(1) Juristische Personen nach § 9 Abs. 1 haben - unbeschadet des § 9 Abs. 2 - eine oder mehrere Dienst- oder Arbeitnehmer oder eine Organisationseinheit mit den Aufgaben der internen Meldestelle zu betrauen. Sie haben dafür Sorge zu tragen, dass die mit diesen Aufgaben betrauten Personen unparteiisch und befugt sind, erforderliche Folgemaßnahmen zu ergreifen.

(2) Juristische Personen nach § 9 Abs. 1 haben die Möglichkeit, interne Hinweisgebersysteme durch einen externen Dritten betreiben zu lassen. Der externe Dritte hat dafür Sorge zu tragen, dass die mit diesen Aufgaben betrauten Personen unparteiisch und befugt sind, erforderliche Folgemaßnahmen zu ergreifen. Externe Dritte sind Auftragsverarbeiter gemäß Art. 4 Z 8 DSGVO und in dieser Funktion verpflichtet, die Datenschutzpflichten gemäß Art. 28 Abs. 3 lit. a bis h DSGVO wahrzunehmen.

(3) Die interne Meldestelle ist so zu gestalten, einzurichten und zu betreiben, dass die Vertraulichkeit der Identität des Hinweisgebers und anderer Personen, die in der Meldung erwähnt werden, gewahrt bleibt und Dienst- oder Arbeitnehmer, die nicht mit den Aufgaben der internen Meldestelle betraut sind, der Zugriff auf Informationen zur Identität des Hinweisgebers und anderer Personen, die in der Meldung erwähnt werden, verwehrt ist.