Hinweisgebersystem

Beschreibung des Verarbeitungsprozesses

Für Unternehmen können interne Missstände, insbesondere Kriminalität innerhalb der Organisation bedrohliche Folgen haben. Zur Unterstützung der Einrichtung von Hinweisgebersystemen und dem Schutz der Hinweisgeber, ist am 23.10.2019 die EU-Richtlinie 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, in Kraft getreten. Das Hinweisgebersystem ermöglicht die anonyme Kommunikation mit dem Hinweisgeber (engl. Whistleblower).

Welche personenbezogenen Daten werden erhoben?
Es werden nur personenbezogene Daten erhoben, die der Hinweisgeber bewusst mitteilt:

• Name
• E-Mail-Adresse
• Weitere personenbezogene Daten, die im Rahmen der Beschreibung des Hinweises entstehen.

 

Rechtmäßigkeit der Verarbeitung

Wir haben ein berechtigtes Interesse an der Verarbeitung der von Ihnen bewusst mitgeteilten personenbezogener Daten, um Verstöße innerhalb der betreffenden Unternehmen, für die wir als interne Meldestelle fungieren, zu vermeiden und aufzudecken, um die Rechtmäßigkeit interner Verfahren zu prüfen und um die Integrität der betreffenden Unternehmen zu schützen. Die Rechtmäßigkeit der Verarbeitung personenbezogener Daten (des Hinweisgebers sowie der von der Meldung betroffenen Person) ergibt sich somit aus Art. 6 Abs. 1 Satz 1 lit. f) DSGVO i.V.m. § 26 Abs. 1 Satz 2 BDSG, Art. 88 DSGVO: Im Falle einer rechtlichen Verpflichtung der Verarbeitung personenbezogener Daten (z.B. Lieferkettensorgfaltspflichtengesetz) ergibt sich darüber hinaus die Rechtmäßigkeit gemäß Art. 6 Abs. 1 Satz 1 lit. c) DSGVO.

Soweit der Hinweisgeber seine Identität gewollt oder bewusst preisgeben möchte, ist die Rechtsgrundlage für diese Angaben eine Einwilligung gem. Art. 6 Abs. 1 Satz 1 lit. a) DSGVO (bewusste Aufhebung der Anonymität im Meldeformular). Sie haben das Recht Ihre Einwilligung jederzeit gem. Art. 7 Abs. 2 DSGVO zu widerrufen. Nach dem Widderruf werden wir Ihre personenbezogenen Daten zu Ihrer Identität nicht weiter verarbeiten. Die Verarbeitung bis zum Widerruf bleibt jedoch auf der Grundlage Ihrer ursprünglichen Einwilligung wirksam. Dazu kann auch gehören, dass wir Ihre Identität an die beschuldigte Person preisgeben oder an Strafermittlungsbehörden übermitteln mussten, wenn wir rechtlich dazu verpflichtet waren. Die beschuldigte Person hat gem. Art. 14 Abs. 3 lit. a) DSGVO grundsätzlich Anspruch darauf, über die Verarbeitung ihrer Daten und die Identität des Hinweisgebers informiert zu werden. Das Recht besteht gem. § 29 Abs. 1 Satz 1 BDSG nicht, wenn Ihre Identität geheim zu halten ist. Andernfalls muss die beschuldigte Person gem. Art. 14 Abs. 3 lit. a) DSGVO grundsätzlich innerhalb eines Monats nach der Meldung informiert werden. Die Information kann jedoch gem. Art. 14 Abs. 5 lit. b) DSGVO so lange aufgeschoben werden, wie das Risiko besteht, dass durch die Information die Untersuchung des gemeldeten Sachverhalts gefährdet würde.
 

Zweckbestimmung

Das Hinweisgebersystem steht Mitarbeitenden (auch künftigen oder ehemaligen) der Senioren- und Seniorenpflegeheim gGmbH Zwickau, SSH Service gemeinnützige GmbH und der Äskulap Pflegedienst Zwickau gemeinnützige GmbH und Dritten (z.B. angeschlossene Gesundheitseinrichtungen, Kunden, Geschäftspartner, Lieferanten, Mitarbeiter verbundener Unternehmen) zur Hinweismeldung im beruflichen Zusammenhang zur Verfügung.

