DSGVO-DatenverarbeitungsmodellBetrieb einer internen Meldestelle nach dem Hinweisgeberschutzgesetz

Durch: Maj Ref DE API Rest

Organisation: PrivatOrganisation: ÖffentlichFunktion: Recht und ComplianceRegister: Allgemein

Diese Verarbeitungstätigkeit betrifft die Entgegennahme, Dokumentation und Bearbeitung von Meldungen über Verstöße durch die interne Meldestelle nach dem Hinweisgeberschutzgesetz (HinSchG), einschließlich der Folgemaßnahmen und der Rückmeldung an die hinweisgebende Person. Sie umfasst die Daten der hinweisgebenden Personen, der von einer Meldung betroffenen Personen und sonstiger in der Meldung genannter Personen.

Zwecke (4)

Der Zweck einer Verarbeitung ist das Hauptziel der Nutzung personenbezogener Daten. Diese Daten müssen für einen klar definierten und legitimen Zweck erhoben werden und dürfen nicht später in einer Weise verarbeitet werden, die mit diesem ursprünglichen Ziel unvereinbar ist.

Entgegennahme und Dokumentation von Meldungen

Bereitstellung mündlicher und textbasierter Meldekanäle, Entgegennahme von Meldungen (auch anonymer Meldungen), Eingangsbestätigung innerhalb von sieben Tagen und dauerhaft abrufbare Dokumentation unter Wahrung des Vertraulichkeitsgebots (§§ 8, 11, 16, 17 Abs. 1 HinSchG).

Gesetzliche Verpflichtung

Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 10, 12, 16 und 11 HinSchG; für besondere Kategorien personenbezogener Daten § 10 Satz 2 HinSchG

Prüfung der Meldung und Durchführung von Folgemaßnahmen

Prüfung des Anwendungsbereichs und der Stichhaltigkeit, Nachfragen bei der hinweisgebenden Person, interne Untersuchungen, Verweis an andere Stellen, Abschluss des Verfahrens oder Abgabe an eine zuständige Arbeitseinheit oder Behörde (§§ 17, 18 HinSchG).

Gesetzliche Verpflichtung

Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 10, 17 und 18 HinSchG

Rückmeldung an die hinweisgebende Person

Mitteilung geplanter und ergriffener Folgemaßnahmen sowie ihrer Gründe innerhalb von drei Monaten nach der Eingangsbestätigung, soweit interne Ermittlungen und die Rechte der betroffenen Personen nicht beeinträchtigt werden (§ 17 Abs. 2 HinSchG).

Gesetzliche Verpflichtung

Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 17 Abs. 2 HinSchG

Bearbeitung von Hinweisen außerhalb des gesetzlichen Anwendungsbereichs

Freiwillige Öffnung des Meldesystems für Hinweise, die nicht unter § 2 HinSchG fallen (zum Beispiel Verstöße gegen interne Verhaltensrichtlinien), oder für Personen, die nicht zum gesetzlich geschützten Personenkreis gehören. Die Interessenabwägung ist im Einzelfall zu dokumentieren.

Berechtigte Interessen des Verantwortlichen oder eines Dritten

Art. 6 Abs. 1 lit. f DSGVO (Interesse des Beschäftigungsgebers an der Aufdeckung und Abstellung von Missständen, vgl. Orientierungshilfe der Datenschutzaufsichtsbehörden zu Whistleblowing-Hotlines, Abschnitt D 3)

Daten (3)

Artikel 30 der DSGVO verlangt die Registrierung der verarbeiteten Datenkategorien. Hierbei geht es darum, die Kategorien der verarbeiteten Daten zu definieren. Diese können als gewöhnlich oder sensibel bezeichnet werden.

Angaben zur hinweisgebenden Person und Kommunikation

Details der Daten

Name und Kontaktdaten der hinweisgebenden Person (sofern nicht anonym)optional

Funktion oder Beziehung zum Beschäftigungsgeberoptional

Zugangskennung zum anonymen Postfach des Meldekanalsoptional

Datum der Eingangsbestätigung und der Rückmeldungoptional

Aufbewahrungsregeln

Aktiver Bestand:

Bis zum Abschluss des Verfahrens

§ 11 Abs. 5 HinSchG

Zwischenarchivierung:

Löschung drei Jahre nach Abschluss des Verfahrens; längere Aufbewahrung nur, soweit erforderlich und verhältnismäßig zur Erfüllung des HinSchG oder anderer Rechtsvorschriften

Endgültige Sortierung

Meldung und Angaben zu betroffenen Personen

Details der Daten

Name und Funktion der Person, die Gegenstand der Meldung istoptional

Beschreibung des gemeldeten Sachverhaltsoptional

Angaben zu möglichen Straftaten oder Ordnungswidrigkeitenoptional

Besondere Kategorien personenbezogener Daten, soweit in der Meldung enthaltenoptional

Zusammenfassung oder Wortprotokoll mündlicher Meldungenoptional

Aufbewahrungsregeln

Aktiver Bestand:

Bis zum Abschluss des Verfahrens

§ 11 Abs. 5 HinSchG; zu Tonaufzeichnungen § 11 HinSchG

Zwischenarchivierung:

Löschung drei Jahre nach Abschluss des Verfahrens; Tonaufzeichnungen nach Fertigstellung des Protokolls

Endgültige Sortierung

Fallakte zu Folgemaßnahmen

Details der Daten

Ergebnisse interner Untersuchungen und Befragungsprotokolleoptional

Ergriffene Folgemaßnahmen und Abschlussvermerkoptional

Bearbeitende Personen der Meldestelleoptional

Aufbewahrungsregeln

Aktiver Bestand:

Bis zum Abschluss des Verfahrens

§ 11 Abs. 5 HinSchG

Zwischenarchivierung:

Löschung drei Jahre nach Abschluss des Verfahrens, sofern keine Rechtsverfolgung (zum Beispiel arbeitsrechtliche Maßnahmen oder Strafverfahren) eine längere Aufbewahrung erfordert

Endgültige Sortierung

Betroffene Personen (6)

Eine betroffene Person ist jede Person, deren Daten durch die betreffende Datenverarbeitung gesammelt, gespeichert oder verarbeitet werden. Zum Beispiel: Im Rahmen einer Rekrutierungsverarbeitung stellt jeder Bewerber für die betreffende Stelle eine betroffene Person dar.