1. Umfang und Zweck der Verarbeitung personenbezogener Daten
Im Rahmen der Eingabe und Bearbeitung von Meldungen im Hinweisgeber-Tool verarbeiten wir sämtliche Daten, welche uns dort im Rahmen solcher Meldungen zur Verfügung gestellt werden. Insbesondere können hier folgende Daten betroffen sein:
1. Informationen zur persönlichen Identifizierung des Hinweisgebers (z.B. Name, Anschrift, Kontaktdaten, Geschlecht)
2. Beschäftigteneigenschaft bzw. andere Beziehung, in welcher der Hinweisgeber zu unserem Unternehmen steht
3. Informationen zu betroffenen Personen im Sinne des Hinweisgeberschutzgesetzes (HinSchG), d.h. natürlichen Personen, die in einer Meldung als eine Person bezeichnet wird, die den Verstoß begangen hat, oder mit der die bezeichnete Person verbunden ist (z.B. Name, Anschrift, Kontaktdaten, Geschlecht, sonstige Informationen, die eine Identifikation ermöglichen)
4. Informationen über Verstöße, die ggf. Rückschlüsse auf eine natürliche Person erlauben.
Wir verarbeiten diese Daten zum Zwecke der Untersuchung von Meldungen, um Verstöße gegen geltendes Recht oder Unternehmensrichtlinien zu verhindern, aufzudecken und/oder Folgemaßnahmen (wie Maßnahmen zur Prüfung der Stichhaltigkeit der in der Meldung erhobenen Behauptungen und gegebenenfalls zum Vorgehen gegen den gemeldeten Verstoß, unter anderem durch interne Nachforschungen, Ermittlungen, Strafverfolgungsmaßnahmen, Maßnahmen zur (Wieder-
) Einziehung von Mitteln oder Abschluss des Verfahrens) vorzunehmen.
2. Rechtsgrundlage
Die Verarbeitung personenbezogener Daten erfolgt aufgrund folgender Rechtsgrundlagen:
1. Informationen zur Identität des Hinweisgebers verarbeiten wir nur, soweit uns der Hinweisgeber dazu seine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO gegeben hat, indem er uns diese Daten von sich aus zur Verfügung gestellt hat.
2. Informationen zur Beschäftigteneigenschaft, Informationen zu betroffenen Personen sowie sonstige Informationen, die Rückschlüsse auf natürliche Personen zulassen, verarbeiten wir auf der Grundlage Art. 6 Abs. 1 lit. f DS-GVO. Unser hierfür erforderliches berechtigtes Interesse besteht – je nach zu prüfenden konkreten Einzelfall – in der Bearbeitung von Meldungen, um Folgemaßnehmen durchführen zu können, wie Maßnahmen zur Prüfung der Stichhaltigkeit der in der Meldung erhobenen Behauptungen und gegebenenfalls zum Vorgehen gegen den gemeldeten Verstoß, unter anderem durch interne Nachforschungen, Ermittlungen, Strafverfolgungsmaßnahmen,
Maßnahmen zur (Wieder-)Einziehung von Mitteln oder Abschluss des Verfahrens. Ob Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person einer solchen Datenverarbeitung entgegenstehen, wird im Einzelfall – unter anderem auch mit Blick auf den Verstoß – geprüft
3. Wir verarbeiten ggf. personenbezogene Daten von Beschäftigten auf Grundlage von
§ 26 Abs. 1 Satz 2 BDSG (Erforderlichkeit der Datenverarbeitung zur Aufdeckung von Straftaten).
3. Datenlöschung und Speicherdauer
Daten werden in der Regel so lange gespeichert, bis die Folgemaßnahmen, welche aus der Meldung ggf. resultieren, abgeschlossen sind. Je nachdem, gegen welchen Sachverhalt sich die Meldung wendet, können zusätzliche Spezialgesetze anwendbar sein, welche möglicherweise darüberhinausgehende Aufbewahrungspflichten enthalten. Auch kann die ggf. notwendige Einleitung weiterer rechtlicher Schritte die weitere Aufbewahrung erfordern (z.B. die Einleitung von Strafverfahren oder Disziplinarverfahren).