Seit Dezember 2023 müssen österreichische Unternehmen ab 50 Mitarbeitenden einen internen Meldekanal betreiben. Diese Seite erklärt, was das Gesetz verlangt, für wen es gilt und was in der Praxis wirklich zählt — ohne Panikmache und ohne Juristendeutsch.
Stand: September 2026. Keine Rechtsberatung. Bei konkreten Fragen zur eigenen Situation empfehlen wir das Gespräch mit einer Arbeitsrechtskanzlei oder der WKO.
Worum es geht
Das HinweisgeberInnenschutzgesetz (kurz HSchG, BGBl. I Nr. 6/2023) ist die österreichische Umsetzung der EU-Whistleblower-Richtlinie 2019/1937. Es ist am 25. Februar 2023 in Kraft getreten.
Die Idee dahinter ist einfach: Wer in einem Unternehmen einen Rechtsverstoß bemerkt, soll ihn melden können, ohne dafür Nachteile zu erleiden. Damit das funktioniert, müssen Unternehmen einen Weg anbieten, auf dem solche Meldungen vertraulich ankommen und ordentlich bearbeitet werden.
Für wen das Gesetz gilt
Die Schwelle liegt bei 50 Beschäftigten. Gezählt werden Köpfe, nicht Vollzeitäquivalente — eine Teilzeitkraft zählt also voll. Bei saisonal schwankender Belegschaft (Gastronomie, Hotellerie, Tourismus) gilt der Durchschnitt des vorangegangenen Kalenderjahres.
Betroffen sind juristische Personen des Privatrechts und rechtsfähige Personengesellschaften: GmbH, AG, OG, KG. Einzelunternehmen sind unabhängig von der Mitarbeiterzahl nicht verpflichtet.
Die Fristen sind abgelaufen:
| Unternehmensgröße | Pflicht seit |
|---|---|
| ab 250 Beschäftigte | 25. August 2023 |
| 50 bis 249 Beschäftigte | 17. Dezember 2023 |
Es gibt keine Übergangsfrist mehr. Wer heute noch keinen Kanal hat, ist nicht „bald dran", sondern bereits säumig.
Welche Meldungen das Gesetz abdeckt
Das ist der Punkt, den viele übersehen: Das HSchG schützt nicht jede Meldung, sondern nur Hinweise auf Verstöße in bestimmten Rechtsbereichen (§ 3 HSchG). Dazu gehören unter anderem:
- öffentliches Auftragswesen
- Finanzdienstleistungen, Geldwäsche und Terrorismusfinanzierung
- Produktsicherheit und Verkehrssicherheit
- Umweltschutz
- Lebensmittelsicherheit, Tiergesundheit und Tierschutz
- öffentliche Gesundheit
- Verbraucherschutz
- Datenschutz und IT-Sicherheit
- Korruptionsdelikte nach §§ 302 bis 309 StGB
Nicht vom gesetzlichen Schutz erfasst sind zum Beispiel Betrug, Untreue, Mobbing oder Diskriminierung — obwohl genau diese Themen in der Praxis häufiger vorkommen. Viele Unternehmen öffnen ihren Meldekanal deshalb freiwillig für alle Missstände. Das ist erlaubt, sinnvoll und in der Praxis der Normalfall.
Was der Meldekanal können muss
Das Gesetz stellt konkrete Anforderungen an den internen Kanal (§§ 11 bis 13 HSchG):
Schriftlich und mündlich. Meldungen müssen in Textform und telefonisch möglich sein. Auf Wunsch der meldenden Person muss innerhalb angemessener Frist auch ein persönliches Gespräch angeboten werden.
Vertraulich. Die Identität der meldenden Person darf nur den Personen bekannt werden, die für die Bearbeitung zuständig sind. Ein E-Mail-Postfach, auf das mehrere Personen Zugriff haben, erfüllt das schwer.
Unparteiisch. Die zuständige Person oder Stelle muss unabhängig arbeiten können und darf keinen Interessenkonflikt haben. Wer selbst Gegenstand einer Meldung sein könnte, darf sie nicht bearbeiten.