Das Hinweisgebersystem dient der Entgegennahme und Aufklärung von schwerwiegenden Verdachtsfällen über Verstöße gegen das Unionsrecht nach EU-Richtlinie 2019/1937, insbesondere über strafbare Handlungen, die zu einer Gefährdung der Unternehmens führen können als auch zur Aufnahmen von allgemeinen Prozessmängeln und Schwachstellen, die einen entsprechenden Handlungsbedarf erfordern.

Hierzu zählen u.a. Verstöße in den Bereichen:

• Rechnungswesen, Prüfungen und interne Finanzkontrollen (z.B. Unregelmäßigkeiten in der Buchführung, Rechnungslegung und Abschlussprüfung, finanzielles Fehlverhalten bei internen Kontrollen)
• Unternehmensintegrität (z.B.: Bestechung, Korruption und Betrug, Geschenke und Bewirtung, Dokumentenfälschung, Interessenkonflikte, Wettbewerb und Kartellrecht, Vertraulichkeit und Datenschutzverstöße)
• Umwelt, Gesundheit und Sicherheit (z.B.: Verstöße gegen Umweltvorschriften sowie Arbeits- und Gesundheitsschutzvorschriften; inklusive Körperverletzungen und Missbrauch)
• Personalwesen, Diversität und Respekt am Arbeitsplatz (z.B.: Diskriminierung, (sexuelle) Belästigung und Mobbing, Menschenrechtsverletzungen, Kompensationen, allgemeine Personalangelegenheiten, Fehlverhalten oder unangemessenes Verhalten)
• Missbrauch/Veruntreuung von Vermögenswerten oder Dienstleistungen (z.B. unerlaubte Nutzung von unternehmenseigenen Ressourcen oder Ausrüstungen aus nicht-geschäftlichen Gründen, Diebstahl von Unternehmenseigentum, Arbeitszeitbetrug)
• Sonstiges (Sonstige Verstöße gegen Vorschriften, Gesetze und Richtlinien)

Ziel ist es, die Daten der Hinweisgeber unter Wahrung ihrer Anonymität zu verarbeiten. Das Hinweisgebersystem erhebt Daten über die Art der generellen Systemnutzung. Diese umfassen die Anzahl der Meldungen zu bestimmten Kategorien und Informationen zur Meldungsbearbeitung. Durch das Hinweisgebersystem können keine statistischen Auswertungen erfolgen, welche Rückschlüsse auf einen einzelnen Benutzer zulassen. Das Hinweisgebersystem stellt eine internetbasierte Alternative zu den üblichen Kommunikationswegen und/oder den unternehmensinternen Funktionsträgern dar und fragt daher nicht zwingend personenbezogenen Daten beim Hinweisgeber ab. Die Eingabe personenbezogener Daten des Hinweisgebers in das Hinweisgebersystem erfolgt auf freiwilliger Basis.
 

Speicherung personenbezogener Daten des Hinweisgebers

Anonymitätsgarantie: Das Nutzerverhalten wird durch das Hinweisgebersystem anonymisiert erfasst. Alle eingegebenen Daten des Hinweisgebers werden individuell verschlüsselt in einer Datenbank gespeichert. Nur die für die Entgegennahme und Bearbeitung der Meldungen zuständigen sowie die sie bei der Erfüllung dieser Aufgaben unterstützenden Personen haben Zugriff auf die eingehenden Meldungen.

Speicherung personenbezogener Daten der vom Hinweis betroffenen Person
Für den Fall, dass personenbezogene Daten gespeichert werden, wird der davon Betroffene über die Verarbeitung und Nutzung dieser Daten informiert, sobald davon keine Gefahr für die Sachverhaltsaufklärung besteht. Der von der Meldung Betroffene hat in diesem Fall auch einen Anspruch auf Auskunft der über ihn gespeicherten personenbezogenen Daten. Die Identität des Hinweisgebers bleibt von diesem Auskunftsrecht vorbehaltlich der vorstehenden Regelungen grundsätzlich ausgenommen.
 

Weitergabe der personenbezogenen Daten

Bei der Meldung von Verstößen gegen Verhaltensweisen erhalten die dafür vorgesehene Abteilung (bspw. Revision, Compliance sowie ggf. involvierte Konzernunternehmen) die personenbezogenen Daten zur weiteren internen Verarbeitung.

Bitte beachten Sie, dass gem. Art. 14 DSGVO innerhalb eines Monats nach der Meldung von Missständen ohne Kenntnis der betroffenen Person, diese gegebenenfalls unter Preisgabe der Identität des Hinweisgebers informiert werden muss.

