HinSchG für Krankenhäuser + Pflege: § 203 StGB-Konflikte

Hauptartikel: HinSchG: Interne Meldestelle einrichten — Einrichtung der internen Meldestelle in acht Schritten, mit Verfahrensfristen, Datenschutzpflichten und 30-Punkte-Checkliste.

1. § 203 StGB vs. Hinweisgeber-Schutz

Das Verhältnis zur ärztlichen Schweigepflicht regelt § 5 Abs. 2 Nr. 4 HinSchG — nicht § 8 HinSchG: Eine Meldung oder Offenlegung fällt nicht in den Anwendungsbereich des HinSchG, soweit ihr die Pflicht zur Wahrung der Verschwiegenheit durch Ärzte, Zahnärzte, Apotheker oder Angehörige eines anderen Heilberufs entgegensteht, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert. Ausgenommen sind allein Tierärzte, soweit es um Verstöße gegen Rechtsvorschriften zum Schutz von gewerblich gehaltenen landwirtschaftlichen Nutztieren geht (§ 2 Abs. 1 Nr. 3 Buchst. k HinSchG). Praktische Folge für Krankenhaus und Pflege: Behandlungsfehler lassen sich intern melden, solange die Meldung ohne die der Schweigepflicht unterliegenden Patientengeheimnisse auskommt — also ohne Patientennamen und ohne identifizierende Behandlungsdaten.

Ergänzend greift § 6 Abs. 3 HinSchG: Personen, die im Rahmen ihrer Tätigkeit für eine Meldestelle Informationen erlangen, die einer Verschwiegenheits- oder Geheimhaltungsvorschrift unterliegen, haben diese Vorschriften ab dem Zeitpunkt des Eingangs der Informationen selbst anzuwenden und die schutzwürdigen Belange Betroffener in gleicher Weise zu beachten wie die hinweisgebende Person. § 8 HinSchG regelt das Verhältnis zu § 203 StGB dagegen nicht — er enthält allein das Vertraulichkeitsgebot zur Identität der hinweisgebenden Person, der von der Meldung betroffenen und der sonstigen in der Meldung genannten Personen.

Österreich: Das HinweisgeberInnenschutzgesetz (HSchG, BGBl. I Nr. 6/2023) zieht die Grenze parallel: Es gilt für Unternehmen und juristische Personen des öffentlichen Sektors mit 50 oder mehr Arbeitnehmerinnen und Arbeitnehmern (§ 3 Abs. 1; internes Hinweisgebersystem nach § 11 Abs. 1) und ausdrücklich nicht für die Verschwiegenheitspflichten der gesetzlich geregelten Gesundheitsberufe (§ 3 Abs. 6 Z 1 HSchG).

Was auf der anderen Seite der Grenze gilt: Soweit eine Meldung in den sachlichen Anwendungsbereich fällt, greifen die Schutzrechte auch im Klinik- und Pflegebetrieb. In Deutschland erfasst das Gesetz strafbewehrte und bestimmte gesundheitsschützende bußgeldbewehrte Verstöße (§ 2 Abs. 1 Nr. 1–3 HinSchG) sowie Verstöße gegen zahlreiche aufgezählte Bundes-, Landes- und EU-Rechtsvorschriften; den vollständigen Wortlaut der bußgeldbewehrten Alternative nennt Abschnitt 2. Für solche Meldungen kann die hinweisgebende Person nach § 35 HinSchG für die Beschaffung der gemeldeten Informationen nicht rechtlich verantwortlich gemacht werden, sofern die Beschaffung nicht als solche eine eigenständige Straftat darstellt; sie verletzt zudem keine Offenlegungsbeschränkungen, sofern sie hinreichenden Grund zu der Annahme hatte, dass die Weitergabe zur Aufdeckung eines Verstoßes erforderlich war. In Österreich ist der sachliche Bereich enger — er umfasst die EU-Bereiche einschließlich öffentlicher Gesundheit, Produktsicherheit und Datenschutz zuzüglich der Korruptionsdelikte der §§ 302 bis 309 StGB (§ 3 Abs. 3 HSchG); die Haftungsbefreiung steht in § 22 Abs. 1 und 2 HSchG.

