Österreich · Whistleblowing

HinweisgeberInnenschutzgesetz (HSchG). Was Unternehmen beim Whistleblowing umsetzen müssen.

Das HSchG setzt die EU-Whistleblower-Richtlinie in Österreich um. Die Übersicht zeigt, wer ein internes Hinweisgebersystem braucht, welche Fristen laufen und was bei Verstößen droht, jeweils mit Paragraf.

Demo anfragen Pflichten im Überblick

ab 50: Beschäftigten: Pflicht zum Hinweisgebersystem (§ 11)
7 Tage: bis zur schriftlichen Eingangsbestätigung (§ 9)
3 Monate: bis zur Rückmeldung über Folgemaßnahmen (§ 13)
5 Jahre: Aufbewahrung nach der letzten Verarbeitung (§ 8)

Thema	Was gilt	Fundstelle
Wer verpflichtet ist	Unternehmen und juristische Personen des öffentlichen Sektors mit 50 oder mehr Arbeitnehmer:innen oder Bediensteten. Schwankt die Zahl, zählt der Durchschnitt des vorangegangenen Kalenderjahres.	§ 11 Abs. 1 und 2 HSchG
Ohne Schwelle	In den Bereichen nach § 3 Abs. 2, etwa bei Finanzdienstleistungen, gilt das Gesetz unabhängig von der Zahl der Beschäftigten.	§ 3 Abs. 2, § 11 Abs. 1 HSchG
Seit wann	Für Unternehmen und juristische Personen mit weniger als 250 Beschäftigten gelten die Pflichten zum internen Hinweisgebersystem seit 17. Dezember 2023.	§ 28 Abs. 2 HSchG
Wer geschützt ist	Personen mit laufender oder früherer beruflicher Verbindung zum Unternehmen: Arbeitnehmer:innen, überlassene Arbeitskräfte, Bewerber:innen, Praktikant:innen, Selbständige, Organmitglieder und Beschäftigte von Auftragnehmer:innen oder Lieferant:innen.	§ 2 Abs. 1 HSchG
Meldewege	Hinweise müssen schriftlich oder mündlich oder in beiden Formen gegeben werden können. Wünschen Hinweisgeber:innen ein persönliches Treffen, ist es spätestens innerhalb von 14 Kalendertagen zu ermöglichen.	§ 13 Abs. 5 HSchG
Eingangsbestätigung	Schriftliche Hinweise sind unverzüglich, spätestens nach sieben Kalendertagen schriftlich zu bestätigen, außer Hinweisgeber:innen lehnen das ab oder die Bestätigung gefährdet ihre Identität.	§ 9 Abs. 1 HSchG
Rückmeldung	Spätestens drei Monate nach Entgegennahme erfahren Hinweisgeber:innen, welche Folgemaßnahmen gesetzt wurden oder geplant sind oder warum der Hinweis nicht weiterverfolgt wird.	§ 13 Abs. 9 HSchG
Gemeinsame Stelle, Dritte	Unternehmen können die Aufgaben der internen Stelle auf eine gemeinsame Stelle übertragen oder Dritte damit beauftragen. Deren Rechte und Pflichten sind dieselben.	§ 13 Abs. 4 HSchG
Vertraulichkeit	Die Identität von Hinweisgeber:innen ist zu schützen, ebenso jede Information, aus der sie sich direkt oder indirekt ableiten lässt.	§ 7 Abs. 1 HSchG
Anonyme Hinweise	Wer anonym meldet, ist ebenso vor Vergeltung geschützt, wenn die eigene Identität später ohne eigenes Zutun bekannt wird und die Voraussetzungen für den Schutz erfüllt sind.	§ 6 Abs. 3 HSchG
Dokumentation und Zugriff	Alle Hinweise sind zu dokumentieren und in einem vertraulichen und sicheren System zu speichern. Der Zugang ist zu protokollieren und auf jene zu beschränken, die ihn für die Bearbeitung brauchen.	§ 9 Abs. 1 und 6 HSchG
Aufbewahrung	Personenbezogene Daten fünf Jahre ab der letzten Verarbeitung oder Übermittlung, länger nur für laufende Verfahren. Protokolldaten bis drei Jahre nach Ende dieser Frist.	§ 8 Abs. 11 und 12 HSchG
Externe Stelle	Extern zuständig ist grundsätzlich das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (BAK); für bestimmte Bereiche sind andere Stellen zuständig, etwa die Finanzmarktaufsicht. Hinweisgeber:innen sollen zuerst prüfen, ob sie den Hinweis intern geben können.	§ 14 Abs. 1, § 15 Abs. 1 und 2 HSchG
Schutz vor Vergeltung	Vergeltungsmaßnahmen wie Kündigung, Versetzung oder ein schlechtes Dienstzeugnis sind rechtsunwirksam. Im Verfahren genügt es, die Vergeltung glaubhaft zu machen.	§ 20 Abs. 1, § 23 HSchG
Strafen	Wer Hinweisgeber:innen behindert, Vergeltung übt, die Vertraulichkeit verletzt oder wissentlich falsch meldet: Geldstrafe bis 20.000 €, im Wiederholungsfall bis 40.000 €. Für ein fehlendes System sieht das HSchG keine Strafe vor.	§ 24 HSchG

