{"id":684,"date":"2022-04-13T20:38:06","date_gmt":"2022-04-13T19:38:06","guid":{"rendered":"https:\/\/amlegal.rethinkdigital.io\/blog\/whistleblowing-datenschutz\/"},"modified":"2024-03-25T12:47:53","modified_gmt":"2024-03-25T11:47:53","slug":"whistleblowing-datenschutz","status":"publish","type":"post","link":"https:\/\/www.activemind.legal\/de\/guides\/whistleblowing-datenschutz\/","title":{"rendered":"Datenschutz und Datensicherheit beim Whistleblowing"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

F\u00fcr Unternehmen k\u00f6nnen interne Missst\u00e4nde und insbesondere Kriminalit\u00e4t innerhalb der eigenen Organisation bedrohliche Folgen haben. Um diesem Risiko entgegenzuwirken, erm\u00f6glichen immer mehr Unternehmen ihren Mitarbeitern, das Fehlverhalten von Kollegen \u00fcber einen bestimmten Kanal (anonym) zu melden.<\/p>

Die Einrichtung eines solchen Whistleblowing-Systems<\/a> wirft jedoch verschiedene datenschutzrechtliche Fragen auf. Unter welchen Umst\u00e4nden k\u00f6nnen Arbeitgeber also ein Hinweisgebersystem etablieren und betreiben und gleichzeitig die Anforderungen der Datenschutz Grundverordnung (DSGVO) einhalten?<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Datenschutz beim Whistleblowing im Unternehmen<\/h2>

Whistleblowing-Systeme sollen die regul\u00e4ren Informations- und Meldekan\u00e4le innerhalb eines Unternehmens erg\u00e4nzen \u2013 wie beispielsweise den Betriebsrat, Qualit\u00e4tskontrolle oder interne Auditoren, die eigens daf\u00fcr bestimmt sind, auftretende Missst\u00e4nde zu erkennen und zu melden. Hinweisgeber-Systeme dienen vor allem der anonymen Meldung, wenn Mitarbeiter Konsequenzen bef\u00fcrchten. Die EU-Whistleblower-Richtlinie schreibt f\u00fcr Unternehmen mit 50 oder mehr Mitarbeitern deshalb Meldewege vor, die entsprechenden Schutz des Hinweisgebers gew\u00e4hrleisten.<\/p>

Wie auch immer eine solches Whistleblowing-System aussieht \u2013 mit der Meldung von Verst\u00f6\u00dfen gegen Verhaltenspflichten geht die Verarbeitung von personenbezogenen Daten einher. Betroffene Personen k\u00f6nnen die Hinweisgeber sein (bei nicht anonymer Meldung), vor allem aber die beschuldigten Mitarbeiter.<\/p>

Bei der Verarbeitung von Besch\u00e4ftigtendaten gilt, dass sowohl die automatisierte als auch nichtautomatisierte Verarbeitung in den Anwendungsbereich der DSGVO und des \u00a7 26 Bundesdatenschutzgesetz<\/a> (BDSG) in Verbindung mit Art. 88 DSGVO<\/a> fallen.<\/p>

Bei der Beurteilung der datenschutzrechtlichen Zul\u00e4ssigkeit von Meldeverfahren unter Einsatz eines Hinweisgeber-Systems m\u00fcssen Unternehmen einige Vorschriften der DSGVO ber\u00fccksichtigen:<\/p>

