Herausforderungen & Anforderungen an das Hinweisgebersystem im Rahmen der DSGVO
Das Hinweisgebersystem, unabhängig davon, ob es mittels Online-Formularen, Umfragen, per Telefon oder anders durchgeführt wird, steht in vielerlei Hinsicht im Konflikt zur DSGVO: Person A übergibt der Meldestelle Informationen über Person B. Person B, der Betroffene, darf dies jedoch (vor allem anfangs) in der Regel nicht wissen, kann auch keine Daten berichtigen lassen, kann sein Recht auf Löschung oder Widerspruch nicht wahrnehmen.
Das Hinweisgeberschutzgesetz löst dabei nicht alle Widersprüche auf. Mit Betroffenenrechten, allen voran den Rechten auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch, muss daher mit besonderer Vorsicht umgegangen werden:
Zunächst die Rechtsgrundlage
Hier ist die Sachlage klarer. Es muss nicht mehr auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) zurückgegriffen werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 10 HinSchG: Meldestellen dürfen personenbezogene Daten verarbeiten, soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist, auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, sofern angemessene Schutzmaßnahmen getroffen werden. Das gilt für alle Beteiligten, also für die hinweisgebende Person, die gemeldete Person und weitere in der Meldung genannte Personen.
Datenschutz-Folgenabschätzung für das Hinweisgeber-Online-Formular
Gemäß Art. 35 DSGVO ist eine Datenschutz-Folgenabschätzung durchzuführen, wenn die Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Hiervon ist zumeist bei einem Hinweisgebersystem auszugehen. Von daher raten wir dringend zur Folgenabschätzung im Vorfeld.
Informationspflicht
Ein Konflikt ergibt sich bei der Informationspflicht. Gemäß DSGVO müsste ja der Betroffene vor der Verarbeitung seiner Daten über Zweck, Art und vor allem Quelle (Hinweisgeber!) informiert werden. Mit der Realität und mit dem Sinn des Hinweisgebersystems ist dies nicht vereinbar. Von daher wird auf § 29 Abs. 1 Satz 1 BDSG verwiesen:
„Die Pflicht zur Information der betroffenen Person … besteht … nicht, soweit durch ihre Erfüllung Informationen offenbart würden, die ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen.“
Es kann jedoch auch Art. 14 Abs. 5 lit. b DSGVO zum Tragen kommen, wonach die Informationspflicht entfällt, wenn die Verwirklichung der Ziele der Verarbeitung durch sie unmöglich gemacht oder auch ernsthaft beeinträchtigt werden.
Auch das Auskunftsrecht (Art. 15 DSGVO) ist eingeschränkt: Nach § 29 Abs. 1 Satz 2 BDSG besteht es nicht, soweit dadurch Informationen offenbart würden, die geheim gehalten werden müssen, etwa die Identität der hinweisgebenden Person. Die Rechte auf Berichtigung und Löschung bleiben dagegen bestehen: Unrichtige Daten sind zu berichtigen oder zu löschen.
Aber Achtung! Mit der Eskalation bzw. im Verlauf des Vorgangs muss die Situation regelmäßig neu bewertet werden. Es kommt schnell zu einem Punkt, an dem das Geheimhaltungsinteresse nicht mehr überwiegt und mit der betroffenen Person in Kontakt getreten werden muss!
Vertraulichkeit, Dokumentation und Löschfristen
Die Meldestelle muss die Identität der hinweisgebenden Person, der gemeldeten Personen und weiterer in der Meldung genannter Personen vertraulich behandeln (§ 8 HinSchG). Zugriff dürfen nur die Personen haben, die für die Entgegennahme und Bearbeitung der Meldungen zuständig sind. Alle Meldungen sind zu dokumentieren (§ 11 HinSchG). Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht (§ 11 Abs. 5 HinSchG). Eine längere Aufbewahrung ist nur zulässig, soweit andere Rechtsvorschriften sie erfordern und sie verhältnismäßig ist.