Prüfschritt vor der Einzelfallfrage: Beantworten Sie die Frage je Berufsgruppe einmal und dokumentieren Sie das Ergebnis: ärztlicher Dienst, Pflegefachpersonen, therapeutische Berufe, Verwaltung. Maßstab ist die Bereichsausnahme des § 5 Abs. 2 Nr. 4 HinSchG aus dem Eingangsabsatz dieses Abschnitts; hinzu kommt, dass die Verschwiegenheitspflicht der konkreten Meldung entgegenstehen muss. Das Ergebnis entscheidet, für welche Gruppen die Bereichsausnahme überhaupt in Betracht kommt; die rechtliche Einordnung selbst gehört in die anwaltliche Prüfung.

Die konkrete Meldung liegt auf dem Tisch — darf sie bearbeitet werden? Die Tabelle fasst die drei Konstellationen zusammen, die im Klinik- und Pflegebetrieb auseinanderzuhalten sind.

Offene Grenze — bitte anwaltlich klären: Welche Beschäftigtengruppen in Krankenhaus und Pflege im Einzelfall unter § 203 StGB fallen und wie weit der strafrechtliche Geheimnisschutz im Detail reicht, bildet dieser Beitrag nicht ab. Die Zuordnung einer konkreten Meldung — patientenbezogene Information oder betriebsinterner Verstoß ohne Patientenbezug — gehört vor der ersten Ermittlungshandlung in die anwaltliche Prüfung.

2. Behandlungsfehler-Meldewege

Behandlungsfehler laufen über zwei getrennte Spuren, die sich nicht ersetzen: das klinische Fehlermeldesystem CIRS (Critical Incident Reporting System) und — bei Verstößen im Sinne des § 2 HinSchG — die interne Meldestelle. Rechtsgrundlage für CIRS im Krankenhaus ist § 136a Abs. 3 SGB V i. V. m. § 135a Abs. 2 SGB V: Der G-BA legt Mindeststandards für Risikomanagement- und Fehlermeldesysteme sowie Anforderungen an einrichtungsübergreifende Fehlermeldesysteme fest (G-BA-Qualitätsmanagement-Richtlinie).

Wo die HinSchG-Spur beginnt: § 2 Abs. 1 Nr. 2 HinSchG erfasst in Deutschland bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient; für die Patientensicherheit ist die erste Alternative einschlägig. Fällt eine Meldung in diesen Bereich, laufen die Verfahrensfristen aus Abschnitt 6 unabhängig davon, was im CIRS-Prozess geschieht.

Zuordnung im Einzelfall:

• Vorfall ohne Verstoß im Sinne des § 2 HinSchG — reines Lernen aus dem Fehler: CIRS-Spur (§ 136a Abs. 3 SGB V i. V. m. § 135a Abs. 2 SGB V).
• Vorfall mit strafbewehrtem Verstoß oder mit bußgeldbewehrtem Verstoß gegen eine Vorschrift zum Schutz von Leben, Leib oder Gesundheit oder zum Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane — etwa das Vertuschen oder Unterdrücken einer Meldung: zusätzlich die HinSchG-Spur (§ 2 Abs. 1 Nr. 1 und 2 HinSchG).
• Meldung, die ohne patientenidentifizierende Angaben nicht auskommt: keine HinSchG-Spur, soweit die Verschwiegenheitspflicht entgegensteht — siehe die Entscheidungstabelle in Abschnitt 1.

Praxisempfehlung für die Abgrenzung: Meldeakte und Fallakte getrennt führen und die Zuordnung nach Abschnitt 1 dokumentieren, bevor Ermittlungshandlungen beginnen. So lässt sich die Zugriffsgrenze des § 8 Abs. 1 HinSchG einhalten, nach der die Identität ausschließlich den für Entgegennahme und Folgemaßnahmen zuständigen sowie den sie unterstützenden Personen bekannt werden darf.

