Vom HSchG erfasste Unternehmen sind verpflichtet ein Hinweisgebermeldesystem einzurichten, welches die Meldung von Missständen im Unternehmen ermöglicht. Es muss eine geschützte, anonyme Kommunikation sichergestellt werden. Außerdem ist die Identität des Hinweisgebers zu schützen, sie muss also geheim gehalten werden und zwar sowohl gegenüber anderen Mitarbeitenden als auch gegenüber der Unternehmensleitung. Hinweise müssen schriftlich oder mündlich gemeldet werden können.
Für ein Hinweisgebermeldesystem bedarf es iSd DSGVO einer Rechtsgrundlage für die Datenverarbeitung, zumal personenbezogene Daten verarbeitet werden.
In § 8 HSchG ist eine solche Rechtsgrundlage für die Verarbeitung der in Hinweisen enthaltenen personenbezogenen Daten normiert.
Demnach dürfen folgende personenbezogene Daten verarbeitet werden:
- Personenbezogene Daten des Hinweisgebers
- Personenbezogene Daten des vom Hinweis Betroffenen
- Personenbezogene Daten der Person, die den Hinweisgeber unterstützt oder auch von nachteiligen Folgen des Hinweises betroffen sein kann (zB Familie)
- der von/in Folgemaßnahmen betroffenen oder involvierten Person.
An die Verarbeitung der personenbezogenen Daten sind aber weitere Voraussetzungen geknüpft.
Die Verarbeitung der personenbezogenen Daten muss:
- im öffentlichen Interesse liegen, Rechtsverletzungen zu verhindern oder zu ahnden und zu diesem Zweck Hinweise zu geben und ihre Stichhaltigkeit zu überprüfen und
- auf Daten eingeschränkt werden, die zur Feststellung und Ahndung einer Rechtsverletzung benötigt werden.
Werden bei einem Hinweis sensible Daten iSd Art 9 Abs 1 DSGVO verarbeitet, so ist dies nur zulässig wenn:
- die Verarbeitung der HSchG-Zwecke unbedingt erforderlich ist und
- das öffentliche Interesse an der Verarbeitung zur Erreichung der HSchG- Zwecke erheblich ist und
- wirksame Maßnahmen zum Schutz der Rechte und Freiheiten der betroffenen Personen getroffen werden.
Um den Hinweisgeber noch stärker zu schützen hat derjenige, der vom Hinweis betroffen ist nicht die in der DSGVO normierten Rechte auf Information, Auskunft, Berichtigung, Löschung der Daten, Einschränkung der Verarbeitung, Widerspruch und auf Benachrichtigung von einer Verletzung des Schutzes personenbezogener Daten.
Personenbezogene Daten, welche für die Bearbeitung eines Hinweises nicht notwendig sind, dürfen nicht erhoben werden und sind unverzüglich zu löschen, sollten sie unbeabsichtigt erhoben worden sein.
