Wissen
Häufige Fragen, klar beantwortet.
Was verlangt das HinweisgeberInnenschutzgesetz? Was macht ein Compliance-Management-System wirksam? Und wie arbeitet .LOUPE? Die Antworten auf die Fragen, die uns in Gesprächen am häufigsten gestellt werden.
Hinweisgebersystem und HSchG
Pflichten, Fristen und Schutz nach dem HinweisgeberInnenschutzgesetz.
8 FragenIst ein Hinweisgebersystem in Österreich Pflicht?
Ja. Das HinweisgeberInnenschutzgesetz (HSchG) verpflichtet Unternehmen und juristische Personen des öffentlichen Sektors mit mindestens 50 Beschäftigten, eine interne Stelle für Hinweise einzurichten. Es setzt die EU-Whistleblowing-Richtlinie in österreichisches Recht um.
Auch wer unter dieser Schwelle liegt, profitiert davon: Ein interner Meldekanal macht Missstände früh sichtbar — bevor sie extern oder öffentlich werden.
Welche Fristen gelten für die Bearbeitung von Hinweisen?
Der Eingang eines Hinweises ist spätestens nach sieben Tagen zu bestätigen. Spätestens drei Monate nach Eingang erhält die hinweisgebende Person eine Rückmeldung, welche Folgemaßnahmen gesetzt wurden oder geplant sind.
In .LOUPE laufen beide Fristen automatisch mit und werden rechtzeitig angezeigt.
Reichen E-Mail-Postfach, Briefkasten oder eine Open-Door-Policy aus?
In der Regel nicht. Das HSchG verlangt, Hinweise zu dokumentieren und die Aufzeichnungen in einem vertraulichen und sicheren System zu speichern; der Zugang ist zu protokollieren und auf jene Personen zu beschränken, die ihn für die Bearbeitung benötigen (§ 9 Abs. 6 HSchG).
Ein gemeinsames Postfach oder ein Briefkasten kann weder Zugriffe protokollieren noch Fristen überwachen. Rechtssicher umsetzen lässt sich das praktisch nur mit einem digitalen Hinweisgebersystem.
Wer darf über ein Hinweisgebersystem Hinweise geben?
Geschützt sind Personen, die im beruflichen Zusammenhang von Missständen erfahren haben — neben Mitarbeiter:innen etwa auch Bewerber:innen, Praktikant:innen, ehemalige Beschäftigte, Mitglieder von Aufsichtsorganen sowie Personen, die für Lieferant:innen oder Auftragnehmer:innen arbeiten.
Wie sind Hinweisgeber:innen geschützt?
Vergeltungsmaßnahmen gegen Personen, die einen Hinweis in gutem Glauben geben, sind verboten — etwa Kündigung, Versetzung, Gehaltskürzung oder ein nachteiliges Dienstzeugnis. Ihre Identität ist vertraulich zu behandeln.
Ein Hinweisgebersystem, das anonyme Meldungen und die weitere Kommunikation ohne Preisgabe der Identität erlaubt, senkt die Hemmschwelle zusätzlich.
Geht es beim Whistleblowing nur ums Anschwärzen?
Nein. Ziel ist, Missstände gefahrlos aufzeigen zu können, bevor sie Schaden anrichten. Wer einen Hinweis gibt, ist keine Verräterin und kein Verräter, sondern hilft der Organisation, Fehler früh zu erkennen und zu beheben.
Ein gut eingeführtes Hinweisgebersystem stärkt damit das Vertrauen von Mitarbeiter:innen, Kund:innen und Geschäftspartner:innen.
Was ist bei strafrechtlich relevanten Hinweisen zu beachten?
Private Unternehmen sind grundsätzlich nicht verpflichtet, Anzeige zu erstatten. Der Hinweis muss aber aufgeklärt werden — sonst drohen Haftungsrisiken. Im Bedarfsfall empfiehlt sich eine interne Untersuchung unter Beiziehung (externer) Spezialist:innen.
Muss der Betriebsrat bei der Einführung eingebunden werden?
Das hängt von der Ausgestaltung ab. Setzt das System nur die gesetzlichen Pflichten um, wird eine Mitbestimmung teils für nicht erforderlich gehalten; geht es darüber hinaus, ist es mitbestimmungspflichtig. Wir empfehlen, den Betriebsrat frühzeitig einzubinden — das schafft Rechtssicherheit und Akzeptanz.
Compliance-Management
Grundlagen, Pflichten der Geschäftsleitung und Standards.
8 FragenWas bedeutet Compliance?
Compliance umfasst alle Maßnahmen einer Organisation, mit denen sie Gesetze, interne Richtlinien und selbst gesetzte Werte einhält.
Dazu gehören vorbeugende Maßnahmen wie Schulungen und Richtlinien, das Erkennen von Fehlverhalten und Risiken — etwa über ein Hinweisgebersystem — und die Reaktion darauf, von der Behebung bis zur Sanktion.
Was ist ein Compliance-Management-System (CMS)?
Ein CMS ist die Gesamtheit der Grundsätze, Prozesse und Maßnahmen, mit denen eine Organisation regelkonformes Verhalten ihrer Leitung, Mitarbeiter:innen und gegebenenfalls Dritter sicherstellt.
Es erfüllt drei Grundfunktionen: Regelverstöße verhindern (Vorbeugen), sie feststellen, wenn sie dennoch passieren (Erkennen), und angemessen darauf reagieren (Reagieren).
