Transparente Verantwortung: Betroffeneninformation im Hinweisgeberverfahren

Durch die neue deutsche Gesetzgebung innerhalb des Hinweisgeberschutzgesetzes (HinSchG), werden seit Juli 2023 Whistleblower, welche auf Verstöße und Vorfälle aufmerksam machen, deutlich besser geschützt. In dem für eine Vielzahl von Unternehmen ab 50 Mitarbeitern geltenden Gesetz, sollen so vor allem vertrauliche Meldekanäle geschaffen werden, um Hinweise zu ermöglichen. Das Gesetz zielt dabei darauf ab, Transparenz zu fördern und Menschen zu ermutigen, sich gegen Fehlverhalten zu wehren, ohne Angst vor Nachteilen haben zu müssen.

Ein wichtiger Aspekt hierbei ist deshalb etwa die hinreichende Information der Betroffenen über die Verarbeitung personenbezogenen Daten. Dabei verpflichtet die DSGVO innerhalb der Artikel 13 und 14 alle Organisationen dazu, Personen, deren Daten sie verarbeiten, über Zwecke und Details der Datenverarbeitung entweder direkt bei Datenerhebung (Artikel 13) oder wenn Daten nicht von der betroffenen Person selbst stammen, unverzüglich (also ohne schuldhaftes Zögern) zu informieren. (Artikel 14).

Vorteile und Pflichten externer Besetzung der Meldestelle

Um mögliche interne Konflikte, sowie die damit verbundenen Herausforderungen bestmöglich zu bewältigen, bietet sich die externe Besetzung der Meldestelle als äußerst vielversprechende Strategie an. Diese Herangehensweise ermöglicht nicht nur die Implementierung von Haftungsprivilegien und gerichtlichen Beweisvorteilen, sondern geht auch aktiv gegen potenzielle Weisungsgebundenheitskonflikte vor. Dadurch lassen sich interne Auseinandersetzungen und Schwierigkeiten von vorneherein umgehen, während gleichzeitig ein bestmöglicher Schutz für betroffene Parteien gewährleistet wird. Damit dies jedoch reibungslos funktioniert, ist eine transparente Informationspolitik gegenüber allen Betroffenen durch die externe Stelle zu beachten. Dies ist essenziell, um sicherzustellen, dass alle Personen umfassend über ihre Rechte informiert sind und verstehen können, wie und zu welchem Zweck ihre personenbezogenen Daten verarbeitet werden.
Regelmäßig kann dazu eine Information gem. Art. 13 DSGVO also im Rahmen einer Datenschutzerklärung gegenüber den Meldenden stattfinden. Da im Zuge der Meldung jedoch meist auch personenbezogene Daten Dritter, also der Beschuldigten, betroffen sind, ist auch die Einhaltung des Art. 14 DSGVO erforderlich.

Betroffeneninformationen im Zuge des Verfahrens

Durch den Eingang einer Mitteilung bei der entsprechenden Instanz entsteht die Verpflichtung zur Bearbeitung, Aufzeichnung und Umsetzung von Folgemaßnahmen, wodurch zwingendermaßen personenbezogene Daten gleich mehrerer Beteiligter verarbeitet werden. Dabei sind genauer gesagt neben den Daten der Meldenden Person im Regelfall auch personenbezogene Daten der Beschuldigten betroffen. Zur Gewährleistung der Vertraulichkeit und zur Vermeidung von Interessenkonflikten gestattet die Richtlinie (EU) 2019/1937 des europäischen Parlaments und des Rates gewisse Ausnahmen von bestimmten Datenschutzrechten der betroffenen Personen. Diese Ausnahmen wurden auch im deutschen Recht speziell durch § 8 HinSchG umgesetzt. Eine Abwägung zwischen Vertraulichkeitsschutz und datenschutzrechtlichen Informationspflichten spielt dabei eine entscheidende Rolle.

Beispielsweise müssen Informationen, welche dem § 29 Abs. 1 BDSG (Grundsatz der Vertraulichkeit) unterliegen folglich auch vertraulich behandelt werden. Dem gegenüber steht jedoch das Recht der Betroffenen auf Auskunft gem. Art 15 DSGVO. Um eine Entscheidung zu treffen ob Art 23 Abs. 1 lit. d und i DSGVO angewendet werden kann und eine Einschränkung der Informationspflicht möglich ist, hängt von einer sorgfältigen Abwägung der Interessen zwischen dem Schutz der Vertraulichkeit und den datenschutzrechtlichen Informationspflichten ab.

Informationspflichten für verschiedene Betroffenenkategorien

Im konkreten Verfahren lassen sich drei Hauptkategorien von Betroffenen und damit unterschiedlichen Anforderungen hinsichtlich der Abwägung unterscheiden.

1. Hinweisgebende: diese Personen müssen über die Verarbeitung ihrer Daten grundsätzlich durch die Organisation selbst oder den zuständigen externen Dritten informiert werden. Dies kann beispielsweise über die Datenschutzinformation im Zuge der Meldeeinreichung geschehen.
2. Beschuldigte: In der Regel werden Beschuldigte nicht sofort über die Meldungen oder laufende Ermittlungen informiert. Hier überwiegt regelmäßig das Ermittlungsinteresse dem Informationsinteresse. Dies ist jedoch nachzuholen, sobald die Informationspflichten den Ermittlungen nicht mehr im Wege stehen.
3. Anderweitig genannte Personen: Hier müssen die Information und Ermittlungsinteressen genau abgewogen werden. Falls die Ermittlungen nicht beeinträchtigt werden durch beispielsweise ein Zusammenwirken mit dem Beschuldigten, sind die Personen umgehen zu informieren.

Fazit

Durch das Hinweisgeberverfahren sollen unterschiedliche Interessen in Einklang gebracht werden:

• Betroffene, welche Hinweise geben, sollen einerseits vor möglichen Risiken geschützt werden
• Während gleichzeitig die Effektivität von Untersuchungen sichergestellt werden soll
• Beschuldigten, welche durch den Hinweis verdächtigt werden, soll jedoch ebenfalls deren Recht transparente Datenverarbeitung eingeräumt werden

Gerade innerhalb der Schnittstelle zwischen Hinweisgeber- und Datenschutz entstehen folglich häufiger Zielkonflikte, welche jedoch meist sehr gut zu lösen sind.

Sollten sie Fragen oder Hilfe bei aufkommenden Fragen brauche, stehen wir Ihnen gerne als kompetenter Partner zur Verfügung, um in diesem Themenbereich unterstützende Lösungen zu entwickeln und umzusetzen.