Datenschutzhinweise - interne Meldestelle

1. Zwecke und Rechtsgrundlagen der Datenverarbeitung (Art. 13 Abs. 1 lit. c DSGVO)

Die interne Meldestelle ist bei der Rechtsanwaltskanzlei CCI-LEGAL (im Folgenden: CCI-LEGAL) eingerichtet.

Gemäß § 10 Satz 1 Hinweisgeberschutzgesetz (HinSchG) verarbeitet die interne Meldestelle personen-bezogene Daten im Sinne von Art. 4 Nr. 2 Datenschutz-Grundverordnung (DSGVO) nach Art. 6 Abs. 1 lit. c, Abs. 3 lit. b zur Erfüllung der gesetzlichen Aufgaben, die CCI-LEGAL im Auftrag eines Unternehmens vertraglich übernommen hat.

Gemäß § 10 Satz 2 HinSchG ist auch die Verarbeitung besonderer Kategorien personenbezogener Daten gem. Art. 9 Abs. 1 DSGVO zulässig, wenn dies zur Erfüllung der Aufgaben der internen Meldestelle erforderlich ist.

Diese Aufgaben umfassen den Schutz von hinweisgebenden Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die interne Meldestelle melden, sowie den Schutz der Personen, die Gegenstand einer Meldung sind, und sonstiger Personen, die von einer Meldung betroffen sind (vgl. § 1 HinSchG).

Hiermit sind zwei Datenverarbeitungstätigkeiten verbunden:

a) die Entgegennahme und Bearbeitung von Meldungen gemäß § 13 HinSchG: Hierunter fallen das Errichten und Betreiben von Meldekanälen nach § 16 HinSchG und die Dokumentation von Meldungen gemäß § 11 HinSchG, das Prüfen der Stichhaltigkeit von Meldungen und das Führen des weiteren Verfahrens nach § 17 HinSchG einschließlich der Erteilung der Eingangsbestätigung und der Rückmeldung. Ferner werden Folgemaßnahmen im Sinne von § 18 HinSchG umfasst. Zuletzt teilt die interne Meldestelle der hinweisgebenden Person das Ergebnis der durch die Meldung ausgelösten Untersuchungen mit;

b) die umfassende und unabhängige Information und Beratung von Personen, die in Erwägung ziehen, eine Meldung zu erstatten, über das Verfahren und den Schutz vor Repressalien.

2. Keine Verarbeitung der Daten für einen anderen Zweck (Art. 13 Abs. 3 DSGVO)

Die Daten werden nur für die unter Ziffer 1. genannten Zwecke verarbeitet, für die sie erhoben wurden.

3. Kategorien von Empfängern der Daten (Art. 13 Abs. 1 lit. e DSGVO)

Gemäß § 8 Abs. 1 S. 1 HinSchG wird die interne Meldestelle die Vertraulichkeit der Identität der hinweisgebenden Personen, der Personen, die Gegenstand einer Meldung sind, und der sonstigen in der Meldung genannten Personen wahren. Personenbezogene Daten dürfen grundsätzlich von der internen Meldestelle ihres Beschäftigungsgebers nicht offengelegt werden. Ausnahmen sind in § 9 HinSchG ausdrücklich geregelt und an strenge Voraussetzungen geknüpft.

a) Im Rahmen der Datenverarbeitungstätigkeit „Entgegennahme und Bearbeitung von Meldungen“ können, wenn die Voraussetzungen des § 9 HinSchG vorliegen, personenbezogene Daten an folgende Empfänger weitergeleitet werden:

aa) im Hinblick auf die hinweisgebende Person

Strafverfolgungsbehörden: in Strafverfahren auf Verlangen der Strafverfolgungsbehörden

Verwaltungsbehörden: aufgrund einer Anordnung in einem einer Meldung nachfolgenden Verwaltungsverfahren, einschließlich verwaltungsbehördlicher Bußgeldverfahren

Gerichte: aufgrund einer gerichtlichen Entscheidung

bb) im Hinblick auf Personen, die Gegenstand einer Meldung sind

Strafverfolgungsbehörden: in Strafverfahren auf Verlangen der Strafverfolgungsbehörden

Beschäftigungsgeber: falls dies im Rahmen einer Folgemaßnahme nach § 18 HinSchG erforderlich ist und die hinweisgebende Person darin einwilligt

Verwaltungsbehörden: aufgrund einer Anordnung in einem einer Meldung nachfolgenden Verwaltungsverfahren, einschließlich verwaltungsbehördlicher Bußgeldverfahren

