(1) Nachstehende juristische Personen sind zur Einrichtung eines internen Hinweisgebersystems verpflichtet:

(2) Die juristischen Personen nach Abs 1 haben einen oder mehrere Dienst- oder Arbeitnehmer oder eine Organisationseinheit mit den Aufgaben der internen Meldestelle zu betrauen und dafür Sorge zu tragen, dass die mit diesen Aufgaben betrauten Personen unparteiisch und unvoreingenommen sowie berechtigt sind, die erforderlichen Folgemaßnahmen zu ergreifen.

(3) Interne Hinweisgebersysteme können gemeinsam von Gemeinden oder von gemeinsamen Behördendiensten betrieben werden, sofern sie von den externen Hinweisgebersystemen getrennt und gegenüber diesen unabhängig sind.

(4) Juristische Personen gemäß Abs 1 haben die Möglichkeit, interne Hinweisgebersysteme durch einen externen Dritten betreiben zu lassen. Der externe Dritte hat dafür Sorge zu tragen, dass die mit diesen Aufgaben betrauten Personen unparteiisch und befugt sind, erforderliche Folgemaßnahmen zu ergreifen. Externe Dritte sind Auftragsverarbeiter gemäß Art 4 Abs 8 Datenschutz-Grundverordnung und in der Funktion verpflichtet, die Datenschutzpflichten gemäß Art 28 Abs 3 lit a bis h Datenschutz-Grundverordnung wahrzunehmen.

(5) Die im Abs 1 genannten juristischen Personen haben ihre internen Hinweisgebersysteme in einer Weise einzurichten und zu betreiben, die hinweisgebende Personen dazu anregt, Hinweise der internen Stelle gegenüber einer externen Stelle bevorzugt zu geben.