Rechtsstand: HinweisgeberInnenschutzgesetz, BGBl. I Nr. 6/2023, zuletzt geändert durch BGBl. I Nr. 111/2024, im RIS in der Fassung vom 30.10.2026. Es setzt die Richtlinie (EU) 2019/1937 um (§ 26 HSchG).

Ist ein Hinweisgebersystem in Österreich Pflicht?

Ja. Das HinweisgeberInnenschutzgesetz (HSchG) verpflichtet Unternehmen und juristische Personen des öffentlichen Sektors mit mindestens 50 Beschäftigten, eine interne Stelle für Hinweise einzurichten. In bestimmten Bereichen, etwa bei Finanzdienstleistungen, gilt die Pflicht unabhängig von der Zahl der Beschäftigten (§ 3 Abs. 2, § 11 Abs. 1 HSchG). Es setzt die EU-Whistleblowing-Richtlinie in österreichisches Recht um.

Auch wer unter dieser Schwelle liegt, profitiert davon: Ein interner Meldekanal macht Missstände früh sichtbar — bevor sie extern oder öffentlich werden.

Welche Fristen gelten für die Bearbeitung von Hinweisen?

Der Eingang eines schriftlichen Hinweises ist spätestens nach sieben Kalendertagen schriftlich zu bestätigen (§ 9 Abs. 1 HSchG). Spätestens drei Monate nach Entgegennahme erhält die hinweisgebende Person eine Rückmeldung, welche Folgemaßnahmen gesetzt wurden oder geplant sind oder warum der Hinweis nicht weiterverfolgt wird (§ 13 Abs. 9 HSchG).

In .LOUPE laufen beide Fristen automatisch mit und werden rechtzeitig angezeigt.

Reichen E-Mail-Postfach, Briefkasten oder eine Open-Door-Policy aus?

In der Regel nicht. Das HSchG verlangt, Hinweise zu dokumentieren und die Aufzeichnungen in einem vertraulichen und sicheren System zu speichern; der Zugang ist zu protokollieren und auf jene Personen zu beschränken, die ihn für die Bearbeitung benötigen (§ 9 Abs. 6 HSchG).

Ein gemeinsames Postfach oder ein Briefkasten kann weder Zugriffe protokollieren noch Fristen überwachen. Mit einem digitalen Hinweisgebersystem lassen sich diese Anforderungen deutlich einfacher und nachweisbar erfüllen.

Muss der Betriebsrat bei der Einführung eingebunden werden?

Das hängt von der Ausgestaltung ab. Setzt das System nur die gesetzlichen Pflichten um, wird eine Mitbestimmung teils für nicht erforderlich gehalten; geht es darüber hinaus, ist es mitbestimmungspflichtig. Wir empfehlen, den Betriebsrat frühzeitig einzubinden — das schafft Rechtssicherheit und Akzeptanz.

Was ist bei strafrechtlich relevanten Hinweisen zu beachten?

Private Unternehmen sind grundsätzlich nicht verpflichtet, Anzeige zu erstatten. Der Hinweis muss aber aufgeklärt werden — sonst drohen Haftungsrisiken. Im Bedarfsfall empfiehlt sich eine interne Untersuchung unter Beiziehung (externer) Spezialist:innen.

Diese Seite fasst das HinweisgeberInnenschutzgesetz zusammen und ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext im RIS; die Bewertung im Einzelfall liegt beim Unternehmen.

Hinweise anonym oder offen

Ein eigenes Meldeportal je Organisation, mit Ihrem Logo und in Ihren Sprachen.
Sieben Tage, drei Monate

Jeder Hinweis wird zur Fallakte, in der beide Fristen mitlaufen.
Belastbar dokumentiert

Bewertung, Maßnahmen und Abschluss stehen mit Zeitstempel und Verlauf in der Akte.

Zum Hinweisgebersystem

HSchG umsetzen

Ihre interne Stelle, eingerichtet mit .LOUPE.

In einer persönlichen Demo zeigen wir Ihnen, wie Hinweise in .LOUPE eingehen, bearbeitet und dokumentiert werden, abgestimmt auf Ihr Unternehmen in Österreich.