3. Meldewege neben der Meldestelle: Wer meldet wohin?

Eine Meldung an das BfArM ersetzt die interne Meldestelle nach § 12 HinSchG nicht: Hinweise zu Arzneimittelverstößen gehen separat an das BfArM, die Pflicht nach § 12 HinSchG bleibt davon unberührt; welche arzneimittelrechtlichen Melde- und Anzeigepflichten im Einzelnen gegenüber dem BfArM bestehen und mit welchen Fristen, bildet dieser Beitrag nicht ab. Als staatliche externe Meldestellen benennt das HinSchG u. a. die externe Meldestelle des Bundes beim Bundesamt für Justiz (§ 19 Abs. 1 und Abs. 4 HinSchG) sowie besondere externe Meldestellen bei der BaFin (§ 21 HinSchG) und beim Bundeskartellamt (§ 22 HinSchG).

Wer meldet wohin — die im Beitrag belegten Meldewege:

HinSchG-Schutz greift parallel: Fällt derselbe Sachverhalt in den sachlichen Anwendungsbereich des § 2 HinSchG, bestehen Repressalienverbot (§ 36 Abs. 1 HinSchG) und Haftungsbefreiung (§ 35 HinSchG) unabhängig davon, dass zusätzlich das BfArM informiert wurde. Über den Meldeweg entscheidet dabei allein die hinweisgebende Person: Sie wählt zwischen interner und externer Meldestelle und sollte die interne Meldung bevorzugen, wenn intern wirksam abgeholfen werden kann und keine Repressalien zu befürchten sind (§ 7 Abs. 1 HinSchG). Meldungen oder die anschließende Kommunikation zu behindern oder dies zu versuchen, ist verboten (§ 7 Abs. 2 HinSchG).

Österreich: Der Schutz umfasst Hinweise an interne wie an externe Stellen (§ 6 Abs. 1 HSchG). Welche externe Stelle zuständig ist und in welcher Frist sie Ergebnis und Folgemaßnahmen bekanntgibt, steht in Abschnitt 6.

4. Pflegeeinrichtungen: Kopfzählung, Schwelle, Sanktion

Wo viele Teilzeit- und geringfügig Beschäftigte arbeiten, greift die Schwelle von 50 Beschäftigten früher, als eine Rechnung in Vollzeitstellen vermuten lässt — gezählt wird nach Köpfen. Die Heimaufsicht (Pflegeeinrichtungen — Pflegequalität und Patientensicherheit) tritt zusätzlich neben das Hinweisgeberrecht, ohne die Pflicht nach § 12 HinSchG zu ersetzen (Übersicht der parallelen Anlaufstellen: Abschnitt 5).

Wie gezählt wird: § 12 Abs. 1 Satz 1 i. V. m. Abs. 2 HinSchG verpflichtet Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, mindestens eine interne Meldestelle einzurichten und zu betreiben. Gezählt werden Köpfe, nicht Vollzeit-Äquivalente: Vollzeit-, Teilzeit- und befristet Beschäftigte, Auszubildende, geringfügig Beschäftigte, Praktikantinnen und Praktikanten sowie Leiharbeitnehmer ab sechs Monaten zählen voll; selbstständige Subunternehmer zählen in der Regel nicht. Die Übergangsfrist des § 42 HinSchG für Beschäftigungsgeber mit 50 bis 249 Beschäftigten lief am 17. Dezember 2023 ab; § 40 Abs. 2 Nr. 2 HinSchG ist seit dem 1. Dezember 2023 anwendbar. In Österreich besteht die Pflicht ab 50 Arbeitnehmerinnen und Arbeitnehmern (§ 3 Abs. 1 i. V. m. § 11 Abs. 1 HSchG).

Rechenbeispiel aus dem Pflegealltag: 30 Vollzeitbeschäftigte, 25 Teilzeitbeschäftigte, 8 geringfügig Beschäftigte und 4 Leiharbeitnehmer mit Einsatz ab sechs Monaten ergeben 67 Köpfe. Die Pflicht greift damit — maßgeblich sind die 67 Köpfe, nicht die daraus gerechneten Vollzeitstellen.

