Was das HSchG konkret verlangt — die Checkliste für Unternehmen ab 50 Mitarbeitenden
Elf Punkte, die ein interner Meldekanal in Österreich erfüllen muss. Zum Abhaken, Weiterleiten und Gegenprüfen.
Die meisten Texte zum Hinweisgeberschutzgesetz erklären viel und sagen wenig darüber, was am Ende konkret vorhanden sein muss. Diese Liste tut das Gegenteil. Sie eignet sich zum Abhaken — oder zum Weiterleiten an die Geschäftsführung, wenn das Thema seit zwei Jahren auf der Liste steht.
Grundlage ist das österreichische HSchG (BGBl. I Nr. 6/2023). Wer die Hintergründe braucht, findet sie auf unserer Übersichtsseite zum Gesetz.
Die Checkliste
1. Ein interner Meldekanal existiert. Nicht geplant, nicht „in Abstimmung" — er ist erreichbar und Mitarbeitende wissen, wo.
2. Meldungen sind schriftlich möglich. Per Formular, Plattform oder zumindest per E-Mail an ein abgeschottetes Postfach.
3. Meldungen sind mündlich möglich. Telefonisch, und auf Wunsch der meldenden Person auch als persönliches Gespräch innerhalb angemessener Frist. Das persönliche Gespräch wird gern vergessen.
4. Es gibt eine benannte, unparteiische Stelle. Eine Person oder Abteilung, die Meldungen entgegennimmt und bearbeitet — und die keinen Interessenkonflikt hat. Die Assistenz der Geschäftsführung ist dafür ungeeignet, wenn die Meldung die Geschäftsführung betreffen könnte.
5. Es gibt eine Ersatzstelle. Was passiert, wenn die Meldung genau die zuständige Person betrifft? Ohne definierte Ersatzroute landet die Meldung beim Falschen oder gar nicht.
6. Die Vertraulichkeit ist technisch und organisatorisch gesichert. Nur zuständige Personen sehen Identität und Inhalt. Ein Sammelpostfach mit fünf Leseberechtigten erfüllt das nicht.
7. Die Eingangsbestätigung geht binnen 7 Tagen raus. Nach Eingang, nicht nach erster Sichtung. Am besten automatisch.
8. Die Rückmeldung erfolgt binnen 3 Monaten. Die meldende Person erfährt, was mit dem Hinweis geschehen ist. Auch wenn das Ergebnis lautet: nichts, weil unbegründet.
9. Jede Meldung wird dokumentiert. Eingang, Schritte, Entscheidungen, Zeitpunkte, Verantwortliche. Nachvollziehbar und nicht nachträglich veränderbar.
10. Mitarbeitende sind informiert. Über den Kanal, die Vertraulichkeit, den Ablauf — und darüber, dass sie sich alternativ an die externe Meldestelle (das BAK) wenden können.
11. Datenschutz und Betriebsrat sind erledigt. Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung, Auftragsverarbeitungsvertrag mit dem Anbieter, Betriebsvereinbarung wo ein Betriebsrat besteht.
Was nicht auf der Liste steht — und trotzdem sinnvoll ist
Anonyme Meldungen. Das HSchG verpflichtet nicht dazu. Die Erfahrung zeigt aber: Ohne Anonymität kommen weniger Meldungen — und die, die kommen, gehen eher nach außen.
Alle Themen zulassen. Der gesetzliche Schutz gilt nur für bestimmte Rechtsbereiche. Mobbing, Betrug oder Untreue fallen nicht darunter. Trotzdem sind das die häufigsten Meldungen. Wer den Kanal darauf beschränkt, was das Gesetz verlangt, verpasst den eigentlichen Nutzen.
Der ehrliche Blick auf das Risiko
Für das bloße Fehlen eines Meldekanals sieht das HSchG nach herrschender Meinung keine Strafe vor. Strafbar wird es, wenn Meldungen behindert werden, Vergeltung stattfindet oder die Vertraulichkeit verletzt wird — dann bis 20.000 Euro, im Wiederholungsfall bis 40.000 Euro.
Der eigentliche Grund für Punkt 1 bis 11 ist also nicht die Strafe für das Fehlen. Es ist die Tatsache, dass ab der ersten Meldung alles andere greift — und dass man das nicht improvisiert.
Keine Rechtsberatung. Stand September 2026.
Anonym oder vertraulich? Der Unterschied — und warum er zählt
Zwei Begriffe, die ständig verwechselt werden. Was sie rechtlich bedeuten, was das HSchG verlangt und was in der Praxis besser funktioniert.
Die erste Meldung ist da. Was jetzt?
Der Meldekanal ist eingerichtet, und dann passiert es: Eine Meldung geht ein. Ein Ablauf für die ersten Tage — für Unternehmen ohne Compliance-Abteilung.