Erforderlichkeit des Hinweisgebersystems<\/h3>

Sofern f\u00fcr Unternehmen keine gesetzliche Verpflichtung zur Einrichtung eines Meldesystems vorliegt, ist die Planung und Einf\u00fchrung eines Whistleblowing-Systems am datenschutzrechtlichen Grundsatz der Erforderlichkeit auszurichten. Die Verantwortlichen m\u00fcssen versuchen realistisch einzusch\u00e4tzen, inwieweit das Unternehmen durch interne Missst\u00e4nde oder ggf. sogar durch kriminelle Aktivit\u00e4ten bestimmten Gefahren ausgesetzt ist. Treten im Unternehmen immer wieder entsprechende F\u00e4lle durch Innent\u00e4ter auf, kann ein Hinweisgebersystem ggf. zus\u00e4tzliche n\u00fctzliche Hinweise liefern.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\n\t\t\t\t\t
\n\t\t\t\t
<\/div>\n\t\t\t\t
<\/div>\n\t\t\t<\/div>\n\t\t\t\t\t\t\t
\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\tSo richten Sie Ihre interne Meldestelle ein und sch\u00fctzen Ihr Unternehmen!\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t\t<\/a>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Rechtm\u00e4\u00dfigkeit der Datenverarbeitung<\/h3>

Grunds\u00e4tzlich gilt, dass die Verarbeitung personenbezogener Daten einer datenschutzrechtlichen Erlaubnis bedarf \u2013 also auch dann, wenn im Rahmen des Whistleblowing-Verfahrens Daten mit Personenbezug verarbeitet werden.<\/p>

Da eine Einwilligung im Besch\u00e4ftigtenverh\u00e4ltnis aufgrund der fehlenden Freiwilligkeit oftmals mit Problemen verbunden ist, empfiehlt sich als Rechtsgrundlage das berechtigte Interesse des Unternehmens an der Aufkl\u00e4rung und Vermeidung bestimmter Missst\u00e4nde im Unternehmen. Werden bei der Einrichtung und beim Betrieb des Hinweisgeber-Systems die hier n\u00e4her dargestellten Datenschutzgrunds\u00e4tze beachtet, wird man bei der Abw\u00e4gung der Interessen des beschuldigten Mitarbeiters und der des Unternehmens in der Regel von einem \u00fcberwiegenden Unternehmensinteresse ausgehen k\u00f6nnen.<\/p>

Auch eine rechtliche Verpflichtung zur Einrichtung eines Hinweisgeber-Systeme kann als Rechtsgrundlage in Frage kommen. Diese ergibt sich derzeit z.B. f\u00fcr den Bankensektor aus \u00a7 25a Abs. 1 Satz 6 Nr. 3 Gesetz \u00fcber das Kreditwesen (KWG). Auch im Zusammenhang mit der Korruptionsbek\u00e4mpfung bestehen rechtliche Verpflichtungen zur Einrichtung von verst\u00e4rkten Kontrollmechanismen. Sobald die EU-Whistleblower-Richtlinie<\/a> in deutsches Recht implementiert ist, ergibt sich solch eine rechtliche Verpflichtung f\u00fcr alle Unternehmen mit 50 oder mehr Arbeitnehmern (siehe dazu unser Artikel zum Hinweisgeberschutzgesetz<\/a>).<\/p>

Auch Kollektivvereinbarungen wie Tarifvertr\u00e4ge und Betriebsvereinbarungen k\u00f6nnen Grundlage f\u00fcr die Verarbeitung personenbezogener Daten im Besch\u00e4ftigungsverh\u00e4ltnis sein. Aber auch bei der Abfassung solcher Vereinbarungen sind die Bestimmungen der DSGVO zu beachten.<\/p>

Prinzip der Datensparsamkeit und der Datenminimierung<\/h3>

(Zus\u00e4tzliche) Informationen, die f\u00fcr den beschriebenen Zweck des Hinweisgeber-Systems nicht erheblich sind, d\u00fcrfen auch nicht gespeichert werden. F\u00fcr die im Zusammenhang mit dem Verfahren erhobenen Personendaten sind zudem Speicherfristen festzulegen und sicherzustellen, dass diese genau eingehalten werden. Schlie\u00dflich sind personenbezogene Daten zu l\u00f6schen, sobald ihr vorgesehener Zweck erf\u00fcllt ist.<\/p>

Transparenz 1: allgemeine Information der Mitarbeiter \u00fcber das Verfahren<\/h3>

Die Mitarbeiter sollten (z. B. in einer entsprechenden Richtlinie) \u00fcber folgende Punkte aufgekl\u00e4rt werden:<\/p>