(1) Nachstehende juristische Personen sind zur Einrichtung eines internen Hinweisgebersystems verpflichtet:

(2) Die juristischen Personen nach Abs 1 haben einen oder mehrere Dienst- oder Arbeitnehmer oder eine Organisationseinheit mit den Aufgaben der internen Meldestelle zu betrauen und dafür Sorge zu tragen, dass die mit diesen Aufgaben betrauten Personen unparteiisch und unvoreingenommen sowie berechtigt sind, die erforderlichen Folgemaßnahmen zu ergreifen.

(3) Interne Hinweisgebersysteme können gemeinsam von Gemeinden oder von gemeinsamen Behördendiensten betrieben werden, sofern sie von den externen Hinweisgebersystemen getrennt und gegenüber diesen unabhängig sind.

(4) Juristische Personen gemäß Abs 1 haben die Möglichkeit, interne Hinweisgebersysteme durch einen externen Dritten betreiben zu lassen. Der externe Dritte hat dafür Sorge zu tragen, dass die mit diesen Aufgaben betrauten Personen unparteiisch und befugt sind, erforderliche Folgemaßnahmen zu ergreifen. Externe Dritte sind Auftragsverarbeiter gemäß Art 4 Abs 8 Datenschutz-Grundverordnung und in der Funktion verpflichtet, die Datenschutzpflichten gemäß Art 28 Abs 3 lit a bis h Datenschutz-Grundverordnung wahrzunehmen.

(5) Die im Abs 1 genannten juristischen Personen haben ihre internen Hinweisgebersysteme in einer Weise einzurichten und zu betreiben, die hinweisgebende Personen dazu anregt, Hinweise der internen Stelle gegenüber einer externen Stelle bevorzugt zu geben.

(6) Bediensteten der im Abs 1 genannten juristischen Personen, ist, solange das Dienstverhältnis aufrecht ist, Zugang zu den jeweiligen internen Meldesystemen zu ermöglichen. Die Entscheidung, ob auch Personen gemäß § 2 Abs 1 Z 2 bis 5 mit Ausnahme der Bewerberinnen und Bewerber sowie gemäß Abs 2 Zugang zu internen Meldesystemen gewährt wird, obliegt der jeweiligen internen Meldestelle. Ihre Entscheidung ist im Rahmen der Informationsverpflichtung gemäß § 9 bekannt zu geben.