Eine Weitergabe und die Verarbeitung der Daten an einen Mitarbeiter in dem von der Meldung betroffenen Unternehmen, soweit dies zur Aufklärung erforderlich ist, bedarf der vorherigen Einwilligung des Hinweisgebers. Wir weisen darauf hin, dass im Fall dieser Einwilligung der Empfänger gem. Art 14 DSGVO verpflichtet sein kann, den von der Meldung Betroffenen einen Monat nach Kenntniserlangung auch von der Identität des Hinweisgebers zu informieren, spätestens jedoch, wenn diese Unterrichtung eine wirksame Untersuchung des Vorwurfs oder die Sammlung der erforderlichen Beweise nicht gefährden würde. Wenn ein Hinweisgeber eine Einwilligung zur Offenlegung seiner Identität erteilt, kann er diese gem. Art. 7 Abs. 2 DS-GVO bis zu einem Monat nach erfolgter Meldung widerrufen.

Eine Beschlagnahmefreiheit kann nicht zugesichert werden. Mit Beschluss Landgerichts Bochum vom 16.03.2016 wurde ausdrücklich eine Beschlagnahme durch die Staatsanwaltschaft zum Zwecke der Erforschung der Identität eines Hinweisgebers zugelassen.
 

Wahrung der Betroffenenrechte

Nach dem europäischen Datenschutzrecht haben Sie und die in der Meldung genannten Personen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie ein Widerspruchsrecht gegen die Verarbeitung Ihrer personenbezogenen Daten. Nach Art. 15 DSGVO hat die betroffene Person, sowohl der Hinweisgeber als auch die beschuldigte Person, Anspruch auf Auskunft der zu Ihrer Person gespeicherten Daten, auch soweit sie sich auf Herkunft und Empfänger bezieht. Es besteht jedoch keine Auskunftsverpflichtung, soweit durch die Auskunft Informationen offenbart würden, die wegen überwiegenden berechtigten Interessen eines Dritten geheim gehalten werden müssen, § 29 Abs. 1 Satz 2 BDSG. Wird das Widerspruchsrecht in Anspruch genommen, prüfen wir umgehend, inwieweit die gespeicherten Daten noch erforderlich sind; insbesondere für die Bearbeitung einer Meldung. Nicht mehr benötigte Daten werden unverzüglich gelöscht. Für weitere Fragen und die Möglichkeit Ihre Rechte geltend zu machen, können Sie sich jederzeit unter der im Impressum angegebenen Adresse an uns wenden.
Des Weiteren steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.
 

Löschung & Änderung

Hinweisgeber und Betroffene haben bei Vorliegen der gesetzlichen Voraussetzungen das Recht, unrichtige Daten korrigieren, ändern, sperren oder löschen zu lassen. Es gelten die gesetzlichen Löschfristen. Sollten Hinweisgeber im Dialog personenbezogene Daten übermittelt haben, werden diese so lange aufbewahrt, wie es die Aufklärung und abschließende Beurteilung des gemeldeten Sachverhaltes erfordert. Alle Daten werden innerhalb von 60 Tagen nach Abschluss der Untersuchung auf der Meldeplattform gelöscht. Die Dokumentation bei der internen Meldestelle wird gem. § 11 Abs. 5 HinSchG drei Jahre nach Abschluss des Verfahrens gelöscht. Die Dokumentation kann länger aufbewahrt werden, um die Anforderungen nach diesem Gesetz oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist. Personenbezogene Daten im Zusammenhang mit Meldungen, die von der Organisationseinheit, die für die Bearbeitung der Meldung zuständig ist, als grundlos erachte werden, werden unverzüglich gelöscht.
Zur Wahrung der Integrität der Daten werden von der Anwendung und der Datenbank regelmäßig Sicherungen durchgeführt. Die Aufbewahrungszeit einer Sicherung beträgt maximal einen Kalendermonat. Ältere Sicherungen sowie alle entsprechenden Kopien werden automatisch gelöscht.
Es besteht das Recht auf Datenübertragbarkeit, vgl. Art. 13 Abs. 2 lit. b DSGVO.
Des Weiteren steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

Datenschutzbeauftragter:
HBK Verwaltung und Bildung gemeinnützige GmbH
Zu Hd. Datenschutzbeauftragter
Karl-Keil-Straße 35, 08060 Zwickau
Tel.: 0375 / 51-0
E-Mail: datenschutzbeauftragter@hbk-zwickau.de