(1) Unternehmen und juristische Personen des öffentlichen Sektors mit 50 oder mehr Arbeitnehmerinnen und Arbeitnehmern oder Bediensteten sowie Unternehmen und juristische Personen des öffentlichen Sektors in den in § 3 Abs. 2 genannten Bereichen sind verpflichtet, die Hinweisgebung intern den in § 2 Abs. 1 Z 1 genannten Personen zu ermöglichen. Das interne Hinweisgebersystem ist in einer Weise einzurichten, die Hinweisgeberinnen und Hinweisgeber dazu anregt, Hinweise der internen Stelle gegenüber einer externen Stelle bevorzugt zu geben. Die Hinweisgebersysteme müssen technisch und organisatorisch gemäß Art. 25 der DSGVO geeignet sein.

(2) In Unternehmen und juristischen Personen des öffentlichen Sektors mit wechselnder, insbesondere mit saisonal schwankender Anzahl der Beschäftigten ist die Mindestanzahl gemäß Abs. 1 aufgrund der durchschnittlichen Anzahl der Beschäftigten während des vorangegangenen Kalenderjahres zu ermitteln.

(3) Für Hinweise innerhalb von Unternehmen und juristischen Personen des öffentlichen Sektors im Sinne des Abs. 1 müssen die zuständigen Stellen, Kommunikationswege und –mittel und Verfahren so eingerichtet sein, dass sie zumindest den Anforderungen des § 13 entsprechen. In Fällen, in denen ein Hinweisgebersystem bereits eingerichtet ist oder nach anderen Rechtsvorschriften noch einzurichten ist, ist auf die Bestimmungen des § 4 Bedacht zu nehmen.