Sanktion und Zuständigkeit: Wer in Deutschland keine interne Meldestelle einrichtet und betreibt, handelt ordnungswidrig — Geldbuße bis 20.000 Euro (§ 40 Abs. 2 Nr. 2 i. V. m. Abs. 6 HinSchG). Die Verzehnfachung für juristische Personen nach § 30 Abs. 2 Satz 3 OWiG ordnet § 40 Abs. 6 Satz 2 HinSchG ausdrücklich nur für § 40 Abs. 2 Nr. 1 und 3 sowie Abs. 3 und 4 an, nicht für die fehlende Meldestelle. Für die mit 50.000 Euro bedrohten Tatbestände (§ 40 Abs. 2 Nr. 1 und 3, Abs. 3 HinSchG) greift sie dagegen und führt für juristische Personen — also auch für Krankenhaus-, Pflege- und Trägergesellschaften — zu einem Höchstbetrag von 500.000 Euro. Für Verfolgung und Ahndung von Ordnungswidrigkeiten nach § 40 HinSchG ist seit dem 15. April 2025 das Bundesamt für Justiz zuständig, soweit die Ausführung des Gesetzes dem Bundesministerium der Justiz oder einer Behörde in dessen Geschäftsbereich obliegt (§ 1 HinSchGOWiZustV). In Österreich ahndet die Bezirksverwaltungsbehörde Behinderung, Vergeltungsmaßnahmen, Vertraulichkeitsverstöße und wissentlich falsche Hinweise mit bis zu 20.000 Euro, im Wiederholungsfall bis zu 40.000 Euro (§ 24 HSchG).

5. Meldestelle auslagern: Kanzlei oder Ombudsperson als interne Meldestelle

Die Auslagerung an eine Anwaltskanzlei oder eine Ombudsperson ist nach § 14 Abs. 1 Satz 1 HinSchG zulässig und im Klinikbetrieb naheliegend, weil die Meldestelle Informationen aufnimmt, die einer Verschwiegenheits- oder Geheimhaltungsvorschrift unterliegen und die sie ab Eingang selbst zu schützen hat (§ 6 Abs. 3 HinSchG). Wegen dieser § 203 StGB-Sensibilität empfiehlt sich im Klinik- und Pflegebetrieb die externe Anwaltskanzlei als Meldestelle — rechtlich ist das die ausgelagerte interne Meldestelle nach § 14 Abs. 1 Satz 1 HinSchG, nicht eine externe Meldestelle im Sinne des Gesetzes.

Begriff sauber halten: „Externe Meldestellen“ im Sinne des HinSchG sind die staatlichen Stellen, u. a. nach §§ 19, 21, 22 HinSchG (siehe Abschnitt 3). Eine beauftragte Kanzlei oder Ombudsperson bleibt demgegenüber die interne Meldestelle in ausgelagerter Form.

Was die Auslagerung nicht abnimmt: Nach § 14 Abs. 1 Satz 2 HinSchG bleibt der Beschäftigungsgeber selbst verpflichtet, geeignete Maßnahmen zur Abstellung eines Verstoßes zu ergreifen. Verarbeitet der Dritte dabei personenbezogene Daten im Auftrag, ist ein Auftragsverarbeitungsvertrag mit dem Mindestinhalt des Art. 28 Abs. 3 DSGVO erforderlich. Welche Umstände die Kosten einer Auslagerung bestimmen, behandelt der Hauptartikel zur internen Meldestelle.

Klinik- und Trägerverbünde: Ein Vertragsverletzungsverfahren der Europäischen Kommission gegen Deutschland zur Konzern-Auslagerung nach § 14 HinSchG besteht nicht; das Verfahren zum Hinweisgeberschutz INFR(2022)0052 wegen verspäteter Umsetzung der Richtlinie (EU) 2019/1937 endete mit dem EuGH-Urteil C-149/23 vom 6. März 2025 (Pauschalbetrag 34 Mio. Euro) und wurde am 4. Juni 2026 eingestellt. Maßstab bleibt Art. 8 der Richtlinie, der die Pflicht zu internen Meldekanälen an jede juristische Einheit ab 50 Beschäftigten knüpft; § 14 HinSchG gilt zum 17. August 2026 unverändert. Praxisempfehlung für Verbünde mit mehreren Trägergesellschaften: ein Hybridmodell aus eigener Meldestelle je Gesellschaft und gemeinsamer Stelle als Dritter statt reiner Verbund-Auslagerung.

