgebern aus folgenden Elementen, die sämtlich vorhanden sein müssen:

-       Der Hinweisgeberin oder dem Hinweisgeber liegt eine Information vor, die nach allgemeiner Erfahrung Richtigkeit für sich beanspruchen kann.

-       Die Information stellt einen Sachverhalt fest, der als solcher, wenn er tatsächlich vorliegt, nach allgemeiner Erfahrung und mit durchschnittlichem Allgemeinwissen, das juristische Kenntnisse nicht notwendig einschließt, den Verdacht einer Rechtsverletzung nahelegt.

-       Die Hinweisgeberin oder der Hinweisgeber ist subjektiv von der Richtigkeit der Information und der Verwirklichung des Sachverhalts überzeugt.

-       Die Hinweisgeberin oder der Hinweisgeber kann bei ungefährer Kenntnis der Vorschriften des HSchG annehmen, dass sie oder er zu den Personen gehört, die in den persönlichen Geltungsbereich des § 2 Abs. 1 und 2 fallen und dass die vermutete Rechtsverletzung in einen der Rechtsbereiche des § 3 Abs. 3 HSchG fällt.

Nach § 6 Abs. 1 ist daher der Maßstab an die Sorgfalt, die eine Hinweisgeberin oder ein Hinweisgeber anzuwenden hat, um den Schutz des HSchG in Anspruch nehmen zu können, sowohl an die Annahme von Tatsachen als auch an die Prüfung anzulegen, ob der Hinweis unter das HSchG fällt. Bei der letztgenannten rechtlichen Einschätzung ist vom Wissenshorizont eines nicht rechtskundigen Menschen auszugehen, der sich mit den Grundzügen des Gesetzes auseinandergesetzt hat. Gelangt eine Hinweisgeberin oder ein Hinweisgeber aufgrund der nach § 10 zu erstellenden Informationen nachvollziehbar – wenn auch unzutreffend – zum Schluss, dass für einen ein Hinweis das HSchG anwendbar ist, ist die Sorgfalt bei der Einschätzung der Anwendbarkeit des HSchG gewahrt.

Wenn diese Voraussetzungen erfüllt sind, hat die Hinweisgeberin oder der Hinweisgeber einen Anspruch auf Befassung der internen und der externen Stellen nach dem zweiten und dritten Hauptstück und ab dem Zeitpunkt der Abgabe des Hinweises einen Anspruch auf den spezifischen Rechtsschutz nach dem vierten Hauptstück des HSchG.

Dass ein Hinweis unter diesen Voraussetzungen einer nicht zuständigen Stelle gegeben wurde oder dass sich ein unter diesen Voraussetzungen gegebener Hinweis nach der Überprüfung durch eine interne oder externe Stelle als unrichtig oder nicht dem HSchG unterliegend erweist, kann diese Ansprüche der Hinweisgeberin oder des Hinweisgebers nicht beseitigen.

Das HSchG steht der Ermöglichung anonymer Hinweisgebung nicht entgegen. . Abs. 3 normiert entsprechend Art. 6 Abs. 3 der Richtlinie, dass der einer internen oder externen Stelle gegebene anonyme Hinweis, der aufgrund seiner Weiterleitung die Identität der Hinweisgeberin oder des Hinweisgebers bekannt machte, die Ansprüche einer Hinweisgeberin oder eines Hinweisgebers nach dem HSchG begründet. Dies gilt selbst dann, wenn eine anonyme Hinweisgebung bei der internen Stelle nicht vorgesehen ist.

Der Entwurf bezweckt nicht nur den Hinweisgeberschutz bei Abgabe stichhaltiger Hinweise, sondern auch die Hintanhaltung von Hinweisen, die nicht auf Tatsachen beruhen oder die trotz Kenntnis ihrer Unrichtigkeit gegeben werden. Abs. 4 sieht daher ein Instrument der unmittelbaren Zurückweisung offenkundig unberechtigter Hinweise vor, auf die auch die Bestimmungen der §§ 13 Abs. 6 und 17 Abs. 3 über das Verfahren bei den internen und externen Stellen verweisen.

Zu § 7 HSchG:

Wesentlicher Inhalt rechtlicher Grundlagen der Hinweisgebung sind der Schutz der Identität der an der Hinweisgebung beteiligten oder von ihm betroffenen Personen und der Schutz ihrer personenbezogenen Daten.

Zunächst ist die Wahrung der Vertraulichkeit der Identität von Hinweisgeberinnen und Hinweisgebern während der Abgabe eines Hinweises und seiner Überprüfung eine wesentliche Vorsorgemaßnahme gegen Vergeltungsmaßnahmen. Andererseits ist die Identität von einem Hinweis betroffener Personen unter dem Gesichtspunkt zu schützen, dass sich Hinweise als falsch herausstellen können. Über den Kreis der unmittelbar mit einem Hinweis befassten Personen hinaus sollte die Identität von Hinweisgeberinnen und Hinweisgebern oder betroffener Personen nur dann offen gelegt werden können, wenn dies im Rahmen behördlicher Untersuchungen, im Rahmen eines verwaltungsbehördlichen oder gerichtlichen Verfahrens oder eines Ermittlungsverfahrens nach der StPO im Hinblick auf die Stichhaltigkeit und Schwere der erhobenen Vorwürfe und im Hinblick auf eine Gefährdung der Person der Hinweisgeberin oder des Hinweisgebers verhältnismäßig ist.

Die Entscheidung, ob und inwieweit die Offenlegung der Identität angesichts des für Hinweisgeber oder Hinweisgeberin bestehenden Risikos, Repressalien ausgesetzt zu sein, unerlässlich und im Hinblick auf die erwartbaren Ergebnisse des Verfahrens verhältnismäßig ist, obliegt der verfahrensleitenden Behörde. Zum Verständnis des Begriffs ‚unerlässlich‘ können vergleichbare Regelungen im Zusammenhang des Ermittlungsverfahrens nach der StPO herangezogen werden (vgl. §§ 13 Abs. 2, 158 Abs. 2, 161 Abs. 3 StPO).

§ 7 Abs. 6 stellt für den Fall, dass durch einen Hinweis klassifizierte Informationen offengelegt werden, klar, dass die in Vorschriften wie dem Informationssicherheitsgesetz, der Informationssicherheitsverordnung oder dem Bundesvergabegesetz Verteidigung und Sicherheit 2012 enthaltenen Standards zum Schutz klassifizierter Informationen eingehalten werden müssen.

Art. 16 Abs. 4 der Richtlinie entsprechend sieht § 7 Abs. 7 vor, dass Geschäftsgeheimnisse nur im für das Aufgreifen des Hinweises erforderlichen Ausmaß ausgewertet oder preisgegeben werden dürfen. Ist es beispielsweise erforderlich, dem Hinweis einen ein Geschäftsgeheimnis beinhaltenden Vertrag beizugeben, dürfen nur die Seiten des Vertrags abgelichtet werden, die für die Überprüfung des Hinweises gebraucht werden.

Abs. 6 und 7 stellen entsprechende Anforderungen an die Sorgfalt in Fällen, in denen mit der Hinweisgebung die Verwendung klassifizierter Informationen oder von Geschäftsgeheimnissen einhergeht. Beide Maßstäbe gelten auch für die Hinweisgebung im Wege einer Veröffentlichung (Abs. 6 und 7 iVm § 5 Z 4 und 15).

Zu § 8 HSchG:

Für die im Regelungszusammenhang essenzielle Verarbeitung personenbezogener Daten muss entsprechend der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DSGVO), ABl. Nr. L 119 vom 04.05.2016 S. 1, zuletzt berichtigt durch ABl. Nr. L 74 vom 04.03.2021 S. 35 (Datenschutz-Grundverordnung – DSGVO) eine ausreichende gesetzliche Grundlage geschaffen werden.

Das HSchG ist diese gesetzliche Grundlage und regelt die Verarbeitung von Daten zur Auswertung und Weiterverfolgung eines Hinweises. § 8 ermächtigt dazu die zuständigen Stellen, gemäß Art. 6 Abs. 1 lit. c und e, Art. 9 Abs. 2 lit. g und Art. 10 DSGVO bzw. §§ 38 und 39 Datenschutzgesetz die erforderlichen personenbezogenen Daten für Zwecke des HSchG im erforderlichen Ausmaß zu verarbeiten.

In § 8 HSchG ist dazu im Einzelnen bestimmt,

-       welche personenbezogenen Daten in welchem Umfang und zu welchem Zweck verarbeitet werden dürfen,

-       wer zur Datenverarbeitung und zur Einrichtung von Hinweisgebersystemen datenschutzrechtlich ermächtigt ist,

-       wer die für die Datenverarbeitung Verantwortlichen sind,

-       die Voraussetzungen der Verarbeitung besonderer Kategorien von Daten (Art. 9 Abs. 1 DSGVO),

-       die Verpflichtungen zur Löschung bzw. zur Datenaufbewahrung,

-       die Protokollierung von Datenverarbeitungen sowie die Aufbewahrung von Protokolldaten.

Die gesetzliche Grundlage muss zudem auf das Spannungsverhältnis zwischen einerseits der Gefahr eingehen, die für Hinweisgeberinnen und Hinweisgeber und eine wirksame Verfolgung ihres Hinweises bei einer Bekanntgabe ihrer Daten entstünde, und andererseits den datenschutzrechtlichen Ansprüchen der von einem Hinweis betroffenen Person Rechnung tragen (Recht auf Geheimhaltung der personenbezogenen Daten, Recht auf Auskunft, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung, und Widerspruchsrecht).

Zum Zweck der Ermittlung und Verfolgung der in einem Hinweis vorgeworfenen Rechtsverletzung und des Hinweisgeberschutzes ist es unumgänglich, die datenschutzrechtlichen Ansprüche der von einem Hinweis betroffenen Person im Einklang mit Art. 23 DSGVO einzuschränken. Die gesetzliche Grundlage dafür ist Abs. 9.

Abs. 11 regelt die Verpflichtung zur Datenaufbewahrung. Wie der Verpflichtung zur Aufbewahrung der Protokolldaten in Abs. 12 liegt dieser Regelung und der Bemessung der Speicherfrist die Überlegung zugrunde, dass einerseits der Hinweisgebung zivil- oder strafgerichtliche sowie verwaltungsbehördliche Verfahren nachfolgen können, womit ja auch ein eigener Teil (Kapitel VI) der Richtlinie begründet ist. Andererseits ist in anderen bundesgesetzlichen Vorschriften eine nur wenige Monate oder höchstens Jahre betragende Speicherfrist vorgesehen. Die Festlegung der Speicherfrist auf 5 Jahre (Abs. 11) bzw. 3 weitere Jahre für die Protokolldaten (Abs. 12) ist daher an Verjährungsfristen des materiellen und verfahrensrechtlichen gerichtlichen und Verwaltungsstrafrechts orientiert, ohne allfällig längeren zivilrechtlichen Verjährungsfristen oder der Möglichkeit eines weiter in der Zukunft liegenden Verfahrens infolge Unterbrechung der Verjährung Rechnung zu tragen.

Dem Entwurf ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO beigegeben. In Entsprechung zu Abs. 10 des Art. 35 DSGVO wird festgestellt, dass für einzelne Verarbeitungstätigkeiten aufgrund des HSchG von einer eigenen konkreten Datenschutz-Folgenabschätzung abgesehen werden kann. Die Einräumung dieser Möglichkeit ist in Abs. 13 gesetzlich normiert.

Zu § 9 HSchG:

Der Entwurf enthält in § 9 Bestimmungen zu der in Art. 18 der Richtlinie geregelten Bestätigung des Eingangs eines Hinweises, der Aufzeichnung oder Protokollierung und weiterer Vorgänge der Abgabe eines Hinweises bei einer internen oder externen Stelle.

Aufgrund der im Entwurf vorgeschlagenen §§ 13 Abs. 5 und 17 Abs. 2 HSchG haben Hinweisgeberinnen und Hinweisgeber das Recht auf persönliche Zusammenkunft zur Besprechung des Hinweises mit einem Mitarbeiter oder einer Mitarbeiterin der internen und externen Stelle innerhalb von 14 Tagen. In diesem Zusammenhang regelt § 9 Abs. 4 HSchG Art. 18 Abs. 4 der Richtlinie entsprechend, ob und inwieweit das mündliche Gespräch dokumentiert werden kann.

