Funktionsweise, Vertraulichkeit

Wir stellen ein Hinweisgeberschutzsystem bereit, über das sog. Whistleblower nach den Anforderungen des Hinweisgeberschutzgesetz (HinSchG) Meldungen über Missstände oder Gesetzesverstöße innerhalb des Unternehmens vornehmen können. Das System richtet sich vornehmlich an unsere Mitarbeitenden und Geschäftspartner. Die Regelungen aus dem HinSchG haben zum Ziel, hinweisgebende Personen vor Repressalien zu schützen. Als Unternehmen sind wir verpflichtet, das System so zu betreiben, dass solche Repressalien nach Möglichkeit ausgeschlossen sind.

Wir haben uns deshalb für ein System entschieden, das von einem hierauf spezialisierten Unternehmen in unserem Auftrag betrieben wird. Das heißt, die bei der Abgabe von Hinweisen entstehenden technischen Daten fallen nicht bei uns, sondern beim Betreiber des Systems an. Hierbei handelt es sich in erster Linie um Daten, wie sie bei jeder Nutzung eines Internetservices anfallen. Dies sind zum einen solche Daten, wie sie bereits in diesen Datenschutzhinweisen für den Besuch unserer Webseite beschrieben wurden. Hinzu kommen beim Hinweisgeberschutzsystem noch Daten für die gezielte Interaktion mit dem System (Möglichkeit sich mittels UserID und Passwort oder bei anonymen Meldungen mittels kryptischen Link erneut am System anzumelden, um Rückmeldungen zu lesen oder die eigene Meldung zu ergänzen). Auch beim Hinweisgeberschutzsystem dienen diese Daten, um das System überhaupt technisch zu ermöglichen, reibungslos zu betreiben und die erforderlichen Funktionen bereitzustellen (berechtigtes Interesse).

Der Betreiber hat sich verpflichtet, diese technischen Daten auch uns gegenüber strikt vertraulich zu handhaben, sodass wir hierauf keinen Zugriff haben. Auf die eigentlichen Meldungen (den Inhalt) hat der Betreiber keinen Zugriff, weil diese konsequent verschlüsselt sind und nur wir über den Schlüssel verfügen. Somit haben nur wir Zugriff auf den eigentlichen Inhalt der Meldung. Diesen Zugriff ermöglichen wir wiederum nur ausgesuchten Mitarbeitenden, die sich zur strikten Verschwiegenheit hinsichtlich der Identität der meldenden Person verpflichtet haben (Mitarbeitende unserer Meldestelle). Für eine Tätigkeit in der Meldestelle kommen nur Mitarbeitende in Frage, die keine Personalverantwortung tragen, um Interessenkonflikte (und Repressalien) bestmöglich zu vermeiden.

Eine Kenntnisnahme der meldenden Person von unserer Seite erfolgt ohnehin nur, wenn diese Angaben zu ihrer Identität macht. Es werden auch anonyme Meldungen ermöglicht. Eine anonyme Meldung schränkt die Möglichkeiten der Verfolgung von Verstößen und Verfehlungen aber ein. Die Erfassung und Verarbeitung der Identität der meldenden Person erfolgt auf Basis einer Einwilligung. Diese Einwilligung erteilen Sie während der Nutzung des Systems, bevor die Identität Ihrer Person abgefragt wird. Die Einwilligung können Sie jederzeit für die Zukunft widerrufen; in der Folge verwenden wir die von Ihnen gemachten Angaben zu Ihrer Identität nicht mehr und löschen sie.

Bei Meldenden, die Ihre Identität dem System (und unserer Meldestelle) offenbaren, erfragt das System Informationen zur persönlichen Identifizierung des Hinweisgebers, wie zum Beispiel Vor- und Nachname, Geschlecht, Anschrift, Telefonnummer und E-Mail-Adresse. Zwecke der Einwilligung: Angaben zu Ihrer Identität nutzen wir sodann, um mit Ihnen Kontakt für Rückbestätigungen oder Rückfragen aufnehmen zu können, den Gehalt der eigentlichen Meldung besser untersuchen zu können oder um Sie ggf. staatlichen Stellen (in der Regel Ermittlungsbehörden) benennen zu können. Diese Offenlegung erfolgt durch uns vor allem, damit Sie als Zeuge tätig werden können.