Parallele Anlaufstellen — keine befreit von § 12 HinSchG: Verfahren bei Heimaufsicht, Ärztekammer und BfArM laufen unabhängig; sie lösen die Pflicht nach § 12 HinSchG nicht ab. Zuständigkeit und Verfahren dieser Stellen bildet dieser Beitrag nicht ab; klären Sie beides im Einzelfall anwaltlich.

6. Verfahren im Klinikbetrieb: Fristen, Kanäle, Fachkunde

Nach Eingang einer Meldung laufen in Deutschland zwei gesetzliche Fristen: sieben Tage für die Eingangsbestätigung (§ 17 Abs. 1 Nr. 1 HinSchG) und drei Monate ab der Eingangsbestätigung für die Rückmeldung über geplante und bereits ergriffene Folgemaßnahmen und deren Gründe; wurde der Eingang nicht bestätigt, läuft die Frist drei Monate und sieben Tage ab Eingang (§ 17 Abs. 2 HinSchG). In Österreich sind es sieben Kalendertage (§ 9 Abs. 1 HSchG) und drei Monate ab Entgegennahme des Hinweises (§ 13 Abs. 9 HSchG). Wendet sich die hinweisgebende Person an die staatliche externe Meldestelle, gelten dort eigene Fristen: Eingangsbestätigung spätestens sieben Tage nach Eingang, Rückmeldung spätestens nach drei Monaten, bei umfangreicher Bearbeitung sechs Monate mit Mitteilung der Verlängerungsgründe (§ 28 Abs. 1 und Abs. 4 HinSchG). In Österreich ist externe Stelle das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung, soweit nicht eine der besonderen Stellen zuständig ist (§ 15 Abs. 1 HSchG); es gibt spätestens drei Monate, in hinreichend begründeten Fällen spätestens sechs Monate nach Einlangen des Hinweises bekannt, zu welchen Ergebnissen es gelangt ist und welche Folgemaßnahmen es ergriffen hat (§ 17 Abs. 6 HSchG).

Meldekanäle: § 16 Abs. 3 Satz 1 HinSchG verlangt, dass interne Meldekanäle Meldungen in mündlicher oder in Textform ermöglichen — insoweit besteht ein Wahlrecht des Beschäftigungsgebers. Wird der mündliche Kanal gewählt, muss er per Telefon oder mittels einer anderen Art der Sprachübermittlung möglich sein (Satz 2). Zwingend hinzu kommt allein die persönliche Zusammenkunft auf Ersuchen der hinweisgebenden Person innerhalb einer angemessenen Zeit (Satz 3). Die interne Meldestelle sollte auch anonym eingehende Meldungen bearbeiten (§ 16 Abs. 1 Satz 4 HinSchG); eine Verpflichtung, die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen, besteht nach Satz 5 ausdrücklich nicht. Praxisempfehlung für Schichtbetriebe: ein Kanal, der ohne Dienst-Login und außerhalb der Regeldienstzeiten erreichbar ist.

Fachkunde, Information, Dokumentation: § 15 Abs. 2 HinSchG verlangt für die mit den Aufgaben der internen Meldestelle beauftragten Personen die notwendige Fachkunde; eine juristische Ausbildung schreibt die Vorschrift nicht vor (üblicher Schulungsumfang in der Praxis: fünf bis acht Unterrichtseinheiten). Über die Meldewege ist die Belegschaft nach § 13 HinSchG zu informieren — im Klinik- und Pflegebetrieb typischerweise über Intranet und Aushang, erreichbar für alle Schichten. Die Dokumentation ist drei Jahre nach Abschluss des Verfahrens zu löschen (§ 11 Abs. 5 HinSchG); eine längere Aufbewahrung ist nur zulässig, soweit sie rechtlich erforderlich ist. In Österreich beträgt die Aufbewahrung fünf Jahre (§ 8 Abs. 11 HSchG). Für die Verarbeitungstätigkeit „Meldestelle“ ist in Deutschland eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen; in Österreich ist sie nach § 8 Abs. 13 HSchG i. V. m. Art. 35 Abs. 10 DSGVO entbehrlich.