Eingangsbestätigung binnen 7 Tagen. Die meldende Person muss spätestens sieben Kalendertage nach Eingang eine Bestätigung erhalten.
Rückmeldung binnen 3 Monaten. Spätestens drei Monate nach der Eingangsbestätigung muss die meldende Person erfahren, was mit ihrer Meldung passiert ist — welche Schritte gesetzt wurden oder warum keine gesetzt wurden.
Dokumentation. Jede Meldung und ihre Bearbeitung muss nachvollziehbar dokumentiert werden.
Information über externe Meldestellen. Meldende müssen wissen, dass sie sich alternativ an die externe Meldestelle wenden können — in Österreich ist das das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (BAK).
Anonymität: Pflicht oder Kür?
Anders als oft behauptet, verpflichtet das österreichische HSchG Unternehmen nicht dazu, anonyme Meldungen zu ermöglichen. Ermöglicht der Kanal Anonymität technisch, müssen anonyme Meldungen aber entgegengenommen werden.
In der Praxis empfehlen die meisten Kanzleien trotzdem einen anonymen Kanal. Der Grund ist nicht das Gesetz, sondern die Erfahrung: Ohne Anonymität melden Mitarbeitende seltener — oder gehen gleich zur externen Stelle.
Was bei Verstößen wirklich droht
Hier lohnt sich Genauigkeit, weil viel Unfug im Umlauf ist.
Kein Meldekanal — keine direkte Strafe. Das HSchG sieht nach herrschender Meinung keine Geldstrafe dafür vor, dass ein Unternehmen keinen internen Kanal eingerichtet hat.
Strafbar ist (§ 20 HSchG):
- eine Meldung zu behindern oder zu behindern versuchen
- Vergeltungsmaßnahmen gegen meldende Personen
- die Verletzung der Vertraulichkeit
- wissentlich falsche Hinweise
Dafür drohen Geldstrafen bis 20.000 Euro, im Wiederholungsfall bis 40.000 Euro.
Das eigentliche Risiko liegt woanders. Wer keinen internen Kanal hat, zwingt Mitarbeitende, direkt zur externen Meldestelle oder an die Öffentlichkeit zu gehen. Dann läuft die Untersuchung nicht mehr im eigenen Haus. Dazu kommt: Sobald eine Meldung eingeht, greifen die Fristen und Vertraulichkeitspflichten — und wer die verletzt, ist sehr wohl im strafbaren Bereich.
Kurz: Die Gefahr ist nicht, den Kanal nicht zu haben. Die Gefahr ist, eine Meldung falsch zu behandeln.
Betriebsrat und Datenschutz
Ein Hinweisgebersystem verarbeitet personenbezogene Daten, oft sensible. Zwei Dinge sind deshalb vor dem Start zu klären:
Betriebsrat. Gibt es einen, sollte er eingebunden werden. Eine Betriebsvereinbarung zur Einführung des Meldekanals ist üblich und schafft Klarheit über Zuständigkeiten und Auswertung.
Datenschutz. Der Meldekanal braucht eine Verarbeitungsverzeichnis-Eintragung, in der Regel eine Datenschutz-Folgenabschätzung und — bei Nutzung eines Softwareanbieters — einen Auftragsverarbeitungsvertrag. Wo die Daten gespeichert werden, ist dabei keine Nebensache.
Was in der Praxis funktioniert
Nach den Gesprächen mit Unternehmen in dieser Größenordnung fällt eines auf: Die Sorge ist selten die Frist. Die Sorge ist der Moment, in dem die erste Meldung eingeht und niemand weiß, was zu tun ist.
Ein funktionierender Meldekanal beantwortet deshalb drei Fragen im Voraus:
- Wer ist zuständig — und wer ist Ersatz, wenn die Meldung die zuständige Person selbst betrifft?
- Wie werden die Fristen eingehalten — automatisch, nicht per Kalendereintrag?
- Wie weisen wir nach, dass wir alles richtig gemacht haben — gegenüber Prüfern, Betriebsrat oder im Streitfall?
Wer diese drei Fragen beantworten kann, hat das Gesetz nicht nur formal erfüllt, sondern verstanden.