§ 9 HSchG ist, mit Ausnahme geringfügiger, der Richtlinie entsprechender Anpassungen nahezu identisch mit der Bestimmung des § 160 Börsegesetz 2018 (früher § 48i Börsegesetz 1989 idF BGBl I Nr. 76/2016), insoweit diese Bestimmung eine bereits bewährte innerstaatliche Umsetzung jener Bestimmungen der Durchführungsrichtlinie (EU) 2015/2392 der Kommission zur Verordnung (EU) Nr. 596/2014 ist, die gleichlautend mit Art. 8 der Richtlinie sind.

Zu § 10 HSchG:

In § 10 HSchG werden jene Bestimmungen zusammengeführt, die entweder die zur Einrichtung interner Stellen verpflichteten juristischen Personen des privaten oder des öffentlichen Sektors oder die externen Stellen zur Zurverfügungstellung der Informationen verpflichten, welche die Hinweisgebung unterstützen sollen. Diesen Umsetzungsvorschriften liegen die Bestimmungen des Art. 7 Abs. 3 und Art. 13 der Richtlinie zugrunde. Die Verpflichtung interner Stellen nach Abs. 1, Informationen zur Hinweisgebung zur Verfügung zu stellen, gilt auch für die Stellen der internen Hinweisgebung des öffentlichen Sektors entsprechend § 12.

Zu § 11 HSchG:

Ein wesentlicher Inhalt der neuen Bestimmungen der Richtlinie und im Entwurf zum Whistleblowing besteht in seiner institutionellen Verankerung. Aufgrund des Art. 8 Abs. 3 und 9 der Richtlinie sind zumindest juristische Personen des Privatrechts und des öffentlichen Sektors mit 50 und mehr Beschäftigten verpflichtet, innerhalb ihrer Organisation Meldekanäle (‚interne Stellen‘ iSd § 5 Z 6 HSchG) einzurichten, denen bestimmte Aufgaben zugewiesen und denen in qualitativer Hinsicht in Grundzügen Beschaffenheit und Arbeitsweise vorgegeben wird.

Zugang zu den internen Meldestellen haben alle in § 2 Abs. 1 Z 1 genannten Personen, d. h. alle Arbeitnehmerinnen und Arbeitnehmer oder Bedienstete der Organisation sowie alle an die Organisation überlassenen Arbeitskräfte. Zu den zugangsberechtigten Arbeitnehmerinnen und Arbeitnehmer zählen auch Lehrlinge – in diesem Zusammenhang ungeachtet der Z 2 des § 2 Abs. 1 (‚Auszubildende‘), weil sie arbeitsrechtlich dieser Gruppe zuzuordnen sind. Die Einschränkung des Zugangs auf die Personengruppe des § 2 Abs. 1 Z 1 folgt Art. 8 Abs. 2 erster Satz der Richtlinie.

Von dieser eingeschränkten Zugangsberechtigung zu unterscheiden ist der Schutz für alle Hinweisgeberinnen und Hinweisgeber im Vollumfang des § 2 Abs. 1, 2 und 4. In Fällen, in denen sich eine Hinweisgeberin oder ein Hinweisgeber im Sinne des § 2 Abs. 1, 2 oder 4 an eine interne Stelle wendet, ohne zum Zugang zu dieser nach § 11 Abs. 1 berechtigt zu sein, kommen auch dieser Hinweisgeberin oder diesem Hinweisgeber unter den Voraussetzungen der Schutzwürdigkeit nach § 6 die Schutzbestimmungen des 4. Hauptstücks zugute. Dies ist analog aus § 6 Abs. 3 abzuleiten, wonach ein zunächst nicht zwingend entgegenzunehmender anonymer Hinweis unter bestimmten Umständen schutzwürdig wird.

§ 11 regelt allgemeine Anforderungen an die interne Hinweisgebung für den privaten und den öffentlichen Sektor gemeinsam.

Aus der Sicht der Kompetenzverteilung zwischen Bund und Ländern ist durch das HSchG (vom Bund) die interne Hinweisgebung zu regeln:

-       für alle rechtsfähigen Personenvereinigungen der Privatwirtschaft (‚Unternehmen‘ im Sinne des § 5 Z 14) und

-       für die juristischen Personen des öffentlichen Sektors im Sinne des § 5 Z 7.

Die Länder, Städte und Gemeinden haben daher die interne Hinweisgebung in juristischen Personen des öffentlichen Sektors, die landesgesetzlich eingerichtet sind oder sonst nicht unter die Definition des § 5 Z 7 fallen, selbst zu regeln.

Hinsichtlich der Parlamentsdirektion, der Volksanwaltschaft, des Rechnungshofes, des Verfassungsgerichtshofes, des Verwaltungsgerichtshofes und der Präsidentschaftskanzlei geht der Entwurf davon aus – die Schwelle von 50 Arbeitnehmerinnen und Arbeitnehmern ist jeweils überschritten – dass jeweils eine Stelle eingerichtet werden muss, die interne Hinweisgebung ermöglicht. Mit Blick auf verfassungsgesetzliche Regelungen zur Diensthoheit ist die interne Stelle für die dort genannten Organe eigens in § 12 Abs. 3 grundgelegt (s. dazu des Weiteren zu § 12).

Der Nationalrat und der Bundesrat als Organe der Gesetzgebung des Bundes (Parlamentskammern bestehend aus den gewählten Mitgliedern) fallen nicht unter den Begriff ‚Juristische Person des öffentlichen Sektors‘ des § 11 Abs. 1.

Aus den im Entwurf vorgeschlagenen Bestimmungen resultiert – für Wirtschaftseinheiten der Privatwirtschaft in möglichst enger Anlehnung an die Mindestvorschriften der Richtlinie –

-       dass juristische Personen des Privatrechts, rechtsfähige Personengesellschaften sowie auf Bundesebene bestehende juristische Personen im Bereich der Hoheits- und der Privatwirtschaftsverwaltung,

-       für die jeweils von ihrem Tätigkeitsfeld her die Möglichkeit besteht, dass sie von Hinweisen auf den Gebieten des § 3 Abs. 2 bis 4 betroffen sein können, und zwar

-       juristische Personen des Privatrechts, rechtsfähige Personengesellschaften mit mindestens 50, aber weniger als 250 Beschäftigten spätestens ab 17. Dezember 2023 und

-       juristische Personen des Privatrechts, rechtsfähige Personengesellschaften mit mindestens 250 Beschäftigten spätestens sechs Monate nach dem Inkrafttreten dieses Bundesgesetzes sowie

-       auf Bundesebene bestehende juristische Personen im Bereich der Hoheits- und der Privatwirtschaftsverwaltung spätestens sechs Monate nach dem Inkrafttreten dieses Bundesgesetzes,

-       organisationsinterne Meldekanäle für mögliche Hinweise einrichten müssen.

Zur Berechnung der Zahl der Beschäftigten in Unternehmen und juristischen Personen des öffentlichen Sektors mit wechselnder Belegschaftsstärke (z. B. in Saisonbetrieben) enthält § 11 Abs. 2 eine Regelung, die § 15h Abs. 3 Mutterschutzgesetz, BGBl. Nr. 221/1979, zuletzt geändert durch BGBl. I Nr. 87/2022, zum Vorbild hat.

Hat ein Unternehmen einen Sitz auch im Ausland oder beschäftigt ein Unternehmen – etwa im Wege der Arbeitnehmerentsendung oder Arbeitskräfteüberlassung – Arbeitnehmer oder Arbeitnehmerinnen auch im Ausland, so sind auf die Anzahl alle Arbeitnehmerinnen und Arbeitnehmer mit gewöhnlichem Arbeitsort in Österreich anzurechnen.

Abs. 1 geht vom Grundgedanken aus, dass es durchaus im Interesse der Organisationen selbst liegt, die internen Stellen so attraktiv zu gestalten, dass sich Hinweisgeberinnen und Hinweisgeber in erster Linie an die interne Stelle wenden und nicht an einen externen Meldekanal: Erstens bringt es für die Organisation Vorteile, wenn ihr die Möglichkeit belassen bleibt, sich um rechtskonforme Vorgänge selbst zu bemühen. Zweitens sind interne Hinweise oft gerade Anzeichen einer Verbundenheit mit dem Funktionieren der Organisation insgesamt und der Bereitschaft, diese konstruktiv mitzugestalten. Und drittens können Hinweise auf Rechtsverletzungen eine negative Bekanntheit der Organisation in der Öffentlichkeit zur Folge haben, wenn sie unmittelbar einer externen Stelle gegeben werden.

Für die Nichteinrichtung der internen Stelle bei einer dazu nach Abs. 1 verpflichteten Organisation ist nicht wie für die Behinderung der Hinweisgebung, für Vergeltungsmaßnahmen, die rechtswidrige Preisgabe persönlicher Daten oder wissentliche Falschmeldungen im Zusammenhang mit einer Hinweisgebung eine Strafdrohung vorgesehen. Die Organisation hat jedoch, wenn sie keine interne Stelle vorsieht, zu gewärtigen, dass Hinweisgeberinnen und Hinweisgeber unmittelbar an die externe Stelle herantreten.

In gesellschaftsrechtlichen Vorschriften (z. B. § 70 Abs. 1 iVm § 84 Abs. 1 Aktiengesetz, § 25 Abs. 1 GmbH-Gesetz) sind Sorgfaltspflichten der jeweiligen Geschäftsleitung (Vorstand, Geschäftsführung) normiert. Die hA leitet aus der Sorgfaltspflicht auch die Verpflichtung ab, bei Bekanntwerden von Gesetzesverstößen Untersuchungen einzuleiten und Handlungen zur Wiedererlangung des rechtskonformen Zustands zu setzen. Über wichtige Anlässe muss die Geschäftsleitung überdies dem Aufsichtsrat berichten (z. B. § 81 Aktiengesetz, § 28a GmbH-Gesetz).

Die Einrichtung eines internen Hinweisgebersystems kann das Bekanntwerden substanzieller Verstöße befördern – etwa wenn das interne Hinweisgebersystem eine solche Information der Geschäftsleitung über Hinweise vorsieht, die bei gleichzeitiger Wahrung der Vertraulichkeit und des Schutzes der Identität der Hinweisgeberin oder des Hinweisgebers möglich ist. Daraus darf aber nicht abgeleitet werden, dass mit dem Entwurf die Sorgfaltspflicht des Vorstands einer Aktiengesellschaft oder des Geschäftsführers einer GmbH erhöht oder vermindert wird. Die gesellschaftsrechtlichen Untersuchungs-, Kontroll- und Berichtspflichten bleiben auch im Anwendungsbereich des HSchG vollumfänglich unverändert aufrecht.

Zu § 12 HSchG:

In § 12 wird vorgeschlagen, die interne Hinweisgebung für alle Organisationseinheiten des Bundes (insbesondere Dienststellen und Zentralstellen einschließlich nachgeordneter Dienststellen im Sinne des § 278 Beamten-Dienstrechtsgesetz 1979 – BDG 1979, BGBl. Nr. 333/1979) grundsätzlich bei einer einzigen gemeinsamen internen Stelle einzurichten. Diese für die interne Hinweisgebung zentrierte Stelle ist dem Entwurf zufolge die Leiterin oder der Leiter der Bundesdisziplinarbehörde. Die institutionelle Vorkehrung dazu macht von der in Art. 8 Abs. 9, dritter Unterabsatz der Richtlinie eingeräumten Möglichkeit Gebrauch.

Ob aus der Sicht eines einzelnen Bediensteten des öffentlichen Sektors die Bundesdisziplinarbehörde für einen internen Hinweis zuständig ist, ergibt sich aus dem organisatorischen Gesichtspunkt, welcher Organisationseinheit des Bundes die oder der Bedienstete zuzurechnen ist.

Die Entgegennahme von Informationen über Rechtsverletzungen in den Dienststellen des Bundes und die Wahrnehmung des Schutzes der die Informationen anbringenden Hinweisgeberinnen und Hinweisgeber ist eine neue Aufgabe für die Bundesdisziplinarbehörde, die nicht ohne Weiteres den derzeit im BDG 1979 festgelegten disziplinarrechtlichen Zuständigkeiten zugerechnet werden kann. Das Organisationsstatut der Bundesdisziplinarbehörde sowie deren Entscheidungsfindung durch dreiköpfige Disziplinarsenate ist insbesondere in den §§ 98 bis 104 BDG 1979 geregelt und auf die neue Aufgabe nicht anwendbar. Es sollte daher nicht die ‚Bundesdisziplinarbehörde‘ mit der neuen Aufgabe betraut werden, sondern das monokratische Organ der ‚Leiterin oder des Leiters der Bundesdisziplinarbehörde‘.