Verarbeitung durch Dritte, AVV und Hinweisgebersystem
Wenn Sie eine Drittpartei als Meldestelle beauftragen (trotz hoher Kosten, weiterer Vor- und Nachteile), ist in der Regel davon auszugehen, dass es sich hierbei um Auftragsverarbeitung handelt und somit bspw. ein AVV zu schließen wäre. In jedem Fall jedoch tragen Sie gemäß § 14 Abs. 1 HinSchG die Verantwortung für die Behebung des Verstoßes.
Stellung der Datenschutzbeauftragten im Hinweisgebersystem
Das Hinweisgebersystem ist ein Verfahren, bei welchem die Datenschutzbeauftragten frühzeitig einzubinden sind.
Datenschutz im Online-Meldeformular mit LamaPoll
Für ein Hinweisgeber-Formular mit LamaPoll heißt das konkret:
- Fragen Sie nur die Angaben ab, die für die Bearbeitung der Meldung erforderlich sind, und machen Sie Kontaktdaten freiwillig (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).
- LamaPoll verarbeitet standardmäßig keine IP-Adressen oder Metadaten der Teilnehmenden. Die IP-Speicherung lässt sich optional zuschalten; für das Meldeformular sollte sie deaktiviert bleiben.
- Beschränken Sie den Zugriff auf das Formular und die Ergebnisse auf die zuständigen Personen. Wie das in LamaPoll funktioniert, lesen Sie hier: LamaPoll als Hinweisgebersystem nutzen
- Schließen Sie mit LamaPoll als Auftragsverarbeiter einen AV-Vertrag ab (Art. 28 DSGVO).
Fazit
Die Implementierung eines Hinweisgebersystems im Rahmen der DSGVO stellt Unternehmen vor herausfordernde Aufgaben im Hinblick auf den Datenschutz und die Einhaltung der Rechte betroffener Personen. Es ist wichtig, sich mit den rechtlichen Anforderungen auseinanderzusetzen und entsprechende Maßnahmen zu ergreifen.
Insgesamt ist es entscheidend, dass Unternehmen, die ein Hinweisgebersystem implementieren möchten, eine gründliche Prüfung der datenschutzrechtlichen Aspekte vornehmen und Maßnahmen ergreifen, um die Rechte der betroffenen Personen zu wahren und den Datenschutz zu gewährleisten.
Binden Sie den Datenschutzbeauftragten ein, führen Sie eine Folgenabschätzung durch und berücksichtigen Sie, dass im Verlauf des Prozesses (Meldung, Prüfung, Aktion etc.) sich sowohl Rechtsgrundlagen als auch Interessen und somit auch Pflichten ändern können!
Weiterführende Informationen zu firmeninternen Warnsystemen und Beschäftigtendatenschutz finden Sie in der Orientierungshilfe der Datenschutzbehörden des Bundes und der Länder: Orientierungshilfe der Datenschutzkonferenz
Mit LamaPoll sind Umfragen schnell und unkompliziert zu erstellen. Das Tool bietet viele Möglichkeiten zu individuellen Anpassungen. Dabei kann man sich mit den angebotenen Hilfeseiten gut selbst helfen. Bei Extrawünschen unterstützt ein kompetenter und gut erreichbarer Kundenservice.
Was ist LamaPoll?
LamaPoll ist ein Umfrage-Tool zum Erstellen von Online-Fragebögen im Internet. Mit unserem Umfrage-Tool können Sie Online-Fragebögen schnell und einfach erstellen, durchführen und auswerten. Erstellen Sie Ihren Fragebogen in wenigen Schritten, passen Sie ihn an Ihr Unternehmen an, laden Sie Ihre Kunden oder Mitarbeiter komfortabel per E-Mail ein. Mit einem Online-Fragebogen sammeln Sie einfach und schnell Erkenntnisse zur Steigerung der Zufriedenheit Ihrer Kunden oder Mitarbeiter. Sie können sich beim Umfrage-Tool von LamaPoll kostenlos anmelden und Online-Umfragen mit bis zu 50 Teilnehmern sofort erstellen und durchführen. Benötigen Sie mehr Antworten für Ihren Online-Fragebogen, wählen Sie einfach einen unserer Tarife: monatlich abgerechnet und monatlich kündbar. Es stehen Ihnen auch unsere Vorlagen und Beispiele für Online-Fragebögen zur Verfügung.