Gerichte: aufgrund einer gerichtlichen Entscheidung

Zuständige Stellen: ist die interne Meldestelle nicht zuständig für eine Meldung oder ist es ihr nicht möglich, dem gemeldeten Verstoß innerhalb einer angemessenen Zeit weiter nachzugehen, so wird die Meldung unverzüglich an die jeweilige für die Aufklärung, Verhütung und Verfolgung des Verstoßes zuständige Stelle weitergeleitet

cc) im Hinblick auf sonstige Personen, die von einer Meldung betroffen sind

Strafverfolgungsbehörden: in Strafverfahren auf Verlangen der Strafverfolgungsbehörden

Beschäftigungsgeber: falls dies im Rahmen einer Folgemaßnahme nach § 18 HinSchG erforderlich ist

Verwaltungsbehörden: aufgrund einer Anordnung in einem einer Meldung nachfolgenden Verwaltungsverfahren, einschließlich verwaltungsbehördlicher Bußgeldverfahren

Gerichte: aufgrund einer gerichtlichen Entscheidung

Berichte der internen Meldestelle an Ihren Beschäftigungsgeber über deren Tätigkeit enthalten keine personenbezogenen Daten. Rückschlüsse auf die beteiligten Personen dürfen sie nicht zulassen.

b) Personenbezogene Daten, die im Rahmen der Verarbeitungstätigkeit „Information und Beratung“ erhoben werden, werden keinen anderen Stellen offengelegt.

4. Übermittlung von Daten an ein Drittland oder eine internationale Organisation (Art. 13 Abs. 1 lit. f DSGVO)

Personenbezogene Daten werden nicht an Drittländer (Staaten außerhalb der Europäischen Union und dem Europäischen Wirtschaftsraum) oder eine internationale Organisation (Artikel 44 ff. DSGVO) übermittelt.

5. Dauer der Speicherung von personenbezogenen Daten (Art. 13 Abs. 2 lit. a DSGVO)

Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gemäß § 11 Abs. 5 HinSchG gelöscht. Die Dokumentation kann im Einzelfall länger aufbewahrt werden, um die Anforderungen nach dem HinSchG oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist.

6. Bereitstellung personenbezogener Daten (Art. 13 Abs. 2 lit. e DSGVO), anonyme Mitteilungen

Die Bereitstellung personenbezogener Daten ist weder gesetzlich, noch vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich. Die interne Meldestelle bearbeitet auch anonym eingehende Meldungen. Wenn die hinweisgebende Person ihre Meldung anonym abgibt und keine Kontaktmöglichkeit angibt, hat die interne Meldestelle keine Möglichkeit, die hinweisgebende Person bei etwaigen Rückfragen zu kontaktieren und ggf. über das Ergebnis der Prüfung in Kenntnis zu setzen. Im Fall einer Offenlegung kann sich die hinweisgebende Person, wenn sie keine Kontaktmöglichkeit angibt, auch nicht darauf berufen, dass keine geeigneten Folgemaßnahmen ergriffen wurden oder, dass sie keine Rückmeldung über das Ergreifen solcher Folgemaßnahmen erhalten hat. Eine geschützte Offenlegung von Informationen aus diesen Gründen ist dann nicht möglich.

7. Informationen zur Meldung über das elektronische Formular

Personenbezogene Daten sind alle Daten im Sinne des Art. 4 Nr. 1 DSGVO, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Hierzu zählen insbesondere die Angaben, die im Rahmen einer Meldung durch die hinweisgebende Person übermittelt werden. Zu den personenbezogenen Daten zählen aber auch die Informationen über die Nutzung des Internetangebots. Bei jedem Besuch der Internetseite werden automatisch von dem Browser Informationen an den Server der Internetseite gesendet und temporär in sogenannten Logfiles gespeichert. Folgende Daten werden erhoben und bis zur automatisierten Löschung für maximal 14 Tage gespeichert:

IP-Adresse des anfragenden Rechners, Browsertyp und -version, verwendetes Betriebssystem, Datum und Uhrzeit des Abrufs (Zeitstempel), Anfragedetails und Zieladresse (Protokollversion, http-Methode, Referrer, User Agent-String), Name der abgerufenen Datei und übertragene Dateimenge (angefragte URL inklusive Query-String, Größe in Byte), Meldung, ob der Abruf erfolgreich war (HTTP Status Code).

Die genannten Daten werden ausschließlich zur Gewährleistung der Systemsicherheit und -stabilität des Internetangebots verarbeitet. Die Daten werden nicht verwendet, um Rückschlüsse auf Personen zu ziehen.