Der Entwurf beinhaltet in Abs. 1 Z 2 bis 4 und in Abs. 3 Sonderregelungen, die vom Grundsatz abweichen, die interne Hinweisgebung bei der Bundesdisziplinarbehörde als einer allen Organisationseinheiten des Bundes gemeinsamen internen Stelle einzurichten: Das Bundesministerium für Landesverteidigung und das Bundesministerium für Justiz sind jeweils interne Stelle für alle Hinweise, die in den jeweiligen Wirkungsbereich dieser Bundesministerien nach dem Bundesministeriengesetz 1986, BGBl. Nr. 76/1986, fallen oder die sich jeweils auf eine diesen Bundesministerien zuzuordnende Organisationseinheit beziehen. Daraus folgt, dass für die Zivil- und Strafgerichtsbarkeit, für das Bundesverwaltungsgericht, die Staatsanwaltschaft, den Obersten Gerichtshof, die Generalprokuratur und die Datenschutzbehörde das Bundesministerium für Justiz gemeinsame interne Stelle ist.

Weiters wird vorgeschlagen, das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung – neben seiner zentralen Aufgabe als externe Stelle (§ 15 Abs. 1) – als interne Stelle für das Bundesministerium für Inneres einzusetzen.

Abs. 2 ermächtigt die oder den entsprechend Abs. 1 jeweils zuständige Bundesministerin oder zuständigen Bundesminister bzw. Leiterin oder Leiter, beispielsweise in einer Verordnung bzw. in der Geschäftsordnung Näheres zur Einrichtung des internen Hinweisgebersystems, seiner inneren Beschaffenheit und Funktionsweise festzulegen.

Auch die in Abs. 3 aufgezählten Organe müssen – die Schwelle von 50 Arbeitnehmerinnen und Arbeitnehmern ist jeweils überschritten – eine Stelle einrichten, die interne Hinweisgebung ermöglicht. Die Einrichtung interner Hinweisgebung ist in diesem Fall nach Art. 8 Abs. 9 iVm Abs. 1 der Richtlinie verpflichtend.

Mit Blick auf verfassungsgesetzliche Regelungen zur Diensthoheit (Art. 30 Abs. 3 bis 6 B-VG für die Parlamentsdirektion, Art. 67a Abs. 1 B-VG für die Präsidentschaftskanzlei, Art. 125 Abs. 3 B-VG für den Rechnungshof, Art. 134 Abs. 8 B-VG für den Verwaltungsgerichtshof, Art. 147 Abs. 8 B-VG für den Verfassungsgerichtshof, Art. 148h Abs. 2 B-VG für die Volksanwaltschaft) sollen jene Organe, denen die Diensthoheit zukommt, für ihren jeweiligen Bereich die interne Stelle sowie die Bedingungen und das Verfahren der internen Hinweisgebung festlegen.

Zu § 13 HSchG:

Mit den Vorschriften des § 12 stellt der Entwurf in enger Umsetzung der Richtlinie vor allem die folgenden Anforderungen an die Beschaffenheit und das Verfahren der internen Meldekanäle im öffentlichen und privaten Sektor:

-       Die verwendbare Technik und das zu verwendende Mittel der Kommunikation mit potenziellen Hinweisgebern und Hinweisgeberinnen ist nicht konkret vorgegeben, jedoch müssen die Vertraulichkeit der Identität der Hinweisgeberin oder des Hinweisgebers und Dritter, die in der Meldung erwähnt werden, gewahrt werden können, und die Hinweisgebersysteme müssen technisch und organisatorisch gemäß Art. 25 der DSGVO geeignet sein.

-       Hinweise müssen der internen Stelle schriftlich oder mündlich oder in beiden Formen gegeben werden können. Es ist dem jeweiligen Unternehmen überlassen, ob das interne System nur schriftliche oder nur mündliche Hinweise oder Hinweise in beiden Formen vorsieht.

-       Wenn es eine Hinweisgeberin oder ein Hinweisgeber wünscht, muss spätestens innerhalb von 14 Kalendertagen eine mündliche Besprechung des Hinweises möglich sein.

-       Die internen Meldekanäle müssen über angemessene personelle und finanzielle Ressourcen verfügen.

-       Mitarbeiter und Mitarbeiterinnen der internen Stelle dürfen bei der Entgegennahme und Weiterverfolgung von Hinweisen nicht sachfremder Einflussnahme ausgesetzt sein. Sie müssen die Möglichkeit haben, unparteilich und unvoreingenommen vorzugehen. Dies sollte durch innerorganisatorische Vorkehrungen gewährleistet sein.

-       Den Mitarbeiterinnen und Mitarbeitern in der internen Stelle muss es möglich sein, Hinweise auf ihre Stichhaltigkeit zu überprüfen und entsprechende Veranlassungen zu treffen, wenn sich ein Hinweis als zutreffend erweist.

-       Die internen Stellen müssen in der Lage sein, der Hinweisgeberin oder dem Hinweisgeber innerhalb von drei Monaten eine Rückmeldung zu geben.

Abs. 6 normiert als Voraussetzungen einer Einstellung weiterer Überprüfungen das Fehlen jeglicher Anhaltspunkte für eine Stichhaltigkeit des Hinweises und dass er nicht unter den sachlichen oder persönlichen Geltungsbereich des HSchG fällt.

In der Richtlinie (Erwägungsgrund (65) und (79) sowie Art. 5 Z 12) wird der Begriff ‚Stichhaltigkeit der in der Meldung erhobenen Vorwürfe‘ als Ergebnis weiterer – quantitativ und qualitativ nicht näher bestimmter – Ermittlungen ab der Abgabe des Hinweises verstanden. Die Möglichkeit der nicht weiteren Behandlung eines Hinweises, weil keinerlei Anhaltspunkte für seine Stichhaltigkeit vorliegen, setzt wie die Richtlinie voraus, dass bereits ein – ausreichendes – Minimum an Überprüfungen und Ermittlungen stattgefunden hat, um die mangelnde Stichhaltigkeit feststellen zu können. Anderenfalls kann nicht von ‚Anhaltspunkten‘ gesprochen werden. In einem frühen Stadium der Überprüfung eines Hinweises ist ‚Stichhaltigkeit‘ daher nicht so eng zu verstehen, dass er die entgegennehmende interne oder externe Stelle bereits von Anbeginn überzeugt. Ein konsistentes Aufführen der behaupteten Tatsachen, eine realistische Möglichkeit, dass sich die Behauptungen als zutreffend herausstellen könnten, verpflichtet die interne oder externe Stelle zur weiteren Behandlung und schließt die Möglichkeit einer Ablehnung aus dem Grund mangelnder Stichhaltigkeit aus.

Zu § 14 HSchG:

§ 14 setzt auch in diesem Regelungszusammenhang den Anreiz fort, Hinweise, soweit tunlich und zweckmäßig, einem internen Meldekanal zu geben, bevor der Hinweis in einen externen Meldekanal eingebracht wird. Diese Bestimmung ist als ‚soft law‘ anzusehen und sanktionslos.

Zu § 15 HSchG:

Als zusätzliche Instrumente der Unterstützung der Hinweisgebung im Vergleich zum geltenden Recht ist wie die Verankerung der internen Meldekanäle Einrichtung und Verfahren der externen Meldekanäle neuartig und wesentlich.

In den Art. 10 bis 14 und 16 bis 18 schreibt die Richtlinie für die externen Meldekanäle konkret die Eignungsvoraussetzungen, die Verfahrensabläufe und –garantien vor und dass externer Meldekanal eine Behörde sein muss (Art. 11 Abs. 1). Die Richtlinie lässt aber offen, wie viele externe Meldestellen eingerichtet werden können, ob diese schon Teil des bestehenden Behördensystems sein können oder neu eingerichtet werden und für welches Rechtsgebiet sie tätig sind.

Der Entwurf zielt auf eine Zentrierung der externen Stellen so weit wie möglich ab. Eine einheitliche Anlaufstelle für alle externen Hinweise ergibt einige Vorteile: Sie erspart komplexe Fragen der Zuständigkeit für jeden der sachlichen Anwendungsbereiche der Richtlinie, die sich bei mehreren externen Meldestellen stellen würden. Für Hinweisgeberinnen und Hinweisgeber ist eine einheitliche Anlaufstelle leichter zugänglich. Die Vertraulichkeit und der Datenschutz können besser gewahrt werden, als wenn durch eine Zuständigkeitsvielfalt Weiterleitungen von Informationen notwendig werden. Das beträchtliche Know-how, das für die behördliche Auseinandersetzung mit Hinweisen erforderlich ist (spezialisierte Kontaktaufnahme und –pflege, Einschätzung der rechtlichen Relevanz und der behördlichen Zuständigkeiten, Beantwortungsmanagement, Einhaltung der datenschutzrechtlichen Verpflichtungen u.v.a.m.), kann gebündelt werden. Die Vorkehrungen für das Hinweisgebersystem nach dem Stand der Technik und internationaler Erfahrung mit Whistleblowersytemen müssen nur an einer Stelle getroffen werden, was bei der Zentrierung an einer Stelle geringere Kosten verursacht. Schließlich hat die Verfügung der Zuständigkeit einer einheitlichen, neu zu benennenden Stelle für externes Whistleblowing die Symbolkraft neuer Möglichkeiten für Whistleblowing aufgrund neuartiger Vorschriften.

Im Entwurf wird vorgeschlagen, das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung im sachlichen Geltungsbereich des HSchG zur externen Stelle sowohl für Hinweise zuständig zu machen, die den ‚privaten Sektor‘ im Sinne der Richtlinie betreffen, als auch für externe Hinweise, die sich auf den ‚öffentlichen Sektor‘ beziehen.

Die Zuständigkeit des Bundesamtes zur Korruptionsprävention und Korruptionsbekämpfung ist jedoch subsidiär: Nur soweit nicht nach einem anderen Bundesgesetz die (spezifischere) Zuständigkeit einer Meldestelle für externe Hinweise vorgesehen ist, ist das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung für einen externen Hinweis zuständig.

Diese Zuständigkeitsanordnung folgt dem in § 4 verankerten Grundsatz, dass Hinweisgebersysteme unverändert fortgeführt werden sollen, soweit sie mit der Richtlinie vereinbar sind. Bereits eingerichtete Hinweisgebersysteme verfügen über ein entsprechendes Fachwissen und umfangreiche Erfahrungen und sind für bestimmte sachliche Fälle eingerichtet worden. Es ist prinzipiell davon auszugehen, dass sie die Anforderungen und das Schutzniveau auch im Rahmen der spezifischen gesetzlichen Vorgaben erfüllen.

Als nach anderen Bundesgesetzen zuständige externe Meldestellen sind zu nennen:

-       die Finanzmarktaufsichtsbehörde aufgrund der in § 2 Finanzmarktaufsichtsbehördengesetz aufgezählten Rechtsakte

-       die Geldwäschemeldestelle aufgrund des Bundeskriminalamt-Gesetzes

-       die Abschlussprüferaufsichtsbehörde aufgrund des Abschlussprüfer-Aufsichtsgesetzes

-       das bei der Bundeswettbewerbsbehörde aufgrund des Wettbewerbsgesetzes eingerichtete internetbasierte Hinweisgebersystem

-       das bei der Bilanzbuchhaltungsbehörde aufgrund des Bilanzbuchhaltungsgesetzes 2014 eingerichtete internetbasierte Hinweisgebersystem

-       das bei der Kammer der Steuerberater und Wirtschaftsprüfer aufgrund des Wirtschaftstreuhandberufsgesetzes 2017 eingerichtete internetbasierte Hinweisgebersystem die bei den Notariatskammern nach § 154 Abs. 4 Notariatsordnung eingerichteten sicheren Kommunikationskanäle

-       die bei den Rechtsanwaltskammern nach § 20a Disziplinarstatut für Rechtsanwälte und Rechtsanwaltsanwärter eingerichteten sicheren Kommunikationskanäle.

Für die einzelne Hinweisgeberin bzw. den einzelnen Hinweisgeber resultieren aus dieser Zuständigkeitsanordnung keine nennenswerten praktischen Probleme, weil die jeweilige externe Meldestelle, deren Ansicht nach der bei ihr eingebrachte Hinweis einer anderen externen Meldestelle gegeben werden hätte müssen, zur Weiterleitung an diese andere Meldestelle verpflichtet ist (§ 17 Abs. 3 HSchG).