7. Repressalienschutz für meldende Beschäftigte

Wer meldet, darf dafür nicht benachteiligt werden: § 36 Abs. 1 HinSchG verbietet gegen hinweisgebende Personen gerichtete Repressalien einschließlich Androhung und Versuch. Erleidet eine hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit und macht sie geltend, diese infolge der Meldung erlitten zu haben, wird vermutet, dass es sich um eine Repressalie handelt; der Benachteiligende muss dann beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte (§ 36 Abs. 2 HinSchG). Wer verstößt, schuldet Ersatz des daraus entstehenden Schadens; einen Anspruch auf Begründung eines Beschäftigungs- oder Ausbildungsverhältnisses oder auf beruflichen Aufstieg begründet der Verstoß nicht (§ 37 HinSchG). Vereinbarungen, die die nach dem Gesetz bestehenden Rechte einschränken, sind unwirksam (§ 39 HinSchG).

Für den Dienstplan-Alltag: Das Landesarbeitsgericht Niedersachsen hat dieses zweistufige Schema mit Urteil vom 11. November 2024 (7 SLa 306/24) bestätigt. Praxisempfehlung: Für jede Personalmaßnahme nach einer Meldung — Abmahnung, Versetzung, Umverteilung von Schichten, Kündigung — den von der Meldung unabhängigen Grund dokumentieren, bevor die Maßnahme umgesetzt wird.

Österreich: Maßnahmen, die in Vergeltung eines berechtigten Hinweises erfolgt sind, sind rechtsunwirksam (§ 20 Abs. 1 HSchG). Die hinweisgebende Person muss die Vergeltung nur glaubhaft machen; eine Vergeltung ist nicht anzunehmen, wenn eine höhere Wahrscheinlichkeit für ein anderes Motiv spricht, das die handelnde Person ihrerseits glaubhaft zu machen hat (§ 23 HSchG) — ein schwächerer Standard als die deutsche Beweislastumkehr. Die verantwortliche Person schuldet Wiederherstellung des rechtmäßigen Zustandes, Ersatz des Vermögensschadens und eine Entschädigung für die erlittene persönliche Beeinträchtigung (§ 20 Abs. 1 letzter Satz und Abs. 2 HSchG).

8. NIS2 im Krankenhaus: Einstufung ohne Betten-Schwelle

Über die NIS2-Einstufung entscheidet in Deutschland die Einrichtungsart in Verbindung mit einer Größenschwelle, nicht die Bettenzahl. Nach § 28 Abs. 1 und Abs. 2 BSIG 2025 gilt eine Einrichtung einer in Anlage 1 bestimmten Art — dort steht der Sektor Gesundheit — als besonders wichtige Einrichtung, wenn sie mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Mio. EUR und zudem eine Jahresbilanzsumme von über 43 Mio. EUR aufweist. Als wichtige Einrichtung gilt eine Einrichtung einer in Anlage 1 oder 2 bestimmten Art, die mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR aufweist. Unabhängig davon sind Betreiber kritischer Anlagen besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG) — für sie kommt es also weder auf die Beschäftigtenzahl noch auf Umsatz oder Bilanzsumme an. Ob eine kritische Anlage vorliegt, richtet sich nach § 2 Nr. 22 BSIG i. V. m. dem KRITIS-Dachgesetz und der KRITIS-Rechtsverordnung; für die stationäre medizinische Versorgung knüpft der dortige Schwellenwert an die vollstationäre Fallzahl an, nicht an die Bettenzahl. Den konkreten Zahlenwert bildet dieser Beitrag nicht ab — er ist in der jeweils geltenden Fassung der KRITIS-Rechtsverordnung nachzuschlagen.

Was daraus folgt: An die Einstufung knüpfen die Risikomanagementmaßnahmen nach § 30 Abs. 1 und Abs. 2 BSIG mit dokumentierter Einhaltung, die Meldepflichten bei erheblichen Sicherheitsvorfällen (§ 32 Abs. 1 BSIG), der Registrierungsweg (§ 33 BSIG), Pflichten und Haftung der Geschäftsleitung (§ 38 BSIG) und die Nachweispflicht der Betreiber kritischer Anlagen (§ 39 BSIG) an. Diese Pflichten behandelt der unten verlinkte Beitrag zum Gesundheitswesen.