Aus technischen Gründen werden Daten, die Sie in das Formular eingeben, schon während der Eingabe zwischengespeichert. Wenn Sie die Daten wieder aus dem Formular löschen, bevor Sie Ihre Meldung absenden, werden die Daten spätestens beim Absenden der Meldung aus dem Zwischenspeicher gelöscht. Wenn Sie sich entschließen sollten, doch keine Meldung abzugeben, werden die Daten spätestens bei Beendigung der Sitzung gelöscht.

8. Kategorien der verarbeiteten personenbezogenen Daten

a) Im Rahmen der Datenverarbeitungstätigkeit „Entgegennahme und Bearbeitung von Meldungen“ werden voraussichtlich folgende Kategorien personenbezogener Daten verarbeitet:

- im Hinblick auf die hinweisgebende Person

Personendaten (Name und Geschlecht)

Kontaktdaten (private Anschrift, private Telefonnummer, private E-Mail-Adresse; ggf. auch berufliche Kontaktdaten)

Daten zur beruflichen Tätigkeit (Beruf, Beschäftigungsgeber, Funktion und Position beim Beschäftigungsgeber)

ggf. besondere Kategorien personenbezogener gemäß Art. 9 DSGVO

ggf. personenbezogene Daten über Straftaten gemäß Art. 10 DSGVO

-im Hinblick auf Personen, die Gegenstand einer Meldung sind

Personendaten (Name und Geschlecht)

Daten zur beruflichen Tätigkeit (Beruf, Beschäftigungsgeber, Funktion und Position beim Beschäftigungsgeber)

Informationen zum Verhalten, das nach Auffassung der hinweisgebenden Person den Verstoß darstellt

Informationen zum Inhalt von Folgemaßnahmen und zum Ergebnis der durch die Meldung ausgelösten Untersuchungen

ggf. besondere Kategorien personenbezogener Daten gemäß Artikel 9 DSGVO

ggf. personenbezogene Daten über Straftaten gemäß Artikel 10 DSGVO

- im Hinblick auf sonstige Personen, die von einer Meldung betroffen sind

Personendaten (Name und Geschlecht)

ggf. Kontaktdaten (private Anschrift, private Telefonnummer, private E-Mail-Adresse; ggf. auch berufliche Kontaktdaten)

Daten zur beruflichen Tätigkeit (Beruf, Beschäftigungsgeber, Funktion und Position beim Beschäftigungsgeber)

ggf. besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO

ggf. personenbezogene Daten über Straftaten gemäß Art. 10 DSGVO

b) Im Rahmen der Verarbeitungstätigkeit „Information und Beratung“ werden voraussichtlich folgende Kategorien personenbezogener Daten verarbeitet:

-im Hinblick auf die Person, die eine Meldung in Erwägung zieht

Personendaten (Name und Geschlecht)

Kontaktdaten (private Anschrift, private Telefonnummer, private E-Mail-Adresse; ggf. auch berufliche Kontaktdaten)

Daten zur beruflichen Tätigkeit (Beruf, Beschäftigungsgeber, Funktion und Position beim Beschäftigungsgeber)

Inhalt der durch die externe Meldestelle des Bundes erteilten Information bzw. Beratung

ggf. besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO

ggf. personenbezogene Daten über Straftaten gemäß Art. 10 DSGVO

-im Hinblick auf Personen, die Gegenstand einer möglichen Meldung sind

Personendaten (Name und Geschlecht)

Daten zur beruflichen Tätigkeit (Beruf, Beschäftigungsgeber, Funktion und Position beim Beschäftigungsgeber)

Informationen zum Verhalten, das nach Auffassung der hinweisgebenden Person den Verstoß darstellt

ggf. besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO

ggf. personenbezogene Daten über Straftaten gemäß Art. 10 DSGVO

-im Hinblick auf sonstige Personen, die von einer möglichen Meldung betroffen sind

Personendaten (Name und Geschlecht)

ggf. Kontaktdaten (private Anschrift, private Telefonnummer, private E-Mail-Adresse; ggf. auch berufliche Kontaktdaten)

Daten zur beruflichen Tätigkeit (Beruf, Beschäftigungsgeber, Funktion und Position beim Beschäftigungsgeber)

ggf. besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO

ggf. personenbezogene Daten über Straftaten gemäß Art. 10 DSGVO

9. Quelle der personenbezogenen Daten

Die interne Meldestelle erhält die personenbezogenen Daten in der Regel durch die hinweisgebende Person. Darüber hinaus dürfen bei der Durchführung der Folgemaßnahmen im Sinne von § 18 HinSchG neue personenbezogene Daten erhoben und weiterverarbeitet werden.