Das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung wird nach dem Entwurf auch zuständig für Hinweise, die sich auf eine andere Gebietskörperschaft als den Bund oder auf einen sonstigen landesgesetzlich eingerichteten Rechtsträger des öffentlichen Rechts beziehen, soweit die Hinweise die Verletzung einer bundesrechtlichen Vorschrift zum Gegenstand haben. Die zuletzt genannte Zuständigkeit folgt in Abgrenzung von der Zuständigkeit der externen Meldestellen für Hinweise in den Ländern. Die Länder folgen nämlich bei der Einrichtung der externen Meldestellen auf Landesebene dem am Materienrecht ausgerichteten Konzept, dass nur die behauptete Verletzung landesrechtlicher Vorschriften die Zuständigkeit einer externen Meldestelle des Landes begründet – nicht daher die Verletzung bundesrechtlicher Vorschriften durch eine Behörde oder Stelle des Landes oder der Gemeinde. Diese Lücke gilt es durch eine ausdrückliche Regelung zu schließen. Zu diesem Zweck ist, der Bestimmung des § 2 Abs. 4 korrespondierend, zu normieren, dass auch Personen in beruflicher Verbindung zu einem Land, einer Gemeinde oder einem Gemeindeverband oder zu einem von einer dieser Gebietskörperschaften eingerichteten Rechtsträger bei Behauptung der Verletzung einer bundesrechtlichen Vorschrift ihren Hinweis dem Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung geben müssen.

Zu den §§ 16 und 17 HSchG:

Nach der ausdrücklichen Anordnung des § 15 Abs. 3 gelten die Bestimmungen über die Mindestausstattung der externen Stellen und das von ihnen einzuhaltende Verfahren generell für alle externen Stellen.

Im Einzelnen ist jedoch entsprechend § 4 Abs. 1 und 2 zu beachten, dass

-       die externen Stellen, die nach den in § 4 Abs. 1 aufgezählten Bundesgesetzen eingerichtet sind, die Verfahrensvorschriften dieser Bundesgesetze einzuhalten und die §§ 16 und 17 HSchG nur subsidiär anzuwenden haben, nur soweit die §§ 16 und 17 HSchG darüber hinausgehende oder konkretere Verfahrensinhalte regeln und

-       andere bundesgesetzlich vorgesehene, nicht in § 4 Abs. 1 aufgezählte externe Meldestellen die §§ 16 und 17 HSchG nur insoweit anzuwenden haben, als sie für Hinweisgeberinnen und Hinweisgeber günstiger sind, einen weiteren Geltungsbereich haben oder sowohl gleich günstig als auch spezifischer sind.

Hinsichtlich der inhaltlich vergleichbaren Regelungen in § 13 Abs. 1 und 2, 5, 6, 8 und 9 kann auf die Ausführungen zu § 13 verwiesen werden.

Abs. 4 lässt offen, welche konkreten Folgemaßnahmen im Einzelfall zulässig sind. Welche Folgemaßnahmen von einer externen Stelle gesetzt werden können, ist anhand gesetzlich eingeräumter (Ermittlungs-)Befugnisse zu bestimmen (im Rahmen ihrer Zuständigkeiten).

Die eingeräumten Zuständigkeiten der externen Stelle sind unter Berücksichtigung der verfassungsrechtlichen Vorgaben, insbesondere des Prinzips der Gewaltenteilung, auszuüben. Insbesondere im Bereich der Parlamentsdirektion, des Rechnungshofes, der Volksanwaltschaft sowie des Verfassungs- und Verwaltungsgerichtshofes kommen auch im Lichte der Gewaltenteilung als Folgemaßnahmen nur eine etwaige Anzeige an die zuständige Behörde oder die Mitteilung an die Leiterin oder den Leiter der betroffenen Dienststelle, der jeweiligen Zentralstelle oder der zuständigen Dienstbehörde in Betracht (vgl. § 53 Abs. 1e BDG 1979 iVm § 5 Abs. 1 VBG). Unmittelbare Erhebungen und sonstige eingriffsintensive Folgemaßnahmen bei Gesetzgebungsorganen oder Gerichtshöfen durch die externe Stelle sind ausgeschlossen.

Zu den §§ 18 und 19 HSchG:

Diese Bestimmungen verfolgen den Zweck, regelmäßig und institutionalisiert Erfahrungen und sonstige Daten auszuwerten, um die Effektivität der Behandlung von Hinweisen, das Funktionieren der Einrichtungen für die Hinweisgebung, die Notwendigkeit der Anpassung der Ressourcen dieser Einrichtungen, Entwicklungen in der Schwerpunktsetzung vermuteter Rechtsverletzungen u.a. laufend zu beobachten und einer allfälligen Grundlage für spätere Entscheidungen des Gesetzgebers und der Behörden zuzuführen. Die in den §§ 18 und 19 vorgeschlagene Begleitung künftiger Entwicklungen in der Hinweisgebung erscheint zum gegenwärtigen Zeitpunkt, zu dem ein horizontales Bundesgesetz zur Hinweisgebung noch nicht vorhanden ist, von besonderer Bedeutung.

Mit den §§ 18 und 19 werden überdies die Art. 14 und 27 der Richtlinie umgesetzt.

Zu § 20 HSchG:

Art. 19 der Richtlinie enthält einen Katalog möglicher konkreter Tatbestände, die bei Maßnahmen der Vergeltung für einen Hinweis verwirklicht sein können. Die Richtlinie verpflichtet die Mitgliedstaaten, solche Maßnahmen zu untersagen.

In der EU-Expertengruppe zur Umsetzung der Richtlinie vertrat die Kommission den Standpunkt, dass Art. 19 nicht anders als in Richtung einer Verpflichtung zur Aufnahme des gesamten Katalogs in seiner Ausführlichkeit und Konkretheit in das innerstaatliche Recht verstanden werden kann.

Diesem Standpunkt kann schon insofern gefolgt werden, als die konkrete Konzeption der Vergeltungstatbestände die Rechtsanwendung wesentlich erleichtert. Nachdem überdies die Vergeltungsmaßnahmen aufgrund des Art. 23 Abs. 1 lit. b) der Richtlinie im innerstaatlichen Recht als strafbare Handlungen zu verankern sind, ist eine detaillierte Ausgestaltung der Tatbestände auch im Sinne des Gebots der ausreichenden Bestimmtheit von Strafnormen wünschenswert.

Im Entwurf ist – von der Strafbarkeit der Vergeltungsmaßnahmen in § 24 Z 2 abgesehen – die Umsetzung des Art. 19 in § 20 HSchG dergestalt vorgesehen, dass

-       in Abs. 1 reversible Vergeltungsmaßnahmen wie Suspendierung, Kündigung, Versagung einer Beförderung für rechtsunwirksam erklärt werden, die gegebenenfalls Schadenersatzansprüche begründen, während

-       in Abs. 2 bestimmte Vergeltungsmaßnahmen, die zum Teil oder gänzlich nicht rückgängig gemacht werden können, wie z. B. Nötigung, Einschüchterung oder Zumutung einer ärztlichen Behandlung in erster Linie Schadenersatzansprüche auslösen).

Mit der in § 20 Abs. 2 getroffenen Lösung wird gleichzeitig Art. 21 Abs. 8 der Richtlinie umgesetzt.

Der Richtlinie entsprechend stehen die aus diesen Bestimmungen zum Schutz vor Vergeltungsmaßnahmen ableitbaren Ansprüche allen in § 2 genannten Personen offen.

Zu § 21 HSchG:

In § 21 werden die zur Umsetzung der Bestimmungen der Art. 13 sowie 20 Abs. 1 und 2 notwendigen Regelungen zusammengeführt. Indem die Richtlinie in diesen Bestimmungen auf ihren gesamten persönlichen Anwendungsbereich Bezug nimmt, muss das Recht auf Information, Beratung und Verfahrenshilfe nicht nur Hinweisgeberinnen und Hinweisgebern, sondern auch den übrigen in § 2 genannten Personen eingeräumt werden.

Information und Beratung stehen auch Personen kostenlos zur Verfügung, die sich erst noch – abhängig möglicherweise von Umständen, die sich besser in einer Beratung klären lassen – mit dem Gedanken einer Hinweisgebung tragen. Eine allgemeine Rechtsberatung ohne konkretes Vorhaben der Hinweisgebung ist vom Beratungsangebot hingegen nicht erfasst.

Die gesetzlichen beruflichen Interessenvertretungen (AK, WKO) werden ermächtigt, bei Vorliegen bestimmter Voraussetzungen im Sinne einer Härtefallregelung Prozesskosten im Zusammenhang mit Verfahren zur Abwehr von Vergeltungsmaßnahmen übernehmen zu können.

Zu § 22 HSchG:

Gerade in den bisherigen spektakulären Fällen der Aufdeckung von Straftaten mit enormer Schadensauswirkung mussten Whistleblower die auferlegte Geheimhaltung durchbrechen, um die konkreten strafrelevanten Zusammenhänge nachvollziehbar zu machen. Der Entwurf will in der Regelung des § 22 der Tragweite einer Preisgabe von Geschäfts-, Betriebs- und anderen Geheimnissen auf der einen Seite und der Bedeutung geheimer Informationen für berechtigte Hinweisgebung auf der anderen Seite Rechnung tragen.

§ 22 ist wegen der Bedeutung der Materie und der Besorgnisse wegen ihrer Auswirkungen auf die Unternehmen der Privatwirtschaft eng an den einschlägigen Richtlinienbestimmungen, insbesondere an Art. 21 Abs. 2 und 7 orientiert und normiert einen entsprechenden allgemeinen Grundsatz der Haftungsbefreiung für nach § 6 Abs. 1 berechtigte Hinweise. Hinweisgeberinnen und Hinweisgeber, die klassifizierte Informationen verwenden, oder die Hinweise im Weg einer Veröffentlichung geben, müssen die Voraussetzungen des § 6 Abs. 2 bzw. des § 14 Abs. 2 erfüllen, um Anspruch auf die Befreiung von Haftung zu haben.

Zu § 23 HSchG:

Art. 21 Abs. 5 der Richtlinie bestimmt, dass in gerichtlichen oder behördlichen Verfahren, in denen eine Hinweisgeberin oder ein Hinweisgeber die Benachteiligung infolge eines Hinweises geltend macht, zu vermuten ist, dass die Benachteiligung eine Repressalie für den Hinweis war. Der Person, die die benachteiligende Maßnahme ergriffen hat, obliegt es zu beweisen, dass diese Maßnahme auf hinreichend gerechtfertigten Gründen basierte.

Im Zusammenhang mit Whistleblowing ist eine solche, von der generellen Verteilung der Beweislast auf Klägerin oder Kläger bzw. Beklagte z. B. im Schadenersatzprozess abweichende Regelung damit zu begründen, dass es nach einer Hinweisgebung schwierig sein kann, einen kausalen Zusammenhang zwischen dem Hinweis und nachfolgenden Vergeltungsmaßnahmen nachzuweisen. Gerade dann, wenn eine von einem Hinweis betroffene Person einen Hinweis mit für die Hinweisgeberin oder den Hinweisgeber nachteiligen Maßnahmen vergilt, wird sie diese Maßnahmen meistens nicht als solche kenntlich machen, sondern andere Gründe für die Maßnahmen vorschieben. Hinweisgeberinnen und Hinweisgeber sind in solchen Fällen gegenüber größeren, vom Hinweis betroffenen Organisationen mit entsprechenden Ressourcen nicht in der Lage, diese Gründe als nicht ausschlaggebend für die Maßnahmen aufzuweisen.

Im Wortlaut ähnlich § 23 sind schon bestehende Regelungen zur Beweislastverteilung der §§ 12 Abs. 12, 26 Abs. 12 und 38 Abs. 3 des Gleichbehandlungsgesetzes, § 20a des Bundes-Gleichbehandlungsgesetzes, § 7p des Behinderteneinstellungsgesetzes, § 12 des Bundes-Behindertengleichstellungsgesetzes, § 10 Abs. 5 Arbeitsverfassungsgesetz sowie § 9 Abs. 2 Arbeitsvertragsrechts-Anpassungsgesetz. Während die Klägerin oder der Kläger bzw. der oder die Beklagte die Kausalität zwischen schädigender Handlung und verpöntem Motiv nur glaubhaft zu machen hat, obliegt dem oder der Beklagten der volle Beweis der höheren Wahrscheinlichkeit, dass der ursächliche Zusammenhang nicht gegeben ist.

Zu § 24 HSchG:

Die im Entwurf getroffene Entscheidung darüber, welche Verhaltensweisen im Zusammenhang mit Hinweisgebung von Strafe bedroht sind, beruht in erster Linie auf Art. 23 der Richtlinie. Art. 23 der Richtlinie verpflichtet zur Festlegung von Sanktionen, die wirksam, angemessen und abschreckend sein müssen und zählt in Abs. 1 und 2 Straftatbestände auf, die die Umsetzungsvorschriften jedenfalls enthalten müssen.