Ist Compliance verpflichtend?
Ja, auch ohne ein eigenes „Compliance-Gesetz“. Geschäftsführung und Vorstand müssen mit der Sorgfalt ordentlicher Geschäftsleiter:innen handeln und für ein internes Kontrollsystem sorgen (§ 22 und § 25 GmbHG, § 82 und § 84 AktG). Der OGH hat bereits früh festgehalten, dass eine adäquate Organisation dazugehört (3 Ob 34/97i).
Mit dem HSchG kommt für Organisationen ab 50 Beschäftigten zusätzlich die ausdrückliche Pflicht zu einem internen Meldekanal hinzu.
Haften Geschäftsführer:innen bei fehlender Compliance?
Das bloße Fehlen eines CMS ist in der Regel nicht strafbar. Kommt es aber zu einem Regelverstoß, weil nicht für ausreichende Kontrolle gesorgt wurde, kann die Geschäftsleitung zivilrechtlich gegenüber der Gesellschaft und unter Umständen gegenüber Dritten haften — und strafrechtlich für Fahrlässigkeitsdelikte.
Seit 2006 können zudem Unternehmen selbst nach dem Verbandsverantwortlichkeitsgesetz (VbVG) verantwortlich sein. Wirksame Compliance-Strukturen senken beide Risiken.
Welche Standards gibt es für Compliance-Management?
Maßgeblich ist heute die ISO 37301 für Compliance-Management-Systeme; sie hat die ISO 19600 abgelöst. Dazu kommen die ISO 37001 für Anti-Korruptions-Managementsysteme, die ISO 37002 für Hinweisgebersysteme sowie in Österreich die ONR 192050.
Standards geben einen einheitlichen Maßstab, an dem sich die Wirksamkeit von Compliance-Maßnahmen messen lässt.
Wann ist ein Compliance-Management-System wirksam?
Wenn es zur Organisation passt und gelebt wird. Grundlage sind die eigenen Risiken und die relevanten Vorschriften; darauf bauen Vorbeugen (Richtlinien, Schulungen, Kommunikation), Erkennen (Kontrollen, Hinweisgebersystem, Risk Assessments) und Reagieren auf.
Entscheidend ist der letzte Schritt: Jeder festgestellte Verstoß und jedes erkannte Risiko muss zu einer Maßnahme führen — sonst geht das Vertrauen in die Compliance-Organisation verloren.
Was ist ein Code of Conduct?
Der Code of Conduct ist der Verhaltenskodex einer Organisation. Er fasst prägnant und allgemein verständlich zusammen, welches Verhalten von Mitarbeiter:innen erwartet wird, und nennt die Ansprechpersonen in Compliance-Fragen.
Idealerweise beginnt er mit einem Bekenntnis der Geschäftsleitung („Tone from the Top“). Er ersetzt keine konkreten Richtlinien, sondern bildet die Klammer darüber.
Ist Compliance nur etwas für große Unternehmen?
Nein. Regelverstöße können ein kleines oder junges Unternehmen sogar härter treffen — finanziell wie in der Reputation. Der Umfang der Maßnahmen richtet sich nach Größe und Risiken; der Grundsatz Vorbeugen, Erkennen, Reagieren gilt für alle.
Fragen zu .LOUPE
Für wen .LOUPE gedacht ist, wo es betrieben wird und wie der Einstieg läuft.
6 FragenFür wen ist .LOUPE gedacht?
Für Organisationen, die Compliance pragmatisch und nachweisbar leben wollen — vom Mittelstand bis zur öffentlichen Hand. .LOUPE deckt Hinweisgebersystem, Richtlinien-, Risiko- und Partner-Compliance in einem Workspace ab.
Erfüllt das Hinweisgebersystem die gesetzlichen Vorgaben?
Ja. Die Meldekanäle sind anonym, mehrsprachig und auf HSchG- bzw. EU-Whistleblowing-Richtlinie sowie DSGVO ausgelegt — inklusive Fristenkontrolle und lückenlosem Audit-Trail.
Wo werden die Daten gehostet?
Ausschließlich in der EU: .LOUPE wird bei Amazon Web Services in der Region Frankfurt am Main betrieben, in ISO-27001-zertifizierten Rechenzentren und nur über verschlüsselte Verbindungen. Unser eigenes Informationssicherheits-Managementsystem ist ebenfalls nach ISO/IEC 27001 zertifiziert — Details im Trust-Center.
Lässt sich .LOUPE modular einführen?
Ja. Die Bausteine lassen sich einzeln oder kombiniert nutzen — Sie entscheiden über den Umfang und können jederzeit erweitern.
Wie läuft der Einstieg ab?
Am schnellsten in einer Live-Demo: Wir zeigen die Plattform anhand Ihrer Compliance-Themen. Onboarding und Setup begleiten wir vom ersten Tag an.
Bietet .LOUPE auch Beratung an?
Ja. Compliance-Beratung ist ein eigenständiges .LOUPE-Angebot — wir begleiten Sie bei Aufbau, Einführung und Betrieb Ihrer Compliance. Dieselbe Praxiserfahrung steckt zugleich in jeder Funktion der Plattform, weil .LOUPE von Compliance-Praktiker:innen gebaut ist.
Fragen Sie uns direkt.
Wir beantworten Fragen zu Hinweisgebersystem, Compliance-Management und .LOUPE gerne persönlich — oder zeigen Ihnen die Plattform in einer Demo.