Unabhängig von den Angaben zur Identität der meldenden Person werden Angaben zur Beschäftigteneigenschaft bei der Mail Professionals GmbH abgefragt (nur die Tatsache an sich, keine Details). Aus dem Kontext der Meldung oder der eigentlichen Meldung können sich Hinweise zur meldenden Person oder weiteren Personen ergeben; diese Daten werden aus naheliegenden Gründen ebenfalls von uns verarbeiten, weil wir auf den Zeitpunkt und den Inhalt der Meldung keinen Einfluss haben).

Über die bereits oben beschriebenen Zwecke der Einwilligung hinausgehend verarbeiten wir die sonstigen ggf. im Zusammenhang einer Meldung entstandenen personenbezogenen Daten (im Rahmen des Erforderlichen) zum Zwecke der Untersuchung der Meldungen, um Verstöße gegen geltendes Recht oder Unternehmensrichtlinien zu verhindern, aufzudecken und/oder Folgemaßnahmen (wie Maßnahmen zur Prüfung der Stichhaltigkeit der in der Meldung erhobenen Behauptungen und gegebenenfalls zum Vorgehen gegen den gemeldeten Verstoß, unter anderem durch interne Nachforschungen, Ermittlungen, Strafverfolgungsmaßnahmen, Maßnahmen zur (Wieder-)Einziehung von Mitteln oder Abschluss des Verfahrens) vorzunehmen. Wir verfolgen hiermit (berechtigte) Interessen der meldenden Person, unseres Unternehmens und / oder Dritter (z.B. andere Mitarbeitende, Kunden, Lieferanten, der Allgemeinheit).

Offenlegung und Übermittlung

Je nach Zuständigkeitsschwerpunkt der Meldung sowie zur effektiven Einleitung von Folgemaßnahmen werden Inhalte der Meldung im erforderlichen Umfang (also unter möglichst umfassender Wahrung der Vertraulichkeit) von unserer Meldestelle gegebenenfalls an unsere entsprechend zuständigen Fachabteilungen weitergegeben. Dies erfolgt im Rahmen des oben beschriebenen Zwecks (insb. im berechtigten Interesse der Verhinderung, Aufklärung, Verfolgung von Verstößen oder Verfehlungen). Dies schließt mit ein, dass wir im Rahmen der Bewertung einer Meldung Informationen im erforderlichen Umfang auch an externe, gesetzlich zur Verschwiegenheit verpflichtete Spezialisten wie Rechtsanwälte, Wirtschaftsprüfer oder unseren Datenschutzbeauftragten offenlegen.

Eine Offenlegung von Informationen gegenüber staatlichen Stellen (insb. Ermittlungs- und Aufsichtsbehörden) erfolgt a) wie oben bereits beschrieben basierend auf Ihrer Einwilligung (betrifft Angaben zu Ihrer Identität), b) im erforderlichen Umfang basierend auf unserem berechtigten Interesse zur Aufklärung und Verfolgung von Verfehlungen und Verstößen oder c) weil dies aufgrund gesetzlicher Vorgaben notwendig ist (insb. gesetzlicher Verpflichtung zur Erstattung einer Strafanzeige oder verpflichtende Herausgabeaufforderung durch staatliche Stellen).

Aufbewahrungszeitraum

Daten werden im Normalfall solange gespeichert, bis die Folgemaßnahmen abgeschlossen sind. In der Regel werden die Daten aus einer Meldung nach 2 Monaten gelöscht, nachdem das Verfahren endgültig abgeschlossen ist, es sei denn, die Einleitung weiterer rechtlicher Schritte erfordert die weitere Aufbewahrung (z.B. Einleitung von Strafverfahren oder Disziplinarverfahren). Personenbezogene Daten im Zusammenhang mit Meldungen werden von uns unverzüglich gelöscht, sofern wir sie als offensichtlich sachlich grundlos erachten.