Der Entwurf geht in der Auswahl der Straftatbestände nicht über die Richtlinie hinaus. Insbesondere ist keine Strafdrohung für das Unterlassen der Einrichtung eines internen Hinweisgebersystems durch gem. § 11 Abs. 1 HSchG dazu Verpflichtete vorgesehen. Als Alternative zur Strafandrohung baut das HSchG auf Beweggründe, die zur Implementierung eines internen Meldewesens für Hinweise anhalten sollen: die Einsicht in die Vorteile des Bemühens um rechtskonforme Vorgänge für den jeweiligen Rechtsträger, die Bevorzugung des internen Umgangs mit Hinweisen auf Rechtsverletzungen gegenüber einer potenziell öffentlichkeitswirksamen externen Hinweisgebung, die Wahrnehmung interner Hinweise als Beweis einer im Wesen loyalen, auf konstruktive Gestaltung gerichteten Einstellung zum jeweiligen Rechtsträger.

Der vorgeschlagene Strafrahmen und die Höhe der angedrohten Gelstrafen erscheinen im Zusammenhalt mit der Tatsache, dass der Entwurf keine Mindeststrafen vorsieht, unter dem folgenden Gesichtspunkt gerechtfertigt: Einerseits können die persönlichen und finanziellen Konsequenzen für das Opfer einer dieser Straftaten (Hinweisgeberin, Hinweisgeber, betroffene Person) hoch sein. Der Verschleierung oder Verunmöglichung der Verfolgung von Rechtsverletzungen infolge von Hinweisen kann ein besonderes Ausmaß an Schuld zugrunde liegen, möglicherweise im Ausmaß der für die ursprüngliche Rechtsverletzung aufgewendeten kriminellen Energie. Insofern sind die vorgeschlagenen Höchststrafen dem möglichen Schaden und Verschulden nicht unangemessen. Andererseits ermöglicht der nach unten offene Strafrahmen, für minderschwere Übertretungen des HSchG aufgrund geringerer subjektiver Vorwerfbarkeit oder geringer tatsächlicher Auswirkungen der Straftat mit einer geringen Geldstrafe das Auslangen zu finden.

Zu § 25 HSchG:

regelt mit einem in zahlreichen Bundesgesetzen üblichen Wortlaut generell, auf welche Fassung eines Bundesgesetzes im HSchG verwiesen wird.

Zu § 26 HSchG:

S. dazu im Allgemeinen Teil.

Zu § 27 HSchG:

Die Vollzugsklausel folgt der Aufgabenverteilung im HSchG, die insgesamt zu einer Vollzugszuständigkeit jedes einzelnen Bundesministers und jeder einzelnen Bundesministerin führt: s. dazu vor allem die in den §§ 8 bis 24 gelegenen Zuständigkeiten.

Zu § 28 HSchG:

Die Richtlinie war gem. Art. 26 Abs. 1 grundsätzlich bis 17. Dezember 2021 in innerstaatliches Recht umzusetzen. Auch bei Inkrafttreten des HSchG nach diesem Zeitpunkt müssen die Unternehmen, Behörden und sonstige Stellen mit mindestens 250 Beschäftigten, die für die Einrichtung interner und externer Meldestellen bereits im Jahr 2022 verantwortlich sind, ausreichend Zeit für die faktische Implementierung haben. Diesem Zweck dient die sechsmonatige Übergangsfrist für die faktische Einrichtung interner und externer Meldestellen. Die Abs. 1 und 2 des § 28 HSchG machen zudem von dem in Art. 26 Abs. 2 der Richtlinie eingeräumten zeitlich abgestuften Inkrafttreten Gebrauch: Für Unternehmen und juristische Personen mit weniger als 250 Beschäftigten kann demnach das HSchG am 17. Dezember 2023 in Kraft treten.

§ 28 Abs. 3 sieht eine Beurteilung der Ansätze und Wirkungsweisen des HSchG ab 2026 vor. Ziel dieser Evaluierung könnte, wie schon im Allgemeinen Teil skizziert, vor allem eine Entscheidungsgrundlage dafür sein, inwieweit die zur Umsetzung der Mindestinhalte der Richtlinie gewählten Instrumente angemessen und effektiv sind. Gegebenenfalls könnte die Evaluierung eine Grundlage dafür abgeben, die gesetzlichen Bestimmungen zu erweitern.

Zu Artikel 2 (Änderung des Gesetzes über das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung – BAK-G)

Zu §§ 1, 8 Abs. 1 und 9 Abs. 1 BAK-G:

Das Bundesgesetz über das Verfahren und den Schutz bei Hinweisen auf Rechtsverletzungen in bestimmten Rechtsbereichen (HinweisgeberInnenschutzgesetz – HSchG) erklärt das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung als ‚externe Stelle‘ – im gemäß § 15 Abs. 2 HSchG festgelegten Umfang – zur Entgegennahme und Behandlung von Hinweisen zuständig.

Bei der Änderung des § 1 BAK-G handelt es sich um die notwendige Anpassung des Zuständigkeitsbereichs des Bundesamts zur Korruptionsprävention und Korruptionsbekämpfung. Die Einfügungen in den §§ 8 Abs. 1 und 9 Abs. 1 BAK-G stellen klar, dass sich der Tätigkeitsbereich der Rechtsschutzkommission hierdurch nicht ändert.

Zu § 13 Abs. 6 und 7 BAK-G:

Es handelt sich um die Inkrafttretensbestimmung sowie die Behebung eines redaktionellen Versehens. Die Regierungsvorlage BGBl. I Nr. 111/2019 enthielt keine Inkrafttretensbestimmung zu den Änderungen betreffend § 4 Abs. 1 Z 9a und 13 BAK-G (alt). Diese traten mit Ablauf des Tages der Kundmachung (28. Dezember 2019) in Kraft.

Zu Artikel 3 (Änderung des Beamten-Dienstrechtsgesetzes 1979):

Zu Art. 3 Z 1 (§ 46 Abs. 6 BDG 1979):

Eine Meldung an die gemäß § 12 des Hinweisgeberschutzgesetzes – HSchG, BGBl. I Nr. XX/2022, für den Bundesdienst zuständige interne Stelle oder an die gemäß § 15 Abs. 1 und 3 HSchG zuständige externe Stelle gilt als amtliche Mitteilung und stellt somit keine Verletzung des Amtsgeheimnisses dar. Eine solche Meldung stellt für Bundesbedienstete ohne nachweislich ausreichender Unterweisung über den Umgang mit klassifizierten Informationen auch keine Verletzung der Verschwiegenheitspflicht gemäß § 4 des Informationssicherheitsgesetzes – InfoSiG, BGBl. I Nr. 23/2002, dar. Bundesbedienstete mit nachweislich ausreichender Unterweisung über den Umgang mit klassifizierten Informationen haben im Falle einer Meldung gemäß § 53a zweiter Satz – abgesehen von der Einhaltung der Verschwiegenheitspflicht gemäß § 4 InfoSiG gegenüber der gemäß § 12 HSchG zuständigen internen Stelle oder der gemäß § 15 Abs. 1 und 3 HSchG zuständigen externen Stelle – die weiteren gesetzlichen Handlungsanweisungen des Geheimschutzes einzuhalten (z. B. Hinweis auf klassifizierte Informationen nur durch Bekanntgabe der Registernummer und nicht durch Übermittlung der klassifizierten Information selbst) und bleiben für etwaige Verstöße verantwortlich. Unter weiteren gesetzlichen Handlungsanweisungen des Geheimschutzes sind all jene gesetzlichen Handlungsanweisungen zu verstehen, die im Zusammenhang mit klassifizierten Informationen stehen. Umfasst sind daher insbesondere auch jene gesetzlichen Handlungsanweisungen, die auf internationalen Verpflichtungen beruhen. Nicht umfasst hingegen sind z. B. Weisungen, da es sich bei diesen um keine gesetzlichen Handlungsanweisungen handelt.

Zu Art. 3 Z 2 (§ 53 Abs. 1d und 1e BDG 1979):

Eine Meldung an die für den Bundesdienst gemäß § 12 HSchG zuständige interne Stelle oder die gemäß § 15 Abs. 1 und 3 HSchG zuständige externe Stelle erfüllt ebenfalls die Meldepflicht gemäß Abs. 1.

Durch Abs. 1e wird sichergestellt, dass sowohl im Hinblick auf eine etwaige gerichtlich strafbare Handlung gemäß § 4 Abs. 1 des Gesetzes über das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung – BAK-G, BGBl. I Nr. 72/2009, als auch im Hinblick auf eine etwaige sonstige von Amts wegen zu verfolgende gerichtlich strafbare Handlung bei Vorliegen der Voraussetzungen Anzeige erstattet und eine etwaige Dienstpflichtverletzung gemeldet wird. Diese Verpflichtungen erstrecken sich abweichend von § 1 auf die jeweilige Leiterin oder den jeweiligen Leiter der internen bzw. externen Stelle unabhängig von der Rechtsgrundlage ihres oder seines Beschäftigungsverhältnisses. Ausgenommen von den jeweiligen Verpflichtungen der Z 1 und 2 sind die Leiterin oder der Leiter von internen bzw. externen Stellen, denen die Wahrnehmung von Aufgaben im Dienste der Strafrechtspflege zukommt (§ 18 der Strafprozeßordnung 1975 – StPO, BGBl. Nr. 631/1975) und im Falle einer zu verfolgenden gerichtlich strafbaren Handlung nach den Bestimmungen der StPO vorzugehen haben. Dies betrifft die Direktorin oder den Direktor des Bundesamtes zur Korruptionsprävention und Korruptionsbekämpfung. Die jeweilige Verantwortlichkeit gemäß Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DSGVO), ABl. Nr. L 119 vom 04.05.2016 S. 1, zuletzt berichtigt durch ABl. Nr. L 74 vom 04.03.2021 S. 35 (Datenschutz-Grundverordnung – DSGVO), richtet sich nach § 280.

Zu Art. 3 Z 3 (§ 53a BDG 1979):

Der Schutz vor Benachteiligung wird dahingehend erweitert, dass auch Meldungen an die gemäß § 12 HSchG zuständige interne Stelle sowie die gemäß § 15 Abs. 1 und 3 HSchG zuständige externe Stelle von dieser Bestimmung umfasst sind. Darüber hinaus erfolgt unter den angeführten Voraussetzungen eine Erstreckung und Vereinheitlichung des Schutzstandards für Hinweisgeberinnen und Hinweisgeber sowie Personen, die diese unterstützen, indem das 4. Hauptstück des HSchG sinngemäß für anwendbar erklärt wird. So soll zusätzlich zum Schutz von Hinweisgeberinnen und Hinweisgebern im Bundesdienst gewährleistet werden, dass es auch zu keinen Vergeltungsmaßnahmen beziehungsweise Repressalien gegenüber unterstützenden Personen, die in einem Dienstverhältnis zum Bund stehen, kommt. Der Schutz von sonstigen Personen richtet sich nach dem 4. Hauptstück des HSchG.

Zu Art. 3 Z 4 (§ 54 Abs. 4 BDG 1979):

Mit dieser Bestimmung wird festgehalten, dass Meldungen gemäß § 53a zweiter Satz keiner Einbringung im Dienstweg bedürfen. Bundesbediensteten, die von einem der angeführten Melderechte Gebrauch machen, soll in diesem Zusammenhang kein Vorwurf im Hinblick auf die Nichteinhaltung des Dienstweges gemacht werden können.

Zu Art. 3 Z 5 (§ 57 BDG 1979):

Außergerichtliche Sachverständigengutachten über Angelegenheiten, die mit den dienstlichen Aufgaben der oder des Bundesbediensteten im Zusammenhang stehen, bedürfen keiner Genehmigung, sofern sie im Zuge einer Meldung gemäß § 53a zweiter Satz abgegeben werden.

Zu Art. 3 Z 6 (§ 200l Abs. 2 Z 3 BDG 1979):

Eine Meldung gemäß § 5 BAK-G oder gemäß § 6 Abs. 1 HSchG an die gemäß § 12 HSchG zuständige interne Stelle oder an die gemäß § 15 Abs. 1 und 3 HSchG zuständige externe Stelle stellt weder eine Verletzung der Amtsverschwiegenheit noch eine Verletzung der Geheimhaltungsverpflichtung im Hinblick auf das Interesse des privaten Trägers dar.

Zu Art. 3 Z 7 (§ 214 BDG 1979):

Eine Meldung gemäß § 5 BAK-G oder gemäß § 6 Abs. 1 HSchG an die gemäß § 12 HSchG zuständige interne Stelle oder an die gemäß § 15 Abs. 1 und 3 HSchG zuständige externe Stelle stellt weder eine Verletzung der Amtsverschwiegenheit noch eine Verletzung der Geheimhaltungsverpflichtung im Hinblick auf das Interesse der Privatschule dar.

