Hinweisgeberschutzgesetz: Datenschutz bei der internen Meldestelle

Am 2. Juli 2023 ist das Hinweisgeberschutzgesetz (HinSchG) in Kraft getreten. Es setzt die EU-Whistleblower-Richtlinie um und verpflichtet Unternehmen mit in der Regel mindestens 50 Beschäftigten, eine interne Meldestelle einzurichten. Für Unternehmen mit 50 bis 249 Beschäftigten gilt diese Pflicht ab dem 17. Dezember 2023. Eine Meldestelle verarbeitet zwangsläufig hochsensible personenbezogene Daten über die hinweisgebende Person, über beschuldigte Personen und über Dritte. Ohne sauberen Datenschutz lässt sie sich deshalb nicht umsetzen.

Vertraulichkeit als Kernpflicht

Das HinSchG verpflichtet die Meldestelle, die Identität der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, und sonstiger in der Meldung genannter Personen vertraulich zu behandeln. Die Identität darf grundsätzlich nur den Personen bekannt werden, die für die Entgegennahme und Bearbeitung der Meldungen zuständig sind. Dieses Vertraulichkeitsgebot geht über die allgemeinen Anforderungen der DSGVO hinaus und muss organisatorisch und technisch abgesichert werden.

Rechtsgrundlage der Datenverarbeitung

Die Verarbeitung personenbezogener Daten durch die Meldestelle ist zulässig, soweit sie zur Erfüllung der Aufgaben nach dem HinSchG erforderlich ist. Datenschutzrechtlich stützt sie sich auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem HinSchG. Auch besondere Kategorien personenbezogener Daten, die in Meldungen häufig vorkommen, dürfen unter den gesetzlichen Voraussetzungen verarbeitet werden, allerdings nur mit angemessenen Schutzmaßnahmen.

Praktische Umsetzung

• Ein spezielles, verschlüsseltes Hinweisgebersystem ist einem allgemeinen E-Mail-Postfach deutlich überlegen. Auf ein Postfach, auf das auch die Geschäftsführung oder die IT-Administration Zugriff haben, sollte verzichtet werden.
• Nur die benannten Mitarbeitenden der Meldestelle dürfen Zugriff haben. Das muss in einem Berechtigungskonzept festgelegt werden.
• Wird die Meldestelle an Dritte ausgelagert oder Software eines Anbieters genutzt, ist ein Auftragsverarbeitungsvertrag zu schließen. Bei Servern außerhalb der EU sind die Regeln zum Drittlandtransfer zu beachten.
• Hinweisgeber und betroffene Personen sind über die Datenverarbeitung zu informieren. Gegenüber beschuldigten Personen kann die Information aufgeschoben werden, solange sie die Aufklärung gefährden würde.
• Die Dokumentation der Meldungen ist nach dem HinSchG grundsätzlich drei Jahre nach Abschluss des Verfahrens zu löschen. Diese Frist gehört in Ihr Löschkonzept.
• Wegen der Sensibilität der Daten ist häufig eine Datenschutz-Folgenabschätzung angezeigt.

Spannungsfeld: Auskunftsanspruch

Beschuldigte Personen können nach Art. 15 DSGVO Auskunft verlangen, auch darüber, woher die Daten stammen. Das kollidiert mit dem Schutz der hinweisgebenden Person. Die DSGVO und das BDSG lassen Einschränkungen des Auskunftsrechts zu, wenn Rechte Dritter überwiegen. In der Praxis ist eine sorgfältige Abwägung im Einzelfall erforderlich; die Identität der hinweisgebenden Person ist regelmäßig zu schützen.

Rolle des Datenschutzbeauftragten

Der Datenschutzbeauftragte sollte bei der Einrichtung der Meldestelle beteiligt werden. Ob er selbst die Meldestelle übernehmen kann, ist im Einzelfall zu prüfen, weil Interessenkonflikte entstehen können. Die Rollen sollten in jedem Fall klar getrennt sein.

Eine Meldestelle funktioniert nur, wenn Hinweisgeber ihr vertrauen. Unternehmen mit 50 bis 249 Beschäftigten bleibt dafür Zeit bis Mitte Dezember. Wenn Sie den Datenschutz bei der Einrichtung von Anfang an mitdenken wollen, sprechen Sie uns an: Kontakt oder Online-Termin.