Whistleblowing & Datenschutz: Das müssen Sie beachten

Herausforderungen & Anforderungen an das Hinweisgebersystem im Rahmen der DSGVO

Das Hinweisgebersystem, unabhängig davon ob es mittels Online Formularen, Umfragen, per Telefon oder anders durchgeführt wird, steht in vielerlei Hinsicht im Konflikt zur DSGVO: Person A übergibt der Meldestelle Informationen über Person B. Person B, der Betroffene, darf dies jedoch (vor allem anfangs) in der Regel nicht wissen, kann auch keine Daten berichtigen lassen, kann sein Recht auf Löschung oder Widerspruch nicht wahrnehmen.
 

Das Hinweisgeberschutzgesetz löst dabei nicht alle Widersprüche auf. Mit Betroffenenrechten, allen voran die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruchsrecht muss von daher mit besonderer Vorsicht umgegangen werden:

Zunächst die Rechtsgrundlage

Hier ist die Sachlage klarer. Es muss nicht mehr auf § 6 (1) f) DSGVO berechtigtes Interesse zurückgegriffen werden. Mit dem neuen § 10 HinSchG wird eine rechtskonforme Grundlage für die Verarbeitung geschaffen. Das gilt jedoch nur für die “gemeldete“ Person. Sofern der Hinweisgeber nicht anonym ist, kommen andere Rechtsgrundlagen in Frage, wie die Einwilligung oder Kollektivvereinbarungen.

Datenschutz-Folgenabschätzung für das Hinweisgeber Online Formular

Gemäß Artikel 35 DSGVO ist eine Datenschutz-Folgenabschätzung durchzuführen, wenn die Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Hiervon ist zumeist bei einem Hinweisgebersystem auszugehen. Von daher raten wir dringend zur Fоlgenabschätzung im Vorfeld. Siehe auch: Folgenabschätzung für Ihre Umfrage.

Informationspflicht

Ein Konflikt ergibt sich bei der Informationspflicht. Gemäß DSGVO müsste ja der Betroffene vor der Verarbeitung seiner Daten über Zweck, Art und vor allem Quelle (Hinweisgeber!) informiert werden. Mit der Realität und mit dem Sinn des Hinweisgebersystems ist dies nicht vereinbar. Von daher wird auf § 29 (1) BDSG verwiesen:

„Die Pflicht zur Information der betroffenen Person …. besteht …. nicht, soweit durch ihre Erfüllung Informationen offenbart würden, die ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen.“
 

Es kann jedoch auch § 14 (5) DSGVO zum Tragen kommen, wonach die Informationspflicht entfällt, wenn die Verwirklichung der Ziele der Verarbeitung durch sie unmöglich gemacht oder auch ernsthaft beeinträchtigt werden.
 

Da die Informationspflicht entfällt, erübrigen sich natürlich auch Rechte wie Berichtigung und Löschung automatisch.

Aber Achtung! Mit der Eskalation bzw. im Verlauf des Vorgangs muss die Situation regelmäßig neu bewertet werden. Es kommt schnell zu einem Punkt, an dem das Geheimhaltungsinteresse nicht mehr überwiegt und mit der betroffenen Person in Kontakt getreten werden muss!

Verarbeitung durch Dritte, AVV und Hinweisgebersystem

Wenn Sie eine Drittpartei als Meldestelle beauftragen (trotz hoher Kosten, weiterer Vor- und Nachteile), ist in der Regel davon auszugehen, dass es sich hierbei um Auftragsverarbeitung handelt und somit bspw. ein AVV zu schließen wäre. In jedem Fall jedoch tragen Sie gem. § 14 HinSchG die Verantwortung für die Behebung des Verstoßes.

Stellung der Datenschutzbeauftragten im Hinweisgebersystem

Das Hinweisgebersystem ist ein Verfahren, bei welchem die Datenschutzbeauftragten frühzeitig einzubinden sind. 

Fazit

Die Implementierung eines Hinweisgebersystems im Rahmen der DSGVO stellt Unternehmen vor herausfordernde Aufgaben im Hinblick auf den Datenschutz und die Einhaltung der Rechte betroffener Personen. Es ist wichtig, sich mit den rechtlichen Anforderungen auseinanderzusetzen und entsprechende Maßnahmen zu ergreifen.

Insgesamt ist es entscheidend, dass Unternehmen, die ein Hinweisgebersystem implementieren möchten, eine gründliche Prüfung der datenschutzrechtlichen Aspekte vornehmen und Maßnahmen ergreifen, um die Rechte der betroffenen Personen zu wahren und den Datenschutz zu gewährleisten.

Binden Sie den Datenschutzbeauftragten ein, führen Sie eine Folgenabschätzung durch und berücksichtigen Sie, dass im Verlauf des Prozesses (Meldung, Prüfung, Aktion etc.) sich sowohl Rechtsgrundlagen als auch Interessen und somit auch Pflichten ändern können!

Weiterführende Informationen zu firmeninternen Warnsystemen und Beschäftigtendatenschutz finden Sie in der Orientierungshilfe der Datenschutzbehörden des Bundes und der Länder: Orientierungshilfe der Datenschutzkonferenz