Zu Art. 3 Z 8 (§ 284 Abs. 114 BDG 1979):

Es wird das Inkrafttreten geregelt.

Zu Artikel 4 (Änderung des Vertragsbedienstetengesetzes 1948):

Zu Art. 4 Z 1 (§ 5 Abs. 1 VBG):

Es erfolgt eine redaktionelle Anpassung.

Zu Art. 4 Z 2 (§ 41a Abs. 1 VBG):

Siehe die Erläuterung zu Art. 3 Z 7 (§ 214 BDG 1979).

Zu Art. 4 Z 3 (§ 48n Abs. 2 Z 2 VBG):

Siehe die Erläuterung zu Art. 3 Z 6 (§ 200l Abs. 2 Z 3 BDG 1979).

Zu Art. 4 Z 4 (§ 79 VBG):

Es erfolgt eine Zitatanpassung aufgrund des neuen § 46 Abs. 6 BDG 1979.

Zu Art. 4 Z 5 (§ 100 Abs. 108 VBG):

Es wird das Inkrafttreten geregelt.

Zu Artikel 5 (Änderung des Richter- und Staatsanwaltsdienstgesetzes):

Zu Art. 5 Z 1 und Z 2 (Art. IIa RStDG):

Da das RStDG (vormals Richterdienstgesetz, BGBl. Nr. 305/1961) seit der 2. Dienstrechts-Novelle 2007, BGBl. I Nr. 96/2007, neben Richterinnen und Richtern sowie Richteramtsanwärterinnen und Richteramtsanwärtern auch auf Staatsanwältinnen und Staatsanwälte anwendbar ist, soll zur Vereinheitlichung auch hinsichtlich der Amtsverschwiegenheit die gleiche Bestimmung zur Anwendung kommen.

Zu Art. 5 Z 3 (§ 58 RStDG):

In Abs. 1 bis 5 erfolgt eine sprachliche Anpassung im Hinblick auf Richterinnen und Richter sowie Staatsanwältinnen und Staatsanwälte. Bezüglich Abs. 6 siehe die Erläuterung zu Art. 3 Z 1 (§ 46 Abs. 6 BDG 1979).

Zu Art. 5 Z 4 (§ 58b RStDG):

Siehe die Erläuterung zu Art. 3 Z 3 (§ 53a BDG 1979).

Zu Art. 5 Z 5(§ 64b RStDG):

Siehe die Erläuterung zu Art. 3 Z 4 (§ 54 Abs. 4 BDG 1979).

Zu Art. 5 Z 6 (§ 212 Abs. 77 RStDG):

Es wird das Inkrafttreten geregelt.

Zu Artikel 6 (Änderung des Landeslehrer-Dienstrechtsgesetzes):

Zu Art. 6 Z 1 (§ 33 Abs. 7 LDG 1984):

Siehe die Erläuterungen zu Art. 3 Z 1 (§ 46 Abs. 6 BDG 1979).

Zu Art. 6 Z 2 (§ 37 Abs. 1d LDG 1984):

Siehe die Erläuterungen zu Art. 3 Z 2 (§ 53 Abs. 1d BDG 1979).

Zu Art. 6 Z 3 (§ 37a LDG 1984):

Siehe die Erläuterungen zu Art. 3 Z 3 (§ 53a BDG 1979).

Zu Art. 6 Z 4 (§ 38 Abs. 4 LDG 1984):

Siehe die Erläuterungen zu Art. 3 Z 4 (§ 54 Abs. 4 BDG 1979).

Zu Art. 6 Z 5 (§ 123 Abs. 95 LDG 1984):

Es wird das Inkrafttreten geregelt.

Zu Artikel 7 (Änderung des Land- und forstwirtschaftlichen Landeslehrpersonen-Dienstrechtsgesetzes):

Zu Art. 7 Z 1 (§ 33 Abs. 7 LLDG 1985):

Siehe die Erläuterungen zu Art. 3 Z 1 (§ 46 Abs. 6 BDG 1979).

Zu Art. 7 Z 2 (§ 37 Abs. 1d LLDG 1985):

Siehe die Erläuterungen zu Art. 3 Z 2 (§ 53 Abs. 1d BDG 1979).

Zu Art. 7 Z 3 (§ 37a LLDG 1985):

Siehe die Erläuterungen zu Art. 3 Z 3 (§ 53a BDG 1979).

Zu Art. 7 Z 4 (§ 38 Abs. 3 und 4 LLDG 1985):

In Abs. 3 erfolgt eine Anpassung im Hinblick auf § 38 Abs. 3 LDG 1984. Bezüglich Abs. 4 siehe die Erläuterungen zu Art. 3 Z 4 (§ 54 Abs. 4 BDG 1979).

Zu Art. 7 Z 5 (§ 127 Abs. 75 LLDG 1985):

Es wird das Inkrafttreten geregelt.

Zu Artikel 8 (Änderung des Landesvertragslehrpersonengesetzes 1966):

Zu Art. 8 Z 1 und Z 2 (§ 10 Abs. 1 LVG):

Es erfolgt eine Zitatanpassung aufgrund des neuen § 46 Abs. 6 BDG 1979.

Eine Meldung gemäß § 5 BAK-G oder gemäß § 6 Abs. 1 HSchG an eine landesgesetzlich vorgesehene zuständige Stelle stellt weder eine Verletzung der Amtsverschwiegenheit noch eine Verletzung der Geheimhaltungsverpflichtung im Hinblick auf das Interesse der Privatschule dar.

Zu Art. 8 Z 3 (§ 32 Abs. 38 LVG):

Es wird das Inkrafttreten geregelt.

Zu Artikel 9 (Änderung des Land- und forstwirtschaftlichen Landesvertragslehrpersonengesetzes):

Zu Art. 9 Z 1 und Z 2 (§ 10 Abs. 1 LLVG):

Es erfolgt eine Zitatanpassung aufgrund des neuen § 46 Abs. 6 BDG 1979.

Eine Meldung gemäß § 5 BAK‑G oder gemäß § 6 Abs. 1 HSchG an eine landesgesetzlich vorgesehene zuständige Stelle stellt weder eine Verletzung der Amtsverschwiegenheit noch eine Verletzung der Geheimhaltungsverpflichtung im Hinblick auf das Interesse der Privatschule dar.

Zu Art. 9 Z 3 (§ 31 Abs. 28 LLVG):

Es wird das Inkrafttreten geregelt.

Zu Artikel 10 (Änderung des Rechtspraktikantengesetzes):

Zu Art. 10 Z 1 (§ 9 Abs. 3 RPG):

Siehe die Erläuterungen zu Art. 5 Z 3 (§ 58 RStDG).

Zu Art. 10 Z 2 (§ 11 Abs. 3 RPG):

Siehe die Erläuterungen zu Art. 5 Z 4 (§ 58b RStDG).

Zu Art. 10 Z 2 (§ 29 Abs. 2o RPG):

Es wird das Inkrafttreten geregelt.“

 

Der Ausschuss für Arbeit und Soziales hat den gegenständlichen Initiativantrag in seiner Sitzung am 25. Jänner 2023 in Verhandlung genommen. An der Debatte beteiligten sich außer der Berichterstatterin Abgeordneten Mag. Agnes Sirkka Prammer die Abgeordneten Peter Haubner, Mag. Verena Nussbaum, Mag. Christian Ragger und Mag. Gerald Loacker sowie der Bundesminister für Arbeit und Wirtschaft Mag. Dr. Martin Kocher.

 

 

 

Bei der Abstimmung wurde der Gesetzentwurf mit Stimmenmehrheit (dafür: V, G, dagegen: S, F, N) beschlossen.

 

Ferner beschloss der Ausschuss für Arbeit und Soziales mit Stimmenmehrheit (dafür: V, G, dagegen: S, F, N) folgende Feststellung:

 

Der Ausschuss für Arbeit und Soziales stellt fest, dass die in § 8 Abs. 13 des HinweisgeberInnenschutzgesetzes – HSchG erwähnte allgemeine Datenschutz-Folgenabschätzung gemäß Art. 35 Abs. 10 Datenschutz-Grundverordnung (DSGVO) mit der in der Beilage enthaltenen Datenschutz-Folgenabschätzung zum Initiativantrag 3087/A vorliegt.

 

Datenschutz-Folgenabschätzung zum Initiativantrag 3087/A XXVII. GP betreffend ein Bundesgesetz, mit dem ein Bundesgesetz über das Verfahren und den Schutz bei Hinweisen auf Rechtsverletzungen in bestimmten Rechtsbereichen (HinweisgeberInnenschutzgesetz – HSchG) erlassen wird und das Gesetz über das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung, das Beamten-Dienstrechtsgesetz 1979, das Vertragsbedienstetengesetz 1948, das Richter- und Staatsanwaltsdienstgesetz, das Landeslehrer-Dienstrechtsgesetz, das Land- und forstwirtschaftliche Landeslehrpersonen-Dienstrechtsgesetz, das Landesvertragslehrpersonengesetz 1966, das Land- und forstwirtschaftliche Landesvertragslehrpersonengesetz und das Rechtspraktikantengesetz geändert werden

Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Verarbeitung personenbezogener Daten der Hinweisgeberinnen und Hinweisgeber, der von der Hinweisgebung betroffenen Personen sowie der von Folgemaßnahmen betroffenen oder in Folgemaßnahmen involvierten Personen. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und diese auch die genannten Personen betreffen können, die besonders schutzwürdig sind. Eine Datenschutz-Folgenabschätzung ist nach Art 35 Abs 3 lit b DSGVO auch deswegen erforderlich, da es zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1 und von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 DSGVO kommen kann.

 

SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel‑29-Datenschutzgruppe (WP 248) zu enthalten:
Art der Verarbeitung: (EG 90 DSGVO)	Nach § 8 Abs. 3 HSchG sind Hinweisgeberinnen und Hinweisgeber hinsichtlich der Daten, die für ihren Hinweis benötigt werden, interne und externe Stellen hinsichtlich der Daten, die ihnen eine Hinweisgeberin oder ein Hinweisgeber übermittelt und Behörden zur Verarbeitung von Daten, die infolge eines Hinweises an sie übermittelt wurden, insoweit die Daten für weitere Ermittlungen oder die Einleitung eines Verfahrens benötigt werden, ermächtigt, personenbezogene Daten für Zwecke des HSchG (§ 1 und § 8 Abs. 2 Z 1 HSchG) zu verarbeiten. Die Verarbeitung darf sowohl in Papierform als auch in automationsunterstützter Form erfolgen. Besondere Formen, die aufgrund ihres Spannungsverhältnisses zu Bestimmungen der DSGVO, wie insbesondere Art. 5 DSGVO, einer gesetzlichen Regelung bedürften, wie etwa Big Data, sind nicht vorgesehen und damit nicht zulässig.
Umfang der Verarbeitung: (EG 90 DSGVO)	Die Verarbeitung von Daten nach § 8 Abs. 3 HSchG umfasst Daten in Zusammenhang mit Hinweisen auf Rechtsverletzungen; das sind Daten zur Person der Hinweisgeberin oder des Hinweisgebers sowie zur Person, die von der Hinweisgebung betroffen ist. Die Daten müssen der Bearbeitung einlangender Hinweise und der Beurteilung ihrer Stichhaltigkeit dienen und im öffentlichen Interesse liegen, Rechtsverletzungen zu verhindern oder zu ahnden. Nur Daten, die zur Feststellung und Ahndung einer Rechtsverletzung benötigt werden, dürfen verarbeitet werden. Von der Verarbeitung nach § 8 Abs. 2 HSchG umfasst sind auch Daten über gerichtlich oder verwaltungsbehördlich strafbare Handlungen oder Unterlassungen, insbesondere auch über den Verdacht der Begehung von Straftaten, sowie über strafrechtliche Verurteilungen oder vorbeugende Maßnahmen gemäß Art. 10 DSGVO. § 8 Abs. 5 HSchG ermächtigt zur Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO unter der Voraussetzung, dass die Verarbeitung zur Erreichung der Zwecke des HSchG (§§ 1 und 8 Abs. 2 Z 1 HSchG) unbedingt erforderlich und das öffentliche Interesse an der Verarbeitung zur Erreichung dieser Zwecke erheblich ist.
Kontext der Verarbeitung: (Art-29-Datenschutzgruppe, WP 248, 21)	Die Verarbeitung der Daten erfolgt im Kontext der Zwecke der Art. 6 Abs. 1 lit e und Art. 9 Abs. 2 lit f und g DSGVO. Mit dem HSchG, das Unionsrecht zur Grundlage hat (Richtlinie 2019/1937/EU zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden), sollen im öffentlichen Interesse der Schutz und das Verfahren bei Hinweisen auf Rechtsverletzungen gestärkt werden (Schutz va. von Hinweisgeberinnen und Hinweisgebern). Dadurch entstehen zusätzliche Anreize und Möglichkeiten, Rechtsverletzungen zu verhindern bzw. zu ahnden.
Zweck der Verarbeitung: (Art. 35 Abs. 7 Buchstabe a DSGVO)	Die Verarbeitung der Daten erfolgt im öffentlichen Interesse der Herstellung rechtmäßiger Situationen in gesellschaftlich wichtigen Bereichen (§1 HSchG). Gutgläubige Hinweise befördern diese Situationen. Die in ihnen enthaltenen Daten werden zur Ermittlung und weiteren Verfolgung der in einem Hinweis vorgeworfenen Rechtsverletzung benötigt.
Empfängerinnen und Empfänger: (Art-29-Datenschutzgruppe, WP 248, 21)	Als Empfängerinnen und Empfänger von in Hinweisen enthaltenen Daten kommen nach dem HSchG in Frage: -       nach den §§ 11 und 12 HSchG interne Stellen in juristischen Personen des öffentlichen und des privaten Sektors im Sinne des § 5 Z. 7 und 14 HSchG, externe Stellen zur Entgegennahme und Behandlung von Hinweisen gem. § 15 HSchG und -       Behörden, die zur Weiterverfolgung eines Hinweises in Hinweisen enthaltenen Daten übermittelt bekommen.
Speicherdauer: (Art-29-Datenschutzgruppe, WP 248, 21)	Personenbezogene Daten sind ab ihrer letztmaligen Verarbeitung oder Übermittlung höchstens fünf Jahre aufzubewahren (§ 8 Abs. 11 HSchG). Diese Frist orientiert sich an den Verjährungsfristen des materiellen und verfahrensrechtlichen gerichtlichen und Verwaltungsstrafrechts. Nach Entfall der Aufbewahrungspflicht sind personenbezogene Daten zu löschen. Protokolldaten § 8 Abs. 12 HSchG sind ab ihrer letztmaligen Verarbeitung oder Übermittlung bis drei Jahre nach Entfall der Pflicht zur Aufbewahrung personenbezogener Daten aufzubewahren.
Funktionelle Beschreibung der Verarbeitung: (Art. 35 Abs. 7 Buchstabe a DSGVO)	Das HSchG schreibt grundsätzlich keine spezifische Form der Datenverarbeitung vor. Die Systeme der internen Hinweisgebung (§ 13 Abs. 1) wie die der bereits bestehenden externen Stellen (§ 4 Abs. 3, § 15 Abs. 4, § 17 Abs. 1 HSchG) müssen jedoch ihrer Art nach bei der Datenverarbeitung die Vertraulichkeit der Daten gewährleisten können. Die neu einzurichtenden externen Stellen müssen standardisierte, dem Stand der Technik entsprechende Whistleblower- Soft- und Hardware verwenden (§ 16 Abs. 3 HSchG). Alle externen Stellen müssen zur Einhaltung der Standards zum Schutz qualifizierter Informationen in der Lage sein (§ 17 Abs. 1 HSchG).
Beschreibung der Anlagen (Hard- und Software bzw. sonstige Infrastruktur): (Art-29-Datenschutzgruppe, WP 248, 21)	Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist insgesamt an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Die gemäß § 15 Abs. 1 bis 3 HSchG neu einzurichtenden externen Stellen müssen standardisierte, dem Stand der Technik entsprechende Whistleblower- Soft- und Hardware verwenden (§ 16 Abs. 3 HSchG).
Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21)	Informationen und Anleitungen auch zum Datenschutz sind gem. § 10 HSchG von juristischen Personen des öffentlichen und des privaten Rechts sowie von externen Stellen zur Verfügung zu stellen. Ein Einvernehmen mit der Datenschutzbehörde wird herzustellen sein.
BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen -       betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie -       zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen.
Festgelegter Zweck: (Art. 5 Abs. 1 Buchstabe b DSGVO)	Die Zwecke der Datenerhebung und -übermittlung sind in den §§ 1 sowie 8 Abs. 2 und 5 HSchG festgelegt.
Eindeutiger Zweck: (Art. 5 Abs. 1 Buchstabe b DSGVO)	Der Zweck ist durch seine Definition in § 1 HSchG, durch die Festlegung des persönlichen und sachlichen Geltungsbereichs und durch die datenschutzrechtlichen Bestimmungen des § 8 HSchG über die Voraussetzungen der Zulässigkeit der Datenverarbeitung eindeutig.
Legitimer Zweck: (Art. 5 Abs. 1 Buchstabe b DSGVO)	Der Zweck ist auch im Hinblick auf die Zulässigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten legitim. Die Datenverarbeitung liegt im wichtigen öffentlichen Interesse, durch Hinweisgebung strafbare Handlungen zu verhindern und aufzudecken und durch das Bestehen von Hinweisgebersystemen von der Begehung strafbarer Handlungen abzuhalten. Den Anwendungen der Datenverarbeitung nach dem HSchG liegt zudem der Zweck zugrunde, die nach den bisherigen Erfahrungen mit Whistleblowing häufigen Akte der Einschüchterung und Vergeltung zu verhindern und zu ahnden. Die Zwecke der Datenverarbeitung nach dem HSchG unterstützen die Einhaltung von Rechtsvorschriften und damit das Funktionieren der rechtsstaatlichen Ordnung überhaupt.
Rechtmäßigkeit der Verarbeitung: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 6, 9 und 10 DSGVO)	Die Rechtmäßigkeit der Verarbeitung entsprechend Art. 6 Abs. 1 Buchstabe e DSGVO ergibt sich daraus, dass das HSchG eine Datenverarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt vorsieht. Hinsichtlich des wichtigen öffentlichen Interesses des Hinwirkens auf die Einhaltung von Rechtsvorschriften wird auf die Ausführungen zu Bewertung/Legitimer Zweck verwiesen. Hinsichtlich der Rechtmäßigkeit der Verarbeitung sind im Weiteren die Art. 9 und 10 DSGVO zu beachten. Die Verarbeitung personenbezogener Daten nach Art. 9 Abs. 1 DSGVO ist demnach nur dann zulässig, wenn die Verarbeitung zur Erreichung der Zwecke des HSchG unbedingt erforderlich ist und zudem das öffentliche Interesse an der Verarbeitung zur Erreichung dieser Zwecke erheblich ist und wirksame Maßnahmen zum Schutz der Rechte und Freiheiten der betroffenen Personen getroffen werden.
Angemessenheit der Verarbeitung: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO)	Die Art der verarbeitbaren Daten ist nicht eingeschränkt, die Speicherdauer wie in Systematische Beschreibung/Speicherdauer ausgeführt begrenzt. Die Verarbeitung ist im Hinblick auf den Zweck des HSchG, im Rahmen des persönlichen und sachlichen Geltungsbereichs des HSchG und der datenschutzrechtlichen Bestimmungen des § 8 HSchG über die Voraussetzungen der Zulässigkeit der Datenverarbeitung notwendig.
Erheblichkeit der Verarbeitung: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO)	Die Verarbeitung der Daten ist erheblich, da sie notwendige Voraussetzung zur Erfüllung der Zwecke des HSchG (§ 1 HSchG) ist. Die Regelung der Datenverarbeitung im HSchG ist erforderlich zur Umsetzung der unionsrechtlichen Vorschrift der Richtlinie 2019/1937/EU zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden.
Beschränktheit der Verarbeitung auf das notwendige Maß: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO)	Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten Dritten (Art. 4 Nr. 10 DSGVO) nur zur weiteren Ermittlung oder Einleitung eines Verfahrens zur Kenntnis gebracht werden dürfen (§ 8 Abs. 7 HSchG). Personenbezogene Daten, die für die Bearbeitung eines Hinweises nicht benötigt werden, dürfen nicht erhoben werden bzw. sind unverzüglich zu löschen, falls sie unbeabsichtigt erhoben wurden (§ 8 Abs. 10 HSchG).
Speicherbegrenzung: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe e DSGVO)	Die Speicherdauer ist mit fünf Jahren ab letztmaliger Verarbeitung oder Übermittlung der personenbezogenen Daten begrenzt, zuzüglich des Zeitraums zur Durchführung bereits eingeleiteter verwaltungsbehördlicher oder gerichtlicher Verfahren oder eines Ermittlungsverfahrens nach der Srafprozeßordnung 1975. Nach Entfall der Aufbewahrungspflicht sind personenbezogene Daten zu löschen (§ 8 Abs. 11 HSchG). Protokolldaten sind ab ihrer letztmaligen Verarbeitung oder Übermittlung bis drei Jahre nach Entfall der Pflicht zur Aufbewahrung personenbezogener Daten aufzubewahren (§ 8 Abs. 12 HSchG).
Generelle Information der betroffenen Personen: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 12 DSGVO)	Wie in der unmittelbar folgenden Zeile ausgeführt wird, ist, wenn die Zwecke des HSchG erreicht werden sollen, eine Information der betroffenen Person nur in gesetzlich eingeschränktem Umfang möglich. Eine Information betroffener Personen ist jedoch in folgenden Teilen des HSchG vorgesehen: -       in Einzelauskünften entsprechend § 8 Abs. 9 letzter Unterabsatz HSchG, wonach die Stellen der Hinweisgebung betroffenen Personen unter ganz bestimmten Voraussetzungen mitteilen, dass Betroffenenrechte auf der Grundlage des Art. 23 DSGVO ausgeschlossen sind (interne und externe Stellen und Behörden haben nämlich zum Schutz der Identität einer Hinweisgeberin oder eines Hinweisgebers gegenüber einer vom Hinweis betroffenen Person Information und Auskunftserteilung unter bestimmten Voraussetzungen zu unterlassen); -       in der generellen Information entsprechend § 10 Abs. 2 Z 4 HSchG auf den Websites der externen Stellen.
Information der betroffenen Personen bei Erhebung: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO)	Die Identität von Personen, die von einem Hinweis und daher von einer Verarbeitung ihrer personenbezogenen Daten betroffen sind, ist vor allem unter dem Gesichtspunkt zu schützen, dass sich Hinweise als falsch herausstellen können. Im Regelungszusammenhang besteht jedoch ein Spannungsverhältnis zwischen den Rechten der von Hinweisen betroffenen Personen einerseits und der Gefahr andererseits, die für Hinweisgeberinnen und Hinweisgeber und eine wirksame Verfolgung ihres Hinweises bei einer Bekanntgabe ihrer Daten entstünde. Die Verarbeitung personenbezogener Daten im Rahmen des HSchG muss im Interesse der Ermittlung und Verfolgung der in einem Hinweis vorgeworfenen Rechtsverletzung und zum Schutz der Hinweisgeberinnen und Hinweisgeber geregelt werden. Die datenschutzrechtlichen Ansprüche der von Hinweisen betroffenen Person sind im Einklang mit Art. 23 DSGVO und EG (84) und (85) der Richtlinie 2019/1937/EU einzuschränken. In diesem Sinn sieht § 8 Abs. 9 HSchG vor, dass innerhalb des Zeitraums des erforderlichen Hinweisgeberschutzes und soweit es für den Hinweisgeberschutz erforderlich ist, die folgenden datenschutzrechtlichen Ansprüche ausgesetzt sind: -       das Recht auf Information (§ 43 DSG, Art. 13 und 14 DSGVO), -       das Recht auf Auskunft (§ 1 Abs. 3 Z 1 und § 44 DSG, Art. 15 DSGVO), -       das Recht auf Berichtigung (§ 1 Abs. 3 Z 2 und § 45 DSG, Art. 16 DSGVO), -       das Recht auf Löschung (§ 1 Abs. 3 Z 2 und § 45 DSG, Art. 17 DSGVO), -       das Recht auf Einschränkung der Verarbeitung (§ 45 DSG, Art. 18 DSGVO), -       das Widerspruchsrecht (Art. 21 DSGVO), -       das Recht auf Benachrichtigung von einer Verletzung des Schutzes personenbezogener Daten (§ 56 DSG und Art. 34 DSGVO).