Österreich: Das NISG 2026 (BGBl. I Nr. 94/2025) setzt die Schwellen in § 25 Abs. 2 und Abs. 3 parallel — großes Unternehmen ab 250 Mitarbeitern oder über 50 Mio. EUR Umsatz und über 43 Mio. EUR Bilanzsumme, mittleres Unternehmen ab 50 Mitarbeitern oder über 10 Mio. EUR Umsatz und über 10 Mio. EUR Bilanzsumme; Voraussetzung ist auch dort die Zuordnung zu einer Anlage-1- oder Anlage-2-Art (§ 24). An die Einstufung knüpfen auch dort Registrierung, Meldepflichten und Selbstdeklaration an. Einstufung, Registrierungsweg und Meldeketten für Kliniken im Detail: NIS2 Gesundheitswesen.

9. Deutschland und Österreich im Direktvergleich

Die Kernpflichten laufen weitgehend parallel. Unterschiedlich sind der sachliche Anwendungsbereich, die staatliche externe Stelle, die Aufbewahrungsdauer, die Beweisregel und der Sanktionsrahmen — die Tabelle stellt beide Rechtsordnungen mit Fundstelle gegenüber.

10. Umsetzung im Haus: Reihenfolge und Zuständigkeiten

Die Einrichtung beginnt mit der Kopfzählung und endet mit der Löschroutine. Die folgende Reihenfolge ist eine Praxisempfehlung für die Umsetzung nach deutschem Recht (HinSchG); die österreichischen Entsprechungen stehen in Abschnitt 9. Die genannten Rollen sind Vorschläge für die Verteilung im Haus, die gesetzlichen Pflichten treffen den Beschäftigungsgeber.

• Kopfzählung dokumentieren (Personalabteilung) — Schwelle nach § 12 HinSchG, Zählweise nach Abschnitt 4.
• Trägerstruktur klären und über die Auslagerung entscheiden (Geschäftsführung) — je juristischer Einheit; Übertragung auf einen Dritten nach § 14 Abs. 1 Satz 1 HinSchG, Abstellungspflicht bleibt nach Satz 2 beim Beschäftigungsgeber.
• Meldekanäle festlegen (Meldestellen-Beauftragte) — § 16 Abs. 3 HinSchG; persönliche Zusammenkunft auf Ersuchen einplanen.
• Fachkunde nachweisen (Meldestellen-Beauftragte) — § 15 Abs. 2 HinSchG.
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und Eintrag im Verarbeitungsverzeichnis (Datenschutzbeauftragte) — vor Livegang des Kanals; in Österreich ist die DSFA nach § 8 Abs. 13 HSchG i. V. m. Art. 35 Abs. 10 DSGVO entbehrlich.
• Auftragsverarbeitungsvertrag schließen (Datenschutzbeauftragte) — vor Livegang des Kanals, bei Auslagerung oder IT-Dienstleister, Mindestinhalt nach Art. 28 Abs. 3 DSGVO.
• Belegschaft informieren (Geschäftsführung mit Qualitätsmanagement) — § 13 HinSchG, mit dem Livegang, erreichbar für alle Schichten; sofern ein Betriebsrat besteht, gehört die entsprechende Vereinbarung in dieselbe Runde.
• Fristenmonitoring aufsetzen (Meldestellen-Beauftragte) — 7 Tage Eingangsbestätigung, 3 Monate Rückmeldung ab Bestätigung; ohne Bestätigung 3 Monate und 7 Tage ab Eingang (§ 17 Abs. 1 Nr. 1, Abs. 2 HinSchG); Österreich 7 Kalendertage / 3 Monate (§ 9 Abs. 1, § 13 Abs. 9 HSchG).
• Meldeakte getrennt von der Fallakte anlegen (Meldestellen-Beauftragte) — Zugriffsgrenze § 8 Abs. 1 HinSchG.
• Löschroutine einrichten (Meldestellen-Beauftragte) — § 11 Abs. 5 HinSchG, längere Aufbewahrung nur, soweit rechtlich erforderlich.