Information der betroffenen Personen, wenn die Daten nicht bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO)
Auskunftsrecht der betroffenen Personen: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 15 DSGVO)
Recht auf Datenübertragbarkeit: (Art. 20 DSGVO)
Auftragsverarbeiterinnen und Auftragsverarbeiter: (Art. 28 DSGVO)	Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen.
Schutzmaßnahmen bei der Übermittlung in Drittländer: (Kapitel V DSGVO)	Eine Übermittlung von Daten in Drittländer wird vom Entwurf nicht eingeräumt.
Vorherige Konsultation: (Art. 36 und EG 96 DSGVO)	Eine vorherige Konsultation der Datenschutzbehörde im Einzelfall ist nicht erforderlich, weil die Datenschutzbehörde gemäß Art. 36 Abs. 4 DSGVO durch Einbindung bzw. Konsultation (EG 96 DSGVO) in einem früheren Begutachtungsverfahren durch Publikation des Vorentwurfs auf der Website des Parlaments Gelegenheiten hatte und hat, aktiv an der Gestaltung des Entwurfes mitzuwirken, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen. Der Stellungnahme der Datenschutzbehörde zum Vorentwurf im Begutachtungsverfahren wurde im vorliegenden Entwurf Rechnung getragen. Die Unterlagen und Stellungnahmen im Begutachtungsverfahren sind unter https://www.parlament.gv.at/gegenstand/XXVII/ME/210#tab-Stellungnahmen?selectedStage=100 online abrufbar.
RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt:
Physische, materielle oder immaterielle Schäden: (EG 90 iVm 85 DSGVO)	Diese Risiken sind bei Verarbeitungen im Rahmen des HSchG vorhanden, jedoch durch folgende rechtliche Vorkehrungen eingeschränkt: -       Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“. -       Ähnlich ordnet Art. 32 DSGVO an, dass Verantwortliche, Auftragsverarbeiterinnen und Auftragsverarbeiter in geeigneten technischen und organisatorischen Maßnahmen unter anderem den Stand der Technik und die Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen berücksichtigen müssen. -       Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO), sodass von der Strafdrohung eine Eindämmung dieses Risikos zu erwarten ist. -       Im Entwurf zum HSchG werden weitere Maßnahmen zur Senkung dieses Risikos für betroffene Personen (von einem Hinweis betroffene Personen sowie Hinweisgeberinnen und Hinweisgeber) vorgeschlagen:                 ∎ Bindung des Schutzes für Informationsweitergaben an objektive und subjektive Voraussetzungen (§ 6 HSchG)                 ∎ Vorschriften zum Schutz der Vertraulichkeit und der Identität betroffener Personen sowie zur Geheimhaltung (§§ 7, 17 Abs. 1 HSchG) mit Strafandrohung für die Verletzung dieser Vorschriften (§ 24 Z 3 HSchG; Geldstrafe bis zu € 20.000,--, im Wiederholungsfall bis zu € 40.000,--)                 ∎ Einschränkung der Offenlegung der Identität betroffener Personen auf behördliche Verfahren (§ 7 Abs. 3 bis 5 HSchG)                 ∎ Verpflichtung zur Löschung nicht verhältnismäßiger Daten (§ 8 Abs. 10 HSchG).
Verlust der Kontrolle über personenbezogene Daten: (EG 90 iVm 85 DSGVO)	Eine wesentliche Senkung des Risikos erfolgt durch -       lückenlose Protokollierung (§ 9 HSchG) -       Bestimmungen zum Schutz der Vertraulichkeit und der Identität betroffener Personen sowie zur Geheimhaltung (§§ 7, 17 Abs. 1 HSchG) mit Strafandrohung für die Verletzung dieser Vorschriften (§ 24 Z 3 HSchG; Geldstrafe bis zu € 20.000,--, im Wiederholungsfall bis zu € 40.000,--) -       strenge Zweckbindung in den datenschutzrechtlichen Regelungen (§ 8 HSchG), durch den persönlichen und sachlichen Geltungsbereich, aufgrund der objektiven und subjektiven Voraussetzungen des Hinweisgeberschutzes (§ 6 HSchG).
Diskriminierung: (EG 90 iVm 85 DSGVO)	Eine wesentliche Senkung dieses Risikos erfolgt insbesondere durch folgende Regelungen: -       Art. 25 DSGVO, wonach zum Schutz betroffener Personen geeignete technische und organisatorische Maßnahmen getroffen werden müssen. -       Art. 32 DSGVO, wonach Verantwortliche, Auftragsverarbeiterinnen und Auftragsverarbeiter in geeigneten technischen und organisatorischen Maßnahmen unter anderem den Stand der Technik und die Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen berücksichtigen müssen. -       Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO), sodass von der Strafdrohung eine Eindämmung dieses Risikos zu erwarten ist. -       Für Hinweisgeberinnen und Hinweisgeber und Personen in ihrem Umkreis als jeweils betroffene Personen sieht § 20, insbesondere § 20 Abs. 2 Z 2 HSchG eine ausdrückliche Bestimmung zur Verhinderung von Diskriminierungen vor. -       Für von Hinweisen betroffene Personen soll das Risiko nachteiliger Folgen der Datenverarbeitung durch strenge Zweckbindung in den datenschutzrechtlichen Regelungen (§8 HSchG), durch den persönlichen und sachlichen Geltungsbereich, durch die objektiven und subjektiven Voraussetzungen des Hinweisgeberschutzes (§ 6 HSchG) sowie Strafbarkeit missbräuchlicher Hinweisgebung (§ 24 Z 4 HSchG) eingeschränkt werden.
Identitätsdiebstahl oder -betrug: (EG 90 iVm 85 DSGVO)	Dieses Risiko kann insbesondere durch die unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) gemindert werden. Eine wesentliche Senkung des Risikos erfolgt insbesondere durch -       lückenlose Protokollierung (§ 9 HSchG) -       Bestimmungen zum Schutz der Vertraulichkeit und der Identität betroffener Personen sowie zur Geheimhaltung (§§ 7, 17 Abs. 1 HSchG) mit Strafandrohung für die Verletzung dieser Vorschriften (§ 24 Z 3 HSchG; Geldstrafe bis zu € 20.000,--, im Wiederholungsfall bis zu € 40.000,--) -       strenge Zweckbindung in den datenschutzrechtlichen Regelungen (§8 HSchG), durch den persönlichen und sachlichen Geltungsbereich, aufgrund der objektiven und subjektiven Voraussetzungen des Hinweisgeberschutzes (§ 6 HSchG).
Finanzielle Verluste: (EG 90 iVm 85 DSGVO)	Dieses Risiko kann insbesondere durch die unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) gemindert werden. Für Hinweisgeberinnen und Hinweisgeber und Personen in ihrem Umkreis als jeweils betroffene Personen sieht § 20 HSchG Bestimmungen zur Verhinderung finanziell nachteiliger Auswirkungen vor. Für von Hinweisen betroffene Personen soll das Risiko finanziell nachteiliger Folgen der Datenverarbeitung durch strenge Zweckbindung in den datenschutzrechtlichen Regelungen (§8 HSchG), durch den persönlichen und sachlichen Geltungsbereich, durch die objektiven und subjektiven Voraussetzungen des Hinweisgeberschutzes (§ 6 HSchG) sowie Strafbarkeit missbräuchlicher Hinweisgebung (§ 24 Z 4 HSchG) eingeschränkt werden.
Unbefugte Aufhebung der Pseudonymisierung: (EG 90 iVm 85 DSGVO)	Pseudonymisierung spielt im Entwurf allenfalls eine Rolle bei zugelassenen anonymen Hinweisen und im Rahmen künftiger Berichte und statistischer Erfassung der Hinweisgebung. In diesem Rahmen wird das Risiko minimiert durch die unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) und den Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG).
Rufschädigung: (EG 90 iVm 85 DSGVO)	Dieses Risiko wird minimiert durch -       die unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) -       durch Regelungen zu den objektiven und subjektiven Voraussetzungen des Hinweisgeberschutzes (§ 6 HSchG) -       durch die Regelungen zum Schutz vor Vergeltungsmaßnahmen (§§ 20 und 23 HSchG) -       durch den Straftatbestand missbräuchlicher Hinweisgebung (§ 24 Z 2 HSchG).
Verlust der Vertraulichkeit bei Berufsgeheimnissen: (EG 90 iVm 85 DSGVO)	Dieses Risiko wird minimiert durch -       die unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) -       strenge Voraussetzungen der Benutzung und Offenlegung von Geschäfts- und anderen Geheimnissen in § 7 Abs. 7 und in § 22 HSchG -       durch den Straftatbestand missbräuchlicher Hinweisgebung (§ 24 Z 4 HSchG).
Erhebliche wirtschaftliche oder gesellschaftliche Nachteile: (EG 90 iVm 85 DSGVO)	Dieses Risiko wird minimiert durch -       die unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) -       Bestimmungen zum Schutz der Vertraulichkeit und der Identität betroffener Personen sowie zur Geheimhaltung (§§ 7, 17 Abs. 1 HSchG) mit Strafandrohung für die Verletzung dieser Vorschriften (§ 24 Z 3 HSchG; Geldstrafe bis zu € 20.000,--, im Wiederholungsfall bis zu € 40.000,--) -       strenge Zweckbindung in den datenschutzrechtlichen Regelungen (§8 HSchG), durch den persönlichen und sachlichen Geltungsbereich, aufgrund der objektiven und subjektiven Voraussetzungen des Hinweisgeberschutzes (§ 6 HSchG) -       durch die Regelungen zum Schutz vor Vergeltungsmaßnahmen (§§ 20 und 23 HSchG) -       durch die Straftatbestände des § 24 HSchG.
ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt:
Minimierung der Verarbeitung personenbezogener Daten: (EG 78 DSGVO)	Der Entwurf verankert im Konkreten in mehreren Regelungszusammenhängen den Grundsatz, dass nur Daten verarbeitet werden dürfen, die zur Feststellung und Ahndung einer Rechtsverletzung benötigt werden, und anderenfalls nicht erhoben werden dürfen bzw. zu löschen sind (insbesondere in § 7 Abs. 3 und 5, § 8 Abs. 2 Z 2, Abs. 5 Z 1 sowie Abs. 10 HSchG).
Schnellstmögliche Pseudonymisierung personenbezogener Daten: (EG 28 und 78 DSGVO)	Soweit Pseudonymisierung nach dem Entwurf relevant ist, kann auf die Anwendung des bereichsspezifischen Personenkennzeichens (bPk) gem. § 9 E-GovG verwiesen werden.
Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten: (EG 78 DSGVO)	Durch die Publikation des Gesetzesvorhabens als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten im Rahmen des Gesetzesvorhabens von der Öffentlichkeit kostenlos nachvollzogen werden.
Überwachung der Verarbeitung personenbezogener Daten durch die betroffenen Personen: (EG 78 DSGVO)	Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß Kapitel III der DSGVO (Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO)), soweit diese nicht gem. § 8 Abs. 9 HSchG ausgeschlossen sind, die Möglichkeit, die Verarbeitung ihrer Daten zu überwachen.
Datensicherheitsmaßnahmen: (EG 78 und 83 DSGVO)	Interne Meldestellen müssen nach § 11 Abs. 1 HSchG, externe Meldestellen nach § 16 Abs. 3 HSchG ein den technischen Standards entsprechendes Hinweisgebersystem einrichten. Hinweisgebersysteme auf dem Stand der Technik bieten eine hohe Datensicherheit. Für die mit der Bearbeitung von Hinweisen betrauten Mitarbeiterinnen und Mitarbeiter externer Meldestellen ist vorgesehen, dass sie Schulungen im vertraulichen Umgang mit Hinweisen erhalten (§ 16 Abs. 2 HSchG). Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert. Den Anforderungen des Art 32 DSGVO entsprechende Datensicherheitsmaßnahmen sind bei Verarbeitungen im Rahmen der Umsetzung des Gesetzesvorhabens zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.
BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören:
Stellungnahme der Datenschutzbehörde: (Art. 36 Abs. 4 DSGVO)	im Begutachtungsverfahren berücksichtigt
Stellungnahme des Datenschutzbeauftragten der erlassenden Stelle: (Art. 35 Abs. 2 DSGVO)	im Begutachtungsverfahren berücksichtigt
Stellungnahme betroffener Personen: (Art. 35 Abs. 9 DSGVO)	im Begutachtungsverfahren berücksichtigt

 

Als Ergebnis seiner Beratungen stellt der Ausschuss für Arbeit und Soziales somit den Antrag, der Nationalrat wolle dem angeschlossenen Gesetzentwurf die verfassungsmäßige Zustimmung erteilen.

Wien, 2023 01 25

                    Mag. Agnes Sirkka Prammer                                                   Josef Muchitsch

                                  Berichterstatterin                                                                          Obmann